2018.05.22 - informacja RODO

Przypominam, że od dnia 25.05.br wchodzą w życie przepisy unijnego rozporządzenia o ochronie danych osobowych RODO. Pełną informację uzyskacie Państwo w działach prawnych zajmujących się tą kwestią.

W związku z faktem, iż w wykonaniu umowy o prowadzenie usług nasza firma będzie sprawować dwojaką funkcje :
 

1. pełnić wobec Państwa funkcję Administratora Danych osobowych – proszę o zapoznanie się z pismem „Informacja dla klientów ...”
   
   Pismo może zostać użyte jako wzór dla własnych celów.
    

2. zostaje nam powierzone przetwarzanie danych osobowych Państwa klientów i/lub pracowników, każda z obsługiwanych przez nas firm, pełniąca wobec swoich klientów/pracowników funkcje Administratora danych osobowych, powinna :

       - przyjąć Politykę ochrony danych

       - poinformować o tym swoich klientów/pracowników

       - podpisać z nami umowę o powierzenie przetwarzania w/w danych.

     Na prośbę naszych klientów załączam wzór umowy.

 

Czynności związane z Państwa obsługą, wynikającą z umowy o powierzenie przetwarzania danych osobowych, rozliczane będą jedynie w przypadku zaistnienia danych zdarzeń, jako usługi dodatkowe, wg stawki godzinowej.

 

Uwaga !

W praktyce czynności wykonywane w ramach RODO występują rzadko, na żądanie osób zainteresowanych (pracowników, klientów). Jedyną odpłatną czynnością stałą, zajmującą określoną ilość czasu miesięcznie, może być prowadzenie Rejestru Czynności Przetwarzania danych osobowych (RCP).
Do państwa decyzji zawartej w Polityce ochrony danych pozostaje, czy zlecicie Państwo, czy nie, wykonanie przez nas tych czynności (zlecenie wiąże się z odpowiednim dodatkowym zapisem w załączonej umowie). Większość analiz uważa, że tego typu rejestr jest obowiązkowy dla wszystkich firm. Osobiście się z tym nie zgadzam, gdyż analizy nie są prowadzone z punktu widzenia mikroprzedsiębiorstwa. Ale tak jak napisałem – decyzja należy do Państwa.

Poniżej garść informacji, proszę także o konsultacje z prawnikiem :
 

Prowadzenie RCP nie jest obowiązkowe dla podmiotów zatrudniających poniżej 250 osób, pod warunkiem, że (m.in.) przetwarzanie danych nie ma charakteru sporadycznego, nie może powodować naruszenia praw lub wolności osób i nie obejmuje szczególnych kategorii danych (np. o stanie zdrowia, przynależność do związków zawodowych, karalności).
Ponieważ w standardowych przypadkach nie przetwarzamy danych wrażliwych (informacji o stanie zdrowia, wypadku przy pracy, poglądach politycznych, oprzynależności do związków zawodowych, informacji o naruszeniu prawa itp.), zazwyczaj jedynym wyznacznikiem obowiązku prowadzenia RCP dla większości MiŚ będzie kwestia „sporadyczności” przetwarzania, rozumiana bardzo wieloznacznie.

Wg. Słownika języka polskiego PWN : sporadyczny «występujący rzadko, nieregularnie» . Synonimy tego słowa to zarówno okazjonalny, epizodyczny, incydentalny, chaotyczny, dorywczy, jak i : nieczęsty, niepowszedni, okresowy, skokowy, z przerwami.

Należy zauważyć, że dane naszych klientów, jakkolwiek nie są przetwarzane okazjonalnie czy dorywczo, ale jednak okresowo, z  przerwami (około 1 m-ca, co w porównaniu do firm marketingowych, pracujących na danych codziennie może być uznane za nieczęste), z pewnością nie w sposób powszedni ani regularny (nie w stałym dniu miesiąca – zależy to od dostarczenia dokumentów przez klienta, miejsca w kolejności dostarczeń, świąt, urlopów itp.). Po rozliczeniu miesiąca dane przestają być przedmiotem przetwarzania do chwili otrzymania przez nas kolejnych dokumentów.

Niestety na wsparcie GIODO w tym zakresie nie możemy liczyć. Opublikowane „Wskazówki i wyjaśnienia” (https://giodo.gov.pl/pl/1520281/10449) zawierają tylko obietnicę publikacji stanowiska „Grupy Roboczej Art. 29”, co do dnia dzisiejszego – jak można było się spodziewać - nie nastąpiło ( https://giodo.gov.pl/pl/1520344 )