Przetwarzanie danych osobowych
Każdy obywatel Rzeczypospolitej Polskiej posiada konstytucyjnie zagwarantowane prawo do prywatności i ochrony jego danych. Prawo to ponadto normowane jest przez szereg ustaw i rozporządzeń, których przepisy obowiązują podmioty przetwarzające dane osobowe. Firma prowadząc swoją działalność za pomocą Internetu, np. generując bazy adresowe klientów na komputerach podłączonych do sieci, prowadząc akcje meilingowe, newsletterowe czy smsowe przetwarza dane osobowe. To istotne, aby przedsiębiorcy mieli świadomość, że podlegają wówczas uregulowaniom prawnym a nieścisłości i uchybienia w kwestii bezpieczeństwa posiadanych danych podlegają karom.
Kary
O nałożeniu kary i jej wysokości decyduje Prezes Urzędu Ochrony Danych Osobowych. Wysokość grzywien ustalona została w dwóch progach – do 10 mln euro lub 2% rocznego obrotu oraz do 20 mln euro lub 4% rocznego obrotu. Od tego do jakiego progu odwoła się UODO zależy rodzaj naruszenia przepisów prawa o ochronie danych osobowych. Poza karami finansowymi ustawa przewiduje również kary pozbawienia wolności do lat 2 i do lat 3 w przypadku danych wrażliwych. W jakich sytuacjach przedsiębiorstwo może naruszyć normy przetwarzania danych?
Umowa powierzenia przetwarzania danych osobowych
Jeśli przedsiębiorca zleci firmie zewnętrznej np. informatycznej czy księgowej realizację usług, wymagających przekazania danych osobowych zobowiązany jest do sporządzenia umowy powierzenia przetwarzania danych osobowych. W przeciwnym wypadku może liczyć się z nałożeniem kary do wysokości pierwszego progu.
Zgłoszenie incydentu wycieku danych
W firmie prawniczej doszło do cyber kradzieży medycznych dokumentacji przekazywanych przez klientów na potrzeby procesowe. Administrator danych w ciągu 72 godzin nie zgłosił powyższego incydentu organowi nadzorczemu. W takim wypadku na kancelarię prawniczą może zostać nałożona kara do wysokości pierwszego progu.
Zasada celowości
Firma gromadziła dane klientów na potrzeby zawarcia i realizacji umowy o świadczenie usług. Jeden z klientów nie wyraził zgody na przetwarzanie jego danych osobowych dla celów marketingowych. Po wygaśnięciu umowy, otrzymywał jednak oferty reklamowe od firmy. W tym przypadku mamy do czynienia z naruszeniem zasady celowości. Pierwotnym celem przetwarzania danych było bowiem zawarcie umowy z klientem. Po wygaśnięciu umowy natomiast, bez zgody klienta dalsze przetwarzanie danych do innych celów jest niezgodne z ustawą. Gdyby UODO nałożył karę grzywny na firmę, jej wysokość określałby w niniejszym przypadku próg drugi…czytaj dalej