Tag: RODO OBOWIĄZUJE OGOLNE ROZPORZĄDZENIE O OCHRONIE DANYCH OSOBOWYCH 3 URODZINY SPOD

Czy rządowy projekt ustawy o sygnalistach stanie się obowiązującym prawem?

Data dodania:
Ustawa o sygnalistach 2021 r.

Na stronie Kancelarii Prezesa Rady Ministrów w wykazie prac legislacyjnych zaplanowanych na IV kwartał 2021 r. opublikowano projekt ustawy o ochronie osób zgłaszających naruszenia prawa tzw. sygnalistach (numer UC101). Jakich zmian w prawie należy się spodziewać na zakończenie 2021 roku?

Ustawa o sygnalistach 2021 r.
Projekt ustawy o sygnalistach 2021 r.

Na stronie internetowej Rządowego Centrum Legislacji opublikowany został projekt ustawy o ochronie osób zgłaszających naruszenia prawa (tzw. sygnalistów) wraz z uzasadnieniem. Przepisy nie przewidują żadnego okresu przejściowego dla podmiotów zatrudniających więcej niż 249 pracowników, co oznacza, że projekt może bardzo szybko stać się obowiązującym prawem. Prezentujemy wybrane zagadnienia, które znalazły się w projekcie.

Obowiązek implementacji:

Ustawa ma implementować do polskiego porządku prawnego dyrektywę Parlamentu Europejskiego i Rady (UE) 2019/1937 z dnia 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii (Dz. Urz. UE L 305 z 26.11.2019, str. 17 oraz Dz. Urz. UE L 347 z 20.10.2020, str. 1), czyli tzw. dyrektywę o sygnalistach, której termin wdrożenia upływa 17 grudnia 2021 roku i może szybko stać się obowiązującym prawem.

Cel:

Celem przepisów jest wdrożenie do polskiego porządku prawnego przepisów dotyczących ochrony tzw. sygnalistów (ang. whistblower), czyli osób zgłaszających nieprawidłowości i naruszenia prawa w interesie publicznym. Projektowana ustawa określa tryb zgłaszania naruszeń i podejmowania w związku z tym określonych działań następczych przez pracodawców i organy publiczne. Przepisy mają za zadanie przeciwdziałać i zwalczać praktyki korupcyjne oraz wszelkie inne działania sprzeczne z prawem oraz chronić podmioty, które dokonują zgłoszeń nieprawidłowości.

Zakres ustawy:

Dyrektywa obejmuje zgłoszenia dotyczące naruszeń przepisów w następujących dziedzinach:
• Zamówienia publiczne
Usługi, produkty i rynki finansowe
Bezpieczeństwo produktów,
• Bezpieczeństwo transportu
Ochrona środowiska
Ochrona radiologiczna i bezpieczeństwo jądrowe
• Bezpieczeństwo żywności, pasz i zwierząt
Zdrowie publiczne
Ochrona konsumentów
Ochrona prywatności i danych osobowych
• Bezpieczeństwo sieci i systemów informatycznych
Naruszenia mające wpływ na interesy Unii Europejskiej
Naruszenia rynku wewnętrznego, w tym ochrona konkurencji, pomocy państwa

Od kiedy i kogo dotyczy?

• Przepisom ustawy od momentu wejścia w życie ustawy podlegać będą podmioty sektora publicznego, a także te z sektora prywatnego, które zatrudniają co najmniej 250 pracowników.
• Podmioty sektora prywatnego zatrudniające co najmniej 50 pracowników będą podlegać ustawie od dnia 17 grudnia 2023 r.

Kto może zostać sygnalistą?

Projekt ustawy zakłada, że sygnalistą może być wyłącznie osoba fizyczna, która zostaje objęta ochroną, gdy dokonuje zgłoszenia:
• w związku z wykonywaną pracą,
• ma uzasadnione podstawy by sądzić, że informacje są prawdziwe,
• informacje są objęte zakresem Dyrektywy UE nr 2019/1937 z dnia z dnia 23 października 2019 r.,
• motywy jej działania nie mają znaczenia,
• spełnia wymóg dokonania zgłoszenia wewnętrznego albo zewnętrznego lub ujawnienia publicznego.
Weźmy pod uwagę, że przewidziane w projekcie ustawy gwarancje i środki prawne będą przysługiwały sygnaliście, którym może zostać osoba zatrudniona na podstawie umowy o pracę lub na podstawie umowy cywilnoprawnej, a także wykonawcą, podwykonawcą lub dostawcą oraz inną osobą zgłaszającą informacje o naruszeniach w kontekście związanym z pracą, jak akcjonariusze i wspólnicy oraz członkowie organów osoby prawnej. Ochroną będą również objęte osoby dokonujące zgłoszenia, których stosunek pracy ustał lub dopiero ma zostać nawiązany, w przypadku, gdy informacje na temat naruszenia uzyskano w trakcie procesu rekrutacyjnego.
Warunkiem otrzymania statusu sygnalisty i uprawnień z tego wynikających będzie dokonanie przez sygnalistę zgłoszenia zgodnie z zasadami wynikającymi z ustawy tj. dokonania w pierwszej kolejności zgłoszenia wewnętrznego.

Podstawowe założenia zmian:

Istotą rozwiązań przyjętych w projekcie jest objęcie ochroną osób dokonujących zgłoszenia lub ujawnienia informacji lub uzasadnionych podejrzeń naruszenia prawa, które uzyskały informacje na temat naruszenia w kontekście związanym z pracą w sektorze prywatnym lub publicznym.

Szczegółowe rozwiązania:

Wśród proponowanych rozwiązań szczegółowych przewidziano m.in.:
1) Ustanowienie kanałów dokonywania zgłoszeń przez sygnalistę. Zgłoszenia naruszenia prawa można dokonać za pomocą:
a) wewnętrznych kanałów zgłoszeń utworzonych przez pomioty prywatne i publiczne,
b) zewnętrznych kanałów zgłoszeń do odpowiednich organów publicznych,
c) ujawnienia publicznego,
2) wyznaczenie bezstronnej osoby lub działu do działań następczych,
3) Rzecznik Praw Obywatelskich będzie organem uprawnionym do przyjęcia zgłoszenia zewnętrznego,
4) prowadzenie działań następczych,
5) zapewnienie dostępności informacji nt. procedur zgłaszania nieprawidłowości,
6) prowadzenie rejestru zgłoszeń,
7) zapewnienie ochrony tożsamości sygnalisty.

Wyłączenie odpowiedzialności wobec sygnalisty:

Sygnalista nie odpowiada, gdy pozyskał informację zgodnie z prawem lub np. kopiuje dokumenty, do których ma dostęp i wynosi je z firmy wbrew klauzulom umownym. W związku z dokonywanym zgłoszeniem sygnalista nie odpowiada też za szkody i nie można wobec niego wszcząć postępowania dyscyplinarnego.

Podsumowanie:

Projektowana ustawa ma wejść w życie po upływie 14 dni od dnia ogłoszenia. Oznacza to, że projekt może szybko stać się obowiązującym prawem. Ustawodawca nie przewidział jednak żadnego okresu przejściowego, dlatego rekomendujemy, aby podmioty zatrudniające więcej niż 249 osób traktowały tę kwestię, jako priorytetową i jak najszybciej podjęły prace wdrożeniowe.

Źródła:
• Projekt ustawy z dnia 18 października 2021 r. o ochronie osób zgłaszających naruszenia prawa (numer UC101).

Błędy w wysyłce e-mail powodem naruszenia RODO.

Data dodania:
Jak wysyłać seryjną korespondencję godnie z RODO?

Jakich błędów unikać przy wysyłce korespondencji w formie elektronicznej do klientów czy kontrahentów, aby nie narazić się na zarzut naruszenia RODO i straty wizerunkowe?

Jak wysyłać seryjną korespondencję godnie z RODO?
Seryjna wysyłka poczty elektronicznej a RODO.

Wysyłka poczty elektronicznej jest doskonałym sposobem na szybkie rozpowszechnianie informacji lub treści marketingowych. Trzeba jednak zachować ostrożność, aby nie zdarzyła się kompromitująca wpadka lub nie postawiono firmie zarzutu naruszenia przepisów RODO.

Do naruszeń ochrony danych osobowych związanych z błędami w wysyłce firmowych e-maili dochodzi z błahych powodów, przeważnie przez pośpiech lub nieuwagę nadawcy korespondencji lub na skutek błędu pracownika administratora danych odpowiedzialnego za przygotowanie i wysyłkę korespondencji. Źródło nieprawidłowości może powstać również na etapie gromadzenia danych, gdzie potencjalny odbiorca nieprawidłowo wskazywał swój adres korespondencyjny. W efekcie dochodzi do ujawnienia przypadkowym odbiorcom danych adresata wiadomości lub udostępnienia danych nieuprawnionemu odbiorcy. Konsekwencją takiego naruszenia bezpieczeństwa w zależności od jego wagi jest:

Ze Sprawozdania Prezesa Urzędu Ochrony Danych Osobowych za 2020 r. wynika, że wśród najczęściej zgłaszanych naruszeń należą incydenty bezpieczeństwa związane z wysyłaniem korespondencji zawierającej dane osobowe do niewłaściwego odbiorcy. Taka tendencja utrzymuje się od dobrych kilku lat.

• wpis do rejestru naruszeń,
• zgłoszenie naruszenia ochrony danych do Prezesa Urzędu Ochrony Danych Osobowych.

Adres e-mail jako dana osobowa?

Zgodnie z art. 4 pkt 1 RODO adres e-mail może stanowić daną osobową, gdy prowadzi do identyfikacji danej osoby fizycznej. Łatwo będzie ustalić tożsamość konkretnej osoby fizycznej, której adres poczty elektronicznej składa się z imienia i nazwiska, przykładowo: annakowalska@poczta.pl lub akowalska@poczta.pl. Imienny adres e-mail zawierający „dane zwykłe” jakimi są nasze personalia powinien być przetwarzany zgodnie z przesłankami wskazanymi w art. 6 ust. 1 RODO np. potrzebujemy zgody na przesłanie wiadomości na wskazany adres.

Stanowiska organów nadzoru ochrony danych osobowych

Warto prześledzić, jak w kwestii incydentów bezpieczeństwa związanych z wysyłką poczty elektronicznej wypowiadają się organy nadzorcze poszczególnych krajów członkowskich. Taka sprawa pojawiła się również w polskim urzędzie ochrony danych osobowych.
W minionym roku Prezes Urzędu Ochrony Danych Osobowych nałożył na Towarzystwo Ubezpieczeń i Reasekuracji WARTA S.A. karę w wysokości 85 588 zł. Wszystko za sprawą podania przez klienta nieprawidłowego adresu e-mail. Przewinienie polegało na wysłaniu pocztą elektroniczną przez agenta ubezpieczeniowego, będącego podmiotem przetwarzającym dla Towarzystwa Ubezpieczeń i Reasekuracji WARTA S.A., polisy ubezpieczeniowej do nieuprawnionego adresata, który poinformował UODO o naruszeniu. W dokumencie znalazły się takie dane osobowe, jak: imiona, nazwiska, adresy zamieszkania, numery PESEL oraz informacje dot. przedmiotu ubezpieczenia jakim był samochód osobowy. Spółka nie zgłosiła naruszenia ochrony danych osobowych do Urzędu Ochrony Danych Osobowych oraz nie zawiadomiła osób, których dotyczyło naruszenie.
W toku postępowania UODO uznał, że fakt, iż do naruszenia doszło w wyniku błędu klienta, który przekazał nieprawidłowy adres mailowy, nie może mieć wpływu na niezakwalifikowanie zdarzenia jako naruszenia ochrony danych osobowych. W ocenie Prezesa UODO administrator powinien mieć świadomość ryzyk związanych z nieprawidłowym podaniem przez klienta adresu e-mail i wprowadzić dodatkowe środki organizacyjne oraz techniczne, jak np. weryfikacja podanego adresu lub też szyfrowanie przesłanych w ten sposób dokumentów.
Organ nadzorczy podkreślił, że fakt zwrócenia się z prośbą do niewłaściwego odbiorcy o trwałe usunięcie otrzymanej omyłkowo korespondencji nie może stanowić o tym, że ryzyko praw i wolności osób fizycznych, których dane dotyczą nie jest wysokie. Administrator nie ma pewności, że nieuprawniony adresat nie wykonał kserokopii dokumentów lub w inny sposób ich nie utrwalił.
Prezes UODO nakładając karę podkreślił, że sama prośba o usunięcie danych nie jest równoznaczna z gwarancją faktycznego ich usunięcia przez osobę nieuprawnioną i nie wyklucza ewentualnych negatywnych konsekwencji ich wykorzystania.
A jakie stanowisko w kwestii omyłkowego przesłania maila do złego adresata zajmują europejskie organy nadzorcze? Przykładowo islandzki organ nadzorczy stwierdził niezgodność z przepisami o ochronie danych osobowych sprawy związanej z ujawnieniem adresów e-mail odbiorców wiadomości pozostałym adresatom w wyniku umieszczenia ich adresów w kopii widocznej zamiast w ukrytej. Organ nadzorczy w związku z zaistniałym incydentem nie nałożył kary pieniężnej tylko dlatego, że administrator szybko podjął działania w celu ochrony praw podmiotów danych np. zainteresowani zostali niezwłocznie powiadomieni o zmianie procedur wewnętrznych mających zapobiec wystąpieniu takich incydentów w przyszłości.

Stanowiska organów nadzoru ochrony danych osobowych

Warto prześledzić, jak w kwestii incydentów bezpieczeństwa związanych z wysyłką poczty elektronicznej wypowiadają się organy nadzorcze poszczególnych krajów członkowskich. Taka sprawa pojawiła się również w polskim urzędzie ochrony danych osobowych.
W minionym roku Prezes Urzędu Ochrony Danych Osobowych nałożył na Towarzystwo Ubezpieczeń i Reasekuracji WARTA S.A. karę w wysokości 85 588 zł. Wszystko za sprawą podania przez klienta nieprawidłowego adresu e-mail. Przewinienie polegało na wysłaniu pocztą elektroniczną przez agenta ubezpieczeniowego, będącego podmiotem przetwarzającym dla Towarzystwa Ubezpieczeń i Reasekuracji WARTA S.A., polisy ubezpieczeniowej do nieuprawnionego adresata, który poinformował UODO o naruszeniu. W dokumencie znalazły się takie dane osobowe, jak: imiona, nazwiska, adresy zamieszkania, numery PESEL oraz informacje dot. przedmiotu ubezpieczenia jakim był samochód osobowy. Spółka nie zgłosiła naruszenia ochrony danych osobowych do Urzędu Ochrony Danych Osobowych oraz nie zawiadomiła osób, których dotyczyło naruszenie.
W toku postępowania UODO uznał, że fakt, iż do naruszenia doszło w wyniku błędu klienta, który przekazał nieprawidłowy adres mailowy, nie może mieć wpływu na niezakwalifikowanie zdarzenia jako naruszenia ochrony danych osobowych. W ocenie Prezesa UODO administrator powinien mieć świadomość ryzyk związanych z nieprawidłowym podaniem przez klienta adresu e-mail i wprowadzić dodatkowe środki organizacyjne oraz techniczne, jak np. weryfikacja podanego adresu lub też szyfrowanie przesłanych w ten sposób dokumentów.
Organ nadzorczy podkreślił, że fakt zwrócenia się z prośbą do niewłaściwego odbiorcy o trwałe usunięcie otrzymanej omyłkowo korespondencji nie może stanowić o tym, że ryzyko praw i wolności osób fizycznych, których dane dotyczą nie jest wysokie. Administrator nie ma pewności, że nieuprawniony adresat nie wykonał kserokopii dokumentów lub w inny sposób ich nie utrwalił.
Prezes UODO nakładając karę podkreślił, że sama prośba o usunięcie danych nie jest równoznaczna z gwarancją faktycznego ich usunięcia przez osobę nieuprawnioną i nie wyklucza ewentualnych negatywnych konsekwencji ich wykorzystania.
A jakie stanowisko w kwestii omyłkowego przesłania maila do złego adresata zajmują europejskie organy nadzorcze? Przykładowo islandzki organ nadzorczy stwierdził niezgodność z przepisami o ochronie danych osobowych sprawy związanej z ujawnieniem adresów e-mail odbiorców wiadomości pozostałym adresatom w wyniku umieszczenia ich adresów w kopii widocznej zamiast w ukrytej. Organ nadzorczy w związku z zaistniałym incydentem nie nałożył kary pieniężnej tylko dlatego, że administrator szybko podjął działania w celu ochrony praw podmiotów danych np. zainteresowani zostali niezwłocznie powiadomieni o zmianie procedur wewnętrznych mających zapobiec wystąpieniu takich incydentów w przyszłości.

Jak poprawnie wysłać maila do wielu odbiorców, aby nie narazić się na zarzut naruszenia RODO?

Można uniknąć problemów pamiętając o kilku prostych zasadach związanych z obsługą poczty elektronicznej. Wysyłając e-mail firmowy do klientów warto użyć funkcji UDW (Ukryte do Wiadomości). Jest to bezpieczna forma wysyłki korespondencji seryjnej, ponieważ odbiorca nie może zobaczyć innych odbiorców.

Inne środki techniczne i organizacyjne ochrony korespondencji, które można wdrożyć w firmie

Administratorzy danych, aby zmniejszyć prawdopodobieństwo wystąpienia naruszeń związanych z przesłaniem informacji lub dokumentów omyłkowemu adresatowi, mogą wdrożyć środki bezpieczeństwa w postaci:

  • szyfrowania przesyłanej korespondencji, uniemożliwiając dostęp do danych osobom nieuprawnionym,
  • stosować dodatkową weryfikację adresu korespondencyjnego w momencie gromadzenia danych, polegającą m.in. na konieczności przeliterowania adresu (w przypadku gromadzenia danych przez telefon) lub poprzez wymuszenie ponownego wpisania adresu e-mail w formularzach.

Podsumowanie

Jeżeli w firmie zdarzają się przypadki błędnie wysłanych e-maili to jest wiele prostych i skutecznych środków, które pozwolą uniknąć takich pomyłek w przyszłości. Do wdrożenia czego serdecznie zachęcamy.

Źródła:

• Opublikowane w dniu 26 sierpnia 2021 r. Sprawozdanie Prezesa Urzędu Ochrony Danych Osobowych z działalności w 2020 r. i dostępne na oficjalnej stronie organu (str. 141-142),
• Decyzja Prezesa UODO z dnia 9.12.2020 r., nr DKN.5131.5.2020 w sprawie TUiR WARTA S.A. (więcej: https://uodo.gov.pl/decyzje/DKN.5131.5.2020).

TRZY LATA OBOWIĄZYWANIA RODO!

Data dodania:
3 lata obowiązywania RODO

25 maja br. minęły trzy lata, odkąd obowiązuje ogólne rozporządzenie o ochronie danych osobowych (RODO) , które zostało wprowadzone bezpośrednio we wszystkich państwach członkowskich Unii Europejskiej. RODO określa zarówno podstawowe prawa osób, których dane są przetwarzane, jak i obowiązki ciążące na administratorach danych.

Rozporządzenie zmieniło zasady przetwarzania, wykorzystywania i przechowywania danych osobowych w firmach, instytucjach publicznych i prywatnych znacząco zwiększając ochronę danych osobowych, również danych o charakterze wrażliwym, a także nałożyło wiele nowych obowiązków na podmioty administrujące danymi osobowymi.

Dla przedsiębiorców oznacza to konieczność projektowania procesów biznesowych zgodnie z unijnym rozporządzeniem. Wymaga to zastosowania odpowiednich narzędzi, ponieważ utrzymanie zgodności z RODO jest procesem wymagającym stałego monitorowania.

Warto pamiętać, że obowiązek zastosowania się do RODO mają wszystkie firmy, które gromadzą,
a później wykorzystują dane pochodzące od osób fizycznych. Najczęściej dotyczy to danych osobowych pracowników, dostawców oraz klientów i użytkowników strony WWW. Przepisy rozporządzenia dotyczyć więc będą zarówno dużych firm, jak i osób prowadzących jednoosobową działalność gospodarczą.

Zastanówmy się, co RODO zmieniło w życiu każdego z nas?

  • POSZANOWANIE PRYWATNOŚCI np. RODO wymusiła m.in. na globalnych korporacjach większą ochronę danych użytkowników korzystających z tworzonych przez nich serwisów czy aplikacji.
  • ELASTYCZNE PODEJŚCIE np. to administrator samodzielnie określa zakres np. tworzonych zabezpieczeń, inne potrzeby dotyczące ochrony danych osobowych ma duża międzynarodowa firma, a inne podmiot prowadzący jednoosobową działalność gospodarczą np. szewc. Uwaga, każdy z wymienionych podmiotów jest przedsiębiorcą i w związku z tym ma obowiązek chronić dane osobowe klientów, pracowników czy dostawców.
  • KONIEC Z WYMUSZANIEM ZGÓD O CHARAKTERZE MARKETINGOWYM np. całkiem niedawno, bez wyrażenia zgody – często w formie z góry zaznaczonego checkboxa – na wykorzystanie naszych danych osobowych (np. imię, nazwisko, płeć, data urodzenia, adres emailowy czy numer telefonu kontaktowego) bardzo trudno było podpisać umowę odpłatną w sprawach dotyczących życia codziennego np. umowę z operatorem telewizji kablowej, założyć konto w banku, czy zrobić zakupy online. Na szczęście to już za nami!

Mimo, że w Polsce regulacje dotyczące ochrony danych osobowych obowiązują od 20 lat, to przez ostatnie trzy lata nastąpił zauważalny wzrost świadomości społeczeństwa odnośnie ochrony danych osobowych i bezpieczeństwa informacji. RODO wprowadziło nowe rozwiązania, które przyczyniły się do podniesienia poziomu ochrony danych osobowych i ochrony prywatności osób fizycznych.

Źródło:
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 20216/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Ogólne rozporządzenie o ochronie danych osobowych).