Kara pozbawienia wolności za naruszenie RODO

Kara pozbawienia wolności za naruszenie RODO.


Karą w wymiarze rok i osiem miesięcy pozbawienia wolności została ukarana kierowniczka ośrodka pomocy społecznej za wykorzystywanie nielegalnie pozyskanych danych osobowych w celu złożenia wniosków o pożyczkę.

Kto przetwarza dane osobowe, choć ich przetwarzanie nie jest dopuszczalne albo do ich przetwarzania nie jest uprawniony, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat dwóch.

Przetwarzanie danych osobowych w sytuacji, gdy przetwarzanie danych nie jest dopuszczalne, to działanie sprawcy z naruszeniem  przepisów RODO. Przypisanie sprawcy odpowiedzialności wymaga więc ustalenia, czy przetwarzając dane osobowe, sprawca nie mógł powołać się choćby na jedną z przesłanek legalizujących przetwarzanie danych osobowych wskazanych w ww. przepisach. (Litwiński 2018, wyd. 1/Barta)

Ponadto podmiotem odpowiedzialnym jest każda osoba fizyczna, która nie jest uprawniona do ich przetwarzania. Z sytuacją, gdy osoba nie jest uprawniona do przetwarzania danych osobowych, możemy mieć do czynienia, gdy pracownik nie otrzymał od administratora polecenia (upoważnienia), z którego by wynikało zezwolenie do przetwarzania danych, zwłaszcza gdy pracownik samowolnie przegląda dane i bezprawnie je przetwarza (np. wysyłając oferty pomimo braku takiego polecenia od administratora i braku podstawy prawnej zezwalającej na takie przetwarzanie).


Więcej w Gazeta Prawna, wydanie z dnia: poniedziałek, 15. kwiecień 2019.

RODO – pierwsza kara już jest

Z ostaniej chwili. Jest pierwsza kara za naruszenie RODO i to niebagatelna, bo milion zł. Co ciekawsze dla firmy, która przetwarza ogólnodostępne w internecie dane osób prowadzących działalność podane przez nich w CEiDG KRS, GUS, CEPiK .

Naruszenie dotyczy uchybienia w zakresie wykonania obowiązków informacyjnych. Prezes UODO nakazała firmie wysyłkę listów do osób prowadzących działalność gospodarczą, które nie zostały poinformowane o fakcie że ich dane są przetwarzane. Nie wystarczy zatem w ocenie UODO wykonanie w tym przypadku obowiązku informacyjnego za pośrednictwem serwisu internetowego.


We wtorek Edyta Bielak-Jomaa, prezes Urzędu Ochrony Danych Osobowych ogłosi informację o nałożeniu tej pierwszej kary.

16Liczba odbiorców2Aktywność

Naruszenie ochrony danych osobowych

Administrator , poprzez wykorzystanie odpowiednich środków technicznych lub organizacyjnych, musi zapewnić odpowiednie bezpieczeństwo danych osobowych.

W szczególności powinien zabezpieczyć dane przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem.

Dobór odpowiednich środków technicznych i organizacyjnych, aby zapewnić stopień bezpieczeństwa powinien odpowidać ryzyku, na które narażone są przetwarzane dane osobowe.

„Zniszczenie” danych osobowych oznacza sytuację, w której dane przestają istnieć lub przestają istnieć w formie umożliwiającej ich wykorzystanie przez administratora.

Uszkodzenie” oznacza sytuację, w której dane osobowe zostały zmodyfikowane, zepsute lub nie są już kompletne.

„Utratę” danych osobowych należy rozumieć jako sytuację, w której dane mogą nadal istnieć, ale administrator utracił kontrolę nad nimi lub dostęp do nich, lub nie jest już w ich posiadaniu.

Przykładem utraty danych osobowych może być zagubienie lub kradzież nośnika zawierającego kopię bazy danych klientów administratora. O zgubieniu nośnika danych pisałam tutaj: https://przetwarzaniedanych.pl/warszawa-rodo/prawo/poradniki/dane-osobowe-pracownikow-poradniki/zgubienie-pamieci-usb-z-danymi-osobowymi

Nieuprawnione ujawnienie lub nieuprawniony dostęp do danych osobowych może obejmować ujawnienie danych osobowych (lub udostępnienia ich) odbiorcom, którzy nie są uprawnieni do otrzymania ich (lub uzyskania do nich dostępu), lub jakąkolwiek inną formę przetwarzania, która narusza RODO.

Naruszenie może mieć szereg istotnych negatywnych skutków dla osób fizycznych i może obejmować utratę kontroli nad swoimi danymi osobowymi, ograniczenie przysługujących praw, dyskryminację, kradzież lub sfałszowanie tożsamości, straty finansowe, nieupoważnione odwrócenie pseudonimizacji, naruszenie dobrego imienia oraz utratę poufności danych osobowych chronionych tajemnicą zawodową.

Na skutek naruszenia danych osoba, która dane dotyczą może doznać istotnych negatywnych skutków dla osób fizycznych, prowadzących do szkód fizycznych, materialnych i niematerialnych.

W przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłasza je organowi nadzorczemu.

Będą kontrole w szkołach i przychodniach

Prezes UODO zatwierdziła plan kontroli sektorowych w 2019 r. Jakie branże mogą spodziewać się kontroli. 

Kontrole będą prowadzone w sektorze zdrowia, zatrudnienia i szkolnictwa. A zatem kontrolowane mogą być wszelkie podmioty wykonujące działalność leczniczą: szpitale, przychodnie, indywidualne i grupowe praktyki lekarskie.

Inspektorzy kontrolować będą w szczególności przetwarzanie danych w związku z udostępnianiem dokumentacji medycznej w ramach realizacji praw pacjenta.

Planem kontroli zostały objęte również szkoły i placówki oświatowe w szczególności przetwarzanie danych osobowych rejestrowanych za pomocą systemu monitoringu wizyjnego.

W sektorze prywatnym w rocznym planie kontroli znalazły się następujące zagadnienia:

  • telemarketing
  • brokerzy danych w zakresie podstaw prawnych przetwarzania danych osobowych
  • profilowanie w sektorze bankowym i ubezpieczeniowym.

UODO przyjrzy się bliżej także takim podmiotom, jak: Policja, Straż Graniczna i areszty śledcze, sprawdzając zastosowanie przez nie środków technicznych i organizacyjnych .

Ewentualne roszczenia po zakończeniu rekrutacji – uwagi do Poradnika PUODO

Nie milkną komentarze do wydanego ostatnio przez PUODO Poradnika dla pracodawców. Jedną z kwestii budzącą wątpliwości komentujących, była zawarta w Poradniku opinia o braku możliwości przetwarzania przez pracodawców danych kandydatów do pracy, po zakończeniu rekrutacji, w celu zabezpieczenia się przed ich ewentualnymi roszczeniami.

„Niedopuszczalne jest przetwarzanie danych tylko w celu zabezpieczenia się przed ewentualnym przyszłym i niepewnym roszczeniem osoby, której dotyczą”

W uzasadnieniu dla tak postawionej tezy czytamy:

„W przeciwnym razie może pojawić się wątpliwość jak długo należy przetwarzać dane osobowe, jeżeli ta osoba nie zdecyduje się na wytoczenia powództwa przeciwko pracodawcy. W toku rekrutacji nie powstaje żaden stosunek zobowiązaniowy pomiędzy kandydatem do pracy, a pracodawcą. Brak jest dokonania wzajemnych rozliczeń lub możliwości zarzucenia drugiej stronie niewykonania umowy lub nieprawidłowego jej wykonania. Nie ma więc podstaw do uznania, że pracodawca jest uprawniony do przetwarzania danych z uwagi na konieczność ustalenia bądź nie, istnienia roszczenia. Działanie pracodawcy stanowiłoby przetwarzanie danych kandydata „na wszelki wypadek”.  Czytaj więcej

Outsourcing IT w branży medycznej cz. II

W ostatnim wpisie zasygnalizowałam problematykę w zakresie outsoursingu IT w branży medycznej. Cały artykuł znajduje się Tutaj.

Wiemy już, że korzystanie przez podmioty lecznicze z usług zewnątrznych usługodawców z branży IT jest powszechne. Rozwój informatyzacji w sektorze zdrowia, obowiązek prowadzenia elektronicznej dokumentacji medycznej, rozliczanie z NFZ, korzystanie z systemu eWUŚ to tylko niektóre obszary wymagające wsparcia IT.

Jak wiemy branża medyczna przetwarza specyficzny rodzaj danych, bo dane wrażliwe. Przetwarzanie takich danych jest dopuszczalne jedynie w przypadku istnienia odpowowiedniej podstawy prawnej, gdyż co do zasady przetwarzanie wrażliwych danych o stanie zdrowia jest zakazane.

Dodatkowo mamy tajemnicę zawodową, która zobowiązuje zawody medyczne do szczególnej poufności. Osoby wykonujące zawód medyczny są obowiązane zachować w tajemnicy informacje związane z pacjentem, w szczególności ze stanem zdrowia pacjenta.

Jeszcze do niedawna GIODO stał na stanowisku, iż korzystanie z zewnętrznych usługodawców w zakresie  IT przez podmioty lecznicze nie posiada wystarczających podstaw prawnych. Sytuacja to aktualnie została uregulowana w ustawie o prawach pacjenta, w której wyraźnie przewidziano możliwość powierzenia danych medycznych.

Korzystanie z usług zewnętrznych usługodawców przez podmioty lecznicze jest możliwe pod warunkiem zapewnienia ochrony danych osobowych. Podmiot leczniczy musi zapewnić sobie w umowie prawo do kontroli  zgodności przetwarzania danych osobowych  przez podmiot przyjmujący te dane czyli przez usługodawców.

Usługodawca IT, któremu powierzono przetwarzanie danych osobowych  jest obowiązany do zachowania w tajemnicy informacji związanych z pacjentem uzyskanych w związku z realizacją zleconej mu przez podmiot leczniczy usługi,  także po śmierci pacjenta.

Usługodawca IT tj.  procesor zobowiązany jest do przestrzegania przepisów prawa o ochronie danych osobowych. Podmiot ten przed rozpoczęciem przetwarzania danych powinien podjąć środki zabezpieczające zbiór danych. Obowiązana jest również do prowadzenia odpowiedniej dokumentacji w zakresie przetwarzania danych osobowych.

Na gruncie przepisów rozporządzenia unijnego w omawianym zakresie nie wprowadzono rewolucyjnych zmian. W dalszym ciągu wymagana będzie umowa pomiędzy administratorem danych a procesorem ookreślająca przedmiot powierzenia, zakres powierzenia, kategorie powierzanych danych.

Nowum i ciekawostką  na gruncie nowych przepisów będzie solidarna odpowiedzialność wszystkich podmiotów uczestniczącym w outsourcingu a więc administratora danych oraz wszystkich procesorów i subprocesorów.

W praktyce osoba, której prawa zostaną naruszone będzie mogła dochodzić całej szkody od wszystkich podmiotów lub jednego z niech niezleżnie od ich indywidualnej winy. Podmiot, który szkodę naprawi a nie dopuścił się uchybień będzie mógł dochodzić zwrotu zapłaconego odszkodowania na zasadzie regresu.

Już tylko z tego powodu precyzyjne określenie w umowie praw i obowiązków stron w zakresie przetwarzania danych osobowych jest niezbędne, aby uniknąć rozmycia odpowiedzialności w łańcuchu przetwarzająych i płacenia odszkodowania za nie swoje uchybienia.