PROSTA DROGA DO RODO Z E-KIEROWCĄ

P ROSTA DROGA DO RODO

Z E - ^KIEROWCĄ

2

Podstawowe pojęcia

RODO - unijne ogólne rozporządzenie o ochronie danych osobowych (2016/679), które wejdzie w życie 25 maja 2018 roku. Wciąż jeszcze tworzone są na jego podstawie krajowe przepisy – przede wszystkim nowa ustawa o ochronie danych osobowych.

Dane osobowe - wszelkie informacje, które mogą choćby pośrednio umożliwiać zidentyfikowanie konkretnej osoby, a więc np. imię i nazwisko, numery identyfikacyjne (np. PESEL czy PKK), adres, numer telefonu czy e-mail, ale również np. numery rejestracyjne pojazdu.

Administrator danych osobowych – podmiot, który ustala cele i sposoby przetwarzania danych osobowych – jest

„dysponentem” tych danych.

Ochrona danych osobowych dotychczas

Już obecnie ochrona danych jest ściśle uregulowana prawnie, przede wszystkim w ustawie o ochronie danych osobowych. Na podstawie tej ustawy działa Generalny Inspektor Danych Osobowych (GIODO).

Do zadań GIODO należy czuwanie nad przestrzeganiem ustawy i wypełnianiem przewidzianych w niej obowiązków, wśród których można wskazać:

● zgłaszanie zbiorów danych osobowych;

● dokumentowanie przetwarzania danych osobowych;

● informowanie podmiotów danych o przetwarzaniu.

E-kierowca w swojej działalności oraz wszystkich oferowanych produktach i usługach ochronę danych osobowych traktuje priorytetowo, opierając się przy tym zarówno na własnej wiedzy i doświadczeniu jak i współpracy z zewnętrznymi ekspertami, oraz dopełniając wszystkich obowiązków prawnych – również zgłaszając przechowywane zbiory danych do GIODO.

Co przewidują nowe przepisy?

Przetwarzanie danych osobowych wiąże się z szeregiem warunków, obowiązków i zagrożeń. Nowe przepisy zmienią je znacząco w porównaniu z tym, co wynika z aktualnie obowiązującej ustawy o ochronie danych osobowych.

Zaznaczyć jednak należy, że podstawowe warunki przetwarzania są zbieżne z obecnymi. W pewnym skrócie i uproszczeniu można wskazać kluczowe aspekty przetwarzania danych w świetle nowych przepisów:

• Rozszerzona odpowiedzialność administratora danych - (w przypadku danych osób szkolonych będzie to przedsiębiorca prowadzący OS lub OSK – jako podmiot decydujący o przetwarzaniu danych). Administrator odpowiada również do pewnego stopnia za podmioty, którym powierzy dane.

• Konieczność spełnienia warunku legalności przetwarzania - przetwarzanie jest dopuszczalne tylko wtedy, kiedy występuje przynajmniej jedna ze wskazanych w art. 6 RODO podstaw. Może nią być np. wyrażona na określonych zasadach zgoda osoby, której dane dotyczą lub fakt, że przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego, a z taką sytuacją mamy w ośrodkach do czynienia choćby podczas

3 przyjmowania klienta na szkolenie czy sporządzania obowiązkowych zgłoszeń o rozpoczęciu szkoleń.

• Konieczność zapewnienia zgodnych z przepisami warunków technicznych przetwarzania - od warunków lokalowych po zabezpieczenia informatyczne, a nawet odpowiednie formaty danych. Problemem może okazać się choćby niewłaściwe ustawienie monitora, pozwalające osobom postronnym uzyskać łatwy wgląd do przetwarzanych danych osobowych.

• Konieczność uwzględniania praw osób, których dane dotyczą - powinny one uzyskać o tym wyczerpującą, zgodną z przepisami informację, mieć możliwość dostępu do tych danych, ich sprostowania, ograniczenia przetwarzania, sprzeciwu wobec przetwarzania, a także usunięcia swoich danych. W przypadku działalności OS i OSK prawa te ograniczone są oczywiście obowiązkami związanymi z dokumentacją szkolenia.

• Minimalizacja danych i ograniczenie celu i czasu przetwarzania - przetwarzane mogą być tylko niezbędne dane i tylko w celu, do którego zostały zgodnie z prawem zebrane. Tak długo, jak to jest uzasadnione i konieczne.

• Konieczność prowadzenia „rejestru czynności przetwarzania danych” - zastąpi on wymagane obecnie zgłoszenia zbiorów do GIODO. Zgłoszeniu podlegać będą tylko stwierdzone przypadki naruszeń w zakresie przetwarzania danych osobowych. Rejestr może być prowadzony w formie tradycyjnego dokumentu albo w formie elektronicznej. Ma obejmować szczegółowe dane administratora oraz informacje o przetwarzanych danych – jakie kategorie danych są przetwarzane, gdzie dane trafiają, jak są chronione, a nawet planowane terminy ich usunięcia.

• Kodeksy postępowania - nowe przepisy pozwalają na powstawanie kodeksów postępowania w zakresie danych osobowych, które po zatwierdzeniu mogą nabrać mocy powszechnie obowiązującej, a kontrola ich przestrzegania może być realizowana przez organizacje akredytowane przez PUODO (Prezesa Urzędu Ochrony Danych Osobowych).

• Powołanie inspektora danych osobowych - w przypadku działalności takiej jak OS czy OSK nie będzie obowiązkowe, ale nawet w przypadkach, w których nie jest wymagane – jest zalecane. Inspektor przetwarzania danych osobowych nie przejmuje odpowiedzialności za dane od administratora, wykonuje jednak w przedsiębiorstwie zadania związane ze zgodnym z prawem przetwarzaniem danych, dysponując przede wszystkim znajomością przepisów w tym zakresie, które niestety są dość złożone i nie zawsze wystarczająco jasne, by mogły nadawać się do bezpośredniego stosowania przez laika. Inspektorem może być pracownik, ale można też powierzyć tę funkcję osobie z zewnątrz. Nie ma też przeszkód, by jeden inspektor obsługiwał więcej niż jednego przedsiębiorcę.

• Ocena skutków przetwarzania dla ochrony danych - szczegółowa analiza zagrożeń związanych z przetwarzaniem danych osobowych, obowiązkowa tylko w przypadku niektórych podmiotów, ale nawet dla OS i OSK może okazać się pomocna.

• Kontrole - według nowych przepisów nadzór nad przetwarzaniem danych sprawować będzie już nie GIODO, ale Urząd Ochrony Danych Osobowych, który będzie prowadził planowane kontrole z urzędu. Dodatkowo w zakresie przestrzegania obowiązujących kodeksów postępowania uprawnienia nadzorcze uzyskają akredytowane organizacje.

• Kary - przesłanki ich nakładania i maksymalne wysokości wynikają wprost z RODO i mogą szokować.

Rozporządzenie przewiduje bowiem nakładanie kar nawet w wysokości do 20.000.000 euro albo – w przypadku przedsiębiorstwa – w wysokości do 4 proc. jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym stosowana ma być wyższa z tych dwóch kwot. Poza karami administracyjnymi trzeba się będzie liczyć również z roszczeniami cywilnymi osób, których prawa w zakresie

4 danych osobowych zostaną naruszone.

Wyłączenia – co nas nie dotyczy?

W toku prac nad projektem do ustawy wprowadzone zostało wyłączenie treści art. 13, 15 ust. 3 i 4, 19 i 34 w stosunku do przedsiębiorców spełniających łącznie 2 warunki:

• zatrudniających mniej niż 250 osób,

• przetwarzających dane osobowe niezbędne do wykonywania działalności gospodarczej, w szczególności w celu zawierania umów i prowadzenia rachunkowości.

Zatem np. wykorzystywanie danych klientów do celów marketingowych nie pozwoli już na skorzystanie z wyłączenia.

Przepisy objęte wyłączeniem:

Art. 13 to obowiązki informacyjne w stosunku do osoby której dane dotyczą.

Art. 15 to prawo dostępu do danych dla osoby, której dane dotyczą – ust. 3 i 4 dotyczą dostarczania kopii danych.

Art. 19 to obowiązek powiadomienia o sprostowaniu lub usunięciu danych osobowych lub o ograniczeniu przetwarzania.

Art. 34 to obowiązek zawiadamiania osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych.

Jak się przygotować

W preambule RODO możemy przeczytać:

„Ochrona praw i wolności osób fizycznych w związku z przetwarzaniem danych osobowych wymaga wdrożenia odpowiednich środków technicznych i organizacyjnych, by zapewnić spełnienie wymogów niniejszego rozporządzenia. Aby móc wykazać przestrzeganie niniejszego rozporządzenia, administrator powinien przyjąć wewnętrzne polityki i wdrożyć środki, które są zgodne w szczególności z zasadą uwzględniania ochrony danych w fazie projektowania oraz z zasadą domyślnej ochrony danych”.

•

Wiedza i świadomość - pierwszym krokiem będzie uświadomienie sobie tego, co oznaczają w praktyce przytoczone w uproszczeniu na początku tego tekstu definicje danych osobowych i ich przetwarzania.

Punktem wyjścia do przetwarzania danych zgodnie z prawem jest bowiem świadomość tego, że przetwarzaniem danych będzie zarówno pobranie informacji z PKK, jak i wpisanie jazdy z danym kursantem do kalendarza, nie wspominając już o publikacji w mediach społecznościowych arkusza przebiegu egzaminu praktycznego. Warto się też zastanowić, czy na pewno przetwarzamy dane w takim zakresie, jaki jest z jednej strony potrzebny, z drugiej – dopuszczalny i czy któreś z wykonywanych z danymi czynności nie powodują ryzyka. Skuteczna ochrona danych osobowych w zgodzie z przepisami nie będzie możliwa bez odpowiedniego przeszkolenia pracowników mających w przedsiębiorstwie dostęp do danych osobowych.

•

Weryfikacja dotychczasowych praktyk - konieczne jest zweryfikowanie tego, jak gromadzone i przechowywane są dane oraz tego, gdzie trafiają. Kluczowe znaczenie, po wejściu w życie nowych regulacji, będzie miało korzystanie ze sprawdzonych usługodawców, takich jak e-kierowca. Bo to oni gwarantują bezpieczeństwo danych osobowych i przestrzeganie przepisów. Rozwiązania informatyczne firmy e- kierowca, takie jak platforma SPS Admi, zapewniają pełną zgodność z już obowiązującymi przepisami, a w przyszłości pozwolą na pełne dostosowanie się i przygotowanie do wymagań RODO. Nowe przepisy

5 przewidują certyfikację w tym zakresie, choć na obecnym etapie polskich prac legislacyjnych uzyskanie certyfikatów nie jest jeszcze możliwe.

•

Dokumentacja i procedury - kolejnym krokiem będzie przygotowanie przedsiębiorstwa w zakresie dokumentacji.

•

Powołanie inspektora ochrony danych osobowych – w przypadku działalności typowego OSK lub OS całkowicie opcjonalne, ale szczególnie przy większej skali działalności warte rozważenia może być zapewnienie sobie wykwalifikowanego inspektora ochrony danych osobowych, który pomoże w zapewnieniu bezpiecznych, zgodnych z prawem warunków przetwarzania danych.

Kary

Organ ochrony danych może nałożyć karę w wysokości do 20 mln euro, a w przypadku przedsiębiorstwa – do 4%

jego całkowitego rocznego światowego obrotu, jeśli administrator np.:

● narusza podstawowe zasady przetwarzania danych osobowych, w tym warunki udzielonej mu zgody na przetwarzanie danych;

● nie realizuje swoich obowiązków względem osób, których dane dotyczą;

● narusza zasady dotyczące transferów danych;

● nie przestrzega nakazów organu ochrony danych (np. tymczasowego ograniczenia przetwarzania).

Niższe kary (w wysokości do 10 mln euro, a w przypadku przedsiębiorstwa – do 2% jego całkowitego rocznego światowego obrotu) grożą m.in. w przypadku zbierania danych identyfikujących podmiot danych, mimo że nie wymagają tego cele administratora.

Wymierzając karę i decydując o jej wysokości, urząd nie będzie działał automatycznie. Weźmie pod uwagę takie czynniki jak: umyślność, stopień współpracy ze strony administratora, wagę naruszenia oraz sposób, w jaki dowiedział się o naruszeniu. Zgodnie z RODO powinien rozpatrywać sprawy indywidualnie i starać się, by jego rozstrzygnięcia były proporcjonalne, ale też odstraszające.

Chroń dane z e-kierowcą i SPS Admi

E-kierowca w swojej działalności oraz wszystkich oferowanych produktach i usługach kwestię ochrony danych osobowych traktuje priorytetowo. Opieramy się zarówno na własnej wiedzy i doświadczeniu jak i współpracy z uznanymi ekspertami zewnętrznymi. Dopełniamy wszystkich obowiązków prawnych – m.in. zgłaszając przechowywane zbiory danych do GIODO.

SPS Admi od początku swojego istnienia uwzględniało obowiązujące standardy ochrony danych osobowych. Dzięki temu Klienci e-kierowcy wypełniali znaczną część spoczywających na nich obowiązków administratorów danych osobowych, bez konieczności angażowania znacznych sił i środków ze swojej strony.

RODO to nowe wyzwania i obowiązki w zakresie ochrony danych osobowych!

E-kierowca dostarczy swoim Partnerom rozwiązania, które umożliwią spełnienie nowych wymagań w łatwy sposób –

6 gwarantując pełną zgodność z nowymi przepisami. Kluczowym narzędziem będzie platforma SPS Admi.

Jakich konkretnie dokumentów potrzebuje OSK w kontekście wymagań RODO?

• Polityka przetwarzania danych osobowych.

Dokument służący określeniu reguł przetwarzania danych osobowych w firmie. Dokument ten jest podstawą i wytyczną dla ośrodka jak postępować bezpiecznie i zgodnie z RODO z danymi osobowymi.

• Instrukcja zarządzania systemem informatycznym

Instrukcja zawiera procedury i sposoby zabezpieczenia danych osobowych, jakie przetwarzane są elektronicznie w infrastrukturze informatycznej firmy (w szczególności: procedury nadawania uprawnień do przetwarzania danych, stosowane metody i środki uwierzytelniania osób powołanych do przetwarzania danych, procedury tworzenia kopii zapasowych danych osobowych, miejsce i okres przechowywania kopii zapasowych, itp.).

• Rejestr czynności przetwarzania danych

Dokument, pokazujący w jakich procesach w organizacji są przetwarzane dane osobowe, w jakim celu, kogo dotyczą oraz jak są zabezpieczane. Rejestr prowadzony jest w celu pełnienia nadzoru i monitorowania procesów przetwarzania danych osobowych przez organ nadzorczy. Rejestr powinien zawierać:

● imię i nazwisko lub nazwę oraz dane kontaktowe administratora oraz wszelkich

współadministratorów (a także gdy ma to zastosowanie – przedstawiciela administratora oraz inspektora ochrony danych);

● cele przetwarzania;

● opis kategorii osób, których dane dotyczą, oraz kategorii danych osobowych;

● kategorie odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w tym odbiorców w państwach trzecich lub w organizacjach międzynarodowych;

● miejsce przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej (gdy ma to zastosowanie);

● planowane terminy usunięcia poszczególnych kategorii danych (jeżeli jest to możliwe);

● ogólny opis technicznych i organizacyjnych środków bezpieczeństwa (jeżeli jest to możliwe).

• Wzory upoważnień na przetwarzanie danych osobowych dla pracowników

Ośrodek powinien posiadać wzory dokumentów umożliwiających upoważnianie pracowników do dostępu do danych ze zobowiązaniem ich do przestrzegania zasad i zachowania poufności. Dokumentacja taka powinna być zebrana i archiwizowana do celów kontrolnych.

• Wzory umów związanych z powierzaniem danych osobowych,

Wzory umów przeznaczone do stosowania z kontrahentami maja zastosowanie wtedy, kiedy współpracujemy z kimś komu powierzamy dane osobowe np. dane naszych kursantów w systemie informatycznym.

7

• Wzór informacji o przetwarzaniu danych

Powinniśmy posiadać wzór dokumentu na podstawie którego udzielamy informacji osobom/podmiotom tym zainteresowanym o sposobie przetwarzania danych osobowych (o ile zaistnieje taka konieczność).

• Wzór zgód na przetwarzanie danych

Jeżeli planujemy wykorzystać dane do celów innych niż regulowane przepisami w ramach szkolenia np. chcemy wysłać kursantowi maila z propozycją rabatu na inne szkolenie, wtedy musimy posiadać zgodę kursanta na takie działanie. Dlatego powinniśmy posiadać wzory zgód i klauzul umownych do stosowania w kontaktach z klientami.

Dokumentacja do RODO w systemie SPS ADMI

• Polityka przetwarzania danych osobowych

• Instrukcja zarządzania systemem teleinformatycznym

Jak te dokumenty będą obsługiwane w SPS Admi?:

• Dokumenty dostępne w SPS Admi będą dopasowane do specyfiki pracy i sposobu przetwarzania danych w OS/OSK. E-kierowca analizując charakterystykę pracy branży, wymogi formalne regulujące szkolenia oraz przepisy RODO przygotowuje komplet dokumentów.

• W przygotowanych dokumentach system automatycznie uzupełni wymagane pola na podstawie danych zawartych w SPS Admi np. dane teleadresowe itp.

• Dokumentów nie trzeba drukować można podpisać je cyfrowo. Cyfrowa postać daje nam dostęp do dokumentacji z dowolnego miejsca i w dowolnym czasie, bez konieczności szukania i ewentualnego odtwarzania dokumentacji.

• System prowadzi archiwum podpisanych dokumentów dlatego w każdej chwili możliwe jest sprawdzenie jak i kiedy zmieniała się polityka postępowania z danymi w ośrodku.

• Dokumentacja zaktualizuje się automatycznie w przypadku zmian w przepisach. E-kierowca dba o zgodność dokumentacji z przepisami i w razie jakiejkolwiek zmiany wprowadza ją automatycznie do dokumentów.

Ośrodek musi wtedy tylko, po zapoznaniu się ze zmianami, podpisać dokument.

• Rejestr czynności przetwarzania danych

Jak będzie wyglądał rejestr w SPS Admi?:

• Rejestr w SPS Admi ma prostą tabelaryczną formę.

• E-kierowca analizując charakterystykę pracy branży i wymogi formalne regulujące szkolenia przygotowuje rejestr. Rejestr opisuje standardowe sposoby przetwarzania danych w Ośrodku.

• Ośrodek zapoznaje się z rejestrem i ma możliwość dodania lub usunięcia jakiegoś sposobu przetwarzania który jego nie dotyczy. Jeżeli np. w rejestrze będzie opisany sposób postępowania z danymi w przypadku

8 szkoleń ADR, a Ośrodek takich szkoleń nie prowadzi, wtedy można usunąć taki wpis jednym kliknięciem.

• Po zweryfikowaniu rejestru, dodaniu lub usunięciu zbędnych pól Ośrodek podpisuje cyfrowo rejestr.

• Wszystkie podpisane rejestry przechowywane są w archiwum z którego w każdej chwili możemy je odtworzyć.

• Podobnie jak w przypadku polityk bezpieczeństwa e-kierowca będzie dbał o to żeby rejestr był aktualny i opisywał wszystkie sposoby przetwarzania danych w Ośrodkach.

• W momencie kiedy pojawią się jakieś zmiany prawne lub sugestie Ośrodków co do sposobów przetwarzania danych, elektroniczna forma rejestru umożliwi automatyczne ich dodanie. Ośrodek zostanie o tym poinformowany przez system. Będzie wtedy mógł propozycje nowego pola rejestru zaakceptować lub usunąć jeśli jego nie dotyczy.

• Upoważnienia na przetwarzanie danych przez pracowników

Jak będą obsługiwane upoważnienia w SPS Admi?:

• Każdy pracownik/współpracownik mający dostęp do danych osobowych przechowywanych w ośrodku musi znać politykę postępowania z takimi danymi oraz potwierdzić, że będzie przetwarzał dane zgodnie z zawartymi tam wytycznymi. Takie potwierdzenie ma formę upoważnienia.

• SPS Admi umożliwi prowadzenie upoważnień w postaci cyfrowej. Każdy pracownik dodany do SPS Admi ma zakładane konto w tym systemie. Po zalogowaniu się na to konto może zapoznać się z polityka bezpieczeństwa i potwierdzić (kliknięciem), że zgadza się na jej stosowanie.

• Administracja Ośrodka ma na bieżąco wgląd do rejestru takich upoważnień. Rejestr upoważnień ma tabelaryczną, czytelną formę pozwalająca na weryfikację stanu dokumentacji. Administracja widzi kto i kiedy potwierdził zgodę lub kto tego jeszcze nie zrobił.

• Dzięki prowadzeniu rejestru upoważnień w postaci cyfrowej mamy pełen dostęp do historii udzielanych upoważnień i w każdej chwili możemy odtworzyć dokumentację.

Bezpieczeństwo powierzania danych

O czym powinniśmy pamiętać powierzając nasze dane do systemów informatycznych?:

• Ośrodek powinien zawrzeć umowę z operatorem systemu w którym przechowuje dane osobowe.

• Powinniśmy mieć pewność, że operator takiego systemu postępuje zgodne z wymaganiami RODO i jest dopasowany do naszej polityki bezpieczeństwa. Przygotowana przez e-kierowcę polityka bezpieczeństwa i wdrożenie jej do SPS Admi daje taką gwarancję. Dane w SPS Admi są powierzane i przechowywane zgodnie z wymaganiami RODO (a w chwili obecnej zgodnie z wymaganiami GIODO).

• Powierzając dane innym podmiotom powinniśmy uwzględnić to w rejestrze czynności przetwarzania danych.

Zgody kursanta na przetwarzanie danych osobowych

• Wzór zgód na przetwarzanie danych

9 Jeżeli chcemy wykorzystywać marketingowo dane klientów to muszą oni udzielić nam na to zgody. Kursanci mają również prawo do wycofania takiej zgody. Musimy zatem wiedzieć kto kiedy nam takiej zgody udzielił, ale także czy takiej zgody nie wycofał.

Zalety udzielania zgód elektronicznie:

• Kursanci korzystający z usług on-line dostarczanych przez e-kierowcę będą mogli wyrazić elektronicznie (on- line) zgodę na przetwarzanie danych.

• Ośrodek wie kto i na co się zgodził.

• Ewidencja jest automatycznie aktualizowana w przypadku zmian np. odwołania zgody.

• Ośrodek nie musi pamiętać i szukać w dokumentach kiedy i na co zgodził się kursant, np.: czy może wysłać do kursanta kat. A kupon rabatowy na kurs kat. B.

Dokumentacja RODO prowadzona w formie elektronicznej

Dlaczego warto pracować na dokumentach cyfrowych:

• E-kierowca zapewnia bieżące aktualizacje i pełną zgodność z przepisami.

• Ośrodek ma pełne informacje o zmianach i koniecznych modyfikacjach.

• W przypadku zmian nieaktualne dokumenty są bezpiecznie archiwizowane.

• Nigdy nie zgubisz istotnych dokumentów.

• Możesz zmodyfikować dokumentację w każdej chwili.

• System SPS Admi przeprowadzi automatyczny audyt stanu dokumentacji i wskaże Ci, obszary wymagające uzupełnienia.

Wdrożenie RODO z SPS ADMI – krok po kroku

1. E-kierowca uruchamia obsługę RODO w SPS ADMI;

2. Ośrodek mający dostęp do SPS ADMI uzupełnia podstawowe dane w systemie;

3. SPS Admi automatycznie generuje niezbędną dokumentację i uzupełnia ją danymi wprowadzonymi uprzednio do systemu;

4. Ośrodek weryfikuje dokumenty i sprawdza poprawność danych w nich zawartych. W przypadku rozbieżności, aktualizuje swoje dane w SPS ADMI lub kontaktuje się z działem wsparcia e-kierowca;

5. Dokumenty które wymagają akceptacji powinny być podpisane cyfrowo;

6. System sprawdza i podpowiada Ośrodkowi czy o czymś nie zapomniał;

7. Dokumentacja jest GOTOWA!

W przypadku zmian przepisów lub zaleceń RODO, e-kierowca zdalnie aktualizuje dokumentację. Ośrodek jest informowany o konieczności uzupełnienia wymaganych zapisów.