Aktualności
LinkedIn nielegalnie wykorzystał adresy e-mial
LinkedIn wykorzystał nielegalnie adresy e-mail osób niebędących jego użytkownikami, aby ukierunkować kampanię reklamową prowadzoną na Facebooku. Sprawie przyjrzał się bliżej DPC (irlandzki urząd ochrony danych osobowych).
Jak wynika z raportu opublikowanego przez The Data Protection Commissioner (DPC) LinkedIn przetwarzał nielegalnie adresy e-mail około 18 MLN osób niebędących członkami serwisu w celu nadania kierunku reklamie na Facebooku. Skarga do DPC została złożona przez użytkownika spoza LinkedIn, dotyczyła bezprawnego pozyskania i wykorzystania jego adresu e-mail.
Kontrola LinkedIn przeprowadzony przez DPC
W związku ze złożoną skargą przeprowadzana została kontrola, która trwała od 1 stycznia 2018 roku do 24 maja 2018 roku. Podczas niej wykazano, że LinkedIn Corporation (LinkedIn Corp) z siedzibą w USA, przetwarzający dane w imieniu LinkedIn Ireland, przekazał około 18 MLN adresów e-mail osób niebędących użytkownikami w postaci zahasztagowanej lub zakodowanej Facebookowi w celu spersonalizowania reklamy, zachęcającej do rejestracji w serwisie LinkedIn.
Polubowne rozwiązanie skargi
Ostatecznie skarga została polubownie rozwiązana, a LinkedIn wdrożył szereg rozwiązań mających na celu zapobieżenie podobnym sytuacjom poprzez zaprzestanie przetwarzania w powyższy sposób danych.
To jednak nie koniec sprawy. DPC zaniepokojony problemami przeprowadził kolejną kontrolę w celu ustalenia, czy LinkedIn wdrożył odpowiednie środki bezpieczeństwa, ze szczególną uwagą zwróconą w kierunku przetwarzania danych osób niebędących użytkownikami. W rezultacie LinkedIn Ireland poinstruował LinkedIn Corp w sprawie ochrony danych osobowych i zgodnie z ustaleniami kazał usunąć dane osobowe powiązane z takim przetwarzaniem.
Na aprobatę z pewnością zasługują działania, jakie zostały podjęte przez LinkedIn oraz ścisła współpraca z organem nadzoru. Dzięki tak sprawnemu działaniu doszło do zapobieżenia dalszym naruszeniom w zakresie ochrony danych osobowych. Na marginesie należy dodać, że na LinkedIn nie została nałożona kara, ponieważ skarga wpłynęła przed 25 maja 2018 roku, czyli przed rozpoczęciem stosowania RODO, w tym okresie DPC, zgodnie z obowiązującymi uregulowaniami, nie miała kompetencji do nakładania kar finansowych.
Jedynie 20.000 Euro kary za wyciek danych osobowych 2 MLN rekordów? Wyjaśniamy dlaczego.
Niemiecki serwis randkowy (knuddels.de) został ukarany grzywną 20 tyś. EURO za wyciek danych ponad 2 MLN osób. Do wycieku doszło we wrześniu tego roku. Po upływie kilku miesięcy właściwy organ nadzoru Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg (LfDI Badenii-Wirtembergii) – nałożył na firmę karę w wysokości 20.000 EURO.
Mimo obowiązywania RODO od 25 maja 2018 roku, nadal wiele firm nie uporało się z odpowiednim zabezpieczeniem danych. Wyciek niezanimizowanych danych, brak szyfrowania haseł – wszystko to może mieć katastrofalne skutki. Choć rozporządzenie nie wskazuje jednoznacznie, jakie środki powinny być wdrożone przez podmioty przetwarzające dane osobowe, tak precyzyjnie określa wysokość maksymalnych kar dla podmiotów, które nie zapewnią odpowiedniego poziomu ochrony danych.
20.000 Euro kary za wyciek prawie 2 milionów haseł
Patrząc na wymiary kar, jakie zakłada RODO (do 20 MLN EUR) niemiecki serwis randkowy otrzymał stosunkowo niską karę. Należy zauważyć, że wyciekło około 2 miliony loginów i haseł oraz ponad 800 tysięcy adresów e-mail. Warto jednak zwrócić uwagę na argumentację przyjętą przez organ.
Dlaczego niemiecki serwis otrzymał tak niski wymiar kary?
Analizując ilość utraconych danych oraz maksymalne kary, jakie przewiduje RODO, można mieć wątpliwości, z czego wynika kwota 20.000 Euro. Należy jednak przeanalizować okoliczności, jakie wziął pod uwagę organ nakładając grzywnę. Niemiecki serwis randkowy natychmiast i w sposób przejrzysty zgłosił wyciek, a także wdrożył prace mające na celu poprawę bezpieczeństwa danych. Z informacji udzielonych przez pracowników[1] obsługa incydentu wyglądała następująco:
środa, 5 września
21:06
Nieznany sprawca opublikował 8000 danych na Pastebin.com. Wpis składa się z pseudonimów, hasła, adresu e-mail (w 57% przypadków), imienia (w 41% przypadków) i miejsca zamieszkania (w 30% przypadków).
Oficer ds. Bezpieczeństwa IT, który jest byłym członkiem Knuddels, zauważa wpis i kontaktuje się z Knuddels.com przez e-mail.
Czwartek, 6 września
10.40
Wiadomość e-mail jest odczytywana przez zespół pomocy Knuddels.de, a informacje są natychmiast przekazywane dalej w firmie.
13:45
W tym czasie sprawdzane jest autentyczność wiadomości oraz pierwsze bezpośrednie środki w celu ochrony 8.000 użytkowników. Ponadto podjęto również środki awaryjne dla wszystkich użytkowników:
- Usunięcie danych na Pastebin.com
- Tymczasowa dezaktywacja wszystkich znanych, dotkniętych problemem danych dostępowych
- Usunięcie niezaszyfrowanych haseł we wszystkich rekordach
- Opracowanie komponentu, który prowadzi wszystkich członków po zalogowaniu się na stronie w celu odświeżenia hasła
- Sprawdzenie serwera pod kątem możliwych wektorów ataku
- Powiadomienie inspektora ochrony danych firmy Knuddels.de
Piątek, 7 września
1.30 rano
Zakończenie działań z 6 września.
14.00
Serwer Knuddels.at jest aktualizowany. Wraz z aktualizacją Knuddels.de zaczną obowiązywać wszystkie zabezpieczenia. Jednocześnie wszyscy członkowie publicznego forum, a także Facebook i Instagram są informowani o działaniach i wycieku danych.
14:24
Knuddels.de otrzymuje od członka społeczności link do forum „nulled.to”, w którym oprócz znanego wycieku Pastebin.com został powiązany inny link do Pastebina z 8 000 innych rekordów. Ponadto artykuł zawiera link do „mega.nz”, pod którym opublikowano 1 872 000 pseudonimów.
W związku ze zmienioną sytuacją podejmowane są dalszych działania:
- Poinformowanie wszystkich członków tak szybko, jak to możliwe, przez e-mail
- Wszyscy członkowie muszą ustawić nowe hasło podczas logowania
- Członkowie, którzy nie logują się za pomocą znanego nam urządzenia, otrzymają link przez e-mail lub SMS, aby ustawić nowe hasło
- Pliki dzienników, które mogą zawierać dane członków, są szyfrowane
16:56
Knuddels.de informuje swoich członków na forum oraz Facebooku i Instagramie.
Przed 22:00
Kolejne środki są wdrażane na Knuddels.at
Około 22:45
Wdrażanie nowych środków bezpieczeństwa na Knuddels.de. Jednocześnie rozpoczynają się wiadomości e-mail informujące o wycieku danych, w których prosi się członków o zmianę danych na wszystkich platformach korzystających z tych samych lub podobnych informacji o koncie.
Czas od otrzymiania wiadomości do zamknięcia incydentu: 49 godzin i 45 minut.
Po Incydencie
Poinformowany urząd nadzoru w zakresie ochrony danych nakłada grzywnę, ale składa hołd w szczególności na fakt, że Knuddels.de wzorcowo przeprowadził procedurę reakcji na incydent zarówno pod względem kompleksowych informacji i przejrzystości, jak i pod względem wdrożenia środków technicznych służących poprawie bezpieczeństwa danych.
Czy kara 20.000 Euro jest adekwatna do rozmiaru wycieku danych (ok. 10 groszy za rekord)? Nie da się zaprzeczyć, że niemiecki organ nakładając karę słusznie wziął pod uwagę działania, jakie zostały podjęte przez firmę, aby zapobiec dalszej utracie danych. Niemniej jednak trudno jest dopatrzeć proporcjonalności pomiędzy karą a samym rozmiarem wycieku danych. Jednak ten wyciek pokazuje nam, że tylko sprawne i przejrzyste działania mogą znacznie obniżać ryzyko kary.
Więcej informacji można uzyskać:
https://forum.knuddels.de/ubbthreads.php?ubb=showflat&Number=2916245#Post2916245
https://www.welivesecurity.com/2018/11/27/german-chat-site-faces-fine-gdpr/
[1] https://forum.knuddels.de/ubbthreads.php?ubb=showflat&Number=2916245#Post2916245
W Portugalii nałożono pierwszą karę w wysokości 400 000 € pod reżimem RODO
Comissão Nacional de Proteção de Dados (CNPD) – portugalski odpowiednik naszego UODO nałożył na tamtejszy szpital Barreiro-Montijo karę w wysokości 400 000 euro. Przyczyną zastosowania tak radykalnej sankcji był nieuprawniony dostęp do danych klinicznych pacjentów.
Skąd tak wysoka kara?
W decyzji CNPD możemy przeczytać:
„Pozwany działał umyślnie, wiedząc, że był zobowiązany do zastosowania technicznych i organizacyjnych środków niezbędnych do identyfikacji i uwierzytelniania użytkowników, a także do zarządzania i rozgraniczania ich dostępu do profili informacyjnych, warstwując je zgodnie z różnymi przywilejami[…]”
Zgodnie z ustaleniami dokonanymi przez organ nadzorczy, dostęp do danych pacjentów miało 985 aktywnych kont, jednakże w szpitalu zatrudnionych było 296 lekarzy. Dodatkowo, okazuje się, że szpital nie dokonał odpowiednich kroków, by zapewnić bezpieczeństwo danych medycznych. Zarzuca się w szczególności nieodpowiednie procedury podjęte przy ich przechowywaniu i niewłaściwe przydzielanie dostępów. CNPD obwinia również administrację szpitala za niepodjęcie środków koniecznych do zapewnienia, że profile lekarzy, którzy nie pracują już w Barreiro zostały wyeliminowane. Szpitalowi zarzuca się naruszenie zasad: integralności, poufności i minimalizacji danych.
Szpital odpowiada
Władze szpitala tłumaczą, że aktywność kont była spowodowana przejściowym incydentem związanym z ograniczeniami programu do przechowywania danych pacjentów dostarczanego przez firmy trzecie i dlatego część kont należy do pracowników, którzy zakończyli pracę dla szpitala i tych, którzy z nim współpracują. Podnoszona jest także wątpliwa kompetencja CNPD do nałożenia kary, w związku z niezakończonym procesem legislacyjnym związanym z RODO w Portugalii.
Żródła:
http://exameinformatica.sapo.pt/noticias/mercados/2018-10-19-CNPD-Hospital-do-Barreiro-multado-em-400-mil-euros-por-permitir-acessos-indevidos-a-processos-clinicos?fbclid=IwAR336KzIUqZI3XIL-YUQTtbAWltQ2lMMOk01LNgl62P0A3Nn2BOZoQoJ1gQ
https://www.jornaldenegocios.pt/economia/saude/detalhe/hospital-do-barreiro-multado-em-400-mil-euros-por-nao-proteger-dados-clinicos-dos-doentes
W Austrii nałożono pierwszą karę pod reżimem RODO
Datenschutzbehörde (DSB)- austriacki organ, który stoi na straży przepisów o ochronie danych osobowych – odpowiednik naszego UODO – nałożył karę na przedsiębiorcę w wysokości 4.800 euro. Jest to pierwszy przypadek zastosowania kary na podstawie Ogólnego Rozporządzenia o Ochronie Danych Osobowych (RODO). Warto jednak nadmienić, że austriacka ustawa o ochronie danych osobowych stanowi, że przed nałożeniem kary w pierwszej kolejności DSB będzie wydawał upomnienia i nakazywał zaniechania naruszeń.
Dlaczego jednak wydano postanowienie o nałożeniu kary?
Austriacki przedsiębiorca zainstalował kamerę przed budynkiem swojej firmy. Jak udało się ustalić, kamera swoim zasięgiem obejmowała także dużą część chodnika, co zostało uznane za kontrolę przestrzeni publicznej. Dodatkowo, kamera nie była odpowiednio oznaczona jako nagrywająca obraz.
Austriacki organ uznał, że jest to niezgodne z postanowieniami RODO i zdecydował o nałożeniu kary. Kara nie jest jednak zbyt wysoka. DSB podkreśla, że grzywny powinny być nakładane zgodnie z zasadą proporcjonalności. Dlatego nie można na przedsiębiorcę wielomilionowej kary nieproporcjonalnej do jego dochodów.
Coraz więcej skarg
Jak potwierdza DSB przez pierwsze 100 dni obowiązywania RODO w Austrii odebrał około 1000 skarg i zawiadomień o naruszeniach. Dla porównania polski UODO odebrał w tym samym okresie około 2400 skarg, ponad tysiąc pytań prawnych i dodatkowo ponad tysiąc zgłoszeń dotyczących naruszeń rozporządzenia.
Warto wspomnieć, że w Polsce kamery zostały potraktowane ulgowo, z uwagi na niemożność ich błyskawicznego usunięcia i UODO pozwolił na dostosowanie monitoringów tak, by ich działanie było zgodne z RODO.
Źródła:
Urząd Ochrony Danych Osobowych opublikował poradnik dla pracodawców
Urząd Ochrony Danych Osobowych (UODO) opublikował kolejny poradnik dotyczący stosowania i wdrażania Ogólnego Rozporządzenia o Ochronie Danych Osobowych (RODO). Tym razem UODO wychodzi na przeciw przetwarzaniu danych związanym z rekrutacją i zatrudnieniem. Poradnik dotyczy nie tylko zatrudnienia w oparciu o stosunek pracy, ale także w oparciu o umowy cywilnoprawne lub inne niepracownicze formy zatrudnienia.
Kto skorzysta z poradnika?
Użyteczne informacje znajdą nie tylko pracodawcy, ale również agencje pracy oraz sami zatrudnieni. Traktuje on także o relacjach pracodawca – inne podmioty, w tym na przykład związki zawodowych, firmach szkoleniowych czy podmiotach świadczących usługi z zakresu medycyny pracy. Jego powstanie poprzedziły konsultacje społeczne, które znalazły odzwierciedlenie w pytaniach i nurtujących zagadnieniach związanych ze stosowaniem przepisów RODO. Dokument ma formę vademecum pozbawionego rozbudowanych prawniczych analiz – UODO zdecydował się na zastosowanie przeglądu praktycznych wskazówek, ułatwiających codzienne funkcjonowanie w obszarze ochrony danych osobowych.
Co znajduje się w poradniku?
Materia dokumentu została podzielona na cztery rozdziały:
1. Poszukiwanie pracy
2. Proces rekrutacyjny
3. Okres zatrudnienia
4. Inne niż określone w kodeksie pracy formy zatrudnienia oraz praca tymczasowa.
Wiele z przedstawionych w podręczniku też ma charakter kontrowersyjny. Wszystko sprowadza się do jednej zasady: żądać tyle, na ile pozwalają przepisy. Poradnik jasno wskazuje, że każdy etap zatrudnienia upoważnia do pozyskiwania określonych informacji i nie ma możliwości gromadzenia danych, które na danym etapie nie są niezbędne do celu zatrudnienia.
Zakres merytoryczny dotyczy również rekrutacji on-line i nakazuje natychmiastowe usunięcie danych kandydatów po zakończeniu procesu rekrutacji, chyba że wyrażą oni odrębną zgodę na ich dalsze przetwarzanie celem przyszłych rekrutacji. W przypadku samodzielnego przesłania CV przez kandydata bez związku z prowadzoną rekrutacją natomiast wskazuje na obowiązek rozpoczęcia procesu rekrutacyjnego lub usunięcia CV, nie wskazując na możliwość pozyskania zgody na przyszłe rekrutacje.
Kolejną ważną informacją jest zakaz prowadzenia anonimowych rekrutacji. Przepisy nakładają bowiem obowiązek ujawniania informacji o pracodawcy, jako podmiocie przetwarzającym dane osobowe kandydata.
Istotne z punktu przetwarzania danych osobowych są również regulacje dotyczące nowych technologii, w tym rozwiązań technicznych do ewidencji czasu pracy, kontrolowania poczty elektronicznej oraz monitorowania aktywności zatrudnionych.
Czego nie znajdziemy w poradniku?
Informacje zawarte w poradniku nie uwzględniają, mających nadal status projektu, zmian w kodeksie pracy oraz pewnych zagadnień poruszonych przez interesariuszy w ramach przeprowadzonych konsultacji społecznych.
UODO zapowiada, że możemy spodziewać się kolejnych wersji – aktualizacji lub odnoszących się do nieporuszonych dotychczas zagadnień. Poradnik znajduje się na stronie internetowej Urzędu Ochrony Danych Osobowych, a wszystkich zainteresowanych zachęcamy do zapoznania się z jego treścią.
Kodeks postępowania i dobrych praktyk w zakresie przetwarzania danych osobowych w branży reklamy internetowej
IAB Polska – Związek Pracodawców Branży Internetowej wystosował projekt Kodeksu postępowania i dobrych praktyk w zakresie przetwarzania danych osobowych w branży reklamy internetowej. Projekt został przedstawiony do konsultacji publicznych. Należy podkreślić, że jest to jeden z pierwszych projektów kodeksu postepowania i dobrych praktyk, który został stworzony po rozpoczęciu stosowania przepisów RODO w dniu 25 maja 1018 r.
Jak przystąpić do kodeksu?
Projekt stworzony przez IAB Polska stanowi kodeks postępowania w rozumieniu art. 40 RODO, a zatem ma pomóc we właściwym stosowaniu przepisów rozporządzenia z uwzględnieniem specyfiki sektora reklamy internetowej. Po zatwierdzeniu ostatecznej wersji przez PUODO przystąpienie do kodeksu będzie dobrowolne i będzie mógł dokonać go każdy przedsiębiorca działający na terytorium Polski, który jednocześnie jest członkiem IAB Polska. Zgłoszenia będzie można dokonać poprzez złożenie do IAB Polska odpowiedniego oświadczenia, stanowiącego załącznik do kodeksu. Podmioty, które zdecydują się na przystąpienie do kodeksu będą zobowiązane do przestrzegania zawartych w nim postanowień pod groźbą wykluczenia.
Co znajduje się w kodeksie?
Kodeks zaproponowany przez IAB Polska zawiera 6 rozdziałów dotyczących szerokiego spektrum kwestii poruszonych w treści RODO:
- Dane osobowe na podstawie RODO;
- Określenie roli w procesie przetwarzania: administrator i podmiot przetwarzający;
- Podstawy prawne przetwarzania danych osobowych;
- Profilowanie;
- Obowiązki informacyjne;
- Realizacja praw podmiotów danych osobowych.
Ostatni, siódmy rozdział dotyczący przystąpienia do kodeksu i jego stosowania. Autorzy kodeksu postarali się, aby przedstawić kwestie prawne w sposób praktyczny, podając dodatkowo np. odpowiednie technologie, które mogą się w danej sytuacji okazać użyteczne. Oprócz podstawowych kwestii prawnych poruszono także kwestie identyfikacji podmiotów jako administratorów lub procesorów danych osobowych w kontekście plików cookies, relację prawa ochrony danych z prawem telekomunikacyjnym, istotne elementy profilowania. Szeroko został omówiony temat anonimizacji i pseudonimizacji danych. Bardzo dużą uwagę poświęcono plikom cookies w wielopłaszczyznowym ich ujęciu oraz podstawom ich przetwarzania. Początkowa treść każdego z rozdziałów zawiera także „dobre praktyki branżowe”, czyli nieobligatoryjne, lecz warte stosowania zalecenia dla podmiotów z branży reklamy internetowej.
Inne branże powinny wziąć przykład z IAB Polska, ponieważ oprócz niewątpliwej właściwości merytorycznej, projekt kodeksu ma także pionierski charakter w realizacji uprawnień przyznanych przez art. 40 RODO. Wierzymy, że inne branże również dołożą starań i przygotują podobne kodeksy dla swoich sektorów, a Związkowi Pracodawców Branży Internetowej IAB Polska gratulujemy refleksu oraz zaangażowania. Zachęcamy także do zapoznania się z kodeksem.
Nowy projekt ustawy o zmianie niektórych ustaw w związku z zapewnieniem stosowania RODO
W dniu 14 września 2018 r. na stronie Rządowego Centrum Legislacji ukazał się nowy projekt ustawy o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679 (RODO).
Projekt został wzbogacony o ustalenia, które udało się poczynić w dniach 9-10 sierpnia 2018 r. w siedzibie Ministerstwa Cyfryzacji na spotkaniu roboczym z resortami i instytucjami, które zgłosiły uwagi do ww. projektu ustawy na etapie Stałego Komitetu Rady Ministrów. Do projektu załączono także tabelę rozbieżności, które pozostały do rozstrzygnięcia przez SKRM.
Projekt nie zawiera jednak zmian przepisów wskazanych w piśmie z autopoprawką Ministra Cyfryzacji z dnia 20 sierpnia 2018 r. z dnia 20 sierpnia 2018 r., które związane były z automatycznym profilowaniem w sektorze bankowym i ubezpieczeniowym oraz stanowią przedmiot odrębnych uzgodnień pomiędzy Ministerstwem Cyfryzacji oraz Ministerstwem Finansów i Komisją Nadzoru Finansowego. Pojawią się one dopiero w przypadku przyjęcia ich przez SKRM. Nie zostały zamieszczone również przepisy przejściowe dotyczące dostosowania systemów ZUS i PFRON do wymagań RODO.
Zachęcamy do zapoznania się z treścią projektu poprzez kliknięcie na odnośnik znajdujący się powyżej.
Rozpoczęły się kontrole Urzędu Ochrony Danych Osobowych
Prezes UODO Edyta Bielak-Jomaa w rozmowie z serwisem money.pl poinformowała, że kontrole stosowania RODO już się rozpoczęły. W pierwszej kolejności będą one przeprowadzane w administracji publicznej, zwłaszcza w rejestrach publicznych takich jak ePuap. Prowadzone kontrole mają charakter doraźny (jako reakcja na skargi), ale także sektorowy, planowany. Następne będą sektor medyczny, oświata oraz administratorzy monitoringu wizyjnego.
Przepisy obowiązują już od dwóch lat…
Prezes Urzędu Ochrony Danych Osobowych zapoczątkowała rozmowę poprzez zwrócenie uwagi, że przepisy RODO zostały uchwalone już w 2016 r., więc przedsiębiorcy mieli ponad dwa lata na dostosowanie się do nowych regulacji. Edyta Bielak-Jomaa zaakcentowała także istnienie mitów, które narosły wokół rozporządzenia, przysłaniając jego podstawowy cel: zapewnienie wyższego poziomu ochrony danych w Europie, unifikację prawa krajów członkowskich a także zapewnienie swobodnego przepływu danych osobowych w Unii Europejskiej, co jest jednym z warunków rozwoju gospodarczego i prowadzenia biznesu.
Pokłosie wycieku z bazy PESEL
Odnosząc się do ePuap, Prezes podkreśliła, że rejestry tego typu są w każdym momencie zasilane nowymi porcjami danych osobowych, więc należy zwrócić szczególną uwagę na ich zgodność z przepisami o ochronie danych. UODO poprzez swoje działania chce także ustrzec przed sytuacjami, w których nawet podmioty uprawnione są w stanie otrzymać dostęp do danych pochodzących z takich rejestrów „w sposób nieokreślony i ponad miarę”. Uwydatniona została także potrzeba zwrócenia uwagi na działania administratorów danych osobowych rejestrów publicznych.
Ponad 2400 skarg
Prezes UODO poinformowała także, że w ciągu trzech miesięcy stosowania RODO do Urzędu wpłynęło już prawie 2400 skarg, 1100 zgłoszeń naruszeń ochrony danych oraz 1000 pytań prawnych. W porównaniu z ubiegłym rokiem, w którym przez okres 12 miesięcy do Urzędu wystosowano mniej niż 3000 skarg, liczby te robią wrażenie. Mogą one świadczyć o tym, że RODO istotnie zwiększyło świadomość obywateli na temat ochrony danych osobowych.
Monitoring wizyjny
Edyta Bielak-Jomaa potwierdziła także, że do końca września Urząd nie będzie podejmował władczych działań związanych z monitoringiem wizyjnym. Jednakże w związku z wydaniem przez UODO wytycznych dot. monitoringu wizyjnego, kontrolerzy od października szczególnie zwrócą uwagę na aspekt dostosowania się administratorów danych do wskazówek, które zostały im przekazane w tym zakresie.
Nasze nowe strony internetowe
Pragniemy poinformować, że w ramach DLS powstały dwie nowe strony, a jeden z blogów przeszedł modernizację.
Szkolenia z RODO
W ramach naszych stron powstała nowa strona dedykowana tylko usługom szkoleniowym – Szkolenia z RODO . Na tej stronie odnajdziecie Państwo naszą ofertę szkoleniową, a także samodzielnie będziecie mogli Państwo zapisać się na szkolenia w dogodnych dla Państwa terminach. Nasze najbliższe szkolenia znajdziecie Państwo tutaj. Jeżeli są Państwo niezdecydowani lub nie wiedzą jakie szkolenie jest dla Państwa najlepsze polecamy skorzystać z quizu, który na podstawie Państwa odpowiedzi zaproponuje Państwu szkolenie.
Jak chronić informacje?
Dodatkowo nasz blog „Jak chronić informacje?” przeszedł modernizację oraz uzyskał nową szatę graficzną. Mamy nadzieję, że dzięki nowemu układowi treści oraz lepszej prezentacji tekstu, będzie on dla Państwa pomocą w wykonywaniu codziennych zadań Inspektorów Ochrony Danych.
eRODO
Pragniemy też poinformować, że w 26.09.br rozpocznie swoją działalność nasz nowy portal eRODO.pl. Celem naszego nowego portalu jest wsparcie we wdrożeniach RODO w organizacjach w szczególności w małych i średnich przedsiębiorstwach. Oprócz poprowadzenia przez proces wdrożenia, portal będzie zawierał również łatwy do nawigacji tekst RODO zarówno w wersji polskiej, jak i angielskiej. Na portalu również będzie można odnaleźć niezbędne wzory dokumentów, które ułatwiają wdrożenie RODO.
PUODO ostrzega przed fałszywymi kontrolerami
W komunikacie opublikowanym w dniu 03 sierpnia 2018 r. na stronie Urzędu Ochrony Danych Osobowych możemy przeczytać, że do Prezesa UODO docierają informacje o fałszywych kontrolerach, którzy pojawili się u przedsiębiorców, wyrażając chęć przeprowadzenia kontroli zgodności z przepisami o ochronie danych.
Fałszywi kontrolerzy odwiedzali przedsiębiorców prawdopodobnie w celu wyłudzenia pieniędzy, które miały stanowić karę za niedostosowanie się do przepisów RODO. Osoby te posiadały fałszywe dokumenty, takie jak legitymacje i upoważnienia do kontroli. Prezes UODO poinformował, że w najbliższym czasie będą miały miejsce kontrole dokonywane z ramienia UODO, jednak należy zachować czujność i weryfikować tożsamość osób wizytujących przedsiębiorcę.
Warto przypomnieć, że wzór legitymacji, którą posługują się kontrolerzy Urzędu jest określony we wciąż obowiązującym rozporządzeniu ministra spraw wewnętrznych i administracji z 22 kwietnia 2004 r. w sprawie wzorów imiennego upoważnienia i legitymacji służbowej inspektora Biura Generalnego Inspektora Ochrony Danych Osobowych. Zgodnie z treścią rozporządzenia każda legitymacja, którą posługują się kontrolerzy, powinna posiadać hologram oraz pieczęć na rewersie. Awers legitymacji wykonany jest w kolorze niebieskiemu, posiada czarne napisy oraz orła z godła Rzeczpospolitej Polskiej oraz pasek przekątny koloru biało-czerwonego.
© Wzór legitymacji kontrolera fot. UODO
PUODO zaznaczył również, że co do zasady pisemnie uprzedza o planowanej kontroli. Osoby kontrolujące można również zweryfikować dzwoniąc pod numer 22/531-07-71. Informacje, jakie możemy uzyskać pod tym numerem, to: imię i nazwisko kontrolera, numer legitymacji, fakt wydania upoważnienia do dokonania kontroli w danym podmiocie. Komplet tych danych umożliwi jednoznaczne zidentyfikowanie prawdziwych kontrolerów.
