Zachowaj zgodność z przepisami

Ochrona danych w fazie projektowania i domyślna ochrona danych

Pełniąc rolę administratora danych, musisz wdrożyć - zarówno podczas projektowania operacji przetwarzania, jak i w trakcie samego przetwarzania - odpowiednie środki i zabezpieczenia, celem zapewnienia zgodności z zasadami dotyczącymi ochrony danych. Musisz również upewnić się, że domyślnie przetwarzane są tylko te dane osobowe, które są niezbędne do osiągnięcia każdego konkretnego celu (dotyczy to ilości danych, zakresu przetwarzania, ograniczenia okresu przechowywania oraz dostępności danych).

Innymi słowy: organizacja, która chroni dane już w fazie projektowania poszczególnych rozwiązań i stosuje zasadę domyślnej ochrony danych to organizacja, która uwzględnia ochronę danych oraz prywatność osób fizycznych w każdym aspekcie swoich działań oraz w każdej fazie operacji przetwarzania, w wykorzystywanych przez siebie narzędziach oraz w każdej innej aktywności związanej z prowadzeniem swojej działalności.

W tym celu przed rozpoczęciem jakichkolwiek operacji przetwarzania organizacja musi wziąć pod uwagę:

• charakter, kontekst i zakres planowanej operacji przetwarzania;
• ryzyko, które może wynikać z planowanych operacji przetwarzania lub jakiejkolwiek innej aktywności gospodarczej, która może mieć wpływ na dane osobowe osób fizycznych;
• środki techniczne i organizacyjne, które należy wprowadzić w celu ograniczenia zidentyfikowanego ryzyka, a tym samym zapewnienia odpowiedniej ochrony danych osobowych osób fizycznych;
• środki lub procedury techniczne i organizacyjne, które należy wprowadzić w celu zapewnienia, że zakres przetwarzania danych osobowych (szczególnie zbieranie, przechowywanie i ogólne wykorzystywanie danych osób fizycznych) jest ograniczony do informacji niezbędnych w świetle wyznaczonych celów.

W praktyce

• Pewna księgarnia pragnie zwiększyć swoje przychody, sprzedając książki w Internecie. Właściciel księgarni chce stworzyć standardowy formularz zamówienia. W pierwszej chwili oznacza wszystkie pola formularza (w tym datę urodzenia klienta, numer telefonu i adres zamieszkania) jako obowiązkowe. Jednak nie wszystkie informacje zawarte w formularzu są niezbędne do celów sprzedaży i wysyłki książek.
  Na przykład podczas zamawiania e-booka klient może pobrać produkt bezpośrednio na swoje urządzenie. W związku z tym nie można wymagać od niego wypełnienia tych pól w formularzu. Właściciel sklepu decyduje się zatem na opracowanie dwóch formularzy internetowych: jednego służącego do zamawiania tradycyjnych książek, z polem zawierającym adres klienta, i drugiego do zamawiania e-booków, bez pola na adres klienta. W ten sposób właściciel zapewnia, że zbierane są tylko te dane, których przetwarzanie jest niezbędne
• Zatrudniająca kilku lekarzy przychodnia zbiera dane o pacjentach w swoim systemie informatycznym. Poszczególni lekarze mogą potrzebować dostępu do dokumentacji pacjenta - na przykład gdy zastępują innego lekarza -  aby podejmować właściwe decyzje dotyczące opieki i leczenia oraz aby udokumentować wszystkie podjęte działania diagnostyczne, opiekuńcze i terapeutyczne. Domyślnie dostęp jest przyznawany tylko tym lekarzom, którzy są przypisani do danego pacjenta.

Prowadzenie rejestrów owych ocen i środków pozwala wykazać uwzględnianie ochrony danych w fazie projektowania oraz stosowanie zasady domyślnej ochrony danych. Elementem wykazującym zgodność z powyższymi zasadami może być również zatwierdzony mechanizm certyfikacji.

Obowiązek prowadzenia rejestrów przetwarzania danych

Każda organizacja ma obowiązek prowadzenia rejestru swoich czynności związanych z przetwarzaniem danych. Rejestry te powinny być prowadzone w formie pisemnej, w tym w formie elektronicznej.

Rejestr taki zawiera listę czynności przetwarzania. W celu utworzenia rejestru należy określić, jakie działania wymagają przetwarzania danych osobowych (np. rekrutacja, zarządzanie płacami, szkolenia, zarządzanie identyfikatorami i dostępem, lista potencjalnych klientów itp.). Każda z tych operacji przetwarzania musi być opisana w rejestrze z uwzglednieniem następujących informacji:

• cel przetwarzania (np. zapewnienie lojalności klientów);
• kategorie przetwarzanych danych (np. w przypadku listy płac: imię, nazwisko, data urodzenia, wynagrodzenie itp.);
• kto ma dostęp do danych (odbiorcy – np.: dział odpowiedzialny za rekrutację, dział IT, kadra kierownicza, usługodawcy, partnerzy...);
• w stosownych przypadkach informacje dotyczące przekazywania danych osobowych poza Europejski Obszar Gospodarczy (EOG);
• w miarę możliwości okres przechowywania (okres, przez który dane są przydatne operacyjnie oraz z punktu widzenia ich archiwizacji);
• w miarę możliwości ogólny opis środków bezpieczeństwa.

Odpowiedzialność za prowadzenie rejestru czynności przetwarzania spoczywa na osobie zarządzającej organizacją. Rejestr ten musi być dostępny na żądanie organu ochrony danych w kraju EOG, w którym prowadzona jest działalność. 

Organizacje zatrudniające mniej niż 250 osób nie muszą uwzględniać w swoich rejestrach działalności o charakterze czysto sporadycznym (np. danych przetwarzanych w związku z jednorazowymi wydarzeniami, takimi jak otwarcie sklepu).

Jak przeprowadzić ocenę skutków dla ochrony danych (ang. Data Protection Impact Assessment - DPIA)?

Czym jest DPIA?

Jeżeli przetwarzanie może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych, administrator danych musi przeprowadzić ocenę skutków dla ochrony danych (DPIA). Taka ocena jest pisemną oceną planowanej operacji przetwarzania. Pomaga ona zidentyfikować odpowiednie zabezpieczenia w celu ograniczenia ryzyka i wykazania zgodności z przepisami.

Kiedy należy przeprowadzić DPIA?

Chociaż zawsze lepiej jest przewidzieć wpływ planowanych przez organizację operacji przetwarzania poprzez przeprowadzenie oceny skutków dla ochrony danych, to jest ona obowiązkowa wówczas, gdy przetwarzanie może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych.

Z taką sytuacją mamy w szczególności do czynienia w przypadku, w którym planowane przetwarzanie obejmuje:

• przetwarzanie – na dużą skalę – wrażliwych danych osobowych i danych dotyczących wyroków skazujących;
• systematyczną i szeroko zakrojoną ocenę osobistych cech danej osoby fizycznej, opartą na zautomatyzowanym przetwarzaniu, w tym profilowaniu, oraz ocenę, na podstawie której podejmowane są decyzje wywołujące skutki prawne dotyczące danej osoby lub w podobny sposób znacząco wpływające na osoby fizyczne;
• systematyczne, prowadzone na dużą skalę monitorowanie publicznie dostępnego obszaru.

W większości przypadków, ocena skutków dla ochrony danych powinna być prowadzona w przypadku operacji przetwarzania spełniających dwa z następujących kryteriów:

1. ocena lub scoring;
2. zautomatyzowane podejmowanie decyzji wywołującej skutek prawny lub podobny znaczący skutek;
3. systematyczne monitorowanie;
4. dane wrażliwe lub dane o charakterze wysoce osobistym;
5. dane przetwarzane na dużą skalę:
6. dopasowywanie lub łączenie zbiorów danych;
7. dane dotyczące osób wymagających szczególnej opieki;
8. innowacyjne wykorzystanie lub stosowanie nowych rozwiązań technologicznych bądź organizacyjnych;
9. gdy przetwarzanie samo w sobie uniemożliwia osobom fizycznym wykonywanie jakiegoś prawa bądź korzystanie z usługi lub umowy.

Kluczowa wskazówka dotycząca DPIA 

Skontaktuj się z organem ochrony danych w kraju EOG, w którym znajduje się siedziba Twojej organizacji, aby dowiedzieć się, czy posiada on dostępny publicznie dokument z wykazem warunków określających, czy dana operacja przetwarzania będzie wymagała przeprowadzenia oceny skutków dla ochrony danych czy też nie.

Przykłady sytuacji, w których ocena skutków dla ochrony danych może być wymagana:

• przetwarzanie danych biometrycznych, na przykład skanowanie odcisków palców lub rysów twarzy w celu identyfikacji pacjentów;
• wykorzystywanie danych osób wymagających szczególnej opieki do celów marketingowych, na przykład w celu przewidywania ich zakupów;
• aplikacja mobilna śledząca lokalizację danej osoby.

Przykłady sytuacji, w których ocena skutków dla ochrony danych może nie być wymagana

• planowana operacja przetwarzania jest bardzo podobna do przetwarzania, które było już przedmiotem oceny skutków dla ochrony danych;
• przetwarzanie znajduje się w opcjonalnym wykazie operacji przetwarzania (ustanowionym przez krajowy organ ochrony danych) nieobjętych oceną skutków dla ochrony danych;
• operacja przetwarzania jest dopuszczona prawem na mocy prawa UE lub prawa krajowego.

Co należy uwzględnić w DPIA?

Ocena skutków dla ochrony danych powinna obejmować:

• opis planowanej operacji przetwarzania i jej celu;
• ocenę konieczności i proporcjonalności;
• ryzyko, jakie może pociągać za sobą operacja przetwarzania;
• środki przeciwdziałania ryzykom.

Uprzednie konsultacje podczas oceny skutków dla ochrony danych

Jeżeli administrator danych nie może zidentyfikować środków wystarczających do tego, by ograniczyć ryzyko do akceptowalnego poziomu (tj. ryzyko rezydualne jest nadal wysokie), wymagana jest konsultacja z organem ochrony danych. W takiej sytuacji administrator danych musi podać następujące informacje:

• odpowiednie obowiązki administratora, współadministratorów i podmiotów przetwarzających uczestniczących w przetwarzaniu;
• cel operacji przetwarzania i sposób, w jaki operacja przetwarzania będzie prowadzona;
• the measures envisaged to safeguard individuals’ personal data;
• środki przewidziane w celu ochrony danych osobowych osób fizycznych;
  w stosownych przypadkach - dane kontaktowe inspektora ochrony danych w organizacji;
• przedmiotowa ocena skutków dla ochrony danych.

Po przeprowadzeniu DPIA - przetestuj, ulepsz i sprawdź zastosowane rozwiązania!

Po opracowaniu oceny skutków dla ochrony danych należy ją przetestować, w razie potrzeby ulepszyć, przeprowadzić operację przetwarzania, ponownie ocenić, czy ocena skutków dla ochrony danych odpowiada danej operacji przetwarzania i przeprowadzić weryfikację kontrolną.

Kodeksy postępowania

W zależności od kraju EOG, w którym mieści się dana organizacja, mogą istnieć zrzeszenia bądź inne organy reprezentujące administratorów danych lub podmioty przetwarzające. Mogą one opracowywać kodeksy postępowania, w tym mechanizmy ochrony danych, których przestrzeganie pomaga administratorom danych i podmiotom przetwarzającym w zapewnieniu poszanowania danych osobowych osób fizycznych, zgodnie z postanowieniami RODO.

Owe kodeksy postępowania mają w szczególności zapewnić:

• że dane osobowe są przetwarzane w sposób rzetelny i przejrzysty;
• że cele przetwarzania danych osobowych osób fizycznych są zgodne z prawem;
• informacje, jak pseudonimizować dane osobowe;
• przekazywanie przejrzystych informacji osobom fizycznym, których dane osobowe są przetwarzane;
• że odpowiednio wystąpiono o zgodę na przetwarzanie danych osób fizycznych, w szczególności danych osobowych dotyczących dzieci;
• że wprowadzono wszystkie środki techniczne i organizacyjne w celu zapewnienia bezpiecznego przetwarzania danych osób fizycznych;
• przestrzeganie procedur powiadamiania o naruszeniach ochrony danych osobowych;
• przestrzeganie procedur, w tym zabezpieczeń, związanych z przekazywaniem danych osobowych do państw i organizacji spoza EOG;
• przestrzeganie procedur związanych z postępowaniami sądowymi i rozstrzyganiem sporów.

Kluczowa wskazówka

Należy skontaktować się z odpowiednim zrzeszeniem lub organem, który opracowuje kodeksy postępowania związane RODO, gdyż mogą one być przydatne w zapewnieniu zgodności z RODO.

Certyfikacja

Czym jest certyfikacja RODO?

Organizacja, która uzyskała certyfikację RODO, może wykorzystać ją do wykazania zgodności swoich operacji przetwarzania z RODO.

Organy ochrony danych działające w EOG mogą na przykład:

• udzielać certyfikacji RODO w odniesieniu do własnego systemu certyfikacji;
• samodzielnie udzielać certyfikacji RODO w odniesieniu do własnego systemu certyfikacji, ale delegować całość lub część procesu oceny stronom trzecim;
• stworzyć własny system certyfikacji i powierzyć udzielanie owych certyfikacji określonym organom;
• zachęcać rynek do opracowywania mechanizmów certyfikacji;
• oceniać systemy certyfikacji podmiotów certyfikujących.

Zadaniem podmiotu certyfikującego jest udzielanie, dokonywanie przeglądu i cofanie certyfikacji na podstawie mechanizmu certyfikacji i zatwierdzonych kryteriów.

Podmioty certyfikujące muszą udokumentować swoją ocenę operacji przetwarzania prowadzonych przez Twoją organizację, w odniesieniu do których może zostać udzielona certyfikacja RODO.

Moja organizacja otrzymała certyfikację RODO, co dalej?

Certyfikacja RODO dotycząca prowadzonych przez daną organizację operacji przetwarzania jest ważna przez maksymalnie 3 lata, ale może zostać przedłużona lub cofnięta. Aby utrzymać taką certyfikację, organizacja musi stale i konsekwentnie wprowadzać w życie środki związane z objętą certyfikacją operacją ochrony danych.