Grudzień 2015 issn 2391-5781 nr 15 OCHRONA DANYCH OSOBOWYCH Praktyczne porady Instrukcje krok po kroku Wzory Marketing nowych technologii wskazówki praktyczne Sprawdzenia doraźne zasady postępowania Postępowanie ADO w przypadku wycieku danych
SPIS TREŚCI Spis treści AKTUALNOŚCI Dane bankowe z Polski popłyną do USA..................................... 3 Europejskie organy ochrony danych o wyroku ws. Safe Harbour.................. 4 Decyzja GIODO o apostazji NSA przeanalizuje ponownie...................... 4 Dane osobowe z akt sądowych nie dla ministra sprawiedliwości................. 5 EKSPERCI SABI RADZĄ Powołanie zastępców ABI................................................. 6 INSTRUKCJE Już nie ABI, a DPO....................................................... 8 Postępowanie ADO w przypadku wycieku danych............................. 10 TEMAT NUMERU Marketing nowych technologii wskazówki praktyczne....................... 12 ł PORADY Przetwarzanie danych pracowników w e-dokumentacji........................ 18 Sprawdzenia doraźne zasady postępowania............................... 20 ł Ż Gmina zleca swoje zadania kto jest ADO.................................. 22 ł Przetwarzanie danych na podstawie przepisu prawa......................... 23 WZORY DOKUMENTÓW Raport z naruszenia zabezpieczenia danych osobowych w systemie informatycznym służącym do przetwarzania danych osobowych............... 24 OCHRONA DANYCH OSOBOWYCH 141 GRUDZIEŃ 2015
LIST OD REDAKTORA Szanowni Czytelnicy! Wioleta Szczygielska redaktor prowadząca odo@wip.pl www.odo.wip.pl Prawie rok temu weszła w życie nowelizacja ustawy o ochronie danych osobowych, która wprowadziła nowe obowiązki dla administratorów bezpieczeństwa informacji. Niestety kilka miesięcy musieliśmy czekać na rozporządzenia wykonawcze do tego aktu, które określałyby jak w praktyce je realizować. Większość ABI dopiero teraz zaczyna więc je wypełniać, np. przygotowując się do przeprowadzenia sprawdzeń lub zaczynając je wykonywać. Dlatego w bieżącym numerze kontynuujemy temat sprawdzeń. Tym razem podpowiadamy, kiedy i jak przeprowadzić doraźne sprawdzenie zgodności przetwarzania danych osobowych z przepisami. Piszemy też o tym, kiedy nie trzeba powiadamiać administratora danych o prowadzonym audycie. Przygotowaliśmy też wzór raportu z czynności podjętych w przypadku naruszenia zabezpieczenia danych osobowych w systemie informatycznym służącym do przetwarzania danych osobowych. Można go wykorzystać np. w przypadku wycieku danych. W artykule Marketing nowych technologii wskazówki praktyczne piszemy, jak w 5 krokach udokumentować proces pozyskiwania i przetwarzania zgód. Przypominamy też o 6 zasadach bezpiecznego wysyłania informacji marketingowych drogą elektroniczną. Zachęcam także do odwiedzania naszej strony internetowej www.odo. wip.pl. Można tam znaleźć nie tylko wszystkie dotychczasowe numery miesięcznika, ale także pobrać wszelkie publikowane w piśmie wzory dokumentów. Przypominam też, że jako stali Czytelnicy mają Państwo możliwość zadawania pytań naszym ekspertom. Można je przesyłać na adres redakcji odo@wip.pl. A z okazji zbliżających się świąt Bożego Narodzenia życzę Państwu wszystkiego co najlepsze! Życzę owocnej lektury! OCHRONA DANYCH OSOBOWYCH 142 GRUDZIEŃ 2015
AKTUALNOŚCI Dane bankowe z Polski popłyną do USA Prezydent Andrzej Duda podpisał umowę FATCA między rządem Polski a Stanami Zjednoczonymi. Umożliwi ona przekazywanie danych zawierających informacje bankowe na temat amerykańskich podatników, którzy korzystają z usług polskich instytucji finansowych. Celem ustawy o ujawnianiu informacji o rachunkach zagranicznych do celów podatkowych (FATCA) jest zobligowanie zagranicznych instytucji finansowych (FFI) do zawierania porozumień bezpośrednio z amerykańską administracją skarbową (IRS). Na ich mocy dane o stanach rachunków, uzyskiwanych dochodach oraz ich właścicielach, będących podatnikami Stanów Zjednoczonych, będą przekazywane do USA w celu weryfikacji prawidłowości zobowiązań podatkowych. Po co FATCA FATCA ma zapobiegać wykorzystywaniu przez amerykańskich podatników zagranicznych instytucji finansowych do ukrywania dochodów lub tworzenia struktur agresywnego planowania podatkowego. Jeśli instytucje finansowe nie będą chciały zawrzeć porozumienia z IRS, muszą się liczyć z obciążeniem dochodów (przychodów) uzyskiwanych ze źródeł w USA 30% podatkiem. Co de facto zmusi je do odstąpienia od inwestowania na rynku amerykańskim m.in. w papiery wartościowe. Aby uniknąć obciążenia tym podatkiem, polskie instytucje finansowe (PIF) powinny zawrzeć odrębne porozumienia z IRS. Mają zobowiązać się w nich do przekazywania stosownych informacji oraz prawidłowego wykonywania obowiązków wynikających z FATCA. Wiąże się to m.in. z koniecznością przekazywania informacji dotyczących klientów instytucji finansowych objętych tajemnicą bankową. Dodatkowo, w odniesieniu do poszczególnych produktów/usług i roli banku w procesie świadczonej usługi, informacje te mogą być chronione też m.in. przepisami ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych. Do kogo trafią dane Podpisanie porozumień przez instytucje finansowe bezpośrednio z IRS byłoby niezgodne z prawem UE oraz krajowym w odniesieniu do m.in. przekazywania informacji objętych ochroną danych osobowych oraz tajemnicą bankową, USA zaproponowały więc państwom zawieranie porozumień międzyrządowych (IGA). Ich celem jest ustalenie, że informacje o rachunkach prowadzonych dla rezydentów podatkowych USA w zagranicznych instytucjach finansowych będą przez te instytucje zbierane i raportowane do własnej, krajowej administracji podatkowej. Następnie byłyby one przez tę administrację przekazywane automatycznie do USA, zgodnie z procedurą i w terminach ustalonych w umowie. Aby było to możliwe, w przepisach krajowych należy wprowadzić podstawę prawną do nałożenia obowiązków na instytucje finansowe, dotyczących zbierania, przetwarzania i przekazywania w odpowiednich terminach przez nie informacji do krajowej administracji podatkowej, które wymagane są na podstawie umowy FATCA. Podpisanie porozumień przez polskie instytucje finansowe bezpośrednio z IRS byłoby niezgodne z polskim porządkiem prawnym, przekazywanie informacji wymaganych FATCA uregulowano więc w umowie międzynarodowej w sprawie poprawy wypełniania międzynarodowych obowiązków podatkowych oraz wdrożenia ustawodawstwa FATCA, zawartej pomiędzy Polską a USA (umowa FATCA). Wymagane przez FATCA informacje o amerykańskich rezydentach podatkowych będą zbierane przez polskie instytucje finansowe, przekazywane do krajowej administracji podatkowej, a następnie wymieniane w sposób automatyczny z USA na podstawie obowiązującej umowy o unikaniu podwójnego opodatkowania. Problem ochrony danych oraz tajemnicy bankowej dotyczy każdego z państw UE, w związku z tym wszystkie te państwa podjęły działania zmierzające do usunięcia problemu legalności zbierania i przekazywania informacji do amerykańskich organów skarbowych. W zależności od obowiązującego systemu prawnego, państwa muszą indywidualnie wprowadzić zmiany pozwalające na wykonywanie tych umów. W Polsce instytucjami, których dotyczy umowa FATCA, są banki, towarzystwa funduszy inwestycyjnych, zakłady ubezpieczeń, domy maklerskie, Ministerstwo Finansów i organy podatkowe. Wioleta Szczygielska OCHRONA DANYCH OSOBOWYCH 143 GRUDZIEŃ 2015
WWW.ODO.WIP.PL Europejskie organy ochrony danych o wyroku ws. Safe Harbour Grupa Robocza art. 29 wzywa państwa członkowskie i instytucje unijne do rozpoczęcia dyskusji z władzami Stanów Zjednoczonych w celu znalezienia politycznych, prawnych i technicznych rozwiązań umożliwiających przekazywanie danych na terytorium Stanów Zjednoczonych z poszanowaniem praw podstawowych. W wydanym ostatnio wyroku TSUE stwierdził, że decyzja Komisji Europejskiej w sprawie możliwości przekazywania danych osobowych do Stanów Zjednoczonych jest nieważna, gdyż USA nie zapewnia odpowiedniego poziomu ochrony danych osobowych. Grupa robocza zrzeszająca rzeczników ochrony danych z UE wzywa do opracowania nowych rozwiązań, które umożliwią dalsze przekazywanie danych do USA. Jej zdaniem można je wypracować podczas negocjacji nad międzyrządowym porozumieniem zapewniającym silniejsze gwarancje dla osób, których dane dotyczą. Obecne negocjacje w sprawie nowego porozumienia dotyczącego programu bezpiecznej przystani (Safe Harbour) mogą być częścią tego rozwiązania uważa Grupa. Rzecznicy podkreślają, że rozwiązaniom tym powinny towarzyszyć jasne i wiążące mechanizmy oraz powinny one zawierać przynajmniej zobowiązania w zakresie koniecznego nadzoru nad dostępem władz publicznych, w zakresie przejrzystości, proporcjonalności, mechanizmów dochodzenia roszczeń i praw do ochrony danych. Wioleta Szczygielska Decyzja GIODO o apostazji NSA przeanalizuje ponownie Naczelny Sąd Administracyjny odroczył rozpatrzenie kasacji w sprawie decyzji Generalnego Inspektora Ochrony Danych Osobowych, która nakazywała proboszczowi odnotowanie w księgach parafialnych aktu apostazji. NSA ponownie przejrzy i przeanalizuje sprawy administracyjne związane z kwestią decyzji GIODO w sprawach związanych z odnotowaniem faktu apostazji. W sierpniu zeszłego roku Wojewódzki Sąd Administracyjny w Warszawie uchylił decyzję GIODO nakazującą proboszczowi odnotowanie apostazji w księdze chrztu. Sprawa powstała na kanwie wniosku kobiety, która domaga się sprostowania jej danych w parafialnej księdze chrztu, ponieważ złożyła pisemne oświadczenie, że występuje z Kościoła katolickiego. Wniosła do GIODO, by nakazał proboszczowi wydanie takiego sprostowania. Początkowo GIODO umorzył postępowanie. Jednak po tym, jak sądy administracyjne zmieniły linię orzeczniczą w sprawach apostatów, GIODO nakazał umieszczenie w księdze adnotacji o wystąpieniu kobiety z Kościoła. Tę decyzję zaskarżył proboszcz parafii, w której znajduje się księga z danymi kobiety. Argumentował, że Generalny Inspektor nie powinien ingerować w sferę wyznaniową. WSA uchylił decyzję GIODO i stwierdził, że nie podlega ona wykonaniu. W ocenie tego sądu GIODO nie sprawdził, czy wnioskodawczyni dopełniła procedur wskazanych przez Kościół. Od tego wyroku WSA kasację złożył GIODO. Wioleta Szczygielska OCHRONA DANYCH OSOBOWYCH 14 GRUDZIEŃ 2015