Category Archives: Uncategorized

W związku ze zbliżającym się okresem wakacji w niniejszym numerze Informatora, przypominamy, aby w tym czasie nie zapominać o ochronie danych osobowych i pamiętać, że także podczas naszego wypoczynku, mogą znaleźć się osoby, chcące wykorzystać informacje o naszych danych osobowych dla na przykład kradzieży dóbr materialnych, czy kradzieży tożsamości.

Wskazujemy kilka najważniejszych rad jak zadbać o swoje dane osobowe na wakacjach:

1. Nie zostawiaj dowodu osobistego w zastaw – nikt nie może od nas wymagać, abyśmy zostawiali dokument tożsamości (dowód osobisty, paszport, legitymację szkolną) w zastaw. Dokumenty wydawane są w celach ściśle określonych przepisami prawa i zawierają wskazany w nich, zakres danych osobowych, zdecydowanie szerszy niż ten jaki można uznać za niezbędny dla realizacji określonego celu. Najbezpieczniejszą formą zastawu za wypożyczany sprzęt sportowy jest pozostawienie kaucji w formie pieniężnej.
2. Nie pozwól robić kserokopii – sporządzanie kopii dowodów tożsamości możliwe jest wyłącznie w przypadkach wskazanych w przepisach obowiązujących aktów prawnych. Nawet, jeżeli dany przedsiębiorca tłumaczy, że jest to wymagane do dochodzenia ewentualnych roszczeń np. za zniszczony sprzęt, nie powinniśmy się na to zgadzać! Do tych celów wystarczające powinno być spisanie z dokumentu informacji, które będą przydatne przy dochodzeniu ewentualnych roszczeń, np. imienia, nazwiska, czy numeru pesel.
3. Korzystaj ze swojego połączenia z Internetem – jeżeli musisz skorzystać z publicznej sieci WIFI, to weź pod uwagę bezpieczne łączenie. Warto wyłączyć opcję automatycznego łączenia dla sieci publicznych, a przed skorzystaniem z takiej sieci upewnić się, że łączymy się z odpowiednim punktem. Ważne aby korzystać z możliwości połączeń z siecią VPN, która stanowi zabezpieczenie przed atakami hakerskimi. Dobrze jest też korzystać z zabezpieczonych stron i pewnych źródeł. Uważajmy na strony, z wejściem na które wiążą się komunikaty o niezabezpieczonej sieci oraz niezaufanym połączeniu.
4. Zainstaluj na swoim urządzeniu oprogramowanie antywirusowe – dzięki takiemu oprogramowaniu, możesz chronić swój sprzęt przed złośliwym oprogramowaniem, w tym wirusami, oprogramowaniem szpiegującym i ransomware. To bardzo ważne, w dobie powszechnego korzystania z Internetu, dokonywania płatności urządzeniami mobilnymi czy korzystania z bankowości elektronicznej.

Więcej wskazówek znajdą Państwo w publikacji UODO.

Źródło: https://uodo.gov.pl/pl/138/1575

Autor wpisu: Agata Ostojewska
Inspektor Ochrony Danych

Co do zasady, celem instalacji i stosowania monitoringu jest zapewnienie bezpieczeństwa pracownikom oraz mieniu. W Kodeksie pracy przewidziano katalog celów stosowania monitoringu, z którego wynika, że może być on wykorzystywany do:

• zapewnienia bezpieczeństwa pracowników,
• ochrony mienia,
• kontroli produkcji,
• zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę (czyli np. tajemnic przedsiębiorstwa).

Jednak jak do powyższych celów mają się atrapy kamer?

Stanowisko organu ds. ochrony danych osobowych – Prezesa UODO jest w tej kwestii niezmienne – stosowanie atrap powinno być zakazane. Atrapy kamer z jednej strony wprowadzają u potencjalnie monitorowanych poczucie ingerencji w sferę prywatności, a z drugiej mylne poczucie zwiększonego bezpieczeństwa. Niepożądane skutki związane z wykorzystaniem monitoringu, także z atrapami kamer, czy to w otwartej przestrzeni, jak np. boiska szkolne, czy też w zamkniętej, jak np. szatnie czy korytarze, mogą przeważać nad ewentualnymi korzyściami wynikającymi z ich stosowania i tym samym podawać w wątpliwość skuteczność i adekwatność tego narzędzia w realizacji zamierzonego celu w danych okolicznościach.

Podsumowując, stosowanie atrap kamer, według Prezesa UODO, jest niedozwolone z uwagi na stwarzanie złudnego poczucia bezpieczeństwa. Zatem zalecamy, aby atrapy zostały jak najszybciej zdemontowane!

Źródło: Wskazówki Prezesa Urzędu Ochrony Danych Osobowych dotyczące wykorzystywania monitoringu wizyjnego

Autor wpisu: Emilia Polańska
Inspektor Ochrony Danych

Kontrole Urzędu Ochrony Danych Osobowych są prowadzone zazwyczaj w trzech przypadkach: 

1. Rutynowa kontrola branży w której działasz (tzw. kontrola planowa)

Są to planowane kontrole odbywające się zgodnie z ogłaszanym na początku roku przez Prezesa UODO rocznym harmonogramem kontroli, dotyczące wybranej kategorii podmiotów lub zagadnień. Z powodu stanu epidemii COVID-19, Prezes UODO nie opracował planu kontroli sektorowych na rok 2021. Plan kontroli na rok 2022 opisuję poniżej. 

2. Postępowanie skargowe

Skargi mogą wpływać zarówno od osób, których dane są przetwarzane przez organizację, tj. Klientów, pracowników, sygnalistów, kontrahentów, jak i od podmiotów zewnętrznych, którym przepisy nadają uprawnienia kontrolne, sądów i prokuratur. Stosowne informacje mogą również zostać pozyskane przez UODO z mediów, chociażby w zakresie podejrzenia dużego wycieku danych osobowych.  

3. Incydent ochrony danych osobowych zgłoszony do UODO

W przypadku wystąpienia naruszenia bezpieczeństwa (incydentu) danych osobowych w naszej organizacji, który zgodnie z przyjętą wewnętrzną procedurą podlega zgłoszeniu do UODO. 

Kto będzie podlegał kontroli UODO w 2022 r. w ramach harmonogramu? 

Według planu kontroli sektrowych w 2022 r. kontroli będą podlegały:

1. Podmioty, które przetwarzają dane osobowe przy użyciu mobilnych aplikacji – sposób zabezpieczenia i udostępniania danych osobowych przetwarzanych w związku z użytkowaniem tych aplikacji!
2. Banki – przetwarzanie danych osobowych w związku w zakresie profilowania danych osobowych klientów i potencjalnych klientów oraz sposób informowania osób ubiegających się o kredyt o dokonanej ocenie kredytowej, w związku z art. 70a ustawy z 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2020 r. poz. 1896 ze zm.).
3. Organy przetwarzające dane osobowe w Systemie Informacyjnym Schengen i Wizowym Systemie Informacyjnym – przetwarzanie danych osobowych SIS/VIS dostępnych poprzez KSI (Krajowy System Informatyczny) lub bezpośrednio w SISII/VIS na podstawie przepisów ustawy z dnia 24 sierpnia 2007 r. o udziale Rzeczpospolitej Polskiej w Systemie Informacyjnym Schengen oraz Wizowym Systemie Informacyjnym (Dz. U. z 2021 r. poz. 1041).

Warto jednak pamiętać, że kontrole są przeprowadzane również „na bieżąco”

Najczęściej są one podejmowane w dwóch wcześniej wymienionych przypadkach, tj. postępowanie skargowe i zgłoszony incydent.

Jak zatem przygotować organizację na ewentualną kontrolę w zakresie RODO i czy należy obawiać się takiej kontroli?

Wdrożenie procesów przetwarzania danych osobowych zgodnych z RODO jest pierwszym krokiem jaki należy wykonać w organizacji. Nawet jeżeli ten etap masz już za sobą, to należy pamiętać, że tylko regularne monitorowanie i weryfikowanie procesów związanych z przetwarzaniem danych oraz bieżące udoskonalanie i aktualizowanie procedur, pozwoli dostosować politykę firmy do wymogów prawnych, a tym samym uchronić ją przed dotkliwymi karami administracyjnymi i finansowymi na wypadek kontroli RODO. A kary za naruszenie przepisów RODO mogą być bardzo wysokie i sięgać nawet do 20 mln euro.  

Systematyczne audyty i szkolenia  

Zamiast więc zastanawiać się, jak uniknąć kontroli i ewentualnych kar, lepiej wcześniej zdecydować się na systematyczne przeprowadzanie audytów zgodności z RODO oraz cyklicznych szkoleń kadry w swojej organizacji.

Autor wpisu: Paulina Sławicka
Inspektor Ochrony Danych

Pracodawca nie może mieć wglądu w badania lekarskie pracowników.

Zgodnie ze stanowiskiem Urzędu Ochrony Danych Osobowych, przedstawionym w newsletterze nr 5/20, zgodnie z obowiązującymi przepisami prawa, pracodawca nie może uzyskiwać od podmiotu leczniczego informacji o skorzystaniu przez pracownika z konkretnej usługi medycznej. Nie jest on bowiem podmiotem uprawnionym do uzyskiwania takich informacji, a także nie ma podstawy do tego, aby zakwestionować konieczność przeprowadzenia konkretnego badania bądź konsultacji z lekarzem.

Powyższe dotyczy także sytuacji, kiedy to pracodawca zawarł z placówką medyczną umowę na świadczenie usług medycznych dla pracowników oraz gdy pokrywa ich koszty.

Na fakturze, stanowiącej podstawę rozliczenia stron nie mogą więc znaleźć się informacje o konkretnych usługach, z których skorzystali pracownicy, prowadziłoby to bowiem do przetwarzania przez pracodawcę szczególnych kategorii danych pracodawcy, co nie jest dozwolone.

Niedopuszczalnym jest przypisywanie rodzajów usług medycznych, z których skorzystał pracownik, będący pacjentem w zestawieniu z jego imieniem i nazwiskiem. Pracodawca ma prawo wyłącznie do informacji o treści wydanego przez lekarza orzecznika zaświadczenia o braku przeciwwskazań lub o istnieniu przeciwwskazań zdrowotnych danego pracownika do pracy na określonym stanowisku.

Autor wpisu: Agata Ostojewska
Inspektor Ochrony Danych

Źródło: Newsletter UODO dla IOD nr 5/20

KARA DLA: CYFROWY POLSAT S. A.

WYSOKOŚĆ KARY: 1 136 975 PLN

DLACZEGO?

Cyfrowy Polsat S.A. nie wdrożył odpowiednich środków technicznych i organizacyjnych przy współpracy z firmą kurierską. Efektem tego były liczne naruszenia polegające na zagubieniu korespondencji z danymi osobowymi lub dostarczeniu takiej przesyłki do niewłaściwego odbiorcy. Poza tym naruszenia te były identyfikowane z dużym opóźnieniem, co narażało klientów Cyfrowego Polsatu na ryzyko wykorzystania ich danych przez osoby nieuprawnione, np. do tzw. kradzieży ich tożsamości. Byli oni powiadamiani o incydencie po upływie dwóch, a nawet trzech miesięcy od ich wystąpienia. W tym czasie klienci Spółki nie mogli podjąć działań, które ograniczyłyby takie niebezpieczeństwo. Tymczasem zakres danych osobowych w zgubionej bądź dostarczonej niewłaściwemu odbiorcy korespondencji był szeroki: imiona i nazwiska, adres zamieszkania lub pobytu, numer PESEL, adres e-mail, seria i numer dowodu osobistego bądź innego dokumentu tożsamości, numer telefonu oraz dane dotyczące łączących strony umów (np. ID kontraktu, numer umowy, numer dokumentu, numer sprzętowy, numer i kwota faktury VAT, numer konta do wpłat).

WNIOSKI:

Przy współpracy z firmami kurierskimi każdorazowo należy pamiętać o dokładnej weryfikacji i monitorowaniu etapów doręczania przesyłek kurierskich tak, aby jak najszybciej stwierdzić ewentualne naruszenie ochrony danych. Szybka reakcja i działanie da nam więcej czasu na prawidłowe podjęcie decyzji i powzięcie niezbędnych kroków celem zapobieżenia skutkom naruszenia. W takich sytuacjach ważne jest też zwrócenie się o pomoc do Inspektora, który pomoże z oceną ryzyka oraz wesprze w dalszym działaniu.

LINK DO DECYZJI:

https://www.uodo.gov.pl/decyzje/DKN.5130.3114.2020

Autor wpisu: Agata Ostojewska
Inspektor Ochrony Danych