Studia podyplomowe „Zarządzanie bezpieczeństwem informacji”

Politechnika Śląska w Gliwicach, wspólnie z firmą Business @ Witański Consulting Group, włączyła do swojej oferty studia podyplomowe „Zarządzanie bezpieczeństwem informacji”, przygotowujące do zarządzania zagadnieniami związanymi z bezpieczeństwem informacji.

Politechnika Śląska w Gliwicach, wspólnie z firmą Business @ Witański Consulting Group, włączyła do swojej oferty studia podyplomowe „Zarządzanie bezpieczeństwem informacji”, przygotowujące do zarządzania zagadnieniami związanymi z bezpieczeństwem informacji.

Studenci zdobędą wiedzę zarówno w zakresie w kontekście bezpieczeństwa przedsiębiorstwa, jak i ochrony danych osobowych. Istotę studiów podyplomowych „Zarządzanie bezpieczeństwem informacji” stanowi kompleksowe podejście do tego zagadnienia. Dlatego obok najczęściej kojarzonych z bezpieczeństwem informacji zagadnień informatyczno-prawnych, w programie pojawiają się także zagadnienia związane z podstawami zarządzania, bezpieczeństwem fizycznym przedsiębiorstwa oraz zarządzaniem zasobami ludzkimi.

Zajęcia planowane są od października 2016 do września 2017 i obejmują łącznie 190 godzin dydaktycznych.

Tematyka zajęć obejmuje m.in. zagadnienia:

  • Zarządzanie bezpieczeństwem informacji
  • Prawne aspekty bezpieczeństwa informacji
  • Bezpieczeństwo systemów teleinformatycznych
  • Ochrona informacji w sieci publicznej
  • Bezpieczeństwo przedsiębiorstwa
  • Audyt bezpieczeństwa informacji
  • Zarządzanie zasobami ludzkimi w kontekście bezpieczeństwa informacji

Szczegółowe informacje na stronie internetowej.

Wybrani wykładowcy:

  • dr Jan Byrski
  • mgr Maciej Kołodziej
  • prof. nadzw. dr hab. Jerzy Konieczny
  • mgr Roman Kraczla
  • mgr Marcin Szeliga
  • płk Kazimierz Ślusarczyk
  • dr inż. Seweryn Tchórzewski
  • mgr Beata Wanic
  • mgr Mateusz Witański
  • mgr Jarosław Żabówka

Więcej informacji na stronie internetowej.

Patronat merytoryczny nad studiami objęły stowarzyszenia:

  • Krajowe Stowarzyszenie Ochrony Informacji Niejawnych
  • ISACA Katowice Chapter
  • Instytut Informatyki Śledczej

Zapisy i dodatkowe informacje na stronie Politechniki Śląskiej

Można również pobrać folder studiów z dodatkowymi informacjami.

Dzień Bezpłatnych Szkoleń w WSB.

Już w najbliższą sobotę (17 września 2016), Wyższa Szkoła Biznesu w Cieszynie oraz Wyższa Szkoła Biznesu w Dąbrowie Górniczej organizują Dzień Otwarty Studiów Podyplomowych.
Zachęcamy do udziału w bezpłatnych warsztatach z zakresu ochrony danych osobowych.

Już w najbliższą sobotę (17 września 2016), Wyższa Szkoła Biznesu w Cieszynie oraz Wyższa Szkoła Biznesu w Dąbrowie Górniczej organizują Dzień Otwarty Studiów Podyplomowych.

Wszyscy zainteresowani zdobyciem dodatkowych kwalifikacji i poszerzeniem swoich kompetencji będą mieli okazję poznać uczelnię, jej ofertę edukacyjną oraz porozmawiać z wykładowcami. Wydarzenie to daje także możliwość poznania systemu nauki i kształcenia na wybranym kierunku studiów podyplomowych.

Szczególnie zachęcamy do udziału w bezpłatnych warsztatach z zakresu ochrony danych osobowych:

Udział w warsztatach i szkoleniach jest bezpłatny. Każdy uczestnik otrzyma certyfikat udziału w szkoleniu.

Więcej informacji na stronie Uczelni.

Jak wykorzystać Rozporządzenie w sprawie KRI do tworzenia systemu ochrony danych osobowych

W trakcie zorganizowanej przez PTI Konferencji „Bezpieczeństwo danych w sektorze publicznym” miałem przyjemność wygłosić prelekcją na temat wykorzystania „Rozporządzenia Rady Ministrów w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych”, w tworzeniu systemu ochrony danych osobowych.

Wynikający z Rozporządzenia obowiązek stworzenia systemu zarządzania bezpieczeństwem informacji w podmiotach realizujących zadania publiczne (więc nie tylko w urzędach!), zaczyna powoli przebijać się do świadomości osób odpowiedzialnych za bezpieczeństwo informacji. Skutkuje to, częstym na szkoleniach i konferencjach pytaniem: „Co Pan mówi?! Czego wy od nas chcecie?! Nie dość, że mamy stworzyć politykę bezpieczeństwa danych osobowych, to jeszcze mamy mieć drugą politykę bezpieczeństwa informacji?”.

W trakcie prezentacji starałem się pokazać, że nie tylko nie musimy powielać zapisów z polityki bezpieczeństwa danych osobowych w polityce bezpieczeństwa informacji, ale powinniśmy dążyć do scalenia i ujednolicenia tych systemów. Opracowany na podstawie § 20 Rozporządzenia system zarządzania powinien umożliwić prawidłowy dobór zabezpieczeń.

Zgodnie z ustawą o ochronie danych osobowych „Administrator danych jest obowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną(…)”. Ale jakie środki będą „właściwe”? Podmioty realizujące zadania publiczne, dobierając zabezpieczenia powinny opierać się na analizie ryzyka przeprowadzonej zgodnie z Rozporządzeniem (§ 20 ust. 2. pkt 3)).

Oczywiście, polityka bezpieczeństwa i instrukcja zarządzania systemem informatycznych służącym do przetwarzania danych osobowych muszą zawierać wszystkie wymagane elementy. Przykładowo, wykaz zbiorów danych i opis struktury, nie będą częścią systemu zarządzania bezpieczeństwem informacji. Jednak „określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych”, możemy włączyć już do systemu zarządzania bezpieczeństwem informacji.

Prezentację można pobrać ze strony Konferencji.

Zachęcam również do zapoznania się z pozostałymi prezentacjami i udziału w kolejnych edycjach.

 

Jarosław Żabówka

 

Zmiany

Wprowadzamy zmiany w serwisie. Dodajemy stronę z ofertami pracy dla ABI.

Zdecydowałem o wprowadzeniu kilku zmian w naszym serwisie. Na początek dwie:

  1. Zmiana szaty graficznej. Obecny szablon jest uboższy, ale jest również w łatwiejszy w codziennym administrowaniu. Liczę, że prostota przełoży się na mniejszą ilość błędów w działaniu.
  2. Dodałem zakładkę „Praca”. Ofert pracy dla Administratorów bezpieczeństwa informacji jest coraz więcej i w naszym serwisie też nie powinno ich zabraknąć. Na początek prezentujemy oferty z serwisu Jooble.

 

SABI robi DABI, GIODO robi DODO :)

Oferta imprez związanych z Dniem Ochrony Danych Osobowych, jest w tym roku wyjątkowo bogata.
O wszystkich imprezach staramy się informować na naszej stronie „Spotkania”

Oferta imprez związanych z Dniem Ochrony Danych Osobowych, jest w tym roku wyjątkowo bogata. Informowaliśmy już o otwierających sezon: konferencji organizowanej przez Uniwersytet Śląski oraz Dniu Otwartym GIODO organizowanym przez Wyższą Szkołę Biznesu w Dąbrowie Górniczej.

W tym tygodniu najważniejszymi imprezami są zapewne:

O wszystkich imprezach staramy się informować na naszej stronie „Spotkania”

 

 

 

 

Poszukiwany specjalista ds. ochrony danych osobowych!

PERSONA Magdalena Korga z siedzibą w Chorzowie poszukuje kandydata na stanowisko: Specjalista ds. ochrony danych osobowych

 

PERSONA Magdalena Korga z siedzibą w Chorzowie poszukuje kandydata na stanowisko:

Specjalista ds. ochrony danych osobowych

Miejsce pracy: Chorzów

 

KILKA SŁÓW O NAS:

Zajmujemy się doradztwem prawnym w obszarze ochrony danych osobowych – pomagamy zarówno małym i średnim przedsiębiorcom, jak i dużym spółkom w dostosowaniu procesów biznesowych do wymogów prawa ochrony danych osobowych.

Przeprowadzamy audyty zgodności przetwarzania danych osobowych z wymogami prawnymi, wdrażamy systemy ochrony danych osobowych w przedsiębiorstwach prywatnych, jak i instytucjach publicznych, wspieramy organizacje pełniąc funkcję Administratora bezpieczeństwa informacji, prowadzimy szkolenia otwarte i zamknięte z obszaru ochrony danych osobowych.

PROFIL KANDYDATA:

  • Wykształcenie wyższe,
  • Znajomość zagadnień IT związanych z bezpieczeństwem danych przetwarzanych w systemach informatycznych (budowa i zabezpieczenia sieci i systemów informatycznych),
  • Dobra znajomość zagadnień prawnych w obszarze ochrony danych osobowych, w szczególności Ustawy o ochronie danych osobowych i rozporządzeń wykonawczych – mile widziani absolwenci studiów podyplomowych w obszarze ochrony danych osobowych lub absolwenci/studenci zaoczni na wydziale prawa,
  • Co najmniej 2 lata doświadczenia na stanowisku Administratora bezpieczeństwa informacji lub Administratora systemów informatycznych lub innym stanowisku związanym z zarządzaniem bezpieczeństwem danych osobowych,
  • Mile widziana znajomość norm ISO z zakresu bezpieczeństwa informacji,
  • Zainteresowanie tematyką ochrony danych osobowych i bezpieczeństwa informacji – zwłaszcza
    w kontekście rozwiązań IT i chęć rozwoju zawodowego w tym obszarze.

ZAKRES OBOWIĄZKÓW :

  • Udział we wdrażaniu systemu ochrony danych osobowych, w tym w audytach zgodności –
    w szczególności w odniesieniu do przetwarzania i zabezpieczania danych w systemach informatycznych,
  • Wsparcie przy tworzeniu wymaganej prawem dokumentacji dla klientów – w szczególności Instrukcji zarządzania system informatycznym,
  • Opracowywanie opinii w obszarze ochrony danych osobowych,
  • Wsparcie przy rozwiązywaniu bieżących problemów w ramach pełnienia funkcji Administratora bezpieczeństwa informacji.

OFERUJEMY:

  • Możliwość rozwoju w interesującym i przyszłościowym obszarze zawodowym,
  • Pracę w przyjaznym zespole i miłej atmosferze, wśród ludzi, którzy przychodzą do pracy z uśmiechem,
  • Wynagrodzenie adekwatne do posiadanej wiedzy i doświadczenia,
  • Formę współpracy dostosowaną do preferencji i umiejętności kandydata.

ZAINTERESOWANE OSOBY PROSIMY O PRZESŁANIE CV ORAZ LISTU MOTYWACYJNEGO DROGĄ MAILOWĄ NA ADRES persona@korga.eu DO DNIA 22 stycznia 2016 roku.

Informujemy, iż administratorem Pani/Pana danych osobowych będzie Magdalena Korga prowadząca działalność gospodarczą pod nazwą PERSONA, z siedzibą w Chorzowie 41-506, ul. Plac Osiedlowy 2/75. Dane będą przetwarzane w celach rekrutacyjnych teraz i w przyszłości. Podanie danych jest dobrowolne, ale niezbędne dla realizacji celów. Przysługuje Pani/Panu prawo dostępu do treści swoich danych oraz ich poprawiania.

Prosimy o dopisanie w dokumentach aplikacyjnych poniższej klauzuli:

„Wyrażam zgodę na przetwarzanie przez Magdalenę Korga danych osobowych zawartych w mojej ofercie pracy dla potrzeb niezbędnych do realizacji procesu rekrutacji obecnej i przyszłych”.

 

Dzień Otwarty Generalnego Inspektora Ochrony Danych Osobowych

Dzień Otwarty Generalnego Inspektora Ochrony Danych Osobowych w Wyższej Szkole Biznesu w Dąbrowie Górniczej, 14 stycznia 2016 r.

Wypełniony branżowymi imprezami początek roku, szczególnie interesująco zapowiada się na Śląsku. Już następnego dnia po konferencji „Ochrona danych medycznych”, spotykamy się na Dniu Otwartym GIODO w Wyższej Szkole Biznesu w Dąbrowie Górniczej.

Dąbrowska uczelnia od dawna wiedzie prym w kształceniu specjalistów ochrony danych osobowych, a nowy program kierunku „Ochrona danych osobowych w administracji i w biznesie – Administrator Bezpieczeństwa Informacji”, jest rzeczywiście unikatowy i zapewnia absolwentom wyjątkową pozycję na rynku pracy.

Po raz kolejny GIODO rozpoczyna obchody Dnia Ochrony Danych Osobowych w Dąbrowie Górniczej, co dobitnie potwierdza poziom uczelni i stanowi powód do chluby dla studentów i absolwentów.

Program dnia otwartego:

 

DZIEŃ OTWARTY

GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH
Wyższa Szkoła Biznesu w Dąbrowie Górniczej, 14 stycznia 2016 r.


Godz.11.00-11.15
Powitanie Gości oraz rozpoczęcie Konferencji

  • dr Edyta Bielak – Jomaa – Generalny Inspektor Ochrony Danych Osobowych
  • prof. Zdzisława Dacko- Pikiewicz – Rektor Wyższej Szkoły Biznesu w Dąbrowie Górniczej

Godz. 11.15-11.50
„Nowa rola administratora bezpieczeństwa informacji w świetle nowelizacji przepisów o ochronie danych osobowych”

  • Monika Krasińska – Dyrektor Departamentu Orzecznictwa, Legislacji i Skarg Biura GIODO

Godz. 11.50 -12.30
„Reforma ram prawnych ochrony danych osobowych w Unii Europejskiej. Zakres zmian i konsekwencje dla branży marketingu bezpośredniego”

  • dr Paweł Litwiński – Instytut Allerhanda w Krakowie

Godz. 12.30- 12.45 Przerwa Kawowa

Godz. 12.45- 13.45
Debata panelowa „Aktualne problemy ochrony danych osobowych w marketingu bezpośrednim”

  • Bogusława Pilc – Dyrektor Departamentu Inspekcji Biura GIODO
  • dr Grzegorz Sibiga – Instytut Nauk Prawnych PAN
  • Xawery Konarski –Traple Konarski Podrecki i Wspólnicy sp.j. w Krakowie

Godz. 13.45- 14.30
Dobre praktyki działania w marketingu bezpośrednim

  • Maciej Wielkopolan – Prezes Zarządu Polskiego Stowarzyszenia Marketingu Bezpośredniego SMB
  • Michał Kaczorowski – Google Polska

Szczegółowe informacje oraz rejestracja na stronie internetowej WSB w Dąbrowie Górniczej >>>

 

 

Konferencja naukowa „Ochrona danych medycznych”

13 stycznia 2016, Uniwersytet Śląski zaprasza na konferencję „Ochrona danych medycznych”, która odbędzie się na Wydziale Prawa i Administracji Uniwersytetu Śląskiego 13 stycznia 2016 r., godz. 10.00 (Aula nr 5).

Dla osób zajmujących się ochroną danych osobowych, styczeń upłynie pod znakiem spotkań i konferencji. Rozpoczynamy mocnym uderzeniem na Śląsku.  Uniwersytet Śląski zaprasza na konferencję „Ochrona danych medycznych”, która odbędzie się na Wydziale Prawa i Administracji Uniwersytetu Śląskiego 13 stycznia 2016 r., godz. 10.00 (Aula nr 5).

 

Konferencja naukowa

„Ochrona danych medycznych”

Wydział Prawa i Administracji Uniwersytetu Śląskiego

13 stycznia 2016 r. Aula nr 5

10.00 – 10.20Rektor Uniwersytetu Śląskiego prof. zw. dr hab. Wiesław Banyś

dr Edyta Bielak – Jomaa, Generalny Inspektor Ochrony Danych Osobowych

Otwarcie konferencji
10.20 – 10.40dziekan WPiA UŚ prof. zw. dr hab. Czesław MartyszWystąpienie otwierające konferencję
10.40 – 11.20dr hab. Mariusz Jagielski, WPiA UŚDane medyczne jako dane osobowe
11.20 – 11.50dyr. Monika Krasińska, Biuro GIODOKoncepcja bezpieczeństwa danych medycznych w świetle regulacji krajowych oraz unijnych
11.50 – 12.20dr Paweł Litwiński, Instytut AllerhandaOchrona danych osobowych przetwarzanych w dokumentacji medycznej – outsourcing dokumentacji medycznej
12.20 – 12.40pytania do prelegentów, dyskusja
12.40 – 13.10Przerwa kawowa
13.10 – 13.50Piotr Kawczyński, ForSafePraktyczne aspekty zabezpieczenia danych osobowych medycznych, w tym przetwarzanych w modelu outsourcingu.
13.50 – 14.30dr inż. Kajetan Wojsyk, Centrum Systemów Informacyjnych Ochrony ZdrowiaDane osobowe w systemach informatycznych ochrony zdrowia
14.30 – 15.10Aneta Sieradzka, Kancelaria Prawna Świeca&Wspólnicy, Prawowtransplantacji.plDane osobowe i prywatność w transplantologii
15.10 – 15.40adw. Łukasz PrzebindowskiDostęp do danych osobowych zawartych w dokumentacji medycznej jako prawo pacjenta
15.40 – 16.00dyr. Monika Krasińska, Biuro GIODOZakończenie konferencji

 

Szczegóły na stronie konferencji >>>

 

 

Studia podyplomowe: Ochrona danych osobowych w administracji i w biznesie

Wyższa Szkoła Biznesu w Dąbrowie Górniczej

Wyższa Szkoła Biznesu w Dąbrowie Górniczej to jedna z najlepszych uczelni w Polsce. Praktyczne programy nauczania, wykwalifikowana kadra dydaktyczna praktyków, nowoczesne metody kształcenia to wynik ponad 20-letniego doświadczenia w zakresie realizacji studiów podyplomowych

Zachęcamy do skorzystania z możliwości podniesienia swoich kwalifikacji poprzez udział w studiach podyplomowych na kierunku „Ochrona danych osobowych w administracji i w biznesie”.

Studia na tym kierunku to przede wszystkim zajęcia prowadzone przez praktyków, dla których ochrona danych osobowych i bezpieczeństwo informacji to nie tylko codzienna praca, ale przede wszystkim życiowa pasja. Studia dają możliwość zdobycia wiedzy na temat zasad zabezpieczania różnych rodzajów informacji, dzięki czemu absolwenci zyskują wyjątkową pozycję na współczesnym rynku pracy. W trakcie zajęć poznają takie dziedziny jak przetwarzanie danych osobowych, bezpieczeństwo informacji, ochrona informacji niejawnych.

Dodatkowe informacje i szczegółowy program dostępne są na stronie internetowej Wyższej Szkoły Biznesu w Dąbrowie Górniczej.

 

 

Zapraszamy na Meet IT vol. 2 do Krakowa

12 czerwca (czwartek) 2014 odbędzie się drugie, krakowskie spotkanie z cyklu Meet IT. Miejscem spotkania będzie Restauracja&Oranżeria AUGUSTA w Krakowie.

Tematem przewodnim spotkania będzie: Administracja i przechowywanie danych wrażliwych.

Prelegenci odpowiedzą na pytania:

  • co to są dane wrażliwe?
  • o czym należy pamiętać przetwarzając dane osobowe?
  • jak bezpiecznie zarządzać informacjami?

szczegóły i rejestracja na www.meetit.org.pl

Agenda Meet IT

MeetIT to cykl spotkań organizowanych przez 3S dla menedżerów, specjalistów i sympatyków IT w firmach i instytucjach. Spotkania odbywają się od października 2012 roku. Partnerami organizacyjnymi są Polskie Towarzystwo Informatyczne oddział Górnośląski oraz nieformalna grupa IT Katowice skupiona wokół serwisu społecznościowego Goldenline.

Udział dla uczestników jest bezpłatny.

Każde ze spotkań składa się z części merytorycznej i nieformalnej. Podczas spotkań swoją wiedzą i doświadczeniami dzielą się eksperci, specjaliści reprezentujący globalne i lokalne marki związane z IT.

Wśród dotychczasowych prelegentów na Meet IT o swoich doświadczeniach opowiadali m.in. przedstawiciele: Fujitsu, IBM, Siemens, Grupa ONET, Nasza-Klasa, Microsoft, Sejf danych i wielu innych.

Szczegółowa agenda i rejestracja na stronie Meet IT

 

 

 

Bezpłatne szkolenie dla Administratorów Bezpieczeństwa Informacji

W dniu 12 maja o godz. 12.00 w Wyższej Szkole Biznesu w Dąbrowie Górniczej odbędzie się bezpłatne szkolenie dla osób zajmujących się bezpieczeństwem informacji oraz ochroną danych osobowych, ze szczególnym uwzględnieniem pracowników szkół oraz jednostek oświaty. Wydarzenie będzie połączone z projekcją filmu „Tajemniczy Świat informacji”.

 

Program szkolenia:

Termin: 12.05.2014 r. godz. 12.00-13.30

Miejsce: Wyższa Szkoła Biznesu w Dąbrowie Górniczej, Audytorium Maksimum.

 

Program:

godz. 12.00 Powitanie przez płk Tadeusza Koczkowskiego – Prezesa Krajowego Stowarzyszenia Ochrony Informacji Niejawnych
godz. 12.05 Prezentacja filmu „Tajemniczy Świat informacji”
godz. 12.30 Szkolenie „Ochrona danych osobowych w szkołach /jednostkach oświaty” – prowadzący Jarosław Żabówka
godz. 13.15 Dyskusja, pytania
godz. 13.30 Zakończenie szkolenia

Szczegóły na stronie Wyższej Szkoły Biznesu.

 

 

Sprawozdanie GIODO za 2012 rok.

28 października 2013 roku, Generalny Inspektor Ochrony Danych Osobowych złożył sprawozdanie z działalności w 2012 roku.

Tradycyjnie już, przygotowałem dla Państwa mój subiektywny przegląd najważniejszych problemów, na które zwrócili uwagę kontrolerzy GIODO. Mam nadzieję, że ułatwi to nieco pracę tym z Państwa, którzy nie mają czasu na czytanie całego sprawozdania. Trzeba jednak powiedzieć, że sprawozdanie GIODO może być najlepszym źródłem informacji i jest lekturą obowiązkową dla wszystkich profesjonalnie zajmujących się ochroną danych osobowych.

W 2012 r. Generalny Inspektor Ochrony Danych Osobowych przeprowadził łącznie 165 kontroli zgodności przetwarzania danych osobowych z przepisami ustawy o ochronie danych osobowych. W tym:

  • 8 kontroli w podmiotach z sektora administracji publicznej – w Ministerstwie Pracy i Polityki Społecznej, w Wojewódzkim Urzędzie Pracy, Powiatowych Urzędach Pracy, w urzędach miejskich, w Miejskim Ośrodku Pomocy Społecznej oraz w Miejskich Ośrodkach Pomocy Rodzinie.
  • 11 kontroli przetwarzania danych osobowych w Krajowym Systemie Informatycznym (KSI) umożliwiającym organom administracji publicznej i organom wymiaru sprawiedliwości wykorzystywanie danych gromadzonych w Systemie Informacyjnym Schengen oraz w Wizowym Systemie Informacyjnym.
  • 16 kontroli w podmiotach sektora bankowego.
  • 5 kontroli u operatorów publicznej sieci telekomunikacyjnej, dostawców publicznie dostępnych usług telekomunikacyjnych.
  • 9 podmiotów służby zdrowia, w tym siedem ośrodków dawców szpiku.
  • 10 podmiotów należących sektora szkolnictwa wyższego – Ministerstwo Nauki i Szkolnictwa Wyższego, osiem uczelni oraz Ośrodek Przetwarzania Informacji Instytut Badawczy.
  • 11 kontroli w podmiotach prowadzących hotele.
  • 109 kontroli w innych podmiotach.

Ważniejsze problemy, o których mowa w sprawozdaniu:

  • Jako jedną z bardziej interesujących kontroli uznano kontorlę przeprowadzoną w Powiatowym Urzędzie Pracy, w toku której ustalono, że pracownicy PUP mieli dostęp do danych przetwarzanych w MOPS, natomiast pracownicy MOPS mieli dostęp do danych przetwarzanych w PUP. Dostęp był realizowany poprzez system informatyczny.

Pozwolę sobie tutaj na małą dygresję.

Dostęp był realizowany prawdopodobnie poprzez system SEPI. Jest to system, który pozwala na wymianę dowolnych informacji, pomiędzy różnymi podmiotami. Gdy kilka lat temu powstawała pierwsza wersja systemu, była ona oparta o wspólną bazę klientów wszystkich urzędów wymieniających się informacjami. Gdy zwracałem uwagę na niezgodność z prawem takiego rozwiązania, moje uwagi zostały zignorowane – być może dlatego, że prasa przedstawiała już wdrożenie systemu jako wielki sukces. Smutną satysfakcją było dla mnie, gdy Generalny Inspektor zakwestionował przyjęte rozwiązanie i system musiał być przepisany w taki sposób, że umożliwia wymianę informacji pomiędzy urzędami, bez budowania osobnej bazy. To, czy pracownicy jednego z urzędów mają dostęp do bazy drugiego, czy też odbywa się na zupełnie poprawnej tutaj zasadzie występowania w drodze elektronicznej o udostępnienie danych i świadome ich udostępnianie przez drugi z urzędów, jest kwestią konfiguracji systemu. Jest dla mnie niezrozumiałe, że w obecnej sytuacji, wymiana danych była realizowana w taki sposób. Nie stanowi żadnego problemu technicznego odpowiednie skonfigurowanie tego systemu.

Trzeba jednak zwrócić uwagę, że urzędy nie uczą się na błędach. Realizowany obecnie i wdrażany w niektórych urzędach system Jowisz, opiera się na podobnej zasadzie jak pierwsza wersja systemu SEPI. Znowu jest budowana wspólna baza klientów PUP i OPS. Na niektóre problemy zwracałem uwagę na forum grupy ABI, ale jest to tylko część wątpliwości budzonych przez system Jowisz. Sytuacja będzie tu o tyle trudniejsza, że system Jowisz jest budowane ze środków unijnych i w razie braku możliwości jego używania, okazać się może, że poniesione wydatki będą uznane za niekwalifikowane.

Warto zwrócić tu uwagę jeszcze na system Empatia. Prawdopodobnie uzyska on odpowiednie umocowanie w ustawie, ale obecnie, na etapie wdrożenia, jeszcze go nie ma…

  • GODO zwrócił uwagę, że banki powinny bez zbędne zwłoki aktualizować dane przekazywane do BIK.
  • W spółce prowadzącej działalność gospodarczą w zakresie usług ochrony osób i mienia realizowanych w formie bezpośredniej ochrony fizycznej oraz zabezpieczenia technicznego, prowadzono wobec kandydatów na konwojentów i dyspozytorów badania poligraficzne. GIODO stwierdził, że wyrażona przez kandydatów zgodna na piśmie nie stanowi podstawy do przetwarzania danych uzyskanych w trakcie takiego badania.
  • Spółka zbierała dane na temat stanu cywilnego zatrudnionych osób.
  • Kandydaci do pracy otrzymywali formularz aplikacyjny, za pomocą którego spółka uzyskiwała informacje o mocnych i słabych stronach kandydata.
  • Nieadekwatny w stosunku do celu zakres zbieranych danych.
  • Brak dobrowolności wyrażenia zgody.
  • Dane powinny być usuwane niezwłocznie po zrealizowaniu celu przetwarzania.
  • Zawierając umowę powierzenia przetwarzania danych, w sytuacji gdy przepisy szczegółowe stawiają wymagania w stosunku do osób dopuszczonych do przetwarzania danych, należy zapewnić, aby wymagania te były również spełnione przez osoby dopuszczone do przetwarzania danych przez procesora.
  • Zgodnie z ustawą o ochronie danych osobowych, daną osobową może być również nr identyfikacyjny. Udostępnianie danych innemu podmiotowi, w sytuacji gdy dane te będą zawierały jedynie numer identyfikacyjny i potencjalnie odbiorca danych nie będzie w stanie zidentyfikować konkretnej osoby fizycznej, będzie w rozumieniu GIODO stanowiło jednak udostępnianie danych osobowych.
  • Brak aktualizacji zgłoszeń zbiorów danych osobowych.
  • W wypadku uczelni stwierdzono m.in. brak prowadzenia lub aktualizacji polityki bezpieczeństwa, brak wyznaczenia ABI, nie zapewniono by zmiana hasła następowała nie rzadziej niż co 30 dni.
  • Brak dopełnienia obowiązku informacyjnego. W tym brak poinformowania osób o tym, kto jest administratorem danych i jaka jest jego siedziba.
  • Niespełnianie wymagań przez systemy informatyczne – dopuszczenie zbyt krótkich haseł, niekorzystanie z protokołu https.
  • Przechowywanie danych przetwarzanych w formie papierowej w niezamykanych szafkach i na półkach.
  • Bankowe karty przedpłacone wydawane przez stowarzyszenie swoim członkom i będące jednocześnie kartami członkowskimi, uznano za marketing produktów banku.
  • W wypadku spółki, która realizowała obowiązek informacyjny poprzez podanie informacji w regulaminie oraz w treści polityki prywatności zamieszczonej w portalu, uznano, że nie przedstawiła ona wystarczających dowodów realizacji obowiązku informacyjnego.
  • Wyrażenie zgody na przetwarzanie danych osobowych oraz otrzymywanie informacji handlowych drogą elektroniczną, nie może być realizowane w drodze jednego oświadczenia.
  • Uzyskanie przez spółkę danych od sprawców kradzieży w prowadzonych przez spółkę sklepach, w celu zawiadomienia policji o zaistniałej kradzieży, nie stanowi naruszenia obowiązujących przepisów.
  • Administratorzy kilku portali internetowych – w celu umieszczenia ogłoszeń towarzyskich – bezprawnie zamieścili i udostępniali innym osobom na swej stronie internetowej, dane osobowe w zakresie imienia, nazwiska i daty urodzenia osoby.
  • Przetwarzanie danych osobowych przez podmioty prowadzące strony internetowe, bez posiadania podstawy prawnej.
  • Udostępnianie danych osobowych podmiotom nieupoważnionym. Przykładowo udostępnienie danych aptece przez spółdzielnię mieszkaniową, w celu wydania osobom kart rabatowych.
  • Pozostawienie dokumentacji medycznej w lokalu opuszczanym przez podmiot zajmujący się usługami medycznymi.
  • Ujawnienie danych poprzez rozesłanie maila w taki sposób, że widoczne były adresy pozostałych adresatów.
  • Ujawnienie danych przez szpital, na rzecz spółki ubezpieczeniowej.
  • Wykorzystanie danych pracowników na potrzeby kampanii wyborczej.
  • GIODO wydał decyzję nakazującą burmistrzowi udostępnienie skarżącemu danych osobowych w zakresie imion i nazwisk osób, które wniosły na niego do urzędu miasta skargę w przedmiocie zasad współżycia społecznego.
  • Koperty z dokumentami zawierającymi dane osobowe osób były umieszczane przez pracowników urzędu gminy na bramach ich posesji.
  • GODO nakazał usunięcie ze strony internetowej informacji o osobie, która jako mieszkanka przytuliska dla osób bezdomnych opracowała broszurę informacyjną a następnie, jako jej autorka znalazła się w wykazie bibliotecznym. GIODO uznał, że dyrektor placówki prawidłowo przetwarzał dane, jednak wykazana przez osobę jej szczególna sytuacja uzasadnia jej żądanie zaprzestania przetwarzania jej danych.
  • Wywieszanie zawiadomienia o porządku obrad walnego zgromadzenia spółdzielni, zawierające dane osobowe ich członków, na tablicach informacyjnych znajdujących się na klatkach schodowych budynków.
  • Przekazywanie korespondencji członkom spółdzielni w niezaklejonych kopertach. Co prawda inni członkowie spółdzielni mieli prawo do zapoznania się z tymi danymi, ale jedynie na żądanie.
  • Pracodawca nie może żądać od związku zawodowego listy wszystkich pracowników objętych ochroną związkową.
  • Umieszczenie na karcie miejskiej imienia i nazwiska oraz wizerunku jej posiadacza było wystarczające dla umożliwienia weryfikacji, czy daną kartą, jako nośnikiem imiennego biletu komunikacji miejskiej, posługuje się osoba upoważniona do jej używania. Zbędne było kodowanie na karcie nr PESEL.
  • Brak szyfrowania danych przesyłanych przez Internet. Zwłaszcza dotyczy to poczty elektronicznej.
  • Ustawa o ochronie danych osobowych nie ma zastosowania do udostępniania dokumentów, a jedynie do wykonywania operacji na danych osobowych.

Kontroli poddano 280 systemów informatycznych, tj. o 104 mniej niż w roku 2011, w którym skontrolowano 384 systemy informatyczne wykorzystywane do przetwarzania danych osobowych. Większość kontroli należała do kontroli częściowych, które swym zakresem obejmowały jedynie wybrane aspekty przetwarzania danych.

„W przypadku, gdy kontrolowana jednostka opracowała wymagane dokumenty (takie jak polityka bezpieczeństwa oraz instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych), prowadziła ewidencję osób upoważnionych do przetwarzania danych osobowych oraz wdrożyła opisane w tej dokumentacji procedury przetwarzanie danych osobowych w zakresie wymogów formalno-organizacyjnych, realizację wymogu prowadzenia dokumentacji uznawano za prawidłową. Sprawdzano również, czy wyznaczony został administrator bezpieczeństwa informacji oraz czy osoby dopuszczone do przetwarzania danych posiadały stosowne upoważnienia nadane przez administratora danych.”

Niemal wszystkie skontrolowane jednostki przetwarzały dane w systemie informatycznym, a 93% z nich zastosowało wysoki poziom bezpieczeństwa. 22% podmiotów zastosowało całkowity outsourcing systemów informatycznych.

Zauważalny jest wzrost liczby decyzji administracyjnych dotyczących postępowań zainicjowanych skargą.

GODO skierował 12 zawiadomień o podejrzeniu popełnienia przestępstwa.

„W 2012 r. do Departamentu Orzecznictwa, Legislacji i Skarg Biura GIODO wpłynęły 1593 skargi dotyczące naruszenia przepisów o ochronie danych osobowych. W porównaniu z rokiem 2011, w którym wpłynęło 1271 skarg, liczba ta uległa zwiększeniu o 322”

Do GIODO wpłynęło:

  • 75 skarg dotyczących sektora sądów, prokuratury, policji i komorników,
  • 231 skarg dotyczyło sektora banków i innych instytucji finansowych,
  • 179 skarg dotyczyło sektora administracji publicznej.,
  • 227 skarg dotyczących Internetu,
  • 60 skarg dotyczących sektora marketingu,
  • 88 skarg dotyczących mieszkalnictwa,
  • 24 skargi dotyczących sektora ubezpieczeń społecznych, majątkowych i osobowych,
  • 91 skarg dotyczących działalności telekomunikacyjnej
  • 156 skarg dotyczących podmiotów sektora zatrudnienia
  • 462 innych skargi

„W 2012 r. Generalny Inspektor wydał ogółem 99 decyzji administracyjnych zawierających nałożony na strony nakaz do wykonania i podlegających egzekucji administracyjnej.”

„W roku 2012, administratorzy danych wypełniając nałożony przepisami ustawy o ochronie danych osobowych obowiązek, zgłosili do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych 21580 zbiorów, z czego podmioty z sektora administracji publicznej zgłosiły 14917 zbiorów, co stanowi 68 % ogólnej liczby zgłoszeń dokonanych w tym okresie, zaś podmioty z sektora prywatnego 6663 zbiory, co stanowi 32 % ogólniej liczby zgłoszonych zbiorów.”

„W okresie sprawozdawczym do ogólnokrajowego, jawnego rejestru zbiorów danych osobowych prowadzonego przez Generalnego Inspektora Ochrony Danych Osobowych zostało wpisanych 16267 zbiorów danych”

„rozpatrzonych zostało 4090 zgłoszeń aktualizacyjnych”

„Przełomowe z punktu widzenia przetwarzania danych osobowych w omawianych sektorze było stwierdzenie Naczelnego Sądu Administracyjnego zawarte w uzasadnieniu do wyroku z dnia 19 maja 2011 r. (sygn. akt: I OSK 1079/10), że cyt.: „(…) Internet często pozornie, a czasami faktycznie zapewnia anonimowość jego użytkownikom. Stanowi medialne forum, na którym prezentowane są treści naruszające ludzką godność, cześć i dobre imię. Dlatego też wszędzie tam gdzie numer IP pozwala pośrednio na identyfikację konkretnej osoby fizycznej powinien on być uznany za dane osobowe w rozumieniu art. 6 ust. 1 i 2 ustawy o ochronie danych osobowych. Odmienna interpretacja byłaby sprzeczna z normami konstytucyjnymi zawartymi w art. 30 i 47 Konstytucji RP (…)”. Skład sędziowski w ww. wyroku jako pierwszy jednoznacznie stwierdził, że adres IP (Internet Protocol Address) jest daną osobową.”

Korzystając ze swoich uprawnień, Generalny Inspektor Ochrony Danych Osobowych skierował w 2012 roku szereg wystąpień do centralnych organów państwa i do innych podmiotów z sektora publicznego. Przykładowe wystąpienia:

  • Generalny Inspektor wystąpił do Ministra Zdrowia – jako podmiotu odpowiedzialnego za nadzór nad stosowaniem przepisów ustawy transplantacyjnej – o wydanie opinii, czy w jego ocenie przekazywanie przez ośrodek dawców szpiku danych osobowych potencjalnych dawców do innych, niż Centralny Rejestr, rejestrów potencjalnych dawców szpiku, było dopuszczalne w świetle przepisów ustawy transplantacyjnej, przy założeniu, iż uprzednio osoba, której dane dotyczą, wyraziła zgodę na ich przekazanie.
  • Generalny Inspektor wystąpił do Ministra Nauki i Szkolnictwa Wyższego wskazując, iż powinien on przekazywać uczelniom dokumentację, która zawierałaby pełny opis funkcjonalności systemu POL-on, a także przeprowadzał szkolenia dla użytkowników systemu POL-on, co będzie stanowiło realizację obowiązków nałożonych na administratora danych przez przepis art. 36 ust. 1 ustawy.
  • Prośba o zasygnalizowanie członkom samorządu lekarskiego konieczności respektowania prawa do prywatności oraz ochrony informacji związanych z pacjentem podczas wykonywania praktyk lekarskich, jak również organizowania obsługi pacjentów, w szczególności w sytuacjach rejestrowania pacjentów na wizyty lekarskie, wydawania im wyników badań, ustalania harmonogramu zabiegów w sanatoriach, wywoływania do gabinetów lekarskich lekarzy specjalistów.
  • Wystąpienie w sprawie wyeliminowania praktyki umieszczania przy łóżkach pacjentów kart gorączkowych.

Istotna cześć sprawozdania dotyczy opiniowania przez GIODO aktów prawnych, m.in. dotyczących europejskiej i krajowej reformy ochrony danych osobowych. Również informacje dotyczące współpracy GIODO z instytucjami międzynarodowymi, są interesujące, gdyż zwracają uwagę na najistotniejsze, europejskie problemy ochrony danych. GIODO zajmował się zagadnieniami dotyczącymi biometrii, monitoringu, sieci inteligentnych, projektu INDECT, profilowania, izb dziecka, izb wytrzeźwień, wymagań systemów informatycznych pozwalających na umawianie wizyt pacjentów, itd.

Podsumowanie może stanowić kolejny cytat ze sprawozdania:

„W podsumowaniu, na podstawie ustaleń z kontroli przeprowadzonych w 2012 r. należy stwierdzić, że w porównaniu z latami ubiegłymi osoby odpowiedzialne za przetwarzanie danych osobowych wykazały większą świadomość zagrożeń związanych z przetwarzaniem danych osobowych, a tym samym świadomość konieczności zapewnienia odpowiednich środków organizacyjnych i technicznych zapewniających ochronę tych danych. Konsekwencją było większe wyczulenie na prawidłowe dopełnienie obowiązków wynikających z przepisów o ochronie danych osobowych. Niestety, powyższe spostrzeżenia nie dotyczą wszystkich podmiotów, w których przeprowadzono kontrole. Zdarzały się bowiem kontrole, które wykazywały, że jednostki kontrolowane nie wykonywały większości obowiązków wynikających z przepisów o ochronie danych osobowych. Uchybienia te dotyczyły zarówno zastosowanych rozwiązań organizacyjnych, jak i aspektów technicznych.”

Mam wrażenie, że sprawozdanie GIODO za 2012 rok, jest wyjątkowo bogate w praktyczne informacje, przydatne osobom zajmującym się ochroną danych osobowych. Zachęcam do zapoznania się z pełną treścią sprawozdania.

 

Jarosław Żabówka

 

 

Sprawozdanie GIODO za 2011 rok.

Sprawozdania Generalnego Inspektora Ochrony Danych Osobowych stanowią doskonałe źródło wiedzy dla osób zajmujących się ochroną danych. Warto przyjrzeć się, na co zwracają uwagę kontrolerzy GIODO w 2011 roku.

Postanowiłem zamieścić poniżej moje, jak najbardziej subiektywne, zestawienie zagadnień i błędów Administratorów danych, wskazywanych w sprawozdaniu GIODO za 2011 rok.

Biorąc pod uwagę ilość realizowanych zadań, poziom zatrudnienia w Biurze GIODO wydaje się umiarkowany. Jeżeli spojrzeć na średnią płacę, też nie jest ona powalająca.

W 2011 roku przeprowadzono 199 kontroli w tym

  • 21 w podmiotach należących do administracji publicznej,
  • 10 kontroli przetwarzania danych w KSI,
  • 15 kontroli w podmiotach świadczących usługi doradztwa podatkowego i finansowego,
  • 5 kontroli podmiotach świadczących usługi w obszarze służby zdrowia,
  • 17 kontroli w sektorze agencji pracy,
  • 14 kontroli w podmiotach zajmujących się organizacją imprez masowych na stadionach,
  • 10 kontroli u operatorów publicznej sieci telekomunikacyjnej oraz dostawców publicznie dostępnych usług telekomunikacyjnych,
  • 12 przedszkoli,
  • 95 innych podmiotów

Ważniejsze problemy:

  • Zlecenie podmiotowi prywatnemu przetwarzania danych z fotoradarów i wypełniania kart rejestracyjnych. Przekazanie takich danych jest możliwe dla wykonywania czynności z zakresu obsługi administracyjno-technicznej, jednak nie czynności zastrzeżonych dla Straży Gminnej.
  • Przetwarzanie danych w zakresie nieadekwatnym do celu przetwarzania – np. przetwarzanie nr PESEL potencjalnych klientów w celu przedstawienia tym osobom oferty
  • przetwarzaniu danych osobowych z naruszeniem art. 22¹ Kodeksu pracy – osoby aplikujące na stanowiska kierownicze w podmiocie były poddawane badaniu którego celem było zbadanie roli i hierarchii postaw pracownika/kandydata w miejscu pracy.
  • Najczęściej występującymi uchybieniami stwierdzonymi podczas kontroli było niezapewnienie, aby systemy informatyczne służące do przetwarzania danych osobowych umożliwiały odnotowanie daty pierwszego wprowadzenia danych do systemu oraz identyfikatora użytkownika wprowadzającego te dane
  • Przechowywanie danych w plikach, do których dostęp mieli wszyscy użytkownicy.
  • Szpital nie sprawował kontroli nad przechowywaniem i zabezpieczeniem zaświadczeń lekarskich o czasowej niezdolności do pracy wystawionych pacjentom szpitala twierdząc, że obowiązek w tym zakresie spoczywa na lekarzach, którzy je wystawili.
  • Wskazano, że zwolnienie wskazane w art. 43 ust. 1 pkt 5 ustawy o ochronie danych osobowych (Z obowiązku rejestracji zbioru danych zwolnieni są administratorzy danych dotyczących osób korzystających z ich usług medycznych, obsługi notarialnej, adwokackiej, radcy prawnego, rzecznika patentowego, doradcy podatkowego lub biegłego rewidenta.) dotyczy podmiotów które samodzielnie świadczą te usługi.
  • Niedopełnianie obowiązków informacyjnych oraz błędne klauzule zgody na przetwarzanie danych osobowych w agencjach pośrednictwa pracy. Brak informacji o odbiorcach danych.
  • Brak umów powierzenia z dostawcą usług hostingowych.
  • Nieadekwatny zakres danych zbieranych od kandydatów do pracy (informacje o niekaralności dla pracowników zatrudnionych na stanowisku montera lub spawacza).
  • Niezabezpieczanie za pomocą środków ochrony kryptograficznej, danych osobowych, podczas ich przesyłania poprzez sieć publiczną.
  • Błędy w prowadzonej przez administratorów danych dokumentacji opisującej sposób przetwarzania danych osobowych oraz środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych, polegające na niezawarciu w niej wszystkich elementów określonych w § 4 i § 5 rozporządzenia.
  • Niespełnianie przez systemy informatyczne wymogów nakładanych przez § 7 rozporządzenia.
  • Niestosowanie środków ochrony kryptograficznej podczas przesyłania danych przez sieć publiczną.
  • Braki w prowadzonej dokumentacji, w tym brak opisu struktury zbiorów danych.
  • Zbyt długie przechowywanie danych retencyjnych, ze względu na przyjętą politykę tworzenia kopii bezpieczeństwa.
  • Na karcie przedszkolaka bywają przetwarzane dane nieadekwatne w stosunku do celu przetwarzania.
  • Zgoda na objęcie dziecka opieką medyczną nie może być rozumiana jako zgoda na przetwarzanie danych o jego stanie zdrowia.
  • „(…)GIODO wydał także decyzję nakazującą Narodowemu Funduszowi Zdrowia udostępnienie oddziałowi kardiochirurgii uniwersytetu medycznego, danych osobowych w zakresie daty i przyczyny hospitalizacji po wypisie z tego oddziału (zwłaszcza wszystkich postaci choroby wieńcowej, udaru mózgu, migotania przedsionków, cukrzycy) oraz wykonania procedur rewaskularyzacji przezskórnej (z lub bez implantacji stentu) oraz pomostowania aortalno-wieńcowego dotyczących powtórnych hospitalizacji chorych, osób uprzednio leczonych w ww. oddziale.
    W uzasadnieniu tego rozstrzygnięcia organ stwierdził, iż okoliczność, że art. 188 ustawy o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych wskazywał cele, w jakich NFZ mógł przetwarzać dane osobowe ubezpieczonych, nie wykluczała legalności udostępnienia danych w celu prowadzenia badań naukowych w sytuacji, gdy publikowanie wyników badań naukowych nastąpi w sposób uniemożliwiający identyfikację osób, których dane zostaną udostępnione, bowiem przesłanką legalizującą takie udostępnienie będzie art. 27 ust. 2 pkt 9 ustawy o ochronie danych osobowych.”
  • Brak aktualizacji przez baki informacji w bazie Biura Informacji Kredytowej S.A.
  • Znamienne jest zdanie – „Analizując wyniki kontroli przeprowadzonych w 2011 roku należy stwierdzić, że w większości skontrolowanych podmiotów wystąpiły nieprawidłowości w procesie przetwarzania danych osobowych. Uchybienia te dotyczyły zarówno zastosowanych rozwiązań organizacyjnych, jak i aspektów technicznych.”
  • „(…)stwierdzenie Naczelnego Sądu Administracyjnego zawarte w uzasadnieniu do wyroku z dnia 19 maja 2011 r.83, że cyt.: „(…) Internet często pozornie, a czasami faktycznie zapewnia anonimowość jego użytkownikom. Stanowi medialne forum, na którym prezentowane są treści naruszające ludzką godność, cześć i dobre imię. Dlatego też wszędzie tam gdzie numer IP pozwala pośrednio na identyfikację konkretnej osoby fizycznej powinien on być uznany za dane osobowe w rozumieniu art. 6 ust. 1 i 2 ustawy o ochronie danych osobowych. Odmienna interpretacja byłaby sprzeczna z normami konstytucyjnymi zawartymi w art. 30 i 47 Konstytucji RP (…)”. Skład sędziowski w ww. wyroku jako pierwszy jednoznacznie stwierdził, że adres IP (Internet Protocol Address) jest daną osobową.
  • Zbierania zgody na przetwarzanie danych osobowych powinno być poprzedzone dopełnieniem obowiązku informacyjnego. Klauzule obowiązku informacyjnego nie powinny być łączone ze zgodą.
  • Żądanie przesłania skanu dowodu tożsamości od osoby chcącej usunąć swoje konto w portalu randkowym.
  • Pomimo wyrażenia sprzeciwu przeciwko przetwarzaniu danych w celu marketingowym, do osób były nadal kierowane SMS-y informujące o możliwości przedłużenia umowy czy skorzystania z nowej oferty. Zdarzyło się również dołączanie oferty do przesyłanej faktury VAT.
  • Udostępnianie danych osobowych mieszkańców osobom nieupoważnionym. W tym danych wrażliwych, dotyczących stanu zdrowia, wyroków lub decyzji administracyjnych.
  • Przekazywanie przez operatora telekomunikacyjnego numerów zastrzeżonych podmiotom trzecim.
  • W sprawozdaniu umieszczono dużą ilość informacji o nakazaniu przez GIODO udostępnienia danych osobowych. Może to świadczyć o niejasności przepisów i wynikających z tego problemom administratorów danych, w tym administratorom ze sfery publicznej w ocenie, czy są zobowiązani do udostępnienia danych, czy do ich zachowania w tajemnicy.
  • Przekazywanie pracodawcom przez związki zawodowe listy wszystkich pracowników podlegających ochronie związku.
  • GIODO nakazał usunięcie adresu poczty elektronicznej, zawierającego imię i nazwisko osoby, która nie była już pracownikiem spółki. Pomimo, że adres ten był wykorzystywany jedynie do odbierania wiadomości.
  • Niedopełnianie przez administratorów obowiązku informacyjnego wynikającego z art. 24, art. 25 i art. 33 ustawy o ochronie danych osobowych.

W roku 2011 administratorzy danych wypełniając nałożony przepisami ustawy o ochronie danych osobowych obowiązek, zgłosili do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych 15643 zbiory, z czego podmioty z sektora administracji publicznej zgłosiły 10690 zbiorów, co stanowi 68 % ogólnej liczby zgłoszeń dokonanych w tym okresie, zaś podmioty z sektora prywatnego 4953 zbiory, co stanowi 32 % ogólniej liczby zgłoszonych zbiorów.

 

 

 

 

 

 

 

Jesienne edycja szkoleń w proInfoSec

Czy może być lepsze miejsce dla zdobywania wiedzy o ochronie danych osobowych niż urokliwy dom na Jurze Krakowsko-Częstochowskiej? Naszym zdaniem, wiedzę przyswaja się najlepiej gdy za oknem widać ostańce w jesiennych kolorach, a wieczorem, przy ognisku słucha się opowieści podróżników.

Zapraszamy do zapoznania się ze szczegółami jesiennej edycji szkoleń organizowanych przez proInfoSec

Zapraszamy na Meet IT vol. 5

Zapraszamy na Meet IT vol. 5

6 czerwca 2013 odbędzie się piąte spotkanie z cyklu Meet IT. Miejscem spotkania będzie Kinoteatr Rialto w Katowicach.

Dyskutować będziemy na temat: Prywatność użytkowników i ochrona danych osobowych w IT.

Prelegenci odpowiedzą na pytania:

  • jak dbać o prywatność użytkowników w sieci?
  • na co zezwala ustawa o ochronie danych osobowych?
  • jak się uchronić przed wyciekiem i utratą przetwarzanych danych osobowych?

 

 

Udział w spotkaniu jest bezpłatny. Wymaga rejestracji poprzez formularz znajdujący się obok na stronie MeetIT.

Zapraszamy również do śledzenia dyskusji na forum grupy IT Katowice

 

 

 

Nowe szkolenia w ofercie proInfoSec

proInfoSec, we współpracy z firmą „Persona” Magdalena Korga, uruchamia nowe szkolenia dotyczące tematyki ochrony danych osobowych.

Proponujemy Państwu trzydniowe szkolenie wprowadzające do zagadnień ochrony danych osobowych. W naszym przekonaniu właśnie taki czas jest niezbędny, aby opanować materiał w stopniu umożliwiającym samodzielne rozwiązywanie problemów związanych z przetwarzaniem danych osobowych.

Dla osób zainteresowanych dalszym pogłębianiem wiedzy proponujemy dodatkowe, dwudniowe warsztaty.

Oferujemy również szkolenia przygotowane specjalnie dla osób pragnących skupić się na zgłoszeniu zbioru do GIODO, czy też przetwarzaniu danych w placówkach służby zdrowia.

Wszystkie nasze szkolenia kładą nacisk na praktyczne umiejętności. A po zajęciach – atrakcje, które mamy nadzieję sprawią, że w pamięci uczestników pozostaną wspomnienia, związane być może nie tylko z ochroną danych

 

Zapraszamy do zapoznania się z ofertą szkoleń.

Szkolenia proInfoSec

 

 

X Internetowe Spotkanie Administratorów Bezpieczeństwa Informacji

Serdecznie zapraszam na jubileuszowe, X Internetowe Spotkanie Administratorów Bezpieczeństwa Informacji.

Temat przewodni: Pierwsze Międzynarodowe Forum Bezpieczeństwa Informacji i Zarządzania Usługami IT

 

Spotkania, organizowane co miesiąc przy współpracy firm 2Business Consulting Group, ProInfoSec oraz VidCom, uruchamiane są w formie bezpłatnej, otwartej telekonferencji, dostępnej dla każdego przez przeglądarkę www (szczegóły na stronie http://www.2business.pl/index.php?page=Spotkania-ABI)

W spotkaniach zwykle uczestniczą osoby pełniące funkcję Administratora Bezpieczeństwa Informacji (ABI), ale zapraszamy oczywiście wszystkich zainteresowanych.

 

Spotkania mają formułę otwartą, umożliwiającą każdemu uczestnikowi przedstawienie dowolnej prezentacji, dotyczącej pracy Administratora Bezpieczeństwa Informacji (np. ochrona danych osobowych, ISO 27001, ciągłości działania (BS25999), itp.). Dla usprawnienia przebiegu spotkań, prosimy o wcześniejsze zgłaszanie organizatorom takiej propozycji.

Dziesiąte już spotkanie odbędzie się w czwartek 19 kwietnia 2012r. Wideokonferencję rozpoczynamy o 14:00 (rejestracja od 13:45).

 

Agenda ramowa:

13.45 – 14.00 – rejestracja uczestników

14.00 – 14.40 – Prezentacje

14.40 – 15.30 – panel dyskusyjny

15.30 – podsumowanie i zamknięcie spotkania

 

W razie pytań lub wątpliwości proszę o kontakt telefoniczny lub mailowy.  Informacje o dotychczasowych spotkaniach dostępne są na stronie: http://www.2business.pl/index.php?page=Spotkania-ABI

 

Zapraszamy do wcześniejszej rejestracji na stronie spotkania (nie jest to obowiązkowe, ale ułatwia organizację) –

http://www.goldenline.pl/spotkanie/x-internetowe-spotkanie-abi

IX Internetowe Spotkanie Administratorów Bezpieczeństwa Informacji

Serdecznie zapraszam na IX Internetowe Spotkanie Administratorów Bezpieczeństwa Informacji.

Spotkania, organizowane co miesiąc przy współpracy firm 2Business Consulting Group, ProInfoSec oraz VidCom, uruchamiane są w formie bezpłatnej, otwartej telekonferencji, dostępnej dla każdego przez przeglądarkę www (szczegóły na stronie http://www.2business.pl/index.php?page=Spotkania-ABI).

W spotkaniach zwykle uczestniczą osoby pełniące funkcję Administratora Bezpieczeństwa Informacji (ABI), ale zapraszamy oczywiście wszystkich zainteresowanych.

Spotkania mają formułę otwartą, umożliwiającą każdemu uczestnikowi przedstawienie dowolnej prezentacji, dotyczącej pracy Administratora Bezpieczeństwa Informacji (np. ochrona danych osobowych, ISO 27001, ciągłości działania (BS25999), itp.). Dla usprawnienia przebiegu spotkań, prosimy o wcześniejsze zgłaszanie organizatorom takiej propozycji.

Dziewiąte już spotkanie odbędzie się w czwartek 29 marca 2012r. Wideokonferencję rozpoczynamy o 14:00 (rejestracja od 13:45).

Agenda ramowa:
13.45 – 14.00 – rejestracja uczestników
14.00 – 14.20 – Odpowiedzialność finansowa Administratora Danych – Adwokat Tomasz Cygan
14.20 – 14.40 – Bezpieczeństwo danych na urządzeniach mobilnych podłączonych do Internetu – Karolina Pilarczyk IBM Polska
14.40 – 15.30 – panel dyskusyjny
15.30 – podsumowanie i zamknięcie spotkania

W razie pytań lub wątpliwości proszę o kontakt telefoniczny lub mailowy.

Informacje o dotychczasowych spotkaniach dostępne są na stronie: http://www.2business.pl/index.php?page=Spotkania-ABI

Więcej informacji tutaj: http://www.goldenline.pl/spotkanie/ix-internetowe-spotkanie-abi

ABI – teraźniejszość i przyszłość

Tekst został opublikowany 21 stycznia 2012 i nie uwzględnia nowelizacji ustawy o ochronie danych osobowych, która weszła w życie 1 stycznia 2015.

ABI

Badania pokazują, że nasze społeczeństwo jest coraz bardziej świadome swoich praw wynikających z ustawy o ochronie danych osobowych. Świadomość ta zwykle koncentruje się wokół kilku pojęć. „Zgoda na przetwarzanie danych osobowych”, „GIODO”, „ABI” – są najczęściej używanymi słowami-kluczami, z którymi ludzie kojarzą ochronę danych. W praktyce, niejednokrotnie przedsiębiorcy ograniczają się jedynie do wyznaczenia Administratora Bezpieczeństwa Informacji, traktując to jako dopełnienie swoich obowiązków oraz jako przerzucenie ewentualnej odpowiedzialności na inną osobę.

Ale kim zgodnie z ustawą jest ABI? Jakie zadania pełni w praktyce? Jakie zmiany w tym zakresie są niezbędne? W założeniu tent tekst miał odpowiadać na te pytania oraz pokrótce zebrać opinie pojawiające się w toczonych ostatnio na różnych forach dyskusjach o przyszłości tej profesji. W międzyczasie pojawiły się „przecieki” o planowanych zmianach w europejskim prawie ochrony danych, w tym dotyczących pozycji i zadań ABI. Ponieważ zmiany te w dużym stopniu wydają się wychodzić naprzeciw oczekiwaniom środowiska (w każdym razie, ja uważam je za interesujące), postanowiłem nie zmieniać istotnie tego tekstu, a jedynie dodać fragment mówiący o planowanych zmianach.

TERAŹNIEJSZOŚĆ

KIM JEST OFICJALNIE

DYREKTYWA

Europejskie prawo ochrony danych osobowych opiera się na dyrektywie 95/46/WE Parlamentu Europejskiego I Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych.

Dyrektywa wprowadza pojęcie Urzędnika do spraw ochrony danych, któremu w ustawie o ochronie danych osobowych odpowiada Administrator bezpieczeństwa informacji. Od razu należy jednak zwrócić uwagę na kilka szczegółów. Angielska wersja Dyrektywy, mówi o „data protection official” (DPO) czemu w polskim tłumaczeniu odpowiada „Urzędnik odpowiedzialny za ochronę danych”. Jednak w art. 18 tłumaczenia pojawia się „Urzędnik do spraw ochrony danych”. Czy jest to celowe rozróżnienie? Tym bardziej, że w wersji angielskiej też pojawia się drobna różnica. Mamy tutaj „personal data protection official”.

Jednak nieco więcej zamieszania może wyniknąć z rozporządzenia Nr 45/2001 Parlamentu Europejskiego I Rady z dnia 18 grudnia 2000 r. o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje i organy wspólnotowe i o swobodnym przepływie takich danych. Rozporządzenie mówi o „Data Protection Officer”, co zostało przetłumaczone jako „inspektor ochrony danych”. Powrócę do tego tematu na końcu tekstu.

Co Dyrektywa mówi o DPO:

  • Musi mieć on możliwość wykonywania swoich obowiązków w sposób niezależny od Administratora danych (pkt 49 preambuły).
  • Współpracuje z GIODO przed przetworzeniem danych (pkt 54 preambuły).
  • Odpowiada za zapewnienie stosowania przepisów krajowych przyjętych na mocy Dyrektywy (art. 18 pkt 2).
  • Odpowiada za prowadzenie rejestru operacji przetwarzania danych (art. 18 pkt 2).
  • W wypadku powołania DPO, administrator może zostać zwolniony z obowiązku zawiadamiania o przetwarzaniu danych (u nas – rejestracji zbiorów).
  • Współpracuje z GIODO w trakcie kontroli wstępnych.
USTAWA

W polskiej ustawie ABI pojawia się w wyniku nowelizacji z 2004 roku. Nie będę tutaj rozważał sytuacji sprzed tej nowelizacji. Zgodnie z art. 36 ustawy o ochronie danych osobowych, administrator bezpieczeństwa musi być wyznaczony przez administratora danych osobowych, chyba, że ADO sam będzie wykonywał jego czynności. Zgodnie z ustawą, ABI nadzoruje przestrzeganie środków technicznych i organizacyjnych przetwarzania danych osobowych przyjętych u administratora danych. Zapis ten możemy uznać za bardzo ogólny i w rzeczywistości zakres zadań realizowanych przez ABI bywa bardzo różny. Warto zwrócić uwagę, że w innych państwach europejskich, wymogi co do zadań i kwalifikacji ABI (DPO), zostały niejednokrotnie bardziej szczegółowo określone.

Z obowiązku powołania ABI (lub samodzielnego pełnienia jego zadań) zwolnieni są administratorzy pełniący działalność dziennikarską, literacką lub artystyczną.

„Nadzór” oznacza, że ABI powinien mieć możliwość ingerencji, wydawania poleceń, itd. w sytuacji gdy zasady przetwarzania danych nie są przestrzegane lub w celu zapewnienia zgodnego z tymi zasadami przetwarzania danych.

ABI może, ale nie musi być pracownikiem administratora danych. Należy jednak zwrócić uwagę, że powinien być konkretną osobą fizyczną, wyznaczoną przez ADO. Nic nie stoi na przeszkodzie, żeby pełnił jednocześnie inne funkcje. Nie powinny one jednak powodować powstania konfliktu interesu, który mógłby utrudnić administratorowi bezpieczeństwa informacji realizowanie jego zadań. Zwykle postuluje się tutaj, że nie powinien on być pracownikiem pionu IT, podlegającego zwykle szczególnej uwadze ABI. Ze względów dowodowych, wyznaczenie ABI powinno mieć formę pisemną.

Mimo, że nie jest to określone wprost, ABI powinien być w taki sposób umocowany w strukturze organizacji, by móc w sposób prawidłowy realizować swoje zadania, kontaktować się z kierownictwem działów i w sposób niezależny nadzorować przetwarzanie w nich danych.

Istnieją podzielone opinie, co do tego, czy ADO może wyznaczyć kilku ABI. Ja skłaniałbym się do tego, że jest dopuszczalne, a w wielu organizacjach nawet wskazane.

Przyjmuje się, że niewłaściwe realizowanie obowiązków przez ABI, jako osobę zobowiązaną do ochrony danych osobowych może podlegać karze zgodnie z art.51 ustawy.

Art. 51.
1. Kto administrując zbiorem danych lub będąc obowiązany do ochrony danych osobowych udostępnia je lub umożliwia dostęp do nich osobom nieupoważnionym, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2.
2. Jeżeli sprawca działa nieumyślnie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku.

KIM JEST W RZECZYWISTOŚCI

W rzeczywistości zakres zadań realizowanych przez ABI bywa bardzo szeroki. Chciałbym jednak zwrócić uwagę na jeszcze jeden aspekt jego roli – bardzo często, ochrona danych osobowych bywa utożsamiana z powołaniem ABI (obok zgłoszenia zbioru i zgody na przetwarzanie danych), szkoda, że często administratorem bezpieczeństwa informacji staje się osoba przypadkowa, niezdająca sobie sprawy ze spoczywających na niej obowiązków i co gorsza, z grożącej jej odpowiedzialności. Na szczęście wydaje się, że możemy obserwować stałą poprawę tej sytuacji.

Zbyt często jednak, moim zdaniem, ABI znajduje się w sytuacji konfliktu interesów. Bardzo trudno jest pełnić tę rolę będąc jednocześnie kierownikiem, lub co gorsza, pracownikiem działu IT. Wyobraźmy sobie takiego ABI-ego, przychodzącego do swojego szefa:

-(ABI/Informatyk) Szefie, musimy w naszych systemach wdrożyć mechanizm pozwalający użytkownikom na zmianę haseł.
-(Kierownik IT) Zgadzam się całkowicie. Jesteś informatykiem, zrób to.
-Ale tego się nie da zrobić narzędziami które mamy…
-To, po co do mnie przychodzisz?!

Niejednokrotnie też, ABI jest autorem procedur, których funkcjonowanie musi później nadzorować. Czy jest w stanie dobrze i wiarygodnie to robić?

Rola administratora bezpieczeństwa ma wiele twarzy:

  • Prawnik – tworzy umowy powierzenia, upoważnienia, itd.
  • Pracownik biurowy – prowadzi szereg rejestrów.
  • Audytor bezpieczeństwa.
  • Specjalista od analizy ryzyka.
  • Twórca polityki bezpieczeństwa.
  • Informatyk – administrator bezpieczeństwa systemu.
  • Trener.

Zwykle ABI musi łączyć wszystkie lub większość z tych funkcji. Przykładowe zakresy obowiązków administratora bezpieczeństwa informacji, które możemy znaleźć w literaturze, liczą nieraz po kilka stron. Czy to źle? Myślę, że nie można w ten sposób powiedzieć. Każda organizacja jest inna, a i każdy ABI ma nieco inne predyspozycje i doświadczenie. Moim zdaniem, że dopóki nie obniża to bezpieczeństwa przetwarzanych danych, taka różnorodność może być korzystna. Na szczęście ABI przestał już być utożsamiany z informatykiem.

ABI nie powinien jednak zapominać, że działa na rzecz administratora danych i powinien stanowić jego prawą rękę w rozwiązywaniu problemów ochrony danych.

W Internecie można znaleźć mnóstwo przykładowych zakresów czynności ABI. Ważne żeby nie traktować żadnego z nich jako obowiązującego wzoru. Obowiązująca ustawa nakłada na administratora bezpieczeństwa konkretne obowiązki, nie oznacza to jednak, że konkretny zakres czynności nie może być dostosowany do potrzeb konkretnej organizacji. Czy ABI powinien prowadzić szkolenia? Bardzo dobrze, jeżeli to robi i taka jest potrzeba w konkretnej organizacji. Jeżeli jednak ograniczy się do nadzoru, czy pracownicy posiadają wymaganą wiedzę, a szkolenia będzie prowadzić wyspecjalizowana, zatrudniająca trenerów firma zewnętrzna, to również będzie dobre rozwiązanie.

ABI, zwykle jest osobą, która koordynuje działania związane z ochroną danych osobowych odpowiada za kontakty z GIODO, wspiera pracowników i kierownictwo. I taka rola bardzo mi się podoba. Oby w jak największej ilości organizacji, zarząd rozumiał obowiązki ochrony danych i postrzegał administratorów bezpieczeństwa informacji jako wsparcie w rozwiązywaniu związanych z tym problemów.

JAKIE KWALIFIKACJE SĄ NIEZBĘDNE WSPÓŁCZESNEMU ABI-EMU?

Z powyższych rozważań wynika, że ABI powinien posiadać bardzo szerokie kwalifikacje. Z pewnością powinien dobrze orientować się w zagadnieniach prawa przetwarzania danych osobowych. Powinien posiadać również wiedzę informatyczną, w przeciwnym wypadku może być świetnym specjalistą od zagadnień ochrony danych osobowych, ale we współczesnych organizacjach, trudno będzie mu prawidłowo realizować nakładany przez ustawę obowiązek nadzoru.

Z pewnością nie powinna być to osoba przypadkowa. Umiejętność współpracy i skutecznego prowadzenia nadzoru wydaje się kluczowa. Musi posiadać umiejętność podejmowania decyzji i być gotowym na ponoszenie ich konsekwencji.

ODPOWIEDZIALNOŚĆ

Pełnienie roli administratora bezpieczeństwa informacji wiąże się z dużą odpowiedzialnością. O możliwości odpowiedzialności karnej już wspominałem. Oczywiście, w wyniku zaniedbania swoich obowiązków, ABI może ponieść również konsekwencje służbowe.

Administrator bezpieczeństwa informacji, powinien mieć zawsze świadomość konsekwencji swoich decyzji. Czasami, mogą się one wiązać się ze sporymi kosztami dla pracodawcy. I mam tu na myśli, nie tylko ewentualne odszkodowania, ale np. prowadzone przez niektóre organizacje akcje rozsyłania do tysięcy swoich klientów druków zgody na przetwarzanie danych osobowych, w sytuacjach, gdy taka zgoda w ogóle nie była potrzebna…

„SYSTEMATYKA”

Zadania ABI

PRZYSZŁOŚĆ

JAKI ABI JEST NAM POTRZEBNY

Coraz bardziej widoczna stała się potrzeba uregulowania zadań i pozycji administratora bezpieczeństwa informacji w organizacjach. Na różnych forach przetoczyła się dyskusja i pojawiły się różne, czasami bardzo sprzeczne propozycje uregulowań. Jako o jednym z najbardziej spójnych rozwiązań, wypada wspomnieć o propozycji Stowarzyszenia ABI. Można się z nimi zapoznać na stronie stowarzyszenia.

Wydaje się, że bardziej szczegółowe określenie zadań ABI w ustawie jest wskazane. Nie powinno to jednak oznaczać, że wpisujemy poszczególne czynności, jak prowadzenie szkoleń, czy rejestru pomieszczeń. Zapisy ustawowe powinny stanowić dla administratora bezpieczeństwa informacji narzędzie pozwalające mu skutecznie realizować podstawowy obowiązek, którym jest nadzór nad stosowaniem szeroko rozumianych zabezpieczeń, ale również udział w ich tworzeniu i wdrażaniu. Najważniejsze wydaje się zapewnienie skutecznych mechanizmów gwarantujących administratorowi bezpieczeństwa informacji niezależność w podejmowanych decyzjach. Mechanizmy te nie powinny jednocześnie nakładać dużych obowiązków na administratorów danych.

Rozmawiając o roli nowego ABI, zbyt często, moim zdaniem, koncentrujemy się na dużych organizacjach. Rzecz w tym, że duże organizacje zwykle zagadnienia ochrony danych mają uporządkowane. Nawet, jeżeli powodują one ogromne problemy, to w skali dużego podmiotu, są one rozwiązywalne. Inaczej wygląda sprawa małych organizacji. Niewielki zakład, nawet jeżeli przetwarza jedynie dane pracowników, staje często przed problemami, które w jego skali są nierozwiązywalne. Inny przykład mogą stanowić szkoły – sytuacja jest tutaj katastrofalna, a dane niejednokrotnie bardzo wrażliwe (stan zdrowia, rozwój psychiczny, współpraca z innymi podmiotami, np. ośrodkami pomocy społecznej). Wprowadzenie nowych uregulowań, nie spowoduje automatycznego uzdrowienia sytuacji. Konieczne wydaje się niezbędne wypracowanie rozwiązań możliwych do wdrożenia przez takie podmioty.

Pojawiają się również propozycje, by znieść obowiązek rejestrowania zbiorów danych i w zamian powierzyć administratorom bezpieczeństwa informacji obowiązek prowadzenia rejestru takich zbiorów. Co prawda głównym celem tej zmiany wydaje się odciążenie urzędu, spowoduje to jednak również zmniejszenie ilości pracy wykonywanej przez administratorów bezpieczeństwa informacji. Przecież rejestr zbiorów i tak muszą oni prowadzić. Może warto jednak pomyśleć o jakimś wzmocnieniu pozycji ABI. Wielu administratorów danych utożsamia rejestrację zbiorów z ochroną danych osobowych. Oby nie doszło tu do sytuacji, w której ABI usłyszy od prezesa – „ty mi tu głowy nie zawracaj, przecież tą całą ochronę danych już znieśli”.

Planując zmiany w zakresie przepisów dotyczących ABI, wyróżnić możemy podstawowe obszary:

  • Zadania ABI
  • Uprawnienia ABI
  • Umocowanie ABI w strukturze organizacyjnej

KWALIFIKACJE. ZAWÓD REGULOWANY? CERTYFIKATY?

Z pewnością warto zagwarantować posiadanie przez administratora bezpieczeństwa informacji odpowiednich kwalifikacji. Wydaje się jednak, że wpisanie do ustawy obowiązku posiadania wykształcenia prawniczego lub informatycznego może spowodować więcej szkody niż korzyści. Być może dobrym rozwiązaniem jest prosty zapis mówiący o tym żeby ABI musiał posiadać odpowiednie kwalifikacje w stosunku do konkretnego zakresu realizowanych zadań.

Z pewnością, bardzo ważne jest posiadanie przez ABI odpowiednich cech osobistych. Jakiekolwiek próby odgórnej regulacji, może spowodować, że do zawodu dostaną się osoby nie posiadające odpowiednich predyspozycji.

Kuszącym pomysłem wydaje się początkowo utworzenie nowego zawodu regulowanego. ABI musi zdać egzamin kwalifikujący, uzyskać akceptację GIODO, posiadać odpowiednie certyfikaty zawodowe… Po głębszej analizie, okazuje się jednak, że takie rozwiązanie nie tylko nie ma szansy bycia przyjętym (bo kto się odważy powiedzieć, że w imię ochrony danych osobowych, przedsiębiorcy będą musieli ponosić nowe, wysokie koszty, które w rezultacie przeniosą się na społeczeństwo), ale prawdopodobnie doprowadziłoby do obniżenia poziomu zabezpieczenia danych. Musielibyśmy się liczyć z ukrywaniem faktu przetwarzania danych, z opanowaniem rynku przez pojedyncze podmioty i w konsekwencji dyktowaniem cen i poziomu realizacji usług.

Wydaje się jednak, że posiadanie pewnych uprawnień, np. certyfikatów zawodowych mogłoby być premiowane, np. możliwością prowadzenia rejestru zbiorów danych osobowych i braku konieczności ich zgłaszania GIODO.

Możliwe wydaje się również przyjęcie rozwiązania, zgodnie z którym, w określonych odstępach czasu ABI przesyła GIODO sprawozdanie z prowadzonych kontroli. Z takiego obowiązku mogliby być zwolnieni administratorzy bezpieczeństwa posiadający odpowiednie certyfikaty (zakres wymieniony w rozporządzeniu Ministra Spraw Wewnętrznych i Administracji w sprawie wykazu certyfikatów uprawniających do prowadzenia kontroli projektów informatycznych i systemów teleinformatycznych z dnia 10 września 2010 r. wydaje się dobrym przykładem).

ODPOWIEDZIALNOŚĆ?

Uważam, że uszczegółowienie obowiązków ABI, zapewnienie mu swego rodzaju nienaruszalności, powinno wiązać się również z większą odpowiedzialnością. Chcemy mieć gwarancję, że ABI będzie korzystał ze zwiększenia swoich obowiązków w sposób prawidłowy. Nie koniecznie musi to być odpowiedzialność karna. Podobałaby mi się możliwość ponoszenia odpowiedzialności służbowej, np. jeżeli ABI nie dopełni swoich obowiązków i zostanie to stwierdzone przez GIODO.

ABI – CZŁOWIEK GIODO, CZY ADO?

Do tej pory, administrator bezpieczeństwa informacji działał na rzecz administratora danych. Nadzorował, doradzał, ale zawsze występował po stronie administratora danych. W proponowanych rozwiązaniach, ABI zaczyna pełnić rolę przedstawiciela GIODO w organizacji. Z jednej strony nie chcemy tworzyć nowego zawodu regulowanego, nie chcemy istotnie podnosić kosztów administratora danych, z drugiej jednak strony planujemy wprowadzić obowiązek wyznaczania osoby, która będzie po części pełniła rolę urzędnika biura GIODO. Nie twierdzę że ABI nie powinien mieć pewnych obowiązków, do których spełnienia będzie zobowiązany, nawet gdy ADO będzie miał inne zdanie. Uważam, że danie ABI takich możliwości jest mocno wskazane. W połączeniu z zagwarantowaniem pewnej niezależności i podniesieniem ewentualnej odpowiedzialności, może to dać bardzo dobre efekty. Konieczne jest jednak bardzo dobre wyważenie roli ABI, a jednocześnie podejmowane działania muszą w minimalny sposób nakładać nowe obciążenia na organizacje.

PROJEKT ROZPORZĄDZENIA

Przygotowany przez Komisję Europejską projekt rozporządzenia (General Data Protection Regulation), które być może zastąpi wkrótce naszą krajową, ustawę o ochronie danych osobowych, bardzo szeroko traktuje zadania i prawa ABI, który staje się tutaj „Data protection officer”. Omówmy pokrótce proponowany rozwiązania.

PODSTAWOWE ZNACZENIE MA ROZDZIAŁ 4 – DATA PROTECTION OFFICER.
ART. 32 – WYZNACZENIE DPO
  • DPO musi być wyznaczony przez ADO lub procesora (również art. 19 ust. 2. pkt (e)):
    • Będącego instytucją publiczną
    • Zatrudniającego powyżej 250 pracowników
    • Podstawowa działalność ADO lub procesora polega na regularnym i systematycznym kontrolowaniu osób
  • Inne podmioty mogą wyznaczyć DPO.
  • DPO powinien posiadać adekwatną wiedzę i powinna być ona dostosowana do przetwarzanych danych.
  • ADO i procesor powinni zapewnić, że DPO wykonując swoje zadania nie będzie narażony na konflikty interesów.
  • ADO lub procesor wyznacza DPO na dwuletnią kadencję, która może być następnie przedłużona. W czasie swojego urzędowania, DPO może być zwolniony, jedynie, jeżeli nie spełnia wymagań koniecznych do pełnienia swoich obowiązków.
  • DPO może być zatrudniony przez ADO lub procesora, lub wykonywać swoje zadania w oparciu o umowę o świadczenie usług.
  • Dane DPO powinny być przekazane GIODO, podane do publicznej wiadomości oraz udostępnione osobom, których dane są przetwarzane (również w art. 12 ust. 1. pkt (a)). Osoby te muszą mieć możliwość kontaktu z DPO w wypadku incydentów i w celu skorzystania z praw nadanych przez rozporządzenie.
ART. 33 –DPO W STRUKTURZE ORGANIZACYJNEJ
  • ADO lub procesor zapewnia, że DPO jest zaangażowany we wszystkie zagadnienia związane z ochroną danych.
  • DPO wykonuje swoje zadania niezależnie i podlega bezpośrednio dyrekcji.
  • ADO lub procesor wspierają DPO w realizacji zadań oraz zapewniają niezbędne zasoby.
ART. 34 –ZADANIA DPO
  • Rozporządzenie określa jedynie minimalne zadania DPO.
  • Informuje ADO i kontrolera o ich obowiązkach oraz dokumentuje te działania.
  • Monitoruje wdrażanie i stosowanie polityki, w tym prowadzenie szkoleń, audytów i przypisywanie obowiązków.
  • Monitoruje wdrażanie i stosowanie rozporządzenia.
  • Zapewnia prowadzenie wymaganej rozporządzeniem dokumentacji.
  • Monitoruje skuteczność oceny skutków przetwarzania danych.
  • Monitoruje odpowiedzi na żądania GIODO (supervisory authority) oraz współpracuje z GIODO w zakresie własnych kompetencji.
  • Stanowi osobę kontaktową dla GIODO.

W części przepisów komisja ma prawo wprowadzać dodatkowe wymagania.

ART. 79 – ODPOWIEDZIALNOŚĆ ADMINISTRACYJNA

W wypadku niewyznaczenia DPO lub umyślnego lub nieumyślnego niespełnienia wymagań określonych w art. 32, 33 lub 34, GIODO powinien nałożyć w karę w wysokości 100 tyś. – 1 mln. Euro lub 5% światowego obrotu przedsiębiorstwa.

PKT 62 PREAMBUŁY

DPO może, ale nie musi być pracownikiem ADO. Swoje zadania wykonuje niezależnie.

SPRÓBUJMY PRZEWIDZIEĆ PRZYSZŁOŚĆ

W najbliższym czasie możemy się spodziewać nowej wersji rozporządzenia MSWiA z 29 kwietnia 2004r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służą ce do przetwarzania danych osobowych, a być może również ustawy o ochronie danych osobowych. Generalny Inspektor wydaje się zdeterminowany by przeprowadzić te zmiany, zresztą nie ma innego wyjścia – rozporządzenie w obecnej postaci nie nadaje się do stosowania.

Następnie możemy spodziewać się zastąpienia Dyrektywy i Ustawy przez rozporządzenie UE. Ucieczki nie ma – prawo ochrony danych osobowych musi zostać zmienione albo przestanie funkcjonować.

Jaka będzie po tych zmianach rola Administratorów Bezpieczeństwa Informacji? Starajmy się na to wpłynąć już teraz.