KONFERENCJA SIODO "PO RODO WE PRZYPADKI" Integrujemy środowisko Inspektorów Ochrony Danych Osobowych Optymalizujemy kwalifikacje i umiejętności zawodowe związane z zarządzaniem systemami bezpieczeństwa informacji i ochroną danych osobowych
Prelegent: Przemysław Kuczkowski Radca prawny Auditor wiodący normy EN ISO IEC/27001:2017 Warszawa. 13.12.2018 r.
ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE Artykuł 99 Wejście w życie i stosowanie 1. Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po publikacji w Dzienniku Urzędowym Unii Europejskiej. 2. Niniejsze rozporządzenie ma zastosowanie od dnia 25 maja 2018 r 3.Niniejsze rozporządzenie wiąże w całości i jest bezpośrednio stosowane we wszystkich państwach członkowskich. Sporządzono w Brukseli dnia 27 kwietnia 2016 r
OBOWIĄZKI ADMINISTRATORA ADMINISTRATOR OBOWIĄZKI ZWIĄZANE Z RODO Zasady przetwarzania danych, podstawy prawne i rozliczalność Realizacja uprawnień osób, których dane dotyczą Zabezpieczanie, analiza ryzyka i dobór środków zabezpieczający ch, ocena stosowanych zabezpieczeń Zasady postępowania w razie naruszenia ochrony danych osobowych Dokumentacja odpowiadająca RODO
ART. 24 RODO Ust. 1. Uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze, administrator wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z niniejszym rozporządzeniem i aby móc to wykazać. Środki te są w razie potrzeby poddawane przeglądom i uaktualniane. Ust. 2. Jeżeli jest to proporcjonalne w stosunku do czynności przetwarzania, środki, o których mowa w ust. 1, obejmują wdrożenie przez administratora odpowiednich polityk ochrony danych.
Komentarz do art. 24 RODO red. Sakowska-Baryła 2018, wyd. 1/Wygoda ( ) przepis stanowi potwierdzenie modelowego odejścia od dotychczasowego statycznego, formalnego i de facto reaktywnego modelu ochrony danych na rzecz podejścia opartego na całościowym spojrzeniu na ochronę danych osobowych (z perspektywy konkretnego administratora) uwzględniającego występujące zagrożenia i ryzyko z tym związane, co wymusza zastosowanie modelu ochrony proaktywnej, prewencyjnej bez sztywnych narzuconych przez prawodawcę formalnych techniczno-organizacyjnych ram przetwarzania.
Administrator Winien zatem dokonać oceny Charakteru, zakresu, kontekst i celów przetwarzania oraz ryzyka naruszenia praw lub wolności osób fizycznych w celu ustalenia potrzeby stosowania odpowiednich polityk. Charakter przetwarzania Dokonanie oceny charakteru polega na przeprowadzeniu oceny planowanych czynności przetwarzania/operacji przetwarzania pod kątem ich częstotliwości, cykliczności, a także skali planowanych operacji oraz narzędzi wykorzystywanych do przetwarzania czy wreszcie podmiotów biorących udział w ich realizacji.
Zakres przetwarzania Dokonanie oceny zakresu przetwarzania polega na uwzględnieniu Zakresu przetwarzanych danych czyli kategorii danych, ale również rodzajów operacji dokonywanych na tych danych. Kontekst przetwarzania Dokonanie oceny kontekstu przetwarzania polega na przeprowadzeniu oceny wszelkich okoliczności prawnych i faktycznych, które mają wpływ na przetwarzanie. Administrator Powinien przenalizować jakie relacje wiążą go z podmiotami danych, jakie są okoliczności pozyskiwania i dalszego przetwarzania danych itp.
CELE PRZETWARZANIA Dokonanie oceny celu przetwarzania polega na dokonaniu oceny, czy cele w jakich są zbierane dane są konkretne, wyraźne i prawnie uzasadnione. Trzeba pamiętać, że dane osobowe nie mogą być przetwarzane dalej w sposób niezgodny z celami, w jakich zostały zebrane.
Ryzyko naruszenia praw lub wolności osób fizycznych Dokonanie oceny ryzyka naruszenia ww. praw lub wolności polega na przeprowadzeniu oceny czynności przetwarzania dla praw i wolności gwarantowanych na poziomie europejskim, tj. w Karcie praw podstawowych oraz Europejskiej konwencji praw człowieka.
Motyw 78 preambuły RODO Ochrona praw i wolności osób fizycznych w związku z przetwarzaniem danych osobowych wymaga wdrożenia odpowiednich środków technicznych i organizacyjnych, by zapewnić spełnienie wymogów niniejszego rozporządzenia. Aby móc wykazać przestrzeganie niniejszego rozporządzenia, administrator powinien przyjąć wewnętrzne polityki i wdrożyć środki, które są zgodne w szczególności z zasadą uwzględniania ochrony danych w fazie projektowania oraz z zasadą domyślnej ochrony danych
W kontekście powyższego Pojawi się pytanie Czy Zatem w każdym w podmiocie muszą być stosowane dokumenty ochrony danych osobowych (polityki)? Co do zasady NIE Alleeeee.. ROZLICZALNOŚĆ (możliwość wykazania zgodności z RODO)!!! Wymóg prowadzania dokumentacji ochrony danych osobowych wynikał z krajowych przepisów wykonawczych (rozporządzenia wykonawczego do u.o.d.o.1997), jednak utrata ich mocy obowiązującej sprawiła, że wymóg taki nie jest zasadniczo obowiązkiem wyraźnie wskazanym w przepisach o ochronie danych osobowych.
Polityki ochrony danych RODO nie zawiera regulacji, które wskazywałyby minimalny Zakres treści poszczególnych polityk. Każda jednostka Organizacyjna jest inna I POTRZEBUJE INDYWIDUALNEGO PODEJŚCIA. ADMINISTRATOR musi dokonać oceny potrzeb stosowania odpowiednich polityk w kontekście ART. 24 RODO, tak aby zapewniać zgodność przetwarzania danych osobowych z RODO. MoŻna przyjąć że zapewnienie zgodności z RODO mogą spełnić funkcjonujące już wcześniej w danej jednostce dokumenty, oczywiście po odpowiednim ich uaktualnieniu oraz dostosowaniu.
Legalność jako atrybut w procesie implementacji RODO Art. 5 ust. 1 lit. a RODO Dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość ) Wyrażona w tym przepisie zasada zgodności z prawem przetwarzania danych osobowych zwana jest również zasadą legalności przetwarzania danych osobowych. W zasadzie legalności chodzi o zapewnienie zgodności przetwarzania danych osobowych zarówno z normami prawa materialnego, jak i z przepisami postępowania. Realizacja tej zasady obejmuje zapewnienie zgodności przetwarzania danych nie tylko z przepisami prawa unijnego, ale także z przepisami krajowymi
Legalność jako atrybut w procesie implementacji RODO Zapewnienie realizacji zasady legalności na gruncie RODO polega na spełnieniu przesłanek legalności przetwarzania danych określonych w przepisach: art. 6, art. 9 i 10 RODO. Stosowanie tej zasady sprowadza się również do zapewnienia przez Administratora zgodności przetwarzania danych osobowych z pozostałymi przepisami o ochronie danych osobowych.
Art. 6 RODO - Zgodność przetwarzania z prawem Przykładowo przesłanki z art. 6 RODO: 1. Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy i w takim zakresie, w jakim spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
Art. 6 RODO - Zgodność przetwarzania z prawem d)jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
W wyroku z dnia 4 marca 2002 r. (II SA 3144/01) Naczelny sąd Administracyjny wskazał, że żadne względy natury organizacyjno-finansowej nie powinny być traktowane jako podstawy do sprzecznego z prawem przetwarzania danych osobowych przez banki. Orzeczenie to zapadło wprawdzie jeszcze na gruncie przepisów ustawy o ochronie danych osobowych z 1997 r., należy jednak przyjąć, iż w kontekście zasady legalności zachowuje ono swoją aktualność. Zatem brak wystarczających środków finansowych czy też trudności natury organizacyjnej nie mogą stanowić usprawiedliwienia dla naruszenia przepisów o ochronie danych osobowych przy przetwarzaniu danych osobowych.
Rozliczalność administratora ROZDZIAŁ II Zasady Artykuł 5 Zasady dotyczące przetwarzania danych osobowych 1. Dane osobowe muszą być: a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"); b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami ("ograniczenie celu"); c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych");
d) prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane ("prawidłowość"); e) przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub
do celów statystycznych na mocy art. 89 ust. 1, z zastrzeżeniem że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą ("ograniczenie przechowywania"); f) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("integralność i poufność").
Art. 5 ust. 2 RODO Administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie ("rozliczalność"). Zasada rozliczalności ustanowiona w ww. artykule została uszczegółowiona w art. 24 rodo, który nakłada na administratora obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie odbywało się zgodnie z rozporządzeniem (o czym była już mowa na jednym z pierwszych slajdów) i aby móc to wykazać.
Rozliczalność na gruncie RODO można interpretować jako nałożenie na administratora ciężaru dowodowego w zakresie wykazania przestrzegania zasad przetwarzania danych. W Przypadku sporu z osobą, której dane są przetwarzane lub sporu z organem nadzorczym, administrator powinien być w stanie przedstawić dowody na to, że przestrzega zasad przetwarzania danych, które zostały ustanowione w rozporządzeniu. Jako Dowody Administratorowi mogą przede wszystkim posłużyć dokumenty dotyczące przetwarzania i ochrony danych osobowych. Wobec powyższego zasadne wydaje się prowadzenie przez Administratora dokumentacji Dotyczącej przetwarzania danych, obejmującej wskazanie działań, jakie zostały w danym podmiocie podjęte w celu zapewnienia zgodności przetwarzania danych z wymogami określonymi w rodo Warto zatem udokumentować w formie pisemnej przeprowadzenie analizy ryzyka, dbać o dobranie odpowiednich zabezpieczeń i uaktualnienie oraz egzekwowanie zapisów PolityK bezpieczeństwa. Patrz: Komentarz do RODO pod red. Prof. P.Fajgielskiego, 2018, LEX
Pojęcie rozliczalności było już używane przez polskiego prawodawcę w przepisach dotyczących ochrony danych osobowych, a konkretnie w 2 pkt 7 nieobowiązującego już rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz.U. poz. 1024). Według definicji legalnej zawartej w ww. paragrafie rozliczalność to właściwość zapewniającą, że działania podmiotu mogą być przypisane w sposób jednoznaczny tylko temu podmiotowi. rozliczalność stanowiła jeden z wymogów, jakie administrator danych osobowych miał obowiązek zapewnić przy wykorzystaniu środków technicznych i organizacyjnych służących zabezpieczeniu danych.
ROZLICZALNOŚĆ Zakres zadań inspektora ochrony danych osobowych został wyrażony w art. 39 ust. 1 RODO. Podstawowym zadaniem inspektora ochrony danych, jest wsparcie administratora lub podmiotu przetwarzającego w monitorowaniu wewnętrznego przestrzegania przepisów rozporządzenia
Art. 37 ust 5 RODO Inspektor ochrony danych jest wyznaczany na podstawie kwalifikacji zawodowych, a w szczególności wiedzy fachowej na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętności wypełnienia zadań, o których mowa w art. 39. WYKSZTAŁCENIE -Studia? Kurs? Szkolenie? A co z Zastępcą IOD?????????????????
Jak zaradzić bagatelizowaniu rodo? Straszyć odpowiedzialnością karną? Administracyjną? Cywilną? Czy raczej uświadamiać?
UŚWIADAMIAĆ Bo Twoje dane to w końcu Twoja sprawa Dziękuje za uwagę PRZEMYSŁAW KUCZKOWSKI