Zbiór danych osobowych to nie takie proste

Wiadomo, że zbiór danych osobowych to w świetle ustawy posiadający strukturę zestaw danych o charakterze osobowym dostępny według określonych kryteriów niezależnie od tego czy zestaw ten jest rozproszony czy podzielony funkcjonalnie.

Tyle definicja. W praktyce jest to jedno z trudniejszych zagadnień a w szczególności tam, gdzie zbiorów jest bardzo wiele jak np. w administracji publicznej. Do rozstrzygnięcia pozostaje  kwestia czy mamy do czynienia z jednym dużym zbiorem i w jego obrębie mniejszymi podzbiorami czy wieloma odrębnymi zbiorami.

Jeden czy wiele zbiorów ma to o tyle znaczenie, iż zbiór danych osobowych podlega rejestracji w rejestrze GIODO lub też wykazywać go musi powołany i zarejestrowany administrator bezpieczeństwa informacji. Wykaz zbiorów musi również zawierać dokumentacja związana z przetwarzaniem danych osobowych. Ustawa o ochronie danych osobowych czasami też różnicuje obowiązki związane z przetwarzaniem danych osobowych przetwarzanych w zbiorze lub poza nim.

W zakresie zasygnalizowanej wyżej problematyki związanej z identyfikacją zbiorów danych osobowych nie ma jednolitej praktyki. Znajdujemy również nie zawsze spójne stanowiska urzędu oraz orzecznictwo sądowe.

I tak na przykład w jednym z wyroków sąd stwierdził, iż dane osobowe gromadzone w umowach kupna- sprzedaży i dane osobowe zawarte w systemie informatycznym o nazwie “Symfonia 2006 r.”, trzeba traktować jako zbiór danych wówczas, gdy zawierają te same, wspólne dane klientów (choć gromadzone w innym celu, na potrzeby podatkowe i realizacji umów cywilnoprawnych). W świetle tego orzeczenia dane osobowe przetwarzane w rejestrze umów oraz w systemie informatycznym to ten sam zbiór klientów.

Z kolei na stronie internetowej GIODO czytamy, iż dla realizacji różnych celów konieczne będzie przetwarzanie danych osobowych w różnych zakresach, a to oznacza, że zgłoszenie zbioru do rejestracji dotyczy de facto nie jednego, lecz kilku zbiorów prowadzonych w różnych celach.

Jak widać zgodności nie ma. Sprawę komplikuje dodatkowo fakt przetwarzania danych w rozbudowanych systemach informatycznych z wieloma modułami obsługującymi, w którym każdy moduł przetwarza dane w innym celu np. cele księgowo-podatkowe, ewidencyjne, rozliczeniowe, windykacyjne itd. Nawet tradycyjne zbiory w postaci wszelakich rejestrów, ksiąg, ewidencji zawsze będą przetwarzały dane w innym celu oraz w innym zakresie np. rejestr członków spółdzielni i rejestr aktów notarialnych itd. Nie oznacza to przecież automatycznie, że wielomodułowy system informatyczny przetwarza wiele zbiorów.

W związku z powyższym jak to w życiu bywa odpowiedzi nie ma ani jednej ani prostej i każdy przypadek trzeba badać indywidualnie. Wiem, że to nie łatwe dla praktyków np. ABI, którzy muszą  zbiory identyfikować, rejestrować i jeszcze w świetle prawa ponosić za to odpowiedzialność.

Na koniec powiem tylko, że każdą swoją decyzję np. w zakresie ustalenia wykazu zbiorów trzeba umieć uzasadnić logicznie i z poparciem odpowiednią podstawą prawną, stanowiskiem doktryny prawniczej czy orzecznictwa. To daje pewność, że ABI ma odpowiednią wiedzę, której się od niego wymaga, nie działa intuicyjnie, ale w oparciu o prawo, poglądy doktryny czy orzecznictwo.

 

Szkolenie ABI pod znakiem Neptuna

Mimo środka wakacji i okresu ogórkowego udało się zebrać grupę osób zdeterminowanych by dwa dni z rzędu zgębiać tajniki wiedzy o ochronie danych osobowych. Szkolenie w Centrum Konferencyjnym Kopernika w Warszawie oraz w sali Neptun już na wstępie zagrzewa do naukowego boju.

A bój jak wiadomo się toczy na arenie ochrony danych osobowych. Po niedawnej nowelizacji ustawy o ochronie danych osobowych i podniesieniu rangi ABI, musi on okiełznać spienione fale przepisów prawnych i mężnie stawić im czoła.

Jestem pewna, że po dwudniowej batalii ze mną w sali Neptun nie będzie dla ABI problemów nie do pokonania w obszarze ochrony danych osobowych, za który jest odpowiedzialny.

Jesteś nieformalnym ABI – zapraszam Cię na szkolenie 3 sierpnia do Warszawy

W związku z nowymi przepisami o ochronie danych osobowych dotyczącymi administratorów bezpieczństwa informacji (ABI) dyskusje w większości koncentrują się wokół ABI, ich praw, obowiązków czy odpowiedniego poziomu wiedzy.

Jak dużą rangę przypisuje się sie nowym przepisom w zakresie wymagania odpowiedniej wiedzy ABI świadczy choćby powołanie przez Instytut Nauk Prawnych PAN w porozumieniu  z GIODO studiów podyplomowych dla administratorów bezpieczeństwa informacji.

Oznacza to, iż wszystko zmierza w kierunku kształtowania się nowego zawodu, którego zdobycie będzie wymagało odpowiednich nakładów ze strony osób, które zapragną go wykonywać. Do przeszłości należeć będą sytuacje, gdy ABI był przypadkową osobą z powierzchowną wiedzą w zakresie przepisów ochrony danych osobowych.

Paradoksalnie zwiększenie wymagań w stosunku do profesjonalnego ABI nie pozostaje bez wpływu na całą resztę administratorów danych osobowych czyli wszelkich podmiotów przetwarzających dane osobowe w celach zarobkowych a którzy nie powołają ABI. Bowiem w przypadku, gdy administrator danych nie powoła ABI sam będzie zobowiązany wykonywać jego obowiązki z małymi wyjątkami.

Podniesienie rangi ABI oraz wymagań wobec niego jest związane z szeregiem nowych obowiązków związanych z zapewnieniem zgodności przetwarzania danych osobowych. Z uwagi na te obowiązki wielu administratorów danych osobowych nie zdecydowało się na formalne powołanie oraz rejestrację ABI.

Oznacza to, że cała rzesza administratorów danych osobowych we własnym zakresie, bez pomocy ABI będzie zobowiązana zapewnić zgodność przetwarzania danych.

W związku z powyższym w organizacjach, gdzie nie powołano ABI równolegle odbywa się organizowanie alternatywnego dla ABI modelu zapewnienia zgodności przetwarzania danych. Związane jest to z wyznaczaniem osób i delegowaniem im tak naprawdę obowiązków ABI.

W świetle znowelizowanych przepisów z ABI czy bez niego administrator danych osobowych musi dostosować swoją firmę do nowych regulacji w zakresie wypełniania nowych obowiązków. Niepowołanie ABI bowiem nie powoduje w żadnym razie uwolnienia się od nowych zadań.

W mojej ocenie szczególnie w tych firmach, bez ABI, niezbędne jest zapewnienie przeszkolenia osób, kóre zostaną wyznaczone do wypełniania jego obowiązków. Nie można usypiać czujności niepowołaniem ABI. Nowa regulacja dotyczy wszystkich. Obowiązków w zakresie zewpnienia zgodności przetwarzania danych osobowych jest więcej, są to nowe obowiązki i z wypełniania tych obowiązków będą rozliczane osoby, które zostały przez kierownictwo wyznaczone do ich wypełniania.

Odpowiednie szkolenie osób odpowiedzialnych za wykonywanie nowych obowiązków w firmie bez ABI jest tym bardziej istotne. Bowiem w firmach z powołanym ABI pewny jest wzrost poziomu ochrony danych osobowych . Każda firma, która powołała lub powoła  ABI jest zobowiązana zapewnić mu odpowiednie środki niezbędne do należytego wykonywania zadań. Takie firmy wysyłają pracowników na szkolenia czy na wspomniane na wstępie studia podyplomowe.

W konsekwencji w firmach z ABI w większości przypadków panował będzie profesjonalny model zapewniania zgodności przetwarzania danych osobowych. Oznacza to, że ogólne standardy zapewniania zgodności przetwarzania danych osobowych, dla wszystkich administratorów wzrosną. Aby im sprostać nawet, jeśli nie jesteś oficjalnie ABI, ale Twój prezes wyznaczył Cię do wykonywania jego obowiązków, musisz mieć wiedzę nie mniejszą niż ABI powołany oficjalnie. Masz  prawie takie same obowiązki do wykonania. Musisz  uświadamiać to swoim zwierzchnikom, którzy nie zawsze to, co wiem z praktyki rozumieją.

Dla wszystkich nieformlanych ABI czyli pracowników IT, kadr i innych, pragnących posiadać należyty poziom wiedzy, nieodbiegający od profesjonalnych ABI będę prowadziła dedykowane szkolenie w dniu 3 sierpnia w Warszawie, na które serdecznie zapraszam.

 

Studenci na salach szpitalnych a prywatność pacjenta

Studenci na salach szpitalnych, podczas zabiegów medycznych to w szpitalach akademickich codzienność. Z jednej strony to dobrze, bo młodzież poznaje zawód w praktyce a z drugiej związane jest  uczestniczeniem w procesie leczenia osób, których udział nie jest w tym procesie niezbędny. Dodatkowo udział grupy studentów podczas udzielania świadczeń medycznych może krępować pacjenta czyli negatywnie wpływać na sferę jego prywatności.

Przepisy, które umożliwiały przekazywanie informacji o pacjencie, jeśli było to niezbędne dla praktycznej nauki zawodów lub celów naukowych, zostały uchylone. Unormowanie to miało zastosowanie np. w placówkach zajmujących się działalnością dydaktyczną (szpitale kliniczne wyższych uczelni medycznych) oraz dla potrzeb przygotowywania prac naukowych.

W okresie obowiązywania omawianej regulacji wskazywano, iż uchylenie tajemnicy w zakresie kształcenia powinno być poprzedzone poinformowaniem chorego, przyjmowanego do takiej placówki, że w związku z jej dydaktyczną działalnością może dojść do naruszenia sfery jego prywatności. Z kolei udostępnianie danych na potrzeby naukowe warunkowane było w literaturze ich anonimizacją.

Aktualnie brak wyraźnej podstawy uprawniającej do uchylenia tajemnicy w omawianych przypadkach. Uchylenie tej regulacji w praktyce przysparza wielu problemów. Niekiedy nie można dokonać anonimizacji tych informacji.Poza tym, w niektórych przypadkach niezbędne jest również zaprezentowanie wizerunku pacjenta np. jeśli posiada on zmiany chorobowe na twarzy. Całkowita anonimizacja w takich sytuacjach wydaje się niemożliwa.

Stąd też trzeba będzie poszukiwać innej podstawy ujawnienia tajemnicy. Przede wszystkim, konieczne będzie każdorazowe wyjednanie zgody pacjenta, który zgodnie z prawem może upoważnić lekarza do takiego naruszenia chronionej jego sfery.