lista zmian - RODO wersja 2.5.0.26 Spis treści 1. Wstęp... 3 Zasady dotyczące ochrony danych:... 3 Zasady dotyczące przetwarzania danych zgodnie z prawem... 3 Zasady dotyczące międzynarodowego przekazywania danych... 3 2. Administrator RODO... 3 3. Rejestr zgód... 4 Kontrahenci... 4 Osoby kontaktowe kontrahenta... 6 Słowniki zgód... 7 Rejestracja zgody... 7 Usunięcie zgody... 8 4. Menu RODO... 9 Rejestr przetwarzania... 9 Rejestr pseudonimizacji...10 Cofanie pseudonimizacji...11 Rejestr anonimizacji...12 5. Logi systemowe... 13 interlan SPEED v.rodo lista zmian strona: 1
6. Metryka... 14 7. Przeniesienie danych... 14 8. Polityka haseł... 16 9. Szyfrowanie pliku konfiguracyjnego (INI)... 16 10. Załączniki w systemie SPEED... 17 interlan SPEED v.rodo lista zmian strona: 2
1. Wstęp Podstawowe zasady RODO Zasady dotyczące ochrony danych: dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dotyczą; muszą być zbierane w konkretnych, wyraźnie opisanych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dane osobowe muszą być ograniczone do tego, co niezbędne; muszą być prawidłowe i w razie potrzeby aktualizowane. Nieprawidłowe dane osobowe powinny być niezwłocznie usunięte lub sprostowane; dane muszą być przechowywane w formie umożliwiającej identyfikację osoby fizycznej, przez okres nie dłuższy niż jest to potrzebne oraz przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo w tym ochronę przed nieuprawnionym lub niezgodnym z prawem dostępem oraz utratą, zniszczeniem lub uszkodzeniem. Zasady dotyczące przetwarzania danych zgodnie z prawem Przetwarzanie danych osobowych jest zgodne z prawem wyłącznie w przypadkach, gdy spełniony jest co najmniej jeden z poniższych warunków: dana osoba fizyczna wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; przetwarzanie jest lub wkrótce będzie niezbędne do wykonania umowy, której stroną jest dana osoba fizyczna; przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego (np. złożenie dokumentacji podatkowej przez przedsiębiorstwo); przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub wymaganego przez organ publiczny; przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez przedsiębiorstwo (lub przez stronę trzecią), z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby fizycznej. Zasady dotyczące międzynarodowego przekazywania danych RODO podtrzymuje ogólny zakaz przekazywania danych osobowych poza terytorium Europejskiego Obszaru Gospodarczego do krajów niezapewniających odpowiedniej ochrony. interlan SPEED v.rodo lista zmian strona: 3
2. Administrator RODO Wszystkie funkcje programu związane z zarządzaniem danymi osobowymi wg RODO są zastrzeżone dla Administratora RODO. UWAGA Administrator RODO to nie to samo co Administrator systemu (ADMIN). W praktyce oznacza to, że ADMIN systemu SPEED musi jednemu z użytkowników nadać rolę Administratora RODO. Roli tej nie może przypisać sobie, czyli ADMIN nie może być jednocześnie Administratorem RODO. Nadawanie roli Administratora RODO wykonujemy w następujących krokach: logujemy się jako ADMIN, otwieramy menu SYSTEM - UŻYTKOWNICY, z listy użytkowników wybieramy osobę, która zostanie Administratorem RODO, edytujemy jej dane (POPRAW), zaznaczamy opcję Administrator RODO: 3. Rejestr zgód Każde wprowadzenie danych osobowych w system musi być poprzedzone uzyskaniem odpowiedniej zgody. Informację o posiadaniu takiej zgody (lub jej cofnięciu) można zarejestrować w systemie SPEED. rejestracji takiej dokonujemy na danych obiektu, którego dane dotyczą (kontrahent, pracownik itd.) interlan SPEED v.rodo lista zmian strona: 4
Kontrahenci System umożliwia zarejestrowanie faktu posiadania z kontrahentem/dostawcą umowy powierzenia danych osobowych. Rejestrację wykonujemy następująco: otwieramy słownik KONTRAHENCI, wybieramy i edytujemy dane kontrahenta, na zakładce CRM zaznaczamy fakt posiadania umowy: Z poziomu listy kontrahentów można uzyskać szybką informację (kolumna Umowa RODO) czy mamy podpisaną umowę powierzenia danych osobowych z konkretnym kontrahentem: interlan SPEED v.rodo lista zmian strona: 5
Osoby kontaktowe kontrahenta Lista kontrahentów pozwala na wprowadzenie danych osób kontaktowych reprezentujących kontrahenta. Zgodnie z RODO rejestrując takie dane, musimu równiez oznaczyć zgodę na zakres ich przetwarzania oraz na źródło pozyskania tej zgody. Robimy to następująco: z listy Kontrahenci wybieramy kontrahenta i ustawiamy na nim kursor, następnie z górnego menu wybieramy przycisk Osoby kontakt.: wybieramy Dodaj, jeśli chcemy dodać nową osobę, lub Popraw, jesli wprowadzamy dane osoby już zarejestrowanej, w dolnej części ekranu edycji danych mamy sekcję zgód na przechowywanie i przetwarzanie danych: interlan SPEED v.rodo lista zmian strona: 6
Słowniki zgód Sekcja zgód korzysta ze słownika, czyli stałych danych wprowadzonych wcześniej, które teraz będą zaznaczane i/lub wybierane. Słowniki rodzaju zgód i źródeł zgód dostępne są w menu STAŁE DANE - RODO/GDPR: interlan SPEED v.rodo lista zmian strona: 7
Rejestracja zgody Wprowadzenie zgody wykonujemy poprzez: zaznaczenie opcji, wybranie ze słownika źródła zgody, wybranie z kalendarza daty zgody, wpisanie do bazy przyciskiem ZAPISZ ZGODY: Usunięcie zgody Usunięcie zgody wykonujemy poprzez: odznaczenie opcji, interlan SPEED v.rodo lista zmian strona: 8
wybranie ze słownika źródła, z którego otrzymano informację o braku zgody, wybranie z kalendarza daty wycofania zgody, wpisanie do bazy przyciskiem ZAPISZ ZGODY W sytuacji, gdy wprowadzono do systemu kilka zgód, a usunąć chcemy tylko niektóre z nich, odznaczamy zgody do usunięcia, zostawiając pozostałe jako zaznaczone. Przykład trzy zgody udzielone: usunięcie zgody MAIL i pozostawienie reszty: Aktualny stan zgód jest widoczny w kolumnie RODO na liście osób: Symbole widoczne w kolumnie to skróty rodzajów zgód, które wprowadzilismy w słowniku (patrz Słowniki zgód). Po kliknięciu kolumny RODO mamy dostęp do pełnego rejestru zgód, w tym do zapisów historycznych: interlan SPEED v.rodo lista zmian strona: 9
4. Menu RODO W menu RODO znajdują się funkcje dostępne tylko i wyłącznie dla użytkownika posiadającego w systemie rolę Administratora RODO, patrz 2. Administrator RODO Rejestr przetwarzania Rejestr przetwarzania to tabela z listą czynności przetwarzania wg wymagań RODO (dostępnych wzorów). Innymi słowy w tym miejscu rejestrujemy fakt przetwarzania danych np. w czasie rekrutacji. Rejestracja przetwarzania wygląda następująco: Admin RODO wybiera z menu RODO opcję REJESTR PRZETWARZANIA: polecenie Dodaj, wypełnienie kolejnych pól, Zapisz Dane można wprowadzać ręcznie lub korzystając ze słowników, w których można zdefiniować dane do częstych wpisów: interlan SPEED v.rodo lista zmian strona: 10
Rejestr pseudonimizacji Rejestr pseudonimizacji służy do wyszukiwania danych i poddawaniu ich procesowi pseudonimizacji. Proces ten jest odwracalny, co oznacza, że dane, które zostały zaszyfrowane, mogą ponownie zostać odczytane przy użyciu odpowiednich procedur. Mechanizm pseudonimizacji działa następująco: administrator RODO wybiera z menu RODO opcję REJESTR PSEUDONIMIZACJI za pomocą Dodaj otwiera okno, w którym można wpisać dane osoby, która będzie wpisana do rejestru po wprowadzeniu co najmniej imienia, nazwiska i numeru telefonu lub maila można zapisać okno za pomocą dwukrotnego kliknięcia na danych osoby otwieramy Listę obiektów do pseudonimizacji: przycisk Szukaj dane osobowe uruchamia proces wyszukiwania wszystkich miejsc w systemie SPEED, w których występują dane poszukiwanej osoby na liście pojawią się wszystkie obiekty, które zawierają dane wyszukiwanej osoby: za pomocą przycisku Pseudonimizuj wykonujemy proces pseudonimizacji danych na wszyst- interlan SPEED v.rodo lista zmian strona: 11
kich obiektach z listy: w efekcie dane wybranej osoby zostają zamienione na wyraz PSEUDONIMIZACJA (poniżej przykład danych kierowcy na zleceniu): Cofanie pseudonimizacji Proces pseudonimizacji jest odwracalny. To oznacza, że dane, które zostały pseudonimizowane można przywrócić do stanu pierwotnego. Proces przebiega następująco: Rejestrze pseudonimnizacji wybieramy zakładkę WYKONANE: następnie wybieramy polecenie Wycofaj: interlan SPEED v.rodo lista zmian strona: 12
w kolejnym oknie wypełniamy pola PODMIOT, NAZWA i naciskamy Szukaj w rejestrze: ostatnim krokiem jest wybór polecenia Wycofaj: Rejestr anonimizacji Rejestr anonimizacji służy do wyszukiwania danych i poddawaniu ich procesowi anonimizacji. Proces ten jest nieodwracalny, co oznacza, że dane, które zostały zaszyfrowane, nie mogą ponownie zostać odczytane! Mechanizm anonimizacji działa następująco: administrator RODO wybiera z menu RODO opcję REJESTR ANONIMIZACJI za pomocą Dodaj otwiera okno, w którym można wpisać dane osoby, która będzie wpisana do rejestru po wprowadzeniu co najmniej imienia, nazwiska i numeru telefonu lub maila można zapisać okno za pomocą dwukrotnego kliknięcia na danych osoby otwieramy Listę obiektów do anonimi- interlan SPEED v.rodo lista zmian strona: 13
zacji: przycisk Szukaj dane osobowe uruchamia proces wyszukiwania wszystkich miejsc w systemie SPEED, w których występują dane poszukiwanej osoby na liście pojawią się wszystkie obiekty, które zawierają dane wyszukiwanej osoby za pomocą przycisku Anonimizuj wykonujemy proces anonimizacji danych na wszystkich obiektach z listy UWAGA! ANONIMIZACJA JEST NIEODWRACALNA! MOŻNA JĄ PRZEPROWADZIĆ TYLKO WTE- DY, GDY DANE NIE BĘDĄ JUŻ POTRZEBNE! 5. Logi systemowe System SPEED zapamiętuje dużą część wykonywanych w nim operacji i zapisuje je w postaci logów systemowych. Lista logów znajduje się w menu SYSTEM - LOGI SYSTEMOWE: Logi systemowe maja kluczowe znaczenie z punktu widzenia przetwarzania danych osobowych, ponieważ możemy w nich prześledzić kto wprowadzał zmiany i jakiego one były rodzaju. Poszczególne kolumny logów systemowych zawierają podstawowe informacje dotyczące danego wpisu, natomiast szczegółowe dane dotyczące zmiany znajdziemy po dwukrotnym kliknięciu symbolu w kolumnie Lista zmian: interlan SPEED v.rodo lista zmian strona: 14
Poniżej przykład zmiany danych (nazwiska) kierowcy: 6. Metryka W związku z RODO wprowadzono również zmiany w metryce rekordu. Dodano pole, w którym mozna zdefiniować pochodzenie rekordu. Chodzi tu o możliwość zapisania, czy dane zostały wpisane ręcznie czy wczytane plikiem lub np. importowane z systemu SAP: 7. Przeniesienie danych System SPEED umożliwia przeniesienie danych osobowych do innego administratora na żądanie danego podmiotu. Dzieje się to poprzez wyeksportowanie danych do pliku wybranego typu. Przeniesienie wykonujemy następująco: otwieramy listę, z której wykonamy eksport (kontrahenci, osoby reprezentujące, pracownicy), zaznaczamy rekordy z danymi, które chcemy wyeksportować: interlan SPEED v.rodo lista zmian strona: 15
klikamy na liście prawym przyciskiem myszy, z menu kontekstowego wybieramy opcję RODO-Przeniesienie (przykład dotyczy osoby reprezentującej kontrahenta): podajemy powód przeniesienia: interlan SPEED v.rodo lista zmian strona: 16
wybieramy Zapisz, nadajemy nazwę pliku i wskazujemy miejsce, w którym będzie on zapisany 8. Polityka haseł Każdy użytkownik systemu SPEED loguje się do programu za pomocą loginu i hasła. W systemie SPEED można zdefiniować politykę zarządzania tymi hasłami. W praktyce oznacza to możliwość konfiguracji wymagań, które muszą spełniać hasła oraz decydowania, jak system ma się zachować wobec haseł niespełniających określonych wymagań. Okno konfiguracyjne haseł znajduje się w menu SYSTEM-OPCJE-USTAWIENIA GLOBALNE-ZASADY HASEŁ: 9. Szyfrowanie pliku konfiguracyjnego (INI) Ze względów bezpieczeństwa aktualizacja programu SPEED od wersji 2.5.0.26 dokonuje zaszyfrowania tej częsci pliku speed.ini, w której znajdują się dane dostępowe do bazy danych programu (ścieżka, użytkownik, hasło). Jeżeli powstanie konieczność dostępu do tych danych, wymagana jest interwencja serwisu InterLAN: interlan SPEED v.rodo lista zmian strona: 17
10. Załączniki w systemie SPEED Załączniki w systemie SPEED (oferty, umowy, skany itd.) mogą być zapisywane na dwa sposoby: w bazie danych - w takim przypadku załączniki są niedostępne dla osób z zewnątrz niejako z definicji, ponieważ bazy nie można odczytac bez dostępu do programu. na dysku, w postaci plików - ta forma wymaga dodatkowych zabezpieczeń w postaci szyfrowania folderu z plikami załączników. Dostęp do zawartości folderu jest niemożliwy spoza programu SPEED, natomiast użytkownicy programu mają do niego dostęp dzięki autoryzacji. Do poprawnego działania mechanizmu należy wprowadzić login i hasło uwierzytelniające w menu SYSTEM - OPCJE: interlan SPEED v.rodo lista zmian strona: 18