REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Ochrona danych osobowych - błędy działów HR

Subskrybuj nas na Youtube
Dołącz do ekspertów Dołącz do grona ekspertów
Karolina Kołakowska
adwokat w Kancelarii Brzezińska Narolski Adwokaci (http://bnadwokaci.pl/), ekspert z zakresu indywidualnego i zbiorowego prawa pracy oraz ochrony danych osobowych, trener i szkoleniowiec
Ochrona danych osobowych - najczęstsze błędy działów HR wynikające z decyzji UODO.
Ochrona danych osobowych - najczęstsze błędy działów HR wynikające z decyzji UODO.
ShutterStock

REKLAMA

REKLAMA

Ochrona danych osobowych leży przede wszystkim po stronie działów HR. Jakie błędy popełniają? Decyzje UODO wskazują na 4 podstawowe błędy. Jak uniknąć sankcji ze strony UODO?

Potencjalne błędy działów HR w ochronie danych osobowych w oparciu o decyzje UODO

Decyzje wydane przez Urząd Ochrony Danych Osobowych są cenną wskazówką dla pracodawców w zakresie ochrony danych osobowych pracowników. Wynika z nich, z którymi obowiązkami administratorzy danych nie radzą sobie w takim stopniu, że konieczne było wymierzenie kary pieniężnej. Wnioski pozwalają opracować listę potencjalnych błędów, które mogą popełniać działy HR i pomogą uniknąć dotkliwych sankcji ze strony UODO.

REKLAMA

Autopromocja

REKLAMA

Niezależnie od tego, jaką działalność przedsiębiorca prowadzi, jednym z cenniejszych aktywów, które jest zobowiązany chronić są dane osobowe jego pracowników. Na działach HR, zwykle we współpracy z działami IT, spoczywa szczególny obowiązek staranności w wykonywaniu obowiązków administratora danych osobowych.

Jeszcze w styczniu analitycy donosili, że rok 2021 był rekordowy pod względem liczby cyberataków. Ich liczba zwiększyła się w porównaniu do poprzedniego roku o ponad połowę. Teraz, po wybuchu wojny w Ukrainie, zagrożenie jest jeszcze większe i przedsiębiorcy muszą liczyć się z faktem, że celem ataków hakerskich nie muszą być tylko agendy rządowe i wojskowe.

Oto błędy popełniane przez działy HR, które skutkowały wymierzeniem kary pieniężnej przez UODO:

Okresowa weryfikacja podmiotu przetwarzającego

REKLAMA

Jeśli dział HR zamawia identyfikatory dla pracowników, przekazując firmie produkującej plakietki imiona, nazwiska, stanowiska pracowników albo zleca obsługę płacową podmiotowi zewnętrznemu, w relacji między administratorem danych osobowych (pracodawcą) a zleceniobiorcą, dochodzi do powierzenia przetwarzania danych osobowych. Sytuacja ta wymaga zawarcia umowy powierzenia przetwarzania danych osobowych, której konieczne postanowienia określa RODO. Przepisy rozporządzenia przewidują między innymi, że administrator danych osobowych musi mieć zapewnioną możliwość przeprowadzania w podmiocie przetwarzającym audytów i inspekcji, co ma służyć sprawdzeniu, czy powierzając dane osobowe podmiotowi zewnętrznemu, administrator nadal zapewnia im odpowiedni poziom ochrony (cały czas jest za dane osobowe odpowiedzialny).

Dalszy ciąg materiału pod wideo

Problem polega jednak na tym, że często po podpisaniu umowy powierzenia przetwarzania danych osobowych, administrator „zapomina”, że sam fakt zawarcia umowy nie zwalnia go z dbałości o bezpieczeństwo danych. W konsekwencji, dopasowując skalę sprawdzenia podmiotu przetwarzającego do zakresu i okoliczności powierzenia danych osobowych, potrzebna jest okresowa weryfikacja, czy podmiot przetwarzający zapewnia odpowiedni poziom ochrony, np.: poprzez czynności sprawdzające w siedzibie podmiotu, czy przeprowadzenie ankiety bezpieczeństwa.

Odcięcie byłych pracowników od dostępu do danych osobowych

Działalność współczesnego działu HR w dużej mierze opiera się na dostępie do nowych technologii. Zdarza się, że pracownicy mają zdalny dostęp do systemu kadrowo – płacowego albo do platform takich, jak zusowy Płatnik, czy praca.gov.pl, na których podejmują czynności w imieniu pracodawcy. Każdy pracownik wykonujący w imieniu administratora danych osobowych czynności z danymi osobowymi (np.: wprowadzanie nowych pracowników do systemu), powinien być wyposażony w upoważnienie, które określa zakres czynności, czy kategorii danych, z którymi pracuje pracownik. Przykładowo, pracownik, który ma dostęp do Płatnika powinien mieć upoważnienie do przetwarzania danych o stanie zdrowia pracowników, którymi są dane o zwolnieniach lekarskich zamieszczanych na platformie ZUS. Może się zdarzyć, że potrzeba dostępu do takich danych wygaśnie jeszcze w trakcie trwania stosunku pracy, na przykład w wyniku zmiany stanowiska pracy, a zawsze wygaśnie z chwilą zakończenia stosunku pracy. Najpóźniej w tym dniu pracownikowi muszą zostać odebrane wszelkie dostępy do danych osobowych pracowników, na przykład na zewnętrznych platformach. Pominięcie tej czynności i pozostawienie byłemu pracownikowi dostępu do zbiorów danych pracodawcy prowadzi do naruszenia danych, polegającego na tym, że dostęp do nich ma osoba nieupoważniona.

Niezabezpieczone nośniki danych

W przeszłości dane osobowe były gromadzone tylko w kartotekach, w pomieszczeniach, do których dostęp miały jedynie wyznaczone osoby. Obecnie zabieramy ze sobą całe zbiory danych – czy to przechowywanych w laptopie, w telefonie, czy na pendrive, łączymy się z serwerami danych z dowolnego miejsca na świecie. Powoduje to, że ryzyko przypadkowej utraty nośnika danych czy dostępu do nich przez osobę nieupoważnioną, gwałtownie rośnie. Przepisy o ochronie danych osobowych opierają się na zasadzie, że stopień stosowanych zabezpieczeń musi być adekwatny do stopnia ryzyka. Jeśli zatem na nośnikach danych, które mogą być wynoszone poza obszar, w którym mają do nich dostęp tylko upoważnione osoby są dane osobowe, to odpowiednio do rodzaju tych danych muszą być zapewnione środki bezpieczeństwa, polegające chociażby na stosowaniu oprogramowania szyfrującego. Organizacyjnym środkiem bezpieczeństwa może z kolei być określenie zasad dopuszczalności stosowania zewnętrznych nośników danych.

Zaniechanie dokumentowania naruszeń

Obowiązek dokumentowania naruszeń ochrony danych osobowych jest wprost sformułowany w przepisach RODO. Administratorom danych zdarza się jednak zapomnieć, że obowiązek ten dotyczy nie tylko tych zdarzeń, które skutkowały zawiadomieniem UODO lub osób, których naruszenie dotyczyło. Tzw. „rejestr naruszeń” powinien dokumentować wszystkie zdarzenia, które wiązały się na naruszeniem zasad przetwarzania danych osobowych, a więc nawet wysłanie maila do niewłaściwej osoby, czy przypadkowe usunięcie folderu z danymi, nawet jeśli szybko dało się je przywrócić z kopii zapasowej. Jest to narzędzie, które pozwala wewnętrznie monitorować obszary, na których potencjalnie może dojść do takiego zdarzenia, które doprowadzi np. do rozpowszechnienia danych o wynagrodzeniach pracowników. W konsekwencji, pozwala reagować i dostosować stosowane zabezpieczenia (techniczne i organizacyjne).

Podsumowanie

Kilka lat obowiązywania RODO pokazało, że nadal potrzebne jest kształtowanie świadomości, iż ochrona danych osobowych to proces ciągły, którego w zasadzie nigdy nie będzie można nazwać zamkniętym. To podejście wymusza na wszystkich członkach organizacji szczególną czujność i wykorzystywanie wiedzy o stosowanych przez administratora środkach bezpieczeństwa. Działy HR w większości firm, nawet takich, których ośrodkiem działania nie jest praca z danymi osobowymi, są kluczowym elementem w strukturze, która ma zapewnić bezpieczeństwo danych. W konsekwencji to właśnie na tych działach spoczywa szczególny obowiązek nieustannej weryfikacji zgodności działalności z zasadami ochrony danych.

Na temat cyberbezpieczeństwa w działach HR będziemy rozmawiać podczas śniadania biznesowego w Łodzi w ramach cyklu „HR FRIDAY”. Pierwsza okazja do spotkania z adw. Karoliną Kołakowska już 25 marca, godz. 9:00-11:00 w Łodzi! Bliższe informacje o wydarzeniu i zapisy: link.

Kancelaria Brzezińska Narolski Adwokaci

Serdecznie zapraszamy do bezpłatnego udziału!

Zapisz się na newsletter
Kodeks pracy, urlopy, wynagrodzenia, świadczenia pracownicze. Bądź na bieżąco ze zmianami z zakresu prawa pracy. Zapisz się na nasz newsletter.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Źródło: INFOR

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

© Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

Uprawnienia rodzicielskie - QUIZ
certificate
Jak zdobyć Certyfikat:
  • Czytaj artykuły
  • Rozwiązuj testy
  • Zdobądź certyfikat
1/10
Ile tygodni urlopu macierzyńskiego można maksymalnie wykorzystać jeszcze przed porodem?
nie ma takiej możliwości
3
6
9 - tylko jeśli pracodawca wyrazi na to zgodę
Następne

REKLAMA

Kadry
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
6 sytuacji, kiedy cudzoziemiec nie musi posiadać zezwolenia na pracę

Osoba z kraju trzeciego, która chce podjąć zatrudnienie w Polsce powinna posiadać legalny tytuł pobytowy oraz zezwolenie na pracę. Jest kilka sytuacji, kiedy cudzoziemiec nie musi mieć zezwolenia na pracę w Polsce, aby było legalne. Przepisy prawne wyliczają 6 punktów.

Skrócenie 33-dniowego terminu płacenia chorobowego przez pracodawcę? Jest nowy pomysł

Rząd wycofał się z pomysłu płacenia chorobowego przez ZUS od początku zwolnienia lekarskiego pracownika. Przedsiębiorcy negatywnie oceniają ten ruch i proponują kolejne rozwiązanie. Tym razem chodzi o skrócenie 33-dniowego terminu płacenia chorobowego przez pracodawcę.

Wysokość minimalnego wynagrodzenia po 1 stycznia 2026 r. a wpływ na Pracownicze Plany Kapitałowe (PPK)

Od 1 stycznia 2026 r. minimalne wynagrodzenie ulegnie podwyższeniu, co będzie miało bezpośredni wpływ na wysokość wpłat do Pracowniczych Planów Kapitałowych (PPK). Zmiana podstawy wynagrodzenia przełoży się nie tylko na kwoty odkładane na rachunkach uczestników, ale także na możliwość obniżenia własnych wpłat przez część pracowników.

ZUS może zakwestionować zgłoszenie do emerytury sprzed 20 lat. I zabrać wszystkie składki. Naprawdę przepadają [art. 24 ust. 6g i art. 48d ustawy systemowej]

Księgowa straciła w praktyce przyszłą emeryturę. Choć wpłaciła do ZUS składki na 450 000 zł. Składki (i przyszła emerytura) przepadły. Legalnie.

REKLAMA

Nadchodzą zmiany w Funduszu Pracy, który odpowiada za: zasiłki, dodatki aktywizacyjne, koszty kształcenia ustawicznego

W wykazie prac legislacyjnych Rady Ministrów opublikowano założenia projektu rozporządzenia nr RD229, przygotowanego na podstawie art. 277 ustawy o rynku pracy i służbach zatrudnienia (z dnia 20 marca 2025 r.). Ma ono uszczegółowić oraz uporządkować reguły dotyczące gospodarowania środkami Funduszu Pracy, aby zapewnić transparentność i zgodność z nowymi ramami prawnymi.

Edukacja a praca ludzi młodych: ile osób w wieku 15-34 lat pracuje, uczy się, jest w grupie NEET [Badanie GUS]

GUS raz na 8 lat przeprowadza badanie modułowe „Osoby młode na rynku pracy”. Można dowiedzieć się z niego ciekawych informacji, takich jak: ile osób młodych pracuje i uczy się jednocześnie, uczy się, przerywa naukę czy jest w grupie NEET. Co to oznacza? Jakie są przyczyny porzucania edukacji przez Polki i Polaków?

Zmiany w systemie ubezpieczeń, to koniec instytucji: CIE. Prezydent podpisał ustawę. Jakie konsekwencje?

Prezydent RP podpisał ustawę uchylającą przepisy o Centralnej Informacji Emerytalnej (CIE). Chodzi o ustawę z dnia 5 sierpnia 2025 r. o zmianie ustawy o emeryturach i rentach z Funduszu Ubezpieczeń Społecznych. Ustawa została podpisana w dniu 21 sierpnia 2025 r. Większość funkcji, które miały być realizowane przez odrębny system CIE, zostanie włączona do Platformy Usług Elektronicznych Zakładu Ubezpieczeń Społecznych (PUE ZUS).

Projekt: Uczelnia – przestrzeń bezpieczna od mobbingu i dyskryminacji. Startuje konkurs

Startuje konkurs „Bezpieczna Uczelnia” - wspólna odpowiedzialność za budowę kampusów wolnych od mobbingu. Projekt „Uczelnia – przestrzeń bezpieczna od mobbingu i dyskryminacji – działania na rzecz wspierania polityki antymobbingowej i działań niepożądanych na polskich uczelniach” ma na celu uzyskanie diagnozy w jaki sposób uczelnie wyższe w Polsce radzą sobie z problemem mobbingu i dyskryminacji w miejscu pracy i nauki. Zadanie finansowane ze środków Ministra Nauki i Szkolnictwa Wyższego i realizowane pod Patronatem Honorowym Głównego Inspektora Pracy oraz Ministra Rodziny, Pracy i Polityki Społecznej.

REKLAMA

Czy rodzic dziecka z niepełnosprawnością ma prawo do dłuższego urlopu?

Orzeczenie o niepełnosprawności dziecka nie uprawnia rodzica do dłuższego urlopu wypoczynkowego. Z informacji Ministerstwa Rodziny, Pracy i Polityki Społecznej wynika, iż w najbliższym czasie przepisy w tym zakresie nie ulegną zmianie.

Wrzesień 2025: kadry i płace. O tym trzeba pamiętać

Wrzesień 2025: kadry i płace. O tym trzeba pamiętać. Dlaczego? Bo wrzesień to miesiąc intensywnych prac dla działów kadr i płac. Z jednej strony trzeba uwzględnić standardową normę czasu pracy i dodatki, z drugiej – zmiany wskaźników, nowe obowiązki raportowe i terminy składania dokumentów do różnych instytucji. Poniżej znajduje się kompleksowy przegląd tego, o czym nie można zapomnieć w całym wrześniu 2025 r.

REKLAMA