RODO aktualności – 11.2018

• Projekt nowelizacji Ordynacji podatkowej zakłada, że głos każdego dzwoniącego po poradę na infolinię Krajowej Administracji Skarbowej zostanie zapisany w bazie.
• UODO twierdzi, że propozycja jest niezgoda z RODO – głos jest daną biometryczną, które mogą być przetwarzane w związku z ważnym interesem publicznym i być proporcjonalne do celu przetwarzania.
• Zdaniem UODO (w opinii przekazanej do ministerstwa finansów) w tym przypadku nie spełniony jest ani wymóg proporcjonalności, ani adekwatności.

Źródło: http://podatki.gazetaprawna.pl/artykuly/1333894,ordynacja-podatkowa-glos-na-infolini-kis-zapisany.html

• Wiceprezes UODO stwierdził, iż przedsiębiorcy powinni sami wypracować standardy, które UODO zatwierdzi, a nie oczekiwać na objaśnienia wydawane przez inne organy.
• Mirosław Sanek dodał, że wydawanie interpretacji czy objaśnień stosowania RODO przez inne organy niż EROD, krajowe organy nadzorcze i sądy, byłoby niezgodne z RODO i jest to nieporozumienie.

Źródło: https://www.prawo.pl/biznes/standardy-stosowania-rodo-firmy-wypracuja-same-opinia,322968.html

• Brytyjski odpowiednik UODO – ICO nałożył 120 tys. funtów kary na lotnisko Heathrow w Londynie oraz 500 tys. funtów na Facebooka (za aferę Cambridge Analityca)
• Ciekawostką jest to, że kary zostały nałożone nie na podstawie RODO, lecz poprzednio obowiązującej w UK ustawy z 1998 r., w której maksymalną karą było 500 tys. funtów

Źródła: https://www.rp.pl/Dane-osobowe/310279998-Facebook-ukarany-za-afere-Cambridge-Analytica.html

            https://www.rp.pl/Firma/310259922-Kara-dla-lotniska-Heathrow-za-naruszenie-ochrony-danych-osobowych.html

• UODO zwrócił się o wyjaśnienia do operatora CH Posnania w Poznaniu w sprawie wyjaśnienia kwestii przetwarzania wizerunku klientów galerii.
• Kamery nagrywały przychodzących z parkingu klientów, dodawały nad ich głowami komiksowy dymek z opinią na temat galerii handlowej i tak przetworzony wizerunek pokazywały innym odwiedzającym na wielkich ekranach.

Źródło: https://epoznan.pl/komunikacja-news-89919-CH_Posnania_przetwarzala_wizerunki_klientow_Urzad_Ochrony_Danych_Osobowych_poprosil_o_wyjasnienia  

• Projekt ustawy dostosowującej ponad 170 aktów prawnych do wymogów RODO zostały przyjęty przez Radę Ministrów. zakłada m. in. zmianę Kodeksu karnego.
• Zmieni się m. in. Kodeks karny, a straszenie przedsiębiorców zawiadomieniem o naruszeniu przez nich przepisów, jeśli nie zapłacą określonej sumy lub czegoś nie kupią, będzie przestępstwem.

Źródła: https://www.prawo.pl/prawo/rodo-170-ustaw-do-zmiany-dla-wdrozenia-unijnej-regulacji,324807.html

            https://www.gov.pl/web/cyfryzacja/polska-w-czolowce-panstw-w-pelni-wdrazajacych-zapisy-rodo

• We wrześniu doszło do incydentu w Grupie Radisson Hotel – wyciek dotyczył programu lojalnościowego Radisson Rewards.
• Uczestnicy programu zostali poinformowani o wycieku w dniach 30-31 października.
• Grupa Radisson nie podała jednak do publicznej wiadomości, ilu dokładnie uczestników programów mogło ucierpieć na skutek wycieku.

Źródło: https://www.compliancejunction.com/radisson-hotel-group-data-leak-may-lead-to-gdpr-fines/    

• Rzecznik zwrócił uwagę na 3 aspekty (260 sygnałów) związanych z RODO w służbie zdrowia: wywoływanie pacjentów, ochrona danych w trakcie rejestracji oraz udzielanie informacji przez telefon.
• Rzecznik inaczej niż UODO interpretuje art. 15 ust. 3 RODO w zakresie braku odpłatności za udostępnienie danych osobie, której dane dotyczą w kontekście kopii dokumentacji medycznej.

Źródło: http://serwisy.gazetaprawna.pl/zdrowie/artykuly/1333895,rzecznik-praw-pacjenta-o-rodo-w-sluzbie-zdrowia.html

• W jednym z austriackich więzień o zaostrzonym rygorze, szczególnie niebezpieczni więźniowie identyfikowani są przy pomocy tabliczek na drzwiach cel (zawierają nazwisko, długość wyroku i ID więźnia).
• Na skutek RODO tabliczki mają zostać poddane „Polityce prywatności” tj. prawdopodobnie niektóre z danych lub wszystkie zostaną usunięte.

Źródło: https://www.krone.at/1797512

• Irlandzki rząd jest oskarżany o to, że zasłania się RODO, aby nie ujawnić wysokości emerytur wypłacanych byłym wysokim urzędnikom państwowym.
  Wysokość uposażeń byłych urzędników podawana była w Irlandii przez dziesięciolecia, jako informacja publiczna.

Źródło: https://www.irishexaminer.com/breakingnews/ireland/state-cites-gdpr-for-refusal-to-reveal-td-pensions-883404.html

• CNIL (francuski organ ochrony danych osobowych) opublikował 6 listopada wykaz operacji przetwarzania danych, dla których wymagana jest DPIA.
• Uwagę zwraca znacznie mniej obszerny katalog operacji, w stosunku do opublikowanego przez Prezesa UODO. Katalog dotyczy głównie: operacji na danych wrażliwych na dużą skalę (m. in. w medycynie czy sprawach socjalnych) oraz profilowania.

Źródło: https://www.legifrance.gouv.fr/affichTexte.do;jsessionid=77058A364F9482C8F0D6453AD8857EAB.tplgfr41s_2?cidTexte=JORFTEXT000037559521&dateTexte=&oldAction=rechJO&categorieLien=id&idJO=JORFCONT000037558681

• W województwie podlaskim NIK skontrolowała 31 jednostek samorządowych, by sprawdzić w jaki sposób były chronione elektroniczne zasoby informacyjne.
  Wskazano m. in. następujące uchybienia: niekompletność lub nieaktualność procedur (niektóre miały 10 lat i więcej), brak przestrzegania procedur, brak monitorowania dostępu do informacji, umożliwienie nieautoryzowanego dostępu do danych, przeszkolenie pracowników z zakresu RODO w jedynie 6 (!) jednostkach.

Źródło: https://www.nik.gov.pl/aktualnosci/bezpieczenstwo-informacji-woj-podlaskie.html

• Na stronie internetowej UODO zostało zamieszczone kolejne ostrzeżenie przed próbami oszustwa.
• Przedsiębiorcy otrzymują maile, w których oszuści (czasem podszywający się nawet pod kontrolerów UODO) stwierdzają, że wykryte zostały u nich nieprawidłowości związane z RODO i należy wobec tego dokonać wpłaty na wskazany nr konta.
• UODO radzi, aby wszelkie tego typu przypadki zgłaszać organom ścigania.

Źródło: https://uodo.gov.pl/pl/138/565

• UODO wskazuje, że podmiot, który wyznaczył IOD-a, powinien zadbać o to, by informacja o nim była łatwo dostępna dla osób, których dane dotyczą.
• W szczególności ustawa z 10 maja 2018 r. zobowiązuje (w art. 11), aby podmiot taki zamieścił dane kontaktowe IOD-a na swojej stronie internetowej, jeśli ją posiada.
• Jeśli administrator prowadzi własną stronę internetową, wskazane jest, by dane o wyznaczonym IOD znalazły się w ogólnie dostępnym miejscu strony np. w zakładce: „Kontakt”, „Inspektor ochrony danych”, „RODO” czy „Ochrona danych osobowych”.

Źródło: https://uodo.gov.pl/pl/138/569

• Prezes RM podpisał rozporządzenie określające szczegółowe wymogi dla dokumentacji dotyczącej cyberbezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej (m. in. energetyka, kluczowy transport).
• Rozporządzenie wskazuje dwa główne rodzaje dokumentacji: normatywną i operacyjną, która oparta ma być głównie na standardach norm ISO 27001 oraz 22301.

Źródło: https://www.gov.pl/web/cyfryzacja/wymogi-dla-dokumentacji-bezpieczenstwa

• Adw. Karolina Sawicka przygotowała i opublikowała poradnik „RODO dla fotografa”.
• Poradnik, do którego niektórych odpowiedzi udzielał również dr Paweł Litwiński, odpowiada na pytania dotyczą kwestii: umów TFP, warunków dobrowolności zgody (np. kupowania zgód w zamian za rabat na usługę).
• Dr Litwiński wypowiedział się również na temat przetwarzania danych osobowych na weselach – stosowanie RODO jest wówczas wyłączone na mocy art. 2 ust. 2 lit. c) RODO.

Źródło: http://www.prawyprofil.pl/wp-content/uploads/2018/11/RODO-dla-fotografa.pdf?fbclid=IwAR2GgOwB9-7sI83K7hXRnoOAtCObemwnNg1apus3n5jtrZCwIowZ8ZbtdSg

• Ustawa o ochronie danych osobowych z 10 maja 2018 r. uregulowała m. in. możliwość „innych form monitoringu” niż monitoring wizyjny i monitoring poczty elektronicznej.
• Ustawodawca wskazał przy tym, iż należy „odpowiednio stosować” przepis nakładający obowiązek właściwego oznaczenia miejsca/urządzenia objętego monitoringiem.
• Zdaniem autorów artykułu, w niektórych okolicznościach „odpowiednie stosowania” będzie się równało z brakiem stosowania tego przepisu, ponieważ prowadziłoby to do absurdów takich jak np. naklejki na telefonach służbowych objętych monitorowaniem.

Źródło: https://www.rp.pl/Kadry/311119986-RODO-oznaczenie-monitorowanych-pomieszczen-i-urzadzen-przez-pracodawce.html 

Źródło: https://twitter.com/RodoPrawo/status/1059583332395241472

• Brytyjski organ nadzoru (ICO) złożył skargę na Facebooka do irlandzkiej Komisji Ochrony Danych (DPC).
• ICO w raporcie (113 stron) wskazała, że odkryła na Facebooku „niepokojący brak poszanowania prywatności wyborców” i targetowanie osób fizycznych poprzez mechanizmy Big Data.

Źródło: https://www.compliancejunction.com/facebook-facing-gdpr-investigation-over-audience-targeting-methods/?platform=hootsuite

• Organizacja Privacy International z Wielkiej Brytanii złożyła szereg skarg przeciwko firmom z siedzibą w USA (m. in. Oracle, Acxiom czy Tapad).
• Przedsiębiorstwom zarzuca się gromadzenie (bez wiedzy i zgody użytkowników) dużej ilości ich danych osobowych, a następnie budowaniu w oparciu o nie skomplikowanych profili osób fizycznych.

Źródło: https://www.compliancejunction.com/uk-based-privacy-protection-group-focuses-on-gdpr-breaches-by-us-firms/?platform=hootsuite

• Europejska Rada Ochrony Danych otrzymała od UODO zmodyfikowany wykaz operacji wymagających przeprowadzenia DPIA – modyfikacje nastąpiły na skutek krytycznych uwag EROD z początku października 2018 r.
• Polskiemu wykazowi zarzucono: błędne zastosowanie zamkniętego katalogu operacji, oparcie obowiązku przeprowadzenia DPIA tylko na jednym (z 9) kryteriów wskazanych przez Grupę Roboczą art. 29 (powinny być spełnione dwa), brak wskazania czynności przetwarzania dotyczących monitorowania lokalizacji oraz brak przejrzystości wykazu.

Źródło: https://www.prawo.pl/biznes/ocena-ryzyka-przetwrzania-danych-wykaz-czynnosci-uodo-ma-wady,325350.html

• Z potencjalnym naruszeniem zasady minimalizacji danych oraz ograniczenia celu mamy do czynienia w art. 30 prawa spółdzielczego.
• Zgodnie z tym przepisem, prawo do przeglądania rejestru członków spółdzielni mają nie tylko członkowie, ale także ich małżonkowie oraz wierzyciele.
• Praktyką jest umożliwienie np. wierzycielowi wglądu do pełnego rejestru, wynika ona z literalnej interpretacji przepisu. Wierzyciel ma zatem możliwość wgląd do danych osobowych pozostałych spółdzielców, często jest to kilkaset osób.
• Konieczna może być interpretacja organu nadzoru (PUODO).

Źródło: https://prawo.gazetaprawna.pl/artykuly/1345630,spoldzielnie-naruszaja-rodo-udostepniajac-wierzycielowi-dane-jednego-dluznika-pokazuja-cale-rejestry.html   

• Dwa projekty kodeksów postępowania dla branży medycznej zostały przekazane UODO do zatwierdzenia.
• Proponowaną granicą „dużej skali” wg projektu kodeksu jest liczba 600 unikalnych pacjentów.
• Prezydium Naczelnej Rady Lekarskiej wnioskuje jednak o zwiększenie tego limitu – kodeks wg NRL powinien zawierać stwierdzenie, iż incydentalne, występujące w jednym kwartale i nie wynikające z przyczyn strukturalnych przekroczenie limitu 600 pacjentów nie powoduje od razu uznania przetwarzania za dużą skalę.
• Wniosek o zatwierdzenie oraz projekt kodeksu można znaleźć tutaj.
• W przygotowaniu są kolejne dwa kodeksy dla branży medycznej, które dotyczą: biobankowania oraz działalności uczelni medycznych i szpitali klinicznych.

Źródła: http://www.infodent24.pl/lexdentpost/rodo-i-przetwarzanie-danych-na-duza-skale,110995.html 

            http://www.politykazdrowotna.com/38732,rodo-zdrowotny-kodeks-branzowy-trafil-juz-do-zatwierdzenia-przez-urzad

            https://www.prawo.pl/zdrowie/kodeks-branzowy-dla-ochrony-zdrowia-dwa-projekty-zlozone-do-uodo,329952.html

• Tak, jeżeli dojdzie do tzw. twardego brexitu (wyjścia UK z UE bez porozumienia z Komisją Europejską).
• Częścią porozumienia dot. wyjścia UK z UE jest regulacja, że w okresie 2 lat po brexicie nadal będą obowiązywać dotychczasowe zasady.
• Wstępny projekt porozumienia zakłada, że między 29 marca 2019 r. a 31 grudnia 2020 r. (okres przejściowy) będą obowiązywały reguły dotychczasowe, natomiast UK będzie starać się o to, by Komisja Europejska wydała później (od 1 stycznia 2021 r.) decyzję w sprawie odpowiedniego poziomu ochrony.

Źródła: https://prawo.gazetaprawna.pl/artykuly/1345904,rodo-a-brexit-bedzie-wiecej-obowiazkow.html

           https://www.twobirds.com/en/news/articles/2018/global/data-protection-and-the-draft-brexit-agreement-first-     impressions#__prclt=bgNt5Y85  

• Urząd Komunikacji Elektronicznej nałożył na Orange Polska S.A. karę 9,1 mln zł za wysyłkę niezamawianego spamu SMS (naruszenie art. 172 ust. 1 Prawa telekomunikacyjnego).
• Na decyzję regulatora miało wpływ to, że operator nie był w stanie wykazać (nie zapewnił rozliczalności) zgody na użycie automatycznych systemów wywołujących dla celów marketingu bezpośredniego.

Źródło: https://czasopismo.legeartis.org/2018/11/orange-kara-esemesowy-spam.html     

• Rumuński organ ochrony danych (ANSPDCP) zażądał dostępu do wszystkich systemów informatycznych od dziennikarzy badających sprawę defraudacji środków unijnych.
• Organ nadzoru przytacza RODO jako postawę do ujawnienia wszystkich informacji objętych tajemnicą dziennikarską.
• Dziennikarze uważają, że to kolejna próba zamknięcia im ust przez rumuńskie władze (wcześniej nasyłano na nich kontrolę podatkową).

Źródło: https://www.occrp.org/en/27-ccwatch/cc-watch-briefs/8878-romania-orders-journalists-investigating-corruption-to-give-up-sources

• Przedmiotem ataku była wtyczka WP GDPR Compliance, która umożliwiała m. in. zażądania od administratora kopii danych.
• Hakerzy wykorzystali lukę zabezpieczeń wtyczki na dwa sposoby, co umożliwiło im na instalowanie na serwerach lokalnych złośliwego oprogramowania.
• Wordfence (firma bezpieczeństwa WordPress) naprawiła już lukę.

Źródło: https://nakedsecurity.sophos.com/2018/11/13/wordpress-gdpr-compliance-plugin-hacked/

• Usługi Microsoft, które są wdrażane w ramach holenderskiej administracji publicznej, zostały poddane ocenie skutków dla ochrony danych.
• Wyniki są niepokojące. Według raportu Microsoft gromadzi i przechowuje dane osobowe dotyczące zachowania poszczególnych pracowników na dużą skalę i bez żadnej publicznej dokumentacji.
• Autorzy raportu stawiają również tezę, że Microsoft występuje w roli odrębnego administratora danych (ustala bowiem samodzielnie aż 7 celów przetwarzania danych, na co nie ma wpływu np. pracodawca).

Źródła: https://www.privacycompany.eu/en/impact-assessment-shows-privacy-risks-microsoft-office-proplus-enterprise/

            https://mspoweruser.com/dutch-regulator-rule-microsofts-telemetry-fall-foul-of-gdpr-regulations/

• DPC (irlandzki organ ochrony danych osobowych) opublikował 15 listopada wykaz operacji przetwarzania danych, dla których wymagana jest DPIA.
• Katalog dotyczy głównie: profilowania (w szczególności osób szczególnie chronionych, w tym dzieci), przetwarzania danych biometrycznych, przetwarzania danych genetycznych, pozyskiwania danych osobowych w sposób pośredni, gdy wymogi w zakresie przejrzystości nie są spełnione, istnieje również wiele odwołań do „dużej skali”.

Źródło: https://dataprotection.ie/documents/Data-Protection-Impact-Assessment.pdf

• Autor artykułu, na przykładzie praktycznym, stawia tezę, że aby legalnie przetwarzać wizerunek pracowników np. w folderze reklamowym firmy kierowanym do klientów, należy posiadać dwie zgody: na rozpowszechnianie wizerunku (Prawo autorskie) oraz na przetwarzanie danych osobowych (RODO).
• Zgoda, wg autora, powinna być stosowana dlatego, że Kodeks pracy wśród kategorii danych, które pracodawca może (niedługo: będzie zobowiązany) przetwarzać nie ma wizerunku, a pozostałe kategorie danych można przetwarzać za zgodą pracownika.
• Zaznaczone jest także, że nie można pozbawić pracownika prawa do wycofania zgody.

Źródło: https://serwisy.gazetaprawna.pl/praca-i-kariera/artykuly/1348788,zdjecie-pracownika-w-folderze-reklamowym-obowiazki-pracodawcy.html,komentarze-najnowsze,1 

• Artykuł wskazuje, w jaki sposób można prowadzić rekrutacje ukryte w zgodzie z RODO.
• Po pierwsze, potencjalny pracodawca może skorzystać z agencji zatrudnienia, która spełnia pierwotny obowiązek informacyjny, a następnie pozyskuje zgodę na udostępnienie danych osobowych kandydata do firmy poszukującej pracownika.
• Po drugie, w razie korzystania przez potencjalnych pracodawców z serwisów internetowych jak np. pracuj.pl (które to występują w roli procesorów), autorzy proponują probiznesową interpretację art. 13 ust. 1 RODO, a konkretniej sformułowania „podczas pozyskiwania danych osobowych”.
• Wg autorów, potencjalny pracodawca mógłby spełnić obowiązek informacyjny po otrzymaniu zgłoszenia w formie e-maila zwrotnego. RODO bowiem nie stanowi wprost, że obowiązek informacyjny ma być spełniony wyłącznie w momencie poprzedzającym faktyczne pozyskanie danych.

Źródło: https://serwisy.gazetaprawna.pl/praca-i-kariera/artykuly/1348794,ukryta-rekrutacja-a-rodo.html 

• Europejska Grupa ds. Archiwów przygotowała wytyczne dot. wdrożenia RODO przez służby archiwalne – zarówno publiczne, jak i prywatne.
• Wytyczne (póki co w wersji angielskiej) można pobrać w tym miejscu.

Źródło: https://ec.europa.eu/info/sites/info/files/eag_draft_guidelines_1_11_0.pdf

• CNPD (portugalski organ ochrony danych) opublikował listę operacji przetwarzania danych, które wymagają DPIA.
• Są to głównie operacje, które polegają na: profilowaniu, śledzeniu lokalizacji, przetwarzaniu danych biometrycznych, łączeniu wielu dużych zbiorów danych oraz w których nie jest możliwe zapewnienie prawa do informacji.

Źródło: https://eurocloud.org/news/article/list-of-personal-data-processing-activities-that-must-be-subject-to-a-data-protection-impact-assessm/

• Jeden z badaczy z University College London złożył do Twittera (siedziba w Irlandii dla UE) żądanie dostępu do swoich danych osobowych, a konkretniej informacji o tym, w jaki sposób Twitter go śledzi za pomocą skróconych linków.
• Twitter odmówił spełnienia żądania ze względu na „nieproporcjonalny wysiłek”.
• Naukowiec złożył skargę do DPC (irlandzkiego organu), która aktualnie bada sprawę i stwierdzi, czy odmowa spełnienia żądania nie była naruszeniem RODO. DPC rozważa również zaangażowanie Europejskiej Rady Ochrony Danych w sprawę.

Źródło: https://www.itpro.co.uk/general-data-protection-regulation-gdpr/32141/twitter-faces-gdpr-probe-for-refusing-to-comply-with

• RODO-absurdów ciąg dalszy. Władze powiatu w Niemczech (Frankonia Środkowa) odwołały w tym roku jedną z cyklicznych imprez w mieście Roth, jaką jest wieszanie listów do Św. Mikołaja przez dzieci ze szkół na choince miejskiej.
• Organizatorzy argumentują, że notatki dzieci były dostępne dla wszystkich, a znajdują się tam dane wrażliwe jak imię, wiek czy adres.
• Miejski inspektor ochrony danych zalecił, aby dzieci wypełniały kilka stron formatu A4 np. zgody, oświadczenie o zapoznaniu się z klauzulą informacyjną, jednak dzieci nie mogą tego robić.

Źródło: https://wize.life/themen/wissen/88333/wunschzettel-aktion-fuer-kinder-zu-weihnachten-gestoppt—dsgvo-sorgt-fuer-naechstes-chaos

Źródło: https://twitter.com/lol_rodo/status/1062619369899884544 

• W jednym ze sklepów Żabka w Toruniu na witrynie zawieszono fotografie osób, które zostały przyłapane na kradzieży.
• Właściciele sklepu: osoby kradnące na terenie obiektu wyrażają zgodę na publikację swojego wizerunku na portalach społecznościowych i witrynie sklepu. Złodziej, które nie wyraża na to zgody, proszony jest o opuszczenie sklepu.

Źródło: https://innpoland.pl/148029,zabka-w-toruniu-wywiesza-zdjecia-osob-przylapanych-na-kradziezy