RODO aktualności – 02.07.2019

• Urzędy Skarbowe ostrzegają przed fałszywymi mailami, które odbierają internauci
• autorzy maili informują o zamiarze zainicjowania kontroli i przesyłają załącznik do wypełnienia
• w załączniku znajduje się downloader trojana, którego jednym z celów jest przechwycenie danych dostępowych do kont bankowych i kradzież środków
• przypominamy, że Urząd Skarbowy nigdy nie informuje e-mailem o zamiarze wszczęcia kontroli

Źródło: https://niebezpiecznik.pl/post/kolejna-fala-ataku-na-kontrole-z-urzadu-skarbowego/?fbclid=IwAR1B8r9kifoTvEZ1Cnkj68Rj8MTarU7Bam2PI2GXrD-D-zdWAlxl_tp4mp4  https://www.rybnik.com.pl/wiadomosci,uwaga-na-falszywe-maile-ze-skarbowki,wia5-3266-40997.html

• 8 tys. pracowników ZUS obawia się o swoje dane osobowe – chodzi o kwestie związane ze składaniem podpisu kwalifikowanego
• mając podpis kwalifikowany urzędnika, wystarczy wejść na strony internetowe badające, czy dany elektroniczny dokument nie był modyfikowany albo czy nie jest sfałszowany – w wynikach weryfikacji można łatwo zobaczyć, kto jest podpisany pod dokumentem, pojawia się tam również PESEL
• ZUS rozkłada ręce i wskazuje, że tego typu przepisy obowiązują wszystkie instytucje publiczne
• do sytuacji odniósł się też UODO wskazując, że w obecnym stanie prawnym ujawnianie PESEL w kwalifikowanym podpisie elektronicznym, a także w KRS, jest dopuszczone ustawowo, przy czym wskazuje, że obowiązujące regulacje, które legalizują przetwarzanie takich danych w przywołanym zakresie, budzą wątpliwości pod kątem ich zgodności z przepisami RODO

Źródło: http://wyborcza.pl/7,155287,24874780,8-tys-pracownikow-zus-moze-byc-okradzionych-w-kazdej-chwili.html

• 8 tys. pracowników ZUS obawia się o swoje dane osobowe – chodzi o kwestie związane ze składaniem podpisu kwalifikowanego
• mając podpis kwalifikowany urzędnika, wystarczy wejść na strony internetowe badające, czy dany elektroniczny dokument nie był modyfikowany albo czy nie jest sfałszowany – w wynikach weryfikacji można łatwo zobaczyć, kto jest podpisany pod dokumentem, pojawia się tam również PESEL
• ZUS rozkłada ręce i wskazuje, że tego typu przepisy obowiązują wszystkie instytucje publiczne
• do sytuacji odniósł się też UODO wskazując, że w obecnym stanie prawnym ujawnianie PESEL w kwalifikowanym podpisie elektronicznym, a także w KRS, jest dopuszczone ustawowo, przy czym wskazuje, że obowiązujące regulacje, które legalizują przetwarzanie takich danych w przywołanym zakresie, budzą wątpliwości pod kątem ich zgodności z przepisami RODO

Źródło: http://wyborcza.pl/7,155287,24874780,8-tys-pracownikow-zus-moze-byc-okradzionych-w-kazdej-chwili.html

• pracownica zwolniona z Gimnazjum nr 5 w Łodzi wyniosła ze szkoły dane osobowe 540 wychowanków i 43 nauczycieli
• w lipcu 2018 r. była pracownica zgłosiła się do gimnazjum po swoje rzeczy osobiste, jednak w kwietniu 2019 r. dyrektor dowiedział się, że kobieta wyniosła również dyskietki z danymi osobowymi (imionami i nazwiskami, datami urodzenia, PESEL, imionami rodziców oraz adresami)
• prokuratura wyjaśnia, czy kobieta weszła w posiadanie danych uczniów i nauczycieli przez pomyłkę – chcąc zabrać tylko rzeczy prywatne – czy kierowały nią inne intencje

Źródło: https://dzienniklodzki.pl/pracownica-zwolniona-z-gimnazjum-nr-5-w-lodzi-wyniosla-ze-szkoly-dane-osobowe-540-wychowankow-i-43-nauczycieli-sprawe-bada/ar/c5-14200765

• 4 czerwca 2019 r., w Brukseli odbyło się 11. posiedzenie plenarne Europejskiej Rady Ochrony Danych (EROD)
• podczas posiedzenia organy nadzorcze m.in. przyjęły ostateczną wersję wytycznych w sprawie kodeksów postępowania, załącznika do wytycznych w sprawie akredytacji oraz załącznika 2 do wytycznych w sprawie certyfikacji
• pełna treść wytycznych w sprawie kodeksów postępowania: https://edpb.europa.eu/our-work-tools/public-consultations/2019/guidelines-12019-codes-conduct-and-monitoring-bodies-under_pl

• UODO wydał kolejny numer swojego Newslettera dla IOD
• w najnowszym wydaniu m.in. o bezpieczeństwie danych osobowych w wyborach i kampaniach wyborczych, działaniach na rzecz zapobiegania kradzieży tożsamości, zgłaszaniu Zastępcy IOD, szkole, jako administratorze danych przetwarzanych w związku z działalnością rady rodziców, weryfikacji tożsamości przy przekazywaniu danych o stanie zdrowia drogą telefoniczną lub e-mail, a także działaniach na rzecz zapobiegania kradzieży tożsamości
• do subskrypcji Newslettera można zapisać się tu: https://news.uodo.gov.pl/lists/

• na początku roku Google wypuściło interesujący quiz sprawdzający, czy użytkownik dałby nabrać się na atak phishingowy
• phishing to metoda oszustwa, w której przestępca podszywa się pod inną osobę lub instytucję w celu wyłudzenia określonych informacji (np. danych logowania, szczegółów karty kredytowej) albo nakłonienia ofiary do określonych działań
• teraz pojawiła się polska wersja językowa quizu Googla, która dostępna jest pod linkiem: https://phishingquiz.withgoogle.com/
• sprawdź czy rozpoznasz próbę wyłudzenia informacji!

• UODO nie wskazuje konkretnie okresu przechowywania dokumentacji dotyczącej umów zlecenia, ale podaje wskazówki, według których powinno się postępować
• przy ustalaniu takiego okresu nie są wystarczające terminy przedawnienia roszczeń, lecz należy badać szerzej niezbędność przechowywania danych do celu, jakiemu służą
• i tak, choć dokumentacja dotycząca umów zlecenia powinna być przechowywana co najmniej przez trzy lata, to najwłaściwszym terminem wydaje się pięć lat – wypłata wynagrodzenia może bowiem podlegać oskładkowaniu, co zależy od zbiegu tytułów do ubezpieczeń, a roszczenia z tytułu składek przedawniają się dopiero po upływie pięciu lat
• w odniesieniu do dokumentacji związanej z PPK należy wziąć pod uwagę dwie daty – pięć lat, gdyż tyle wynosi okres przedawnienia roszczeń z tytułu wpłat do PPK oraz cztery lata w zakresie deklaracji o rezygnacji, gdyż co cztery lata od 1 kwietnia podmiot zatrudniający dokonuje ponownie wpłat na PPK, chyba że uczestnik znowu zrezygnuje

Źródło: https://praca.gazetaprawna.pl/artykuly/1415061,jak-dlugo-trzymac-dokumenty-z-umow-zlecen-i-ppk.html

• rejestry mieszkańców, monitoring wizyjny, zasoby BIP oraz stron internetowych urzędów – w tych obszarach samorządowcy mieli problemy ze stosowaniem RODO
• mimo to po roku jego obowiązywania bilans dla JST wypada pozytywnie
• takie wnioski płyną z konferencji podsumowującej pierwszy rok obowiązywania RODO w JST, zorganizowanej przez UODO, Sejmową Komisję Samorządu Terytorialnego i Polityki Regionalnej oraz Narodowy Instytut Samorządu Terytorialnego
• Piotr Drobek, dyrektor Zespołu Analiz i Strategii zachęca jednostki samorządu terytorialnego do tworzenia kodeksów postępowań przez zrzeszające je organizacje
• relacja z konferencji dostępna jest na stronie Sejmu: http://www.sejm.gov.pl/Sejm8.nsf/transmisje_arch.xsp#D069BFE9DC00D125C125841200246BD3

• wykorzystanie prywatnej korespondencji pracownika, ujawnionej pracodawcy przez samego pracownika i przez organy ścigania, w charakterze podstawy do zwolnienia z pracy, nie stanowi naruszenia prawa do poszanowania życia prywatnego i poufności korespondencji – stwierdził Europejski Trybunał Praw Człowieka
• sprawa dotyczyła pracownika brytyjskiej służby zdrowia, który został oskarżony o nękanie współpracowników
• po przeprowadzeniu postępowania wewnętrznego i postępowania dyscyplinarnego, skarżący został zwolniony z pracy ze względu na poważne naruszenie obowiązków pracowniczych, czego dowodem były prywatne maile i wiadomości pracodawca miał dostęp do tych treści dlatego, że zostały mu one częściowo przekazane przez organy ścigania, a częściowo skarżący sam je ujawnił w toku postępowania dyscyplinarnego
• skarżący zarzucił, iż zwolnienie go z pracy na podstawie jego prywatnej korespondencji odbyło się z naruszeniem jego prawa do życia prywatnego i do poufności korespondencji, chronionych w art. 8 Konwencji o prawach człowieka

Źródło: https://www.prawo.pl/kadry/prywatna-korespondencja-pracownika-chroniona-ale-nie,431698.html?fbclid=IwAR2c6DdmzxTQ_XtfPxoD0F2J6ksnvxnmpIyQhv5k7Ca0X-qO0ytPqiB9q7Y

• w 2017 r. WSA w Warszawie unieważnił fragment uchwały Rady Miasta Stołecznego Warszawy, która nakazuje kierowcom podawać numery rejestracyjne w parkomatach – uznał, że miasto nie wykazało prawnej podstawy do przetwarzania danych osobowych
• stołeczny ratusz zaskarżył tę decyzję – w tym tygodniu NSA rozpozna tę skargę, a kluczową kwestią będzie rozstrzygnięcie, czy numer rejestracyjny należy uznać za dane osobowe
• zdaniem autorów skargi numer rejestracyjny może odnosić się do dwóch kategorii osób fizycznych: właścicieli pojazdów oraz ich użytkowników, a ani Zarząd Dróg Miejskich, ani Straż Miejska, nie mają narzędzi do stwierdzenia, czy osobą śledzoną jest właściciel pojazdu czy też inna osoba
• do podobnych wniosków doszedł WSA w Gliwicach, który uznał, że tradycyjny numer rejestracyjny nie stanowi danych osobowych, gdyż powiązanie go z konkretnym człowiekiem wymagałoby zbyt nadmiernych kosztów, czasu lub działań – numer identyfikuje pojazd, a nie osobę

Źródło: https://prawo.gazetaprawna.pl/artykuly/1417952,parkomaty-numer-rejestracyjny-dane-osobowe-nsa.html?

• Prezes UODO wystąpił do Ministra Cyfryzacji z prośbą o zmianę przepisów, które dostosują aktualne regulacje prawne dotyczące kwalifikowanego podpisu elektronicznego do zasad wyrażonych w RODO
• do UODO docierają sygnały w sprawie zagrożenia dla prywatności osób posługujących się kwalifikowanym podpisem elektronicznym, związane z ujawnianiem w tym podpisie numeru PESEL osoby podpisującej
• w ocenie UODO należy rozważyć, czy ujawnianie numeru PESEL w certyfikacie kwalifikowanego podpisu elektronicznego jest jedynym sposobem skutecznego i bezpiecznego potwierdzenia tożsamości osób podpisujących

Źródło: https://uodo.gov.pl/pl/138/1072

• podróż służbowa w świetle art. 775 § 1 Kodeksu pracy to wykonywanie na polecenie pracodawcy zadania poza miejscowością, w której znajduje np. siedziba pracodawcy
• według RODO niepotrzebna jest dodatkowa zgoda osób zatrudnionych na przetwarzanie ich danych, gdyż podstawę stanowi obowiązek prawny ciążący na pracodawcy na gruncie przepisów prawa pracy
• sprawa ma się inaczej, gdy zlecamy zorganizowanie ich podmiotom zewnętrznym np. biurom podróży
• w procesie organizacji wyjazdu na sprecyzowanych przez pracodawcę warunkach, co do zasady biura podróży będą pełnić rolę podmiotu przetwarzającego – konieczne jest więc zawarcie umowy powierzenia danych osobowych

Źródło: http://inwestycje.pl/firma/Podroze-sluzbowe-w-wakacje-a-ochrona-danych—o-co-warto-zadbac-aby-byly-bezpieczne-;344595;0.html

• pod koniec 2018 r. Sieć Obywatelska Watchdog Polska postanowiła zweryfikować informacje o wypłacaniu w spółkach Skarbu Państwa uznaniowych nagród związanych ze 100-leciem odzyskania niepodległości przez Polskę – dlatego wystąpiła do 29 firm wpisanych do wykazu spółek o istotnym znaczeniu dla gospodarki państwa
• spółki odmówiły ujawnienia żądanych danych, a często powtarzającym się argumentem było RODO
• w zdecydowanej większości zapadłych dotychczas wyroków sądy administracyjne uznały, że spółki są zobowiązane do udostępniania informacji publicznej i nakazały im rozpatrzenie wniosków
• ujawnieniu jako informacja publiczna podlegają jednak wyłącznie informacje na temat wynagrodzeń pracowników pełniących funkcję publiczną – nagrody i premie pracownika niebędącego osobą funkcyjną, niepełniącego roli piastuna organu, nie stanowią informacji publicznej

Źródło: https://forsal.pl/artykuly/1418765,wynagrodzenia-i-premie-w-spolkach-skarbu-panstwa-rodo-a-osoby-publiczne-finanse-zaufanie-spoleczne.html

• oficjalna aplikacja La Liga, za pomocą której ponad cztery miliony ludzi w Hiszpanii śledzi wyniki meczów na żywo, pozwalała na zdalne włączenie mikrofonu w smartfonie jej użytkowników
• nagrywanie miało pomóc władzom ligi znaleźć bary, których właściciele nielegalnie puszczają transmisje meczów hiszpańskich drużyn
• zgodnie z oceną Hiszpańskiej Agencji Ochrony Danych (AEPD) takie wykorzystanie mikrofonów użytkowników aplikacji narusza zasady przejrzystości
• AEPD za naruszenie podstawowych zasad przejrzystości w aplikacji mobilnej nałożyła na La Lingę 250 tys. euro kary
• La Liga zapowiada odwołanie się od tej decyzji, gdyż jej zdaniem użytkownicy byli m.in. informowani o zasadach działania aplikacji

Źródło: https://www.spidersweb.pl/2019/06/la-liga-aplikacja-szpiegujaca-250-tys-euro-kary.html

• na swojej stronie internetowej Prezes UODO udostępnił kilka porad jak w czasie wakacji zadbać o swoje dane osobowe i uchronić się przed potencjalnymi problemami
• organ ostrzega m.in. aby nie zostawiać dowodów osobistych w zastaw (np. w wypożyczalniach różnego rodzaju sprzętu), a także aby nie pozwalać na robienie ich kserokopii lub skanów
• UODO zwraca również uwagę na konieczność zachowania szczególnej ostrożności przy korzystaniu z „darmowych” atrakcji – często ich ceną są nasze dane osobowe, które musimy podać, aby stać się ich uczestnikiem

Źródło: https://uodo.gov.pl/pl/138/1073

• w związku z kierowanymi do UODO licznymi pytaniami, wynikającymi m.in. z najnowszych zmian w Kodeksie pracy, organ wskazuje, że w obecnym stanie prawnym pracodawcy nie mogą samodzielnie prowadzić kontroli stanu trzeźwości pracowników, w tym kontroli wyrywkowych
• w opinii UODO wiedza o tym, czy ktoś jest nietrzeźwy jest informacją o stanie zdrowia
• stan trzeźwości pracowników można sprawdzać, tylko na warunkach określonych prze ustawę o wychowaniu w trzeźwości, tj. tylko wtedy, gdy łącznie są spełnione dwa warunki:

1) badanie odbywa się na żądanie kierownika zakładu pracy lub pracownika, co do którego zachodzi uzasadnione podejrzenie, że spożywał alkohol w czasie pracy lub stawił się do niej w stanie po spożyciu,

2) badanie stanu trzeźwości pracownika przeprowadza uprawniony organ

Źródło: https://uodo.gov.pl/pl/138/1076

• w związku z rocznicą stosowania RODO, Niebezpiecznik wystąpił do UODO z pytaniami dotyczącymi dotychczasowego postępowania administratorów w zakresie naruszeń ochrony danych osobowych
• rzecznik prasowy UODO poinformował, że w okresie od 25 maja 2018 r. do 25 maja 2019 r. do UODO zgłoszono 4539 naruszeń
• 813 razy UODO zwrócił się do administratorów o dopełnienie obowiązku zawiadomienia osób, których dane dotyczą
• do UODO wpłynęło ponad 8 tys. skarg z czego ok. 70% ma braki formalne (brak podpisu, brak określenia żądania)

Źródło: https://niebezpiecznik.pl/post/pierwszy-rok-rodo-zgadnijcie-ile-razy-administratorzy-uchylili-sie-od-informowania-o-wycieku/?more&fbclid=IwAR2m9SGl26G88HZ_p1O4boDoo4XoVc3CCICdd0mOcQMCg8GBrU1T-nceJJA

• po wejściu w życie RODO osoby prywatne wciąż mają prawo do nagrywania telefonicznych rozmów bez informowania o tym drugiej strony – nagrywanie dla celów osobistych lub domowych nie jest sprzeczne z prawem i nie trzeba o nim informować, niezależnie od liczby uczestników dyskusji
• w przypadku nagrań wykonywanych dla potrzeb działalności gospodarczej lub zawodowej, rozmówcy podlegają regulacjom RODO opisanym w art.13 – wówczas powinni określić, kto jest administratorem danych i jaki jest cel nagrania
• niepoinformowanie o nagrywaniu, jeżeli podlega się RODO, to naruszenie obowiązków informacyjnych, zagrożone karą finansową do 4 % przychodu

Źródło: https://biznes.interia.pl/finanse-osobiste/news/osoby-prywatne-moga-nagrywac-rozmowy-bez-informowania,2620324,4141

• pierwszym w historii spamem była masowa korespondencja wysłana w 1978 roku przez marketing managera w firmie Digital Equipment Corp – wysłał on drogą elektroniczną ofertę handlową do niemal 400 użytkowników sieci rozległej ARPANET
• z kolei w latach 80-tych Brian Phish stosował techniki psychologiczne do wykradania numerów kart kredytowych – eksperci wciąż spierają się czy był on postacią prawdziwą, a niektórzy twierdzą, że to właśnie od jego nazwiska pochodzi termin phishing
• według danych grupy badaczy cyberbezpieczeństwa zrzeszonych w Cisco Talos, w kwietniu tego roku spam stanowił 85% wszystkich e-maili
• eksperci wskazują, że jednym z najskuteczniejszych sposobów ochrony przed cyberatakami jest organizacja cyklicznych szkoleń oraz niezapowiedzianych, kontrolowanych symulacji ataków,

Źródło: https://brandsit.pl/spam-ma-juz-ponad-40-lat-a-phishing-ponad-30-jak-bronic-sie-przed-tymi-atakami/

• UODO udostępnił nagranie z webinaru, prowadzonego 17 maja 2019 r. dla placówek oświatowych pt. „RODO w szkolnej ławce – czyli o co najczęściej pytają dyrektorzy, rodzice i nauczyciele„
• podczas wykładu omówione zostały następujące zagadnienia: prowadzenie rekrutacji do szkół, organizacja szkolnych konkursów, prowadzenie dokumentacji psychologiczno-pedagogicznej, kierowanie uczniów na praktyki lub staże, a także przyjmowanie przez szkołę stażystów i praktykantów, prowadzenie przez szkoły rejestru czynności przetwarzania
• cały webinar można obejrzeć tutaj: https://www.youtube.com/watch?v=uWwcAgZKdic