REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Dokumentowanie naruszeń ochrony danych to inwestycja w bezpieczeństwo

Karolina Kołakowska
adwokat w Kancelarii Brzezińska Narolski Adwokaci (http://bnadwokaci.pl/), ekspert z zakresu indywidualnego i zbiorowego prawa pracy oraz ochrony danych osobowych, trener i szkoleniowiec
Dokumentowanie naruszeń ochrony danych to inwestycja w bezpieczeństwo
Dokumentowanie naruszeń ochrony danych to inwestycja w bezpieczeństwo
ShutterStock

REKLAMA

REKLAMA

Dokumentowanie naruszeń ochrony danych osobowych stanowi inwestycję w bezpieczeństwo. Mail z listą płac wysłany do nieprawidłowego adresata. Atak hakerski na serwer. Utrata danych kadrowych. Zagubienie teczki osobowej. To wszystko przykłady przypadków naruszenia ochrony danych osobowych, które wymagają od administratora danych podjęcia określonych przepisami RODO działań.

Dokumentowanie naruszeń ochrony danych osobowych - inwestycja w bezpieczeństwo

Doświadczenie i decyzje Prezesa Urzędu Ochrony Danych Osobowych wskazują, że administratorzy mają zakodowane w świadomości zgłoszenie naruszenia do Urzędu i zawiadomienie o nim osób, których ono dotyczy. Często jednak zdarza się, że uznając, iż w danym przypadku nie ma podstaw do podjęcia tych czynności, zapominają o innym obowiązku – dokumentowania wszelkich naruszeń, niezależnie od tego, czy ostatecznie zostały zgłoszone do UODO, czy nie.

Autopromocja

Na czym polega obowiązek dokumentowania?

Art. 33 ust. 5 RODO stanowi, że administrator dokumentuje wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia, jego skutki oraz podjęte działania zaradcze. Dokumentacja ta musi pozwolić organowi nadzorczemu weryfikowanie przestrzegania obowiązku zgłoszenia. Przepis nie uzależnia dokumentowania ani od skali naruszenia, ani od jego powagi. Prowadzi to do wniosku, że każde naruszenie powinno być udokumentowane, niezależnie od tego, czy administrator doszedł do wniosku, że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.

UODO na tropie błędów w dokumentacji

W jednej ze spraw, Urząd Ochrony Danych Osobowych o naruszeniu ochrony danych dowiedział się na skutek zawiadomienia przesłanego do Urzędu przez organ sprawujący nadzór na fundacją, u której doszło do naruszenia. Fundacja sama nie dokonała zgłoszenia, ponieważ w jej ocenie, nie było takiej potrzeby. W toku kontroli UODO ustalił, że analiza ryzyka przeprowadzona przez fundację po naruszeniu stanowiła w rzeczywistości wydruk z kalkulatora wagi naruszeń ochrony danych osobowych udostępnianego na stronie internetowej jednego z podmiotów świadczących usługi wsparcia w zakresie ochrony danych osobowych. Prezes UODO zaznaczył w swojej decyzji, że za pomocą kalkulatorów możliwe jest uzyskanie dowolnego wyniku, w zależności od danych wprowadzonych do obliczeń. Dokumenty te nie są opatrzone datą wytworzenia, ani nie zawierają opisu szczegółowych kryteriów, jakimi kierowała się fundacja dokonując oceny za pomocą wspomnianego kalkulatora. Przedstawiony przez fundację wydruk, zgodnie zresztą z zastrzeżeniem dostawcy, może mieć zatem jedynie pomocniczy charakter i nie powinien stanowić podstawy dokonania oceny ryzyka naruszenia praw lub wolności osób fizycznych. Dalej Urząd ocenił, że fundacja w nieprawidłowy sposób udokumentowała naruszenie, co w konsekwencji doprowadziło do błędnych wniosków w ocenie ryzyka i uchybieniu obowiązkom zgłoszenia do UODO naruszenia i zawiadomienia o naruszeniu osób nim dotkniętych.

Jak prawidłowo dokumentować naruszenia?

Po pierwsze, dokumentacja powinna być sporządzona niezwłocznie po stwierdzeniu naruszenia, niezależnie od tego, czy doszło do niego u administratora danych, czy u podmiotu przetwarzającego. Powinna mieć formę utrwaloną i niepozostawiającą możliwości jej modyfikacji w przyszłości, a więc powinny być to podpisane dokumenty, albo co najmniej zapisane pliki PDF.

Po drugie, dokumentacja powinna zawierać ocenę ryzyka. Podczas oceny ryzyka naruszenia praw lub wolności osób fizycznych powstałego w wyniku wystąpienia naruszenia należy ocenić prawdopodobieństwo wystąpienia szkody dla osób, których dane dotyczą, jakie mogą z niego wyniknąć. Konieczne jest uwzględnienie powagi tego zdarzenia, tj. wielkości szkody, jakie zdarzenie to może spowodować w odniesieniu do osoby, której dane dotyczą oraz prawdopodobieństwa wystąpienia tego zdarzenia będącego skutkiem naruszenia. Ryzyko naruszenia praw lub wolności osób fizycznych powstaje, kiedy naruszenie może skutkować fizyczną, materialną lub niematerialną szkodą dla osób fizycznych, których dane naruszono. Szkodami takimi są np.: dyskryminacja, kradzież tożsamości lub oszustwo dotyczące tożsamości, nadużycia finansowe, straty finansowe, nieuprawnione cofnięcie pseudonimizacji, utrata poufności danych osobowych chronionych tajemnicą zawodową, naruszenie dobrego imienia lub inne znaczące skutki gospodarcze lub społeczne dla danej osoby fizycznej. Jeżeli naruszenie dotyczy danych osobowych ujawniających nr PESEL, pochodzenie etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, dane genetyczne, dane dotyczące zdrowia, dane dotyczące życia seksualnego, należy uznać, że występuje duże prawdopodobieństwo takiej szkody. W ocenie ryzyka należy uwzględnić następujące kryteria:

Dalszy ciąg materiału pod wideo
  1. rodzaj naruszenia (np. naruszenie poufności danych o wynagrodzeniu może nieść za sobą poważniejsze skutki niż naruszenie ich dostępności),
  2. charakter, wrażliwość i ilość danych osobowych (np. ujawnienie imienia i nazwiska oraz adresu danej osoby prawdopodobnie nie wyrządzi jej szkody, ale już ujawnienie nr PESEL może skutkować poważniejszymi konsekwencjami),
  3. łatwość identyfikacji osób fizycznych (np. dane osobowe chronione za pomocą odpowiedniego poziomu szyfrowania będą nieczytelne dla osób nieupoważnionych, które nie posiadają klucza deszyfrującego),
  4. waga konsekwencji dla osób fizycznych (fakt, że przypadkowy odbiorca jest zaufany, np. bank, może spowodować, że skutki naruszenia nie będą poważne),
  5. cechy szczególne danej osoby fizycznej,
  6. cechy szczególne administratora danych,
  7. liczba osób fizycznych, na które naruszenie wywiera wpływ (należy jednak pamiętać, że charakter zdarzenia może mieć poważne konsekwencje nawet dla jednej osoby).

Po trzecie, dokumentacja ta powinna zawierać opis podjętych działań zaradczych, a więc zarówno tych, które mają minimalizować skutki opisywanego naruszenia, jak i tych, które maja minimalizować ryzyko podobnych zdarzeń w przyszłości.

Prowadzenie dokumentacji się opłaca

O naruszeniu ochrony danych osobowych Urząd może dowiedzieć się z różnych źródeł. Prowadzenie dokumentacji we właściwy sposób to polisa, którą będzie można wykorzystać, składając Urzędowi wyjaśnienia, dlaczego odstąpiono od zgłoszenia naruszenia do UODO.

O tym, jak zadbać o cyberbezpieczeństwo w dziale HR, powiemy podczas darmowego webinarium, które 9.11 br. o godz. 10.00 - zapisz się już dziś: https://event.webinarjam.com/register/19/38onqb0

Autopromocja

REKLAMA

Źródło: INFOR
Czy ten artykuł był przydatny?
tak
nie
Dziękujemy za powiadomienie - zapraszamy do subskrybcji naszego newslettera
Jeśli nie znalazłeś odpowiedzi na swoje pytania w tym artykule, powiedz jak możemy to poprawić.
UWAGA: Ten formularz nie służy wysyłaniu zgłoszeń . Wykorzystamy go aby poprawić artykuł.
Jeśli masz dodatkowe pytania prosimy o kontakt

Komentarze(0)

Pokaż:

Uwaga, Twój komentarz może pojawić się z opóźnieniem do 10 minut. Zanim dodasz komentarz -zapoznaj się z zasadami komentowania artykułów.
    QR Code

    © Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

    Uprawnienia rodzicielskie
    certificate
    Jak zdobyć Certyfikat:
    • Czytaj artykuły
    • Rozwiązuj testy
    • Zdobądź certyfikat
    1/10
    Ile tygodni urlopu macierzyńskiego można maksymalnie wykorzystać jeszcze przed porodem?
    nie ma takiej możliwości
    3
    6
    9 - tylko jeśli pracodawca wyrazi na to zgodę
    Następne
    Kadry
    Zapisz się na newsletter
    Zobacz przykładowy newsletter
    Zapisz się
    Wpisz poprawny e-mail
    Waloryzacja emerytur 2024 – tabela netto

    Waloryzacja emerytur od 1 marca 2024 roku - o ile procent wzrosną emerytury? Kiedy będzie wypłata pierwszych wyższych emerytur? Tabela przedstawia podwyżki emerytur od 1 marca 2024 roku. Ile wynoszą kwoty netto emerytur po waloryzacji?

    Mama 4+ czyli emerytura matczyna w 2024 roku [WYWIAD]

    Mama 4 plus w 2024 roku - to już 5 lat funkcjonowania świadczenia w Polsce. Czy w tym czasie zmieniły się przepisy? Jakie warunki należy spełnić, aby otrzymać RSU? Ile wynosi rodzicielskie świadczenie uzupełniające do końca lutego, a ile od 1 marca 2024 roku? Jakie dokumenty dołączyć do wniosku? Czy na emeryturze matczynej można pracować? Czy ojcowie pobierają emeryturę matczyną? Na te i inne pytania odpowiada rzecznik ZUS województwa dolnośląskiego Iwoną Kowalską-Matis

    Nie możesz pójść do ZUS i załatwić sprawy? Możesz wysłać pełnomocnika. Trzeba tylko wypełnić formularz ZUS PEL

    Za pomocą formularza ZUS PEL klienci Zakładu Ubezpieczeń Społecznych mogą udzielić pełnomocnictwa do załatwiania swoich spraw. Formularz można pobrać ze strony internetowej www.zus.pl lub z PUE ZUS. Druk jest także dostępny w każdej placówce ZUS.

    W styczniu 2024 r. wzrosło bezrobocie w Polsce! Czy to jest wzrost sezonowy?

    Wzrosło bezrobocie w Polsce. W styczniu stopa bezrobocia wyniosła 5,4%. W grudniu 2023 r. bezrobocie wynosiło 5,1%, a w listopadzie 5,0%.

    REKLAMA

    W całej UE około 11 mln osób zatrudnionych jest w ramach platform internetowych. Trwa kampania BHP w cyfrowym świecie pracy

    W całej UE około 11 mln osób zatrudnionych jest w ramach platform internetowych. To zarządzanie pracą przez sztuczną inteligencję może mieć ogromny wpływ na jakość świadczonej pracy, jej ilość jak i utratę. Świat pracy i rynek się zmieniają - ale w tym wszystkim najważniejszy jest człowiek, nie kapitał. Konieczne jest więc budowanie wiedzy, doświadczenia i zaufania przez informowanie pracowników i zasięganie ich opinii oraz umożliwienie im udziału w projektowaniu i wdrażaniu technologii i systemów cyfrowych w nowej postindustrialnej erze pracy. „Bezpieczeństwo i zdrowie w pracy dotyczy każdego. Jest dobre dla ciebie. Dobre dla firmy” – tak głosi kampania „Bezpieczeństwo pracy w świecie cyfrowym”, która jest prowadzona w latach 2023-2025. Kampania odbywa się w ramach projektu Europejskiej Agencji Bezpieczeństwa i Zdrowia w Pracy.

    Ukraińcy będą przebywać legalnie w Polsce do 30 czerwca 2024 r. Weszła w życie nowelizacja ustawy o pomocy obywatelom Ukrainy

    Pobyt w Polsce obywateli Ukrainy, którzy przybyli w związku z wojną prowadzoną w tym kraju będzie uznawany za legalny do 30 czerwca 2024 r. To zmiana, jaką wprowadziła nowelizacja ustawy o pomocy obywatelom Ukrainy. Nowelizacja obowiązuje od 22 lutego. 

    Nie na każdej uczelni podwyżki o 30%. Na publicznej adiunkt zarabia 6840 zł a na niepublicznej często otrzymuje tylko minimalną krajową 4242 zł!

    Nawet ponad 2500 zł może wynosić różnica w zarobkach doktora, który jest zatrudniony na stanowisku adiunkta na uczelni niepublicznej, w stosunku do doktora - adiunkta, który jest zatrudniony na uczelni publicznej i po podwyżkach zarabia minimalnie 6840 zł. Mało kto wie, że podwyżki wynagrodzeń na uczelniach o 30% nie dotyczą uczelni niepublicznych. Wyższe wynagrodzenie, zgodnie z nowym rozporządzeniem otrzymują tylko pracownicy uczelni publicznych. 

    23 lutego Ogólnopolski Dzień Walki z Depresją. Czym jest depresja?

    W dniu 23 lutego przypada Ogólnopolski Dzień Walki z Depresją. Depresję można i powinno się leczyć. Wiele polskich pracowników zmaga się jednak z problem zwolnienia lekarskiego i uznania depresji za chorobę zawodową - bo takową ona nie jest. 

    REKLAMA

    Jak uzyskać świadczenie wspierające z ZUS: wnioski, terminy, kwoty

    Świadczenie wspierające jest formą pomocy dla osób niepełnosprawnych. W 2024 r. świadczenie dostępne jest dla osób z niepełnosprawnościami z najwyższymi poziomami potrzeby wsparcia, tj. od 87 do 100 punktów. Jak wygląda procedura uzyskania świadczenia wspierającego?

    28 lutego 2024 r. upływa termin przekazania ubezpieczonym informacji ZUS IMIR

    Płatnicy składek są zobowiązani do sporządzenia informacji rocznej (ZUS IMIR) dotyczącej ubezpieczonych, za których w 2023 r. rozliczali składki na ubezpieczenia społeczne i ubezpieczenie zdrowotne. Ww. informację należy przekazać ubezpieczonym do 28 lutego 2024 r.

    REKLAMA