Jak skutecznie usunąć dane osobowe?

utworzone przez Anna Zamojcin | paź 11, 2022

Jak skutecznie usunąć dane osobowe?

Gdy wygaśnie Twoje prawo do przetwarzania danych osobowych musisz je usunąć. Samo ich przechowywanie jest czynnością przetwarzania, co do której musisz mieć podstawę. Dlatego dane, których przetwarzać już nie możesz – musisz zniszczyć. Ale jak skutecznie usnąć dane osobowe? Czasem będzie się wiązało to z ich anonimizacją, innym razem z fizycznym zniszczeniem samego nośnika. Niszczenie danych lub nośników, na których zostały one zapisane, to czynności, które powinien znać każdy administrator. Musisz zatem poznać bezpieczne i skuteczne metody niszczenia nośników danych. Przyjrzyjmy się sytuacjom, gdy dane zapisaliśmy na papierze, płycie CD czy dysku HDD.

Jak zniszczyć dane papierowe?

Jeżeli przetwarzasz dane w formie papierowej to niszczenie dokumentów najlepiej przeprowadzać w niszczarce. Ceny dobrych niszczarek do dokumentów poufnych rozpoczynają się już od 500 złotych. Niszczarka musi być zgodna z normą DIN 66399. W jej ramach zdefiniowane jest 7 poziomów bezpieczeństwa w niszczeniu dokumentów. Różnią się one między sobą szerokością, długością i powierzchnią paska ścinki powstającego jako wynik niszczenia dokumentu.

Aby skutecznie zniszczyć dane papierowe wybierz niszczarkę stosując się do prostych zasad:

Nie stosuj niszczarek o najniższych poziomach bezpieczeństwa P-1 i P-2. Tworzą one paski o praktycznie nielimitowanej długości. Pamiętasz film „Operacja Argo” i scenę, w której dzieci sklejają z pasków w całość dokumenty zniszczone w ambasadzie USA? To właśnie ten typ niszczarki. W dzisiejszych czasach powinno się w nich niszczyć jedynie dokumenty zawierające korespondencję wewnętrzną.
Urządzenia o poziomie P-3 i wyższym tworzą ścinki, a nie paski. Ponadto poza dokumentami papierowymi można w nich niszczyć nośniki danych takie jak płyty CD/DVD czy plastikowe identyfikatory. Urządzenia o poziomie P-3 należy używać, gdy niszczone są zwykłe dane osobowe, lub wrażliwe i poufne dokumenty firmowe.
Niszczarki o poziomie P-4 należy stosować do trwałego niszczenia dokumentów i nośników danych zawierających szczególne kategorie danych osobowych, na przykład dane medyczne.
Urządzenia o poziomie P-5 do P-7 stosuje się do niszczenia dokumentów, którym nadawane są rządowe lub wojskowe klasyfikacje poufności i tajności. Oczywiście nic nie stoi na przeszkodzie, by stosować je także w małej firmie. Pamiętaj jednak, że są to już urządzenia droższe i niekoniecznie najmniejsze.

Jak usunąć dane z komputera z dysku twardego?

O ile płytę CD czy DVD możesz zniszczyć w niszczarce, samodzielne fizyczne zniszczenie dysku twardego z Twojego komputera jest niewykonalne. Rozmontowanie dysku talerzowego na części nie oznacza zniszczenia danych. Są one nadal zapisane w formie magnetycznej na specjalnych talerzach. Zatem samo ich usunięcie z obudowy dysku twardego nie spowoduje zniszczenia zapisanych na nich danych.

Możesz usunąć dane z komputera z dysku twardego poprzez wielokrotne nadpisanie wszystkich sektorów dysku. Inaczej mówiąc nadpisywane są wszystkie miejsca na talerzach dysku, które przechowują dane. Każdy z takich sektorów może przyjąć binarną wartość 0 lub 1. Wszystkie Twoje pliki to dla komputera wielkie uporządkowane zbiory zer i jedynek. Operację usuwania danych przez nadpisywanie należy wykonywać zewnętrznymi programami do tego przeznaczonymi.

Istnieje co najmniej kilkanaście standardów pozwalających usunąć dane osobowe przez wielokrotne nadpisanie sektorów dysku twardego. Jednym z nich jest DoD 5220.22-M. Jest to standard opublikowany przez U.S. Department of Defense (DoD). Jego podstawowa wersja zakłada nadpisanie dysku w trzech cyklach. W pierwszym z nich wszystkie sektory nośnika są nadpisywane zerami. W drugim cyklu program czyszczący nadpisuje wszystkie sektory jedynkami. W trzecim zaś ponownie każdy sektor zapisywany jest w sposób losowy zerem lub jedynką. Na koniec wykonywany jest jeszcze czwarty, kontrolny cykl weryfikujący.

Oryginalny standard DoD 5220.22-M składa się zatem z trzech cykli nadpisywania danych. W 2001 roku został on w specyfikacji DoD 5220.22-M ECE rozszerzony do siedmiu cykli. Oba te standardy, bardzo rozpowszechnione, nie są już uważane za w pełni bezpieczne. Co więcej są wysoce nieskuteczne w przypadku dysków SSD. Oryginalny DoD 5220.22-M nie jest uznawany za skuteczny już od 2001 roku. Jego nowsze wydania od 6 maja 2019 roku nie znajdują się w dozwolonych metodach w jednostkach rządowych Stanów Zjednoczonych. Obecnie wymaga się stosowania metod opisanych w NIST SP 800-88.

Kolejnym narzędziem za pomocą którego możemy usunąć dane z dysku magnetycznego jest Hardwipe – bezpłatne narzędzie, z pomocą którego trwale usuniemy poufne dane przechowywane na dysku twardym (bez możliwości ich odzyskania). Możesz również oczyszczanie dysku z danych powierzyć wyspecjalizowanej firmie, która skutecznie zniszczy dane osobowe zmagazynowane na dyskach twardych.

Pamiętaj aby z procesu niszczenia danych osobowych sporządzić raport lub protokół, który spełni zasadę rozliczalności z tego procesu. Wzór takiego raportu znajdziesz tu: protokół zniszczenia

Więcej na temat usuwania danych osobowych oraz wygaśnięcia prawa do ich przetwarzania znajdziesz w innym moim tekście pod tym linkiem

Jeśli prowadzisz firmę i nie posiadasz jeszcze pakietu dokumentów systemowych RODO, to zajrzyj do naszego sklepu online w którym znajdziesz dokumentację przygotowaną przez specjalistów zgodną z obowiązującym prawem.

Tu mnie znajdziesz:

Dołącz do mnie na Facebooku

Nie omieszkaj wbić się na instagram

YT A tu obejrzysz porady wideo

Służbowa Komórka i laptop a RODO

utworzone przez Anna Zamojcin | paź 12, 2021

Służbowa Komórka i laptop a RODO

W ostatnich latach głośnym echem przez media przeszła sprawa aplikacji FaceApp pozwalającej na modyfikację wizerunku osoby ze zdjęcia. Niezwykle popularna stała się funkcja pozwalająca zobaczyć, jak osoba ze zdjęcia może wyglądać za 20-30 lat. Odezwały się głosy urzędników z Ministerstwa Cyfryzacji o niebezpieczeństwie utraty danych z telefonu, czy specjalistów od bezpieczeństwa z Niebezpiecznika o tym, jak sprzedajemy swoje dane w zamian za darmowe aplikacje.

A co jeżeli w taki sam nierozważny sposób używamy służbowego telefonu? Czy narażamy się na wyciek danych, incydent przetwarzania, kary i utratę reputacji? Zdecydowanie tak, dlatego musisz zmienić swoje przyzwyczajenia i na początek wdrożyć proste zasady używania komórki i laptopa.

Zanim zajmę się samymi aspektami korzystania ze służbowego telefonu, muszę jasno odpowiedzieć na bardzo często powtarzające się pytanie – kiedy mówimy o przetwarzaniu danych osobowych? Odpowiedź jest prosta: zawsze, chyba że mamy do czynienia z jednym z wyłączeń zdefiniowanych w RODO. Zatem bardziej słuszne jest pytanie – kiedy nie przetwarzasz danych osobowych? Nie przetwarzasz danych osobowych używając komórki prywatnej do prywatnych celów.

Prywatny sprzęt do celów służbowych

Pojęcie „służbowy telefon” czy „służbowy laptop” bardzo często pojawia się w słowniku osób zatrudnionych w korporacjach. Wiele z nich kusiło możliwością wykorzystywania sprzętu służbowego do celów prywatnych, stosując to jako zachętę do podjęcia pracy. Natomiast osoby pracujące w modelu b2b często do pracy wykorzystywały swoje urządzenia, a nie te dostarczone przez zleceniodawcę. Doprowadzało to do sytuacji w której dane prywatne były przechowywane razem z danymi służbowymi.

Łączenie funkcji telefonu służbowego i prywatnego jest wygodne, ale może być niebezpieczne z punktu widzenia RODO. Dane prywatne i służbowe zaczynają się na nim mieszać. RODO nie jest rozporządzeniem zawierającym detale techniczne, mówiące jak należy wdrażać zawarte w nim zapisy. To przedsiębiorca ma podejmować odpowiednie decyzje, uwzględniając charakter branży, zakres przetwarzanych danych czy zagrożenia. Zatem nie znajdziemy w nim pojęć urządzenia prywatnego czy służbowego. Pracodawca, który wyraził zgodę na wykorzystywanie przez pracownika prywatnych urządzeń do wykonywania obowiązków służbowych musi zastosować odpowiednie procedury, polityki i uwzględnić sytuację w analizie ryzyka.

Poniżej kilka rad, na jakie aspekty przede wszystkim zwracać uwagę i jak wdrożyć proste zasady używania komórki i laptopa u siebie i swoich pracowników.

Jak zabezpieczyć komórkę i laptopa

Na początku zadbaj o bezpieczeństwo fizyczne urządzenia i zapisanych w nim danych. Poniżej znajdziesz zasady, które musisz sobie przyswoić niezależnie od tego, czy to Twoje urządzenie prywatne, czy służbowe:

Zabezpiecz dostęp do komputera silnym hasłem (co najmniej kilkanaście znaków w tym duże i małe litery, cyfry i znaki specjalne). Jak takie hasło stworzyć możesz przeczytać tutaj. Alternatywnie użyj managera haseł. Pamiętaj by nie stosować tego hasła nigdzie indziej.
W urządzeniach mobilnych zastosuj również alfanumeryczne hasło. Jeżeli zdecydujesz się na kod PIN, niech będzie on co najmniej 6-cyfrowy. Zastosowanie dodatkowo biometrii, czyli odcisku palca lub rozpoznawania twarzy, także jest bezpieczne. Co do zasady musisz mieć ustawione możliwie najsilniejsze zabezpieczenie. Sprawdź jednak, jak awaryjnie się je wyłącza (np. w iPhone wystarczy 5 razy szybko kliknąć przycisk z prawej strony, którym normalnie blokujesz telefon).
Jeżeli Twój telefon na to pozwala, włącz opcję przywracania ustawień fabrycznych po 10 nieudanych próbach logowania.
Włącz szyfrowanie dysków, pamięć telefonu czy wymiennych kart pamięci. Na komputerach musisz je włączyć samodzielnie (BitLocker w Windows, FileVault w MacOS). Pamiętaj, że szyfrowanie nic nie da, jeżeli nadal będziesz komputer usypiać po skończonej pracy. W takim stanie klucze szyfrujące są nadal w pamięci urządzenia. Musisz je albo wyłączyć, albo hibernować.
Telefony i tablety Apple mają domyślnie włączone szyfrowanie pamięci, tak samo nowsze urządzenia z Androidem. W starych musisz to zabezpieczenie włączyć samodzielnie. Nie zapomnij o wyjmowalnych kartach pamięci!
W przypadku zgubienia czy kradzieży telefonu skorzystaj z dostarczonych przez producentów narzędzi pozwalających na zlokalizowanie urządzenia. Koniecznie wymuś jego wyczyszczenie i przywrócenie do ustawień fabrycznych zdalnie, gdyby tylko zguba zalogowała się do sieci GSM albo WiFi.
W żadnym wypadku nie dawaj urządzenia do rąk nieznajomym, a już na pewno, gdy jest ono odblokowane. Odchodząc od komputera pamiętaj by go zablokować, a gdy odchodzisz na dłużej wyłączaj lub hibernuj.

Poczta, kalendarz, kontakty – zasady współdzielenia

Bardzo wygodnym rozwiązaniem jest wykorzystywanie tego samego urządzenia do obsługi prywatnej i służbowej poczty, kalendarza czy książki adresowej. Niemniej chwila nieuwagi może skończyć się incydentem, który co najmniej musisz odnotować w rejestrze incydentów. Wystarczy, że wyślesz e-mail z prywatnej skrzynki zamiast służbowej, lub zapiszesz dane kontaktowe w złej książce adresowej. Dlatego wprowadź proste i czytelne zasady oddzielania danych prywatnych i służbowych.

Aby uniknąć takich sytuacji, postaraj się korzystać z oddzielnych aplikacji do czynności prywatnych i służbowych. Tak robię ja. Do poczty prywatnej na telefonie czy laptopie wykorzystuję Apple Mail, czyli wbudowaną aplikację w MacOS czy iOS. Do służbowej zaś, ponieważ korzystam z pakietu Office365, mam na urządzeniach zainstalowanego klienta Microsoft Outlook. Ty możesz zainstalować dowolną inną aplikację pocztową do swojej skrzynki. W przypadku kalendarza przyjęłam zasadę, że korzystam tylko z usługi z Office365 zarówno do celów prywatnych, jak i służbowych, ewentualnie zapisuje wydarzenia bezpośrednio w wewnętrznym kalendarzu telefonu.

Prywatne spotkania i tak wpływają na wydarzenia służbowe, a dzięki temu nie ryzykuję zapisania służbowego spotkania z danymi klienta w prywatnym kalendarzu. Pilnuję jednak, żeby raczej nie wpisywać danych osobowych w prywatne spotkania. W przypadku, gdy zatrudniasz osoby możesz w regulaminie zakazać takiego współdzielenia kalendarza. Stwórz regulamin który będzie zawierać spisane wszystkie zasady korzystania z urządzeń w firmie. Służbowa komórka i laptop a rodo

Uprawnienia aplikacji na telefonie

Jest takie powiedzenie, że jednym z dwóch największych kłamstw Internetu jest stwierdzenie „przeczytałem i akceptuję warunki użytkowania„. Niestety prawda jest taka, że niewiele osób zawraca sobie głowę przeczytaniem polityki prywatności. Często nie jest ona napisana najprostszym językiem, mimo że RODO to narzuca. Prowadzi to do sytuacji, że powierzamy nasze dane, często bardzo osobiste, firmom trzecim i tracimy w ten sposób nad nimi kontrolę, a także naszą prywatność.

Jako społeczeństwo mamy nawyk dość lekkomyślnego zgadzania się na dostęp do zgromadzonych na urządzeniu danych o nas i osobach trzecich. Udostępniamy je aplikacji i jej twórcom bez świadomości co się z nimi będzie działo. Jest to ignorancja która powoduje, że nie zapala nam się w głowie żółta ostrzegawcza lampka, gdy aplikacja kalkulatora prosi o dostęp do książki adresowej czy zdjęć. A powinna, bo przecież po co kalkulatorowi dostęp do tych danych?

Warto zachować czujność, gdy nowo zainstalowana na telefonie aplikacja prosi o dostęp do poczty, książki adresowej, kalendarza, zdjęć lub plików. Niebezpieczna może być też zgoda na monitorowanie wykonywanych na telefonie czynności. Aplikacje bankowe czy pozwalające na zamówienie przewozu często proszą o dostęp do książki adresowej, aby ułatwić przelewy czy wybór miejsca docelowego podróży. Zadaj sobie pytanie czy na pewno tego potrzebujesz. Ja rekomenduję, aby takiej zgody nie udzielać, jeżeli jednak chcesz z tych funkcjonalności korzystać, zadbaj o dopełnienie wszystkich wymogów formalnych, które stawia RODO.

Zarówno w życiu prywatnym, jak i w pracy zawodowej, trzeba z wyprzedzeniem myśleć i rozumieć jak działają aplikacje czy strony, którym przekazujemy jakieś dane. Zwracaj uwagę na to, czy masz uzasadniony cel, w którym je przekazujesz i podpisaną umowę powierzenia. Jeżeli aplikacja prosi o dostęp do zasobów pomyśl, czy na pewno jest to konieczne. W szczególności odmawiaj takiego dostępu, gdy wykorzystujesz ją do celów prywatnych. Łatwo w ten sposób możesz udostępnić dane osobowe klientów czy partnerów biznesowych.

Znane jest powiedzenie „lepiej zapobiegać niż leczyć„. Pasuje ono także do ochrony danych osobowych i samego ich przetwarzania. Lepiej zmienić swoje nawyki i nauczyć się nowych bezpiecznych zachowań, niż usuwać skutki incydentu. Wyciek danych może uszczuplić nie tylko Twój portfel, ale co ważniejsze nadszarpnąć reputację. Karę może nałożyć UODO, zadośćuczynienia domagać może się sam poszkodowany. Dlatego przede wszystkim przejrzyj swój telefon oraz laptop i cofnij uprawnienia aplikacjom, które nie są Ci niezbędne. Z części z nich po prostu zrezygnuj. Możesz też zakupić oddzielne urządzenia i całkowicie odseparować swoje sprawy zawodowe od prywatnych.

Potrzebujesz pomocy w sprawach bezpieczeństwa danych osobowych? Napisz do mnie. Chętnie pomogę Tobie, i Twojej firmie w dostosowaniu do wymogów i przepisów RODO

Jeśli prowadzisz firmę jednoosobową i nie posiadasz jeszcze systemy ochrony danych to tu znajdziesz gotowy pakiet dokumentacji RODO dla jednoosobowej działalności która pozwoli Ci bez wysiłku wdrożyć RODO w Twojej firmie.

Natomiast jeśli zatrudniasz pracowników to odpowiedni będzie dla Ciebie pakiet RODO dla pracodawców w którym znajdziesz dokumentację niezbędną do zachowania zgodności z rozporządzeniem o ochronie danych osobowych.

Tu mnie znajdziesz:

Dołącz do mnie na Facebooku

Nie omieszkaj wbić się na instagram

YT A tu obejrzysz porady wideo

Minimalizacja danych – czyli ile i jakie dane możemy przetwarzać

utworzone przez Anna Zamojcin | lip 29, 2021

Co to jest minimalizacja danych

Czy jako przedsiębiorca nie zbierasz zbyt dużo danych od swoich pracowników, klientów, kontrahentów? Czasami wydaje nam się, że jeśli zbierzemy więcej danych to nam się do czegoś przydadzą, jeśli nie od razu to może później. Że dzięki temu nasza wiedza na temat np. Klienta będzie większą i będziemy mogli „lepiej” zrealizować zamówienie, lub zrozumieć potrzeby. Ale czy na pewno takie podejście jest właściwe? Czy nie łamiemy w ten sposób praw osób od których pobieramy dane i czy postępujemy zgodnie z zasadą minimalizacji danych?

Minimalizacja danych jest to jedna z zasad, co do których możliwe są najszersze interpretacje, a która też potencjalnie może na przedsiębiorców ściągnąć bolesne konsekwencje finansowe w przypadku stwierdzenia naruszenia. Minimalizacja jest dokładnie w RODO zdefiniowana, dokładny zapis tego punktu brzmi:

Dane osobowe muszą być: c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane („minimalizacja danych”);

RODO, Artykuł 5, punkt 1, lit.c)

W praktyce dla każdego administratora danych osobowych oznacza to tyle, że nie może on gromadzić więcej danych osobowych, niż jest to niezbędne do wykonania danej czynności. Określenie tego zbioru minimalnych danych może stanowić problem lub pole do interpretacji. Ważne jest, aby decyzja była podjęta przez przedsiębiorcę świadomie. Dlatego należy ją poprzedzić analizą tego, jakie czynności w przedsiębiorstwie się wykonuje i jakie dane osobowe są do nich niezbędne.

Przyjrzyjmy się trzem sytuacjom, gdzie minimalizacja zbieranych danych ma znaczenie.

Lista mailowa – zbieramy tylko adres e-mail?

Newsletter, czyli lista mailowa, to jedna z najstarszych i najpopularniejszych metod stałego kontaktu z czytelnikiem i promocji swoich produktów i usług. Teraz zadajmy sobie pytanie, jakie dane osobowe są nam potrzebne, aby zapisać kogoś na newsletter.

Odpowiedź wydaje się oczywista – adres e-mail. Co do tego nie ma żadnych wątpliwości. Jednak na wielu stronach prosi się nie tylko o podanie adresu e-mail, lecz także imienia i nazwiska.

Takie podejście nie jest niezgodne z RODO, jeżeli spełnione są dwa warunki:

Jasno informujemy klienta, w jakim celu chcemy pobrać dane
Pozwalamy, w przypadku danych, które nie są niezbędne, na dobrowolność ich podania

Nie zawsze jest tak, że zapisując do listy mailowej sam adres e-mail będzie tym minimalnym zbiorem danych. Załóżmy, że prowadzisz sklep internetowy, który działa na terenie całej Polski, lecz oferta asortymentu jest zależna od województwa, w którym znajduje się zamawiający. Także Twoje newslettery są tworzone z myślą o odbiorcach w danym regionie. W takim wypadku proszenie czytelnika o podanie województwa zamieszkania jest uzasadnione do realizacji celu, dla którego zbierasz dane. Minimalizacja danych w tym wypadku obejmuje już dwie cechy, a nie jedną. O tym jak poprawnie zapisywać na newsletter piszę w artykule „Newsletter z godny z RODO”.

Zakup i dostawa produktu – ile danych potrzebujesz do realizacji zamówienia

Jeżeli prowadzisz sklep internetowy, to musisz od kupującego zebrać pewien zestaw danych osobowych, aby zrealizować transakcję, zgodnie z prawem ją zaksięgować oraz dostarczyć zakupiony produkt. Zatem do zebrania pewnych informacji przedsiębiorca jest zobligowany przepisami prawa. Przykładowo, dane, które musimy umieścić na fakturze, określa art. 106e ust. 1 Ustawy o podatku od towarów i usług. Jeżeli fakturę wystawiamy osobie prywatnej, czy prowadzącej jednoosobową działalność gospodarczą, to bez wątpienia przetwarzamy jej dane osobowe.

Nieco inaczej sytuacja wygląda, jeżeli chodzi o przetwarzanie danych celem dostarczenia towaru. Sprzedający zazwyczaj wymaga podania tych samych danych co do wystawienia faktury (poza numerem NIP), do tego danych kontaktowych – adresu e-mail oraz numeru telefonu. Nie ma wątpliwości, że podanie tych danych jest niezbędne, aby dostarczyć przesyłkę do zamawiającego oraz informować o statusie dostawy lub umożliwić kurierowi kontakt odbiorcą.

A jeżeli pozwalasz na osobisty odbiór zamówienia? W takim przypadku żądanie podania danych adresowych czy kontaktowych należałoby uznać za złamanie zasady minimalizacji. Skoro pozwalasz na odbiór osobisty to jedyne dane, jakie potrzebujesz to imię i nazwisko zamawiającego celem ewentualnego potwierdzenia tożsamości odbierającego. Dane adresowe nie są Ci do tego potrzebne, gdyż one i tak nie znajdują się na dokumentach tożsamości. Z podobną sytuacją mamy do czynienia, gdy klient zamawia dostawę do paczkomatu. Czołowy operator, firma InPost, wymaga jedynie podania adresu e-mail i numeru telefonu odbiorcy (co też budzi pewne wątpliwości, jeżeli chodzi o zasadę minimalizacji) oraz wskazanie paczkomatu, zatem przetwarzanie przez Ciebie większej ilości danych celem wykonania dostawy jest bezzasadne.

Jeżeli dopiero otwierasz sklep internetowy to zwróć uwagę, aby jego system był zgodny z zasadą minimalizacji. W sytuacji, gdy Twój sklep już działa, zapytaj się jego operatora o możliwości jego dostosowania. Zapoznaj się z dokumentacją dla sklepu internetowego w pełni dostosowaną do obowiązujących przepisów prawa.

Minimalizacja danych w umowach – czy pobrać numer dowodu?

Prowadząc własną firmę, nie unikniesz podpisywania różnych umów. Mogą być to umowy z klientami, dostawcami czy podwykonawcami. Zarówno z osobami fizycznymi, jak i prawnymi. Na każdej umowie musisz zawrzeć jasne informacje jednoznacznie identyfikujące strony umowy. W przypadku firmy będzie to numer NIP czy numer wpisu do KRS. Osoby prowadzące jednoosobową działalność gospodarczą możemy ustalić na podstawie numeru NIP lub REGON. A jak postąpić, gdy mamy do czynienia z osobą fizyczną?

W Polsce nadal istnieje błędne przekonanie, że do zawarcia umowy z drugą osobą trzeba od niej zebrać dużo informacji. Dlatego na wielu umowach pojawiają się taki pola jak imię, nazwisko, adres zameldowania, miejsce zamieszkania, imiona rodziców, numer PESEL, data urodzenia, numer dowodu wraz z datą jego ważności i inne. Widziałem również umowy, w których wymagane było podanie danych z dwóch dokumentów tożsamości. Wszystkie te umowy nie są zgodne z RODO.

Do identyfikacji osoby fizycznej wystarczą trzy informacje – jej imię, nazwisko oraz numer PESEL. Zamiast numeru PESEL można wpisać numer dowodu osobistego lub paszportu. Z praktycznego punktu widzenia PESEL jest jednak wygodniejszy, gdyż w przeciwieństwie do numerów dokumentów się nie zmienia. Jednak pamiętaj, że zbieranie jednocześnie numeru PESEL i numeru dokumentu tożsamości najprawdopodobniej zostanie uznane za złamanie reguły minimalizacji, gdyż wystarczająca jest tylko jedna z nich. W żadnym wypadku nie wolno Ci także w żaden sposób przetwarzać kopii dowodu czy paszportu. Taki skan zwierać będzie nie tylko te trzy wymagane do identyfikacji dane, ale znacznie więcej informacji, w tym dane biometryczne w postaci zdjęcia.

Tu mnie znajdziesz:

Dołącz do mnie na Facebooku

Nie omieszkaj wbić się na instagram

YT A tu obejrzysz porady wideo

Wysłanie Maila Do Złego Adresata

utworzone przez Anna Zamojcin | cze 16, 2021

Wysłanie maila do złego adresata

to dość powszechna pomyłka. Każdemu się zdarzyła pewnie nie raz, także i mnie. Czasem błąd polega na wybraniu złego odbiorcy z książki adresowej, innym razem na literówce we wpisywanym ręcznie adresie odbiorcy. Serwer pocztowy odbiorcy może zwrócić wiadomość z komunikatem „odbiorca o danym adresie nie istnieje”. Wtedy spada kamień z serca, bo Twój e-mail nie został do nikogo doręczony. Gdy odbiorca jednak istnieje wtedy masz do czynienie z incydentem związanym z przetwarzaniem danych. Czy oznacza to kłopoty?

Mail wewnętrzny i zewnętrzny

Pomyłka w adresie odbiorcy może dotyczyć zarówno wiadomości wysyłanych wewnątrz firmy jak i poza nią. Zazwyczaj, gdy myślimy o tego typu incydentach, mamy na myśli e-maile, które wysyłasz poza swoją organizację. Jednak także maile będące częścią komunikacji wewnętrznej mogą stanowić naruszenie. Pamiętaj, że jest nim każde ujawnienie danych osobowych osobom nieupoważnionym, niezależnie od miejsca ich przebywania czy pracy. Dlatego wysłanie maila do złego odbiorcy także wewnątrz organizacji może być zaklasyfikowane jako incydent. Jako administrator powinieneś uczulić na to swoich pracowników.

Takie naruszenie przetwarzania danych osobowych może nastąpić w każdej firmie niezależnie od jej wielkości. W dużych korporacjach jeżeli wyślesz e-mail z danymi kontrahenta czy listą osób zapisanych do newslettera do osoby z niewłaściwego pionu czy działu będzie to naruszenie. Programista, który jest odbiorcą tej wiadomości nie miał prawa poznać tych danych. Upoważnienie do ich przetwarzania w ramach tych czynności mają odpowiednio pracownicy działu zamówień i marketingu. W małych firmach naruszeniem może być wysłanie danych osobowych umieszczonych na CV kandydata do pracy do złego pracownika. Zatem pamiętaj, że także pomyłki w wewnętrznej korespondencji stanowią naruszenie.

Czy wysłanie maila do złego adresata to naruszenie danych osobowych?

Gdy już stwierdzisz, że wystąpił incydent związany z przetwarzaniem danych osobowych to musisz podjąć decyzję o dalszym postępowaniu. Tu nie masz dużego wyboru, konkretne obowiązki nakłada na Ciebie wprost RODO. Każdą taką sytuację musisz odnotować w rejestrze naruszeń który znajdziesz się w pakiecie RODO dla firm jednoosobowych oraz Pakiecie RODO dla firm zatrudniających pracowników. Jest to jeden z dokumentów, które każde przedsiębiorstwo musi prowadzić. Reguluje to artykuł 33 w punkcie 5.

Administrator dokumentuje wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia ochrony danych osobowych, jego skutki oraz podjęte działania zaradcze. Dokumentacja ta musi pozwolić organowi nadzorczemu weryfikowanie przestrzegania niniejszego artykułu.

Artykuł 33, punkt 5

Ponadto incydent musisz zgłosić do organu nadzorczego, czyli Urzędu Ochrony Danych Osobowych, chyba że jest mało prawdopodobne, by incydent skutkował ryzykiem naruszenia praw lub wolności osób fizycznych. Jeżeli żadna z tych przesłanek nie jest spełniona masz 72 godziny na poinformowanie UODO. Wtedy też bez zbędnej zwłoki, zgodnie z zapisami artykułu 34 RODO, musisz poinformować o tym zdarzeniu osobę poszkodowaną, której dane zostały ujawnione. Samo odnotowanie w rejestrze naruszeń nie wystarczy.

Pamiętaj, jeśli w treści wysłanej wiadomości e-mali lub w załączniku do tej wiadomości, umieszczone były dane osobowe, które mogłyby być wykorzystane przez nieuprawnioną osobę i spowodować jej szkodę, to należy taki zdarzenie zakwalifikować jako incydent naruszenia bezpieczeństwa i jak najszybciej podjąć kolejne kroki. Kolejna ważna rzecz – jeśli wsród wysłanych danych znalazły się te wymienione w art. 9 RODO, czyli w mailu znajdują się dane wrażliwe typu pochodzenie etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych lub dane genetyczne, dotyczące zdrowia lub życia seksualnego, to należy automatycznie uznać, że występuje duże prawdopodobieństwo wystąpienia takiej szkody.

O tym czy wysłanie maila do złego odbiorcy zostanie zaklasyfikowane jako incydent decyduje administrator. Tak samo jest to jego decyzja czy należy powiadomić o zdarzeniu organ nadzorczy i osoby, których dane ujawniono. Jako właściciel przedsiębiorstwa musisz ją podjąć po dokonaniu odpowiedniej oceny zdarzenia. Niektóre sytuacje, jak ujawnienie danych z dowodu osobistego, na pewno będą wymagały takiego zgłoszenia i powiadomienia poszkodowanych. Inne mogą wymagać jedynie dokonania wpisu w rejestrze incydentów. Sprawdź artykuł „72 godziny na zgłoszenie naruszenia” w którym znajdziesz kilka pomocnych przykładów. Zawiera on także rekomendacje, w jaki sposób przedsiębiorca może się przygotować na wystąpienie incydentu. Dowiesz się z niego w jaki sposób przygotujesz swoją firmę na wypadek wystąpienia naruszenia.

Tu mnie znajdziesz:

Dołącz do mnie na Facebooku

Nie omieszkaj wbić się na instagram

YT A tu obejrzysz porady wideo

Skrzynka byłego pracownika a RODO

utworzone przez Anna Zamojcin | kwi 30, 2021

Skrzynka byłego pracownika a RODO

Wiele przedsiębiorstw tworzy pracownikom konta i adresy e-mail, które zawierają ich imię i nazwisko. Lecz nawet gdy mamy jakąś formę skróconej nazwy lub samo imię to także ten adres stanowi daną osobową. Gdy wygasa lub zostanie rozwiązana umowa z danym pracownikiem powstaje pytanie co dalej z jego adresem i korespondencją zrobić. Czy nadal możemy korzystać ze skrzynki byłego pracownika czy może należy ja usunąć? Jak powinniśmy postąpić aby wszystko było zgodne z przepisami. W poniższym artykule pt. „Skrzynka byłego pracownika a RODO” znajdziecie odpowiedź na te pytania.

Pracownik odchodzi z firmy

Gdy współpraca z daną osobą się kończy, niezależnie od tego czy była to umowa o pracę, umowa-zlecenie czy kontrakt b2b, przedsiębiorca musi odpowiedzieć sobie na dwa pytania:

Co zrobić z pocztą, która znajduje się w skrzynce byłego pracownika?
Jak postępować, gdy klienci będą dalej wysyłać wiadomości do tej osoby?

Odpowiedź na pierwsze pytanie powinna być zawarta w regulaminie pracy oraz regulaminie wykorzystania sprzętu IT. Zazwyczaj skrzynka pocztowa jest udostępniana przełożonemu danej osoby, aby możliwe było skopiowanie z niej informacji niezbędnych do dalszego działania firmy. Jeżeli w regulaminie wykorzystania sprzętu IT nie zabroniliśmy wykorzystywania służbowego adresu do korespondencji prywatnej musimy uczulić przełożonych, że prywatna korespondencja nie może być czytana. Gdy wszystkie niezbędne dane zostaną ze skrzynki skopiowane powinna ona zostać zarchiwizowana. Archiwizacja pozwoli na dostęp do niej gdyby w przyszłości okazało się, że znajdują się tam potrzebne nam informacje.

Uzasadniony interes administratora

Nie spotkałam się jeszcze z przypadkiem, by firma informowała swoich klientów czy partnerów handlowych, że zakończyła współpracę z danym pracownikiem. Powstaje zatem problem co zrobić z nowymi wiadomościami, które osoby zarówno z naszej firmy jak i spoza organizacji mogą nadal wysyłać na adres tej osoby. Jednym z rozwiązań jest skonfigurowanie na serwerze pocztowym stałego przekierowania poczty przychodzącej na adres innej osoby. Nigdy nie byłam zwolennikiem tej metody – długoterminowo prowadzi ona do problemów ze spójnością konfiguracji usługi poczty. Może też prowadzić do ujawnienia prywatnych informacji o odchodzącej osobie innemu pracownikowi – nawet jeżeli zabronimy w regulaminie wykorzystywania poczty do celów prywatnych nie oznacza to, że wszyscy pracownicy się zastosują.

Urząd Ochrony Danych Osobowych rekomenduje inne podejście jako zgodne z RODO. Po pierwsze w komunikacie Prezes urzędu zauważa, że dalsze przetwarzanie danych osobowych odchodzącego pracownika ma swoje uzasadnienie prawne. Jest nim tak zwany uzasadniony interes administratora. Taka interpretacja jest też logiczna – to że pracownik odchodzi nie znaczy, że firma ma tracić wypracowane przez niego relacje biznesowe. Urząd wskazuje jednak, że właściwe rozwiązanie w takiej sytuacji to odrzucenie przychodzących wiadomości i ustawienie automatycznej wiadomości zwrotnej, informującej nadawcę o nowej osobie kontaktowej.

Zadbaj o procedury

Po pierwsze miej przygotowany stały plan postępowania w takiej sytuacji. Rotacja kadrowa nie jest niczym nadzwyczajnym nawet w małych przedsiębiorstwach. Ważne aby wszystkie czynności wykonywać sprawnie i krok po kroku. Zwróć uwagę na takie rzeczy:

Jeżeli zwalniasz pracownika lub on sam rozwiązał umowę o pracę to w okresie wypowiedzenia monitoruj jakie pliki będzie otwierał czy kopiował. Jeżeli to możliwe sprawdź logi z ostatnich kilku tygodni. Próby wyniesienia firmowych danych nie są niestety sytuacją marginalną.
Wyloguj pracownika ze wszystkich usług na wszystkich urządzeniach. Większość usług chmurowych (Google G Suite, Microsoft Office365 i inne usługi internetowe) pozwalają na wykonanie tej czynności z panelu administratora.
Zablokuj wszystkie konta pracownika by uniemożliwić mu ponowne logowanie. Nie kasuj ich jednak od razu. Skasowanie konta może spowodować usunięcie danych.
Ustaw odpowiedni komunikat zwrotny dla nowo przychodzącej poczty
Wykonaj kopię niezbędnych danych z każdego serwisu.
W możliwie krótkim terminie przełożony pracownika powinien przejrzeć zabezpieczone dane i skopiować te niezbędne do dalszej pracy.
Na koniec usuń wszystkie konta pracownika

Pamiętaj, że to tylko niektóre z czynności jakie musisz wykonać. Zadbaj o to by procedura była klarowna i zawsze aktualna. W razie potrzeby skonsultuj się ze swoim prawnikiem, aby upewnić się, że czynności które podejmujesz są zgodne z prawem.

Tu mnie znajdziesz:

Dołącz do mnie na Facebooku

Nie omieszkaj wbić się na instagram

YT A tu obejrzysz porady wideo

Jak usunąć dane osobowe

utworzone przez Anna Zamojcin | mar 14, 2021

Jak usunąć dane osobowe w poprawny sposób. Takie pytanie zadasz sobie w momencie, kiedy nie będziesz mógł już przetwarzać zebranych danych osobowych, które zapisałeś w chmurze, na dyskach komputerów czy na kartkach zgromadzonych w segregatorze. Gdy wygaśnie podstawa do ich przetwarzania, nie wystarczy po prostu je ignorować. RODO nakłada na Ciebie konkretne obowiązki. Jeżeli to możliwe warto zaplanować, co zrobisz z danymi, najlepiej już na etapie projektowania procesu ich przetwarzania. Pamiętaj, że przechowywanie danych samo w sobie jest czynnością przetwarzania. Usunięcie ich to minimum tego, co musisz zrobić. Czasem jednak będzie to niewystarczające. Z tego artykułu dowiesz się jak usunąć dane osobowe w poprawny sposób.

Kiedy wygasa prawo do przetwarzania danych

Danych osobowych nie można przetwarzać w nieskończoność. Istnieje kilka powodów, gdy wygasa Twoje prawo do przetwarzania danych osobowych, najczęściej spotykane to:

Wycofana zostanie zgoda na przetwarzanie. O ile zgoda nie wynika z innych przepisów wycofanie jej przez osobę, która powierzyła Ci dane osobowe, wymaga od Ciebie zaprzestania ich przetwarzania.
Osoba złoży żądanie usunięcia danych. Oczywiście tak jak w przypadku wycofania zgody przetwarzanie nie może być wymagane innymi przepisami.
Nie są już niezbędne do celów, w których zostały zebrane.
Upłynął okres, który został wyznaczony na przetwarzanie danych.
Dane są przetwarzane niezgodnie z prawem. Obecnie taka sytuacja powinna mieć jedynie miejsce, gdy nastąpi zmiana prawa. Jeżeli przetwarzasz dane zebrane niezgodnie z RODO, to od ponad roku przetwarzasz je nielegalnie

Usunięcie, a niszczenie danych osobowych

Jeżeli ustało Twoje prawo do przetwarzania danych osobowych, to w jakiś sposób musisz się ich pozbyć. Inaczej będziesz miał trupa w szafie, który może sprowadzić na Ciebie kłopoty. Dane możesz usunąć albo zniszczyć.

Jak usunąć dane osobowe.

Jest to operacja polegająca na ich trwałym skasowaniu z nośnika, na którym są one przechowywane. W przypadku danych cyfrowych mówimy o takich operacjach jak skasowanie odpowiednich plików z dysku twardego, czy usunięciu rekordów z bazy danych. W dokumentach papierowych odpowiednikiem tej operacji będzie anonimizacja polegająca na zamazaniu danych, których przetwarzać już nie wolno. Pamiętaj, że samo przechowywanie danych osobowych jest czynnością przetwarzania.

Niszczenie danych to proces, w którym destrukcji ulega nośnik, na którym dane są zapisane, oczywiście wraz z tymi danymi.

Procedurę niszczenia i usuwania danych osobowych znajdziesz w pakietach dokumentacji RODO dla firm. Jeśli prowadzisz jednoosobową firmę to optymalny będzie Pakiet dokumentacji RODO dla jednoosobowej firmy, natomiast dla przedsiębiorców zatrudniających pracowników odpowiedni będzie Pakiet dokumentacji RODO dla firm zatrudniających pracowników.

Polityka niszczenia danych osobowych powinna być ujednolicona. Dobra praktyką jest sporządzanie protokołów zniszczenia z procesu niszczenia danych osobowych zwłaszcza jeśli robimy to zbiorczo. Wtedy zabezpieczymy się przed ewentualnymi roszczeniami i zarzutami.

Kiedy niszczyć dane osobowe, a kiedy usunięcie danych osobowych wystarczy?

W zależności od sytuacji i potrzeb należy wybrać jeden z tych dwóch sposobów. W większości przypadków trwałe usunięcie danych osobowych będzie wystarczające. Jest jednak kilka sytuacji, w których zniszczenie jest rekomendowaną, lub jedyną metodą:

Sprzęt komputerowy lub sam nośnik danych w Twojej firmie zostanie przeznaczony do likwidacji z powodu jego uszkodzenia lub gdy stanie się on zbędny.
Zaistnieje konieczność zniszczenia dokumentacji papierowej, w przypadku gdy wszystkie dane na niej zapisane nie są już przetwarzane
Nośnik jednorazowego zapisu z kopią zapasową zawierać będzie dane, których firma nie ma podstaw już do przetwarzania (na przykład płyta CD/DVD)
Uszkodzeniu ulegnie nośnik wielokrotnego zapisu z kopią zapasową lub stanie się on dla firmy nieprzydatny z innych powodów (na przykład nośniki oparte o taśmę magnetyczną)
Urządzenia pamięci przenośnej przestaną być potrzebne na skutek ich uszkodzenia lub zużycia (na przykład pendrive)

Zatem jak usunąć dane osobowe? Podjęcie decyzji czy dane zostaną usunięte czy powinien zniszczony cały nośnik zawsze musi być podyktowane ochroną informacji, które zostały na nim zapisane. Jeżeli istnieją uzasadnione obawy, że zapisane na nim dane mogą zostać po skasowaniu odzyskane, należy nośnik odpowiednio zniszczyć inaczej usunięcie danych z nośnika będzie w takich sytuacjach nieskuteczne.

Tu mnie znajdziesz:

Dołącz do mnie na Facebooku