[Main presentation title here – Verdana – 16 font] Ochrona danych osobowych oraz tajemnic prawnie chronionych Gerard Karp 2011 r.

[Main presentation title here – Verdana – 16 font] Zakres prezentacji Istota ochrony danych osobowych Zakres stosowania regulacji Podstawowe terminy Zasady przetwarzania danych osobowych Odpowiedzialność Odpowiedzialność karnoprawna Charakterystyka poszczególnych typów czynów zabronionych

[Main presentation title here – Verdana – 16 font] Wstęp Istota ochrony danych osobowych.

Najistotniejsze akty prawne w zakresie ochrony danych osobowych [Main presentation title here – Verdana – 16 font] Najistotniejsze akty prawne w zakresie ochrony danych osobowych Konstytucja Rzeczypospolitej Polskiej (art. 47, 51) Ustawa o ochronie danych osobowych z dnia 29 sierpnia 1997 r. („UODO”) Rozporządzenia MSWiA z 29.04.2004 - przepisy wykonawcze do UODO w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych w sprawie wzoru zgłoszenia zbioru danych do rejestracji GIODO w sprawie wzorów imiennego upoważnienia i legitymacji służbowej inspektora Biura GIODO

Ochrona danych osobowych – problematyka wielu aktów prawnych [Main presentation title here – Verdana – 16 font] Ochrona danych osobowych – problematyka wielu aktów prawnych Ustawa o ochronie danych osobowych Ustawa o ewidencji ludności i dowodach osobistych Ustawa o rachunkowości Prawo działalności gospodarczej Ustawa o świadczeniu usług drogą elektroniczną Prawo pracy Prawo telekomunikacyjne Prawo bankowe Ustawa o działalności ubezpieczeniowej Prawo farmaceutyczne Inne

[Main presentation title here – Verdana – 16 font] Dane osobowe Wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej Charakter obiektywny Jakakolwiek forma Definicja dynamiczna: adresy e-mail, adresy IP, login, inne

Zbiór danych osobowych [Main presentation title here – Verdana – 16 font] Zbiór danych osobowych Każdy posiadający strukturę zestaw danych Charakter osobowy Dostępność według określonych kryteriów niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie

Przetwarzanie danych osobowych [Main presentation title here – Verdana – 16 font] Przetwarzanie danych osobowych Jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, (…), usuwanie Zwłaszcza te, które wykonuje się w systemach informatycznych

Podmiotowe kryterium zakresu stosowania UODO (1) [Main presentation title here – Verdana – 16 font] Podmiotowe kryterium zakresu stosowania UODO (1) Administrator danych osobowych – organ, jednostka organizacyjna, podmiot lub osoba decydująca o celach i środkach przetwarzania danych Inne podmioty (np. przetwarzający na zlecenie administratora danych na podst. art. 31 UODO)

Podmiotowe kryterium zakresu stosowania UODO (2) [Main presentation title here – Verdana – 16 font] Podmiotowe kryterium zakresu stosowania UODO (2) Podmioty publiczne Podmioty prywatne organy państwowe organy samorządu terytorialnego państwowe i komunalne jednostki organizacyjne podmioty niepubliczne realizujące zadania publiczne osoby fizyczne osoby prawne jednostki organizacyjne nie posiadające osobowości prawnej [przetwarzanie danych w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych] i [(siedziba/miejsca zamieszkania na terytorium RP) albo (siedziba/miejsce zamieszkania w państwie trzecim (poza EEA) – przetwarzanie danych osobowych przy pomocy środków technicznych znajdujących się na terenie RP)]

Przedmiotowy zakres stosowania UODO (1) [Main presentation title here – Verdana – 16 font] Przedmiotowy zakres stosowania UODO (1) Ustawa określa zasady postępowania przy przetwarzaniu danych osobowych prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych

Przedmiotowy zakres stosowania UODO (2) [Main presentation title here – Verdana – 16 font] Przedmiotowy zakres stosowania UODO (2) Nie ma znaczenia czy dane faktycznie znalazły się w zbiorze; wystarczy potencjalna możliwość Postanowienie Sądu Najwyższego z dnia 11 grudnia 2000 r. (II KKN 438/2000) Zastosowanie UODO ograniczone do przepisów o zabezpieczeniu danych w przypadku zbiorów danych sporządzanych doraźnie, wyłącznie ze względów technicznych, szkoleniowych lub w związku z dydaktyką w szkołach wyższych, a po ich wykorzystaniu niezwłocznie usuwanych albo poddanych anonimizacji.

[Main presentation title here – Verdana – 16 font] Osoby fizyczne Zakresem przedmiotowym ustawy o ochronie danych osobowych objęte są wyłącznie dane dotyczące osób fizycznych Osoby żyjące Ustawa o swobodzie działalności gospodarczej wyłącza spod ochrony wynikającej z UODO, dane zawarte w ewidencji działalności gospodarczej

Legalność przetwarzania danych osobowych [Main presentation title here – Verdana – 16 font] Legalność przetwarzania danych osobowych Podstawa prawna przetwarzania danych Spełnienie obowiązków wynikających z UODO zabezpieczenie danych  rejestracja bazy  obowiązek informacyjny Przetwarzanie danych zgodnie z celem dla jakiego zostały zebrane Adekwatność danych do celu, dla jakiego zostały zebrane Specyfika przetwarzania danych sensytywnych

Podstawa prawna przetwarzania danych osobowych (1) [Main presentation title here – Verdana – 16 font] Podstawa prawna przetwarzania danych osobowych (1) Zgoda osoby, której dane dotyczą – nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści, na każdy cel przetwarzania z osobna Realizacja uprawnienia lub spełnienie obowiązku wynikającego z przepisu prawa Realizacja umowy osoba, której dane dotyczą jest stroną umowy działania przed zawarciem umowy, na żądanie osoby, której dane dotyczą

Podstawa prawna przetwarzania danych osobowych (2) [Main presentation title here – Verdana – 16 font] Podstawa prawna przetwarzania danych osobowych (2) Zadanie publiczne Prawnie usprawiedliwiony cel administratora/odbiorcy danych marketing bezpośredni, własność produktów lub usług, roszczenia z tytułu prowadzonej działalności gospodarczej przesłanką objęto odbiorców danych przesłanką objęto podmioty publiczne

Adekwatność danych osobowych [Main presentation title here – Verdana – 16 font] Adekwatność danych osobowych Administrator danych ma obowiązek zapewnić, aby dane były adekwatne do celów, w jakich są przetwarzane Nie można stworzyć uniwersalnej listy danych, których przetwarzanie jest dopuszczalne Adekwatność ocenia się indywidualnie w zależności od okoliczności, w obrocie gospodarczym zależy od rodzaju umowy, usługi, ryzyka gospodarczego

[Main presentation title here – Verdana – 16 font] Odpowiedzialność za nieprzestrzeganie przepisów o ochronie danych osobowych Odpowiedzialność karna Odpowiedzialność administracyjna Odpowiedzialność cywilna na podstawie przepisów UODO (rozdział 8) na podstawie przepisów Kodeksu cywilnego na podstawie przepisów UODO

Odpowiedzialność karna na podstawie UODO (1) [Main presentation title here – Verdana – 16 font] Odpowiedzialność karna na podstawie UODO (1) Wszystkie czyny zabronione pod groźbą kary określone w rozdziale 8 UODO to przestępstwa ścigane z oskarżenia publicznego Jest to zawsze odpowiedzialność osoby fizycznej (osób fizycznych) Osobami odpowiedzialnymi mogą być: administrator danych osobowych (osoba fizyczna), ABI, przetwarzający na zlecenie, członek zarządu, pracownik zatrudniony przy przetwarzaniu danych osobowych, itp.

Odpowiedzialność karna na podstawie UODO (2) [Main presentation title here – Verdana – 16 font] Odpowiedzialność karna na podstawie UODO (2) Rodzaje kar – grzywna, kara ograniczenia wolności albo kara pozbawienia wolności Odpowiedzialność karna administrującego, nie będącego administratorem danych wchodzi w rachubę wówczas, gdy jego zachowanie - uznane za karalne przez ustawę - wynika z powierzonych mu czynności przetwarzania danych (postanowienie SN z 2000.12.11, sygn. akt II KKN 438/00, opubl. OSNKW 2001/3-4/33)

Czyny zabronione podlegające odpowiedzialności karnej [Main presentation title here – Verdana – 16 font] Opis czynu Podmiot odpowiedzialności Naruszony(e) przepis(y) UODO Strona podmiotowa Niedopuszczalne przetwarzanie danych w zbiorze lub przez osobę nieuprawnioną, art. 49 UODO. Odpowiedzialność kwalifikowana jeśli czyn dotyczy danych sensytywnych, art. 49 ust. 2 może być popełnione przez każdą osobę art. 23 podstawa prawna przetwarzania danych art. 27 dane sensytywne  umyślność Przechowywanie danych w zbiorze niezgodnie z celem jego utworzenia, art. 50 UODO może być popełnione przez osobę administrującą zbiorem danych art. 26 ust. 1 pkt. 2 z zastrzeżeniem ust. 2 dane muszą być przetwarzane zgodnie z celem dla jakiego zostały zebrane Nieuprawnione udostępnienie danych osobom nieupoważnionym lub umożliwienie dostepu art. 51 UODO może być popełnione przez osobę administrującą zbiorem danych lub obowiązaną do ochrony danych zarówno umyślność, jak i nieumyślność Naruszenie obowiązku zabezpieczenia danych, art. 52 UODO Rozdział 5 o zabezpieczeniu danych oraz przepisy rozporządzenia MSWiA Niezgłoszenie zbioru danych do rejestracji, art. 53 UODO osoba zobowiązana do zgłoszenia zbioru do rejestracji art. 40 obowiązek zgłoszenia zbioru danych do rejestracji Niedopełnienie obowiązku informacyjnego, art. 54 UODO art. 24 i 25 obowiązek informacyjny art. 32 ust. 1 pkt. 1-5a kontrola przetwarzania danych, art. 33

Niedopuszczalne przetwarzanie danych osobowych - art. 49 UODO [Main presentation title here – Verdana – 16 font] Niedopuszczalne przetwarzanie danych osobowych - art. 49 UODO Kto przetwarza w zbiorze dane osobowe, choć ich przetwarzanie nie jest dopuszczalne albo do których przetwarzania nie jest uprawniony, podlega (…) Jeżeli czyn określony w ust. 1 art. 49 dotyczy danych sensytywnych, sprawca podlega karze, (…), pozbawienia wolności do lat 3

Przechowywanie niezgodnie z celem – art. 50 UODO [Main presentation title here – Verdana – 16 font] Przechowywanie niezgodnie z celem – art. 50 UODO Kto administrując zbiorem danych przechowuje w zbiorze dane osobowe niezgodnie z celem utworzenia zbioru, podlega (…)

[Main presentation title here – Verdana – 16 font] Udostępnienie lub umożliwienie dostępu osobom nieupoważnionym – art. 51 UODO Kto administrując zbiorem danych lub będąc obowiązany do ochrony danych osobowych udostępnia je lub umożliwia dostęp do nich osobom nieupoważnionym, podlega (…) Udostępnienie/umożliwienie dostępu jednej osobie nie wyczerpuje znamion przestępstwa (Postanowienie Sądu Najwyższego z dnia 21 listopada 2007 r. IV KK 376/07)

Naruszenie obowiązku zabezpieczenia – art. 52 UODO [Main presentation title here – Verdana – 16 font] Naruszenie obowiązku zabezpieczenia – art. 52 UODO Kto administrując danymi narusza choćby nieumyślnie obowiązek zabezpieczenia ich przed zabraniem przez osobę nieuprawnioną, uszkodzeniem lub zniszczeniem, podlega (…)

[Main presentation title here – Verdana – 16 font] Niedopełnienie obowiązku zgłoszenia zbioru danych do rejestru – art. 53 UODO Kto będąc do tego obowiązany nie zgłasza do rejestru zbioru danych, podlega (…)

Niedopełnienie obowiązku informacji – art. 54 UODO [Main presentation title here – Verdana – 16 font] Niedopełnienie obowiązku informacji – art. 54 UODO Kto administrując zbiorem danych nie dopełnia obowiązku poinformowania osoby, której dane dotyczą, o jej prawach lub przekazania tej osobie informacji umożliwiających korzystanie z praw przyznanych jej w niniejszej ustawie, podlega (…)

Odpowiedzialność administratora danych za działania „procesora” [Main presentation title here – Verdana – 16 font] Odpowiedzialność administratora danych za działania „procesora” Administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych (art. 31 ust. 1 UODO) Podmiot, o którym w ust. 1, może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie (ust. 2 art. 31 UODO) Podmiot, o którym mowa w ust. 1, jest obowiązany przed rozpoczęciem przetwarzania danych do podjęcia środków zabezpieczających zbiór danych, o których mowa w art. 36-39. W zakresie przestrzegania tych przepisów podmiot ponosi odpowiedzialność jak administrator danych (ust. 3 art. 31 UODO) W przypadkach, o których mowa w ust. 1-3, odpowiedzialność za przestrzeganie przepisów niniejszej ustawy spoczywa na administratorze danych, co nie wyłącza odpowiedzialności podmiotu, który zawarł za przetwarzanie danych niezgodnie z tą umową (ust. 4 art. 31 UODO)

Tajemnice prawnie chronione [Main presentation title here – Verdana – 16 font] Tajemnice prawnie chronione Tajemnica bankowa Tajemnica ubezpieczeniowa Tajemnica publicznego obrotu papierami wartościowymi Tajemnica zawodowa funduszy emerytalnych i inwestycyjnych Tajemnica lekarska Tajemnica statystyczna Tajemnica dziennikarska Tajemnica spowiedzi Tajemnica adwokacka i radcowska Tajemnica głosowania Tajemnica państwowa i służbowa

[Main presentation title here – Verdana – 16 font] Kontakt Wierzbowski Eversheds Centrum Jasna ul. Jasna 14/16a 00-041 Warszawa T: +48 22 50 50 700 F: +48 22 50 50 701 Gerard Karp E: gerard.karp@wierzbowski.pl T: +48 22 50 50 749

[Main presentation title here – Verdana – 16 font] Dziękuję za uwagę

[Main presentation title here – Verdana – 16 font]