Marzec 2015 issn 2391-5781 nr 6 OCHRONA DANYCH OSOBOWYCH Praktyczne porady Instrukcje krok po kroku Wzory Wywiad z Andrzejem Lewińskim p.o. GIODO Współpraca ABI z GIODO po nowelizacji Nie wszystkie zbiory danych trzeba rejestrować
Oficyna Prawa Polskiego Wydawnictwo WiP ul. Łotewska 9A, 03-918 Warszawa NIP: 526-19-92-256 KRS: 0000098264 Sąd Rejonowy dla m.st. Warszawy, Sąd Gospodarczy XIII Wydział Gospodarczy Rejestrowy Wysokość kapitału zakładowego: 200.000 zł Ochrona danych osobowych Redaktor: Kierownik grupy wydawniczej: Ewa Ziętek-Maciejczyk Wydawca: Monika Kijok Koordynacja produkcji: Mariusz Jezierski, Magdalena Huta Korekta: Zespół Projekt graficzny okładki: Michał Marczewski Skład i łamanie: Ireneusz Gawliński Drukarnia: MDdruk Nakład: 500 egz. Ochrona danych osobowych wraz z przysługującym Czytelnikom innymi elementami dostępnymi w prenumeracie (e-letter, strona WWW i inne) chronione są prawem autorskim. Przedruk materiałów opublikowanych w Ochronie danych osobowych oraz w innych dostępnych elementach prenumeraty bez zgody wydawcy jest zabroniony. Zakaz nie dotyczy cytowania publikacji z powołaniem się na źródło. Publikacja Ochrona danych osobowych została przygotowana z zachowaniem najwyższej staranności i wykorzystaniem wysokich kwalifikacji, wiedzy i doświadczenia autorów oraz konsultantów. Zaproponowane w publikacji Ochrona danych osobowych oraz w innych dostępnych elementach subskrypcji wskazówki, porady i interpretacje nie mają charakteru porady prawnej. Ich zastosowanie w konkretnym przypadku może wymagać dodatkowych, pogłębionych konsultacji. Publikowane rozwiązania nie mogą być traktowane jako oficjalne stanowisko organów i urzędów państwowych. W związku z powyższym redakcja nie może ponosić odpowiedzialności prawnej za zastosowanie zawartych w publikacji Ochrona danych osobowych lub w innych dostępnych elementach prenumeraty wskazówek, przykładów, informacji itp. do konkretnych przypadków. Informacje o prenumeracie: tel.: 22 518 29 29 faks: 22 617 60 10 e-mail: cok@opp.com.pl
SPIS TREŚCI Spis treści AKTUALNOŚCI Dzień Ochrony Danych Osobowych już po raz kolejny........................... 3 Rejestr ABI już działa..................................................... 4 Nie wszystkie dane wrażliwe dostępne dla NIK................................ 4 Dowód osobisty jako zastaw............................................... 5 Przetwarzanie danych osób bezrobotnych.................................... 5 INSTRUKCJE Obowiązki ABI po nowelizacji.............................................. 6 Przetwarzanie wizerunku uczniów i nauczycieli w szkole publicznej.............. 9 Ewidencja osób upoważnionych do przetwarzania danych..................... 11 TEMAT NUMERU Kary finansowe sposobem na zwiększenie ochrony danych wywiad z Andrzejem Lewińskim p.o. GIODO................................ 12 PORADY Nie wszystkie zbiory danych trzeba rejestrować.............................. 16 Odpowiedzialność pracownika za naruszenie ochrony danych.................. 18 Co zrobić, gdy pracownicy nie słuchają poleceń ABI.......................... 20 Współpraca ABI z GIODO po nowelizacji.................................... 22 WZORY DOKUMENTÓW.................................................. 24 OCHRONA DANYCH OSOBOWYCH 141 MARZEC 2015
LIST OD REDAKTORA Szanowni Czytelnicy! Wioleta Szczygielska redaktor prowadząca odo@wip.pl Wciąż nie ustają kontrowersje wokół znowelizowanych przepisów ustawy o ochronie Mimo że ustawa obowiązuje już od jakiegoś czasu, a jej założenia znane są od kilku miesięcy, to wciąż pozostaje kilka kwestii, które nie są jasne. W związku z tym wciąż staramy się Państwu przybliżać i wyjaśniać konsekwencje zmian wprowadzonych przez ustawę. W najnowszym numerze podejmujemy m.in. kwestię współpracy między administratorem bezpieczeństwa informacji a Generalnym Inspektorem Ochrony Danych Osobowych po 1 stycznia 2015 r. Wiemy, że ABI zyskał nowy status. Wiemy też, że GIODO będzie mógł zwrócić się do niego o sprawdzenie przestrzegania zasad ochrony danych osobowych w jednostce, w której ABI pracuje. Jednak na razie jest to zagadnienie czysto teoretyczne i administratorzy bezpieczeństwa informacji wciąż nie wiedzą, jak takie sprawdzenie będzie wyglądać. Zwłaszcza że rozporządzenie, które ma regulować tę kwestię, wciąż nie weszło w życie. Szczególnie polecam więc wywiad z Andrzejem Lewińskim, zastępcą Generalnego Inspektora Ochrony Danych Osobowych, który do czasu powołania nowego GIODO będzie pełnił jego obowiązki. Minister Lewiński wyjaśnia niektóre niezrozumiałe przepisy znowelizowanej ustawy. Odpowiada m.in. na pytanie, jak weryfikować wymóg odpowiedniej wiedzy administratora bezpieczeństwa informacji. Ciekawe są też jego poglądy na kwestie kar, jakie powinny być nakładane za naruszenie zasad ochrony Zachęcam także do zapoznania się z artykułem dr Joanny Łuczak, która wyjaśnia, jaką odpowiedzialność może ponieść pracownik za złamanie zasad ochrony Omówienie to będzie przydatne dla wszystkich pracodawców, którzy chcą dobrze chronić dane osobowe w swoich jednostkach. Życzę owocnej lektury! OCHRONA DANYCH OSOBOWYCH 142 MARZEC 2015
AKTUALNOŚCI Dzień Ochrony Danych Osobowych już po raz kolejny Europejska reforma prawa ochrony danych osobowych, konsekwencje wyroków Trybunału Sprawiedliwości UE w sprawie ochrony prywatności obywateli i skutki zmian, jakie wprowadziła znowelizowana ustawa o ochronie danych osobowych to główne tematy, jakie zostały poruszone podczas konferencji zorganizowanej przez GIODO z okazji IX Dnia Ochrony Danych Osobowych. Ostatnie miesiące to czas dużych zmian w zakresie ochrony Wraz z początkiem roku zmieniła się ustawa o ochronie Jednocześnie trwają prace nad uzgodnieniem ostatecznego kształtu europejskiego rozporządzenia, które ureguluje i ujednolici zasady przestrzegania praw obywateli w związku z ich prywatnością, w tym z ochroną danych osobowych, w całej Unii Europejskiej. Organizowany przez Generalnego Inspektora Ochrony Danych Osobowych Dzień Ochrony Danych Osobowych, który odbył się 28 stycznia 2014 r., był dobrą okazją do omówienia najnowszych i planowanych zmian oraz ich konsekwencji, zarówno dla obywateli, jak i dla firm, które zarabiają, przetwarzając dane osobowe. Czekając na zmiany Unia Europejska już od 2 lat pracuje nad nowym rozporządzeniem, które ma dostosować zasady ochrony danych osobowych do zmieniających się warunków i rozwoju nowych technologii. Wciąż nie znamy ostatecznego kształtu tego aktu. Podczas IX edycji Dnia Ochrony Danych Osobowych eksperci starali się przybliżyć zmiany, jakich możemy spodziewać się po rozporządzeniu. Już wiadomo, że ureguluje ono kilka podstawowych kwestii. Jedną z nich są nowe zasady karania za naruszenie prawa ochrony danych. Podmioty, które się tego dopuszczą, będą mogły spodziewać się nawet 100 mln euro kary lub grzywny w wysokości 5% rocznych przychodów. Zdaniem Andrzeja Lewińskiego, pełniącego obowiązki GIODO, to właśnie kary finansowe, a nie np. kary ograniczenia wolności, są najskuteczniejszym mechanizmem chroniącym obywateli przed niewłaściwym wykorzystywaniem ich danych przez firmy. Inną ze zmian, jaką ma wprowadzić unijne rozporządzenie, jest uregulowanie zasad profilowania obywateli. Przed UE stoi trudne zadanie wyważenia interesów firm i obywateli. Z jednej strony przedsiębiorstwa zarabiają na zbieraniu jak największej liczby danych o obywatelach, tworzą ich profile, by potem dostosować swoją ofertę dla takiego klienta. Ma to swoje zalety. Dzięki sprofilowaniu oferty nie jesteśmy zasypywani masą reklam, które nas nie interesują. Jednak przy zbieraniu tak dużej ilości danych może powstać zagrożenie dla prywatności jednostki. Rodzą się więc pytania, czy firmy nie gromadzą o nas zbyt wielu informacji. Obowiązkowy ABI Rozporządzenie unijne ma też uregulować tzw. prawo do bycia zapomnianym. Zgodnie z wyrokiem Trybunału Sprawiedliwości w tej sprawie, wyszukiwarki internetowe są administratorami danych i obywatele mogą żądać od nich usunięcia z wyników wyszukiwania linków do informacji o nich, które są np. nieaktualne, a naruszają ich dobre imię. Nowe unijne prawo ma uregulować te zasady i sposób ich egzekwowania. Zmiany mają dotyczyć też uregulowania statusu administratorów bezpieczeństwa informacji (czy jak jest w projekcie rozporządzenia inspektora ds. ochrony danych osobowych). Rozporządzenie ma określić, kiedy będzie obowiązek jego powołania (zgodnie z jednym z projektów będzie to konieczne w przypadku instytucji publicznych i w firmach zatrudniających co najmniej 250 osób), jego obowiązki, odpowiedzialność, wymagania wobec niego i jego relacje z administratorem danych i krajowym organem ds. ochrony Rozporządzenie ma też wprowadzić tzw. mechanizm one- -stop-shop. Zakłada on, że przy rozwiązywaniu sporów międzynarodowych w zakresie naruszenia danych osobowych, punktem kontaktowym dla podmiotów zaangażowanych w spór będzie ich krajowy organ ds. ochrony Rozporządzenie ma być gotowe do końca tego roku. Przewiduje się, że będzie zakładało 2-letni okres przejściowy. Po tym czasie rozporządzenie automatycznie zacznie obowiązywać we wszystkich państwach członkowskich UE, bez konieczności jego implementacji. OCHRONA DANYCH OSOBOWYCH 143 MARZEC 2015