O ochronie danych osobowych uwag krytycznych kilka

Czas biegnie coraz szybciej, mniej mogę pisać długich i pogłębionych analiz prawnych, chciałbym jednak zwrócić uwagę na praktykę ochrony danych osobowych w naszym kraju w chwili obecnej. Wydaje mi się, że sprawy idą w złym kierunku, powody ?

• Działanie ustawy w instytucjach publicznych : coraz więcej urzędów odmawia udostępnienia danych zasłaniając się ustawą o ochronie danych osobowych. w niektórych sprawach rodzi to absurdalne konsekwencje. Podobnie w przypadku podmiotów quasi-publicznych np. NASK, odmowa udostępnienia danych uniemożliwia dochodzenie roszczeń.

• Zagrożenie dla tajemnic zawodowych: brakuje uregulowań w zakresie udostępniania informacji podmiotom niezobowiązanym do zachowania tajemnicy zawodowej, Jedyną ustawą jest prawo bankowe, co natomiast z adwokatami, lekarzami... czy oni nie korzystają z hostingu lub systemów on-line ?

• Publiczno prawne – Państwo zbiera o nas mnóstwo danych. Obowiązek archiwizacji billingów, dane medyczne gromadzone przez ZUS, listy z banków w dzień po założeniu działalności gospodarczej – to wszystko mówi mi , że ilość danych w tych systemach trzeba ograniczać a nie zwiększać.

• Działanie ustawy w przedsiębiorstwach: przedsiębiorcy nie realizują podstawowych obowiązków, ponieważ ustawa skupia się nie na tych elementach , które są istotne. Po co komukolwiek rysowanie struktury zbiorów danych osobowych, posiadanie Instrukcji zarządzania systemem informatycznym przetwarzającym dane osobowe, opisywanie przepływów danych pomiędzy system Płatnik a Kadry... ? Przerost formy nad treścią powoduje jedynie zniechęcenie do wprowadzania zasad ochrony danych („i tak do czegoś się przyczepią, więc liczę na szczęście i wolę do rozporządzenia nie zaglądać”)

• Instytucjonalne

o Kontrola GIODO nad przestrzeganiem ustawy jest iluzoryczna. Dowodem na to jest sprawa naszej- klasy, która została skontrolowana w momencie osiągnięcia zawrotnego poziomu liczby użytkowników

o GIODO potrafi analizować wniosek o zarejestrowanie zbioru przez 1,5 roku. Danych wrażliwych, których jeśli się nie zarejestruje nie można przetwarzać.

• Brak sankcji. Moim zdaniem wprowadzanie sankcji w postaci kar grzywny jest chybione. Jedynym skutecznym środkiem byłoby stworzenie poszkodowanym łatwej ścieżki dochodzenia roszczeń cywilnoprawnych powstałych wskutek wycieku danych lub zryczałtoawnego odszkodowania (podobnie jak w prawie autorskim) za udostępnienie danych (np. cena pakietu danych x 10). Jeśli ‘szary człowiek’ otrzymuje spam od firmy telekomunikacyjnej na T , której nazwa kończy się na P, jakie ma szanse w tej chwili aby uzyskać zadośćuczynienie? Raczej żadne, gdyż ścieżka poinformowania urzędu, wytoczenia procesu cywilnego jak tak długa, że chyba nikt jeszcze nią nie poszedł.
  

GIODO w Naszej Klasie

Media rozpisują się o kontroli GIODO w portalu Nasza-klasa.pl. Niezależnie od tego czy kontrola jest wynikiem skargi posła Gosiewskiego, czy też informacji od internautów, wiele osób zwraca uwagę na to, że portal nie zabezpiecza danych osobowych użytkowników w należyty sposób. Dlaczego dane nie są należycie zabezpieczone tłumaczy kilku użytkowników portalu Vagla i nie sposób się z tym nie zgodzić.

Podkreślić należy jednak, iż tego rodzaju portale zawsze będą budziły zastrzeżenia i podobny problem miał (ma?) niedawno serwis społecznościowy Facebook. Pamiętajmy, że od nas samych zależy ile danych udostępniamy i jakiego rodzaju. Dlaczego twórcy portalu mają ponosić odpowiedzialność za nadmierną chęć podzielenia się prywatnymi danymi przez użytkowników ? Przypadki niewłaściwych zachowań na pewno będą się zdarzać jak i na pewno się zdarzały wcześniej w innych portalach. Są ku temu środki techniczne i prawne aby naruszycieli złapać i osądzić. 99 % z nich nie używa zaawansowanych anonimzerów. Samemu można również bardzo dobrze ograniczyć możliwość wyszukania własnej osoby, wystarczy odrobinę pomyśleć...

Są jednak i pozytywy. Z uwagi na fakt, iż w portalu zarejestrowanych jest ponad 6 użytkowników, z których połowa usłyszy , że istnieje coś takiego jak ochrona danych osobowych,
wzrośnie świadomość prawna społeczeństwa jako ogółu, być może ludzie zaczną zwracać uwagę na to komu udostępniają dane, gdzie są one przetwarzane i w jakim celu.

Na aprobatę zasługuje również podejście GIODO do tematu kontroli. Podkreślenie, iż kontrola nie będzie miała charakteru represyjnego jest w moim odczuciu bardzo ważne i wzmacnia poczucie zaufania do organów państwowych. Przy okazji rozmyślań o zaufaniu do GIODO dobra rada - zgłoszenie zbioru do GIODO przesyłać proszę pocztą za potwierdzeniem odbioru, bo można po półtora roku od wysłania zgłoszenia nie mieć zarejestrowanego zbioru. A jak się zagubi 'na kupce'?

Komentarz do komentarza

W jutrzejszej Rzeczpospolitej będzie można znaleźć kilka ogólnych zdań mojego skromnego autorstwa komentujących aktualne problemy, przed jakimi prawo ochrony danych osobowych. Ponieważ gazeta ma swoje ograniczenia i nie było możliwości szerszego odniesienia się do zadanych pytań postaram się poniżej rozwinąć nieco temat.

Największym problemem dla naszych klientów jest brak wyczerpujących regulacji dotyczących przetwarzania danych w systemach informatycznych. Przepisy ustawy jak i rozporządzeń wydanych na jej podstawie wchodziły w życie w momencie, kiedy rynek informatyczny nie był tak rozwinięty jak obecnie.

Dotyczy to w szczególności międzynarodowych sieci korporacyjnych, danych przetwarzanych przez wiele podmiotów w ramach jednego procesu biznesowego (np. działalność agencyjna) lub działalności podmiotów oferujących profesjonalne zarządzanie danymi (hosting, kolokacja w data – center). Również większość systemów informatycznych w przedsiębiorstwach przetwarzających dane osobowe nie spełnia wymogów rozporządzenia a koszty ich dostosowania do rozporządzenia przewyższają możliwości finansowe MŚP.

Wydaje się również, że niektóre z obowiązków wskazanych rozporządzeniu dotyczącym bezpieczeństwa systemów informatycznych są na obecną chwilę i niewiele wnoszą do realnego zabezpieczenia danych w obecnym stanie techniki .

Dopracowania wymaga instytucja powierzenia przetwarzania danych osobowych. Dotyczy to zarówno przepisów rozporządzenia jak i ustawy. Jeśli chodzi o ustawę to niejasny jest zapis dotyczący ‘zakresu’ powierzanych danych, w szczególności jeśli mamy do czynienia z hostingiem bazy danych. Czy umowa powierzenia profesjonalnej firmie hostingowej rodzi obowiązek wskazywania wszystkich kategorii danych gromadzonych w bazie? Literalnie - tak, praktycznie byłby to absurd.

Kolejna rozbieżność (pomiędzy doktryną a GIODO) to stanowiska dotyczące niedochowania formy pisemnej przy zawarciu umowy o powierzenie danych. Doktryna (słusznie skromym zdaniem) twierdzi, że forma pisemna jest zastrzeżona pod rygorem dowodowym, GIODO upatruje tutaj sankcji nieważności. O skutkach wadliwego powierzenia lepiej nie pisać. Rozwianie tych wątpliwości jest pożądane.

Trzeci przykład związany już z rozporządzeniem – do jakiego stopnia podmiot przetwarzający dane osobowe musi prowadzić dokumentację właściwą dla administratora danych. Firmy informatyczne, które żyją z powierzania im przetwarzanych danych zachodzą w głowę w jaki sposób wyznaczać upoważnienia dla przetwarzających dane jeśli dana osoba ma pod opieką np. 100 serwerów, gdzie cały czas dochodzi do zmiany zbiorów danych , etc.

Reasumując - globalizacja, nowe techniki przetwarzania danych, elektroniczne zawieranie umów, korporacyjne systemy IT, to obszary w których przedsiębiorcy oczekują pomocy, wyjaśnień lub jasnych przepisów. Czytając przepisy trudno pozbyć sie wrażenia , że w kwestii IT ustawa jest mocno przestarzała i nie odpowiada warunkom nowoczesnego obrotu.

Na marginesie - dziś na OUT - LAW ukazał się artykuł, który dopiero teraz zauważyłem. Angielscy prawnicy skarżą się w nim na angielskiego GIODO domagając się jasnych wskazówek dotyczących przetwarzania danych w sieciach IT i internecie. Cytat "This confusion is no surprise if they try to do the right thing and take the advice of the Information Commissioner’s Office (ICO). The office is striking increasingly confident, even bullish, notes on personal privacy, surveillance societies and our informational rights. Yet it cannot even produce coherent guidance about what companies are supposed to do. "

Dziwna to zbieżność....

Ustawa o ochronie danych osobowych - zapowiedź nowelizacji

W Rzeczpospolitej pojawił się ciekawy artykuł na temat ochrony danych osobowych. Chodzi o projekt nowelizacji przepisów związanych między innymi z odpowiedzialnością karną za nieprzestrzeganie Ustawy o ochronie danych osobowych. W projekcie przewiduje się również wprowadzenie kary grzywny, nawet do 100 000 Euro, która może zostać nałożona na podmioty, które nie przestrzegają przepisów ustawy.

Przypomnijmy, że obecnie Ustawa penalizuje (kara pozbawienia wolności do lat 2 lub grzywny) bezpodstawne przetwarzanie danych osobowych albo ich przetwarzanie niezgodne z celem, dla jakiego zostały zebrane, udostępnienie danych osobowych osobom trzecim lub nieprawidłowe zabezpieczenie danych osobowych. Zagrożone karą jest także nie zgłoszenie zbioru danych osobowych do GIODO oraz niedochowanie obowiązków informacyjnych.

Wprowadzenie wyższych sankcji finansowych ma spowodować większy stopień dbałości przedsiębiorców o ochronę danych osobowych.

Oczywiście spodziewać się także należy większej aktywności Generalnego Inspektora Danych Osobowych w zakresie kontrolowania przedsiębiorców, którzy przetwarzają dane szczególnie intensywnie lub gdy są to dane wrażliwe (np. firmy ubezpieczeniowe, telekomunikacyjne, medyczne, banki).

Szkoda, że wraz z informacją o projektowanych zmianach w zakresie karania przedsiębiorców za nie przestrzeganie ustawy nie idą informacje o publikowaniu kolejnych wytycznych, materiałów informacyjnych rozwiewających wątpliwości co do zakresu obowiązków ciążących na przedsiębiorstwach. Szczególne kroki powinny być na przykład podjęte w celu wyjaśnienia zagadnień związanych z przetwarzaniem danych w nowoczesny sposób, tzn. przy wykorzystaniu systemów informatycznych udostępnianych przez zewnętrznych service providerów, systemów rezerwacyjnych, usług hostingu, świadczenia usług przez wiele podmiotów łącznie, etc. Lakoniczne przepisy ustawy i rozporządzenia wydanego na jej podstawie mogą powodować, że władza w rękach urzędników stać się niebezpieczna dla wielu przedsiębiorców, gdyż nada GIODO niezwykle mocne narzędzie karania przy niejasnych przepisach