Prezes UODO

Prezes UODO to organ nadzorczy odpowiedzialny za egzekwowanie ochrony danych osobowych w Polsce.

Prezes UODO – czym jest ten organ i za co odpowiada

Prezes UODO to centralny organ publiczny, którego zadaniem jest nadzorowanie przestrzegania przepisów o ochronie danych osobowych w Polsce. W praktyce oznacza to kontrolowanie, czy dane osób fizycznych są zbierane, wykorzystywane, przechowywane i udostępniane zgodnie z prawem. Organ ten działa w obszarze obejmującym zarówno podmioty publiczne, jak i przedsiębiorców, organizacje społeczne, placówki oświatowe, podmioty medyczne oraz osoby prowadzące działalność gospodarczą.

Zakres działania Prezesa UODO wiąże się przede wszystkim z przepisami RODO oraz krajowymi regulacjami uzupełniającymi. Nie chodzi wyłącznie o reagowanie na wycieki informacji. Ocenie podlega również sposób uzyskiwania zgód, realizacja obowiązku informacyjnego, dobór zabezpieczeń, okres przechowywania dokumentacji, obsługa żądań osób, których dane dotyczą, a także legalność przekazywania danych innym podmiotom.

Prezes UODO może prowadzić postępowania administracyjne, przeprowadzać kontrole, wydawać decyzje oraz nakazywać określone działania naprawcze. W zależności od okoliczności może zostać nakazane usunięcie uchybień, ograniczenie przetwarzania, zaprzestanie określonego sposobu wykorzystywania danych albo poinformowanie osób o naruszeniu ich praw. Istotne jest więc nie tylko samo posiadanie procedur, lecz także ich rzeczywiste stosowanie i możliwość wykazania, że przyjęte rozwiązania odpowiadają ryzyku.

Prezes UODO w kontekście technicznym i prawnym

Ochrona danych osobowych ma wymiar prawny, organizacyjny i techniczny. Prezes UODO nie ocenia jedynie treści regulaminów lub klauzul informacyjnych. Znaczenie ma także sposób działania systemów informatycznych, konfiguracja kont użytkowników, zarządzanie uprawnieniami, wykonywanie kopii zapasowych, szyfrowanie nośników oraz rejestrowanie dostępu do informacji. W przypadku dokumentacji papierowej analizie może podlegać sposób przechowywania akt, kontrola dostępu do pomieszczeń i zasady niszczenia zbędnych materiałów.

Wymagany poziom zabezpieczeń nie jest identyczny dla każdej organizacji. Pod uwagę bierze się między innymi rodzaj danych, skalę przetwarzania, liczbę osób mających dostęp, możliwe skutki naruszenia oraz prawdopodobieństwo wystąpienia zagrożenia. Inaczej projektuje się ochronę zwykłych danych kontaktowych, a inaczej dokumentacji zawierającej informacje o zdrowiu, sytuacji finansowej lub innych szczególnie wrażliwych okolicznościach.

Ważne jest odróżnienie Prezesa UODO od administratora danych. Administrator samodzielnie ustala cele i sposoby przetwarzania danych, natomiast organ nadzorczy kontroluje zgodność tych działań z przepisami. Podmiot przetwarzający wykonuje określone czynności na podstawie polecenia administratora. Obowiązki każdej z tych ról powinny być opisane w sposób zrozumiały, a odpowiedzialność nie może być przenoszona wyłącznie na dostawcę programu lub urządzenia.

W porównaniu z wewnętrzną kontrolą zgodności, postępowanie prowadzone przez Prezesa UODO ma charakter zewnętrzny i władczy. Audyt wewnętrzny może wskazać ryzyko oraz zalecić poprawki, natomiast organ nadzorczy może wydać formalną decyzję, której wykonanie podlega określonym regułom. Z tego powodu korespondencja z urzędem, kompletność dokumentów i terminowe przekazywanie informacji mają praktyczne znaczenie dla dalszego przebiegu sprawy.

Prezes UODO a typowe problemy z danymi osobowymi

Do częstych problemów należą nieuprawniony dostęp do skrzynki pocztowej, utrata laptopa, przesłanie pliku do niewłaściwego odbiorcy, błędne ustawienie uprawnień do folderu oraz pozostawienie danych bez odpowiedniej ochrony. Naruszeniem może być również przypadkowe ujawnienie listy adresowej, opublikowanie dokumentu zawierającego dane osobowe albo umożliwienie dostępu do informacji osobie, która nie powinna ich otrzymać.

Znaczenie ma szybkość reakcji. Po stwierdzeniu incydentu powinno zostać ustalone, jakie dane zostały objęte zdarzeniem, ilu osób dotyczy problem, kiedy doszło do naruszenia, kto mógł uzyskać dostęp i jakie działania ograniczające podjęto. Należy zabezpieczyć dostępne logi, wiadomości, kopie plików oraz inne ślady techniczne. Pochopne usuwanie informacji może utrudnić odtworzenie przebiegu zdarzenia.

Nie każde zdarzenie wymaga zgłoszenia do Prezesa UODO, lecz decyzja w tym zakresie powinna wynikać z przeprowadzonej oceny ryzyka. Jeżeli naruszenie może powodować zagrożenie dla praw lub wolności osób fizycznych, zgłoszenie zasadniczo powinno nastąpić bez zbędnej zwłoki, w terminie przewidzianym przez przepisy. W przypadku wysokiego ryzyka może powstać także obowiązek zawiadomienia osób, których dane dotyczą.

Problematyczne bywają również żądania dotyczące dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania lub przeniesienia. Nie wystarczy pozostawienie wiadomości bez odpowiedzi. Konieczne jest rozpoznanie tożsamości osoby składającej żądanie, sprawdzenie podstaw prawnych oraz udzielenie odpowiedzi w wymaganym terminie. Odmowa realizacji żądania powinna być uzasadniona, a niektóre przypadki wymagają wskazania możliwości wniesienia skargi do organu nadzorczego.

Prezes UODO – praktyczne wskazówki dotyczące bezpieczeństwa

Podstawą prawidłowego przygotowania jest spisanie, jakie dane są przetwarzane, skąd pochodzą, w jakim celu są wykorzystywane, gdzie są przechowywane i komu mogą być przekazywane. Taka mapa informacji pomaga wykryć zbędne kopie, nieaktualne konta oraz miejsca, w których dostęp został przyznany zbyt szeroko. Powinno się także określić okresy przechowywania i sposób bezpiecznego usuwania danych po ustaniu celu.

W obszarze technicznym warto stosować indywidualne konta użytkowników, silne hasła, dodatkowe uwierzytelnianie, automatyczne aktualizacje oraz ograniczenie uprawnień do zakresu potrzebnego przy wykonywaniu obowiązków. Kopie zapasowe powinny być wykonywane regularnie i sprawdzane pod kątem możliwości odtworzenia. Samo posiadanie kopii nie daje ochrony, jeżeli są one stale dostępne z tego samego konta lub zapisano je bez zabezpieczenia.

Przydatne jest przygotowanie krótkiej procedury reagowania na incydenty. Powinna wskazywać osobę odpowiedzialną za przyjęcie zgłoszenia, sposób odłączenia zagrożonego urządzenia, zasady zabezpieczenia dowodów oraz ścieżkę podejmowania decyzji o zawiadomieniu Prezesa UODO. Pracownicy powinni wiedzieć, że nie należy samodzielnie ukrywać pomyłki, przekazywać dalej podejrzanych wiadomości ani kasować plików związanych ze zdarzeniem.

Przed rozpoczęciem współpracy z dostawcą usług warto sprawdzić, czy zakres przetwarzania danych został opisany w umowie, czy określono zasady dostępu oraz czy przewidziano obowiązek pomocy przy obsłudze żądań i incydentów. W umowach i formularzach należy unikać ogólnych sformułowań, które nie wskazują celu przetwarzania, kategorii danych ani odpowiedzialności stron. Jasne zasady ułatwiają późniejsze wykazanie zgodności.

Prezes UODO – kiedy zgłosić się do serwisu komputerowego

W sprawach dotyczących Prezesa UODO przydatna może być pomoc przy ustaleniu technicznego przebiegu zdarzenia. Dotyczy to sytuacji, w której urządzenie przestało działać, doszło do utraty dostępu do plików, pojawiło się podejrzenie złośliwego oprogramowania albo potrzebne jest sprawdzenie stanu nośnika przed podjęciem dalszych czynności. W pierwszej kolejności powinno się ograniczyć korzystanie z urządzenia, nie instalować przypadkowych programów i nie podejmować działań, które mogłyby nadpisać istotne dane.

W Warszawie takie czynności wykonuje Warszawskie Pogotowie Komputerowe 24/7. W ramach pomocy serwisowej może zostać przeprowadzona ocena techniczna laptopa, zabezpieczenie danych oraz przygotowanie informacji przydatnych do dalszej analizy incydentu. Naprawy z reguły są wykonywane do 3 dni roboczych, zależnie od rodzaju usterki i zakresu potrzebnych działań.

Serwis komputerowy nie zastępuje prawnika ani organu nadzorczego. Może jednak pomóc w uporządkowaniu faktów technicznych: wskazać możliwą przyczynę utraty dostępu, sprawdzić podstawowe oznaki ingerencji, ocenić stan dysku i podpowiedzieć, jakie informacje warto zachować. Ostateczna ocena obowiązków administratora, konieczności zgłoszenia naruszenia oraz sposobu prowadzenia korespondencji z Prezesem UODO powinna uwzględniać pełny stan faktyczny i właściwe przepisy.

Do konsultacji warto przygotować opis zdarzenia, przybliżony czas jego wystąpienia, wykaz urządzeń, informacje o użytkownikach oraz wiadomości lub komunikaty wyświetlane przez system. Nie powinno się przekazywać niepotrzebnych danych osób trzecich. Im dokładniej zostanie odtworzony przebieg problemu, tym łatwiej rozdzielić działania techniczne od obowiązków organizacyjnych i prawnych związanych z ochroną danych osobowych.