Wiadomo, że zbiór danych osobowych to w świetle ustawy posiadający strukturę zestaw danych o charakterze osobowym dostępny według określonych kryteriów niezależnie od tego czy zestaw ten jest rozproszony czy podzielony funkcjonalnie.

Tyle definicja. W praktyce jest to jedno z trudniejszych zagadnień a w szczególności tam, gdzie zbiorów jest bardzo wiele jak np. w administracji publicznej. Do rozstrzygnięcia pozostaje  kwestia czy mamy do czynienia z jednym dużym zbiorem i w jego obrębie mniejszymi podzbiorami czy wieloma odrębnymi zbiorami.

Jeden czy wiele zbiorów ma to o tyle znaczenie, iż zbiór danych osobowych podlega rejestracji w rejestrze GIODO lub też wykazywać go musi powołany i zarejestrowany administrator bezpieczeństwa informacji. Wykaz zbiorów musi również zawierać dokumentacja związana z przetwarzaniem danych osobowych. Ustawa o ochronie danych osobowych czasami też różnicuje obowiązki związane z przetwarzaniem danych osobowych przetwarzanych w zbiorze lub poza nim.

W zakresie zasygnalizowanej wyżej problematyki związanej z identyfikacją zbiorów danych osobowych nie ma jednolitej praktyki. Znajdujemy również nie zawsze spójne stanowiska urzędu oraz orzecznictwo sądowe.

I tak na przykład w jednym z wyroków sąd stwierdził, iż dane osobowe gromadzone w umowach kupna- sprzedaży i dane osobowe zawarte w systemie informatycznym o nazwie „Symfonia 2006 r.”, trzeba traktować jako zbiór danych wówczas, gdy zawierają te same, wspólne dane klientów (choć gromadzone w innym celu, na potrzeby podatkowe i realizacji umów cywilnoprawnych). W świetle tego orzeczenia dane osobowe przetwarzane w rejestrze umów oraz w systemie informatycznym to ten sam zbiór klientów.

Z kolei na stronie internetowej GIODO czytamy, iż dla realizacji różnych celów konieczne będzie przetwarzanie danych osobowych w różnych zakresach, a to oznacza, że zgłoszenie zbioru do rejestracji dotyczy de facto nie jednego, lecz kilku zbiorów prowadzonych w różnych celach.

Jak widać zgodności nie ma. Sprawę komplikuje dodatkowo fakt przetwarzania danych w rozbudowanych systemach informatycznych z wieloma modułami obsługującymi, w którym każdy moduł przetwarza dane w innym celu np. cele księgowo-podatkowe, ewidencyjne, rozliczeniowe, windykacyjne itd. Nawet tradycyjne zbiory w postaci wszelakich rejestrów, ksiąg, ewidencji zawsze będą przetwarzały dane w innym celu oraz w innym zakresie np. rejestr członków spółdzielni i rejestr aktów notarialnych itd. Nie oznacza to przecież automatycznie, że wielomodułowy system informatyczny przetwarza wiele zbiorów.

W związku z powyższym jak to w życiu bywa odpowiedzi nie ma ani jednej ani prostej i każdy przypadek trzeba badać indywidualnie. Wiem, że to nie łatwe dla praktyków np. ABI, którzy muszą  zbiory identyfikować, rejestrować i jeszcze w świetle prawa ponosić za to odpowiedzialność.

Na koniec powiem tylko, że każdą swoją decyzję np. w zakresie ustalenia wykazu zbiorów trzeba umieć uzasadnić logicznie i z poparciem odpowiednią podstawą prawną, stanowiskiem doktryny prawniczej czy orzecznictwa. To daje pewność, że ABI ma odpowiednią wiedzę, której się od niego wymaga, nie działa intuicyjnie, ale w oparciu o prawo, poglądy doktryny czy orzecznictwo.

 

Szkolenie ABI pod znakiem Neptuna

Mimo środka wakacji i okresu ogórkowego udało się zebrać grupę osób zdeterminowanych by dwa dni z rzędu zgębiać tajniki wiedzy o ochronie danych osobowych. Szkolenie w Centrum Konferencyjnym Kopernika w Warszawie oraz w sali Neptun już na wstępie zagrzewa do naukowego boju.

A bój jak wiadomo się toczy na arenie ochrony danych osobowych. Po niedawnej nowelizacji ustawy o ochronie danych osobowych i podniesieniu rangi ABI, musi on okiełznać spienione fale przepisów prawnych i mężnie stawić im czoła.

Jestem pewna, że po dwudniowej batalii ze mną w sali Neptun nie będzie dla ABI problemów nie do pokonania w obszarze ochrony danych osobowych, za który jest odpowiedzialny.

W związku z nowymi przepisami o ochronie danych osobowych dotyczącymi administratorów bezpieczństwa informacji (ABI) dyskusje w większości koncentrują się wokół ABI, ich praw, obowiązków czy odpowiedniego poziomu wiedzy.

Jak dużą rangę przypisuje się sie nowym przepisom w zakresie wymagania odpowiedniej wiedzy ABI świadczy choćby powołanie przez Instytut Nauk Prawnych PAN w porozumieniu  z GIODO studiów podyplomowych dla administratorów bezpieczeństwa informacji.

Oznacza to, iż wszystko zmierza w kierunku kształtowania się nowego zawodu, którego zdobycie będzie wymagało odpowiednich nakładów ze strony osób, które zapragną go wykonywać. Do przeszłości należeć będą sytuacje, gdy ABI był przypadkową osobą z powierzchowną wiedzą w zakresie przepisów ochrony danych osobowych.

Paradoksalnie zwiększenie wymagań w stosunku do profesjonalnego ABI nie pozostaje bez wpływu na całą resztę administratorów danych osobowych czyli wszelkich podmiotów przetwarzających dane osobowe w celach zarobkowych a którzy nie powołają ABI. Bowiem w przypadku, gdy administrator danych nie powoła ABI sam będzie zobowiązany wykonywać jego obowiązki z małymi wyjątkami.

Podniesienie rangi ABI oraz wymagań wobec niego jest związane z szeregiem nowych obowiązków związanych z zapewnieniem zgodności przetwarzania danych osobowych. Z uwagi na te obowiązki wielu administratorów danych osobowych nie zdecydowało się na formalne powołanie oraz rejestrację ABI.

Oznacza to, że cała rzesza administratorów danych osobowych we własnym zakresie, bez pomocy ABI będzie zobowiązana zapewnić zgodność przetwarzania danych.

W związku z powyższym w organizacjach, gdzie nie powołano ABI równolegle odbywa się organizowanie alternatywnego dla ABI modelu zapewnienia zgodności przetwarzania danych. Związane jest to z wyznaczaniem osób i delegowaniem im tak naprawdę obowiązków ABI.

W świetle znowelizowanych przepisów z ABI czy bez niego administrator danych osobowych musi dostosować swoją firmę do nowych regulacji w zakresie wypełniania nowych obowiązków. Niepowołanie ABI bowiem nie powoduje w żadnym razie uwolnienia się od nowych zadań.

W mojej ocenie szczególnie w tych firmach, bez ABI, niezbędne jest zapewnienie przeszkolenia osób, kóre zostaną wyznaczone do wypełniania jego obowiązków. Nie można usypiać czujności niepowołaniem ABI. Nowa regulacja dotyczy wszystkich. Obowiązków w zakresie zewpnienia zgodności przetwarzania danych osobowych jest więcej, są to nowe obowiązki i z wypełniania tych obowiązków będą rozliczane osoby, które zostały przez kierownictwo wyznaczone do ich wypełniania.

Odpowiednie szkolenie osób odpowiedzialnych za wykonywanie nowych obowiązków w firmie bez ABI jest tym bardziej istotne. Bowiem w firmach z powołanym ABI pewny jest wzrost poziomu ochrony danych osobowych . Każda firma, która powołała lub powoła  ABI jest zobowiązana zapewnić mu odpowiednie środki niezbędne do należytego wykonywania zadań. Takie firmy wysyłają pracowników na szkolenia czy na wspomniane na wstępie studia podyplomowe.

W konsekwencji w firmach z ABI w większości przypadków panował będzie profesjonalny model zapewniania zgodności przetwarzania danych osobowych. Oznacza to, że ogólne standardy zapewniania zgodności przetwarzania danych osobowych, dla wszystkich administratorów wzrosną. Aby im sprostać nawet, jeśli nie jesteś oficjalnie ABI, ale Twój prezes wyznaczył Cię do wykonywania jego obowiązków, musisz mieć wiedzę nie mniejszą niż ABI powołany oficjalnie. Masz  prawie takie same obowiązki do wykonania. Musisz  uświadamiać to swoim zwierzchnikom, którzy nie zawsze to, co wiem z praktyki rozumieją.

Dla wszystkich nieformlanych ABI czyli pracowników IT, kadr i innych, pragnących posiadać należyty poziom wiedzy, nieodbiegający od profesjonalnych ABI będę prowadziła dedykowane szkolenie w dniu 3 sierpnia w Warszawie, na które serdecznie zapraszam.

 

Studenci na salach szpitalnych, podczas zabiegów medycznych to w szpitalach akademickich codzienność. Z jednej strony to dobrze, bo młodzież poznaje zawód w praktyce a z drugiej związane jest  uczestniczeniem w procesie leczenia osób, których udział nie jest w tym procesie niezbędny. Dodatkowo udział grupy studentów podczas udzielania świadczeń medycznych może krępować pacjenta czyli negatywnie wpływać na sferę jego prywatności.

Przepisy, które umożliwiały przekazywanie informacji o pacjencie, jeśli było to niezbędne dla praktycznej nauki zawodów lub celów naukowych, zostały uchylone. Unormowanie to miało zastosowanie np. w placówkach zajmujących się działalnością dydaktyczną (szpitale kliniczne wyższych uczelni medycznych) oraz dla potrzeb przygotowywania prac naukowych.

W okresie obowiązywania omawianej regulacji wskazywano, iż uchylenie tajemnicy w zakresie kształcenia powinno być poprzedzone poinformowaniem chorego, przyjmowanego do takiej placówki, że w związku z jej dydaktyczną działalnością może dojść do naruszenia sfery jego prywatności. Z kolei udostępnianie danych na potrzeby naukowe warunkowane było w literaturze ich anonimizacją.

Aktualnie brak wyraźnej podstawy uprawniającej do uchylenia tajemnicy w omawianych przypadkach. Uchylenie tej regulacji w praktyce przysparza wielu problemów. Niekiedy nie można dokonać anonimizacji tych informacji.Poza tym, w niektórych przypadkach niezbędne jest również zaprezentowanie wizerunku pacjenta np. jeśli posiada on zmiany chorobowe na twarzy. Całkowita anonimizacja w takich sytuacjach wydaje się niemożliwa.

Stąd też trzeba będzie poszukiwać innej podstawy ujawnienia tajemnicy. Przede wszystkim, konieczne będzie każdorazowe wyjednanie zgody pacjenta, który zgodnie z prawem może upoważnić lekarza do takiego naruszenia chronionej jego sfery.

Szkolenie ABI 3-4 sierpnia Warszawa

Ilość odwiedzin mojego bloga bije rekordy. Najwięcej odsłon mają strony z poradnikiem oraz dotyczące szkoleń. Wiele osób zamawia bezpłatny poradnik ABI. To wszystko oznacza, że 30 czerwca zbliża się wielkimi krokami i data ta traktowana jest bardzo poważnie w szczególności przez ABI.

Mimo, iż nowe przepisy dotyczą wszystkich administratorów danych, przełomowe regulacje odnoszą się przede wszystkim do administratorów bezpieczeństwa informacji czyli ABI. W związku z tym ABI dotychczasowi ale i nowo powołani szukają informacji dotyczących nowych przepisów i ich interpretacji. Szukają też szczegółowych informacji odnośnie ochrony i przetwarzania danych osobowych, gdyż za chwilę będzie od nie wymagana wiedza ekspercka.

Poziom wiedzy ABI jest bardzo różny od najwyższej po zupełnie przeciętną czy początkujacą. Jednakże prawo wymaga, aby poziom ten był w miarę wyrównany, gdyż stawia wszystkim ABI te same wymagania i nakłada takie same obowiązki i wszyscy tak samo będą rozliczani z ich wykonywania.

W odpowiedzi na palącą potrzebę podnoszenia wiedzy w zakresie ochorny danych osobowych zapraszam wszystkich zainteresowanych na szkolenie ABI w Warszawie, 3-4 sierpnia 2015 r. z możliwością wyboru opcji szkolenia dla początkujących oraz zaawansowanych.

Szkolenie jest niezbędne przede wszystkim dla początkujących, którzy bez rzetelnych podstaw nie mają szans, aby sprostać obowiązkom wynikającym z nowych regulacji prawnych. Szkolenie, które na konkretnych przykładach przybliża nie zawsze łatwą materię prawną będzie również pożyteczne dla ABI zaawansowanych.

W przypadku, jeśli administrator danych nie zdecydował się na powołanie ABI w świetle prawa sam będzie zobowiązany do ich wykonywania. W praktyce administrator danych z reguły deleguje  takie zadania na innych pracowników, którzy nie mając statusu ABI będą jednak odpowiedzialni za obszar ochrony danych osobowych w jednostce. Do tych osób również kierowane jest moje szkolenie, gdyż są to tak naprawdę z małymi wyjątkami indentyczne obowiązki.

Zapraszam na szkolenie. Zapisy przyjmuję drogą elektroniczną na adres kancelaria@przetwarzaniedanych.pl., również szczegółowy program osobom zainteresowanym szkoleniem przesyłam drogą mailową.

Większość z nas doskonale pamięta karty gorączkowe zawieszone na poręczach szpitalnych łóżek, na których widniały dane osobowe pacjenta a także dane medyczne dotyczące postawionej diagnozy czy stosowanego leczenia. Na kartach widniał również wykres z pomiarem temperatury.

Generalny Inspektor Danych Osobowych wydał sygnalizację, iż uwidacznianie danych medycznych na powszechnie dostępnej karcie gorączkowej jest niezgodne z obowiązującymi przepisami i zalecał zmianę praktyki w tym zakresie.

Jednym z podstawowych praw pacjenta i odpowiadającym mu obowiązkiem lekarza jest zachowanie w tajemnicy informacji o chorym, które lekarz powziął w związku z wykonywaniem zawodu.

Obowiązek tajemnicy zawodowej związany jest także z ochroną prywatności pacjenta. Przyjmuje się bowiem, że informacje dotyczące zdrowia i choroby należą do sfery tzw. prywatności, która stanowi jedno z dóbr osobistych.

Na straży ochrony tych dóbr stoją przepisy Konstytucji RP oraz przepisy prawa cywilnego dotyczące ochrony dóbr osobistych. Uznaje się, iż prywatność obejmuje m.in. informacje o stanie zdrowia. Tylko pacjent jest uprawniony do zdecydowania, czy chce ujawnienia określonych informacji. Lekarz zatem nie może dokonać za niego takiego rozstrzygnięcia. Jest tym bardziej istotne, że dane medyczne zostały zaliczone do tzw. danych wrażliwych (sensytywnych), o których mowa w przepisach ustawy o ochronie danych osobowych.

Rozpowszechnienie informacji o stanie zdrowia może wyrządzić osobie szczególnie dotkliwą krzywdę, dlatego względem takich informacji została wprowadzona silniejsza ochrona .

W ustawie o prawach pacjenta  i Rzeczniku Praw Pacjenta ustawodawca potraktował zachowanie tajemnicy lekarskiej jako podstawowe prawo pacjenta. Przepisy te mają zastosowanie nie tylko w stosunku do lekarzy, ale również do innych pracowników medycznych, udzielających świadczeń zdrowotnych (np. pielęgniarek, położonych, diagnostów laboratoryjnych, farmaceutów).

Z uwagi na obowiązującą tajemnicę lekarską oraz prawo pacjentów do prywatności ujawnianie danych medycznych na karatach gorączkowych nie powinno mieć miejsca. GIODO zalecał wdrażanie innych rozwiązań niż karty gorączkowe zawieszone na łóżkach pacjentów. Za ostateczność uznał odwracanie karty gorączkowej na drugą, niezapisaną stronę.

Jak widać respektowanie prywatności pacjenta oraz tajemnicy lekarskiej  dalekie jest od ideału. Poszanowanie tych praw wymaga bowiem zmiany świadomości społecznej w zakresie rangi prawa pacjenta do prywatności i tajemnicy lekarskiej. Dotyczy to samych lekarzy i personelu medycznego, ale i samych pacjentów, którzy powinni być świadomi swoich praw i domagać się ich przestrzegania.

ABI muszisz się szkolić

W ostatnim artykule pisałam o nowym ABI, którego nie znamy. ABI w nowym wydaniu to niezależny, kompetenty specjalista dbający o całokształ zagadnień dotyczących ochrony danych osobowych w firmie.

Nowy ABI to ekspert i wymaga wiedzy eksperckiej.

Tymczasem pospolitość skrzeczy. Przepisy sobie a rzeczywistość sobie. Wielu dotychczasowych ABI nie posiada odpowiedniej wiedzy. Stwierdzam to z przykrością na podstawie osobistych kontaktów i obserwacji. Wyłączam niektóre firmy, profesjonalnie świadczące usługi konsultigowe zakresie ochrony danych osobowych. Jednak ABI wewnątrz firm często mają bardzo pobieżną wiedzę w zakresie ochrony danych osobowych, daleką od wymaganego poziomu eksperckiego.

Sytuacja taka ma miejsce nie z ich winy. Z reguły zatrudniani byli na zupełnie innych stanowiskach. Jak wielokrotnie pisałam ABI dotychczas z reguły był takim złem koniecznym. Jeśli już musiał być to z łapanki nominowano panią kadrową, księgową czy kogoś z działu informatyki.

Bardzo często tym ludziom pracodawca nie zapewniał odpowiednich szkoleń zapewniających odpowiednią wiedzę. Bywają chlubne wyjątki to jasne. W aktualnym stanie prawnym dotychczasowi ABI czyli panie księgowe, kadrowe, informatycy  z reguły będą kontynuować misję ABI w swojej firmie.

Jednak jak już pisałam, sytuacja zmieniła się diametralnie. Nowy ABI jest dokłądnie uregulowany. Wiemy kim jest i czego możemy od niego wymagać. Z tą wiedzą związana też będzie odpowiednio większa odpowiedzialność ABI. Adminsitrator danych, który powołuje ABI w swojej organizacji będzie miał prawo wskazać ABI jako osobę odpowiedzialną za ten obszar w swojej organizacji.

Nowy ABI powołany i zarejestrowany będzie podlegał też kontroli zewnętrznej GIODO a brak odpowiedniej wiedzy jest warunkiem rejestracji oraz może być powodem wykreślenia z rejestru. GIODO oczekuje, że ABI, który zostanie zarejestrowany sprawnie przeprowadzi kontrolę w firmie na jego wniosek. Podczas takiej kontroli brak odpowiedniej wiedzy u ABI będzie nie do ukrycia. Jedno zdanie może obnażyć brak odpowiedniej wiedzy.

Jeśli już zostałeś powołany do pełnienia funkcji ABI a nie czujesz się ekspertem musisz domagać się od swojego pracodawcy szkoleń. Pracodawca ma obowiązek zapewnić ABI środki niezbędne do należytego pełnienia funkcji ABI a jednym z takich środków będzie zapewnienie szkolenia. Bez nich nigdy nie osiągniesz wymaganej wiedzy eksperckiej. Dziedzina ochrony danych osbowych nie należy do najłatwiejszych, dlatego wymaga gruntownej edukacji.

Jeśli jesteś informatykiem, księgową, kadrową lub piastujesz inne stanowisko w firmie nie masz obowiązku być ekspertem w zakresie ochrony danych osbowych. Jesteś specjalistą w zakresie swoich zadań, znasz się na kadrach, rozliczeniach finansowych czy systemach informatycznych i wiesz na czym ta praca polega. Wiesz również, iż masz odpwiednią wiedzę i doświadczenie, aby zajmować te stanowiska i świadczyć tego rodzaju pracę.

Dodatkowe zajęcia ABI to nie może być jakaś kula u nogi czy piąte koło, gdyż finalnie może stanąć kością w gardle, czego oczywiście Ci nie życzę. Każda praca wymga wiedzy, z każdą pracą związana jest odpwiedzialność a dodatkowo jeśli nasza praca i my personalnie jesteśmy zgłąszani do urzędu jako eksperci z danej dziedziny to po prostu musimy nimi być.

Bodźcem do napisania tego artykułu był telefon jednego wewnętrznego ABI, który zadał mi pytanie kto w spółce z ograniczoną odpowiedzialnością jest administratorem danych osobowych. Takich pytań ABI nie może stawiać.

ABI jakiego nie znamy

„Jak kontrolować przetwarzanie danych osobowych przez ABI.”

Frazy o treści dokładnie takiej jak w tytule są wpisywane do wyszukiwarek. Oznacza to, że mnożą się kolejne pytania dotyczące funcjonowania nowego ABI. Bowiem podniesienie rangi ABI przez wyznaczenie katalogu zadań, zapewnienie niezależności, wyposażenie w środki prawne to jedno. Inną kwestią jest to, że przepisy właściwie nie wymagają, aby ABI legitymował się konkretnymi kwalifikacjami na przykład był prawnikiem czy informatykiem, miał certyfikaty czy inne dokumenty potwierdzające jego kompetencje.

W stanie prawnym sprzed nowelizacji, gdy przepisy poświęcały regulacji ABI w sumie jedno zdanie, jego kwalifikacje nie miały aż tak wielkiego znaczenia. Sam ABI w organizacji nie był specjalnie na świeczniku a jego wybór był zupełnie odformalizowany, no poza samym obowiązkiem jego powołania.

Aktualnie oblicze ABI przechodzi totalną metamorfozę. I nie ma znaczenia fakt, że profesjonalnie świadczące usługę ABI firmy wykonywały już wcześniej większość zadań w zakresie i w sposób określony w nowych przepisach. Metamorfoza ABI jest niekwestionowana w świetle prawa.

W stanie prawnym sprzed nowelizacji instytucji ABI przepisy prawne poświęcały jedno zdanie. W aktulanym stanie prawnym jest to cały rozdział w ustawie oraz trzy rozporządzenia wykonawcze. I tak rozbudowana regulacja prawna kładzie podwaliny moim zdaniem pod rozwój bardzo ważnej w organizacji funcji.

Większość firm w zakresie ochrony danych osobowych oczywiście śpi i nie jest w ogóle świadoma, że coś się zmienia. Inne wiedzą, że coś się zmienia, ale nie są świadome jakie ma to dla nich znaczenie i niechętnie zajmują się tematem. Nieliczne tylko już wiedzą, że wkracza nowe.

I taka jest prawda. Wkracza zupełnie nowy ABI, w nowym prawnym uniformie, uzbrojony w narzędzia służące do wykonywania jego funkcji.

Jednak od takiego ABI można i trzeba dużo wymagać. Taki ABI będzie wobec administratora odpowiedzialny za zapewnianie zgodności przetwarzania danych osobowych z prawem. Administrator w szczególności od zewnętrzengo ABI ma prawo wymagać nie tylko potwierdzenia kompetencji, ale też i odpowiedniej polisy OC związanej z wykonywaną działalnością. Napiszę o tym jeszcze szerzej, gdyż ta fraza również jest wpisywana w wyszukiwarkę na moim blogu.

Reasumując jak kontrolować czy ABI właściwie wypełnia swoje obowiązki. Najpierw należy wybrać odpowiednią osobę, firmę. Poprosić o potwierdzenie wykształcenia, doświadczenia, rekomendacje, ukończone szkolenia, kursy, certyfikaty.

W aktualnym stanie prawnym oraz w przeddzień wprowadzenia w życie unijnego rozporządzenia w sprawie ochrony danych osobowych ABI nie może być osobą przypadkową. Z funkcją ABI bowiem związana będzie większa niż dotychczas odpowiedzialność. Dodatkowo w momencie wejścia w życie rozporządzenia a wraz z nim kar pieniężnych, kwestia odpowiedzialności ABI za powierzone w ramach funkcji zadania stanie się z pewnością ważnym zagadnieniem prawnym.

Czy wspólnota mieszkaniowa przetwarzająca dane osobowe właścicieli lokali zawartych w kartotekach, skorowidzach, księgach, wykazach i w innych zbiorach ewidencyjnych jest administratorem danych osobowych i stosuje się do niej wymagania przepisów ochrony danych osobowych.

Odpowiedź brzmi, tak wspólnota mieszkaniowa jest administratorem danych osobowych i stosuje się do niej wymagania przepisów ochrony danych osobowych z wszelkimi konsekwencjami prawnymi.

Wspólnota mieszkaniowa, którą stanowi ogół właścicieli lokali wchodzących w skład określonej nieruchomości jest administratorem danych dotyczących tych osób i obowiązana jest stosować takie środki techniczne i organizacyjne, które zapewniają ochronę przetwarzania danych osobowych.

W szczególności wspólnota jest zobowiązana zabezpieczyć dane, które przetwarza przed ich udostępnieniem osobom niepożądanym, zabraniem przez osobę nieuprawnioną, przetworzeniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zmienieniem.

Stwierdzenie nieprawidłowości w zakresie wypełniania obowiązków związanych z legalnym przetwarzaniem danych osobowych, stwarza podstawę do nałożenia na administratora danych (wspólnotę mieszkaniową) decyzji nakazującej usunięcie tych uchybień. Wspólnota mieszkaniowa jako administrator danych osobowych będzie odpowiedzialna za przetwarzanie zgodne z prawem nawet, jeśli administrator danych powierzył innemu podmiotowi przetwarzanie tych danych.

Podmiot, któremu administrator powierzył przetwarzanie danych osobowych na podstawie umowy powierzenia (np.zarządca)  będzie odpowiadał za przetwarzanie niezgodne z tą umową.

Podmiotem, któremu wspólnota najczęściej powierza przetwarzanie danych osobowych jest zarządca nieruchomości, który na podstawie zawartej ze wspólnotą umowy zarządza nieruchomością. Wykonując obowiązki związane z wykonywaniem umowy, zarządca niewątpliwie przetwarza dane osobowe.

Zarząd Wspólnoty podpisując umowę z zarządcą powinien zadbać o zabezpieczenie w umowie kwestii przetwarzania danych osobowych w umowie zawartej z zarządcą.

Spis właścicieli lokali tworzących wspólnotę i wielkości przypadających im udziałów w nieruchomości wspólnej, spis osób wynajmujących dodatkowe miejsca parkingowe na nieruchomości wspólnej zawarte w rejestrach czy innych zbiorach ewidencyjnych, zgromadzone następnie w teczce czy segregatorze stanowią zbiór danych w rozumieniu przepisów o ochronie danych osobowych.

Reasumując każda wspólnota jest administratorem danych osobowych i ponosi odpowiedzialność za zgodne z prawem przetwarzanie danych osobowych. W przypadku powierzenia zarządu nieruchomością firmie zewnętrznej wspólnota jako administrator danych osobowych powinna zadbać, aby zarządca jako przetwarzający  w związku z wykonywaniem zleconych mu czynności respektował przepisy o ochronie danych osobowych.

Pogoda jest podła nie ma co do tego wątpliwości. Przychodnie pełne pacjentów, przeziębienia górą. Parę dni temu na tej właśnie fali z chorobą udałam się do lekarza. Siedzę i grzecznie czekam.

Drzwi się otwierają i lewym uchem dobiega mnie coś, w co w pierwszej chwili nie mogłam uwierzyć. „Proszę poprosić panią Malicką”. W ułamkach  sekund doszło do mnie, że oto lekarz pacjentce wychodzącej z jego gabinetu polecił poprosić kolejnego pacjenta  po nazwisku i że chodzi o mnie.

Niestety słuch mnie nie mylił. Pacjentka, która wychodziła z gabinetu zapytała czy nazywam się tak jak się nazywam i przekazała, że jestem proszona do gabinetu.

Włos się na głowie jeży, bo to naprawdę jest elementarz. Nie każdy a raczej mało kto będąc u lekarza a bywamy u lekarzy różnych specjalności chce, aby na cały korytarz wzywano go po nazwisko. GIODO wielokrotnie się na ten temat wypowiadał, iż przychodnie i lekarze powinni czuwać, aby dane osobowe pacjentów nie były udostępniane osobom postronnym, zwłaszcza podczas rejestracji czy wywoływania do gabinetu. Stąd praktykowane wzywanie po numerkach na przykład.

Jednak sytuacja, w której lekarz prosi pacjenta wychodzącego z gabinetu o zawołanie siedzącego przed gabinetem pana Nowaka, Kowalskiego czy Iksińskiego jest naprawde niedopuszczalna.

Sytuacja ta obrazuje tylko na jakim poziomie świadomości jesteśmy z ochroną danych osobowych, na jakim poziomie wiedzy w tym zakresie są lekarze, którzy przetwarzają dane wrażliwe, te szczególnie chronione.

Sytuacja z pewnością ulegnie zmianie w momencie wejścia w życie procedowanego w organach UE rozporządzenia w sprawie ochrony danych osobowych. Edukacja w tej materii pewnie dopiero wówczas nabierze piorunującego tempa i sytuacji takich, jak opisana w niniejszym wpisie  nie będzie. Przyczynią się do tego kary pieniężne, które za naruszenia przepisów ochrony danych osobowych rozporządzenie przewiduje.