dane osobowe – Strona 2

Fundacja Promocji Mediacji i Edukacji Prawnej Lex Nostra została ukarana administracyjną karą pieniężną w wysokości ponad 13 tys. zł za niezgłoszenie organowi nadzorczemu naruszenia ochrony danych osobowych bez zbędnej zwłoki, oraz niezawiadomieniu o incydencie osób, których dane dotyczą.

Dodatkowo UODO nakazało Fundacji zawiadomienie osób, których dane dotyczą o zaistniałym naruszeniu w terminie 3 dni od doręczenia decyzji.

Jesienią 2020 r. do Urzędu Ochrony Danych Osobowych (UODO) wpłynęło zawiadomienie o podejrzeniu naruszenia zasad przestrzegania przepisów o ochronie danych osobowych przez Fundację Promocji Mediacji i Edukacji Prawnej LEX NOSTRA polegające na utracie danych osobowych wielu osób, jaka miała miejsce na początku 2020 r., na skutek kradzieży teczek zawierających dane osobowe beneficjentów. W związku z tym zaistniała obawa, czy Fundacja w sposób należyty zabezpieczyła dokumenty przed ich utratą oraz administrowała danymi osobowymi w nich zawartymi zgodnie z wymogami wynikającymi z RODO.

UODO zwrócił się do Fundacji o wskazanie, czy w związku z utratą danych osobowych wielu osób na skutek kradzieży teczek zawierających dane osobowe beneficjentów, naruszenie zostało zgłoszone organowi nadzorczemu. W odpowiedzi na pismo Urząd otrzymał odpowiedź, iż Fundacja tego incydentu nie zgłosiła, a dokonana przez nią analiza naruszenia dała ocenę jego wagi na poziomie niskim. Na jej podstawie Fundacja uznała, iż nie doszło do naruszenia skutkującego koniecznością zawiadomienia organu nadzorczego. W toku dalszych czynności ustalono, że naruszenie dotyczyło 96 osób, a utracona dokumentacja zawierała następujące kategorie danych jak m.in. imię, nazwisko, adres do korespondencji, numer telefonu. Co ważne w przypadku 3-4 osób prawdopodobnie utracono także numer PESEL. Natomiast należy zaznaczyć, że szczególne kategorie danych osobowych nie były przetwarzane.

Wobec braku zgłoszenia naruszenia ochrony danych osobowych do UODO oraz braku zawiadomienia o naruszeniu ochrony danych osobowych osób, których dotyczyło naruszenie, organ nadzorczy wszczął wobec Fundacji postępowanie administracyjne.

Zgodnie z RODO w przypadku naruszenia ochrony danych osobowych, administrator danych bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłasza je organowi nadzorczemu. A w sytuacji wysokiego ryzyka dla praw lub wolności osób fizycznych wynikających z naruszenia, administrator musi zawiadomić osobę, której dane dotyczą o zaistniałym incydencie.

Podkreślić należy, że z ryzykiem naruszenia praw lub wolności osób fizycznych mamy do czynienia wówczas, kiedy naruszenie może skutkować fizyczną, materialną lub niematerialną szkodą dla osób fizycznych. Możliwe konsekwencje nie muszą się zmaterializować, samo potencjalne wystąpienie ryzyka dla praw lub wolności powinno skłonić administratora danych osobowych, do zgłoszenia naruszenia oraz powiadomienia o incydencie zainteresowanych osób. Nie bez znaczenia jest fakt, iż Fundacja nie jest w stanie dokładnie wskazać kategorii danych osobowych zawartych w utraconej dokumentacji, co mogło przyczynić się do niewłaściwego oszacowania przez nią ryzyka naruszenia. Ukarany podmiot sam też nie próbował zweryfikować faktycznego zakresu danych osobowych, które zostały objęte naruszeniem.

Fundacja, podejmując decyzję o niezawiadomieniu o naruszeniu organu nadzorczego, jak i osób, których dane dotyczą, w praktyce pozbawiła te osoby możliwości przeciwdziałania potencjalnym szkodom. Zawiadamiając bez zbędnej zwłoki podmiot danych, administrator umożliwia osobie podjęcie niezbędnych działań zapobiegawczych w celu ochrony praw lub wolności przed negatywnymi skutkami naruszenia. W toku postępowania ustalono, iż utracona dokumentacja nie podlegała odtworzeniu. Zatem jeżeli Fundacja nie posiada kopii skradzionych dokumentów, nie jest w stanie ich odtworzyć lub nie przetwarza tych danych przy użyciu systemu informatycznego, i tym samym nie jest w stanie zidentyfikować osób, których dane dotyczą, to powinna dokonać zawiadomienia tych osób w sposób ogólny np. poprzez wydanie publicznego komunikatu.

W ocenie UODO, zastosowana administracyjna kara pieniężna spełnia w swoje funkcje, a zatem jest – w tym indywidualnym przypadku – skuteczna, proporcjonalna i odstraszająca.

UODO, decyzja: DKN.5131.11.2020

CZYTAJ DALEJ

Podczas 51. posiedzenia plenarnego, które odbyło się 7 lipca 2021 r., EROD przyjęła, po konsultacjach publicznych, ostateczną wersję Wytycznych 7/2020 w sprawie pojęć administratora i podmiotu przetwarzającego na gruncie RODO.

Dokument składa się z dwóch głównych części: pierwsza ma na celu wyjaśnienie pojęć „administratora”, „współadministratora”, „podmiotu przetwarzającego”, „strony trzeciej”, druga zaś zawiera opis i wyjaśnienie konsekwencji przypisania różnych ról w operacji przetwarzania danych osobowych. Wytyczne zawierają także diagram, który dostarcza dalszych praktycznych wskazówek i ułatwia podmiotom dokładne zrozumienie ww. pojęć.

W wyniku zakończonych w październiku 2020 r. konsultacji publicznych EROD uwzględniła część zgłoszonych uwag i opracowała nową wersję dokumentu, wprowadzając dodatkowe wyjaśnienia w zakresie zagadnień takich jak: rozróżnienie między sposobami przetwarzania kluczowymi/niekluczowymi (tzw. „essential/non-essential means”), wyznaczanie współadministratorów przez prawo, sytuacja w grupie przedsiębiorstw, współadministrowanie a „wspólne korzyści”, usługi w chmurze i brak równowagi sił, koszty audytów, rola podmiotów przetwarzających w odniesieniu do naruszeń ochrony danych.

źródło: UODO

CZYTAJ DALEJ

GUS, biorąc pod uwagę zastrzeżenia Prezesa UODO, w 2022 roku podczas badań statystycznych nie będzie pozyskiwał takich danych odbiorców usług wodociągowo-kanalizacyjnych, jak: ich imiona i nazwiska, numery PESEL, adresy zamieszkania, adresy do korespondencji, adresy poczty elektronicznej czy numery telefonów.

Deklaracja taka została przedstawiona podczas konferencji uzgodnieniowej dotyczącej projektu rozporządzenia Rady Ministrów w sprawie programu badań statystycznych statystyki publicznej na rok 2022.

Wcześniej Prezes UODO, opiniując projekt tego rozporządzenia, podnosił, że z przepisów ustawy z dnia 7 czerwca 2001 r. o zbiorowym zaopatrzeniu w wodę i zbiorowym odprowadzaniu ścieków nie wynika, by w ramach umowy o dostarczanie wody lub odprowadzanie ścieków przedsiębiorstwo wodociągowo-kanalizacyjne było uprawnione do pozyskiwania od swoich klientów ich numerów PESEL, numerów telefonów i adresów poczty elektronicznej. Zatem zakładanie przez Główny Urząd Statystyczny (GUS) pozyskiwania takich danych od przedsiębiorstw wodociągowo-kanalizacyjnych na potrzeby programu badań statystycznych statystyki publicznej na rok 2022 rodzi niebezpieczeństwo, iż przedsiębiorstwa te będą żądały podania powyższych danych przy zawieraniu umów z klientami, powołując się przy tym na swój obowiązek przekazania tych danych GUS.

Prezes UODO podkreślił, że nie może dochodzić do sytuacji, w której dla potrzeb realizacji zadań innego administratora (w tym przypadku GUS), administrator udostępniający dane (w tym przypadku przedsiębiorstwo wodociągowo-kanalizacyjne) byłby zobowiązany do gromadzenia danych osobowych nieadekwatnych do realizacji własnych celów i przekazywania ich innemu, nowemu administratorowi.

Dlatego w opinii do wskazanego projektu rozporządzenia Rady Ministrów organ nadzorczy wskazał, że w celu poszanowania zasad zgodności z prawem, minimalizacji danych oraz ograniczenia celu, o których mowa w art. 5 RODO, a także dla poszanowania prawa do ochrony danych osobowych odbiorców usług wodociągowo-kanalizacyjnych, GUS powinien zrezygnować z pozyskiwania powyższych danych od przedsiębiorstw wodociągowo-kanalizacyjnych

Prezes UODO z zadowoleniem przyjął zatem fakt, że w nowej wersji projektu opiniowanego rozporządzenia Rady Ministrów przedstawionego podczas konferencji uzgodnieniowej 28 maja 2021 r. GUS odstąpił od pozyskiwania takich danych odbiorców usług wodociągowo-kanalizacyjnych, jak: ich imiona i nazwiska, numery PESEL, adresy zamieszkania, adresy do korespondencji, adresy poczty elektronicznej czy numery telefonów.

UODO

CZYTAJ DALEJ

Urząd Ochrony Danych Osobowych przypomina, że okres wakacyjny nie zwalnia nas z dbania o bezpieczeństwo naszych danych osobowych.

Dlatego, aby uniknąć negatywnych konsekwencji nadmiernym i niefrasobliwym udostępnianiem danych, warto zastosować kilka poniższych wskazówek. Pozwolą nam one uchronić się przed potencjalnymi problemami.

Nie zostawiaj dokumentu tożsamości w zastaw
Nie pozwól robić kserokopii dokumentu tożsamości
Zastanów się, kiedy opublikować zdjęcia z wakacji. Nie warto informować, że nie ma cię w domu
Rozważ, czy chcesz publikować zdjęcia, nagrania wideo ze wszystkich
wakacyjnych przygód swoich dzieci
Nie dziel się danymi o swojej lokalizacji w mediach społecznościowych
Na urządzeniu korzystaj ze swojego połączenia z Internetem
Zainstaluj na swoim urządzeniu oprogramowanie antywirusowe
Ostrożnie udostępniaj nieznajomemu swój telefon
Zabezpiecz się na wypadek kradzieży lub zgubienia telefonu

UODO

CZYTAJ DALEJ

Urząd Ochrony Danych Osobowych nałożył administracyjną karę pieniężną na Sopockie Towarzystwo Ubezpieczeń ERGO Hestia S.A. w wysokości prawie 160 tys. zł za niezgłoszenie naruszenia ochrony danych osobowych. Ponadto spółkę ukarano za niezawiadomienie osoby, której dane dotyczą o naruszeniu, do czego zobowiązał ją także organ nadzorczy.

UODO o zaistniałej sytuacji poinformowała firma zajmująca się pośrednictwem ubezpieczeniowym. W procesie przetwarzania danych pełniła ona podwójną rolę. Z jednej strony była administratorem danych, a z drugiej podmiotem przetwarzającym działającym na rzecz towarzystw ubezpieczeniowych. Naruszenie polegało na wysłaniu pocztą elektroniczną przez pracownika pośrednictwa finansami do niewłaściwego odbiorcy analizy potrzeb ubezpieczeniowych oraz oferty ubezpieczenia, zawierającą dane jak imię, nazwisko, numer PESEL, miejscowość, kod pocztowy czy informację o przedmiocie ubezpieczenia. Podmiot ten, będąc administratorem danych w postaci imienia i nazwiska, zdecydował się dokonać zgłoszenia naruszenia ochrony danych osobowych do UODO w związku z ujawnionymi danymi osobowymi zawartymi w załącznikach. Uznał on, że połączenie tych danych w powiązaniu z danymi zawartymi w załączonych dokumentach może spowodować, że naruszenie będzie skutkowało ryzykiem naruszenia praw lub wolności osoby fizycznej. W błędnie wysłanej korespondencji były dane osobowe zawarte w ofertach i kalkulacjach kilku towarzystw ubezpieczeniowych. Podmiot, który dokonał naruszenia, występował jednocześnie w roli podmiotu przetwarzającego towarzystw ubezpieczeniowych, dlatego też zawiadomił je o naruszeniu. Przeprowadzona przez UODO weryfikacja wykazała, że w związku z tym incydentem kilka towarzystw ubezpieczeniowych jako administratorzy danych, dokonało zgłoszenia naruszenia ochrony danych. Zgłoszenia takiego nie odnotowano od Sopockiego Towarzystwa Ubezpieczeń ERGO Hestia S.A..

UODO zwrócił się do spółki o wyjaśnienia. Spółka potwierdziła, że w istocie doszło do naruszenia ochrony danych osobowych, jednak na podstawie wykonanej oceny pod kątem ryzyka naruszenia praw i wolności osób fizycznych uznano, iż nie doszło do naruszenia skutkującego koniecznością zgłoszenia naruszenia Prezesowi UODO oraz zawiadomienia osoby, której danych osobowych dotyczy naruszenie. Odnotować należy, że oceny dokonano, posługując się formularzem opracowanym przez Spółkę. Co więcej, przeprowadzona przez Spółkę analiza ryzyka, budziła wątpliwości organu nadzorczego i nie została dokonana w sposób prawidłowy. Błędy, jak również nieprawidłowości w przeprowadzonej ocenie polegające w szczególności na zaniżaniu wyników w poszczególnych kryteriach, braku uwzględnienia istotnych czynników dla poszczególnych kryteriów, czy uwzględnieniu czynników, które nie powinny mieć zastosowania, wskazują, że analiza została przeprowadzona w sposób dowolny i nie została wykorzystana jako narzędzie służące pomocą Spółce w ocenie, czy należy dokonać zgłoszenia naruszenia organowi nadzorczemu oraz zawiadomić o naruszeniu osobę, której dane dotyczą, ale raczej na potrzeby wykazania braku podlegania takim obowiązkom.

Ponadto spółka przedstawiła oświadczenie złożone przez nieuprawnionego odbiorcę wiadomości, z którego wynika, że nie jest w posiadaniu wysłanych dokumentów, oraz że nie jest mu znana treść załączonych do wiadomości dokumentów, gdyż nie zapoznawał się z ich treścią przed usunięciem wiadomości. Jednak oświadczenie takie nie wyklucza przyjęcia, że wystąpiło wysokie ryzyko naruszenia praw lub wolności osoby, której dane dotyczą, jak i nie wyklucza możliwości wystąpienia negatywnych konsekwencji w przyszłości.

Zdaniem UODO w tej sprawie doszło do naruszenia bezpieczeństwa, ponieważ dane osobowe zostały udostępnione nieuprawnionemu odbiorcy, którego nie można uznać za „odbiorcę zaufanego”, a zakres tych danych przesądza o tym, że wystąpiło wysokie ryzyko naruszenia praw lub wolności osób fizycznych. To skutkuje powstaniem po stronie spółki obowiązku zgłoszenia naruszenia ochrony danych osobowych organowi nadzorczemu.

W ocenie UODO zastosowana kara pieniężna będzie skuteczna i spełni swoją funkcję.

źródło: UODO

CZYTAJ DALEJ

UODO informuje, że blisko co czwarty Polak boi się, że w czasie pandemii padnie ofiarą hakerów wyłudzający dane osobowe. Równocześnie blisko 60 proc. respondentów nie wie lub nie jest pewna, jakie działania należy podjąć w takim przypadku. Niestety, nie robimy wszystkiego, żeby zapobiec podobnym sytuacjom. 1/3 z nas nie dba o to, by hasło do logowania w banku lub serwisie internetowym było odpowiednio trudne, a ponad 20 proc. ankietowanych nigdy go nie zmieniło. To wyniki badania przeprowadzonego przez serwis ChronPESEL.pl i Krajowy Rejestr Długów pod patronatem Urzędu Ochrony Danych Osobowych.

Ponad 43 proc. ankietowanych uważa, że największe zagrożenie dla danych osobowych w czasie pandemii stanowi działalność oszustów próbujących wyłudzić dane. Jednocześnie co trzeci ankietowany (33,7 proc.) najbardziej obawia się tego, że padnie ofiarą wycieku danych z bazy instytucji państwowej lub prywatnej firmy. Dla 23,4 proc. największym zagrożeniem jest atak hakerów na komputer lub telefon.

Ataku hakerów znacznie częściej obawiają się najmłodsi respondenci (32,5 proc.). Aktywność cyberprzestępców nie spędza z kolei snu z powiek osobom w wieku 55–64 lata (19,5 proc.) oraz najstarszej grupie ankietowanych (17 proc.). Ta statystyka obrazuje stan świadomości istnienia takich zagrożeń. W tym wypadku większe obawy oznaczają wiedzę na temat konsekwencji działalności cyberprzestępców.

Zapytani o to, jak zareagowaliby w przypadku próby wyłudzenia danych osobowych, ankietowani najczęściej wskazywali na usunięcie podejrzanej wiadomości lub rozłączenie się (60,2 proc.), zgłoszenie sprawy na policję (54,4 proc.) i ostrzeżenie ludzi na forach internetowych (41,8 proc.).

Nieprzygotowani na wycieki danych i działalność hakerów

Blisko 2/3 dorosłych Polaków (61,2 proc.) deklaruje, że wie, jakie działania należy podjąć w przypadku wyłudzenia lub kradzieży danych osobowych. Jak wynika z przeprowadzonych badań, najlepiej przygotowania do takich sytuacji są ludzi młodzi w wieku między 18 a 24 rokiem życia. Blisko 74 proc. z nich zadeklarowało, że poradziłoby sobie w takim przypadku. Najwięcej ankietowanych uważa, że w przypadku wyłudzenia lub kradzieży danych należy zgłosić zdarzenia na policję (85,2 proc.), w banku, w którym posiada się konto (69,7 proc.) oraz zmienić dane do logowania (69,7 proc.)

Znacznie gorzej jesteśmy z kolei przygotowani do radzenia sobie, gdy dojdzie do wycieków danych z serwisów internetowych, w których mamy konta. Około połowy osób badanych (53,8 proc.) nie wie lub nie jest pewna, co w takim przypadku należy zrobić. Pytani o reakcję, ankietowani najczęściej wskazywali na zmianę hasła dostępu do serwisu, z którego nastąpił wyciek (86,1 proc.). Natomiast 61,8 proc. zgłosiłaby to zdarzenie na policję. Na taki ruch znacznie częściej zdecydowałyby się kobiety (68,4 proc. wobec 55,6 proc. wśród mężczyzn).

Problemów można się również spodziewać w sytuacji ataku cyberprzestępców, ponieważ blisko 60 proc. (57,2 proc.) respondentów nie wie lub nie jest pewna, jakie działania należałoby wtedy podjąć. Ponownie na taką sytuację lepiej przygotowane są osoby młode. Pewność co do tego, jak powinno się zareagować spada wraz z wiekiem respondentów. Najczęściej wybierane działania to: zmiana haseł (78,6 proc.), instalacja programu antywirusowego (67,1 proc.) i zgłoszenie sprawy na policję (62,9 proc.).

Co piąta osoba nie zmienia haseł do logowania w banku

Ponad 20 proc. ankietowanych zmienia hasło do konta bankowego raz w miesiącu lub częściej, 1/3 osób (34,6 proc.) robi to raz na pół roku. Natomiast 22 proc. nigdy tego nie zrobiło. Jeszcze rzadziej zmieniamy hasła do skrzynki mailowej i portali społecznościowych. Równocześnie blisko 2/3 badanych (63,9 proc.) deklaruje, że używa bardzo trudnych lub trudnych haseł dostępu do serwisów. liter, cyfr, znaków specjalnych. Niepokoić może z kolei fakt, że nieco ponad 1/3 (36,5 proc.) osób badanych wykorzystuje jednakowe hasła w różnych serwisach. Najczęściej jednakowe hasła wykorzystuje najmłodsza grupa respondentów. Najrzadziej robią to osoby najstarsze w wieku 65–74 lata.

Nieaktualne konta i brak systemów antywirusowych

Większość badanych (81,6 proc.) nie przekazuje swoich danych do logowania osobom trzecim. Pomimo deklarowanej świadomości niebezpieczeństw, najczęściej przyznają się do tego osoby młodsze (28,8 proc.). Wraz z wiekiem ta tendencja spada. Najrzadziej swoje dane przekazują respondenci w najstarszych grupach wiekowych. W tym konkretnym przypadku widać, że mądrość przychodzi z wiekiem.

Nie zważając na rosnącą aktywność cyberprzestępców, jedynie 1/4 (24,5 proc.) osób badanych deklaruje, że zlikwidowała konto w nieużywanych przez siebie serwisach internetowych. 42,3 proc. ankietowanych uruchomiło w czasie pandemii, celem zwiększenia bezpieczeństwa swoich danych, blokady antyspamowe w swoich prywatnych laptopach lub smartfonach. Grupa przeciwników takiego rozwiązania jest jednak tak samo liczna, ponieważ tyle samo osób zadeklarowało, że tego nie zrobili. 84,4 proc. badanych korzysta z aktualnego oprogramowania antywirusowego. Nieco ponad połowa respondentów wybiera jednak darmowe oprogramowanie, podczas gdy 1/4 badanych decyduje się na korzystanie z płatnych programów.

Oprócz silnych i unikatowych haseł bardzo ważna dla zapewnienia bezpieczeństwa naszych danych osobowych jest stała aktualizacja oprogramowania zarówno komputera, jak i innych urządzeń elektronicznych. Równie ważne jest nie tylko posiadanie programu antywirusowego, ale i jego uaktualnianie. Złośliwe oprogramowanie, przed którym chronią nas takie narzędzia, powstaje codziennie. Dlatego bez aktualnej bazy wirusów i bazy złośliwych aplikacji program antywirusowy nie będzie w pełni spełniał swojej roli. Nieaktualne oprogramowanie może zaś narazić nas na atak hakerów, którzy mogą wykorzystać podatność danego programu na niebezpieczeństwo. Istnieje też ryzyko zainfekowania naszego komputera oprogramowaniem szpiegującym czy też takim, które zaszyfruje nasze dane, przez co de facto je utracimy – tłumaczy Monika Krasińska, dyrektor Departamentu Orzecznictwa i Legislacji w UODO.

Specjaliści zwracają uwagę na to, że nawet zachowanie wszystkich zasad bezpieczeństwa może nie wystarczyć, żeby uchronić się przed wykorzystaniem naszych danych osobowych. Nie wiemy, w jaki sposób zabezpieczone są bazy danych sklepów internetowych lub portali społecznościowych, z których korzystamy. Dlatego żeby minimalizować negatywne skutki kradzieży tożsamości Urząd Ochrony Danych Osobowych rekomenduje m.in. założenie konta w systemie informacji gospodarczej, aby monitorować swoją aktywność kredytową.

Badanie na zlecenie serwisu ChronPESEL.pl i Krajowego Rejestru Długów pod patronatem Urzędu Ochrony Danych Osobowych zostało przeprowadzone w marcu 2021 roku metodą CAWI na reprezentatywnej grupie 1007 respondentów przez IMAS International.

CZYTAJ DALEJ

Co robić kiedy skradziono Twój dowód osobisty lub go zgubiłeś?

Osoby, które padły lub mają podejrzenie, że mogły paść ofiarami kradzieży swoich dokumentów np. dowodu osobistego, powinny w pierwszej kolejności zgłaszać się na Policję. Dowód zostanie unieważniony z dniem zgłoszenia. Nie trzeba wtedy zgłaszać utraty dokumentu w urzędzie gminy (tak jak w przypadku zgubienia dowodu osobistego).

Pamiętaj, że takich spraw nie należy zgłaszać do Prezesa UODO, ale organom ścigania, gdyż to one są uprawnione do prowadzenia postępowania zmierzającego do wykrycia sprawcy przestępstwa i oceny czy doszło do jego popełnienia, oraz do kwalifikacji czynu przestępczego i wymierzenia stosownej kary.

Zarówno, gdy padasz ofiarą kradzieży dokumentu tożsamości, jak i kiedy po prostu go zgubisz, zgłoś ten fakt np. bankowi, w którym masz konto, celem zastrzeżenia tego dokumentu przed nieuprawnionym użyciem.

Zgłoś się do urzędu, aby wyrobić nowy dokument. W przypadku dowodu osobistego jest to dowolny urząd gminy, a w przypadku paszportu – w punkcie paszportowym (informacje o adresach punktów znajdziesz na stronach internetowych urzędów wojewódzkich). Gdy utracisz prawo jazdy z wnioskiem o nowy dokument musisz się udać do starostwa powiatowego.

Jak się zabezpieczyć, gdy wiesz, że Twoje dane wyciekły?

Atak hakera, zgubiona korespondencja, niezabezpieczone dane na serwerze – to sytuacje, w przypadku których osoby do tego nieuprawnione wchodzą (albo potencjalnie jest to możliwe) w posiadanie Twoich danych osobowych. Niestety, nie masz na to wpływu. W sytuacji, gdy administrator uzna, że istnieje ryzyko wykorzystania Twoich danych i powiadomi Cię o zaistniałym incydencie, podejmij działania, by zminimalizować ewentualne negatywne konsekwencje wykorzystania danych.

Oprócz wspomnianego już zastrzeżenia dokumentu tożsamości w banku, gdy wyciekły dane widniejące np. na dowodzie osobistym, możesz również założyć np. konto w systemie informacji kredytowej i gospodarczej, celem monitorowania swojej aktywności kredytowej.

Zachowaj dużą ostrożność podczas podawania danych przez Internet. Dokładnie analizuj kierowane do Ciebie komunikaty, zawarte np. w wiadomościach SMS, e-mail, by uniknąć np. ataku phishingowego, którego celem może być wyłudzenie dodatkowych danych czy uzyskanie danych dostępowych do internetowych systemów bankowych bądź innych usług, z których korzystasz.

Co zrobić, gdy ktoś wziął pożyczkę lub kupił usługę posługując się Twoimi danymi?

Osoby, które padły lub mają podejrzenie, że mogły stać się ofiarami przestępstwa powinny jak najszybciej zgłosić się na Policję, zwłaszcza gdy poniosły szkodę majątkową lub osobistą, np. na ich dane zaciągnięto jakieś zobowiązania. Należy też zawiadomić o takim zdarzeniu podmiot, u którego posłużono się danymi. Czyli trzeba się zgłosić do banku lub firmy pożyczkowej, w których oszust z użyciem Twoich danych wziął pożyczkę lub kredyt. Podobnie, gdy np. ktoś posłużył się danymi, celem podpisania umowy z operatorem telefonii komórkowej, np. by wyłudzić w ten sposób telefon.

Zadbaj o zgromadzenie i zachowanie dowodów, że zgłosiłeś sprawę organom ścigania. Będzie to pomocne w postępowaniu przed sądem, zwłaszcza w sprawach dotyczących szkód majątkowych.

Dochodzenie praw może następować w trybie przewidzianym odrębnymi przepisami zarówno przed sądem w sprawach karnych jak i cywilnych.

W jakich sytuacjach możesz zwrócić się do Prezesa Urzędu Ochrony Danych Osobowych?

Jeżeli przypuszczasz, że firma czy instytucja przetwarza Twoje dane bez podstawy prawnej, nie informuje skąd ma dane osobowe i w jakim celu je przetwarza, to w pierwszej kolejności zwróć się do niej, z żądaniem realizacji swoich praw, np. wyjaśnienia zasad na jakich Twoje dane są przetwarzane. Gdy nie otrzymasz odpowiedzi, pozyskane informacje są niewystarczające lub niepełne albo gdy administrator nie respektuje Twojego żądania dotyczącego np. wycofania zgody na przetwarzanie danych (jeżeli to zgoda była podstawą przetwarzania), czy sprzeciwu wobec przetwarzania Twoich danych, to możesz złożyć skargę do Prezesa UODO. W pierwszej kolejności zwracaj się zatem o realizację Twoich praw do administratora – podmiotu przetwarzającego Twoje dane. O ile Twoje żądania nie będą respektowane, zignorowane czy po części jedynie wypełnione możesz zwrócić się następnie do Prezesa UODO o ich wyegzekwowanie.

Składając skargę indywidualną, podaj swoje dane, opisz sprawę i określ jakich działań oczekujesz od Prezesa UODO, czyli np. wskaż, by organ nakazał wykonanie Twoich praw, poprzez usunięcie danych czy spełnienie obowiązku informacyjnego. Konieczne jest także wskazanie administratora, który dopuścił się naruszenia Twoich praw. Trzeba więc podać np. nazwę firmy, czy instytucji lub imię i nazwisko osoby oraz adres siedziby przetwarzających Twoje dane osobowe.

Jeżeli działanie administratora nie dotyczy Twoich danych, ale masz podejrzenie, że narusza ono ogólne zasady przetwarzania danych, możesz o tym zawiadomić UODO. Organ nadzorczy może wówczas przeprowadzić postępowanie z urzędu w celu wyjaśnienia, czy faktycznie zaszły nieprawidłowości. W takiej sytuacji nie występujesz w charakterze strony, jak to ma miejsce w przypadku skargi indywidualnej, która związana jest z praktyką naruszającą Twoje prawa. Dlatego w przypadku, gdy Prezes UODO podejmie działania z urzędu, nie będziesz informowany o etapach takiego postępowania.

Czy Prezes UODO może ustalić sprawcę naruszenia, gdy masz np. tylko jego numer telefonu?

Organ nadzoru nie zawsze ma możliwości prawne czy techniczne by ustalić tożsamość niedookreślonego administratora. Samo wskazanie np. numeru telefonu, z którego wykonywane jest połączenie, niezidentyfikowanego serwera, gdzie są np. ujawnione Twoje dane czy przedstawienie dokumentów zawierających dane bez wskazania źródła ich pochodzenia to za mało.

Pamiętaj, że Prezes UODO nie jest organem ścigania i nie ma w związku z tym takich kompetencji jak Policja, czy Prokuratura. Działalność Prezesa UODO ma na celu zapewnienie, by wskazany administrator przetwarzał dane zgodnie z prawem. Dlatego, gdy składasz skargę indywidualną konieczne jest precyzyjne wskazanie jakiego podmiotu ona dotyczy, by było możliwe wszczęcie postępowania administracyjnego i merytoryczne rozstrzygniecie sprawy poprzez wydanie decyzji administracyjne.

Wyciekły moje dane. Czy Prezes UODO może ukarać administratora?

Decyzję o nałożeniu kary finansowej na podmiot podejmuje Prezes UODO, analizując indywidualnie każdy przypadek. Nałożenie kary nie następuje na wniosek.

Kary finansowe to tylko jeden z instrumentów oddziaływania, jakimi dysponuje Prezes UODO, by zapewnić przestrzeganie ogólnego rozporządzenia o ochronie danych osobowych. RODO zawiera bowiem całą gamę różnych rozwiązań, które służą wzmocnieniu ochrony danych osobowych, osób, których dane są przetwarzane. W przypadku stwierdzenia naruszenia przepisów może to być m.in.: wydane ostrzeżenie odnoszące się do planowanych procesów przetwarzania, udzielone upomnienie w związku z uchybieniem o niewielkim charakterze, wydany nakaz dostosowania określonych działań do obowiązujących przepisów. Prezes UODO korzysta w pierwszej kolejności m.in. z tych rozwiązań. Kary są ostatecznością i są nakładane o ile wymagają tego okoliczności indywidulanego przypadku. Decyzje, mocą których kary takie są nakładane są poprzedzone bardzo dokładną i wnikliwą analizą zaistniałych okoliczności i wynikającą z nich konieczność nałożenia kary oraz na jej wysokość.

Przy wymierzaniu kary finansowej, Prezes UODO musi brać pod uwagę co najmniej 11 różnych czynników. Są to m.in.: charakter, waga i czas trwania naruszenia, to czy miało ono charakter umyślny, czy nieumyślny, warunki, w jakich do niego doszło, liczba poszkodowanych osób, kategorie przetwarzanych danych, rozmiar poniesionej przez nie szkody. A także czy jest to pierwsze czy kolejne naruszenie , jak zachował się administrator (np. czy sam zgłosił wyciek danych oraz – o ile to konieczne – poinformował o tym osoby poszkodowane), wszelkie inne czynniki obciążające lub łagodzące zaistniałe w indywidulanym przypadku.

Finansową karę administracyjną z tytułu naruszenia przepisów o ochronie danych osobowych Prezes UODO nakłada w drodze decyzji administracyjnej po przeprowadzeniu postępowania administracyjnego w sprawie, analizując każdy przypadek indywidualnie.

UODO

CZYTAJ DALEJ

„Poniżej załączam listy MEN wysłane przez zespół SIO, w sprawie uzupełniania danych w systemie informacji oświatowej. Czy placówka niepubliczna ma obowiązek uzupełniać w systemie dane dotyczące wynagrodzeń pracowników, itp.? W drugim liście jest wzmianka, że wymóg jest kierowany do placówek prowadzonych przez JST i ministerstwa. Jakie dane są zobowiązane uzupełniać w SIO przedszkola i szkoły niepubliczne?

List 1, z dnia 19.04.2021 Szanowni Państwo Dyrektorzy, z analizy danych zgromadzonych w SIO za lata 2019 i 2020, wynika, że w wielu placówkach nie zostały wykazane albo zostały wykazane niekompletne dane dotyczące wymiaru zatrudnienia oraz kosztów wynagrodzeń pracowników niebędących nauczycielami. Dane dotyczące wymiaru zatrudnienia pracowników niebędących nauczycielami należy przekazywać w terminie 10 dni po zakończeniu każdego kwartału, według stanu na koniec kwartału.
link do instrukcji merytorycznej: https://pomocsio.men.gov.pl/zatrudnienie
link do instrukcji technicznej: https://pomocsio.men.gov.pl/rejestracja-29
Dane dotyczące kosztów wynagrodzeń pracowników niebędących nauczycielami oraz osób, które wykonują zadania nauczyciela na podstawie umowy cywilnoprawnej należy przekazywać do 10 października każdego roku kalendarzowego za okres styczeń-sierpień danego roku i do 10 stycznia każdego roku kalendarzowego za poprzedni rok kalendarzowy
link do instrukcji merytorycznej: https://pomocsio.men.gov.pl/finanse/
link do instrukcji technicznej: https://pomocsio.men.gov.pl/rejestracja-24/
Uprzejmie prosimy o pilną weryfikację danych za lata 2019 i 2020 i ich korektę, a Tych z Państwa, którzy nie przekazali danych do SIO w tym zakresie o pilne ich uzupełnienie. W związku z powyższym prosimy o terminowe i rzetelne przekazywanie danych do SIO. Zgodnie z art. 100 ust. 1 ustawy o systemie informacji oświatowej, kto wbrew obowiązkowi nie przekazuje danych do bazy danych SIO lub przekazuje dane niezgodne z prawdą, podlega karze grzywny. Orzekanie następuje w trybie przepisów ustawy z dnia 24 sierpnia 2001 r. – Kodeks postępowania w sprawach o wykroczenia (Dz.U. z 2021 r. poz. 457). Jednocześnie przypominamy, że na stronie https://pomocsio.mein.gov.pl/
dostępne są materiały dotyczące wykazywania danych w SIO: instrukcje techniczne, instrukcje merytoryczne oraz filmy instruktażowe i odpowiedzi na najczęściej zadawane pytania.<
>List 2; z dnia 16.04.2021 Szanowni Państwo, Dyrektorzy Szkół i Placówek Oświatowych uprzejmie przypominamy, że w terminie do dnia 10 kwietnia wg stanu na koniec I kwartału należało przekazać do SIO: 1. dane dotyczące wydatków na prowadzenie szkół i placówek oświatowych, Instrukcja merytoryczna https://pomocsio.men.gov.pl/finanse/
Instrukcja techniczna: https://pomocsio.men.gov.pl/rejestracja-42/
dane dziedzinowe dotyczące pracowników niebędących nauczycielami, Instrukcja merytoryczna: https://pomocsio.men.gov.pl/zatrudnienie/
Instrukcja techniczna https://pomocsio.men.gov.pl/rejestracja-29/
Ponadto prosimy o pilną weryfikację poprawności danych dot. wysokości wynagrodzeń nauczycieli za rok 2019 i 2020, a Tych z Państwa, którzy nie przekazali danych do SIO w tym zakresie o pilne ich uzupełnienie. Dotyczy tylko szkół prowadzonych przez JST lub Ministrów. Instrukcja merytoryczna: https://pomocsio.men.gov.pl/wynagrodzenie/
Instrukcja techniczna: https://pomocsio.men.gov.pl/rejestracja-13/
W związku z powyższym prosimy o terminowe i rzetelne przekazywanie danych do SIO. Zgodnie z art. 100 ust. 1 ustawy o systemie informacji oświatowej, kto wbrew obowiązkowi nie przekazuje danych do bazy danych SIO lub przekazuje dane niezgodne z prawdą, podlega karze grzywny. Orzekanie następuje w trybie przepisów ustawy z dnia 24 sierpnia 2001 r. – Kodeks postępowania w sprawach o wykroczenia (Dz.U. z 2021 r. poz. 457). Jednocześnie przypominamy, że na stronie https://pomocsio.men.gov.pl dostępne są materiały dotyczące wykazywania danych w SIO: instrukcje techniczne, instrukcje merytoryczne oraz filmy instruktażowe i odpowiedzi na najczęściej zadawane pytania.< Z poważaniem Zespół SIO.”

Stosownie do treści …

CZYTAJ DALEJ

Urząd Ochrony Danych Osobowych w związku z wyciekiem danych z portali społecznościowych przypomina jak bezpiecznie korzystać z sieci.

Gigantyczna ilość prywatnych danych, przechowywanych obecnie na serwerach, jest z jednej strony wystarczającą motywacją dla hackerów do zdobycia dostępu do tych danych, a z drugiej strony sporym wyzwaniem dla administratorów i działów bezpieczeństwa portali, aby te dane zabezpieczyć, przy zachowaniu wysokiej dostępności.

To nie wszystko. Bezpieczeństwo danych użytkowników korzystających z zasobów Internetu zależy również od poziomu ich świadomości nt. zagrożeń płynących z sieci podczas korzystania z niej.

UODO przypomina kilka zasad, którymi należy się kierować, aby zminimalizować ryzyka związane z korzystaniem z mediów społecznościowych:

stosować silne hasło – można w tym celu posłużyć się generatorem haseł;
stosować dwuetapowe logowanie – najpierw podajemy login i hasło, a później potwierdzamy logowanie zewnętrznym tokenem. Zastosowanie takiego klucza sprzętowego skutecznie zabezpieczy przed atakami hakerskimi (phishingiem, przechwytywaniem sesji czy wyłudzeniem danych). Ponadto token nie zadziała podczas logowania na fałszywej stronie;
nie logować się na nieznanych urządzeniach;
stosować różne hasła do różnych portali i systemów, w czym może pomóc nam manager haseł;
nie korzystać z niezaufanego połączenia internetowego (publiczne hot spoty);
ograniczyć uprawnienia aplikacji do logowania za pomocą konta w portalu społecznościowego.

Co zrobić, gdy podejrzewamy, że nasze dane mogły wyciec?

bezwzględnie należy, najszybciej jak to możliwe, zmienić hasło przy zachowaniu zasad tworzenia złożonego hasła;
należy zachować szczególną ostrożność przed atakami phishingowymi. Ataki te mogą się nasilić po wycieku danych kontaktowych (e-mail). Pod żadnym pozorem nie używajmy odnośników znajdujących się w otrzymanej poczcie, w szczególności w korespondencji niezamówionej lub pochodzącej od nieznanych osób, instytucji i firm;
należy zachować ostrożność przed atakami socjotechnicznymi, przeprowadzanymi przy użyciu telefonu. Potencjalny hacker może wykorzystać przechwycone z portalu społecznościowego dane, podczas na przykład rozmowy telefonicznej z ofiarą ataku uwierzytelnić się , a następnie zdobyć bezpośrednio dalsze informacje, w tym dostęp do systemów lub urządzeń użytkownika.

UODO

CZYTAJ DALEJ

Urząd Ochrony Danych Osobowych wraz z Komendą Stołeczną Policji organizują wykład on-line, który odbędzie się 9 kwietnia br. o godz. 10.00. Spotkanie będzie okazją do przybliżenia zasad ochrony naszych danych w Internecie i zagrożeń, których musimy być świadomi.

Podczas webinarium eksperci odpowiedzą m.in. na pytania, jak odpowiedzialnie i świadomie korzystać z dostępnych narzędzi w celu ochrony siebie, swojego wizerunku i danych osobowych, a także opowiedzą o konsekwencjach nierozważnych decyzji w cyfrowej rzeczywistości.

Zbliżające się webinarium to okazja dla dyrektorów szkół, nauczycieli oraz samych uczniów i ich rodziców, do zrozumienia, jak świat nowych technologii ma realny wpływ na nawyki młodych ludzi we wszystkich aspektach życia.

W obecnym czasie nowoczesne technologie, Internet mają ogromny wpływ na życie społeczne i rozwój gospodarczy. Bez wątpienia nowe pokolenie czuje się bardzo swobodnie w świecie nowych rozwiązań wdrażanych w celu przekazywania informacji, nauki, rozrywki czy komunikowania się. Warto jednak mieć świadomość jak wykorzystywanie świata cyfrowego, który niesie za sobą tyle korzyści, może także wiązać się z pewnymi zagrożeniami, w tym dla ochrony danych osobowych i prywatności.

Bycie online to nie tylko udostępnianie danych osobowych, ale obecnie całe nasze życie, nad którym powinniśmy mieć kontrolę. Młodzi ludzie biegle korzystają z nowoczesnych technologii, ale jeszcze brakuje im wiedzy o zagrożeniach, doświadczeń i umiejętności przewidywania konsekwencji swoich decyzji.

Ogólne rozporządzenie o ochronie danych (RODO) wyraźnie wskazuje, że dzieci powinny być świadome ryzyka związanego z przetwarzaniem danych osobowych, ale także obowiązujących zasad, mechanizmów ochrony i praw. Świadomość ryzyka powinna być dla nich pomocna do skutecznego korzystania ze swoich praw. Nasze doświadczenia w ramach realizacji programu edukacyjnego „Twoje dane – Twoja sprawa” pokazują, że dzieci i młodzież są coraz bardziej świadomi swoich praw i obowiązków wynikających z przepisów prawa. Natomiast nadal brakuje im refleksji i wiedzy praktycznej w życiu codziennym. Czasami potrzeba więcej rozwagi, mądrości życiowej i umiejętności przewidywania konsekwencji swojego działania, aby bezpiecznie uczestniczyć w cyfrowej rzeczywistości. Dlatego tak ważna jest edukacja.

Jest to już kolejne spotkanie z cyklu wykładów otwartych UODO, które będą mogli Państwo oglądać dzięki współpracy z Ośrodkiem Edukacji Informatycznej i Zastosowań Komputerów w Warszawie.

Wydarzenie będzie dostępne pod linkiem: https://youtu.be/Y5A_RLUrGSk.

UODO

CZYTAJ DALEJ

Newer Posts

Older Posts

O incydencie naruszenia danych trzeba zawiadomić organ nadzorczy i osoby, których dane dotyczą

EROD: wytyczne w sprawie pojęć administratora i podmiotu przetwarzającego przyjęte po konsultacjach

GUS od przedsiębiorstw wodociągowo-kanalizacyjnych będzie zbierał mniej danych

UODO: Zadbaj o swoje dane – one nie mają wakacji

Administrator powinien przeprowadzić rzetelną analizę ryzyka

Co czwarty Polak boi się ataku cyberprzestępców

Co zrobić w przypadku kradzieży tożsamości?

Dyrektor szkoły: Uzupełnianie danych w SIO

Media społecznościowe a bezpieczeństwo danych

Bezpieczeństwo cyfrowe dzieci i młodzieży a odpowiedzialność – UODO zaprasza na webinarium