Сообщение о наборе персональных данных в GIODO

1. Шаг 0 - Правовая основа для уведомления в GIODO
2. Вариант 1
3. Вариант 2
4. Вариант 3
5. Шаг 1 - Данные администратора персональных данных
6. Шаг 2 - Данные представителя ADO
7. Шаг 3 - Доверить обработку персональных данных
8. Что означают вышеуказанные положения на практике?
9. Договор на передачу персональных данных
10. Когда мы доверяем личные данные третьей стороне?
11. Заполнение формы
12. Шаг 4 Правовая основа, позволяющая хранить набор данных
13. Шаг 5 - Цель обработки персональных данных в наборе
14. Шаг 6 - Описание категории субъектов данных
15. Шаг 7 - Объем данных, обрабатываемых о лицах в наборе данных
16. Шаг 8 - Другие личные данные, помимо перечисленных в пункте 7, обрабатываются в сборе
17. Шаг 9 - конфиденциальные данные
18. Шаг 10 - Правовая основа для обработки данных, указанная в пункте 9
19. Шаг 11 - Источник персональных данных
20. Шаг 12 - Будут ли предоставлены данные из коллекции?
21. Шаг 13 - Получатели или категории получателей, которым могут быть переданы данные
22. Шаг 14 - третья страна
23. Шаг 15 - технические и организационные меры
24. Шаг 16 - Выполнение требований, изложенных в ст. 36-39 Закона о ОДО
25. Шаг 17 - Уровни безопасности ОДО
26. Шаг 18 - контактные данные
27. Шаг 19 - отправка заявки

Автор: - Дата: 1 сентября 2016 г.

Подача заявки на регистрацию файла персональных данных в GIODO является законным обязательством каждого Администратора данных (ADO), если Компания не была назначена Администратором информационной безопасности (ABI) и когда сбор не подлежит освобождению от обязанности регистрироваться.

Сама процедура уведомления является заявлением ADO. Заявление GIODO может быть подано на бумажном носителе, то есть на форму, загруженную с веб-сайта GIODO, которая затем должна быть заполнена в текстовом редакторе, затем распечатана, подписана и отправлена ​​на адрес GIODO.

Более удобный метод заполнение электронной формы на сайте GIODO и отправив его через сайт. Если у вас нет электронной подписи, вам также нужно будет распечатать заявку и отправить ее по адресу GIODO, но преимущество этой формы в том, что заявка будет обрабатываться быстрее, поскольку она будет зарегистрирована в электронной системе GIODO.

Само приложение состоит из десятка или около того небольших форм, которые должны быть заполнены, если это применимо.

Шаг 0 - Правовая основа для уведомления в GIODO

В первой форме заявки мы определяем правовую основу, на которой подана заявка.

Есть три варианта на выбор - три правовых основания:

• представление коллекции в соответствии со ст. 40 Закона от 29 августа 1997 года о защите личных данных (Законодательный вестник 2002 года № 101, пункт 926, с изменениями),
• уведомление об изменениях на основании ст. 41 пар. 2 Закона от 29 августа 1997 года о защите персональных данных,
• представление файла, в котором данные, указанные в ст. 27 параграф 1 Закона от 29 августа 1997 года о защите персональных данных.

Вариант 1

Первый вариант должен быть отмечен, если мы регистрируем коллекцию, предполагая, что мы не собираем и не обрабатываем конфиденциальные данные.

Правовая основа: статья 40. [Применение набора данных для регистрации]

Контролер данных обязан предоставить набор данных для регистрации Генеральному инспектору, за исключением случаев, указанных в ст. 43 пар. 1 и 1а.

Вариант 2

Второй вариант применяется, если у нас уже есть зарегистрированный файл, но произошли изменения в информации, которую мы предоставили при регистрации набора. Тогда это применимо как ниже:

Правовая основа: ст. 41, п. 2.

Контролер данных обязан сообщать Генеральному инспектору о любом изменении информации, указанной в п. 1, в течение 30 дней с даты внесения изменений в набор данных , в соответствии с пунктом 3.

Вариант 3

Третий вариант применим, когда мы подаем файл личных данных, который содержит конфиденциальные данные .

Конфиденциальные данные - это данные, которые включают расовое или этническое происхождение, политические взгляды, религиозные или философские убеждения, принадлежность к религии, партиям или профсоюзам, а также данные о состоянии здоровья, генетическом коде, зависимости или половой жизни, а также данные об осуждениях, наказаниях и штрафы, а также другие решения, вынесенные в судебном или административном порядке.

Шаг 1 - Данные администратора персональных данных

Прежде всего, дайте название сета. Что касается требований, касающихся названия коллекции, она должна соответствовать типу данных, обрабатываемых в наборе.

Если вы хотите зарегистрировать набор клиентов компании, вы можете использовать имя «Клиентская база компании» или «Клиенты компании». Если вы регистрируете коллекцию в маркетинговых целях, вы можете использовать название «Маркетинговая база». Зарегистрировав коллекцию покупателей в интернет-магазине, вы можете использовать имя «Клиенты интернет-магазина nazwaasklepu.pl». Следует помнить, что позднее это имя будет доступно общественности в поисковой системе GIODO, в которой представлены зарегистрированные коллекции.

В следующем разделе формы введите реквизиты компании, которая подает заявку. Введите название компании, номер REGON, город, в котором зарегистрирована компания, почтовый индекс и улицу, номер дома / здания вместе с номером квартиры.

Важно, чтобы приведенные здесь данные соответствовали регистрационным данным компании, доступным в таких регистрах, как REGON, CEIDG и KRS. Если компания зарегистрирована под адресом X, но она проводит операции под адресом Y, то вам следует предоставить адрес Y. К сожалению, изменение служебного адреса будет необходимо для обновления приложения GIODO.

Шаг 2 - Данные представителя ADO

Правовая основа: статья 31а. [Обработка данных субъектами, созданными или проживающими в третьей стране]

В случае обработки персональных данных лицами, имеющими зарегистрированный офис или место жительства в третьей стране, контролер обязан назначить представителя в Республике Польша.

Если ваша компания находится в третьей стране, то есть в стране, которая не входит в Европейское экономическое пространство, и если она обрабатывает персональные данные с использованием технических средств, расположенных на территории нашей страны, то обязательно назначить представителя в Польше.

На практике этот сценарий встречается крайне редко. Если вышеупомянутые условия не выполнены, вам не нужно предоставлять какую-либо информацию в этой форме, и вы можете перейти к следующему шагу.

Шаг 3 - Доверить обработку персональных данных

Очень распространенным явлением, с которым мы имеем дело, является передача личных данных другому лицу.

Правовая основа Статья 31. [Поручение обработки данных другому лицу]

1. Контролер данных может поручить другому объекту путем заключения письменного соглашения обработку данных.

2. Сущность, указанная в пункте 1, может обрабатывать данные только в объеме и целях, оговоренных в договоре.

2а. Для этого не требуется договор между администратором и лицом, указанным в пункте 1, поручая обработку данных, включая передачу данных, если она происходит между объектами, упомянутыми в ст. 3 пар. 1.

3. Сущность, указанная в пункте 1, обязан принять меры для обеспечения безопасности набора данных, указанных в ст. 36-39, и соответствуют требованиям, указанным в правилах, указанных в ст. 39а. С точки зрения соответствия этим положениям организация несет ответственность в качестве контролера данных.

4. В случаях, указанных в пункте 1-3, ответственность за соблюдение положений настоящего Закона лежит на контроллере данных, что не исключает ответственности лица, заключившего договор на обработку данных в нарушение настоящего соглашения.

5. Проверить соответствие обработки данных лицом, указанным в пункте 1, положения ст. 14-19.

Что означают вышеуказанные положения на практике?

Следует отметить, что проблема идентификации лиц, которым доверены личные данные, не является простой. ADO может поручить обработку персональных данных другой компании. Он делает это на свой страх и риск. Это первый из самых важных вопросов. Вы должны выбрать такие организации (третьи стороны), которые обеспечат соответствующий уровень безопасности и дадут нам гарантию того, что ADO будет обрабатывать и защищать ваши персональные данные в соответствии с требованиями Закона.

Основное намерение искусства. 31 Уодо состоит в том, чтобы предотвратить ситуацию, когда передача ADO другому объекту обработки данных приведет к ослаблению защиты, истощит права субъектов данных.

Договор на передачу персональных данных

Это важный документ для ADO. Такой договор в первую очередь обеспечивает безопасность самого ADO. Контракт должен включать объем и цель обработки данных третьей стороной, обработку данных которой мы поручаем. Он также должен включать ответственность этой компании за соблюдение требований законодательства, указанных в ст. 36-39 уодо

На практике, если третье лицо не выполняет вышеуказанные обязательства, договорные условия и критерии выбора компании могут быть существенным аспектом, смягчающим последствия нарушений закона, которые были не по вине ADO, а из-за небрежности компании, чьи личные данные были доверены ,

Когда мы доверяем личные данные третьей стороне?

Сбор и обработка пользовательских данных часто осуществляется маркетинговыми и рекламными компаниями, пытающимися маркировать и собирать потенциальных покупателей конкретных товаров или услуг.

Предметом заказа также могут быть некоторые компании, поддерживающие ADO в выполнении его процедурных обязательств. Например, вы можете только запросить удаление данных (уничтожение файлов, удаление контента с электронных носителей и т. Д.).

Другим примером является хостинговая компания, с которой ADO сотрудничает в области аренды ИТ-инфраструктуры, например, WWW-сервер, программное обеспечение, работающее по модели SaaS.

Заполнение формы

Если ваша компания доверяет личные данные другой компании, использующей ее услуги, во время обработки данных установите первый флажок и в текстовом поле перечислите все компании со следующими данными:

название компании, адрес (улица, город, почтовый индекс), NIP, REGON

Шаг 4 Правовая основа, позволяющая хранить набор данных

На этом этапе вы должны указать правовую основу, на которой мы обрабатываем личные данные.

Доступны пять вариантов, а именно:

• согласие данных при условии обработки данных, касающихся его,
• обработка необходима для завершения права или выполнения обязательства по закону
• обработка необходима для исполнения договора, если субъект данных является его стороной или если необходимо принять меры до заключения договора по требованию субъекта данных,
• обработка необходима для реализации задач, определенных для общественного блага
• обработка необходима для достижения юридически обоснованных целей, выполняемых контролерами данных или получателями данных, и обработка не нарушает прав и свобод субъекта данных.

В коммерческой компании на практике мы можем иметь дело с вариантом 1 или 3.

Первый вариант относится к ситуации, когда клиент, предоставляющий свои персональные данные, соглашается на их обработку для конкретной цели. Это может быть подтверждением согласия в договоре о том, что данное лицо подписывает или ставит галочку в поле согласия на веб-сайте.

Третий вариант относится к ситуации, когда мы заключаем договор с физическим лицом и чтобы иметь возможность его выполнять, мы должны иметь возможность обрабатывать его личные данные. В этом случае клиент не обязан давать нам согласие на обработку персональных данных для выполнения договора. На практике, если мы заключаем соглашение с клиентом, например, в бумажной форме или по телефону, нам не нужно получать от него согласие на обработку его персональных данных для выполнения этого контракта. Аналогично, это происходит в интернет-магазине - если клиент размещает заказ (заключает договор купли-продажи), вам не нужно получать от него согласие на обработку его данных для выполнения этого договора. То же самое относится к регистрации учетной записи в магазине или на веб-сайте, где целью является реализация договора на предоставление электронных услуг.

На этом этапе следует помнить, что мы не можем использовать эти данные для целей, отличных от выполнения контракта. Если вы хотите отправить рекламное сообщение или новостную рассылку позднее, это не относится к случаю другого контракта.

Шаг 5 - Цель обработки персональных данных в наборе

На следующем этапе необходимо определить цель, с которой мы собираем и обрабатываем персональные данные.

Его следует поместить в текстовое поле, в котором и краткая информация, например:

• «Маркетинг и продвижение товаров / услуг» - если база персональных данных будет использоваться для отправки бюллетеня
• «Предоставление услуг в электронном виде» - если создаваемая база данных является базой данных пользователей сайта или интернет-магазина;
• «Реализация договоров купли-продажи» - если мы имеем дело с базой данных клиентов, которым мы продаем наши товары или услуги.

Описание цели должно четко указывать цель обработки. Важно не объединять цели обработки в одном приложении. Это может быть причиной его отклонения или возникнет необходимость исправить или уточнить действительную цель обработки персональных данных.

Шаг 6 - Описание категории субъектов данных

Следующая информация, которая должна быть предоставлена, это информация, относящаяся к категории субъектов данных. На практике это следует называть набором целевых людей из точки видение бизнеса.

Это может быть, например:

• Клиенты компании;
• Лица, подающие жалобу;
• Претенденты на кредит;
• Люди, которые хотят заключить договор или иметь договор с администратором данных для предоставления услуг или сотрудничества.

Важно, чтобы имя включало в свою сферу полный круг лиц, имеющих отношение к цели обработки персональных данных.

Шаг 7 - Объем данных, обрабатываемых о лицах в наборе данных

В форме должно быть указано, какой тип стандартных персональных данных составляет зарегистрированный сбор персональных данных. Если в списке нет личных данных, которые будут собраны на следующем этапе, их можно будет указать.

При регистрации необходимо запомнить несколько важных деталей, например, замену NIP номером PESEL. В свете действующего законодательства не каждый физическое лицо должно иметь налоговый идентификационный номер. Можно использовать номер PESEL в качестве идентификационного номера налогоплательщика.

Шаг 8 - Другие личные данные, помимо перечисленных в пункте 7, обрабатываются в сборе

На этом этапе вы должны указать дополнительные категории персональных данных, которые собираются в сборе. В текстовом поле необходимо указать тип собираемых данных, разделяя их точкой с запятой или запятой.

Шаг 9 - конфиденциальные данные

Если конфиденциальные данные собираются и обрабатываются в наборе персональных данных, то необходимо указать, какие типы данных собираются здесь.

На этом этапе следует помнить о согласованности информации, представленной на шаге 0, где указывался тип заявки.

Конфиденциальные данные - это данные, раскрывающие:

• расовое происхождение,
• этническая принадлежность,
• политические взгляды,
• религиозные верования,
• философские верования,
• религиозная принадлежность,
• партийная принадлежность,
• членство в профсоюзе,
• состояние здоровья,
• генетический код,
• аддикции,
• половая жизнь,

и относительно:

• убеждений,
• штрафные билеты,
• решения о наказании,
• другие решения, вынесенные в судебном или административном порядке.

Вопреки видимости, конфиденциальные личные данные могут обрабатываться чаще, чем кажется. Многие ADO не поддерживают работу с различными типами веб-сайтов, которые собирают конфиденциальную личную информацию.

Например, в случае использования сайта социальной сети или сайта знакомств мы имеем дело, помимо стандартных личных данных, с конфиденциальными данными, которые, помимо прочего, могут относиться к состоянию здоровья, сексуальным предпочтениям и зависимостям. То же самое относится к различным типам сайтов объявлений, которые содержат социальные объявления.

Ведение веб-сайта, тема которого связана со здоровьем, посредством которого собирается информация о состоянии здоровья пользователя, например, для представления правильной диеты - мы имеем дело с конфиденциальными данными.

Другая аналогия может быть найдена в случае стационарных действий. Примером является массажный салон, где заполняется анкета, не страдает ли клиент сердечными заболеваниями, нет ли кардиостимулятора, а женщина беременна. На практике существует множество ситуаций, когда физические лица заполняют стандартные вопросники, предназначенные для сбора сведений о состоянии здоровья, которые могут потенциально повлиять на возможность службы и, следовательно, на ответственность за ее реализацию.

Шаг 10 - Правовая основа для обработки данных, указанная в пункте 9

Если какой-либо вариант, указывающий на сбор конфиденциальных персональных данных, был отмечен на предыдущем этапе, необходимо указать здесь правовую основу, на основании которой персональные данные собираются и обрабатываются.

Если на шаге 9 не указана категория конфиденциальных данных, то этот шаг пропускается при навигации по форме.

Шаг 11 - Источник персональных данных

Здесь вы должны указать, откуда собираются личные данные. Есть два возможных случая:

• непосредственно от субъекта данных
• из внешнего источника

Примером прямого сбора данных является ситуация, когда данные передаются, например, с помощью формы на веб-странице или при заключении договора в офисе компании путем предоставления их клиентом.
Примером другого источника является покупка личной базы данных у третьей стороны. На этом этапе стоит отметить, получила ли компания, у которой была совершена покупка, согласие на передачу персональных данных (по умолчанию: в маркетинговых целях) третьим лицам компании, чьи персональные данные были доверены.

Шаг 12 - Будут ли предоставлены данные из коллекции?

На этом этапе эта опция должна быть отмечена, если личные данные передаются третьим лицам.

Указав список организаций, которым передаются данные, следует знать, в чем разница между доверием личных данных и совместным использованием личных данных?

Доверие персональных данных заключается в том, что ADO поручает посредством письменного договора обработку персональных данных - полностью или частично - другому лицу. Это означает, что ADO не обязан лично выполнять все действия, связанные с обработкой персональных данных. На практике контракт на доверительное управление обработкой данных заключается, например, с целью получения дебиторской задолженности или в связи с передачей на аутсорсинг некоторых задач администратора с использованием услуг хостинга, то есть ИТ-инфраструктуры, в которой хранятся личные данные (так называемый аутсорсинг).

С другой стороны, обмен личными данными может быть определен как любая деятельность, которая дает другим людям возможность ознакомиться с личными данными. Совместное использование может включать передачу личных данных в устной, письменной или иной форме, например, через Интернет.

Органы государственной власти и территориального самоуправления, которым предоставляются данные в связи с разбирательством, исключаются из сферы доступа.

Примеры компаний, которым персональные данные передаются, но не доверяются:

• компании, поставляющие товары,
• компании, которые обслуживают платежные услуги как посредством банковских переводов, так и посредством электронных платежей - онлайн-платежей.

Шаг 13 - Получатели или категории получателей, которым могут быть переданы данные

Если на предыдущем шаге была выбрана опция, тогда в текстовом поле следует заменить данные компании, персональные данные которой передаются.

Достаточно предоставить такие данные, как: название компании, улица, почтовый индекс, город и REGON компании, персональные данные которой были переданы.

Шаг 14 - третья страна

Здесь вы должны указать третьи стороны, местонахождение которых является страной, не входящей в Европейское экономическое пространство, в которую передаются личные данные.

Такая ситуация может иметь место, когда компания использует хостинг, например, компанию, базирующуюся в США, или использует аналитические или другие инструменты, которыми управляет компания из-за пределов ЕЭЗ - например, инструмент для чата на веб-сайте, где услуги предоставляются компанией с США.

Если это так, пожалуйста, предоставьте полную информацию о компании, в которую передаются личные данные, например, название компании, улица, почтовый индекс, город, страна .

Шаг 15 - технические и организационные меры

На этом этапе следует определить, выполняется ли набор централизованно или в распределенной архитектуре. Централизованное хранение набора данных , как в случае обработки данных в ИТ-системе, так и в так называемой Традиционная (бумажная) система подразумевает размещение данных в одном месте . Сбор ведется централизованно в ситуации сбора данных (как в бумажном виде, так и на сервере) в одной комнате или здании.

Сохранение набора в распределенной архитектуре , как в случае обработки данных в ИТ-системе, так и в так называемой Традиционная (бумажная) система означает, что данные обрабатываются децентрализованно . Набор запускается в распределенной архитектуре (в случае обработки данных в ИТ-системе), например, в случае сбора данных на двух серверах, расположенных в отдельных зданиях.
Следующий пункт должен указать, хранится ли коллекция в бумажном или электронном виде. Может возникнуть ситуация, когда сбор проводится в обеих формах. Например, данные собираются через бумажные формы и затем вводятся в ИТ-систему.

В следующем пункте должна быть отмечена соответствующая ИТ-среда, в которой обрабатываются персональные данные, в соответствии с критериями доступа устройств, обрабатывающих персональные данные, к Интернету. В настоящее время сложно представить ситуацию, когда устройства полностью отключены от Интернета. Это может иметь место, но на практике это происходит редко. На этом этапе следует иметь в виду, что если компьютер, на котором мы обрабатываем личные данные, например, мы используем программное обеспечение, благодаря которому у нас есть доступ к данным, и в то же время это устройство для повседневной работы, то есть с доступом к Интернету, необходимо снять флажок «используя по крайней мере одно оборудование ИТ-системы, используемое для обработки персональных данных, подключенных к общедоступной сети (например, Интернет)».

Следует признать, что система, используемая для обработки персональных данных, подключается к общедоступной сети, если по меньшей мере одно устройство (компьютер, маршрутизатор, модем), являющееся ее частью, подключено к общедоступной сети, то есть с телекоммуникационной сетью, используемой в основном для предоставления общедоступных телекоммуникационных услуг в значении положения Закона от 16 июля 2004 года «О телекоммуникациях» (Законодательный вестник 2014.243, с изменениями).

Шаг 16 - Выполнение требований, изложенных в ст. 36-39 Закона о ОДО

Форма на этом этапе очень обширна. В первой части мы должны предоставить информацию о том, кто находится в роли ABI (администратора информационной безопасности), то есть, было ли физическое лицо назначено в качестве ABI, или же само ADO выполняет эти обязанности.

На практике, если компания была назначена ABI, то, если в коллекции нет конфиденциальных личных данных, нет необходимости регистрировать файлы в GIODO.

Следующая часть должна указывать, разрешено ли обрабатывать данные только лицам, уполномоченным контроллером данных, и есть ли записи лиц, уполномоченных обрабатывать данные. Это один из многих элементов реализации политики безопасности компании, когда сотрудники компании должны иметь соответствующие разрешения, а ADO или ABI должны вести соответствующий реестр.

Еще два вопроса, а именно: была ли разработана и внедрена политика безопасности и была ли разработана и внедрена инструкция по управлению ИТ-системой , - это заявление ADO о том, что компания подготовила документацию, то есть политику безопасности с инструкциями. Это два очень важных документа, которые должны быть представлены в случае проверки GIODO. Подготовка и хранение этих документов является обязательным требованием .

В следующих разделах формы, пожалуйста, укажите, какие другие меры, помимо упомянутых выше, были использованы для защиты ваших личных данных.

В следующих разделах коробки должны быть соответствующим образом помечены в соответствии с фактическим состоянием компании.

Шаг 17 - Уровни безопасности ОДО

Здесь вы должны указать, какие уровни безопасности используются ADO.

В целом, существует три уровня безопасности:

• базовый уровень,
• повышенный уровень,
• высокий уровень

Если набор персональных данных не содержит конфиденциальных данных и ни одно из оборудования ИТ-системы, использованного для обработки персональных данных, не подключено к общедоступной сети , ADO должен соответствовать техническим и организационным требованиям на базовом уровне .

Если набор персональных данных содержит конфиденциальные персональные данные и ни одно из оборудования ИТ-системы, используемого для обработки персональных данных, не подключено к общедоступной сети , то ADO должен удовлетворять техническим и организационным требованиям на повышенном уровне .

У нас всегда будет высокий уровень, если к общедоступной сети подключено хотя бы одно устройство ИТ-системы . Факт обработки конфиденциальных данных не имеет значения в данный момент.

Шаг 18 - контактные данные

На данный момент, пожалуйста, укажите адрес электронной почты для переписки с GIODO. Это электронное письмо только для связи с GIODO для отправки заявки. Имя пользователя и пароль для входа на веб-сайт GIODO будут отправлены на этот адрес электронной почты после отправки приложения для мониторинга состояния приложения.

Нет необходимости прикреплять документы, т.е. политику безопасности или инструкции по управлению.

Если у вас нет квалифицированного сертификата или доверенного профиля ePUAP, вы должны проверить отказ от писем с помощью электронных средств связи.

Шаг 19 - отправка заявки

На данный момент, вы можете отправить заявку в GIODO. Если заявка отправляется без электронной подписи, выберите соответствующую опцию. Приложение будет зарегистрировано в ИТ-системе GIODO.

Важно!

После отправки заявки можно будет распечатать заявку. Это необходимо сделать, чтобы заполнить заявку, отправленную без электронной подписи. После распечатки заявления оно должно быть подписано (ADO) и отправлено по адресу, указанному на сайте, по почте. Стоит отправить заявку хотя бы заказным письмом, чтобы быть уверенным, что документ поступил в GIODO.

После отправки заявки на адрес электронной почты должна прийти переписка с GIODO в области доступа к данным в профиле в GIODO, где вы можете отслеживать статус приложения.

К сожалению, GIODO не сообщает о том, что коллекция была зарегистрирована. Вы должны регулярно проверять статус, но время ожидания для регистрации достаточно велико и составляет несколько месяцев.

Сам факт отправки заявки, если в файле нет конфиденциальных данных, дает ADO право обрабатывать личные данные. Нет необходимости ждать регистрации коллекции.

Похожие

Комментарии