Redakcja

„Oficyna Prawa Polskiego”

Wydawnictwo WiP

ul. Łotewska 9A, 03-918 Warszawa

NIP: 526-19-92-256

KRS: 0000098264 – Sąd Rejonowy dla m.st. Warszawy,

Sąd Gospodarczy XIII Wydział Gospodarczy Rejestrowy

Wysokość kapitału zakładowego: 200.000 zł

„Ochrona danych osobowych”

Redaktor:

Wioleta Szczygielska

Kierownik grupy wydawniczej:

Ewa Ziętek-Maciejczyk

Wydawca:

Monika Kijok

Koordynacja produkcji:

Mariusz Jezierski, Katarzyna Kopeć

Korekta:

Zespół

Projekt graficzny okładki:

Michał Marczewski

Skład i łamanie:

Ireneusz Gawliński

Drukarnia: MDdruk

Nakład: 500 egz.

„Ochrona danych osobowych” wraz z przysługującym Czytelnikom innymi elementami dostępnymi w prenumeracie (e-letter, strona WWW i inne) chronione są prawem autorskim. Przedruk materiałów opublikowanych w „Ochronie danych osobowych” oraz w innych dostępnych elementach prenumeraty – bez zgody wydawcy – jest zabroniony. Zakaz nie dotyczy cytowania publikacji z powołaniem się na źródło.

Publikacja „Ochrona danych osobowych” została przygotowana z zachowaniem najwyższej staranności i wykorzystaniem wysokich kwalifikacji, wiedzy i doświadczenia autorów oraz konsultantów. Zaproponowane w publikacji „Ochrona danych osobowych” oraz w innych dostępnych elementach subskrypcji wskazówki, porady i interpretacje nie mają charakteru porady prawnej. Ich zastosowanie w konkretnym przypadku może wymagać dodatkowych, pogłębionych konsultacji. Publikowane rozwiązania nie mogą być traktowane jako oficjalne stanowisko organów i urzędów państwowych. W związku z powyższym redakcja nie może ponosić odpowiedzialności prawnej za zastosowanie zawartych w publikacji „Ochrona danych osobowych” lub w innych dostępnych elementach prenumeraty wskazówek, przykładów, informacji itp. do konkretnych przypadków.

Informacje o prenumeracie:

tel.: 22 518 29 29 faks: 22 617 60 10

e-mail: cok@opp.com.pl

Od Redakcji

Drogi Czytelniku!

Wioleta

Szczygielska

redaktor prowadząca

Za nami pierwszy spędzony wspólnie miesiąc. Dziękuję za zainteresowanie naszym tytułem. Wierzę, że także w tym numerze odnajdą Państwo interesujące dla siebie tematy. Przygotowaliśmy go z myślą o osobach, które w swojej codziennej pracy stykają się z problemem ochrony danych osobowych. Praktyczne wskazówki, przykłady i gotowe wzory dokumentów z pewnością pomogą w wykonywaniu obowiązków.

Szczególnie polecam artykuł „Obowiązki Administratora Bezpieczeństwa Informacji”. Radca prawny Marcin Sarna wyjaśnia w nim, jakie obowiązki spoczywają na Administratorze Bezpieczeństwa Informacji i jakie konsekwencje, także karne, grożą za ich niewypełnienie.

Ciekawe opracowania znajdą też Państwo w dziale Instrukcje. Piszemy o tym, w jaki sposób uzyskać zgodę na przetwarzanie danych osobowych, aby móc je wykorzystywać zgodnie z prawem i nie narazić się na kontrolę GIODO. Przeczytają tu też Państwo o obowiązkach związanych z ochroną danych osobowych ciążących na placówkach medycznych.

W dziale Porady podpowiadamy, jak zgłosić zbiór danych osobowych do rejestracji GIODO. Warto pamiętać, że fakt zgłoszenia jednego zbioru danych do Generalnego Inspektora nie oznacza, że obowiązek rejestracyjny został spełniony. Zawsze mogą pojawić się nowe zbiory, dotychczasowe należy zaktualizować albo usunąć. W tym dziale radzimy też, jak zachować się podczas kontroli GIODO, jak zorganizować szkolenie z ochrony danych osobowych dla pracowników i czym grozi wysyłanie spamu.

Zachęcam też do skorzystania z gotowych wzorów dokumentów, które przygotowaliśmy dla Państwa. Przy przeprowadzaniu szkolenia dla pracowników szczególnie pomocny będzie przykładowy dekalog ochrony danych osobowych.

Życzę owocnej lektury!

Ochrona danych objętych tajemnicą telekomunikacyjną

Jak wynika z opinii prezesa Urzędu Komunikacji Elektronicznej, sądy cywilne i komornicy nie mają prawa żądać danych osobowych objętych tajemnicą telekomunikacyjną.

Urząd Komunikacji Elektronicznej zajął stanowisko w sprawie udostępniania sądom i komornikom danych osobowych objętych tajemnicą telekomunikacyjną (tzw. dane retencyjne). Prezes UKE stwierdziła, że przepisy Kodeksu postępowania cywilnego nie są wystarczającą podstawą do ingerowania w prawa i wolności obywatelskie. W związku z tym dane te nie powinny być na ich podstawie udostępniane.

Do operatorów telekomunikacyjnych często zwracają się różne podmioty – organy ścigania, służby specjalne i sądy – z prośbą o udostępnianie danych osobowych ich klientów. Firmy te nie wiedzą, czy mogą udostępniać takie dane na podstawie przepisów Kodeksu postępowania cywilnego (art. 248 § 1 oraz art. 761 § 1), o co wnoszą m.in. sądy cywilne czy komornicy.

W zajętym stanowisku prezes UKE Magdalena Gaj podkreśla, że ochrona tajemnicy telekomunikacyjnej jest jednym z praw i wolności obywatela, dlatego jej ograniczenie może odbywać się tylko na podstawie precyzyjnych zapisów prawa. Takie podejście podzielają też eksperci, którzy twierdzą, że możliwość żądania danych objętych tajemnicą telekomunikacyjną może dotyczyć tylko sądów karnych. Potwierdziła to również Komisja Europejska w raporcie z 18 kwietnia 2011 r., stwierdzając, że przepisy retencyjne powinny być stosowane wyłącznie do najcięższych przestępstw.

Wioleta Szczygielska

Prawo do bycia zapomnianym

Przedstawiciele europejskich organów ochrony danych rozpoczęli prace nad stworzeniem wytycznych na wypadek niestosowania przez operatorów wyszukiwarek prawa do bycia zapomnianym.

15 lipca 2014 r. Grupa Robocza Art. 29, czyli przedstawiciele europejskich organów ochrony danych, spotkała się w Brukseli, aby omówić konsekwencje wyroku Trybunału Sprawiedliwości Unii Europejskiej dotyczącego prawa do bycia zapomnianym. Celem spotkania było wypracowanie spójnych wytycznych odnośnie do rozpatrywania skarg osób fizycznych składanych do organów ochrony danych w przypadku negatywnych odpowiedzi operatorów wyszukiwarek na wnioski o usunięcie z wyników wyszukiwania linków do informacji o tych osobach.

Wyrok TSUE zostanie wdrożony w całej Europie, w związku z tym konieczna jest analiza różnych podstaw prawnych pozwalających osobom fizycznym powoływać się na prawo do bycia zapomnianym. Grupa Robocza przeanalizowała konkretne metody realizacji tego prawa oraz kwestię potencjalnej odmowy jego realizacji przez operatora wyszukiwarki. Podkreślono, że aby obywatele mogli skutecznie realizować to prawo, muszą dokładnie zrozumieć konkretne przyczyny, z których operator wyszukiwarki, podlegający prawu Unii Europejskiej, może zgodnie z prawem odmówić realizacji tego prawa. Omówiono również kryteria pozwalające na wzięcie pod uwagę, w określonych przypadkach, interesu publicznego przy ocenie wskazanych informacji. Prace nad wytycznymi mają zakończyć się jesienią 2014 roku.

Wioleta Szczygielska

Poznańska Elektroniczna Karta Aglomeracyjna do kontroli

Czy dane osobowe pasażerów komunikacji miejskiej w Poznaniu będą dobrze chronione? Z tym pytaniem zwrócił się Rzecznik Praw Obywatelskich do GIODO.

Do Rzecznika Praw Obywatelskich wpływają skargi kwestionujące działania Zarządu Transportu Miejskiego w Poznaniu. Chodzi o gromadzenie i przetwarzanie danych osobowych pasażerów komunikacji miejskiej wnioskujących o wydanie Poznańskiej Elektronicznej Karty Aglomeracyjnej. Poznaniacy obawiają się, że ZTM będzie bezprawnie gromadził m.in. takie dane, jak ich lokalizacja, historia użycia karty, trasy czy częstotliwość ich podróży. W związku z tym rzecznik chce, żeby GIODO zbadał proces przetwarzania i gromadzenia danych osobowych na potrzeby wydania i obsługi karty PEKA. RPO chce sprawdzenia, czy przyjęte w Poznaniu procedury i systemy informatyczne obsługujące kartę gwarantują ochronę prywatności obywateli.

Wioleta Szczygielska

Przetwarzanie danych dawców szpiku zgodne z konstytucją

Umieszczenie w centralnym rejestrze medycznym informacji o imieniu i nazwisku, miejscu urodzenia, adresie zamieszkania i numerze PESEL kandydata na dawcę szpiku jest zgodne z Konstytucją RP – orzekł Trybunał Konstytucyjny.

Trybunał Konstytucyjny rozpoznał wniosek Rzecznika Praw Obywatelskich, prof. Ireny Lipowicz dotyczący przetwarzania danych osobowych potencjalnych dawców szpiku. RPO zakwestionował przepisy ustawy z 1 lipca 2005 r. o pobieraniu, przechowywaniu i przeszczepianiu komórek, tkanek i narządów (Dz.U. z 2005 r. nr 169, poz. 1411).

Wątpliwości rzecznika wzbudził przede wszystkim zapis umożliwiający gromadzenie w centralnym rejestrze danych potencjalnych dawców szpiku i krwi pępowinowej. Chodzi o takie informacje, jak: imię, nazwisko, miejsce urodzenia, adres zamieszkania i numer PESEL. Trybunał stwierdził jednak, że zbieranie takich informacji nie stanowi nadmiernego ograniczenia prawa dawców do prywatności i autonomii informacyjnej.

Skład orzekający podkreślił, że jest to konieczne dla prawidłowego działania rejestru, a w szczególności dla zapewnienia, że zawarte w nim dane są wiarygodne i bezpieczne. Przechowywanie danych osobowych dawców w sposób zdecentralizowany (przez przyjmujące ich zgłoszenia ośrodki dawców szpiku) powodowałoby, że ta sama osoba mogłaby być wielokrotnie zarejestrowana, a dodatkowo utrudniałoby to dostęp do dawców w przypadku likwidacji ośrodka dawców szpiku lub zakłóceń w jego funkcjonowaniu – podkreślił TK.

Sędziowie przypomnieli także, że zgłoszenia do rejestru są dobrowolne, a zawarte w nich dane mogą być poprawiane i wykreślane – prawa obywateli są więc zagwarantowane. Ponadto, jak podkreślił trybunał, rejestr podlega rygorom ustawy o ochronie danych osobowych, a dotychczasowe kontrole nie wykazały żadnego zagrożenia dla bezpieczeństwa zawartych w nim informacji.

Trybunał zgodził się natomiast z RPO, że udostępnianie wszystkich danych dawców ministrowi właściwemu do spraw zdrowia i Krajowej Radzie Transplantacyjnej narusza ustawę zasadniczą.

TK przypomniał, że minister i KRT nie potrzebują pełnego bieżącego dostępu do wszystkich danych potencjalnych dawców szpiku do wypełniania swoich ustawowych zadań. Nie uczestniczą w żaden sposób w procesie doboru dawca–biorca (zadania te wykonują bowiem kompleksowo Poltransplant i ośrodki dawców szpiku), a jedynie nadzorują (minister zdrowia) lub opiniują (KRT) działanie tego systemu. Organy te nie mają także żadnych procedur postępowania z otrzymanymi informacjami o dawcach – uzasadnił trybunał.

Podstawa prawna:

wyrok Trybunału Konstytucyjnego z 22 lipca 2014 r. (K 25/13)

Wioleta Szczygielska

Mocniejsza ochrona danych w nowej ustawie o statystyce

Dane osobowe obywateli będą lepiej chronione – to jeden ze skutków, jakie ma przynieść znowelizowana ustawa o statystyce. Dodatkowo przedsiębiorcy będą mieli mniej obowiązków informacyjnych, a działania GUS będą bardziej przejrzyste.

Jedna z istotniejszych zmian, jaką wprowadzi znowelizowana ustawa o statystyce publicznej, będzie dotyczyć dostosowania działań statystyki publicznej do nowych standardów związanych z ochroną danych osobowych. Projekt przygotowany przez Główny Urząd Statystyczny uszczegóławia zakres danych osobowych, które mogą gromadzić i przetwarzać służby statystyki publicznej. Będzie to 23-punktowy katalog, na który złożą się takie dane, jak imię i nazwisko, płeć, narodowość, wyznanie, stan cywilny, zawód czy stan zdrowia.

Część z nich, jak np. właśnie stan zdrowia, stopień niepełnosprawności czy pochodzenie etniczne lub rasowe, są danymi wrażliwymi, a ich zbieranie uregulowano w sposób szczególny. Będą one gromadzone na zasadzie dobrowolności. Oznacza to, że każdy obywatel będzie miał prawo odmówić ich ujawnienia.

Projekt zawiera także m.in. 42-punktowy katalog danych, które mają być przetwarzane w powiązaniu z danymi osobowymi do celów statystycznych. Będą to informacje o życiu i sytuacji osób fizycznych. W tym katalogu umieszczony zostanie szeroki wachlarz danych: od informacji o małżeństwach, rozwodach i separacjach, poprzez aktywność obywatelską i społeczno-polityczną, członkostwo i wspieranie organizacji społecznych i politycznych, po budżet czasu.

Te zapisy wzbudzają szczególne kontrowersje. Negatywną opinię na ich temat wyraziła m.in. Fundacja Panoptykon, stwierdzając, że nowelizacja ustawy nie powinna służyć rozszerzeniu katalogu zbieranych danych osobowych oraz nadmiernemu rozbudowywaniu listy podmiotów zobowiązanych do ich przekazywania. „Projektodawcy nie przedstawili argumentów na rzecz niezbędności zbierania i przetwarzania tak szerokiego zakresu informacji o jednostce” – twierdzi fundacja.

Po zmianie ustawy Główny Urząd Statystyczny ma w większym stopniu pozyskiwać dane statystyczne ze źródeł administracyjnych i publicznych rejestrów. Dzięki temu zmniejszą się obowiązki informacyjne zarówno przedsiębiorców, jak i obywateli.

Wioleta Szczygielska

Uzyskiwanie zgody na przetwarzanie danych osobowych

Piotr Janiszewski

radca prawny, ekspert ds. ochrony danych osobowych

Wiele osób, mówiąc o ochronie danych osobowych, ma na myśli wyłącznie zgodę na ich przetwarzanie. Podejście większości podmiotów do tematu ochrony danych osobowych ogranicza się do jej zebrania – mamy zgodę, to chronimy dane osobowe i w konsekwencji działamy legalnie. Takie podejście jest prostą drogą do kontroli GIODO.

Zebranie odpowiedniej zgody od osoby, której dane chcemy przetwarzać, jest tylko jednym z elementów systemu ochrony danych osobowych. Niestety zdecydowana większość klauzul funkcjonujących na rynku jest niepoprawna lub jest w nieprawidłowy sposób wykorzystywana, co powoduje ich nieważność.

Definicja zgody na przetwarzanie danych

W art. 23 ustawy o ochronie danych osobowych (Dz.U. z 2002 r. nr 101, poz. 926 ze zm.) ustawodawca wymienił, jakie przesłanki powinny być spełnione, aby można było przetwarzać dane osobowe (zwykłe) zgodnie z prawem. Zgoda jest jedną z nich. Jak wynika z art. 23 ust. 1 pkt 1 ustawy, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych.

Dlaczego warto o tym pamiętać? Bo nie zawsze zgoda jest nam potrzebna np. jeżeli zawieramy umowę. Wtedy podstawą przetwarzania danych jest art. 23 ust. 1 pkt 3 ustawy, czyli zawarcie i realizacja umowy. Zamieszczanie zgody wszędzie tam, gdzie zbieramy dane osobowe, jest błędem, jeżeli posiadamy inną przesłankę legalizującą ich przetwarzanie, chociażby dlatego, że zgodę można w każdej chwili odwołać.

Zgoda, ale tylko w formie pisemnej, jest także podstawą przetwarzania danych wrażliwych wymienionych w art. 27 ust. 1 ustawy. Projektując klauzulę zgody w tym przypadku, powinniśmy stosować te same zasady jak w odniesieniu do zgody na przetwarzanie danych zwykłych, pamiętając oczywiście o zachowaniu wymogu formy pisemnej.

Ważne

Projektując proces przetwarzania danych, sprawdźmy zawsze, czy zamiast zgody możemy użyć innej przesłanki legalizującej przetwarzanie danych np. prawnie usprawiedliwionego celu. Jeżeli uznamy, że tylko zgoda może być podstawą przetwarzania danych, powinniśmy przygotować odpowiednią klauzulę dostosowaną do określonego stanu faktycznego i przede wszystkim celu, w jakim dane mają być przetwarzane.

Przygotowanie klauzuli zgody

Po pierwsze, powinniśmy wiedzieć, kto może wyrazić zgodę na przetwarzanie danych osobowych. Zgoda jest oświadczeniem woli, więc powinniśmy tutaj sięgnąć do Kodeksu cywilnego. Nie podlega wątpliwości, że zgoda wyrażona we własnym imieniu przez osoby posiadające pełną zdolność do czynności prawnych jest ważna. Co jednak w sytuacji, kiedy zgoda została wyrażona przez osoby niepełnoletnie lub ubezwłasnowolnione?

O ile taka zgoda dotyczyła drobnych bieżących czynności życia powszedniego, jak np. zgoda na otrzymywanie informacji marketingowych czy wzięcie udziału w konkursie, to jest ważna. Inaczej wygląda sytuacja w przypadku zgody na przetwarzanie danych wrażliwych (zdrowie, informacje o wyznaniu itp.). Wtedy zgoda małoletniego lub osoby ubezwłasnowolnionej częściowo lub całkowicie może zostać podważona.

W odniesieniu do takich osób zgodę może wyrazić ich opiekun prawny. Każdy przypadek dopuszczalności pozyskiwania zgody należy jednak rozpatrywać indywidualnie przez pryzmat ważności oświadczenia woli, a więc przepisów Kodeksu cywilnego oraz wydanego w tym kontekście orzecznictwa.

Kolejnym ważnym elementem, który rzutuje na prawidłowość zgody na przetwarzanie danych, jest jej „konstrukcja”. To, jak powinna wyglądać zgoda, zostało uregulowane w art. 7 ust. 5 ustawy. Istotny wkład w tym temacie wniosły również sądy oraz doktryna.

Na co zwrócić uwagę przy zbieraniu zgody

Przede wszystkim zgoda powinna być sformułowana w sposób wyraźny, jednoznaczny i wyróżniać się spośród innych pochodzących od tej osoby informacji i oświadczeń woli (wyrok Naczelnego Sądu Administracyjnego z 11 kwietnia 2003 r., II SA 3942/02). Należy więc uznać, że zgoda nie może być domniemana.

Nie oznacza to, że powinna być zamieszczona na oddzielnej kartce papieru czy stronie internetowej. Chodzi o to, aby nie była połączona z innym oświadczeniem (np. akceptacją regulaminu) i akceptowana jednym przejawem woli (np. podpisem lub postawieniem krzyżyka). Tego typu sytuacja ma miejsce najczęściej w odniesieniu do umów, kiedy to zgoda jest jednym z postanowień umownych i jest akceptowana wraz z innymi postanowieniami poprzez złożenie podpisu pod całym tekstem umowy.

Więcej znajdziesz w wersji pełnej publikacji

Tematy publikacji w pełnej wersji

Ochrona danych objętych tajemnicą telekomunikacyjną

Prawo do bycia zapomnianym

Poznańska Elektroniczna Karta Aglomeracyjna do kontroli

Przetwarzanie danych dawców szpiku zgodne z konstytucją

Mocniejsza ochrona danych w nowej ustawie o statystyce

Uzyskiwanie zgody na przetwarzanie danych osobowych

Dane pacjentów wymagają szczególnej ochrony

Obowiązki Administratora Bezpieczeństwa Informacji

Zgłaszamy zbiór danych osobowych do rejestracji

Jak się zachować podczas kontroli GIODO?

Obowiązek przeprowadzenia szkolenia z ochrony danych

Masowo wysyłana informacja handlowa jest nielegalna