Dnia 15 marca Prezes UODO nałożył karę pieniężną w wysokości blisko miliona złotych na firmę zbierającą dane o przedsiębiorcach z powszechnie dostępnych źródeł (CEIDG, KRS etc.) – organ nadzorczy uznał, że spółka powinna poinformować osoby, których dane przetwarza w formie listów wysłanych pocztą tradycyjną (w tych przypadkach, w których nie dysponuje ona adresami mailowymi lub numerami telefonów).

Spółka z pewnością będzie się jeszcze odwoływać do sądu administracyjnego – a do czasu prawomocnego rozpatrzenia sprawy przez sąd konieczność zapłaty kary będzie wstrzymana.

Warto jednak pamiętać, że kary pieniężne związane ze stosowaniem RODO mogą myć nałożone także za inne, znacznie bardziej prozaiczne naruszenia np. z powodu kamer monitoringu które zostały skierowane tak, by obejmowały swoim zakresem zbyt szeroki obszar, lub braku oznaczenia obszaru monitorowanego.

Naruszeniem przepisów może być też np. pozyskiwanie zbyt dużego zakresu informacji o pracownikach, błędne wskazanie podstaw prawnych, nieodpowiednie posługiwanie się zgodą w ramach procesu rekrutacji pracowników, przechowywanie danych przez zbyt długi okres lub brak wyznaczonych okresów retencji danych.

Warto także sprawdzić treść zawartych umów powierzenia przetwarzania, sposób udokumentowania oszacowania ryzyka oraz sposób sformułowania upoważnień do przetwarzania.

To wszystko to jedynie przykłady – RODO wpływa bardzo często całość codziennych czynności, codzienną praktykę działania całego przedsiębiorstwa – taki całościowy przegląd zgodności z RODO powinien być przeprowadzony przynajmniej na początku procedury dostosowania się do nowych przepisów. Czytaj dalej Kara wynikająca z RODO może zostać nałożona także za nieodpowiednio skierowane kamery monitoringu

To nie koniec zmian w przepisach w związku z RODO.  Coraz bliżej do przyjęcia przez Sejm pakietu legislacyjnego zmieniającego 167 ustaw.

Przedsiębiorcy powinni pamiętać, że już niedługo zostanie przyjęty tzw. pakiet legislacyjny związany z dostosowaniem polskiego prawa do RODO.

Zmienionych zostanie aż 167 ustaw, w tym kodeks pracy, kodeks postępowania administracyjnego, oraz  kodeks karny.

W maju 2018 roku, poprzednia ustawa o ochronie danych osobowych z 1997 roku została zastąpiona przez nową ustawę o ochronie danych osobowych i RODO – ale to nie koniec zmian, odrębną ustawą zostanie zmienione 167 ustaw – tak, by wszystkie krajowe przepisy były spójne z RODO.

By firmy były na czas przygotowane do zmian w prawie – warto już dziś sprawdzić, czy przepisy, nad którymi pracuje Sejm będą wpływały na codzienną działalność konkretnego przedsiębiorstwa. Najlepszym narzędziem do uzyskania pewności w tym zakresie jest przeprowadzenie audytu, którego efektem będzie ustalenie, co firma będzie musiała zmienić, by nie narażać się na ryzyko poniesienia odpowiedzialności finansowej.

http://www.sejm.gov.pl/sejm8.nsf/PrzebiegProc.xsp?nr=3050

Krajowe urzędy kontrolujące ochronę danych osobowych nie próżnują. Niedawno w trzech krajach zapadły nowe decyzje w sprawie naruszeń RODO. Padły już kolejne kary.

Kara ze względu na monitoring – Węgry

Coraz więcej spraw przed krajowymi urzędami ochrony danych osobowych rozstrzyga się przez łamanie procedur RODO w związku z nieprawidłowym monitoringiem. Na Węgrzech nałożono na firmę karę wynosząca ponad 3000 euro (która stanowi 6,5% jej rocznych przychodów ze sprzedaży netto), ponieważ odmówiła ona dostępu do nagrań osobie, która została na nich zarejestrowana. NAIH (odpowiednik UODO) stwierdził, że przedsiębiorstwo dopuściło się naruszenia, gdyż ADO (Administrator Danych Osobowych) nie mógł żądać od tej osoby uzasadnienia wglądu w nagranie, ponieważ chodziło o jej własne dane. Ponadto podmiot żądał udostępnienia nagrania do celów sądowych i zdaniem NAIH przedsiębiorstwo nie miało mocy, by określać, czy nagrania były do tego zbędne czy nie. Czytaj dalej Kolejne kary RODO – czas na Polskę?

Podczas gdy od dnia 1 stycznia 2019 roku pracodawcy muszą stosować się do nowych zasad postępowania z dokumentacją pracowniczą (zastąpiono rozporządzenie z 1996 roku, które do tej pory regulowało kwestię dokumentacji pracowniczej) – Ministerstwo Cyfryzacji wydało oficjalne objaśnienia prawne dotyczące postępowania z CV pozyskiwanymi w ramach rekrutacji kandydatów do pracy (https://mc.bip.gov.pl/objasnienia-prawne/objasnienia-prawne.html).

Największą różnicą w porównaniu do wytycznych wydanych przez Prezesa UODO z października 2018 roku jest uznanie za dopuszczalne przechowywanie CV kandydatów, którzy nie zostali wybrani przez okres po zakończeniu rekrutacji bez ich zgody, w celu ochrony przez ewentualnymi roszczeniami – np. zarzutami o dyskryminację przy rekrutacji. Ministerstwo Cyfryzacji rekomenduje tu „racjonalny kilkumiesięczny okres retencji”.

Choć objaśnienia prawne Ministerstwa Cyfryzacji mają walor oficjalnego dokumentu poprzez oparcie się
tzw. „Konstytucji dla biznesu”, czyli w trybie art. 33 ust. 1 ustawy Prawo przedsiębiorców, w odpowiedzi na wniosek Rzecznika Małych i średnich Przedsiebiorców to ich moc wiążącą kwestionuje Prezes UODO.

W oświadczeniu zamieszczonym na oficjalnej stronie UODO (https://uodo.gov.pl/pl/138/672), Prezes organu nadzorczego stanowczo wskazuje: „(…)w świetle prawa UE Prezes UODO nie jest związany ‎jakimikolwiek formalnymi objaśnieniami prawnymi dotyczącymi stosowania RODO. Dlatego apelujemy o niepodejmowanie działań, które mogą narazić polskich przedsiębiorców na negatywne konsekwencje i w dłuższej perspektywie utrudnić im działalność, a w konsekwencji rodzić pytanie o możliwą odpowiedzialność Skarbu Państwa ‎ za takie szkody.”

Powyższy konflikt pomiędzy Ministerstwem a UODO dodatkowo komplikuje fakt, że w kwietniu bieżącego roku kończy się kadencja obecnej Prezes UODO, a nowy prezes zostanie wybrany na czteroletnią kadencję przez obecną większość parlamentarną.

Posiadasz firmę z sektora FinTech? Zapoznaj się z tym materiałem. Ministerstwo Cyfryzacji podaje wytyczne w sprawie przesyłania informacji handlowych na podstawie ustawy o świadczeniu usług drogą elektroniczną (UŚUDE).

Unijne Rozporządzenie (RODO) obowiązujące od 25 maja br. przewiduje, że administrator może przetwarzać dane osobowe celem wysłania drogą elektroniczną informacji handlowych, bez zgody osoby, której one dotyczą. Możliwe jest to na podstawie tzw. uzasadnionych interesów. Jednak z ustawy o świadczeniu usług drogą elektroniczną (UŚUDE) wynika, że zgoda taka jest wymagana. Jak w tym przypadku należy rozumieć przepisy? Czytaj dalej Można wysyłać informację handlowe zgodnie z RODO – ale w zgodzie z UŚUDE