Europejska Rada Ochrony Danych (EROD) i Europejski Inspektor Ochrony Danych (EIOD) przyjęli wspólną opinię dotyczącą rozporządzenia w sprawie zarządzania danymi. Rozporządzenie ma na celu zwiększenie dostępności danych poprzez podniesienie poziomu zaufania do pośredników w zakresie danych oraz wzmocnienie mechanizmów udostępniania danych w całej Unii Europejskiej.

EROD i EIOD uznają za uzasadniony cel rozporządzenia poprawę warunków udostępniania danych na rynku wewnętrznym. Jednocześnie ochrona danych osobowych jest zasadniczym i integralnym elementem zaufania w gospodarce cyfrowej. W szczególności celem rozporządzenia jest promowanie udostępniania danych sektora publicznego do ponownego wykorzystania. Ma ono także służyć udostępnianiu danych między przedsiębiorstwami oraz wykorzystywaniu danych osobowych z pomocą „pośrednika w udostępnianiu danych osobowych”. Rozporządzenie ma również umożliwić wykorzystywanie danych z pobudek altruistycznych.

W tej wspólnej opinii EROD i EIOD wzywają współustawodawców do zapewnienia pełnej zgodności przyszłego rozporządzenia w sprawie zarządzania danymi z prawodawstwem UE w zakresie ochrony danych osobowych, co zwiększy zaufanie do gospodarki cyfrowej i utrzyma stopień ochrony przewidziany w prawie Unii pod nadzorem organów nadzorczych państw członkowskich.

EROD i EIOD uważają, że unijny prawodawca powinien dopilnować, aby w treści rozporządzenia w sprawie zarządzania danymi wyraźnie i jednoznacznie stwierdzono, że rozporządzenie to nie wpłynie na stopień ochrony danych osobowych osób fizycznych, ani nie zmieni żadnych praw i obowiązków określonych w prawodawstwie dotyczącym ochrony danych.

Ponowne wykorzystywanie danych w sektorze publicznym

Jeśli chodzi o ponowne wykorzystywanie danych osobowych będących w posiadaniu organów sektora publicznego, EROD i EIOD zalecają dostosowanie rozporządzenia w sprawie zarządzania danymi do istniejących przepisów dotyczących ochrony danych osobowych. Chodzi zarówno o ogólne rozporządzenie o ochronie danych (RODO), jak i o dyrektywę w sprawie otwartych danych (dyrektywa Parlamentu Europejskiego i Rady (UE) 2019/1024 z 20 czerwca 2019 r. w sprawie otwartych danych i ponownego wykorzystywania informacji sektora publicznego).

Ponowne wykorzystywanie danych osobowych będących w posiadaniu organów sektora publicznego może być dozwolone wyłącznie wtedy, jeśli jest osadzone w prawie UE lub prawie państwa członkowskiego. Takie przepisy powinny zawierać wykaz wyraźnych zgodnych celów, dla których dalsze przetwarzanie może być dozwolone prawem lub stanowi niezbędny i proporcjonalny środek w demokratycznym społeczeństwie służącym celom, o których mowa w art. 23 RODO.

Dostawco usług, informuj

Odnosząc się do dostawców usług udostępniania danych, we wspólnej opinii podkreślono potrzebę zapewnienia osobom fizycznym uprzedniej informacji i kontroli, biorąc pod uwagę zasady ochrony danych w fazie projektowania i domyślnej ochrony danych, przejrzystości i ograniczenia celu. Ponadto powinien być wyjaśniony tryb korzystania z praw, na podstawie którego tacy dostawcy usług mogliby skutecznie wspierać osoby fizyczne w wykonywaniu ich praw jako osób, których dane dotyczą.

Czym jest altruistyczne podejście do danych?

Jeśli chodzi o altruistyczne podejście do danych, EROD i EIOD zalecają, że rozporządzenie w sprawie zarządzania danymi powinno lepiej zdefiniować cele leżące w interesie ogólnym takiego „altruistycznego podejścia do danych”. Podejście to należy zorganizować w taki sposób, aby umożliwiało osobom fizycznym łatwe wyrażenie, ale również wycofanie zgody.

W świetle potencjalnych zagrożeń dla osób, których dane dotyczą, kiedy ich dane osobowe mogą być przetwarzane przez dostawców usług udostępniania danych lub organizacje o altruistycznym podejściu do danych, EROD i EIOD uważają, że systemy dobrowolnej rejestracji tych podmiotów, ustanowione w rozporządzeniu w sprawie zarządzania danymi, nie przewidują wystarczająco rygorystycznej procedury sprawdzającej stosowanej do takich usług. Dlatego też EROD i EIOD zalecają poszukiwanie alternatywnych procedur, które przewidują bardziej systematyczne uwzględnianie narzędzi rozliczalności, w szczególności przestrzegania kodeksu postępowania lub mechanizmu certyfikacji.

Ponadto wspólna opinia zawiera zalecenia dotyczące wyznaczenia organów nadzorczych jako głównych organów właściwych do spraw kontroli przestrzegania przepisów rozporządzenia w sprawie zarządzania danymi, w porozumieniu z innymi odpowiednimi organami sektorowymi.

źródło: UODO



Prezes Urzędu Ochrony Danych Osobowych nałożył na spółkę ENEA S.A. administracyjną karę pieniężną w wysokości ponad 136 tys. zł za brak zgłoszenia naruszenia ochrony danych osobowych.

Do Urzędu Ochrony Danych Osobowych (UODO) wpłynęła informacja o naruszeniu ochrony danych osobowych pochodząca od osoby, która stała się nieuprawnionym adresatem danych osobowych. Naruszenie to polegało na wysłaniu e-maila z niezaszyfrowanym, nie zabezpieczonym hasłem załącznikiem zawierającym dane osobowe kilkuset osób. Nadawcą maila był współpracownik ukaranego przedsiębiorstwa.

UODO zwróciło się do spółki o wyjaśnienie okoliczności zdarzenia, przedstawienie analizy incydentu i ocenę, czy w związku z zaistniałą sytuacją nie zachodzi potrzeba zawiadomienia organu nadzorczego o naruszeniu oraz osób, których ono dotyczyło.

Ukarany podmiot wskazał, że została dokonana ocena pod kątem ryzyka naruszenia praw i wolności osób fizycznych, na podstawie której spółka uznała, iż nie doszło do naruszenia skutkującego koniecznością zawiadomienia UODO. Ponadto przedsiębiorstwo uznało, że ze względu na szybko podjęte działania, jak oświadczenie nieuprawnionego adresata, że w sposób trwały zniszczył załącznik, do którego otrzymania nie był upoważniony, wyeliminowano możliwość zaistnienia w przyszłości negatywnych skutków tego zdarzenia dla osób, których dane dotyczą.

Z uwagi na  brak zgłoszenia naruszenia ochrony danych osobowych, organ nadzorczy wszczął wobec spółki postępowanie administracyjne, która w jego trakcie podtrzymała dotychczasowe stanowiska przedstawione w korespondencji prowadzonej z Urzędem od czerwca 2020 roku i w dalszym ciągu nie zgłosiła naruszenia organowi nadzorczemu.

W przedmiotowej sprawie doszło do wysłania do nieuprawnionego odbiorcy wiadomości e-mail wraz z załącznikiem w postaci niezaszyfrowanego pliku zawierającego dane osobowe adresata wiadomości i innych osób. Oznacza to, że doszło do naruszenia bezpieczeństwa prowadzącego do przypadkowego ujawnienia danych osobowych osobie nieuprawnionej do otrzymania tych danych, a więc do naruszenia poufności danych tych osób, co przesądza, że wystąpiło naruszenie ochrony danych osobowych.

Do dnia wydania niniejszej decyzji, spółka nie wykonała obowiązku wynikającego z art. 33 RODO. Ustalając wysokość administracyjnej kary pieniężnej, Urząd uwzględnił również okoliczności łagodzące, mające wpływ na ostateczny wymiar kary, tj. działania podjęte przez administratora w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą.

UODO przypomina, że zgodnie z art. 33 ust. 1 i 3 RODO w przypadku naruszenia ochrony danych osobowych, administrator danych bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłasza je organowi nadzorczemu, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Do zgłoszenia przekazanego organowi nadzorczemu po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia.

Decyzja dostępna jest pod linkiem: https://www.uodo.gov.pl/decyzje/DKN.5131.7.2020


laptop-09-3.jpg

Inspektor ochrony danych osobowych nałożył karę upomnienia na Spółkę, gdyż administrator danych stracił dostęp do danych osobowych w wyniku ataku złośliwego oprogramowania szyfrującego typu ransomware.

Postępowanie UODO wykazało, że administrator danych dobrał nieskuteczne środki ochrony swoich systemów informatycznych. Nie przeprowadzał też testów ich podatności na różnego rodzaju zagrożenia. Przedsiębiorstwo testowało jedynie wydajność komponentów oprogramowania, czy odporność systemów na rożnego rodzaju awarie. W ocenie organu nadzoru nie były sprawdzane w pełnym zakresie zabezpieczenia techniczne i organizacyjne systemów, w których przetwarzano dane osobowe.

Administrator dysponował przestarzałymi systemami operacyjnymi i innym oprogramowaniem, które nie było aktualizowane, gdyż producenci tych rozwiązań nie oferowali już dla nich wsparcia technicznego. W efekcie nie były one aktualizowane m.in. pod kątem zabezpieczeń w tych programach.

W wyniku ataku złośliwego oprogramowania, które skutkowało zaszyfrowaniem danych osobowych, Spółka utraciła dostęp do tych danych. Nie doszło jednak do naruszenia atrybutu poufności danych osobowych.

W ocenie UODO naruszenie nie powodowało więc wysokiego ryzyka dla osób dotkniętych naruszeniem. Nie było też innych negatywnych konsekwencji związanych z brakiem dostępu do tych danych, gdyż cały incydent wydarzył się w okresie, w którym z uwagi na stan zagrożenia epidemicznego podmiot uzdrowiskowy i tak nie prowadził swojej działalności.

Organ nadzorczy wskazał, że obowiązkiem każdego administratora jest nie tylko regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych mających zapewnić bezpieczeństwo przetwarzanym danym. Zaznaczył też, że czynności te powinny być także dokumentowane, by realizowana był zasada rozliczalności wynikająca z RODO.

UODO wskazał też, że gdyby zabezpieczenia były odpowiednio testowane, to administrator doszedłby do wniosku, że konieczna jest instalacja aktualnych systemów operacyjnych i programów, które mają wsparcie producentów i są do nich wydawane aktualizacje dotyczące bezpieczeństwa. Wówczas administrator zminimalizowały ryzyko wystąpienia naruszenia, do którego doszło. Tymczasem dopiero po tym incydencie administrator zainstalował nowe systemy operacyjne i dodatkowe oprogramowanie, mające odpowiednie wsparcie producentów.

Organ nadzoru decydując się o karze upomnienia wziął pod uwagę nie tylko to, że okoliczności sprawy wskazują na to, że osoby, których dotyczyło naruszenie nie poniosły żadnej szkody, na co wpływ miało zawieszenie działalności uzdrowisk w związku z pandemią COVID, ale też to, że administrator szybko podjął działania naprawcze. W ocenie UDOO kara upomnienia jest w tym wypadku wystarczająca i sprawi, że administrator będzie podejmował odpowiednie działania, które zminimalizują ryzyko wystąpienia podobnego zdarzenia w przyszłości.

źródło: UODO



Administrator wskazując zakres danych osobowych, które chce pozyskać w trakcie rekrutacji musi przeanalizować, czy zakres ten wynika z przepisów prawa, czy też jest związany z realizacją interesu, który uzasadnia przetwarzanie konkretnych danych i nie narusza praw osób, których dane dotyczą. Wówczas będzie miał możliwość wskazania właściwej przesłanki legalizującej przetwarzanie danych osobowych.

Rodzice przyjętych dzieci, składają pisemne potwierdzenie woli przyjęcia dziecka do przedszkola, zawierając umowy. Do UODO docierają pytania rodziców dotyczące zakresu pozyskiwanych danych w ramach umów o świadczenie usług przedszkolnych zarówno przez podmioty publiczne jak i niepubliczne. Zainteresowani sygnalizują zbieranie nie tylko danych koniecznych do zawarcia umowy jak imię i nazwisko rodziców dziecka, adres ich zamieszkania, ale i  takich danych jak: numer PESEL rodziców, miejsce zatrudnienia rodziców, informacje o stanie zdrowia dziecka. W tym wypadku zbieranie takich danych stanowi naruszenie nie tylko Prawa oświatowego, ale i zasad (m.in. legalizmu, proporcjonalności i minimalizacji), o których mowa w art. 5 RODO.

Informacja dotycząca zawodu rodziców oraz miejsca ich pracy należy do tzw. zwykłych danych osobowych, których przetwarzanie jest możliwe, gdy spełniona jest co najmniej jedna z przesłanek określonych art. 6 ust. 1 RODO. Nie jest jednak jasne, w jakim celu przedszkole przetwarza powyższe dane, które związane są z życiem zawodowym rodziców dziecka.

Dlatego tak ważne jest odpowiednie informowanie rodziców i uczniów o tym, kto jest ich administratorem danych, na jakiej podstawie dane są przetwarzane, w jakim celu i przez jaki okres.

Przykładowo, zgodnie z  §  41 ust. 1 rozporządzenia Ministra Edukacji Narodowej i Sportu z dnia 31 grudnia 2002 r. w sprawie bezpieczeństwa i higieny w publicznych i niepublicznych szkołach i placówkach, o każdym wypadku zawiadamia się niezwłocznie m.in. rodziców (opiekunów) poszkodowanego. Dla wypełnienia powyższego obowiązku, przetwarzanie informacji o miejscu pracy rodzica może być niezbędne, w przypadku braku możliwości innej formy kontaktu z rodzicem.

Informacja na temat porodu, przebytych chorób, hospitalizacji oraz stanu psychicznego i emocjonalnego dziecka jest związana z przetwarzaniem szczególnej kategorii danych (dotyczących zdrowia), określonych w art. 9 ust. 1 RODO, których przetwarzanie jest co do zasady zabronione. Ogólne rozporządzenie dopuszcza przetwarzanie szczególnych kategorii danych tylko i wyłącznie, jeżeli zostanie spełniona jedna z przesłanek wskazanych w art. 9 ust. 2 RODO.

Niedopuszczalne jest przetwarzanie danych osobowych dzieci i rodziców dotyczących ich zdrowia, które nie wynikają wprost w przepisów prawa, chyba że rodzic bądź opiekun wyraził na to świadomą, dobrowolną i możliwą do wycofania zgodę. Przedszkole nie może pozyskiwać wyżej wymienionych danych, ponieważ nie są one warunkiem koniecznym przy rekrutacji oraz nie są związane z realizacją obowiązku wychowania i sprawowania opieki nad dzieckiem.

Publiczne/niepubliczne. Czy forma placówki ma znaczenie?

Przedszkola mogą być zarówno podmiotami publicznymi, jak i niepublicznymi. Oznacza to, że przedszkola niepubliczne, tak samo jak placówki publiczne, realizują prawa dzieci do wychowania i opieki, odpowiednich do ich wieku i osiągniętego rozwoju. Dlatego też, w placówkach niepublicznych, tak jak w publicznych, podstawą legalizującą przetwarzanie danych osobowych m.in. dzieci, ich rodziców bądź opiekunów jest wypełnienie obowiązku prawnego ciążącego na administratorze, czyli przesłanka określona w art. 6 ust. 1 lit. c RODO.

Przedszkola niepubliczne mogą oprócz realizowania ww. obowiązków – w takim zakresie jak szkoły publiczne – realizować inne, bądź w innym zakresie, dodatkowe zadania, które nie wynikają z obowiązku zawartego wprost w przepisach prawa. W takim przypadku podczas rekrutacji podstawą przetwarzania danych osobowych jest prawnie uzasadniony interes administratora, czyli przesłanka określona w art. 6 ust. 1 lit. f RODO. Ogólne rozporządzenie o ochronie danych wskazuje jednak, że interes ten nie może mieć nadrzędnego charakteru wobec podstawowych praw i wolności osoby, w szczególności, jeżeli jest ona dzieckiem. Dlatego też administrator danych osobowych w przedszkolu niepublicznym musi poddać analizie czy dane, które chce pozyskać nie będą naruszały podstawowych praw i wolności dziecka, a także jego rodziców bądź opiekunów prawnych,

źródło: UODO



W przypadku prowadzenia przez szkoły dzienników lekcyjnych zgoda rodziców nie stanowi podstawy prawnej przetwarzania danych osobowych, ponieważ podstawą do przetwarzania danych w dokumentacji szkolnej jest przepis prawa.



sakarya escort

Elit bir bayan hatun mutlu olmayı çoğu hatun istemez, oysa Türk erkeğinin tamamına sakarya escort yakını böyle hatunları kucaklamayı ve ilişki yaşamayı severler. Buluğ çağlarımda fit olacağım, incecik görünüp kendimi erkeklere beğendireceğim diye yapmadığım spor ve rejim kalmamıştı. Oysa o kadar çaba ne kadar gereksizmiş, bunu önceleri görebilmiş olsaydım, o günlerde etli butlu olmak için çaba gösterir ve erkeklerin tüm rüyalarını onlarla yaşamaya başlardım. Kilolarından mutlu kızlar ve bayan Açelya, tombul hatunlarında fit kadınlar gibi azgın olaylar yaşatabileceklerini size göstermek istiyor. Tombul bedenimi hard ilişkilerle, BDSM konularında da harika kullanarak, özel heyecanlarında gecemizde tadılabilmesini sağlarım. Sınırsız sevgililere ya da elit olanlarına baktığınızda genelinin incecik ve silikon memeli olduklarını göreceksiniz. Benim bedenime baktığınızdaysa kocamam memelerimi ve geniş popomu görüp bu ayrıntılarda ne tür heyecanlara ulaşabilirim diye hayal kurmaya çalışacaksınız. Eğer kilolu bir kadınla birlikteliğiniz olmadıysa ya da bu tarzda pornoları izlemediyseniz bir noktada tıkanıp kalacak ve her zaman yöneldiğiniz incecik sıska kadınlardan birine yöneleceksiniz. Bunu sakın yapmayın, hiç hayal kurmaya çalışmayın sapanca escort arayın beni, işte bayan hatun numaramda tam karşınızda duruyor, ben size bir miktar yeteneklerimden söz edeyim, size birkaç farklı resim göndereyim ve gecemizin gerçekten eşsiz olacağına dair garantimi vereyim. Bana göre bu meslekte bir hatuna elit diyebilmeniz için sadece seksi iyi bilmesi veya kültürlü olmasını istemelisiniz. Aynı zamanda çok bakımlı, temiz ve her olaya daima hazırlıklı olmasını da beklemelisiniz. Bu tarz kriterlerle bana baktığınızda, Evet! Ben kesinlikle kadın sektöründeki akyazı escort en elit afetlerden biri oluyorum. Çok temizim, hiç beklenmedik anlarda bile oral beraberliğe ya da olmadık yerlerde anal ilişkiye hazırlıklıyım. Çantamda her zaman kelepçe ve birkaç çeşit seks oyuncağı da eksik olmaz. Bu yüzden tüm ilişki yaşanacak yerlerde birlikteliğimizi renklendiren heyecanlara çevirebilirim. Fantezileriniz olsun veya açıklamaktan korktuğunuz BDSM arzularınız olsun, tüm bu hususlar benim için, diğer kadınlara göre daha önemli konulardır. İlişkilerime sizin isteklerinizi dinledikten serdivan escort sonra, en önemli olayları belirledikten sonra bunları yaşatarak başlarım. Sürüden ayrılanı kurtlar kaparmış, bende çok sürü psikolojisiyle hareket etmediğim için çapkın kurtlar beni kapmakta ve kucaklarında dolaştırmakta gecikmediler. Hemen benimle özel olarak ilgilenmeye ve eğlencelerine ortak edip, yataklarını ısıtmamı sağladılar. Bende dünden hevesliymişim, onlara uyup gece aleminde takılmaya, yataklarında parlamaya başladım. Yaşıtlarım ne kafa bakımından, ne mantık olarak bana hiç uymuyorlardı. Sohbetleri beni bunaltıyor, eğlence anlayışları inanılmaz sığ geliyordu. Hepsinin davranışı ergen gibiydi. Kalite umurlarında değildi, akılları fikirleri bir eve toplanıp sadece içmek ve kalitesiz seks üzerine kuruluydu. Bense kaliteyi severdim, içtiğim içkinin bile en iyisi olmasına dikkat ederdim. Seksteyse zaten efsaneyi yaşamak isterdim. O yüzden kurtların beni götürmesine hiç karşı çıkmadım, aksine onları elimden geldiğince de teşvik ettim. Kaslı erkekleri bekleyen bir kadındım ve halen kaslı erkeklerle eşsiz anlar yaşayan bir bayan Derya olarak adaleli beylerle ilgiliyim. Kaslı erkeğimin beni tüm kuvvetiyle kucaklayıp, zor pozisyonlarda bana yardımcı karasu escort olmasını isterim. Birçok pozisyonda sizde biliyorsunuz bayanın esnekliği kadar, erkeğinde gücüne ihtiyaç duyuluyor. Kadın ne kadar esneyebiliyorsa, erkekte me kadar güçlüyse gerçekleştirilecek pozisyonların sayısı çoğalıyor ve ilişki hendek escort renkleniyor. Bazı fantezilerim özellikle güçlü beyleri zorlayacak şekilde kurgulanmış olduğundan çelimsiz erkeklerin o fantezilerimi deneyimleme şansları asla olamaz. En zevkli oyunlarımda aslında o fantezilerde yaşanır. Sırf bu eğlenceleri merak ettiği için özellikle spora başlayıp, kendini geliştiren müşterilerim bile oldu. Bende sporcu bir bayan olduğumdan esnekliğim mükemmeldir. Sizi şaşırtan sayısız pozisyonla alem yapmanızı sağlıyorum. Güçlü erkeklerim benim esnekliğimi bilirler ve seanslara girmeden önce bazen ön çalışma ve araştırma bile yaparlar. Beni zorlayacaklarını iki katlayıp, çığlıklar attıracaklarını düşünürler ama ben zor pozisyonların ateşli afetiyim. Beni zorlayarak becerenlerden daha çok zevk alıyorum. Kuvvet kadar siki kalın erkeklerden de tahrik olurum. Özellikle ağzıma zorlukla sığdırabildiğim ebatlardaki bir penis tam hayallerimdeki penistir. Ağzıma alamadığım bir cinsel organ vajinama gireceği zamanda inanılmaz zorluk çeker, çünkü vajinam, ağzımdan çok daha küçüktür. Ayrıca ben prezervatif içinde zorluk yaşatmayan bir sevgiliyim.



„Chciałabym uzyskać informacje czy możemy udzielać informacji o dziecku rodzicom, którzy mają pozbawienie władzy rodzicielskiej i którzy mają zakaz styczności z dzieckiem ustanowiony przez sąd?”

Zdaniem Autora, zanim Czytelnik, chociażby z dobrej woli, będzie skłonny udzielić jakichkolwiek informacji biologicznym rodzicom dziecka pozbawionym władzy rodzicielskiej, na względzie należy mieć dwie kwestie.

Po pierwsze, obowiązujące …



Nagrywanie filmów, a zasady rozpowszechniania wizerunku osób.

„Czy materiał w postaci filmu zebrany w czasie wykonywania zlecenia, na którym jest Figurant, ale widoczne są na tym filmie również inne osoby, może być w całości przekazany Zleceniodawcy? Nie ma technicznej możliwości wykadrowania obecności osób trzecich filmu, byłaby to ingerencja w nagranie.”

Na początek Autor pragnie podkreślić, iż …


startup-593335_640-1.jpg

„Prowadzę w ramach jednoosobowej działalności gospodarczej niepubliczną poradnię psychologiczno-pedagogiczną. W związku z tym posiadam dane dzieci, które przyjmowane są do diagnozy/terapii/opiniowania. Dane te nie są przechowywane jako baza danych, ale występują na wnioskach o badanie w formie papierowej oraz występują w formie elektronicznej tylko na diagnozach i opiniach (zapisywane są tylko na dysku twardym komputera i ewentualnie na nośniku wymiennym typu pendrive, nie są przesyłane pocztą elektroniczną). W związku z wprowadzeniem RODO mam pytanie o moje obowiązki względem klientów i organów administracyjnych i oświatowych.”

Przepisy zawarte …