Polityka bezpieczeństwa do kosza?

Czy 25 maja 2018r., będziemy nadal stosować obecną dokumentację systemu zarządzania ochroną danych osobowych?

25 maja 2018r. zaczniemy stosować przepisy RODO, a nasza ustawa o ochronie danych osobowych i powiązane z nią rozporządzenie “techniczne”, zaczną odchodzić w niepamięć. Rozporządzenie “techniczne” mówi jakie elementy powinna zawierać polityka bezpieczeństwa i instrukcja zarządzania systemem informatycznym. Czy oznacza to, że powinniśmy pozbyć się naszej polityki bezpieczeństwa i instrukcji zarządzania? Niekoniecznie. Zauważmy, że rozporządzenie wskazywało jedynie minimalne wymagania w odniesieniu do posiadanej dokumentacji. Organizacje, które podeszły do problemu solidnie, będą mogły wykorzystać posiadaną dokumentację jako bazę do opracowania systemu zgodnego z RODO.

Przykładowo, traktowany często po macoszemu opis przepływów danych pomiędzy systemami, po rozszerzeniu o pozostałe przepływy danych, może stanowić świetną bazę dla identyfikacji zagrożeń i analizy ryzyka, ale również być jednym ze sposobów realizacji obowiązku zapewnienia wymaganej przez RODO rozliczalności.

 

 

Wytyczne dla RODO

Lista podstawowych stron na których należy szukać wytycznych dla RODO.

Gdzie szukać wytycznych dla RODO? To pytanie zaprząta umysły wielu osób przygotowujących organizacje do przetwarzania danych zgodnie z nową regulacją. Poniżej kilka podstawowych adresów, pod które należy śledzić na bieżąco:

 

 

 

Konferencja „Bezpieczeństwo danych w sektorze publicznym”

Konferencja „Bezpieczeństwo danych w sektorze publicznym”.
Temat przewodni konferencji dotyczy problematyki ochrony danych osobowych ze szczególnym uwzględnieniem Europejskiego Rozporządzenia o Ochronie Danych Osobowych (RODO/GDPR).
Konferencja adresowana jest do osób zainteresowanych zagadnieniami związanymi z ochroną danych osobowych, ze szczególnym uwzględnieniem przedstawicieli jednostek administracji publicznej.

Konferencja

Tegoroczna edycja konferencji „Bezpieczeństwo danych w sektorze publicznym” odbędzie się w dn. 17 maja 2017 r. w Warszawie, przy ul. Solec 38 lok. 103.

Temat przewodni konferencji dotyczy problematyki ochrony danych osobowych ze szczególnym uwzględnieniem Europejskiego Rozporządzenia o Ochronie Danych Osobowych (RODO/GDPR).

Konferencja adresowana jest do osób zainteresowanych zagadnieniami związanymi z ochroną danych osobowych, ze szczególnym uwzględnieniem przedstawicieli jednostek administracji publicznej.

Udział w konferencji jest bezpłatny.

Przewidywany jest udział osobisty oraz udział zdalny (w wybranych częściach konferencji).

Formuła konferencji

Wiodącym celem zeszłorocznej edycji konferencji był wzrost świadomości zagadnień dotyczących bezpieczeństwa danych, ze szczególnym uwzględnieniem wymagań stawianych w jednostkach administracji publicznej.
W trakcie konferencji poruszone zostały techniczne, ekonomiczne oraz prawne aspekty związane z definiowaniem, utrzymaniem oraz doskonaleniem systemów zarządzania bezpieczeństwem informacji.

Tegoroczna edycja konferencji została pomyślana w ten sposób, aby na gruncie rezultatów pierwszej edycji konferencji, pójść o krok dalej i zaadresować nie tylko wzrost świadomości uczestników, ale także zapewnić możliwość wymiany doświadczeń oraz podzielenia się własnymi doświadczeniami a także katalizować budowanie nowych lub utrwalenia istniejących relacji.

Tegoroczna edycja konferencji będzie realizowana w formule zgodnie z którą:

  • Społeczność sympatyków, prelegentów oraz uczestników tego cyklu konferencji będzie budowana przed, pielęgnowana w trakcie oraz po jej zakończeniu.
  • Zorganizowana zostanie internetowa prekonferencja, w której uczestniczyć będzie można wyłącznie w sposób zdalny.
  • Przed rozpoczęciem konferencji odbędzie się nabór oraz głosowania w kategoriach:
    • MWS (Most Wanted Speaker) :: najbardziej pożądany wykładowca
    • MWQ (Most Wanted Question) :: najbardziej palące pytanie
    • MWT (Most Wanted Topic) :: najbardziej intrygujący temat
    • MWP (Most Wanted Proposal) :: najlepsza zgłoszona propozycja
  • Program konferencji będzie podzielony na części, a każda z nich będzie miała inną formułę – od wykładów plenarnych zaproszonych prelegentów, przez dyskusję z ekspertem, po wystąpienia uczestników:
    • Część 1 konferencji obejmuje wykłady plenarne osób zajmujących się zawodowo praktyką ochroną danych osobowych. Pierwsza część konferencji będzie realizowana w formule wykładowej (wykłady będą strumieniowane przez Internet).
    • Część 2 konferencji poświęcona jest kontroli przetwarzania danych osobowych. Druga część konferencji będzie realizowana w formule dyskusji z zaproszonym ekspertem (z GIODO).
    • Część 3 konferencji dotyczy zagadnień związanych z przygotowaniem do wdrożenia unijnego rozporządzenia o ochronie danych osobowych. Formuła tej części konferencji to World Cafe (propozycje tematów zgłaszane przez uczestników, które w dalszej części omawiane są przy stolikach tematycznych).
    • Część 4 konferencji przewiduje serię 5-minutowych wystąpień dotyczących problematyki konferencji, które zostały zgłoszone przez przedstawicieli instytucji sektora publicznego. Formuła: Ignite Talk (prezentacje złożone są z 20 slajdów, a slajdy przełączane są co 15 sekund).
  • Opracowane zostaną materiały pokonferencyjne będące udokumentowaniem wszystkich aktywności związanych z tegoroczną edycją konferencji: od materiałów wykładowych, przez wnioski z dyskusji oraz komentarze uczestników.
  • Zorganizowana zostanie internetowe spotkanie pokonferencyjne w ramach którego wystąpią eksperci związani z Polskim Towarzystwem Informatycznym.

Szczegółowe informacje dostępne są na stronie konferencji.

Dzień Bezpłatnych Szkoleń w WSB.

Już w najbliższą sobotę (17 września 2016), Wyższa Szkoła Biznesu w Cieszynie oraz Wyższa Szkoła Biznesu w Dąbrowie Górniczej organizują Dzień Otwarty Studiów Podyplomowych.
Zachęcamy do udziału w bezpłatnych warsztatach z zakresu ochrony danych osobowych.

Już w najbliższą sobotę (17 września 2016), Wyższa Szkoła Biznesu w Cieszynie oraz Wyższa Szkoła Biznesu w Dąbrowie Górniczej organizują Dzień Otwarty Studiów Podyplomowych.

Wszyscy zainteresowani zdobyciem dodatkowych kwalifikacji i poszerzeniem swoich kompetencji będą mieli okazję poznać uczelnię, jej ofertę edukacyjną oraz porozmawiać z wykładowcami. Wydarzenie to daje także możliwość poznania systemu nauki i kształcenia na wybranym kierunku studiów podyplomowych.

Szczególnie zachęcamy do udziału w bezpłatnych warsztatach z zakresu ochrony danych osobowych:

Udział w warsztatach i szkoleniach jest bezpłatny. Każdy uczestnik otrzyma certyfikat udziału w szkoleniu.

Więcej informacji na stronie Uczelni.

Doradzać każdy może…

W mediach pojawia się coraz więcej informacji o czekającej nas rewolucji w ochronie danych osobowych. Do mainstreamu dotarła wiadomość, że za dwa lata, przedsiębiorców czeka Armagedon.
Generalny Inspektor powinien już prowadzić bardzo intensywną kampanię skierowaną do przedsiębiorców.

W mediach pojawia się coraz więcej informacji o czekającej nas rewolucji w ochronie danych osobowych. Do mainstreamu dotarła wiadomość, że za dwa lata, przedsiębiorców czeka Armagedon, że będą musieli jakieś straszne obowiązki spełniać. Cóż, zmiany rzeczywiście będą. Pojawia się nowe obowiązki, ale będą tez ułatwienia. Oczywiście, każda zmiana wiąże się z koniecznością dodatkowych działań ze strony przedsiębiorców i w związku z tym jest uciążliwa. Ale ostatnio zdałem sobie sprawę, że przed wszystkimi stanie jeszcze jedno wyzwanie – ci, którzy zdecydują się na skorzystanie ze wsparcia specjalistów, będą musieli w jakiś sposób odróżnić podmioty posiadające rzeczywista wiedzę i doświadczenie, od rzeszy tych, którzy przy okazji reformy zwietrzyli łatwy pieniądz.

Uczestniczyłem ostatnio w konferencji, w trakcie której, przedstawiciel pragnącej wejść na rynek kancelarii prawnej opowiadał o wchodzącym w życie Rozporządzeniu Ogólnym. Musze chyba przeprosić uczestników, ze nie wstałem i nie powiedziałem myślę o poziomie wiedzy prelegenta.

W praktyce, każdy poruszony temat wiązał się z mniejszymi lub większymi błędami.
Rozumiem organizatorów – przecież prelegent reprezentował kancelarię prawną i mówił o podstawach. Nie powinno być tam błędów. Rozumiem też Kancelarię – to jest dobry moment, żeby wejść na rynek. Ale jak mają sobie w takiej sytuacji poradzić szukający informacji przedsiębiorcy? Patrzę tutaj w stronę GIODO. Moim zdaniem, Generalny Inspektor powinien już prowadzić bardzo intensywną kampanię skierowaną do przedsiębiorców. Widzimy, że prowadzone są pewne działania, ale w mojej ocenie, czas już na konkrety.

Jarosław Żabówka

 

 

 

Jak wykorzystać Rozporządzenie w sprawie KRI do tworzenia systemu ochrony danych osobowych

W trakcie zorganizowanej przez PTI Konferencji „Bezpieczeństwo danych w sektorze publicznym” miałem przyjemność wygłosić prelekcją na temat wykorzystania „Rozporządzenia Rady Ministrów w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych”, w tworzeniu systemu ochrony danych osobowych.

Wynikający z Rozporządzenia obowiązek stworzenia systemu zarządzania bezpieczeństwem informacji w podmiotach realizujących zadania publiczne (więc nie tylko w urzędach!), zaczyna powoli przebijać się do świadomości osób odpowiedzialnych za bezpieczeństwo informacji. Skutkuje to, częstym na szkoleniach i konferencjach pytaniem: „Co Pan mówi?! Czego wy od nas chcecie?! Nie dość, że mamy stworzyć politykę bezpieczeństwa danych osobowych, to jeszcze mamy mieć drugą politykę bezpieczeństwa informacji?”.

W trakcie prezentacji starałem się pokazać, że nie tylko nie musimy powielać zapisów z polityki bezpieczeństwa danych osobowych w polityce bezpieczeństwa informacji, ale powinniśmy dążyć do scalenia i ujednolicenia tych systemów. Opracowany na podstawie § 20 Rozporządzenia system zarządzania powinien umożliwić prawidłowy dobór zabezpieczeń.

Zgodnie z ustawą o ochronie danych osobowych „Administrator danych jest obowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną(…)”. Ale jakie środki będą „właściwe”? Podmioty realizujące zadania publiczne, dobierając zabezpieczenia powinny opierać się na analizie ryzyka przeprowadzonej zgodnie z Rozporządzeniem (§ 20 ust. 2. pkt 3)).

Oczywiście, polityka bezpieczeństwa i instrukcja zarządzania systemem informatycznych służącym do przetwarzania danych osobowych muszą zawierać wszystkie wymagane elementy. Przykładowo, wykaz zbiorów danych i opis struktury, nie będą częścią systemu zarządzania bezpieczeństwem informacji. Jednak „określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych”, możemy włączyć już do systemu zarządzania bezpieczeństwem informacji.

Prezentację można pobrać ze strony Konferencji.

Zachęcam również do zapoznania się z pozostałymi prezentacjami i udziału w kolejnych edycjach.

 

Jarosław Żabówka

 

Poszukiwany specjalista ds. ochrony danych osobowych!

PERSONA Magdalena Korga z siedzibą w Chorzowie poszukuje kandydata na stanowisko: Specjalista ds. ochrony danych osobowych

 

PERSONA Magdalena Korga z siedzibą w Chorzowie poszukuje kandydata na stanowisko:

Specjalista ds. ochrony danych osobowych

Miejsce pracy: Chorzów

 

KILKA SŁÓW O NAS:

Zajmujemy się doradztwem prawnym w obszarze ochrony danych osobowych – pomagamy zarówno małym i średnim przedsiębiorcom, jak i dużym spółkom w dostosowaniu procesów biznesowych do wymogów prawa ochrony danych osobowych.

Przeprowadzamy audyty zgodności przetwarzania danych osobowych z wymogami prawnymi, wdrażamy systemy ochrony danych osobowych w przedsiębiorstwach prywatnych, jak i instytucjach publicznych, wspieramy organizacje pełniąc funkcję Administratora bezpieczeństwa informacji, prowadzimy szkolenia otwarte i zamknięte z obszaru ochrony danych osobowych.

PROFIL KANDYDATA:

  • Wykształcenie wyższe,
  • Znajomość zagadnień IT związanych z bezpieczeństwem danych przetwarzanych w systemach informatycznych (budowa i zabezpieczenia sieci i systemów informatycznych),
  • Dobra znajomość zagadnień prawnych w obszarze ochrony danych osobowych, w szczególności Ustawy o ochronie danych osobowych i rozporządzeń wykonawczych – mile widziani absolwenci studiów podyplomowych w obszarze ochrony danych osobowych lub absolwenci/studenci zaoczni na wydziale prawa,
  • Co najmniej 2 lata doświadczenia na stanowisku Administratora bezpieczeństwa informacji lub Administratora systemów informatycznych lub innym stanowisku związanym z zarządzaniem bezpieczeństwem danych osobowych,
  • Mile widziana znajomość norm ISO z zakresu bezpieczeństwa informacji,
  • Zainteresowanie tematyką ochrony danych osobowych i bezpieczeństwa informacji – zwłaszcza
    w kontekście rozwiązań IT i chęć rozwoju zawodowego w tym obszarze.

ZAKRES OBOWIĄZKÓW :

  • Udział we wdrażaniu systemu ochrony danych osobowych, w tym w audytach zgodności –
    w szczególności w odniesieniu do przetwarzania i zabezpieczania danych w systemach informatycznych,
  • Wsparcie przy tworzeniu wymaganej prawem dokumentacji dla klientów – w szczególności Instrukcji zarządzania system informatycznym,
  • Opracowywanie opinii w obszarze ochrony danych osobowych,
  • Wsparcie przy rozwiązywaniu bieżących problemów w ramach pełnienia funkcji Administratora bezpieczeństwa informacji.

OFERUJEMY:

  • Możliwość rozwoju w interesującym i przyszłościowym obszarze zawodowym,
  • Pracę w przyjaznym zespole i miłej atmosferze, wśród ludzi, którzy przychodzą do pracy z uśmiechem,
  • Wynagrodzenie adekwatne do posiadanej wiedzy i doświadczenia,
  • Formę współpracy dostosowaną do preferencji i umiejętności kandydata.

ZAINTERESOWANE OSOBY PROSIMY O PRZESŁANIE CV ORAZ LISTU MOTYWACYJNEGO DROGĄ MAILOWĄ NA ADRES persona@korga.eu DO DNIA 22 stycznia 2016 roku.

Informujemy, iż administratorem Pani/Pana danych osobowych będzie Magdalena Korga prowadząca działalność gospodarczą pod nazwą PERSONA, z siedzibą w Chorzowie 41-506, ul. Plac Osiedlowy 2/75. Dane będą przetwarzane w celach rekrutacyjnych teraz i w przyszłości. Podanie danych jest dobrowolne, ale niezbędne dla realizacji celów. Przysługuje Pani/Panu prawo dostępu do treści swoich danych oraz ich poprawiania.

Prosimy o dopisanie w dokumentach aplikacyjnych poniższej klauzuli:

„Wyrażam zgodę na przetwarzanie przez Magdalenę Korga danych osobowych zawartych w mojej ofercie pracy dla potrzeb niezbędnych do realizacji procesu rekrutacji obecnej i przyszłych”.

 

Dzień Otwarty Generalnego Inspektora Ochrony Danych Osobowych

Dzień Otwarty Generalnego Inspektora Ochrony Danych Osobowych w Wyższej Szkole Biznesu w Dąbrowie Górniczej, 14 stycznia 2016 r.

Wypełniony branżowymi imprezami początek roku, szczególnie interesująco zapowiada się na Śląsku. Już następnego dnia po konferencji „Ochrona danych medycznych”, spotykamy się na Dniu Otwartym GIODO w Wyższej Szkole Biznesu w Dąbrowie Górniczej.

Dąbrowska uczelnia od dawna wiedzie prym w kształceniu specjalistów ochrony danych osobowych, a nowy program kierunku „Ochrona danych osobowych w administracji i w biznesie – Administrator Bezpieczeństwa Informacji”, jest rzeczywiście unikatowy i zapewnia absolwentom wyjątkową pozycję na rynku pracy.

Po raz kolejny GIODO rozpoczyna obchody Dnia Ochrony Danych Osobowych w Dąbrowie Górniczej, co dobitnie potwierdza poziom uczelni i stanowi powód do chluby dla studentów i absolwentów.

Program dnia otwartego:

 

DZIEŃ OTWARTY

GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH
Wyższa Szkoła Biznesu w Dąbrowie Górniczej, 14 stycznia 2016 r.


Godz.11.00-11.15
Powitanie Gości oraz rozpoczęcie Konferencji

  • dr Edyta Bielak – Jomaa – Generalny Inspektor Ochrony Danych Osobowych
  • prof. Zdzisława Dacko- Pikiewicz – Rektor Wyższej Szkoły Biznesu w Dąbrowie Górniczej

Godz. 11.15-11.50
„Nowa rola administratora bezpieczeństwa informacji w świetle nowelizacji przepisów o ochronie danych osobowych”

  • Monika Krasińska – Dyrektor Departamentu Orzecznictwa, Legislacji i Skarg Biura GIODO

Godz. 11.50 -12.30
„Reforma ram prawnych ochrony danych osobowych w Unii Europejskiej. Zakres zmian i konsekwencje dla branży marketingu bezpośredniego”

  • dr Paweł Litwiński – Instytut Allerhanda w Krakowie

Godz. 12.30- 12.45 Przerwa Kawowa

Godz. 12.45- 13.45
Debata panelowa „Aktualne problemy ochrony danych osobowych w marketingu bezpośrednim”

  • Bogusława Pilc – Dyrektor Departamentu Inspekcji Biura GIODO
  • dr Grzegorz Sibiga – Instytut Nauk Prawnych PAN
  • Xawery Konarski –Traple Konarski Podrecki i Wspólnicy sp.j. w Krakowie

Godz. 13.45- 14.30
Dobre praktyki działania w marketingu bezpośrednim

  • Maciej Wielkopolan – Prezes Zarządu Polskiego Stowarzyszenia Marketingu Bezpośredniego SMB
  • Michał Kaczorowski – Google Polska

Szczegółowe informacje oraz rejestracja na stronie internetowej WSB w Dąbrowie Górniczej >>>

 

 

Konferencja naukowa „Ochrona danych medycznych”

13 stycznia 2016, Uniwersytet Śląski zaprasza na konferencję „Ochrona danych medycznych”, która odbędzie się na Wydziale Prawa i Administracji Uniwersytetu Śląskiego 13 stycznia 2016 r., godz. 10.00 (Aula nr 5).

Dla osób zajmujących się ochroną danych osobowych, styczeń upłynie pod znakiem spotkań i konferencji. Rozpoczynamy mocnym uderzeniem na Śląsku.  Uniwersytet Śląski zaprasza na konferencję „Ochrona danych medycznych”, która odbędzie się na Wydziale Prawa i Administracji Uniwersytetu Śląskiego 13 stycznia 2016 r., godz. 10.00 (Aula nr 5).

 

Konferencja naukowa

„Ochrona danych medycznych”

Wydział Prawa i Administracji Uniwersytetu Śląskiego

13 stycznia 2016 r. Aula nr 5

10.00 – 10.20Rektor Uniwersytetu Śląskiego prof. zw. dr hab. Wiesław Banyś

dr Edyta Bielak – Jomaa, Generalny Inspektor Ochrony Danych Osobowych

Otwarcie konferencji
10.20 – 10.40dziekan WPiA UŚ prof. zw. dr hab. Czesław MartyszWystąpienie otwierające konferencję
10.40 – 11.20dr hab. Mariusz Jagielski, WPiA UŚDane medyczne jako dane osobowe
11.20 – 11.50dyr. Monika Krasińska, Biuro GIODOKoncepcja bezpieczeństwa danych medycznych w świetle regulacji krajowych oraz unijnych
11.50 – 12.20dr Paweł Litwiński, Instytut AllerhandaOchrona danych osobowych przetwarzanych w dokumentacji medycznej – outsourcing dokumentacji medycznej
12.20 – 12.40pytania do prelegentów, dyskusja
12.40 – 13.10Przerwa kawowa
13.10 – 13.50Piotr Kawczyński, ForSafePraktyczne aspekty zabezpieczenia danych osobowych medycznych, w tym przetwarzanych w modelu outsourcingu.
13.50 – 14.30dr inż. Kajetan Wojsyk, Centrum Systemów Informacyjnych Ochrony ZdrowiaDane osobowe w systemach informatycznych ochrony zdrowia
14.30 – 15.10Aneta Sieradzka, Kancelaria Prawna Świeca&Wspólnicy, Prawowtransplantacji.plDane osobowe i prywatność w transplantologii
15.10 – 15.40adw. Łukasz PrzebindowskiDostęp do danych osobowych zawartych w dokumentacji medycznej jako prawo pacjenta
15.40 – 16.00dyr. Monika Krasińska, Biuro GIODOZakończenie konferencji

 

Szczegóły na stronie konferencji >>>

 

 

Studia podyplomowe: Ochrona danych osobowych w administracji i w biznesie

Wyższa Szkoła Biznesu w Dąbrowie Górniczej

Wyższa Szkoła Biznesu w Dąbrowie Górniczej to jedna z najlepszych uczelni w Polsce. Praktyczne programy nauczania, wykwalifikowana kadra dydaktyczna praktyków, nowoczesne metody kształcenia to wynik ponad 20-letniego doświadczenia w zakresie realizacji studiów podyplomowych

Zachęcamy do skorzystania z możliwości podniesienia swoich kwalifikacji poprzez udział w studiach podyplomowych na kierunku „Ochrona danych osobowych w administracji i w biznesie”.

Studia na tym kierunku to przede wszystkim zajęcia prowadzone przez praktyków, dla których ochrona danych osobowych i bezpieczeństwo informacji to nie tylko codzienna praca, ale przede wszystkim życiowa pasja. Studia dają możliwość zdobycia wiedzy na temat zasad zabezpieczania różnych rodzajów informacji, dzięki czemu absolwenci zyskują wyjątkową pozycję na współczesnym rynku pracy. W trakcie zajęć poznają takie dziedziny jak przetwarzanie danych osobowych, bezpieczeństwo informacji, ochrona informacji niejawnych.

Dodatkowe informacje i szczegółowy program dostępne są na stronie internetowej Wyższej Szkoły Biznesu w Dąbrowie Górniczej.

 

 

Zapraszamy na Meet IT vol. 2 do Krakowa

12 czerwca (czwartek) 2014 odbędzie się drugie, krakowskie spotkanie z cyklu Meet IT. Miejscem spotkania będzie Restauracja&Oranżeria AUGUSTA w Krakowie.

Tematem przewodnim spotkania będzie: Administracja i przechowywanie danych wrażliwych.

Prelegenci odpowiedzą na pytania:

  • co to są dane wrażliwe?
  • o czym należy pamiętać przetwarzając dane osobowe?
  • jak bezpiecznie zarządzać informacjami?

szczegóły i rejestracja na www.meetit.org.pl

Agenda Meet IT

MeetIT to cykl spotkań organizowanych przez 3S dla menedżerów, specjalistów i sympatyków IT w firmach i instytucjach. Spotkania odbywają się od października 2012 roku. Partnerami organizacyjnymi są Polskie Towarzystwo Informatyczne oddział Górnośląski oraz nieformalna grupa IT Katowice skupiona wokół serwisu społecznościowego Goldenline.

Udział dla uczestników jest bezpłatny.

Każde ze spotkań składa się z części merytorycznej i nieformalnej. Podczas spotkań swoją wiedzą i doświadczeniami dzielą się eksperci, specjaliści reprezentujący globalne i lokalne marki związane z IT.

Wśród dotychczasowych prelegentów na Meet IT o swoich doświadczeniach opowiadali m.in. przedstawiciele: Fujitsu, IBM, Siemens, Grupa ONET, Nasza-Klasa, Microsoft, Sejf danych i wielu innych.

Szczegółowa agenda i rejestracja na stronie Meet IT

 

 

 

Bezpłatne szkolenie dla Administratorów Bezpieczeństwa Informacji

W dniu 12 maja o godz. 12.00 w Wyższej Szkole Biznesu w Dąbrowie Górniczej odbędzie się bezpłatne szkolenie dla osób zajmujących się bezpieczeństwem informacji oraz ochroną danych osobowych, ze szczególnym uwzględnieniem pracowników szkół oraz jednostek oświaty. Wydarzenie będzie połączone z projekcją filmu „Tajemniczy Świat informacji”.

 

Program szkolenia:

Termin: 12.05.2014 r. godz. 12.00-13.30

Miejsce: Wyższa Szkoła Biznesu w Dąbrowie Górniczej, Audytorium Maksimum.

 

Program:

godz. 12.00 Powitanie przez płk Tadeusza Koczkowskiego – Prezesa Krajowego Stowarzyszenia Ochrony Informacji Niejawnych
godz. 12.05 Prezentacja filmu „Tajemniczy Świat informacji”
godz. 12.30 Szkolenie „Ochrona danych osobowych w szkołach /jednostkach oświaty” – prowadzący Jarosław Żabówka
godz. 13.15 Dyskusja, pytania
godz. 13.30 Zakończenie szkolenia

Szczegóły na stronie Wyższej Szkoły Biznesu.

 

 

Przegląd sprawozdania GIODO za rok 2012.

Na naszym blogu znajdziecie Państwo nowy wpis – przegląd sprawozdania generalnego Inspektora Ochrony Danych Osobowych z działalności w 2012 roku. Liczę, że nasz subiektywny wyciąg najważniejszych tematów poruszanych w sprawozdaniu GIODO, ponownie spotka się z pozytywnym przyjęciem z Państwa strony.

 

 

Sprawozdanie GIODO za 2012 rok.

28 października 2013 roku, Generalny Inspektor Ochrony Danych Osobowych złożył sprawozdanie z działalności w 2012 roku.

Tradycyjnie już, przygotowałem dla Państwa mój subiektywny przegląd najważniejszych problemów, na które zwrócili uwagę kontrolerzy GIODO. Mam nadzieję, że ułatwi to nieco pracę tym z Państwa, którzy nie mają czasu na czytanie całego sprawozdania. Trzeba jednak powiedzieć, że sprawozdanie GIODO może być najlepszym źródłem informacji i jest lekturą obowiązkową dla wszystkich profesjonalnie zajmujących się ochroną danych osobowych.

W 2012 r. Generalny Inspektor Ochrony Danych Osobowych przeprowadził łącznie 165 kontroli zgodności przetwarzania danych osobowych z przepisami ustawy o ochronie danych osobowych. W tym:

  • 8 kontroli w podmiotach z sektora administracji publicznej – w Ministerstwie Pracy i Polityki Społecznej, w Wojewódzkim Urzędzie Pracy, Powiatowych Urzędach Pracy, w urzędach miejskich, w Miejskim Ośrodku Pomocy Społecznej oraz w Miejskich Ośrodkach Pomocy Rodzinie.
  • 11 kontroli przetwarzania danych osobowych w Krajowym Systemie Informatycznym (KSI) umożliwiającym organom administracji publicznej i organom wymiaru sprawiedliwości wykorzystywanie danych gromadzonych w Systemie Informacyjnym Schengen oraz w Wizowym Systemie Informacyjnym.
  • 16 kontroli w podmiotach sektora bankowego.
  • 5 kontroli u operatorów publicznej sieci telekomunikacyjnej, dostawców publicznie dostępnych usług telekomunikacyjnych.
  • 9 podmiotów służby zdrowia, w tym siedem ośrodków dawców szpiku.
  • 10 podmiotów należących sektora szkolnictwa wyższego – Ministerstwo Nauki i Szkolnictwa Wyższego, osiem uczelni oraz Ośrodek Przetwarzania Informacji Instytut Badawczy.
  • 11 kontroli w podmiotach prowadzących hotele.
  • 109 kontroli w innych podmiotach.

Ważniejsze problemy, o których mowa w sprawozdaniu:

  • Jako jedną z bardziej interesujących kontroli uznano kontorlę przeprowadzoną w Powiatowym Urzędzie Pracy, w toku której ustalono, że pracownicy PUP mieli dostęp do danych przetwarzanych w MOPS, natomiast pracownicy MOPS mieli dostęp do danych przetwarzanych w PUP. Dostęp był realizowany poprzez system informatyczny.

Pozwolę sobie tutaj na małą dygresję.

Dostęp był realizowany prawdopodobnie poprzez system SEPI. Jest to system, który pozwala na wymianę dowolnych informacji, pomiędzy różnymi podmiotami. Gdy kilka lat temu powstawała pierwsza wersja systemu, była ona oparta o wspólną bazę klientów wszystkich urzędów wymieniających się informacjami. Gdy zwracałem uwagę na niezgodność z prawem takiego rozwiązania, moje uwagi zostały zignorowane – być może dlatego, że prasa przedstawiała już wdrożenie systemu jako wielki sukces. Smutną satysfakcją było dla mnie, gdy Generalny Inspektor zakwestionował przyjęte rozwiązanie i system musiał być przepisany w taki sposób, że umożliwia wymianę informacji pomiędzy urzędami, bez budowania osobnej bazy. To, czy pracownicy jednego z urzędów mają dostęp do bazy drugiego, czy też odbywa się na zupełnie poprawnej tutaj zasadzie występowania w drodze elektronicznej o udostępnienie danych i świadome ich udostępnianie przez drugi z urzędów, jest kwestią konfiguracji systemu. Jest dla mnie niezrozumiałe, że w obecnej sytuacji, wymiana danych była realizowana w taki sposób. Nie stanowi żadnego problemu technicznego odpowiednie skonfigurowanie tego systemu.

Trzeba jednak zwrócić uwagę, że urzędy nie uczą się na błędach. Realizowany obecnie i wdrażany w niektórych urzędach system Jowisz, opiera się na podobnej zasadzie jak pierwsza wersja systemu SEPI. Znowu jest budowana wspólna baza klientów PUP i OPS. Na niektóre problemy zwracałem uwagę na forum grupy ABI, ale jest to tylko część wątpliwości budzonych przez system Jowisz. Sytuacja będzie tu o tyle trudniejsza, że system Jowisz jest budowane ze środków unijnych i w razie braku możliwości jego używania, okazać się może, że poniesione wydatki będą uznane za niekwalifikowane.

Warto zwrócić tu uwagę jeszcze na system Empatia. Prawdopodobnie uzyska on odpowiednie umocowanie w ustawie, ale obecnie, na etapie wdrożenia, jeszcze go nie ma…

  • GODO zwrócił uwagę, że banki powinny bez zbędne zwłoki aktualizować dane przekazywane do BIK.
  • W spółce prowadzącej działalność gospodarczą w zakresie usług ochrony osób i mienia realizowanych w formie bezpośredniej ochrony fizycznej oraz zabezpieczenia technicznego, prowadzono wobec kandydatów na konwojentów i dyspozytorów badania poligraficzne. GIODO stwierdził, że wyrażona przez kandydatów zgodna na piśmie nie stanowi podstawy do przetwarzania danych uzyskanych w trakcie takiego badania.
  • Spółka zbierała dane na temat stanu cywilnego zatrudnionych osób.
  • Kandydaci do pracy otrzymywali formularz aplikacyjny, za pomocą którego spółka uzyskiwała informacje o mocnych i słabych stronach kandydata.
  • Nieadekwatny w stosunku do celu zakres zbieranych danych.
  • Brak dobrowolności wyrażenia zgody.
  • Dane powinny być usuwane niezwłocznie po zrealizowaniu celu przetwarzania.
  • Zawierając umowę powierzenia przetwarzania danych, w sytuacji gdy przepisy szczegółowe stawiają wymagania w stosunku do osób dopuszczonych do przetwarzania danych, należy zapewnić, aby wymagania te były również spełnione przez osoby dopuszczone do przetwarzania danych przez procesora.
  • Zgodnie z ustawą o ochronie danych osobowych, daną osobową może być również nr identyfikacyjny. Udostępnianie danych innemu podmiotowi, w sytuacji gdy dane te będą zawierały jedynie numer identyfikacyjny i potencjalnie odbiorca danych nie będzie w stanie zidentyfikować konkretnej osoby fizycznej, będzie w rozumieniu GIODO stanowiło jednak udostępnianie danych osobowych.
  • Brak aktualizacji zgłoszeń zbiorów danych osobowych.
  • W wypadku uczelni stwierdzono m.in. brak prowadzenia lub aktualizacji polityki bezpieczeństwa, brak wyznaczenia ABI, nie zapewniono by zmiana hasła następowała nie rzadziej niż co 30 dni.
  • Brak dopełnienia obowiązku informacyjnego. W tym brak poinformowania osób o tym, kto jest administratorem danych i jaka jest jego siedziba.
  • Niespełnianie wymagań przez systemy informatyczne – dopuszczenie zbyt krótkich haseł, niekorzystanie z protokołu https.
  • Przechowywanie danych przetwarzanych w formie papierowej w niezamykanych szafkach i na półkach.
  • Bankowe karty przedpłacone wydawane przez stowarzyszenie swoim członkom i będące jednocześnie kartami członkowskimi, uznano za marketing produktów banku.
  • W wypadku spółki, która realizowała obowiązek informacyjny poprzez podanie informacji w regulaminie oraz w treści polityki prywatności zamieszczonej w portalu, uznano, że nie przedstawiła ona wystarczających dowodów realizacji obowiązku informacyjnego.
  • Wyrażenie zgody na przetwarzanie danych osobowych oraz otrzymywanie informacji handlowych drogą elektroniczną, nie może być realizowane w drodze jednego oświadczenia.
  • Uzyskanie przez spółkę danych od sprawców kradzieży w prowadzonych przez spółkę sklepach, w celu zawiadomienia policji o zaistniałej kradzieży, nie stanowi naruszenia obowiązujących przepisów.
  • Administratorzy kilku portali internetowych – w celu umieszczenia ogłoszeń towarzyskich – bezprawnie zamieścili i udostępniali innym osobom na swej stronie internetowej, dane osobowe w zakresie imienia, nazwiska i daty urodzenia osoby.
  • Przetwarzanie danych osobowych przez podmioty prowadzące strony internetowe, bez posiadania podstawy prawnej.
  • Udostępnianie danych osobowych podmiotom nieupoważnionym. Przykładowo udostępnienie danych aptece przez spółdzielnię mieszkaniową, w celu wydania osobom kart rabatowych.
  • Pozostawienie dokumentacji medycznej w lokalu opuszczanym przez podmiot zajmujący się usługami medycznymi.
  • Ujawnienie danych poprzez rozesłanie maila w taki sposób, że widoczne były adresy pozostałych adresatów.
  • Ujawnienie danych przez szpital, na rzecz spółki ubezpieczeniowej.
  • Wykorzystanie danych pracowników na potrzeby kampanii wyborczej.
  • GIODO wydał decyzję nakazującą burmistrzowi udostępnienie skarżącemu danych osobowych w zakresie imion i nazwisk osób, które wniosły na niego do urzędu miasta skargę w przedmiocie zasad współżycia społecznego.
  • Koperty z dokumentami zawierającymi dane osobowe osób były umieszczane przez pracowników urzędu gminy na bramach ich posesji.
  • GODO nakazał usunięcie ze strony internetowej informacji o osobie, która jako mieszkanka przytuliska dla osób bezdomnych opracowała broszurę informacyjną a następnie, jako jej autorka znalazła się w wykazie bibliotecznym. GIODO uznał, że dyrektor placówki prawidłowo przetwarzał dane, jednak wykazana przez osobę jej szczególna sytuacja uzasadnia jej żądanie zaprzestania przetwarzania jej danych.
  • Wywieszanie zawiadomienia o porządku obrad walnego zgromadzenia spółdzielni, zawierające dane osobowe ich członków, na tablicach informacyjnych znajdujących się na klatkach schodowych budynków.
  • Przekazywanie korespondencji członkom spółdzielni w niezaklejonych kopertach. Co prawda inni członkowie spółdzielni mieli prawo do zapoznania się z tymi danymi, ale jedynie na żądanie.
  • Pracodawca nie może żądać od związku zawodowego listy wszystkich pracowników objętych ochroną związkową.
  • Umieszczenie na karcie miejskiej imienia i nazwiska oraz wizerunku jej posiadacza było wystarczające dla umożliwienia weryfikacji, czy daną kartą, jako nośnikiem imiennego biletu komunikacji miejskiej, posługuje się osoba upoważniona do jej używania. Zbędne było kodowanie na karcie nr PESEL.
  • Brak szyfrowania danych przesyłanych przez Internet. Zwłaszcza dotyczy to poczty elektronicznej.
  • Ustawa o ochronie danych osobowych nie ma zastosowania do udostępniania dokumentów, a jedynie do wykonywania operacji na danych osobowych.

Kontroli poddano 280 systemów informatycznych, tj. o 104 mniej niż w roku 2011, w którym skontrolowano 384 systemy informatyczne wykorzystywane do przetwarzania danych osobowych. Większość kontroli należała do kontroli częściowych, które swym zakresem obejmowały jedynie wybrane aspekty przetwarzania danych.

„W przypadku, gdy kontrolowana jednostka opracowała wymagane dokumenty (takie jak polityka bezpieczeństwa oraz instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych), prowadziła ewidencję osób upoważnionych do przetwarzania danych osobowych oraz wdrożyła opisane w tej dokumentacji procedury przetwarzanie danych osobowych w zakresie wymogów formalno-organizacyjnych, realizację wymogu prowadzenia dokumentacji uznawano za prawidłową. Sprawdzano również, czy wyznaczony został administrator bezpieczeństwa informacji oraz czy osoby dopuszczone do przetwarzania danych posiadały stosowne upoważnienia nadane przez administratora danych.”

Niemal wszystkie skontrolowane jednostki przetwarzały dane w systemie informatycznym, a 93% z nich zastosowało wysoki poziom bezpieczeństwa. 22% podmiotów zastosowało całkowity outsourcing systemów informatycznych.

Zauważalny jest wzrost liczby decyzji administracyjnych dotyczących postępowań zainicjowanych skargą.

GODO skierował 12 zawiadomień o podejrzeniu popełnienia przestępstwa.

„W 2012 r. do Departamentu Orzecznictwa, Legislacji i Skarg Biura GIODO wpłynęły 1593 skargi dotyczące naruszenia przepisów o ochronie danych osobowych. W porównaniu z rokiem 2011, w którym wpłynęło 1271 skarg, liczba ta uległa zwiększeniu o 322”

Do GIODO wpłynęło:

  • 75 skarg dotyczących sektora sądów, prokuratury, policji i komorników,
  • 231 skarg dotyczyło sektora banków i innych instytucji finansowych,
  • 179 skarg dotyczyło sektora administracji publicznej.,
  • 227 skarg dotyczących Internetu,
  • 60 skarg dotyczących sektora marketingu,
  • 88 skarg dotyczących mieszkalnictwa,
  • 24 skargi dotyczących sektora ubezpieczeń społecznych, majątkowych i osobowych,
  • 91 skarg dotyczących działalności telekomunikacyjnej
  • 156 skarg dotyczących podmiotów sektora zatrudnienia
  • 462 innych skargi

„W 2012 r. Generalny Inspektor wydał ogółem 99 decyzji administracyjnych zawierających nałożony na strony nakaz do wykonania i podlegających egzekucji administracyjnej.”

„W roku 2012, administratorzy danych wypełniając nałożony przepisami ustawy o ochronie danych osobowych obowiązek, zgłosili do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych 21580 zbiorów, z czego podmioty z sektora administracji publicznej zgłosiły 14917 zbiorów, co stanowi 68 % ogólnej liczby zgłoszeń dokonanych w tym okresie, zaś podmioty z sektora prywatnego 6663 zbiory, co stanowi 32 % ogólniej liczby zgłoszonych zbiorów.”

„W okresie sprawozdawczym do ogólnokrajowego, jawnego rejestru zbiorów danych osobowych prowadzonego przez Generalnego Inspektora Ochrony Danych Osobowych zostało wpisanych 16267 zbiorów danych”

„rozpatrzonych zostało 4090 zgłoszeń aktualizacyjnych”

„Przełomowe z punktu widzenia przetwarzania danych osobowych w omawianych sektorze było stwierdzenie Naczelnego Sądu Administracyjnego zawarte w uzasadnieniu do wyroku z dnia 19 maja 2011 r. (sygn. akt: I OSK 1079/10), że cyt.: „(…) Internet często pozornie, a czasami faktycznie zapewnia anonimowość jego użytkownikom. Stanowi medialne forum, na którym prezentowane są treści naruszające ludzką godność, cześć i dobre imię. Dlatego też wszędzie tam gdzie numer IP pozwala pośrednio na identyfikację konkretnej osoby fizycznej powinien on być uznany za dane osobowe w rozumieniu art. 6 ust. 1 i 2 ustawy o ochronie danych osobowych. Odmienna interpretacja byłaby sprzeczna z normami konstytucyjnymi zawartymi w art. 30 i 47 Konstytucji RP (…)”. Skład sędziowski w ww. wyroku jako pierwszy jednoznacznie stwierdził, że adres IP (Internet Protocol Address) jest daną osobową.”

Korzystając ze swoich uprawnień, Generalny Inspektor Ochrony Danych Osobowych skierował w 2012 roku szereg wystąpień do centralnych organów państwa i do innych podmiotów z sektora publicznego. Przykładowe wystąpienia:

  • Generalny Inspektor wystąpił do Ministra Zdrowia – jako podmiotu odpowiedzialnego za nadzór nad stosowaniem przepisów ustawy transplantacyjnej – o wydanie opinii, czy w jego ocenie przekazywanie przez ośrodek dawców szpiku danych osobowych potencjalnych dawców do innych, niż Centralny Rejestr, rejestrów potencjalnych dawców szpiku, było dopuszczalne w świetle przepisów ustawy transplantacyjnej, przy założeniu, iż uprzednio osoba, której dane dotyczą, wyraziła zgodę na ich przekazanie.
  • Generalny Inspektor wystąpił do Ministra Nauki i Szkolnictwa Wyższego wskazując, iż powinien on przekazywać uczelniom dokumentację, która zawierałaby pełny opis funkcjonalności systemu POL-on, a także przeprowadzał szkolenia dla użytkowników systemu POL-on, co będzie stanowiło realizację obowiązków nałożonych na administratora danych przez przepis art. 36 ust. 1 ustawy.
  • Prośba o zasygnalizowanie członkom samorządu lekarskiego konieczności respektowania prawa do prywatności oraz ochrony informacji związanych z pacjentem podczas wykonywania praktyk lekarskich, jak również organizowania obsługi pacjentów, w szczególności w sytuacjach rejestrowania pacjentów na wizyty lekarskie, wydawania im wyników badań, ustalania harmonogramu zabiegów w sanatoriach, wywoływania do gabinetów lekarskich lekarzy specjalistów.
  • Wystąpienie w sprawie wyeliminowania praktyki umieszczania przy łóżkach pacjentów kart gorączkowych.

Istotna cześć sprawozdania dotyczy opiniowania przez GIODO aktów prawnych, m.in. dotyczących europejskiej i krajowej reformy ochrony danych osobowych. Również informacje dotyczące współpracy GIODO z instytucjami międzynarodowymi, są interesujące, gdyż zwracają uwagę na najistotniejsze, europejskie problemy ochrony danych. GIODO zajmował się zagadnieniami dotyczącymi biometrii, monitoringu, sieci inteligentnych, projektu INDECT, profilowania, izb dziecka, izb wytrzeźwień, wymagań systemów informatycznych pozwalających na umawianie wizyt pacjentów, itd.

Podsumowanie może stanowić kolejny cytat ze sprawozdania:

„W podsumowaniu, na podstawie ustaleń z kontroli przeprowadzonych w 2012 r. należy stwierdzić, że w porównaniu z latami ubiegłymi osoby odpowiedzialne za przetwarzanie danych osobowych wykazały większą świadomość zagrożeń związanych z przetwarzaniem danych osobowych, a tym samym świadomość konieczności zapewnienia odpowiednich środków organizacyjnych i technicznych zapewniających ochronę tych danych. Konsekwencją było większe wyczulenie na prawidłowe dopełnienie obowiązków wynikających z przepisów o ochronie danych osobowych. Niestety, powyższe spostrzeżenia nie dotyczą wszystkich podmiotów, w których przeprowadzono kontrole. Zdarzały się bowiem kontrole, które wykazywały, że jednostki kontrolowane nie wykonywały większości obowiązków wynikających z przepisów o ochronie danych osobowych. Uchybienia te dotyczyły zarówno zastosowanych rozwiązań organizacyjnych, jak i aspektów technicznych.”

Mam wrażenie, że sprawozdanie GIODO za 2012 rok, jest wyjątkowo bogate w praktyczne informacje, przydatne osobom zajmującym się ochroną danych osobowych. Zachęcam do zapoznania się z pełną treścią sprawozdania.

 

Jarosław Żabówka

 

 

Sprawozdanie GIODO za 2011 rok.

Sprawozdania Generalnego Inspektora Ochrony Danych Osobowych stanowią doskonałe źródło wiedzy dla osób zajmujących się ochroną danych. Warto przyjrzeć się, na co zwracają uwagę kontrolerzy GIODO w 2011 roku.

Postanowiłem zamieścić poniżej moje, jak najbardziej subiektywne, zestawienie zagadnień i błędów Administratorów danych, wskazywanych w sprawozdaniu GIODO za 2011 rok.

Biorąc pod uwagę ilość realizowanych zadań, poziom zatrudnienia w Biurze GIODO wydaje się umiarkowany. Jeżeli spojrzeć na średnią płacę, też nie jest ona powalająca.

W 2011 roku przeprowadzono 199 kontroli w tym

  • 21 w podmiotach należących do administracji publicznej,
  • 10 kontroli przetwarzania danych w KSI,
  • 15 kontroli w podmiotach świadczących usługi doradztwa podatkowego i finansowego,
  • 5 kontroli podmiotach świadczących usługi w obszarze służby zdrowia,
  • 17 kontroli w sektorze agencji pracy,
  • 14 kontroli w podmiotach zajmujących się organizacją imprez masowych na stadionach,
  • 10 kontroli u operatorów publicznej sieci telekomunikacyjnej oraz dostawców publicznie dostępnych usług telekomunikacyjnych,
  • 12 przedszkoli,
  • 95 innych podmiotów

Ważniejsze problemy:

  • Zlecenie podmiotowi prywatnemu przetwarzania danych z fotoradarów i wypełniania kart rejestracyjnych. Przekazanie takich danych jest możliwe dla wykonywania czynności z zakresu obsługi administracyjno-technicznej, jednak nie czynności zastrzeżonych dla Straży Gminnej.
  • Przetwarzanie danych w zakresie nieadekwatnym do celu przetwarzania – np. przetwarzanie nr PESEL potencjalnych klientów w celu przedstawienia tym osobom oferty
  • przetwarzaniu danych osobowych z naruszeniem art. 22¹ Kodeksu pracy – osoby aplikujące na stanowiska kierownicze w podmiocie były poddawane badaniu którego celem było zbadanie roli i hierarchii postaw pracownika/kandydata w miejscu pracy.
  • Najczęściej występującymi uchybieniami stwierdzonymi podczas kontroli było niezapewnienie, aby systemy informatyczne służące do przetwarzania danych osobowych umożliwiały odnotowanie daty pierwszego wprowadzenia danych do systemu oraz identyfikatora użytkownika wprowadzającego te dane
  • Przechowywanie danych w plikach, do których dostęp mieli wszyscy użytkownicy.
  • Szpital nie sprawował kontroli nad przechowywaniem i zabezpieczeniem zaświadczeń lekarskich o czasowej niezdolności do pracy wystawionych pacjentom szpitala twierdząc, że obowiązek w tym zakresie spoczywa na lekarzach, którzy je wystawili.
  • Wskazano, że zwolnienie wskazane w art. 43 ust. 1 pkt 5 ustawy o ochronie danych osobowych (Z obowiązku rejestracji zbioru danych zwolnieni są administratorzy danych dotyczących osób korzystających z ich usług medycznych, obsługi notarialnej, adwokackiej, radcy prawnego, rzecznika patentowego, doradcy podatkowego lub biegłego rewidenta.) dotyczy podmiotów które samodzielnie świadczą te usługi.
  • Niedopełnianie obowiązków informacyjnych oraz błędne klauzule zgody na przetwarzanie danych osobowych w agencjach pośrednictwa pracy. Brak informacji o odbiorcach danych.
  • Brak umów powierzenia z dostawcą usług hostingowych.
  • Nieadekwatny zakres danych zbieranych od kandydatów do pracy (informacje o niekaralności dla pracowników zatrudnionych na stanowisku montera lub spawacza).
  • Niezabezpieczanie za pomocą środków ochrony kryptograficznej, danych osobowych, podczas ich przesyłania poprzez sieć publiczną.
  • Błędy w prowadzonej przez administratorów danych dokumentacji opisującej sposób przetwarzania danych osobowych oraz środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych, polegające na niezawarciu w niej wszystkich elementów określonych w § 4 i § 5 rozporządzenia.
  • Niespełnianie przez systemy informatyczne wymogów nakładanych przez § 7 rozporządzenia.
  • Niestosowanie środków ochrony kryptograficznej podczas przesyłania danych przez sieć publiczną.
  • Braki w prowadzonej dokumentacji, w tym brak opisu struktury zbiorów danych.
  • Zbyt długie przechowywanie danych retencyjnych, ze względu na przyjętą politykę tworzenia kopii bezpieczeństwa.
  • Na karcie przedszkolaka bywają przetwarzane dane nieadekwatne w stosunku do celu przetwarzania.
  • Zgoda na objęcie dziecka opieką medyczną nie może być rozumiana jako zgoda na przetwarzanie danych o jego stanie zdrowia.
  • „(…)GIODO wydał także decyzję nakazującą Narodowemu Funduszowi Zdrowia udostępnienie oddziałowi kardiochirurgii uniwersytetu medycznego, danych osobowych w zakresie daty i przyczyny hospitalizacji po wypisie z tego oddziału (zwłaszcza wszystkich postaci choroby wieńcowej, udaru mózgu, migotania przedsionków, cukrzycy) oraz wykonania procedur rewaskularyzacji przezskórnej (z lub bez implantacji stentu) oraz pomostowania aortalno-wieńcowego dotyczących powtórnych hospitalizacji chorych, osób uprzednio leczonych w ww. oddziale.
    W uzasadnieniu tego rozstrzygnięcia organ stwierdził, iż okoliczność, że art. 188 ustawy o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych wskazywał cele, w jakich NFZ mógł przetwarzać dane osobowe ubezpieczonych, nie wykluczała legalności udostępnienia danych w celu prowadzenia badań naukowych w sytuacji, gdy publikowanie wyników badań naukowych nastąpi w sposób uniemożliwiający identyfikację osób, których dane zostaną udostępnione, bowiem przesłanką legalizującą takie udostępnienie będzie art. 27 ust. 2 pkt 9 ustawy o ochronie danych osobowych.”
  • Brak aktualizacji przez baki informacji w bazie Biura Informacji Kredytowej S.A.
  • Znamienne jest zdanie – „Analizując wyniki kontroli przeprowadzonych w 2011 roku należy stwierdzić, że w większości skontrolowanych podmiotów wystąpiły nieprawidłowości w procesie przetwarzania danych osobowych. Uchybienia te dotyczyły zarówno zastosowanych rozwiązań organizacyjnych, jak i aspektów technicznych.”
  • „(…)stwierdzenie Naczelnego Sądu Administracyjnego zawarte w uzasadnieniu do wyroku z dnia 19 maja 2011 r.83, że cyt.: „(…) Internet często pozornie, a czasami faktycznie zapewnia anonimowość jego użytkownikom. Stanowi medialne forum, na którym prezentowane są treści naruszające ludzką godność, cześć i dobre imię. Dlatego też wszędzie tam gdzie numer IP pozwala pośrednio na identyfikację konkretnej osoby fizycznej powinien on być uznany za dane osobowe w rozumieniu art. 6 ust. 1 i 2 ustawy o ochronie danych osobowych. Odmienna interpretacja byłaby sprzeczna z normami konstytucyjnymi zawartymi w art. 30 i 47 Konstytucji RP (…)”. Skład sędziowski w ww. wyroku jako pierwszy jednoznacznie stwierdził, że adres IP (Internet Protocol Address) jest daną osobową.
  • Zbierania zgody na przetwarzanie danych osobowych powinno być poprzedzone dopełnieniem obowiązku informacyjnego. Klauzule obowiązku informacyjnego nie powinny być łączone ze zgodą.
  • Żądanie przesłania skanu dowodu tożsamości od osoby chcącej usunąć swoje konto w portalu randkowym.
  • Pomimo wyrażenia sprzeciwu przeciwko przetwarzaniu danych w celu marketingowym, do osób były nadal kierowane SMS-y informujące o możliwości przedłużenia umowy czy skorzystania z nowej oferty. Zdarzyło się również dołączanie oferty do przesyłanej faktury VAT.
  • Udostępnianie danych osobowych mieszkańców osobom nieupoważnionym. W tym danych wrażliwych, dotyczących stanu zdrowia, wyroków lub decyzji administracyjnych.
  • Przekazywanie przez operatora telekomunikacyjnego numerów zastrzeżonych podmiotom trzecim.
  • W sprawozdaniu umieszczono dużą ilość informacji o nakazaniu przez GIODO udostępnienia danych osobowych. Może to świadczyć o niejasności przepisów i wynikających z tego problemom administratorów danych, w tym administratorom ze sfery publicznej w ocenie, czy są zobowiązani do udostępnienia danych, czy do ich zachowania w tajemnicy.
  • Przekazywanie pracodawcom przez związki zawodowe listy wszystkich pracowników podlegających ochronie związku.
  • GIODO nakazał usunięcie adresu poczty elektronicznej, zawierającego imię i nazwisko osoby, która nie była już pracownikiem spółki. Pomimo, że adres ten był wykorzystywany jedynie do odbierania wiadomości.
  • Niedopełnianie przez administratorów obowiązku informacyjnego wynikającego z art. 24, art. 25 i art. 33 ustawy o ochronie danych osobowych.

W roku 2011 administratorzy danych wypełniając nałożony przepisami ustawy o ochronie danych osobowych obowiązek, zgłosili do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych 15643 zbiory, z czego podmioty z sektora administracji publicznej zgłosiły 10690 zbiorów, co stanowi 68 % ogólnej liczby zgłoszeń dokonanych w tym okresie, zaś podmioty z sektora prywatnego 4953 zbiory, co stanowi 32 % ogólniej liczby zgłoszonych zbiorów.

 

 

 

 

 

 

 

Przetwarzanie danych osobowych w marketingu. Dysonans poznawczy, czy zła wola?

Niezwykle często obserwujemy przedziwną różnicę w opiniach osoby na temat ochrony danych osobowych w zależności od tego czy mówimy o naruszeniu jej prywatności, czy też o konieczności podjęcia działań niezbędnych dla ochrony własnej prywatności.

Powszechne oburzenie spowodowało ujawnienie skali inwigilacji prowadzonej przez amerykańskie agencje. Dlaczego Minister Spraw Zagranicznych nic z tym nie zrobi? Co na to GIODO? Nie spotkałem osoby, która godziłaby się na to, by ktoś czytał jej maile i podsłuchiwał rozmowy. Rozmawiamy o potwornych ilościach danych zbieranych przez portale społecznościowe. Boimy się korzystać z kart zbliżeniowych, metek RFID, kamer w przymierzalni, itd.

Powiedzmy sobie jednak szczerze, ile z tych narzekających osób zrezygnuje z podania swojego adresu e-mail, jeżeli w zamian uzyska zniżkę w sklepie? Ile z tych osób umieściło w sieci zdjęcie swojego dziecka? Ile zablokowało możliwość zbliżeniowego płacenia kartą?

A ilu zrezygnowało z wejścia na stronę internetową, mimo że przeglądarka ostrzegała o nieaktualnym certyfikacie? O czym?! A co to jest certyfikat?! No dobrze, nie wymagajmy zbyt wiele…

Ciągle oczekujemy, że ktoś zadba o naszą prywatność. Że przyjdzie GIODO i zrobi z nimi porządek. Ale niech nam nie zawracają głowy jakimiś klauzulami informacyjnymi! Nie chcemy podejmować decyzji, czy zgadzamy się na przetwarzanie naszych danych! Niech ktoś zdecyduje za nas!

Niestety, to nie działa w ten sposób. GIODO nie jest szeryfem, który zaprowadzi porządek i sam pokona wszystkich bandziorów. O naszą prywatność musimy zadbać sami. Jak na razie, każdy, kto nie chce, aby jego dane były gdzieś wykorzystywane, kto nie chce, aby ktoś dokonywał jakichkolwiek operacji, podszywając się pod jego tożsamość – musi samodzielnie zadbać o swoje interesy. Każdy musi poznać podstawy zasad ochrony prywatności, dowiedzieć się, jakie prawa mu przysługują i jak je egzekwować. A gdy z tym egzekwowaniem będą jakieś problemy – GIODO zapewne pomoże.

Bardzo ciekawe jest obserwowanie postaw osób zajmujących się zawodowo przetwarzaniem danych. Czy pracodawca instalujący kamerę w toalecie narusza prywatność swoich pracowników? Jego zdaniem oczywiście nie. W swojej ocenie, jest on pozytywnym bohaterem, działającym na korzyść przedsiębiorstwa. Przecież należy potępiać obiboków, ukrywających się w ubikacji.

Czy rozsyłający spam marketingowiec wie, że działa niezgodnie z prawem? Tak, ale nie ma z tego powodu poczucia winy. Po pierwsze, prawo jest złe, bzdurne i nie działa. Amerykanie i tak zbierają te dane. A ustawodawca działa tylko po to by utrudnić nam życie… Po drugie, marketingowiec działa przecież dla dobra osób, które otrzymają spam – chodzi o to, by żadna ciekawa oferta ich nie ominęła. Po trzecie, on też dostaje spam i w ogóle mu to nie przeszkadza. Po czwarte, ci którzy nie chcą otrzymywać spamu, są niedouczeni, bo powinni filtry w przeglądarce skonfigurować…

Co pomyśli o takiej argumentacji osoba, nie zajmująca się na co dzień rozsyłaniem spamu? Na pierwszy rzut oka, argumenty są takie, że aż trudno z nimi polemizować. Czy oni naprawdę w to wierzą? Zrozumienie takich postaw może nam ułatwić teoria dysonansu poznawczego.

Jestem wewnętrznie przekonany, że ludzie naruszający naszą prywatność, nie muszą działać ze złych pobudek. Ich celem nie jest wyrządzenie nam krzywdy. Mają do wykonania określone zadanie, a nie znają innych narzędzi do jego realizacji, niż te, którą godzą w naszą prywatność. Nie dopuszczając do swojej świadomości informacji o wpływie ich działań na wolność innych osób i na ich prawo do decydowania o swojej prywatności, obarczają winą obowiązujące prawo lub wręcz osoby, których dobra naruszają! Klasyczny przypadek obwiniania ofiary…

Racjonalizacja postępowania wymaga, aby w jakiś sposób przekonać siebie, że podejmowanie działanie jest sensowne. Czy nie ma lepszego sposobu przekonania klientów by kupili określony produkt, niż rozsyłanie milionów maili? Marketingowcy nie będą brali pod uwagę statystyk skuteczności. Przecież oni działają dla dobra otrzymujących spam…

Być może szansa zwiększenia skuteczności działania ustawy o ochronie danych osobowych kryje się nie w podniesieniu jej represyjności, a w wykorzystaniu technik poznanych przy okazji badań nad zjawiskiem dysonansu poznawczego?

Ciekawy jest jeszcze jeden aspekt zagadnienia. Osoba, która nierozważnie zgodziła się na przetwarzanie swoich danych osobowych, będzie twierdziła, że tak naprawdę, to jej w ogóle na tym nie zależy. Że jej dane są nieistotne i tak naprawdę, to nie ma nic do ukrycia.

 

Wikipedia – Dysonans poznawczy

Wikipedia – Teoria spostrzegania siebie

 

Informowanie klienta o fizycznej lokalizacji przetwarzanych w chmurze danych.

Czy przetwarzając dane w chmurze powinniśmy żądać od dostawcy informacji w jakiej lokalizacji przetwarzane są nasze dane?

Mamy tu do czynienia z pewną sprzecznością. Korzystający z usług dostarczanych w modelu cloud computing powinni postrzegać chmurę jako zasób nieograniczony, dostępny z dowolnej lokalizacji, niezależny od systemu działającego po stronie klienta. Z drugiej strony, klient żąda podania fizycznej lokalizacji w której przetwarzane są jego dane.

Część dostawców sytuacji protestuje: „Przecież to jest chmura i w jej naturze leży to, że dane mogą być przenoszone pomiędzy lokalizacjami w sposób przeźroczysty dla klienta!”, „Ze względów bezpieczeństwa nie możemy powiedzieć gdzie przetwarzamy dane.”

Czy podanie informacji o lokalizacji centrum przetwarzania może w jakikolwiek sposób obniżyć bezpieczeństwo danych? A może chodzi o to, żeby klient nie był w stanie zweryfikować, że deklarowane zabezpieczenia w rzeczywistości nie istnieją? A może w ogóle nie istnieje centrum przetwarzania, a dane przechowujemy na dysku laptopa u szwagra na strychu? Dostawców twierdzących, że ze względów bezpieczeństwa nie udzielają informacji o miejscu przetwarzania danych skreślam od razu.

Prawdą jest jednak, że możliwość przenoszenia danych pomiędzy lokalizacjami jest charakterystyczna dla chmury. Nie zapominajmy jednak, że to do klienta należy decyzja jak ma wyglądać usługa którą kupuje. Nie możemy przedkładać ideologii chmury nad rzeczywiste oczekiwania klienta. Jeżeli oczekuje on, że będzie miał możliwość weryfikacji fizycznych zabezpieczeń w każdej z deklarowanych przez dostawcę lokalizacji, to dostawca powinien mu to umożliwić.

Zaraz, zaraz… Czy mamy wpuszczać każdego potencjalnego klienta do naszego centrum przetwarzania? Na pewno nie każdego. Ale być może, jeżeli umożliwimy to bardziej znaczącym klientom, pozostałym wystarczy nasza renoma. A jeżeli nie wystarczy? Myślę, że centra przetwarzania muszą znaleźć rozwiązania, pozwalające klientom zweryfikować stosowane zabezpieczenia fizyczne, bez obniżania poziomu bezpieczeństwa. Z mojej strony podpowiedziałbym oparcie się o zaufanie, którym klienci mogą obdarzyć trzecią stronę – dostawcę certyfikatu potwierdzającego spełnianie wymogów normy PN 27001.

Pozostaje jam jeszcze odpowiedzieć na pytanie, czy klientowi w ogóle potrzebna jest informacja o fizycznej lokalizacji jego danych. Spójrzmy najpierw na dane osobowe. To, co klient musi wiedzieć na pewno, to jest czy dane nie są przekazywane do państwa trzeciego (poza Europejski Obszar Gospodarczy). Klient powinien również posiadać informację na temat podpowierzania przetwarzania danych kolejnym podmiotom. W jaki sposób konstruować umowę powierzenia przetwarzania danych osobowych, napiszę innym razem.

Zaleca się, aby klient miał możliwość zweryfikowania stosowanych zabezpieczeń. Oczywiście, jak pisałem wcześniej, nie zawsze jest to możliwe. Decyzja musi być jednak pozostawiona klientowi i zależeć będzie m.in. od jego „apetytu na ryzyko”. Jeden klient zaufa deklaracjom i renomie dostawcy, a inny będzie chciał zweryfikować, czy centrum przetwarzania nie leży przypadkiem na terenach zalewowych.

Opisywany jest wypadek odłączenia przez FBI całego centrum przetwarzania, ponieważ należało zabezpieczyć dane jakiegoś przestępcy, a dostawca nie był w stanie wystarczająco szybko powiedzieć gdzie znajdują się te dane… Czasami może się opłacać wybrać dostawcę, który zarządza systemem w taki sposób, że zawsze wie, w gdzie znajdują się dane konkretnego klienta.

Ostatecznie to klient podejmuje decyzję, czy zaakceptować ryzyka związane z korzystaniem z usługi hostingu czy też usługi w modelu cloud computing. Problemem niejednokrotnie okazuje się brak świadomości istnienia tych ryzyk. Pewną pomocą mogą stanowić dokumenty:

 

 

 

Jesienne edycja szkoleń w proInfoSec

Czy może być lepsze miejsce dla zdobywania wiedzy o ochronie danych osobowych niż urokliwy dom na Jurze Krakowsko-Częstochowskiej? Naszym zdaniem, wiedzę przyswaja się najlepiej gdy za oknem widać ostańce w jesiennych kolorach, a wieczorem, przy ognisku słucha się opowieści podróżników.

Zapraszamy do zapoznania się ze szczegółami jesiennej edycji szkoleń organizowanych przez proInfoSec

IX Kongres Ochrony Informacji Niejawnych, Biznesowych i Danych Osobowych

W dniach 27-29 maja 2013, odbędzie się IX Kongres Ochrony Informacji Niejawnych, Biznesowych i Danych Osobowych. Kongres jest organizowany przez Krajowe Stowarzyszenie Ochrony Informacji Niejawnych oraz Stowarzyszenie Wspierania Bezpieczeństwa Narodowego. Kongres został objęty patronatem honorowym przez Generalnego Inspektora Ochrony Danych Osobowych, Rzecznika Praw Obywatelskich, Krajową Izbę Gospodarczą, Polską Konfederację Pracodawców Prywatnych Lewiatan i Międzynarodowe Targi Poznańskie.

Więcej informacji na stronie KSOIN

 

Plan ramowy
  1. Wyzwania dla bezpieczeństwa narodowego. Próba zdefiniowania najważniejszych zagrożeń.
  2. Kiedy i czy można mówić o profesjonalizmie w skutecznym zabezpieczeniu jednostki organizacyjnej?
  3. Czy jesteśmy przygotowani na zagrożenia informacji ze strony przestępczości zorganizowanej i cyberterroryzmu?
  4. Czy da się uniknąć inwigilacji w społeczeństwie informacyjnym? Jakie są korzyści, a jakie zagrożenia?
  5. Czy mamy innowacyjność w ochronie informacji? Jak chronimy nasze najważniejsze wartości?
  6. Budowanie przewagi konkurencyjnej na rynku a bezpieczeństwo informacyjne firmy.
  7. Nowoczesne państwo a społeczeństwo obywatelskie – ochrona jego praw i wolności.
  8. Edukacja pracownicza społeczeństwa obywatelskiego, w tym pionów ochrony. Jak jest naprawdę?
  9. (Nie) Bezpieczne technologie służące bezpieczeństwu informacji.
  10. Wywiad i szpiegostwo gospodarcze w gospodarce rynkowej i konkurencyjności firm.
  11. Modelowe funkcjonowanie pionów ochrony i bezpieczeństwa.
  12. Uwagi i doświadczenia pełnomocników ochrony nt. praktycznego funkcjonowania pionów ochrony.
  13. Debata nt. stanu ochrony informacji niejawnych. Czy są potrzebne zmiany w obowiązujących przepisach?
  14. Praktyczne aspekty wdrażania bezpieczeństwa przemysłowego i teleinformatycznego.
  15. Ocena zagrożeń i szacowanie ryzyka ochrony informacji niejawnych – doświadczenia i uwagi praktyczne.
  16. Twoje dane – twoja sprawa, stan prawny a rzeczywistość. Prawo do prywatności i ochrony danych osobowych.
  17. Rola Inspektora Ochrony Danych (ABI) w firmie/instytucji – przyszłościowe rozwiązania.
  18. Debata nt. ochrony danych osobowych w praktyce – jak powinno być, a jak jest na co dzień.
  19. Obowiązek czy dowolność w ustanawianiu tajemnicy przedsiębiorstwa, handlowej i giełdowej?
  20. Ochrona własności intelektualnej i przemysłowej – zyski, czy straty dla organizacji? Co o tym wiemy?

 

Nowe szkolenia w ofercie proInfoSec

proInfoSec, we współpracy z firmą „Persona” Magdalena Korga, uruchamia nowe szkolenia dotyczące tematyki ochrony danych osobowych.

Proponujemy Państwu trzydniowe szkolenie wprowadzające do zagadnień ochrony danych osobowych. W naszym przekonaniu właśnie taki czas jest niezbędny, aby opanować materiał w stopniu umożliwiającym samodzielne rozwiązywanie problemów związanych z przetwarzaniem danych osobowych.

Dla osób zainteresowanych dalszym pogłębianiem wiedzy proponujemy dodatkowe, dwudniowe warsztaty.

Oferujemy również szkolenia przygotowane specjalnie dla osób pragnących skupić się na zgłoszeniu zbioru do GIODO, czy też przetwarzaniu danych w placówkach służby zdrowia.

Wszystkie nasze szkolenia kładą nacisk na praktyczne umiejętności. A po zajęciach – atrakcje, które mamy nadzieję sprawią, że w pamięci uczestników pozostaną wspomnienia, związane być może nie tylko z ochroną danych

 

Zapraszamy do zapoznania się z ofertą szkoleń.

Szkolenia proInfoSec