Szkolenie ABI 3-4 sierpnia Warszawa

Ilość odwiedzin mojego bloga bije rekordy. Najwięcej odsłon mają strony z poradnikiem oraz dotyczące szkoleń. Wiele osób zamawia bezpłatny poradnik ABI. To wszystko oznacza, że 30 czerwca zbliża się wielkimi krokami i data ta traktowana jest bardzo poważnie w szczególności przez ABI.

Mimo, iż nowe przepisy dotyczą wszystkich administratorów danych, przełomowe regulacje odnoszą się przede wszystkim do administratorów bezpieczeństwa informacji czyli ABI. W związku z tym ABI dotychczasowi ale i nowo powołani szukają informacji dotyczących nowych przepisów i ich interpretacji. Szukają też szczegółowych informacji odnośnie ochrony i przetwarzania danych osobowych, gdyż za chwilę będzie od nie wymagana wiedza ekspercka.

Poziom wiedzy ABI jest bardzo różny od najwyższej po zupełnie przeciętną czy początkujacą. Jednakże prawo wymaga, aby poziom ten był w miarę wyrównany, gdyż stawia wszystkim ABI te same wymagania i nakłada takie same obowiązki i wszyscy tak samo będą rozliczani z ich wykonywania.

W odpowiedzi na palącą potrzebę podnoszenia wiedzy w zakresie ochorny danych osobowych zapraszam wszystkich zainteresowanych na szkolenie ABI w Warszawie, 3-4 sierpnia 2015 r. z możliwością wyboru opcji szkolenia dla początkujących oraz zaawansowanych.

Szkolenie jest niezbędne przede wszystkim dla początkujących, którzy bez rzetelnych podstaw nie mają szans, aby sprostać obowiązkom wynikającym z nowych regulacji prawnych. Szkolenie, które na konkretnych przykładach przybliża nie zawsze łatwą materię prawną będzie również pożyteczne dla ABI zaawansowanych.

W przypadku, jeśli administrator danych nie zdecydował się na powołanie ABI w świetle prawa sam będzie zobowiązany do ich wykonywania. W praktyce administrator danych z reguły deleguje  takie zadania na innych pracowników, którzy nie mając statusu ABI będą jednak odpowiedzialni za obszar ochrony danych osobowych w jednostce. Do tych osób również kierowane jest moje szkolenie, gdyż są to tak naprawdę z małymi wyjątkami indentyczne obowiązki.

Zapraszam na szkolenie. Zapisy przyjmuję drogą elektroniczną na adres kancelaria@przetwarzaniedanych.pl., również szczegółowy program osobom zainteresowanym szkoleniem przesyłam drogą mailową.

Prywatność pacjenta a karty gorączkowe

Większość z nas doskonale pamięta karty gorączkowe zawieszone na poręczach szpitalnych łóżek, na których widniały dane osobowe pacjenta a także dane medyczne dotyczące postawionej diagnozy czy stosowanego leczenia. Na kartach widniał również wykres z pomiarem temperatury.

Generalny Inspektor Danych Osobowych wydał sygnalizację, iż uwidacznianie danych medycznych na powszechnie dostępnej karcie gorączkowej jest niezgodne z obowiązującymi przepisami i zalecał zmianę praktyki w tym zakresie.

Jednym z podstawowych praw pacjenta i odpowiadającym mu obowiązkiem lekarza jest zachowanie w tajemnicy informacji o chorym, które lekarz powziął w związku z wykonywaniem zawodu.

Obowiązek tajemnicy zawodowej związany jest także z ochroną prywatności pacjenta. Przyjmuje się bowiem, że informacje dotyczące zdrowia i choroby należą do sfery tzw. prywatności, która stanowi jedno z dóbr osobistych.

Na straży ochrony tych dóbr stoją przepisy Konstytucji RP oraz przepisy prawa cywilnego dotyczące ochrony dóbr osobistych. Uznaje się, iż prywatność obejmuje m.in. informacje o stanie zdrowia. Tylko pacjent jest uprawniony do zdecydowania, czy chce ujawnienia określonych informacji. Lekarz zatem nie może dokonać za niego takiego rozstrzygnięcia. Jest tym bardziej istotne, że dane medyczne zostały zaliczone do tzw. danych wrażliwych (sensytywnych), o których mowa w przepisach ustawy o ochronie danych osobowych.

Rozpowszechnienie informacji o stanie zdrowia może wyrządzić osobie szczególnie dotkliwą krzywdę, dlatego względem takich informacji została wprowadzona silniejsza ochrona .

W ustawie o prawach pacjenta  i Rzeczniku Praw Pacjenta ustawodawca potraktował zachowanie tajemnicy lekarskiej jako podstawowe prawo pacjenta. Przepisy te mają zastosowanie nie tylko w stosunku do lekarzy, ale również do innych pracowników medycznych, udzielających świadczeń zdrowotnych (np. pielęgniarek, położonych, diagnostów laboratoryjnych, farmaceutów).

Z uwagi na obowiązującą tajemnicę lekarską oraz prawo pacjentów do prywatności ujawnianie danych medycznych na karatach gorączkowych nie powinno mieć miejsca. GIODO zalecał wdrażanie innych rozwiązań niż karty gorączkowe zawieszone na łóżkach pacjentów. Za ostateczność uznał odwracanie karty gorączkowej na drugą, niezapisaną stronę.

Jak widać respektowanie prywatności pacjenta oraz tajemnicy lekarskiej  dalekie jest od ideału. Poszanowanie tych praw wymaga bowiem zmiany świadomości społecznej w zakresie rangi prawa pacjenta do prywatności i tajemnicy lekarskiej. Dotyczy to samych lekarzy i personelu medycznego, ale i samych pacjentów, którzy powinni być świadomi swoich praw i domagać się ich przestrzegania.

ABI muszisz się szkolić

W ostatnim artykule pisałam o nowym ABI, którego nie znamy. ABI w nowym wydaniu to niezależny, kompetenty specjalista dbający o całokształ zagadnień dotyczących ochrony danych osobowych w firmie.

Nowy ABI to ekspert i wymaga wiedzy eksperckiej.

Tymczasem pospolitość skrzeczy. Przepisy sobie a rzeczywistość sobie. Wielu dotychczasowych ABI nie posiada odpowiedniej wiedzy. Stwierdzam to z przykrością na podstawie osobistych kontaktów i obserwacji. Wyłączam niektóre firmy, profesjonalnie świadczące usługi konsultigowe zakresie ochrony danych osobowych. Jednak ABI wewnątrz firm często mają bardzo pobieżną wiedzę w zakresie ochrony danych osobowych, daleką od wymaganego poziomu eksperckiego.

Sytuacja taka ma miejsce nie z ich winy. Z reguły zatrudniani byli na zupełnie innych stanowiskach. Jak wielokrotnie pisałam ABI dotychczas z reguły był takim złem koniecznym. Jeśli już musiał być to z łapanki nominowano panią kadrową, księgową czy kogoś z działu informatyki.

Bardzo często tym ludziom pracodawca nie zapewniał odpowiednich szkoleń zapewniających odpowiednią wiedzę. Bywają chlubne wyjątki to jasne. W aktualnym stanie prawnym dotychczasowi ABI czyli panie księgowe, kadrowe, informatycy  z reguły będą kontynuować misję ABI w swojej firmie.

Jednak jak już pisałam, sytuacja zmieniła się diametralnie. Nowy ABI jest dokłądnie uregulowany. Wiemy kim jest i czego możemy od niego wymagać. Z tą wiedzą związana też będzie odpowiednio większa odpowiedzialność ABI. Adminsitrator danych, który powołuje ABI w swojej organizacji będzie miał prawo wskazać ABI jako osobę odpowiedzialną za ten obszar w swojej organizacji.

Nowy ABI powołany i zarejestrowany będzie podlegał też kontroli zewnętrznej GIODO a brak odpowiedniej wiedzy jest warunkiem rejestracji oraz może być powodem wykreślenia z rejestru. GIODO oczekuje, że ABI, który zostanie zarejestrowany sprawnie przeprowadzi kontrolę w firmie na jego wniosek. Podczas takiej kontroli brak odpowiedniej wiedzy u ABI będzie nie do ukrycia. Jedno zdanie może obnażyć brak odpowiedniej wiedzy.

Jeśli już zostałeś powołany do pełnienia funkcji ABI a nie czujesz się ekspertem musisz domagać się od swojego pracodawcy szkoleń. Pracodawca ma obowiązek zapewnić ABI środki niezbędne do należytego pełnienia funkcji ABI a jednym z takich środków będzie zapewnienie szkolenia. Bez nich nigdy nie osiągniesz wymaganej wiedzy eksperckiej. Dziedzina ochrony danych osbowych nie należy do najłatwiejszych, dlatego wymaga gruntownej edukacji.

Jeśli jesteś informatykiem, księgową, kadrową lub piastujesz inne stanowisko w firmie nie masz obowiązku być ekspertem w zakresie ochrony danych osbowych. Jesteś specjalistą w zakresie swoich zadań, znasz się na kadrach, rozliczeniach finansowych czy systemach informatycznych i wiesz na czym ta praca polega. Wiesz również, iż masz odpwiednią wiedzę i doświadczenie, aby zajmować te stanowiska i świadczyć tego rodzaju pracę.

Dodatkowe zajęcia ABI to nie może być jakaś kula u nogi czy piąte koło, gdyż finalnie może stanąć kością w gardle, czego oczywiście Ci nie życzę. Każda praca wymga wiedzy, z każdą pracą związana jest odpwiedzialność a dodatkowo jeśli nasza praca i my personalnie jesteśmy zgłaszani do urzędu jako eksperci z danej dziedziny to po prostu musimy nimi być.

Bodźcem do napisania tego artykułu był telefon jednego wewnętrznego ABI, który zadał mi pytanie kto w spółce z ograniczoną odpowiedzialnością jest administratorem danych osobowych. Takich pytań ABI nie może stawiać.

Zachęcam do nabycia nowego poradnika ABI  z wzorami dokumentów, comiesięcznym raportem o reformie prawa unijnego (6 raportów) zaopatrzonym moim komentarzem oraz możliwością rozwiązania jakiegoś trapiącego Cię problemu prawnego z zakresu przepisów ochrony danych osobowych. Więcej tutaj.

A z ostatnim raportem otrzymasz ode mnie super niespodziankę. Uchylając rąbka tajemnicy powiem Ci, że oczywiście będzie to potężny zastrzyk wiedzy z zakresu ochrony danych osobowych. Jednak o szczegółach dowiesz się w swoim czasie pod warunkiem oczywiście złożenia zamówienia na nowy poradnik ABI.

Koszt poradnika ze wszystkimi bonusami to jedyne 49 złotych netto.

Zamówienia proszę składać na adres: kancelaria@przetwarzaniedanych.pl

ABI jakiego nie znamy

“Jak kontrolować przetwarzanie danych osobowych przez ABI.”

Frazy o treści dokładnie takiej jak w tytule są wpisywane do wyszukiwarek. Oznacza to, że mnożą się kolejne pytania dotyczące funcjonowania nowego ABI. Bowiem podniesienie rangi ABI przez wyznaczenie katalogu zadań, zapewnienie niezależności, wyposażenie w środki prawne to jedno. Inną kwestią jest to, że przepisy właściwie nie wymagają, aby ABI legitymował się konkretnymi kwalifikacjami na przykład był prawnikiem czy informatykiem, miał certyfikaty czy inne dokumenty potwierdzające jego kompetencje.

W stanie prawnym sprzed nowelizacji, gdy przepisy poświęcały regulacji ABI w sumie jedno zdanie, jego kwalifikacje nie miały aż tak wielkiego znaczenia. Sam ABI w organizacji nie był specjalnie na świeczniku a jego wybór był zupełnie odformalizowany, no poza samym obowiązkiem jego powołania.

Aktualnie oblicze ABI przechodzi totalną metamorfozę. I nie ma znaczenia fakt, że profesjonalnie świadczące usługę ABI firmy wykonywały już wcześniej większość zadań w zakresie i w sposób określony w nowych przepisach. Metamorfoza ABI jest niekwestionowana w świetle prawa.

W stanie prawnym sprzed nowelizacji instytucji ABI przepisy prawne poświęcały jedno zdanie. W aktulanym stanie prawnym jest to cały rozdział w ustawie oraz trzy rozporządzenia wykonawcze. I tak rozbudowana regulacja prawna kładzie podwaliny moim zdaniem pod rozwój bardzo ważnej w organizacji funcji.

Większość firm w zakresie ochrony danych osobowych oczywiście śpi i nie jest w ogóle świadoma, że coś się zmienia. Inne wiedzą, że coś się zmienia, ale nie są świadome jakie ma to dla nich znaczenie i niechętnie zajmują się tematem. Nieliczne tylko już wiedzą, że wkracza nowe.

I taka jest prawda. Wkracza zupełnie nowy ABI, w nowym prawnym uniformie, uzbrojony w narzędzia służące do wykonywania jego funkcji.

Jednak od takiego ABI można i trzeba dużo wymagać. Taki ABI będzie wobec administratora odpowiedzialny za zapewnianie zgodności przetwarzania danych osobowych z prawem. Administrator w szczególności od zewnętrzengo ABI ma prawo wymagać nie tylko potwierdzenia kompetencji, ale też i odpowiedniej polisy OC związanej z wykonywaną działalnością. Napiszę o tym jeszcze szerzej, gdyż ta fraza również jest wpisywana w wyszukiwarkę na moim blogu.

Reasumując jak kontrolować czy ABI właściwie wypełnia swoje obowiązki. Najpierw należy wybrać odpowiednią osobę, firmę. Poprosić o potwierdzenie wykształcenia, doświadczenia, rekomendacje, ukończone szkolenia, kursy, certyfikaty.

W aktualnym stanie prawnym oraz w przeddzień wprowadzenia w życie unijnego rozporządzenia w sprawie ochrony danych osobowych ABI nie może być osobą przypadkową. Z funkcją ABI bowiem związana będzie większa niż dotychczas odpowiedzialność. Dodatkowo w momencie wejścia w życie rozporządzenia a wraz z nim kar pieniężnych, kwestia odpowiedzialności ABI za powierzone w ramach funkcji zadania stanie się z pewnością ważnym zagadnieniem prawnym.

Wspólnota mieszkaniowa administratorem danych osobowych

Czy wspólnota mieszkaniowa przetwarzająca dane osobowe właścicieli lokali zawartych w kartotekach, skorowidzach, księgach, wykazach i w innych zbiorach ewidencyjnych jest administratorem danych osobowych i stosuje się do niej wymagania przepisów ochrony danych osobowych.

Odpowiedź brzmi, tak wspólnota mieszkaniowa jest administratorem danych osobowych i stosuje się do niej wymagania przepisów ochrony danych osobowych z wszelkimi konsekwencjami prawnymi.

Wspólnota mieszkaniowa, którą stanowi ogół właścicieli lokali wchodzących w skład określonej nieruchomości jest administratorem danych dotyczących tych osób i obowiązana jest stosować takie środki techniczne i organizacyjne, które zapewniają ochronę przetwarzania danych osobowych.

W szczególności wspólnota jest zobowiązana zabezpieczyć dane, które przetwarza przed ich udostępnieniem osobom niepożądanym, zabraniem przez osobę nieuprawnioną, przetworzeniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zmienieniem.

Stwierdzenie nieprawidłowości w zakresie wypełniania obowiązków związanych z legalnym przetwarzaniem danych osobowych, stwarza podstawę do nałożenia na administratora danych (wspólnotę mieszkaniową) decyzji nakazującej usunięcie tych uchybień. Wspólnota mieszkaniowa jako administrator danych osobowych będzie odpowiedzialna za przetwarzanie zgodne z prawem nawet, jeśli administrator danych powierzył innemu podmiotowi przetwarzanie tych danych.

Podmiot, któremu administrator powierzył przetwarzanie danych osobowych na podstawie umowy powierzenia (np.zarządca)  będzie odpowiadał za przetwarzanie niezgodne z tą umową.

Podmiotem, któremu wspólnota najczęściej powierza przetwarzanie danych osobowych jest zarządca nieruchomości, który na podstawie zawartej ze wspólnotą umowy zarządza nieruchomością. Wykonując obowiązki związane z wykonywaniem umowy, zarządca niewątpliwie przetwarza dane osobowe.

Zarząd Wspólnoty podpisując umowę z zarządcą powinien zadbać o zabezpieczenie w umowie kwestii przetwarzania danych osobowych w umowie zawartej z zarządcą.

Spis właścicieli lokali tworzących wspólnotę i wielkości przypadających im udziałów w nieruchomości wspólnej, spis osób wynajmujących dodatkowe miejsca parkingowe na nieruchomości wspólnej zawarte w rejestrach czy innych zbiorach ewidencyjnych, zgromadzone następnie w teczce czy segregatorze stanowią zbiór danych w rozumieniu przepisów o ochronie danych osobowych.

Reasumując każda wspólnota jest administratorem danych osobowych i ponosi odpowiedzialność za zgodne z prawem przetwarzanie danych osobowych. W przypadku powierzenia zarządu nieruchomością firmie zewnętrznej wspólnota jako administrator danych osobowych powinna zadbać, aby zarządca jako przetwarzający  w związku z wykonywaniem zleconych mu czynności respektował przepisy o ochronie danych osobowych.