OCHRONA DANYCH OSOBOWYCH

Transkrypt

1 Czerwiec 2015 issn nr 9 OCHRONA DANYCH OSOBOWYCH Praktyczne porady Instrukcje krok po kroku Wzory Zgłoszenie ABI do rejestracji fakty i mity Przekazywanie danych do państw trzecich będzie łatwiejsze Jak należy wykonywać kopie zapasowe danych osobowych

2 Oficyna Prawa Polskiego Wydawnictwo WiP ul. Łotewska 9A, Warszawa NIP: KRS: Sąd Rejonowy dla m.st. Warszawy, Sąd Gospodarczy XIII Wydział Gospodarczy Rejestrowy Wysokość kapitału zakładowego: zł Ochrona danych osobowych Redaktor: Kierownik grupy wydawniczej: Ewa Ziętek-Maciejczyk Wydawca: Monika Kijok Koordynacja produkcji: Mariusz Jezierski, Magdalena Huta Korekta: Zespół Projekt graficzny okładki: Michał Marczewski Skład i łamanie: Ireneusz Gawliński Drukarnia: MDdruk Nakład: 500 egz. Ochrona danych osobowych wraz z przysługującym Czytelnikom innymi elementami dostępnymi w prenumeracie (e-letter, strona WWW i inne) chronione są prawem autorskim. Przedruk materiałów opublikowanych w Ochronie danych osobowych oraz w innych dostępnych elementach prenumeraty bez zgody wydawcy jest zabroniony. Zakaz nie dotyczy cytowania publikacji z powołaniem się na źródło. Publikacja Ochrona danych osobowych została przygotowana z zachowaniem najwyższej staranności i wykorzystaniem wysokich kwalifikacji, wiedzy i doświadczenia autorów oraz konsultantów. Zaproponowane w publikacji Ochrona danych osobowych oraz w innych dostępnych elementach subskrypcji wskazówki, porady i interpretacje nie mają charakteru porady prawnej. Ich zastosowanie w konkretnym przypadku może wymagać dodatkowych, pogłębionych konsultacji. Publikowane rozwiązania nie mogą być traktowane jako oficjalne stanowisko organów i urzędów państwowych. W związku z powyższym redakcja nie może ponosić odpowiedzialności prawnej za zastosowanie zawartych w publikacji Ochrona danych osobowych lub w innych dostępnych elementach prenumeraty wskazówek, przykładów, informacji itp. do konkretnych przypadków. Informacje o prenumeracie: tel.: faks: cok@opp.com.pl

3 SPIS TREŚCI Spis treści AKTUALNOŚCI Dane zawierające informacje genetyczne to dane wrażliwe Rada Europy o monitoringu pracowników RUBRYKA SABI Zgłoszenie ABI do rejestracji GIODO - fakty i mity Maciej Byczkowski INSTRUKCJE Upoważnienie do przetwarzania danych - o czym pamiętać Włodzimierz Dola Doraźne zbiory danych - bez konieczności rejestracji Piotr Janiszewski Jak należy wykonywać kopie zapasowe danych osobowych Maciej Kołodziej TEMAT NUMERU Przekazywanie danych do państw trzecich będzie łatwiejsze Marcin Sarna PORADY Odpowiedzialność karna za naruszenia ochrony danych Paweł Osiński Ochrona danych osobowych w procesie rekrutacji Konrad Gałaj-Emiliańczyk Monitoring pracownika - tak, naruszenie prywatności - nie Alicja Biernat WZORY DOKUMENTÓW OCHRONA DANYCH OSOBOWYCH 141 CZERWIEC 2015

4 LIST OD REDAKTORA Szanowni Czytelnicy! Wioleta Szczygielska redaktor prowadząca Tematem przewodnim tego numeru są nowe zasady przekazywania danych osobowych do państw trzecich. Z pozoru może się wydawać, że to zagadnienie dotyczy tylko dużych firm, które mają swoje oddziały w wielu państwach. Jednak z tym procesem może mieć do czynienia także administrator danych osobowych w małej firmie czy urzędzie, jeśli np. korzysta z usług firmy, której serwery są zlokalizowane za granicą. Od tego numeru rozpoczęliśmy również współpracę ze Stowarzyszeniem Administratorów Bezpieczeństwa Informacji (SABI). Eksperci z SABI będą omawiać dla Państwa najnowsze zmiany w prawie i podpowiadać jak realizować codzienne obowiązki. Szczególnie zachęcam też Państwa do zapoznania się z dwoma bardzo praktycznymi artykułami, które z pewnością przydadzą się każdemu administratorowi bezpieczeństwa informacji w jego codziennej pracy. Pierwszy z nich dotyczy wydawania upoważnień do przetwarzania danych osobowych. Kto powinien to robić, w jakiej formie takie upoważnienia powinny być wydawane i jak je archiwizować? Na te pytania znajdą Państwo odpowiedzi w bieżącym numerze. Przygotowaliśmy też gotowy wzór upoważnienia, który znajduje się na stronie 24. Można go też pobrać ze strony Drugi artykuł dotyczy zasad przetwarzania danych osobowych w zbiorach doraźnych. Często zapomina się o możliwości skorzystania z tej konstrukcji, a może być ona dużym ułatwieniem w pracy, gdyż takich zbiorów nie trzeba rejestrować w GIODO. W bieżącym numerze piszemy, kiedy zbiór ma charakter doraźny i podpowiadamy, jak postępować ze zgromadzonymi w nim danymi. W tym numerze kontynuujemy też temat monitoringu pracownika w miejscu pracy. Podpowiadamy, kiedy pracodawca może m.in. kontrolować aktywność pracownika w Internecie i co może się stać, gdy przekroczy granice tej kontroli. Pozostając w temacie danych osobowych pracowników, piszemy też o tym, jak postępować z danymi osobowymi pozyskiwanymi w procesie rekrutacji. Życzę owocnej lektury! OCHRONA DANYCH OSOBOWYCH 142 CZERWIEC 2015

5 AKTUALNOŚCI Dane zawierające informacje genetyczne to dane wrażliwe Testy genetyczne muszą być niezwłocznie uregulowane przypomina Rzecznik Praw Obywatelskich. Podczas takich badań pozyskuje się bowiem dane genetyczne, które w rozumieniu ustawy o ochronie danych osobowych są danymi wrażliwymi. RPO apeluje do ministra zdrowia o jak najszybsze rozpoczęcie prac nad stworzeniem ram prawnych dla prowadzenia badań naukowych z wykorzystaniem materiału genetycznego zgromadzonego w biobankach. Zdaniem RPO uczestnik badania musi wyrazić świadomą zgodę na wykorzystanie jego materiału genetycznego oraz pozyskanych z niego danych genetycznych. W wypadku biobanków prowadzonych do celów naukowych trudno jest jednak zapewnić świadomy charakter zgody. Materiał genetyczny i dane genetyczne raz umieszczone w bazie mogą być bowiem wykorzystywane do różnego rodzaju badań, których przedmiotu i zakresu w chwili pobierania materiału nie da się określić. Dodatkowo trzeba zapewnić szczególne gwarancje ochrony dla przetwarzania tego rodzaju danych. Niewłaściwe przetwarzanie danych o stanie zdrowia, w tym informacji genetycznej, może doprowadzić do poważnych naruszeń praw i wolności jednostki alarmuje RPO. Ze względu na wartość ekonomiczną takie dane mogą być przedmiotem zainteresowania np. pracodawców czy ubezpieczycieli, którzy mogliby wykorzystywać je do minimalizacji ryzyka biznesowego swojej działalności. Rada Europy o monitoringu pracowników Pracodawcy nie mogą monitorować prywatnej korespondencji swoich pracowników wynika z rekomendacji w sprawie przetwarzania danych osobowych pracowników wydanych przez Radę Europy dla państw UE. Rada Europy wydała zalecenia dla państw członkowskich UE określające zasady przetwarzania danych osobowych pracowników i kandydatów do pracy. Zalecenia Rady dotyczą zarówno sektora publicznego, jak i prywatnego. RE wskazuje, że pracodawcy powinni unikać nieuzasadnionego zakłócenia prawa pracowników do życia prywatnego w miejscu pracy. Rada stwierdziła, że pracownicy powinni mieć wgląd do wszelkich informacji, które posiada pracodawca. Powinni też wiedzieć, skąd pracodawca pozyskał te dane i jaki jest cel ich przetwarzania. Pracodawcy nie powinni w żadnych okolicznościach monitorować prywatnej korespondencji swoich pracowników. Jeżeli jednak wprowadzana jest kontrola korzystania z Internetu, to powinno się korzystać z narzędzi prewencyjnych, jak filtry czy blokady, aby zapobiec gromadzeniu prywatnych informacji. Monitorowanie aktywności pracowników w Internecie może być prowadzone tylko wtedy, gdy pracownicy zostali poinformowani z wyprzedzeniem o takiej możliwości. Stosowanie systemów informatycznych, w tym nadzoru wideo, do monitorowania aktywności i zachowań pracowników jest w zasadzie zabronione. Zdaniem Rady takie działanie może być wyjątkowo dopuszczone, z zastrzeżeniem spełnienia rygorystycznych warunków. OCHRONA DANYCH OSOBOWYCH 143 CZERWIEC 2015

6 RUBRYKA SABI* Zgłoszenie ABI do rejestracji GIODO fakty i mity Wbrew panującej opinii, 30 czerwca 2015 r. to nie jest ostateczny termin na powołanie administratora bezpieczeństwa informacji. To data, do której na nowych zasadach pełnią swoją funkcję ABI wyznaczeni przed 1 stycznia 2015 r. Czy 30 czerwca 2015 r. to ostateczny termin powołania i zgłoszenia ABI do rejestracji GIODO? W związku ze zmianą przepisów ustawy o ochronie danych osobowych (uodo) dotyczących funkcji administratora bezpieczeństwa informacji (ABI) pojawiło się niestety wiele błędnych interpretacji, które powodują niewłaściwą realizację nowych obowiązków przez różnych administratorów danych. Po części wynika to z niezrozumienia nowych regulacji, ale także z celowych działań dezinformacyjnych prowadzonych w celach zarobkowych przez nierzetelnych doradców. W ramach rozpowszechniania mitów dotyczących zgłaszania ABI do rejestracji GIODO pojawiły się informacje, że każdy administrator danych ma obowiązek powołać ABI i zgłosić go do GIODO w terminie do 30 czerwca 2015 r. Padały nawet groźby, że GIODO będzie karał grzywnami tych administratorów danych, którzy nie zgłoszą ABI do rejestracji w terminie do 30 czerwca! Zgodnie z nowymi przepisami, administrator danych może powołać ABI w dowolnym momencie nie ma w tym zakresie ani obowiązku, ani żadnego ograniczenia czasowego. Po zdecydowaniu się na powołanie ABI na podstawie art. 36a uodo administrator w ciągu 30 dni musi zgłosić go do rejestracji GIODO (zgodnie z art. 46b uodo) na wzorze zgłoszenia określonym w stosownym rozporządzeniu wykonawczym do ustawy. W zgłoszeniu administrator danych musi potwierdzić, że powołany ABI spełnia kryteria kwalifikacyjne określone w art. 36a ust. 5 oraz podlega bezpośrednio kierownikowi jednostki organizacyjnej lub osobie fizycznej będącej administratorem danych. Natomiast termin 30 czerwca 2015 r. został określony w przepisach przejściowych w ustawie MACIEJ BYCZKOWSKI prezes Zarządu ENSI, ekspert ds. bezpieczeństwa informacji i ochrony danych osobowych. Od 2007 roku pełni funkcję prezesa Zarządu Stowarzyszenia Administratorów Bezpieczeństwa Informacji o ułatwieniu wykonywania działalności gospodarczej (art. 35) i oznacza czas, do którego funkcję ABI mogą pełnić osoby wyznaczone na ABI przed 1 stycznia 2015 r., na podstawie uchylonego przepisu z art. 36 ust. 3 uodo. Administrator danych ma zatem czas do 30 czerwca 2015 r. na podjęcie decyzji, co zrobić z wyznaczonym wcześniej ABI czy powołać go na nowo i zgłosić do rejestracji GIODO, czy pozostawić tę osobę, ale już na innym stanowisku i zlecić jej wykonywanie części lub wszystkich nowych zadań zgodnie z art. 36b uodo. Może oczywiście powołać na ABI inną osobę, która spełnia wymagania określone w art. 36a ust. 5 uodo. Administrator danych może też w dowolnym momencie odwołać ABI, zgłaszając w ciągu 30 dni taką informację do GIODO, z podaniem przyczyny odwołania. Nowelizacja ustawy umożliwia każdemu administratorowi danych wybór sposobu realizacji nowych obowiązków zapewniania przestrzegania przepisów o ochronie danych osobowych albo powoła do tego ABI na niezależnym stanowisku, spełniającego odpowiednie wymagania, albo sam będzie realizować nowe zadania bez powołania ABI, wyznaczając do tego inne osoby. Dodatkowo, powołanie ABI na podstawie nowych przepisów zwalnia administratorów danych z obowiązku zgłaszania zbiorów danych do rejestracji GIODO (z wyjątkiem zbiorów zawierających dane osobowe wrażliwe). Natomiast od 1 lipca 2015 r. stanowisko ABI będzie odnosić się tylko do ABI powołanego na podstawie nowych przepisów i zgłoszonego do rejestracji GIODO. Zatem nie ma ustawowego obowiązku powołania ABI i zgłoszenia go do rejestracji GIODO do 30 czerwca 2015 r. * Stowarzyszenie Administratorów Bezpieczeństwa Informacji (SABI) jest dobrowolnym zrzeszeniem o charakterze niezarobkowym, które działa na rzecz rozwoju grupy zawodowej Administratorów Bezpieczeństwa Informacji. Jest członkiem CEDPO Konfederacji Europejskich Organizacji Inspektorów Ochrony Danych. Celem działalności Stowarzyszenia jest: integracja środowiska Administratorów Bezpieczeństwa Informacji, promowanie rozwoju ABI przez podnoszenie umiejętności zawodowych związanych z zapewnianiem przestrzegania przepisów o ochronie danych osobowych, podejmowanie działań mających na celu rozpowszechnianie wiedzy związanej z tematyką szeroko pojętego bezpieczeństwa danych osobowych oraz standardów etycznych i dobrych praktyk w pracy ABI. SABI czynnie uczestniczy w procesach legislacyjnych dotyczących przepisów o ochronie danych osobowych, przygotowując projekty przepisów oraz wydając opinię na ich temat - nie tylko w Polsce ale także w UE. Przedstawiciele Stowarzyszenia brali aktywny udział w pracach nad dwiema nowelizacjami ustawy o ochronie danych osobowych w latach oraz , a w ostatnim czasie również w pracach nad nowymi rozporządzeniami wykonawczymi dotyczącymi wykonywania zadań ABI. Więcej informacji znajdziecie Państwo na stronie internetowej Stowarzyszenia: oraz na forum internetowym SABI: OCHRONA DANYCH OSOBOWYCH 14 CZERWIEC 2015