W wydarzeniu, zorganizowanym przez Generalnego Inspektora Ochrony Danych Osobowych (GIODO) we współpracy z Wydziałem Prawa i Administracji Uniwersytetu Warszawskiego, w ramach obchodów jubileuszowego, X Dnia Ochrony Danych Osobowych, uczestniczyło blisko 400 osób.

Wprowadzając zebranych w temat konferencji prof. Jerzy Stefanowski z Instytutu Informatyki Politechniki Poznańskiej zapytał uczestników, czy wiedzą, co dzieje się w ciągu jednej minuty w cyfrowym świecie?

Statystyki pokazują, że w tym czasie na świecie m.in.:

• wysyłanych jest 204 miliony e-mail’i;
• wyszukiwarce Google zadawane są 2 miliony zapytań;
• do portalu Facebook loguje się 277 tysięcy użytkowników;
• portal Amazon dokonuje sprzedaży wartej 83 tysiące dolarów;
• pobieranych jest 47 tysięcy aplikacji;
• pojawia się 1300 nowych użytkowników sieci;
• zakładanych jest 320 nowych kont na Twitterze oraz 100 nowych kont na LinkedIn.

Przedstawione dane są porażające nie tylko dla kogoś, dla kogo Big Data to nauka obsługi smartfona skonfigurowanego z laptopem.

Następnie analizie poddane zostały Giga Dane (polski odpowiednik sformułowania „Big Data”) w sektorze publicznym oraz prywatnym, a w trakcie ostatniej części konferencji przedstawione zostały nowe regulacje prawne dotyczące tego zagadnienia.

Big Data jest zjawiskiem dziejącym się w naszej teraźniejszości, a w związku z tym nie do końca rozpoznanym, zanalizowanym, zdefiniowanym, określonym. Giga Dane niosą ze sobą zarówno pozytywne, jak i negatywne skutki.

Do pozytywnego oddziaływania zaliczyć należy np.: wykorzystanie zanonimizowanych i zagregowanych danych o lokalizacji użytkowników sieci komórkowej lub użytkowników systemu nawigacji GPS do tworzenia inteligentnych systemów sterowania ruchem w mieście, poszukiwania najodpowiedniejszych lokalizacji dla szkół, szpitali, centrów logistycznych, stacji benzynowych, zaplecza gastronomicznego czy prowadzenia różnego typu działalności usługowej.

Z drugiej jednak strony mamy do czynienia z profilowaniem, które powoli zastępuje znane z marketingu targetowanie, mającym na celu spersonalizowanie oferty przedstawianej konkretnemu potencjalnemu konsumentowi.

Nie możemy jednak zapominać, iż jedną z form profilowania jest profilowanie predykcyjne, którego niezamierzoną na początku, a negatywną w swej istocie, konsekwencją może być doprowadzenie do społecznej dyskryminacji, segregacji i stygmatyzacji jednostki takiemu profilowaniu poddanej.

Niezależnie od tego, czy chcemy tego czy nie, nie uda nam się zatrzymać ani spowolnić tempa postępu technologicznego, informatycznego, cyfrowego. Jedyne, co nam pozostaje to czerpać z dobrodziejstw, które ten postęp ze sobą przynosi mając świadomość tego, że wiąże się to z mniejszą bądź większą ingerencją w naszą prywatność i że w dużej mierze to od nas samych zależy stopień tej ingerencji.

The post X Dzień Ochrony Danych Osobowych Rady Europy appeared first on Forsafe.

Ogrom prac i wysokie koszty związane z przystosowaniem placówek służby zdrowia do prowadzenia dokumentacji wyłącznie w formie elektronicznej, zróżnicowany stopień informatyzacji oraz brak wdrożonego specjalistycznego systemu teleinformatycznego tychże podmiotów, były między innymi powodem podjęcia prac legislacyjnych, mających na celu wydłużenie okresu przejściowego funkcjonowania tradycyjnej – papierowej i elektronicznej postaci dokumentacji medycznej o 3 lata. W związku z powyższym, termin wejścia w życie obowiązku prowadzenia dokumentacji medycznej wyłącznie w formie elektronicznej został przesunięty z 1 sierpnia 2014 r. na 1 sierpnia 2017 r.

Elektroniczna dokumentacja medyczna ma zawierać ogół dokumentów, jakie są generowane podczas udzielania świadczeń w zakresie opieki zdrowotnej, tzn. historia choroby, skierowania, wyniki badań, karty wypisu, recepty itp. Z uwagi na fakt, iż dokumentacja pacjentów zawiera dane wrażliwe dotyczące m.in. stanu zdrowia, musi być w szczególny sposób chroniona przed dostępem osób nieupoważnionych. Szczególnemu naciskowi na utrzymanie wysokiego poziomu bezpieczeństwa dokumentacji medycznej został poświęcony rozdział 8 Rozporządzenia Ministerstwa Zdrowia z dnia 21.12.2010 r. Prowadzenie dokumentacji medycznej w wersji elektronicznej jest możliwe pod warunkiem prowadzenia jej w systemie teleinformatycznym, bezwzględnie zapewniającym:

• zabezpieczenie dokumentacji przed uszkodzeniem lub utratą,
• zachowanie integralności i wiarygodności dokumentacji,
• stały dostęp do dokumentacji dla osób uprawnionych oraz zabezpieczenie zbioru informacji przed dostępem osób nieuprawnionych,
• identyfikacje osoby udzielającej świadczeń zdrowotnych i rejestrowanych przez nią zmian,
• udostępnienie dokumentacji w formacie XML i PDF,
• eksport całości danych w formacie XML, w sposób zapewniający możliwość jej odtworzenia w innym systemie teleinformatycznym,
• wydrukowanie dokumentacji w formach określonych w Rozporządzeniu.

Przepisy Rozporządzenia określają ponadto warunki, jakie należy spełnić, aby dokumentacja medyczna nosiła miano „zabezpieczonej”:

• jest ona dostępna wyłącznie dla osób uprawnionych,
• jest chroniona przed przypadkowym lub nieuprawnionym zniszczeniem,
• wprowadzono metody i środki ochrony dokumentacji, których skuteczność w czasie ich zastosowania jest powszechnie uznawana.

Wszystko to ma służyć: z jednej strony – ochronie, zarówno dokumentacji medycznej, jak i danych osobowych Pacjentów, a więc każdego z nas, a z drugiej – umożliwić swobodny dostęp do dokumentacji osób do tego uprawnionych.

Zastąpienie tradycyjnej formy prowadzenia dokumentacji medycznej wersją elektroniczną niesie ze sobą szereg korzyści. Przede wszystkim ułatwia dostęp do informacji o stanie zdrowia pacjenta, historii choroby w ramach jednego podmiotu medycznego w różnych filiach lub lokalizacjach, co może przyczynić się do wzrostu jakości świadczonych usług. E-dokumentacja pozwala oszczędzić czas i zminimalizować koszty związane z kopiowaniem dokumentów w celu ich udostępniania na zewnątrz. Spadną również koszty archiwizacji „ery papieru”, a więc korzyści finansowe. Z kolei wadą elektronicznej dokumentacji medycznej może być wydłużenie czasu jej tworzenia związanego z zastąpieniem długopisu, użyciem klawiatury.

E-dokumentacja to przyszłość, do której trzeba się przygotować. Zanim zaczniemy odczuwać korzyści płynące z zinformatyzowania służby zdrowia, trzeba skutecznie wdrożyć elektroniczną dokumentację medyczną. Placówki medyczne już dzisiaj muszą podjąć odpowiednie działania, aby solidnie przygotować, zarówno sam podmiot, jak i personel do nadchodzących zmian. Wiele z nich będzie zapewne korzystało z podmiotów zewnętrznych oferujących wsparcie w procesie wdrażania dokumentacji elektronicznej. Jest to również wyzwanie dla dostawców oferujących nowoczesne rozwiązania teleinformatyczne, aby dopasować je do charakteru prowadzonej działalności i struktury jednostki medycznej, przy jednoczesnym zachowaniu bezwzględnie obowiązujących przepisów prawa.

The post Dokumentacja medyczna od 1 sierpnia 2017 r. – wprowadzenie appeared first on Forsafe.

Definicja powierzenia

Powierzenie przetwarzania danych osobowych jest zleceniem wykonania czynności przetwarzania danych osobowych przez podmiot zewnętrzny (procesor) na rzecz Administratora Danych na podstawie stosownego zapisu w umowie zapewniającego warunki bezpieczeństwa danych osobowych zgodnie z zapisami Ustawy o ochronie danych osobowych i Rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych lub na podstawie odrębnej pisemnej umowy powierzenia przetwarzania danych osobowych zawartej zgodnie z art. 31 Ustawy o ochronie danych osobowych.

Zasady powierzenia przetwarzania danych osobowych

1. Ustawa o ochronie danych osobowych na postawie art. 31 ust. 1 Ustawy zezwala Administratorowi Danych na powierzenie przetwarzania danych innemu podmiotowi na podstawie zawartej na piśmie umowy.
2. Zapisy dotyczące powierzenia przetwarzania danych osobowych można zawrzeć w umowie głównej bądź w formie aneksu do umowy głównej lub w postaci odrębnej umowy powierzenia.
3. Umowa powierzenia przetwarzania danych osobowych powinna zawierać zakres (katalog operacji wykonywanych na danych osobowych) i cel (przeznaczenie danych) przetwarzania danych osobowych.
4. Procesor nie jest Administratorem Danych informacji, które mu powierzono. On przetwarza je w imieniu i za zgodą zleceniodawcy. W związku z powyższym może przetwarzać powierzone dane osobowe w zakresie i celu przewidzianym w umowie (art. 31 ust. 2).
5. Procesor nie może angażować w proces przetwarzania powierzonych danych osobowych swoich podwykonawców chyba, że zostali oni uwzględnieni w umowie powierzenia przetwarzania danych osobowych lub została podpisana zgoda przez Administratora Danych na uwzględnienie podwykonawców w realizację zleconych zadań.
6. Procesor ponosi odpowiedzialność za przetwarzanie danych osobowych niezgodnie z umową.

Obowiązki Administratora Danych

1. Administrator Danych ponosi odpowiedzialność za powierzone do przetwarzania dane osobowe. W związku z powyższym ma on możliwość przeprowadzenia kontroli u procesora.
2. Administrator Danych powinien prowadzić rejestr umów powierzenia przetwarzania danych osobowych.

Obowiązki procesora

Procesor jest zobowiązany do podjęcia środków zabezpieczających opisanych w art. 36-39c Ustawy o ochronie danych osobowych w stosunku do otrzymanych danych, co oznacza:

• stosowanie środków technicznych i organizacyjnych zapewniających ochronę przetwarzania danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną,
• zabezpieczenie danych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem,
• prowadzenie dokumentacji w postaci Polityki Bezpieczeństwa i Instrukcji Zarządzania Systemem Informatycznym,
• wyznaczenie Administratora Bezpieczeństwa Informacji nadzorującego przestrzeganie zasad ochrony lub samodzielnie wykonywanie tych czynności,
• dopuszczenie do przetwarzania danych jedynie osoby posiadające upoważnienie do przetwarzania danych osobowych,
• prowadzenie ewidencji osób upoważnionych do przetwarzania danych osobowych,
• zapewnienie kontroli nad tym, jakie dane osobowe, kiedy i przez kogo zostały wprowadzone do zbioru danych oraz komu zostały przekazane.

Podsumowanie
Reasumując, z powierzeniem przetwarzania danych osobowych spotykamy się w rozlicznych działaniach związanych z przedmiotem naszej działalności. Aby zabezpieczyć własne interesy i ustrzec się przed negatywnymi skutkami przekazywania danych do nierzetelnych kontrahentów, zachęcam do podpisywania umów powierzenia przetwarzania danych osobowych. Pamiętajmy bowiem, że to Administrator Danych jest odpowiedzialny za zgodne z prawem przetwarzanie danych osobowych.

The post Powierzenie przetwarzania danych osobowych jako jedna z form przekazywania danych osobowych appeared first on Forsafe.

W związku z obowiązującą od 1 stycznia 2015 roku nowelizacją ustawy o ochronie danych osobowych oraz projektami zmian na poziomie prawa unijnego, przed Administratorami Danych Osobowych (ADO) i Administratorami Bezpieczeństwa Informacji (ABI) pojawiło się szereg nowych wyzwań. Niniejsze wydarzenie było więc doskonałą okazją do wymiany poglądów i spostrzeżeń pomiędzy przedstawicielami świata nauki i biznesu, a praktykami na temat aktualnego stanu prawnego, związanego z tematyką ochrony danych osobowych oraz założeniami europejskimi reformy w tym zakresie.

Gościem specjalnym i zarazem osobą otwierającą konferencję była Pani dr Edyta Bielak-Jomaa, Generalny Inspektor Ochrony Danych Osobowych (GIODO). Podkreśliła konieczność zmiany polskich przepisów i dostosowanie ich do rozporządzenia Unii Europejskiej, a także rozpowszechnienia wiedzy o ochronie danych osobowych, zarówno wśród przedsiębiorstw prywatnych, jak i podmiotów publicznych. Oceniła bowiem wiedzę obywateli w tym zakresie, jako niewystarczającą.

Konferencja składała się z trzech głównych paneli tematycznych. Pierwszy, poświęcony był zmianom w przepisach o ochronie danych osobowych – perspektywa ADO. Ta część objęła dwie prelekcje. Magdalena Piech z Konfederacji Lewiatan, swoje wystąpienie poświęciła tematyce: „ Wdrażanie nowego systemu ochrony danych osobowych przez przedsiębiorców – analiza na gruncie najnowszych europejskich i krajowych regulacji prawnych”. Podkreśliła, iż nowelizacja ustawy o ochronie danych osobowych i rozporządzenia do niej budzą wiele wątpliwości wśród przedsiębiorców. Głównymi problemami, z jakimi będą musiały zmierzyć się firmy (według nich samych) to: nowe obowiązki dokumentacyjne, „usztywnienie” sposobu zapewnienia zgodności z przepisami oraz wymuszenie zmian w dotychczasowym zapewnieniu zgodności. Dlatego też istnieje konieczność dialogu między GIODO, a ADO i ABI. Natomiast przedsiębiorcy pozytywnie oceniają zmiany dotyczące transferów danych do państw trzecich. Zwiększyła się świadomość podmiotów przetwarzających dane osobowe, co do konieczności ochrony danych. Jest to ważne z punktu widzenia nowych, surowych kar za nieprzestrzeganie przepisów.

Wdrażanie nowego systemu ochrony danych osobowych przez podmioty publiczne to kolejny temat, jaki został poruszony podczas konferencji. Głos tutaj należał do adw. dr Tomasza Banysia z Uniwersytetu Łódzkiego, który podkreślił, iż proces dostosowywania podmiotów publicznych do znowelizowanych przepisów będzie bardziej rozłożony w czasie, niż w przypadku podmiotów prywatnych, aczkolwiek część zmian jest przez nich lepiej impelentowana. Przykładem tutaj może być fakt, iż ¾ podmiotów zgłaszających ABI, stanowią właśnie podmioty publiczne. Do największych wyzwań, jakie stoją przed sektorem publicznym zaliczył m.in.: obowiązki i wymagania stawiane przed ABI oraz zapewnienie przez administratora danych, środków i organizacyjnej odrębności ABI, niezbędnych do niezależnego wykonywania powierzonych mu zadań.

Moderatorem drugiego panelu tematycznego pt.: „Zmiany w przepisach o ochronie danych osobowych – perspektywa ABI” była dr Joanna Łuczak z Uniwersytetu Łódzkiego. Zwróciła uwagę na fakt, iż ABI w znowelizowanych przepisach ujawnił się w całej krasie. Zyskał jednak nie tylko odrębną swoistość, ale i także nowe obowiązki.

Z kolei Andrzej Lewiński, Zastępca GIODO swoje wystąpienie poświęcił tematyce: ”ABI – jako gwarant procesu przestrzegania przepisów o ochronie danych osobowych”. Uznał, iż celem znowelizowanej ustawy jest przestrzeganie przepisów o ochronie danych osobowych przez ADO oraz jego uświadomienie o celach, jakie stoją przed ABI. Przedstawił nowe obowiązku i pozycję w strukturze organizacyjnej ABI. Zwrócił również uwagę na konieczność zwiększenia współpracy pomiędzy GIODO, a ABI.

Grzegorz Sibiga z Instytutu Nauk Prawnych PAN w Warszawie, przedstawił przyczyny zmian przepisów dotyczących Administratorów Bezpieczeństwa Informacji. W ramach przyczyny deregulacyjnej, zwrócił uwagę na dyrektywę 95/46/WE oraz nieobowiązkowość powołania ABI. Ważnym elementem jest także profesjonalizacja ABI i ujednolicenie wykonywania tejże funkcji w skali kraju, czego dotychczasowe przepisy nie gwarantowały. Nowelizacja jest więc odpowiedzią na niejednolitość, określa bowiem konkretne zadania ABI. W kontekście prawa UE podkreślił, iż nowe przepisy mają nam ułatwić zrozumieć i przygotować się na unijne rozporządzenie w sprawie ochrony danych osobowych, mające wejść w życie za kilka lat, które mają wprowadzić funkcję Inspektora ochrony danych osobowych. Generalnie, Administrator Bezpieczeństwa Informacji ma stać na straży zapewnienia przestrzegania przepisów o ochronie danych osobowych oraz podniesienia standardu ochrony danych osobowych w każdej organizacji.

„Mieć, czy nie mieć ABI? Korzyści i obawy związane z powołaniem ABI” to obszar, nad którym pochylił się Maciej Byczkowski ze Stowarzyszenia Administratorów Bezpieczeństwa Informacji. Jego zdaniem nowelizacja ustawy, porządkuje podejście do ochrony danych osobowych. Nadzorowanie, opracowanie i aktualizacja dokumentacji, czy zapoznanie osób upoważnionych do przetwarzania danych osobowych z przepisami o ochronie danych osobowych, a także sprawdzanie zgodności przetwarzanych danych z przepisami o ochronie danych osobowych, to nie nowe przepisy, tylko uporządkowane zadania ABI. Istotnym elementem ustawy jest także zmiana obowiązku zabezpieczenia danych osobowych. Administrator Danych ma wolny wybór, sam decyduje, czy powoływać ABI, czy sam będzie wykonywał te zadania. W przypadku powołania, musi mieć świadomość, iż funkcji tej nie może pełnić przypadkowa osoba.

Maciej Kawecki z Uniwersytetu Jagiellońskiego w swoim wystąpieniu nt.: „Nowe wymogi związane z pełnieniem funkcji ABI, a pozycja prawna kancelarii prawnych i zasady etyki zawodu radcy prawnego i adwokata – czy można łączyć te role”, zwrócił uwagę, iż najczęściej z usług prawnych, związanych z ochroną danych osobowych korzystają podmioty publiczne. Ze względu na bezpośrednią podległość ABI (organizacyjną i formalną) kierownikowi jednostki organizacyjnej, trudno jest łączyć tą funkcję z funkcją radcy prawnego, czy adwokata. Budzi kontrowersje, nie tylko w środowisku radców prawnych, czy adwokatów, ale także wśród ADO pytanie, czy łączenie powyższych zadań jest zgodne z Kodeksem Etyki Zawodowej Radcy Prawnego, czy też ustawą z dnia 26.05.1982 roku Prawo o Adwokaturze. Trudno jest bowiem połączyć bezpośrednią podległość i niezależność ABI.

Trzecia sesja to omówienie tematu związanego z transgranicznym przepływem danych. Wśród prelegentów gościliśmy Pawła Litwińskiego z Instytutu Allerhanda w Krakowie, który wygłosił referat pt.: „Propozycje regulacji transgranicznego przepływu danych osobowych w rozporządzeniu ogólnym„. Omówił nowe zasady przekazywania danych osobowych, zaproponowane przez Komisję Europejską, poza Europejski Obszar Gospodarczy. Zaznaczył, iż nowe europejskie przepisy z zakresu danych osobowych, w znacznym stopniu uporządkują przepisy już istniejące, związane z transgranicznym przepływem danych. Przybliżył również tematykę przekazywania danych osobowych do USA na podstawie porozumienia Safe Harbour („Bezpieczna Przystań”).

Adwokat, Xawery Konarski z Kancelarii Traple, Konarski, Podrecki i Wspólnicy Sp. J., poruszył praktyczne problemy związane z przekazywaniem danych do państw trzecich. Przybliżył temat podstaw prawnych transferu, a także zastosowanie tzw. wiążących reguł korporacyjnych (BCR), jako jeden ze sposobów umożliwiających bezpieczny transfer danych poza EOG.

M. Kaczorowski, Radca Prawny Google Poland Sp. z o.o., swoje wystąpienie poświęcił transgranicznemu przepływowi danych z punktu widzenia administratora danych osobowych. Poruszył temat przekazywania danych w ramach Grup Kapitałowych w obszarze powierzenia oraz udostępniania danych do państw trzecich.

Konferencja cieszyła się ogromnym zainteresowaniem, o czym mogła świadczyć liczna grupa uczestników z różnych podmiotów i gałęzi gospodarczych. W głównej mierze była ona poświęcona wyzwaniom, jakie stoją przed przedmiotami przetwarzającymi dane osobowe. Zostały omówione szanse i zagrożenia dla podmiotów objętych reformą ochrony danych osobowych, a także mity, z jakimi przedsiębiorcy spotykają się na co dzień. Został również przybliżony temat transferu danych do państwa trzeciego i związane z nim wprowadzone do polskiej ustawy, wiążące reguły korporacyjne oraz zatwierdzone prze Komisję Europejską standardowe klauzule umowne. Konferencja dała także Uczestnikom możliwość dyskusji i wymiany poglądów podczas dwóch paneli dyskusyjnych.

The post Relacja z Ogólnopolskiej Konferencji Naukowej „Reforma ochrony danych osobowych – nowe szanse i wyzwania” appeared first on Forsafe.

1. nowej roli administratora bezpieczeństwa informacji, któremu powierzony zostanie większy zakres obowiązków,
2. realizacji obowiązku sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych,
3. przeniesienia części obowiązków, realizowanych do tej pory przez Generalnego Inspektora Ochrony Danych Osobowych, na administratorów danych osobowych i w konsekwencji, na powołanych przez nich administratorów bezpieczeństwa informacji,
4. wprowadzenia uproszczeń w zakresie rejestracji zbiorów danych.

Zapraszam do zapoznania się ze wszystkimi zmianami, które zostały opisane w poniżej dołączonym dokumencie uwzględniającym porównanie dwóch możliwych rozwiązań. Warto pamiętać, że administratorów danych obowiązuje okres przejściowy zrealizowania obowiązków wynikających ze znowelizowanej ustawy, który wynosi 6 miesięcy, tj. do 30 czerwca 2015 r.

Wykaz zmian w Ustawie o ochronie danych osobowych

The post Nowelizacja ustawy o ochronie danych osobowych – podsumowanie zmian appeared first on Forsafe.