Logo Statlook - topbar

Nowy rozdział w zarządzaniu IT. Jeszcze większa kontrola, jeszcze mniej pracy!

Dowiedz się więcej
Wsparcie
Kontakt

Co oznacza privacy by design and default czyli nowa zasada planowania przetwarzania

„Privacy by design”– co to oznacza?

Aby w pełni pojąć konsekwencje zmian, które nakłada na przedsiębiorców RODO, wytłumaczymy Ci teraz znaczenie obu tych terminów. Zapewni Ci to odpowiedni poziom wiedzy do dobrania odpowiednio zaprojektowanego oprogramowania dla Twojej firmy.

Tak więc, „Privacy by design” oznacza obowiązek wzięcia pod uwagę ochrony danych osobowych już w początkowych fazach tworzenia danego projektu. Sama architektura aplikacji lub programu powinna tworzyć warunki, w których obrót danych będzie przebiegał bezpiecznie.
Jako przykład może posłużyć Dynamic Host Configuration Protocol – z racji, że urządzenia bazują na różnych identyfikatorach, dostają adres IP bezpośrednio z serwera. Pozwala to na komunikację pomiędzy nimi bez potrzeby ujawniania identyfikatora.

Jak rozumieć „Privacy by default”?

Z kolei „Privacy by Default” określa zakres danych, które są zbierane w celach przetwarzania. Innymi słowy, dostępność informacji na czyjś temat leży w gestii tylko i wyłącznie osoby, której te dane dotyczą. Do obowiązków ADO należy więc obróbka tylko tych informacji, które są kluczowe dla działalności firmy.
Oznacza to, że osoby trzecie mogą zasięgnąć czyichś danych osobowych tylko, jeżeli ta osoba zdecyduje się je udostępnić np. na portalach społecznościowych. RODO zakłada, że sam portal nie może domyślnie ustawić publicznego prezentowania tego typu informacji.

Jak dotychczas traktowano kwestię bezpieczeństwa podczas projektowania?

Wbrew pozorom, koncept „Privacy by Design” nie jest niczym nowym zarówno w środowisku prawniczym, jak i technologicznym. Niemniej jednak, żaden dokument dotyczący bezpieczeństwa danych do tej pory nie operował tym terminem. Tak więc, jedynym wymogiem nałożonym przez prawodawstwo UE jest podjęcie odpowiednich praktyk chroniących dane przed nieuprawnioną obróbką.
Ten stan rzeczy zmieni się już 25 maja 2018 roku. Wprowadzając ten termin do treści RODO, Parlament Europejski i jedynie wprowadza to prawo do oficjalnego obiegu, tym samym ujednolicając materię bezpiecznych praktyk obróbki danych osobowych.

Co privacy by design and default oznacza w praktyce?

GDPR podchodzi do gestii „privacy by design” dość elastycznie – wdrażając bezpieczne praktyki obróbki danych, należy wziąć pod uwagę koszt implementacji, naturę, zasięg, kontekst i cel tejże obróbki, jak również stopień ryzyka narażenia bezpieczeństwa informacji o osobach fizycznych.

Niemniej jednak, próba zdefiniowania konkretnych praktyk zapewniających zgodność z zapisami RODO jest wyjątkowo trudna do zrealizowania przez dość ogólną naturę tego dokumentu. Zważywszy jednak na wysokość kar, warto podejść do tematu z najwyższą starannością.

Pomocne w tym zakresie okażą się kodeksy praktyk >klik<, pozwalające na określenie bezpiecznych czynności w obrębie danej branży. Również zadbanie o odpowiednio wykwalifikowanych IODO czy certyfikację przez odpowiednie do tego organy  sprawi, że „privacy by design” stanie się częścią filozofii Twojej firmy.

Statlook RODO – jak możemy pomóc?

Informacja  to potęga – a dzięki statlookowi RODO będziesz je mieć zawsze w zasięgu ręki. Możliwość sprawnego ewidencjonowania zbiorów sprawi, że niezależnie od stopnia realizacji projektu, zawsze będziesz miał  wszystkie niezbędne informacje w zasięgu ręki.

statlook RODO współgra z pozostałymi modułami, pozwalając na kompleksowy wgląd w infrastrukturę IT Twojej firmy – i wsparcie praktyk zapewniających zgodność z przepisami RODO.

Profilowanie odbiorców – jak RODO wpłynie na marketing internetowy?

Poza działaniami na chmurach obliczeniowych, powierzaniem przetwarzania danych czy kodeksem dobrych praktyk, RODO zmienia wiele aspektów związanych z przetwarzaniem danych osobowych – jednym z nich jest przebieg profilowania. Stanowi to pewne wyzwanie dla osób trudniących się marketingiem i reklamą. Aby zrozumieć w pełni wymiar tych zmian, zastanówmy się, czym w istocie jest profilowanie.

 

Profilowanie – cel, informacje, akcja

Najprościej rzecz ujmując, profilowanie jest procedurą zbierania informacji pozwalających na identyfikację klienta. Jego wyniki są używane w szeroko pojętym zakresie – od oceny czyjejś zdolności kredytowej, sytuacji zdrowotnej lub rodzinnej po stopień zainteresowania danym produktem.
Co jest istotne, z prawnego punktu widzenia profilowanie nie posiada jednorodnej definicji. Temat ten został jedynie poruszony m.in. w ustawie Prawo Bankowe, ustawie Prawo Telekomunikacyjne, ustawie o działalności ubezpieczeniowej i ustawie o ochronie danych osobowych.

Rozwój technologii pozwolił na zautomatyzowanie tego procesu. Tutaj właśnie zaczął się problem – jakkolwiek dotychczas obowiązujące przepisy zabraniają podejmowania ostatecznych decyzji za podmiot wyłącznie bazując na posiadanych danych (np. w wypadku brania kredytów czy ubezpieczenia), tak jednak brak legislacyjnych ram wokół tego procesu sprawia, że i jakość profilowania, i bezpieczeństwo danych stają pod znakiem zapytania.

Dlatego więc nowe przepisy zdecydowały się poruszyć ten temat pod innym kątem, niż dotychczas. Sprawdźmy, jakie przyniesie to efekty – i jak statlook RODO może Ci pomóc w tym zakresie.

Przebieg profilowania a RODO – co się zmienia?

RODO zmienia profilowanie już u podstaw – a konkretnie, nadaje mu prawną definicję. Określa się je jako: „operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie”.

Wejście RODO w życie sprawia, że profilowanie będzie traktowane jako przetwarzanie danych osobowych. Wprowadza to jednak kluczowe pytanie – na jakiej podstawie można by podejść do tej czynności?

Na to pytanie ciężko odpowiedzieć jednoznacznie – wydawać się jednak może, że najłatwiej interpretowalną bazą może być zgoda, jednak przewiduje się również możliwość rozpoczęcia procedury na innych podstawach.

Jakie obowiązki czekają administrator podczas profilowania?

Nowe zasady to również nowe obowiązki. Tak więc, do zadań administratora będzie należeć:
• Zapewnienie zebranym danym obróbki zgodnej z prawem,
• Zapewnienie dokumentacji udowadniającej bezpieczeństwo obróbki danych,
• Udostępnianie klientom przejrzystych informacji nt. dotyczących ich danych,
• Mieć jasny i uzasadniony cel ich zbierania,
• Ochrona danych przed niepożądanym wglądem, modyfikacją czy obróbką.
Pewne jest jedno – profilowanie zmieni swój charakter. Niezależnie od tego, czy informacja o obróbce danych pojawi się w formie checkboxu, panelu, popupu, infografiki czy odesłania do polityki prywatności – najważniejsza ma być prostota przekazu.

Statlook – wsparcie w gestii bezpieczeństwa obróbki danych

Administracja zasobami informatycznymi jest podstawą zapewnienia bezpieczeństwa obróbce danych – stanowi również pole do naszego popisu. Dzięki intuicyjnemu interface’owi i szerokiemu zakresowi funkcjonalności, statlook RODO zapewnia danym bezpieczeństwo niezbędne do przestrzegania klauzuli RODO.

Dostęp do Rejestru Czynności Przetwarzania, automatyzacja czynności i kompatybilność z innymi modułami statlook – wszystko to sprawia, że statlook RODO jest praktycznym narzędziem wspierającym Twoją pracę na każdym kroku.

Przetwarzanie danych osobowych

Wiedząc, kto jest dotknięty nowymi przepisami RODO, możemy przejść do kolejnego punktu istotnego dla procedury obróbki danych – to jest, do podstaw zezwalających na przetwarzanie informacji.

Aby pojąć w pełni procedurę obróbki w świetle przepisów RODO, należy zacząć od początku – to jest, od znaczenia pojęcia „podstaw”. Pozwoli nam to określić, w jaki sposób statlook RODO może wesprzeć wdrożenie zdrowych praktyk dla Twojej firmy.

Czym są podstawy do przetwarzania danych osobowych?

Podstawami można nazwać okoliczności, w których przetwarzanie danych osobowych ma legalną podstawę. Niesie to za sobą konsekwencje w przypadku, gdy źle ją interpretujemy, bądź przetwarzamy dane bez uzasadnienia – od 25 maja 2018 roku będzie to naruszenie obowiązujących przepisów, grożące poważnymi konsekwencjami finansowymi.

W przeciwieństwie do profilowania, RODO nie wprowadza wiele nowości w gestii podstaw – zapisy z rozporządzenia pokrywają się z dotychczas obowiązującymi. Innymi słowy – jeżeli znałeś ten koncept wcześniej, już nabyta wiedza będzie miała pełne zastosowanie. Tak więc, wymieńmy poszczególne podstawy i ich istotę w trakcie procesu przetwarzania. W tej materii, RODO przewiduje następujące punkty:

• Zgodę,

• Dopełnienie warunków umowy lub podjęcie działań niezbędnych do jej realizacji przed jej zawarciem,

• Wypełnienie obowiązku nałożonego przez prawo,

• Ochronę żywotnych interesów osoby, której dane są przetwarzane,

• Dopełnienie zadania realizowanego w interesie publicznym,

• Prawnie uzasadniony interes administratora.

Jakie są najczęściej stosowane podstawy? Dotychczas firmy przetwarzały dane głównie na podstawie trzech poniższych punktów:

a) Zgoda – przykładem czego jest uzyskanie subskrybenta,

b) Realizacja umowy – dopełnienie zakupu w sklepie internetowym,

c) Dopełnienie obowiązku prawnego – wystawienie faktury, która dokumentuje dokonanie zakupu Jakkolwiek największe wątpliwości narosły wokół aspektu zgody, tak jednak RODO zawiera najwięcej punktów ją definiujących.

Zgodnie z jego zapisami, powinna ona być:

a. Uprzednia – ma zostać wydania przed rozpoczęciem procesu przetwarzania;

b. Wyraźna – użytkownik powinien być świadomy jej wyrażenia;

c. Dobrowolna – w żaden sposób nie można jej wymusić na użytkowniku;

d. Udokumentowana – administrator ma obowiązek prowadzenia dokumentacji w zakresie zyskania danych na podstawie zgody;

e. Odwoływalna – użytkownik ma prawo do zrezygnowania ze zgody na przetwarzanie danych osobowych w każdym momencie. Administrator ma obowiązek nakreślić ten fakt w sposób jasny i klarowny podczas jej nawiązywania.

Mailing i marketing SMS – czy RODO wprowadza coś nowego?

Marketing i mailing SMS również zostały wzięte pod uwagę w zapisach NUODO. Muszą one spełniać wszystkie powyższe punkty przy jednoczesnym zyskaniu zgody na przesyłanie informacji handlowych i używanie narzędzi telekomunikacyjnych. Istotnym aspektem zmian jest problematyka profilowania.

RODO wprowadza w tej materii wiele zmian, które mogą nieść ze sobą zupełną zmianę tego procesu. Dzieci pod ochroną RODO Zapisy RODO w szczególny sposób wyróżniają użytkowników poniżej 16. roku życia.

Według treści GDPR, przetwarzanie ich danych wymaga zgody ich ustawowych przedstawicieli – czyli, w większości przypadków, rodzica lub opiekuna prawnego. W związku z różnicami prawnymi wynikającymi z treści polskiego Kodeksu Cywilnego, na naszym rodzimym gruncie wprowadzona będzie niższa bariera wiekowa. Dlatego też zgoda rodzica lub opiekuna w Polsce będzie wymagana w przypadku użytkownika, który nie skończył 13. lat.

Główny powód niepokoju – bezpośrednia odpowiedzialność administratora danych Podstawową zmianą – a przy okazji powodem szumu wokół tematu RODO – jest fakt, że wraz z jego wejściem w życie firmy przetwarzające dane są zmuszone wziąć pełną odpowiedzialność za złamanie przepisów. Oznacza to, że w przypadku niedopatrzenia ryzykuje się otrzymaniem kary finansowej, a nawet ograniczenia lub pozbawienia wolności. Przepisy RODO wprowadzają też ostrzejsze przepisy w związku z samym tworzeniem umów o przetwarzaniu danych. Tak więc, ich konstruowanie i dalsza dokumentacja będzie wymagać więcej pracy i uwagi.

statlook – wszystkie dane w zasięgu ręki

Odpowiednie zrozumienie podstaw do obróbki danych wymaga możliwości szybkiego, intuicyjnego wglądu w ewidencję – w tym zakresie statlook oferuje szeroki wachlarz opcji. Aktualizowanie danych, wgląd w rejestr zbiorów czy wygodne udostępnianie informacji wewnątrz systemu w zależności od potrzeby – wszystkie te funkcje sprawią, że operowanie danymi będzie bezpieczne i w pełni zgodne z literą prawa.

Naruszenie przepisów RODO – zgłoś, zanim będzie za późno

Od maja 2018 roku RODO nałoży na administratorów danych osobowych kolejny obowiązek. Związany on będzie z przymusem zawiadamiania organu nadzorczego i użytkowników o zaistnieniu incydentu związanego z obróbką danych osobowych.

Co to oznacza w praktyce? Tak, jak w przypadku innych obowiązków, tak i tutaj RODO stawia na praktyczne rozwiązania. Instytucja trudniąca się obróbką danych musi bowiem rozbudować i wzmonić procedury związane z danymi, a konkretnie z ich:

Jakie są kryteria zgłaszania naruszenia przepisów NUODO?

Uniwersalna natura przepisów NUODO sprawia, że bardzo ciężko zdefiniować konkretne sytuacje będące zagrożeniem obróbki danych osobowych. Wszystko leży w rękach administratora, którego zadaniem jest poprawne zinterpretowanie danego stanu rzeczy – a potem wysłanie stosownego zgłoszenia.
Aby zachować wierność przepisom zawartych w RODO, takie zgłoszenie powinno zawierać następujące informacje:

Administrator ma 72 godziny na zgłoszenie ewentualnego naruszenia przepisów. W sytuacji przekroczenia tego limitu czasowego, zobowiązany jest z kolei do usprawiedliwienia przesłania raportu po czasie.Dlatego też warto zawczasu zadbać o sformułowanie procedur adekwatnych do tego typu sytuacji. Upewni Cię to, że dane zgłoszenie zostanie przesłane w odpowiednim czasie – bez niepotrzebnego stresu z tego powodu.

Czy każde naruszenie powinno być zgłoszone?

Ciekawą informacją jest, że obowiązek informowania organu nadzorczego o możliwości zaistnienia incydentu związanego z obróbką danych nie ma charakteru bezwzględnego. Ma to miejsce wówczas, gdy naruszenie danych niesie za sobą niskie ryzyko naruszenia praw lub wolności osób fizycznych.
Tak więc, indywidualna ocena administratora jest kluczem w podjęciu decyzji o wysłaniu takowego zgłoszenia.

Kontrola organu nadzorczego – uważaj na kary

Zdarza się, że placówka z różnych powodów podlega kontroli organu nadzorczego. Jednym z elementów, których adekwatność administrator będzie musiał wykazać w ich trakcie jest poprawna konstrukcja kryteriów oceny skutków naruszeń ochrony danych osobowych. Będzie to bardzo istotny element procedury kontrolnej. W przypadku niewykazania możliwości podjęcia stosownej decyzji o zawiadomieniu organu nadzorczego o możliwości naruszenia bezpieczeństwa danych, administrator sam naraża się na sankcje administracyjne.

statlook – pomagamy w rozpoznaniu zagrożenia

Jakkolwiek cała procedura wygląda na skomplikowaną, można ułatwić ją za pomocą kilku prostych kroków. Pomocnym w tym zakresie jest zainstalowanie systemu takiego, jak statlook RODO – celującego zarówno w monitorowanie przy zachowaniu legalnych i etycznych granic, jak i zapewnienie bezpieczeństwa infrastruktury IT. Pomoże Ci ono również wprowadzić polityki bezpieczeństwa danych osobowych.

Dane osobowe i biometryczne – zmiany nie takie straszne

Dotychczas obowiązującym przepisom brakowało jasnych definicji w wielu materiach. Z tego względu, RODO wprowadziło konkretne zapisy w zakresie danych biometrycznych. Dzięki temu, manipulowanie takimi informacjami stanie się bardziej zrozumiałe dla administratorów danych osobowych.

Jak będziemy rozumieć dane biometryczne?

Ujednolicenie ochrony danych osobowych na terenie całej Unii Europejskiej obejmuje także zrozumienie znaczenia danych biometrycznych. Temat ten jest poruszony w art. 4 pkt 11 GDPR.
Według tego zapisu, danymi biometrycznymi nazywa się wszelkie dane osobowe, które:

Skutek RODO – większa ochrona danych

W przeszłości, wiele organizacji pożytku publicznego wyrażało potrzebę regulacji w gestii danych biometrycznych. Dlatego też zdecydowano się je włączyć do kategorii danych wrażliwych – osiąga się dzięki temu dodatkowy poziom ochrony. Skutkować to będzie zminimalizowaniem ryzyka zagrożenia czyjejś prywatności na terenie wszystkich państw członkowskich.

Czy dane biometryczne będą mogły ulegać przetwarzaniu?

Odpowiedź na to pytanie jest w zasadzie krótka – dane biometryczne generalnie nie będą mogły ulec przetwarzaniu. Należy jednak zaznaczyć, że w szczególnych okolicznościach, np. przy wyraźnej i dobrowolnej zgodzie takiej osoby, dopuszcza się taką możliwość.

Istotną kwestią w ostatnim wypadku jest rozumienie „zgody”. Istotną rzeczą jest dotychczasowy kształt polskich przepisów w tej materii – do tej pory wymagało się bowiem obustronnej pisemnej zgody na przetwarzanie tych danych. Z kolei rozporządzenie europejskiej wprowadza obowiązek uzyskania wyraźnej zgody – z możliwością uzyskania jej drogą elektroniczną. Dane biometryczne a dane wrażliwe – dodatkowe obowiązki Dodatkowe, bardziej restrykcyjne standardy, jakie należy spełnić, aby przetwarzać dane biometryczne jest konsekwencją uznania ich jako dane osobowe.

Obecny stan prawny określa podstawową różnicę głównie bazując na przesłankach, jakimi się kierujemy, aby wykorzystać tego typu informacje. Sprawia to, że otrzymujemy dwa odrębne modele ochrony – narzucony przez prawodawstwo europejskie i krajowe. Prowadzi to do zwiększenia ochrony prywatności i większej kontroli zbiorów danych.

Statlook RODO – chroń dane biometryczne z nami

Pomożemy Ci wdrożyć przepisy RODO tak, abyś wszystkie niezbędne informacje miał zawsze w zasięgu – niezależnie od sytuacji. Automatyzacja ewidencjonowania, klarowność procedur, kompatybilność z innymi modułami i ticketowanie operacji w zależności od wykonawcy – wszystko to sprawi, że obróbka danych będzie mieć zapewnione 100% bezpieczeństwa.

Inspektor Ochrony Danych Osobowych – stare obowiązki, nowa odpowiedzialność

Fakt zdjęcia z przedsiębiorców obowiązku zgłaszania zbiorów do GIODO powoduje, że rośnie zapotrzebowanie na podjęcie obowiązków ciążących na Administratorach Danych Osobowych (ADO). Tę rolę od maja 2018 roku przejmie Inspektor Ochrony Danych Osobowych (IODO).

(więcej…)

Chmury obliczeniowe – jak weryfikować bezpieczeństwo obróbki danych?

Cloud computing stanowi nowe wyzwanie w kontekście zapewnienia bezpieczeństwa obróbki danych – umieszczenie serwerów je obsługujących w państwach trzecich mogłoby się okazać furtką pozwalającą na wyminięcie obowiązków nałożonych przez RODO.

(więcej…)

Powierzenie przetwarzania danych osobowych – nowość w RODO

Ustawa o ochronie danych osobowych z 1997 roku zakładała, że dostęp do danych osobowych użytkownika uzyskiwało się poprzez zawarcie umowy na piśmie – co zakładało również własnoręcznie podpisanie pisma przez obie strony. Nakładało to konieczność posiadania oryginalnego egzemplarza umowy na piśmie.

(więcej…)