Czy jesteś przygotowany na kontrolę w zakresie ochrony danych osobowych?

Od stycznia 2013 roku, na mocy porozumienia z dnia 14 grudnia 2012 roku pomiędzy GIODO a PIP, prawidłowość przetwarzania danych osobowych w firmach, oprócz GIODO, sprawdzać będą także inspektorzy PIP (to ponad 70.000 kontroli rocznie). Takie porozumienie może przyczynić się do znacznego wzrostu liczby kontroli w zakresie ochrony danych osobowych wśród pracodawców.
Większość przedsiębiorców prowadzących jednoosobową działalność lub mikrofirmę, nie zdaje sobie sprawy, że problem ochrony danych osobowych to również ich problem. Tymczasem zasady wynikające z ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U z 2002 r Nr 101, poz. 926 z późn. zm.) dotyczą zarówno instytucji publicznych (takich jak szkoły, urzędy centralne, samorządowe, szpitale, ZUS, itp.), jak i podmiotów sektora prywatnego – nie tylko dużych korporacji i spółek prawa handlowego, lecz także osób fizycznych prowadzących działalność gospodarczą. Za złamanie przepisów dotyczących ochrony danych osobowych firmom grożą kary sięgające nawet kilkuset tysięcy złotych.

Dane jednego klienta to już baza podlegająca ochronie

Posiadasz na swoim komputerze dane swoich klientów, z którymi się kontaktujesz lub wystawiasz faktury? To jest już baza danych podlegającą ochronie. Dane osobowe to nie tylko imię, nazwisko lub PESEL – ustawowa definicja danych osobowych jest na tyle szeroka, że w świetle decyzji wydawanych przez GIODO oraz orzeczeń sądów administracyjnych dane osobowe stanowią także adresy e-mail, a nawet numery telefonów.
– Prawo zobowiązuje do zgłoszenia zbioru danych Generalnemu Inspektorowi Ochrony Danych Osobowych (GIODO), a przede wszystkim do zabezpieczenia zbioru przed dostępem osób nieupoważnionych nawet wtedy, gdy w bazie przedsiębiorcy znajduje się tylko jeden klient –  wyjaśnia Mariusz Sarnecki, administrator bezpieczeństwa informacji w Tax Care. – Jeśli jest to osoba fizyczna, nieprowadząca działalności gospodarczej, ochronie podlegają wszystkie informacje, jakie znajdują się w bazie, np. imię i nazwisko, adres czy numer PESEL. Jeśli natomiast klientem jest przedsiębiorca, z ochrony wykluczone są tzw. dane jawne, znajdujące się w ewidencji działalności gospodarczej. Wystarczy jednak, że oprócz danych jawnych innego przedsiębiorcy mamy zapisany jego prywatny numer telefonu, adres miejsca zamieszkania, gdy jest inny niż adres prowadzonej działalności gospodarczej, adres e-mail lub PESEL. W takiej sytuacji powinniśmy stosować się już do ustawy o ochronie danych osobowych – dodaje Sarnecki.
Każdy, kto dysponuje danymi osobowymi, ma obowiązek ich ochrony poprzez zastosowanie odpowiednich zabezpieczeń i wprowadzenie związanych z tym procedur, przede wszystkim zabezpieczenie zbiorów przed utratą oraz dostępem do nich osób nieupoważnionych. Przedsiębiorca, którego baza danych znajduje się w komputerach podłączonych do sieci publicznej, winien zastosować najwyższy stopień bezpieczeństwa przetwarzanych danych osobowych. Ponadto spoczywa na nim obowiązek zgłoszenia zbioru zawierającego te dane do rejestracji przez Generalnego Inspektora Ochrony Danych Osobowych (GIODO).

Administrator bezpieczeństwa konieczny w każdej firmie?

Firmy zobowiązane są między innymi do prowadzenia dokumentacji (w skład której wchodzi wymagana przepisami ustawy o ochronie danych osobowych polityka bezpieczeństwa i instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych) oraz do prowadzenia ewidencji osób upoważnionych do przetwarzania danych. Poza tym, powinny przeprowadzać szkolenia osób w zakresie ochrony danych osobowych, odpowiednio zabezpieczyć pomieszczenia i szafy, w których znajdują się dane oraz zastosować ochronę dostępu do danych przetwarzanych w systemach informatycznych, które połączone są z siecią publiczną. W każdej firmie powinien zostać powołany administrator bezpieczeństwa informacji, czyli osoba odpowiedzialna za przestrzeganie wszystkich zasad przetwarzania danych osobowych. GIODO może dokonywać kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych, podczas którego sprawdza, m.in., czy są spełnione wskazane powyżej wymogi. Za naruszenie ustawy o ochronie danych osobowych grozi zarówno odpowiedzialność karna, jak i finansowa. Ponosi ją osoba zarządzająca firmą – prezes lub jej właściciel. Wyjątkiem są art. 51 i 54a ustawy o ochronie danych osobowych, za których naruszenie może ponosić odpowiedzialność także pracownik przedsiębiorstwa.

Co grozi za nieprawidłowe przetwarzanie danych osobowych?

Należy zauważyć, że niezastosowanie się do przepisów ustawy w wielu przypadkach może oznaczać popełnienie przestępstwa zagrożonego karą nawet do 2 lat pozbawienia wolności (art. 49 ust. 1 ustawy o ochronie danych). Odrębną kwestią pozostaje groźba wymierzenia grzywien przymuszających w wysokości do nawet 50.000 zł (w trybie przepisów ustawy o postępowaniu egzekucyjnym w administracji) za niezastosowanie się do decyzji administracyjnej GIODO.
Wykrycie przez wyżej wymienione organy nieprawidłowości w zakresie przetwarzania danych osobowych, może skutkować nie tylko wydaniem decyzji nakazującej zaprzestanie przetwarzania danych osobowych – co w praktyce oznaczać może nie tylko brak możliwości prowadzenia dotychczasowej działalności przez firmę, ale także koniecznością skierowania przez inspektorów GIODO zawiadomienia o popełnianiu przestępstwa polegającego na np. przetwarzaniu danych osobowych przez osobę nieuprawnioną, lub poza trybem przewidzianym w ustawie, co jest zagrożone karą pozbawienia wolności do lat 2 (art. 49 ust. 1 ustawy o ochronie danych osobowych).
Brzmi bardzo groźnie, dlatego warto, aby każdy podmiot przetwarzający dane osobowe prowadził dokumentację zgodną z rozporządzeniem regulującym sposób jej prowadzenia.
Szukaj więcej informacji na www.giodo.gov.pl
Żródło: Giodo, Tax Care, Infor.pl