Branżowa wiedza o CX

Rozporządzenie GDPR (RODO), które będzie mieć zastosowanie już w maju, w dalszym ciągu dla wielu osób i firm stanowi kompletną niewiadomą. W drugiej części cyklu artykułów skupiamy się na prawach osób, których dane są przetwarzane oraz obowiązkach przedsiębiorstw.Usiądź wygodnie i przygotuj się na gimnastykę umysłową – temat nie jest łatwy. W niniejszym wpisie zagłębimy się w szczegóły konkretnych pojęć, przepisów i sformułowań w GDPR, przede wszystkim tych dotyczących zasad zbierania i przetwarzania samych danych osobowych.Wstępne informacje o GDPR, a także kilka słów o założeniach niniejszego cyklu artykułów, znajdziesz we wpisie pilotowym, który przeczytasz tu.Wpis pierwszy, o podstawowych założeniach GDPR i polskich ustawach dostosowujących nasze prawo do nowych przepisów, przeczytasz tu.Przeczytaj też dwa wpisy o ePrivacy, czyli rozporządzeniu towarzyszącemu RODO. Są tu: wpis 1 i wpis 2.Jeszcze uwaga techniczna – określeń RODO i GDPR będziemy w niniejszym artykule używać zamiennie. Oznaczają one to samo rozporządzenie, a ponieważ oba pojawiają się w dyskusjach, warto, abyś był „oswojony” z obydwoma terminami.Podobnie jak w poprzednich artykułach o RODO i ePrivacy, poprosiliśmy o wpis gościnny i obszerny komentarz Panią Joannę Swaryczewską-Dede z kancelarii Porębski i Wspólnicy, specjalizującą się między innymi w zagadnieniach związanych z przetwarzaniem danych osobowych, oraz zajmującą się przygotowywaniem dokumentacji wewnętrznej dla przedsiębiorców, prowadzeniem audytów, a także doradztwem z zakresu ochrony danych osobowych.[caption id="attachment_16093" align="alignleft" width="300"]

Joanna Swaryczewska-Dede, adwokat w kancelarii Porębski i Wspólnicy[/caption]

Sposób pozyskiwania zgody na przetwarzanie danych

Zgoda na przetwarzanie danych jest na tyle złożonym tematem, że poświęcimy jej osobny rozdział. GDPR precyzuje i jasno określa zasady pozyskiwania takiej zgody przez administratora.Według GDPR, zgoda może mieć formę nie tylko oświadczenia, ale również wyraźnego działania potwierdzającego. Według obecnych przepisów jest to niedopuszczalne, gdyż Ustawa o ochronie danych osobowych zawiera sformułowanie, iż „zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści”.Stanowi to w istocie złagodzenie wymogów w stosunku do obecnych przepisów.W GDPR podano przykłady form wyrażenia zgody (pisemne, elektroniczne lub ustne oświadczenie). Wprost wskazano, że milczenie, okienka domyślnie zaznaczone lub niepodjęcie działania nie powinny być interpretowane jako zgoda.Klauzule zgody powinny być sformułowane jasnym i czytelnym językiem, tj. w sposób zrozumiały dla osoby, której dane dotyczą. Zawiłe, nieprecyzyjne i zbyt skomplikowane formularze mogą okazać się wadliwe, a zgoda – uznana za wyrażoną w sposób nieskuteczny.Jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych.

Pozyskiwanie zgody na przetwarzanie danych - komentarz prawnika

"Zwracam również uwagę, że aby zgoda została uznana za skuteczną, musi zostać ona wyrażona dobrowolnie. Oznacza to, że osoba, której dane dotyczą powinna mieć rzeczywistą swobodę wyboru. Wywieranie jakiegokolwiek wpływu, presji lub przymusu na podmiot danych w celu uzyskania zgody jest zabronione. Dodatkowo, odmowa wyrażenia zgody lub jej wycofanie nie może powodować niekorzystnych konsekwencji dla podmiotu danych.Zgoda nie może stanowić podstawy prawnej przetwarzania w przypadku wyraźnej nierówności pomiędzy osobą, której dane dotyczą, a administratorem. Przykładowo w stosunkach pracowniczych – przetwarzanie danych osobowych pracowników nie powinno odbywać się na podstawie zgody."

Wycofanie zgody i przetwarzanie danych dzieci

Osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać udzieloną zgodę.W takim przypadku, jeśli administrator danych nie ma innej podstawy przetwarzania (którą może być np. niezbędność dla wykonania umowy, szczególna podstawa prawna), należy zaprzestać przetwarzania danych.Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem.O możliwości wycofania zgody należy poinformować jeszcze przed jej wyrażeniem (np. jako część klauzuli zgody). Przy czym wycofanie zgody musi być równie łatwe jak jej wyrażenie, np. jeśli zgoda odbierana jest telefonicznie, najlepiej umożliwić taką samą formę jej odwołania.W praktyce, na skutek wycofania zgody, dane powinny zostać usunięte ze wszystkich systemów danego przedsiębiorcy.Przetwarzanie danych dzieci – według GDPR w przypadku usług społeczeństwa informacyjnego oferowanych bezpośrednio dziecku, przetwarzanie danych dzieci w wieku do 16 lat odbywać się może jedynie za zgodą wyrażoną lub zaaprobowaną przez rodziców lub opiekunów.Jest to jeden z obszarów, w którym państwom członkowskim pozostawiono pewną dowolność. Określono tylko widełki granicy wieku.W Polsce wiek, w którym dziecko może samo wyrazić zgodę na przetwarzanie swoich danych osobowych, zostanie najprawdopodobniej ustalony na 13 lat.

Przetwarzanie danych dzieci - komentarz prawnika

"W motywach RODO wskazano, że dane osobowe dzieci wymagają szczególnej ochrony. Wynika to z faktu, że mogą one być mniej świadome ryzyka, konsekwencji, zabezpieczeń i praw przysługujących im w związku z przetwarzaniem danych osobowych. Taka szczególna ochrona powinna mieć zastosowanie przede wszystkim do wykorzystywania danych osobowych dzieci do celów marketingowych lub do tworzenia profili osobowych lub profili użytkownika oraz do zbierania danych osobowych dotyczących dzieci, gdy korzystają one z usług skierowanych bezpośrednio do nich.Administratorzy świadczący usługi tzw. społeczeństwa informacyjnego czyli np. portale społecznościowe, czy sklepy internetowe będą musieli weryfikować wiek osoby korzystającej z ich usług, a także zapewnić możliwość wyrażenia lub zaaprobowania zgody udzielonej przez rodzica, czy opiekuna małoletniego usługobiorcy."

Prawa osoby, której dane są, lub mają być, przetwarzane

Poza prawem do wycofania zgody na przetwarzanie danych, opisanym powyżej, osobom których te dane dotyczą, przysługuje szereg innych uprawnień. W ten sposób GDPR realizuje wspomniane założenie pełnej kontroli każdego nad swoimi danymi osobowymi.Pojawia się tu słynne i bardzo chętnie przytaczane „prawo do bycia zapomnianym”.

• Prawo do sprostowania, ograniczenia przetwarzania.
• Prawo do uzyskania dostępu – prawo do informacji na temat przetwarzania danych oraz prawo do uzyskania kopii wszelkich danych przetwarzanych przez administratora dotyczących konkretnej osoby.
• Prawo do przenoszenia danych osobowych – ułatwienie dla podmiotów danych w postaci prawa do otrzymania danych w odpowiednim formacie oraz przesłania ich innemu administratorowi w przypadku zmiany podmiotów świadczących usługi społeczeństwa informacyjnego.
• Prawo do bycia zapomnianym/usunięcia.
• Prawo do sprzeciwu.
• Prawo do tego, by nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu (pod pewnymi warunkami).

Obowiązki przedsiębiorstw

GDPR nakłada na przedsiębiorstwa znaczne obowiązki w zakresie przetwarzania danych oraz ich ochrony, samooceny, oceny podwykonawców oraz własnej kontroli wewnętrznej.Tu pojawiają się szerokie możliwości interpretacji i nieporozumień, stąd wspomniane wcześniej certyfikacje i akredytacje, ujęte w polskim projekcie ustawy o ochronie danych, mające pomóc w przestrzeganiu przepisów.Privacy by design and default (uwzględnianie ochrony danych w fazie projektowania oraz domyślna ochrona danych) - w praktyce oznacza to, że zasady ochrony prywatności powinny zostać uwzględniane podczas projektowania określonego systemu lub procesu zakładającego przetwarzanie danych osobowych.Odbywać się to ma w taki sposób, aby od samego początku istnienia systemu ochrona prywatności stanowiła jego część składową.Konieczność wdrożenia odpowiednich środków technicznych i organizacyjnych, takie jak psuedonimizacja i wymóg szyfrowania danychMinimalizacja - wdrożenie odpowiednich środków technicznych i organizacyjnych, aby domyślnie przetwarzane były wyłącznie te dane osobowe, które są niezbędne dla osiągnięcia każdego konkretnego celu przetwarzania.Rozszerzenie obowiązku informacyjnego administratora (art. 12 -14 GDPR). GDPR wprost wskazuje, że spełnienie obowiązku informacyjnego musi nastąpić w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem.Obowiązek prowadzenia rejestru przetwarzania danych – nałożony zarówno na administratora, jak i procesora.Z obowiązku zwolnieni są przedsiębiorcy lub podmioty zatrudniające mniej niż 250 osób, chyba że przetwarzanie, którego dokonują, może powodować ryzyko naruszenia praw lub wolności osób, których dane dotyczą, nie ma charakteru sporadycznego lub obejmuje szczególne kategorie danych osobowych lub dane osobowe dotyczące wyroków skazujących i naruszeń prawa.

Prawa i obowiązki - komentarz prawnika

"GDPR ustanawia nowe nieznane dotąd uprawnienie osobom, których dane dotyczą. Szczególne emocje budzi „prawo do bycia zapomnianym” oraz „prawo do przenoszenia danych.”Istotą „prawa do bycia zapomnianym” jest uprawnienie do żądania od administratora usunięcia danych, a także w przypadku, gdy dane zostały upublicznione – obowiązek administratora dołożenia starań, aby poinformować innych administratorów o żądaniu usunięcia danych (np. linków do tych danych, czy ich kopii).Celem reformy ochrony danych osobowych było m.in. umożliwienie żądanie usunięcia z obiegu w Internecie danych osobowych umieszczonych w sieci przez osobę, której dane dotyczą lub przez podmiot trzeci. Powszechne jest dzisiaj myślenie, że jeżeli coś trafi do Internetu, to pozostanie w sieci na zawsze. Prawo do bycia zapomnianym służyć ma sytuacjom, w których przykładowo podmiot danych udostępnił swoje dane lub wyraził zgodę na ich przetwarzanie za pośrednictwem Internetu nie mając świadomości, że negatywnie wpłynie to w przyszłości np. na jego karierę zawodową.Powyższe obowiązki administratora nie będą miały zastosowania jeśli przetwarzanie danych jest niezbędne:

1. do korzystania z prawa do wolności wypowiedzi i informacji;
2. do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator, lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
3. z uwagi na względy interesu publicznego w dziedzinie zdrowia publicznego;
4. do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych, lub
5. do ustalenia, dochodzenia lub obrony roszczeń.

Prawo do przenoszenia danych również stanowi nowość w porównaniu z poprzednim stanem prawnym. Jeżeli przetwarzanie odbywa się w sposób zautomatyzowany oraz w oparciu o zgodę lub na podstawie umowy osoba, której dane dotyczą ma prawo otrzymać w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego dane osobowe jej dotyczące, które dostarczyła administratorowi, oraz ma prawo przesłać te dane osobowe innemu administratorowi.Dodatkowo, w sytuacji gdy jest to technicznie możliwe, podmiot danych ma prawo żądać aby administrator przesłał je bezpośrednio innemu administratorowi.Prawo do przenoszenia danych jest jednym z rozwiązań, które mają odpowiadać na potrzeby nowych technologii. Uprawnienie to ułatwi transfer danych np. pomiędzy portalami społecznościowymi."

Samoocena i samokontrola

Samoocena ryzyka na wypadek incydentu bezpieczeństwa – i wdrożenie odpowiednich środków technicznych i organizacyjnych, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku.Ocena skutków planowanych operacji przetwarzania dla ochrony danych osobowych oraz ewentualne konsultacje z organem nadzorczym.Obowiązek obszernego zgłaszania każdego naruszenia czy incydentu (w ciągu 72 godzin od jego wykrycia) organom nadzorującym.W przypadkach o wysokim ryzyku naruszenia praw prywatności - również poinformowanie podmiotów których dane są przetwarzane.Przedsiębiorca będzie miał także obowiązek dokumentowania naruszeń (zgodnie z art. 33 ust. 5 GDPR „Administrator dokumentuje wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia ochrony danych osobowych, jego skutki oraz podjęte działania zaradcze.”).Korzystanie z podwykonawców spełniających przepisy - GDPR precyzuje umowę powierzenia przetwarzania danych. Musi się w niej znaleźć wiele dodatkowych postanowień niewymaganych na gruncie aktualnie obowiązującej ustawy o ochronie danych osobowych.W skrócie, administrator ma obowiązek zweryfikować, czy procesor spełnia wymagania RODO. Jeżeli nie zweryfikuje, naraża się na sankcje prawne.Powołanie inspektora danych osobowych w strukturze firmy. Wymóg ten dotyczy:

• organów i podmiotów publicznych z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości,
• podmiotów, których główna działalność polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę oraz
• podmiotów, których główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych oraz danych osobowych dotyczących wyroków skazujących i naruszeń prawa .

Samoocena i samokontrola - komentarz prawnika

"Istotną nowością jest zobowiązanie administratorów i procesorów do samodzielnego szacowania ryzyka naruszenia praw lub wolności osób, których dane dotyczą oraz obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych odpowiadających temu ryzyku.Aktualnie środki techniczne i organizacyjne, które powinny być stosowane w celu zapobieżenia naruszeniom ochrony danych określa rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych.W nowym stanie prawnym administratorzy i procesorzy będą musieli nie tylko dobrać środki adekwatne do charakteru, zakresu, kontekstu i celów przetwarzania oraz prawdopodobieństwa wystąpienia i wagi naruszeń, ale również na bieżąco kontrolować czy środki te są odpowiednie oraz w razie potrzeby dostosować je do nowych zagrożeń, czy wdrożyć nowe niezbędne środki.Wywiązanie się z wyżej wskazanych obowiązków będzie można wykazać poprzez stosowanie zatwierdzonego kodeksu postępowania, czy zatwierdzonego mechanizmu certyfikacji. Skorzystanie z tych rozwiązań będzie jednak możliwe po wejściu w życie nowej ustawy o ochronie danych osobowych."

Masz już obraz wymogów RODO dotyczących obowiązków przedsiębiorców w zakresie przetwarzania danych oraz praw osób, których dane są przetwarzane. W kolejnym wpisie przeczytasz o tym, czym w kontekście RODO jesteśmy najczęściej straszeni – kontroli i karach, grożących za nieprzestrzeganie nowego prawa. Kliknij tu, by przeczytać wpis "Jakie kary grożą za naruszenie przepisów GDPR"!

Aspektem RODO, który najbardziej pobudza wyobraźnię, są kary przewidziane za nieprzestrzeganie nowych przepisów. Poniekąd słusznie – w najwyższym wymiarze są w stanie pogrążyć przedsiębiorstwo, a przynajmniej poważnie nadwyrężyć jego budżet. Jednak aby „zasłużyć” na najwyższy wymiar kary, firma musiałaby dopuścić się wyjątkowo poważnych naruszeń nowych przepisów. Choć wysokość kar jest na pewno interesująca, przeanalizujemy też procedurę, które zwykle poprzedzają nałożenie kar – czyli kontrolę w firmie.Wstępne informacje o RODO/GDPR, a także kilka słów o założeniach niniejszego cyklu artykułów, znajdziesz we wpisie pilotowym, który przeczytasz tu.Wpis pierwszy, o podstawowych założeniach RODO/GDPR i polskich ustawach dostosowujących nasze prawo do nowych przepisów, przeczytasz tu.Wpis drugi, o prawach osób, których dane są przetwarzane i obowiązkach przedsiębiorców w ramach nowych przepisów, przeczytasz tu.Przeczytaj też dwa wpisy o ePrivacy, czyli rozporządzeniu towarzyszącemu RODO. Są tu: wpis 1 i wpis 2.Jeszcze uwaga techniczna – określeń RODO i GDPR będziemy w niniejszym artykule używać zamiennie. Oznaczają one to samo rozporządzenie, a ponieważ oba pojawiają się w dyskusjach, warto, abyś był „oswojony” z obydwoma terminami.Podobnie jak w poprzednich artykułach o RODO i ePrivacy, poprosiliśmy o wpis gościnny i obszerny komentarz Panią Joannę Swaryczewską-Dede z kancelarii Porębski i Wspólnicy, specjalizującą się między innymi w zagadnieniach związanych z przetwarzaniem danych osobowych, oraz zajmującą się przygotowywaniem dokumentacji wewnętrznej dla przedsiębiorców, prowadzeniem audytów, a także doradztwem z zakresu ochrony danych osobowych.[caption id="attachment_16093" align="alignleft" width="300"]

Joanna Swaryczewska-Dede, adwokat w kancelarii Porębski i Wspólnicy[/caption]Temat nie jest łatwy - usiądź wygodnie i zarezerwuj sobie 10 minut na przeczytanie artykułu. Zaczynamy.

Kary RODO - sankcje za niedostosowanie

O karach pisaliśmy w artykule o rozporządzeniu ePrivacy, ponieważ stosuje te same sankcje co GDPR, ale przypomnijmy dla efektu:Naruszenie niektórych przepisów rozporządzenia może doprowadzić do nałożenia kar administracyjnych w wysokości do 10 000 000 EUR. W przypadku przedsiębiorstwa – w wysokości do 2 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego.Natomiast naruszenie innych przepisów rozporządzenia grozi karami do 20 000 000 EUR lub 4% całkowitego rocznego światowego dochodu w przypadku przedsiębiorstwa.

Kary RODO - Procedura kontroli i karania

GDPR stanowi, że kontrolą przestrzegania przepisów o ochronie danych osobowych oraz nakładaniem ewentualnych sankcji zajmują się odpowiednie organy państwowe, powołane w każdym państwie członkowskim Unii Europejskiej.W nowym projekcie polskiej ustawy o ochronie danych osobowych, dostosowującej nasze przepisy do RODO, zostały przewidziane procedury kontroli zgodności z przepisami RODO oraz nakładania kar w przypadku stwierdzenia uchybień.Projekt wskazuje, że postępowanie kontrolne może być prowadzone zgodnie z planem kontroli zatwierdzonym przez Prezesa Urzędu Ochrony Danych Osobowych (który ma zastąpić GIODO), bądź poza planem na podstawie uzyskanych przez Prezesa Urzędu informacji albo przeprowadzonych analiz.Zgodnie z projektem, do kontroli działalności gospodarczej przedsiębiorcy stosuje się przepisy rozdziału 5 ustawy z dnia 2 lipca 2004 r. o swobodzie działalności gospodarczej z wyłączeniem m.in. art. 79, który wskazuje, że podmiot, który będzie podlegał kontroli powinien zostać o niej poinformowany, tak by mógł się do niej przygotować.Oznacza to, że kontrole przestrzegania przepisów o ochronie danych osobowych będą mogły odbywać się bez zapowiedzi.W razie stwierdzenia w toku postępowania kontrolnego, że w podmiocie kontrolowanym mogło dojść do naruszenia przepisów o ochronie danych osobowych, Prezes Urzędu niezwłocznie wszczyna postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych.Projekt ustanawia jednoinstancyjność postępowania w sprawie naruszenia przepisów o ochronie danych osobowych, pozbawionego istniejącego do tej pory wniosku o ponowne rozpatrzenie sprawy jako środka odwoławczego.Prezes Urzędu będzie miał prawo autokontroli (uchylenia i zmiany) swoich decyzji w terminie 30 dni od dnia wniesienia skargi.

Procedura kontroli i karania - komentarz prawnika

"Dotychczas, w zakresie nieuregulowanym w przepisach o ustawie o ochronie danych osobowych do kontroli GIODO stosowane były przepisy ustawy o swobodzie działalności gospodarczej, w tym wspomniany art. 79 ust. 4, zgodnie z którym organ kontrolujący zawiadamiał o planowanej kontroli. Dzięki takiemu zawiadomieniu kontrolowany podmiot ma możliwość przygotowania się do kontroli, a w szczególności sprawdzenia dokumentacji, uzupełnienia ewentualnych nieprawidłowości, które mogłyby zostać zakwestionowane podczas postępowania kontrolnego.Zgodnie z projektem nowej ustawy o ochronie danych osobowych, postępowanie kontrolne ma odbywać się bez zapowiedzi. Biorąc pod uwagę surowość sankcji za nieprzestrzeganie przepisów RODO przedsiębiorcy powinni jak najszybciej rozpocząć przygotowania do dostosowania swoich przedsiębiorstw do nowej regulacji prawnej.Projektowane odejście od dwuinstancyjnego modelu postępowania w sprawie naruszenia przepisów o ochronie danych osobowych budzi skrajne reakcje. Z jednej strony pojawiają się głosy aprobujące takie rozwiązanie i wskazujące, że wpłynie to na szybkość postępowania przed organem ochrony danych. Z drugiej strony w środowisku prawniczym mówi się, że argument ograniczenia przewlekłości to za mało oraz że taka propozycja może być niezgodna z konstytucją.Biorąc jednak pod uwagę, że dotychczasowa praktyka wskazuje na niezwykle niską skuteczność wniosków o ponowne rozpatrzenie sprawy przed GIODO, wprowadzenie jednoinstancyjnego postępowania przed nowym organem ochrony danych osobowych wydaje się dobrym rozwiązaniem. Strony postępowania będą mogły od razu zaskarżyć decyzję prezesa urzędu do sądu, bez konieczności składania wniosku o ponowne rozpatrzenie sprawy."

Kary RODO - Uprawnienia Prezesa Urzędu Ochrony Danych Osobowych

Nowe przepisy nadają Prezesowi Urzędu szereg uprawnień już w przypadku stwierdzenia naruszenia (art. 55 projektu). Projekt w zakresie uprawnień organu ochrony danych odsyła do RODO.Prezes Urzędu może podjąć następujące rozstrzygnięcia:

1. udzielić upomnienia,
2. nakazać administratorowi lub podmiotowi przetwarzającemu spełnienie żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy GDPR,
3. nakazać administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów RODO,
4. nakazać administratorowi zawiadomienie osoby, której dane dotyczą, o naruszeniu ochrony danych,
5. wprowadzić czasowe lub całkowite ograniczenia przetwarzania, w tym zakaz przetwarzania;
6. nakazać sprostowania lub usunięcia danych osobowych lub ograniczenia ich przetwarzania oraz powiadomienie o tych czynnościach odbiorców, którym dane osobowe ujawniono,
7. cofnąć certyfikację lub nakazać podmiotowi certyfikującemu cofnięcie certyfikacji lub nieudzielanie certyfikacji,
8. nałożyć administracyjną karę pieniężną,
9. nakazać zawieszenia przepływu danych do odbiorcy w państwie trzecim lub do organizacji międzynarodowej.

Projekt ustawy przewiduje, że w przypadku gdy wobec podmiotu, który naruszył przepisy o ochronie danych osobowych została nałożona administracyjna kara pieniężna, istnieje możliwość odroczenia zapłaty kary i rozłożenia jej na raty przez Prezesa Urzędu.Co istotne, w przypadku gdy waga naruszenia przepisów o ochronie danych osobowych jest znikoma, a strona zaprzestała naruszenia Prezes Urzędu może w drodze decyzji udzielić upomnienia.Warto dodać, iż wszystkie rozstrzygnięcia Prezesa podlegają rygorowi natychmiastowej wykonalności. Natomiast wniesienie przez stronę skargi do sądu administracyjnego powoduje wstrzymanie wykonania decyzji tylko w zakresie dotyczącym administracyjnej kary pieniężnej.

Uprawnienia Prezesa UODO - komentarz prawnika

Zgodnie z przepisami RODO administracyjne kary pieniężne, nakładane przez Prezesa Urzędu muszą być w każdym indywidualnym przypadku: skuteczne, proporcjonalne i odstraszające. Biorąc pod uwagę wysokość przewidzianych w RODO sankcji finansowych za naruszenia, należy się spodziewać że kary będą pełnić wskazane wyżej funkcje.Zwracam uwagę, że organ ochrony danych decydując, czy nałożyć administracyjną karę pieniężną, oraz ustalając jej wysokość, powinien w każdym przypadku mieć na uwadze m.in.:

1. charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody,
2. umyślny lub nieumyślny charakter naruszenia,
3. działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą,
4. stopień odpowiedzialności administratora lub podmiotu przetwarzającego z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez nich w celu zapewnienia bezpieczeństwa danych,
5. stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków,
6. sposób, w jaki organ dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie.

Biorąc pod uwagę powyższe, w przypadku naruszenia ochrony danych administrator, bądź procesor powinni:

1. zgłosić wystąpienie incydentu bezpieczeństwa organowi ochrony danych – jeśli organ dowie się o naruszeniu ochrony danych od podmiotu trzeciego, np. osoby, której dane dotyczą, należy spodziewać się że sankcja będzie bardziej dotkliwa,
2. jak najszybciej podjąć działania w celu zminimalizowania skutków naruszeń oraz zapobieżenia naruszeniu ochrony danych osobowych w przyszłości,
3. bezwzględnie współpracować z organem nadzorczym, dostarczając mu wszelkie niezbędne informacje i dokumenty.

Kary RODO - Dodatkowe prawa osób poszkodowanych

W projekcie nowej ustawy o ochronie danych osobowych przewidziano również możliwość dochodzenia roszczeń na drodze sądowej przed sądami cywilnymi (obok wszczęcia postępowania administracyjnego). Osoba, której prawa przysługujące na mocy przepisów ochronie danych osobowych zostały naruszone może żądać zaniechania takiego działania, a także dopełnienia czynności potrzebnych do usunięcia skutków naruszenia.Nie wyłącza to jednak możliwości wystąpienia z innymi roszczeniami z tytułu naruszenia przepisów o ochronie danych osobowych wobec podmiotu, który dopuścił się naruszenia.Osoba, której prawa (związane z ochroną danych osobowych) zostały naruszone będzie miała następujące roszczenia przeciwko administratorowi danych/procesorowi:

• na podstawie art. 24 k.c. – roszczenia niemajątkowe i majątkowe z tytułu naruszenia dóbr osobistych (np. prawa do prywatności);
• roszczenia odszkodowawcze (w przypadku szkody majątkowej lub niemajątkowej) na podstawie art. 82 GDPR;
• roszczenie niemajątkowe o usunięcie skutków, którego bezpośrednim źródłem będzie ustawa o ochronie danych osobowych bez potrzeby odwoływania się do pojęcia dóbr osobistych.

Oznacza to, że osoba której prawa zostały naruszone będzie w stanie na drodze cywilnej uzyskać szeroką ochronę.

Prawa osób poszkodowanych - komentarz prawnika

"RODO wprowadza do polskiego porządku prawnego nowy rodzaj powództwa z którym będzie mogła wystąpić każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia przepisów o ochronie danych osobowych. Dotychczas tego rodzaju możliwość nie była uregulowana wprost w przepisach prawa. Pokrzywdzony mógł co prawda wnieść powództwo do sądu powołując się na naruszenie dobra osobistego w postaci prywatności. Jednakże, w takiej sprawie powód w pozwie zobowiązany był wykazać, że działania pozwanego stanowią naruszenie jego dobra osobistego.Od 25 maja 2018 r. w pozwie wystarczające będzie powołanie się na naruszenie samych przepisów o ochronie danych osobowych. Będzie to z pewnością sporym ułatwieniem dla podmiotów danych.Administratorzy oraz procesorzy będą musieli się liczyć z tym, że naruszenie przepisów o ochronie danych może mieć dla nich bardzo przykre skutki finansowe. Konsekwencją naruszenia może być bowiem nie tylko wysoka kara administracyjna, ale również konieczność wypłaty odszkodowania osobie, której prawa zostały naruszone. Jako, że nic nie działa na przedsiębiorców tak jak widmo kary finansowej, rygorystyczne przepisy w tym zakresie powinny skłonić ich do jak najszybszego podjęcia działań celem dostosowania do wymogów RODO."

Na tym, na razie, kończymy nasz cykl o GDPR (RODO) i ePrivacy. Masz już pełen obraz nowego prawa i wiesz co Cię czeka - zarówno jako przedsiębiorcę, jak i osobę prywatną.Zgodnie z zapowiedzią, do niniejszego cyklu będziemy wracać i go aktualizować w miarę postępu prac nad polską ustawą dostosowującą, oraz pojawiania się nowych danych czy interpretacji.Jeżeli chcesz przypomnieć sobie poszczególne artykuły cyklu, kliknij w poniższe linki:Artykuł pilotażowyePrivacy część 1ePrivacy część 2GDPR (RODO) część 1GDPR (RODO) część 2GDPR (RODO) w Polsce - komentarz bieżący

Zastanawiasz się nad zmianą lub modernizacją centrali telefonicznej, a ważnym czynnikiem jest jej łatwa obsługa? Zobacz, jak wygląda konfiguracja centrali telefonicznej w chmurze i podejmij świadomą decyzję o zakupie odpowiedniego rozwiązania dla Ciebie.Konfiguracja centrali telefonicznej powinna być najmniejszym z Twoich zmartwień. System telefonii w firmie ma działać zgodnie z potrzebami i strategią firmy. A gdy te potrzeby i strategia się zmienią, odpowiednie przestawienie centrali telefonicznej nie może wymagać dwudniowej interwencji informatyków.

Konfiguracja centrali telefonicznej przy wdrożeniu

Wirtualna centrala telefoniczna dostępna jest w środowisku chmury obliczeniowej, jako usługa abonamentowa (SaaS). W związku z tym nie potrzebujesz żadnej infrastruktury w firmie poza komputerem z dostępem do Internetu i telefonem.Z tego też powodu, cała techniczna strona konfiguracji odbywa się po stronie dostawcy usługi wirtualnej centrali.Twoim zadaniem jest tylko dostarczenie informacji, jak na przykład jakie numery telefonów mają być podłączone do centrali, który pracownik ma mieć konto użytkownika, jak ustawić kolejkowanie (więcej o kolejkowaniu połączeń przeczytasz w artykule „Jak działa kolejkowanie połączeń?”), oraz w jaki sposób ma działać menu głosowe IVR - jeżeli będziesz go używać.O tym, co to jest menu IVR i dlaczego warto je mieć przeczytasz tu, a jak je przygotować, zanim przystąpisz do jego wdrożenia, dowiesz się z tego artykułu.I to w zasadzie wszystko – na każdym etapie otrzymasz pomoc od dostawcy usługi, a na koniec pozostaje skonfigurowanie telefonów podłączonych do centrali. Jest to jedna z zaledwie dwóch czynności, które odbędą się w Twoim biurze. Drugą jest szkolenie użytkowników z obsługi centrali, którą przeprowadzi specjalista usługodawcy.

Bieżąca konfiguracja centrali telefonicznej

Wszelkie zmiany ustawień stacjonarnej centrali telefonicznej były koszmarem, wymagającym pół dnia walki całego działu IT z opornym systemem?[caption id="attachment_16993" align="alignleft" width="800"]

Panel konfiguracji wirtualnej centrali Welyo. Wszystkie dane użytkowników zmyślone ;)[/caption]Do bieżącej konfiguracji wirtualnej centrali nie potrzebujesz informatyków, którzy mogą spokojnie zajmować się ważniejszymi sprawami. Wszelkie zmiany ustawień możesz przeprowadzić sam, albo oddelegować jednego z pracowników.Panel konfiguracji jest prosty i opiera się o rozwijane menu, pola do wypełnienia, oraz mechanikę „przeciągnij i upuść” w przypadku zmian w menu IVR.A ponieważ cała infrastruktura – serwery, kable, chłodzenie, pomieszczenia, system przeciwpożarowy – jest po stronie dostawcy usługi, nie musisz odłączać żadnych przewodów ani wzywać serwisu. Wszystkie zmiany wprowadzisz, siedząc wygodnie w fotelu.Chcesz się dowiedzieć więcej o wirtualnej centrali telefonicznej? Przeczytaj te artykuły:Jaka centrala telefoniczna będzie najlepsza dla małej firmy?Centrala wirtualna czy stacjonarna w firmie?Co to jest IVR - plus 7 korzyści z jego stosowania.

Nadmierne wydatki są częstą bolączką firm każdej wielkości, a ich ograniczenie wymaga odpowiednich narzędzi. Redukcja kosztów firmowych rozmów telefonicznych jest możliwa z wykorzystaniem prostej funkcji wirtualnej centrali: limitów kwotowych.Większość firm, które pytamy o wydatki telekomunikacyjne, nie jest w stanie podać dokładnych liczb. Tymczasem według naszych – i nie tylko naszych – szacunków, nawet do 30% kosztów rozmów telefonicznych w firmach jest niepotrzebna. Jak je zmniejszyć i zoptymalizować? Prostą funkcją, dzięki którym możesz zaoszczędzić, są limity kwotowe.

Limity kwotowe – jak to działa?

Mechanizm limitu kwotowego jest niezmiernie prosty. Każdy użytkownik wirtualnej centrali telefonicznej w Twojej firmie, uprawniony do wykonywania połączeń wychodzących – handlowiec, telemarketer, doradca klienta – może mieć indywidualną granicę wydatków na telefony. Ustalasz ją w panelu administracyjnym dla danego konta użytkownika lub typu kont (np. wszyscy posiadacze kont „Agent”).

Limity mogą być zarówno dzienne, jak i miesięczne.

Dzięki temu masz gwarancję, że dany użytkownik nie „zaszaleje” i nie wydzwoni niebotycznego rachunku. System mu na to nie pozwoli, blokując połączenia wychodzące po osiągnięciu limitu.

Limity kwotowe zabezpieczą przed zawyżonymi kosztami

Limit kwotowy ma tę przewagę nad bilingiem, że działa zapobiegawczo. Nawet jeżeli co miesiąc kontrolujesz bilingi i faktury za telefon, zbyt wysokie koszty wykryjesz jak już zaistnieją i będziesz zobowiązany do ich zapłacenia. Natomiast limity kwotowe po prostu uniemożliwią dzwonienie.Dodatkowo, znacznie łatwiej zaplanujesz okresowy budżet, znając maksymalne, nieprzekraczalne wydatki na rozmowy telefoniczne wszystkich użytkowników.

Limity kwotowe ułatwią zarządzanie budżetem

Wartość pieniężną limitu wprowadziliśmy dla ułatwienia – zamiast działać na nieoczywistych i trudnych do ujęcia w budżetach „limitach impulsów” czy też „limitach czasowych”, operujesz na pieniądzach. Nie ma problemu z uwzględnieniem kwot limitów w bilansach i rozliczeniach. Dodatkowo, kwoty pieniężne są konkretne i łatwe do zrozumienia dla każdego – pieniądze lepiej działają na wyobraźnię niż minuty czy impulsy.Dodatkowym ułatwieniem jest automatyczne naliczanie kosztów w wirtualnej centrali. System sam „wie” ile kosztuje minuta rozmowy u Twojego operatora, nie ręcznie wprowadzać stawek przy zmianach cenników czy wejściu na rynki zagraniczne.

Limity kwotowe kontrolują pracę

Limit kwotowy możesz traktować jako dodatkowy mechanizm kontroli pracy Twoich konsultantów. Jeżeli komuś kończy się limit w połowie miesiąca, możesz sytuację z nim wyjaśnić. Może ustalone limity są zbyt małe? A może… dzwoni prywatnie?Jeżeli poinformujesz pracowników o ustalonych limitach, rozmowy prywatne w zasadzie nie będą się zdarzały.

Chcesz wiedzieć więcej o wirtualnej centrali i o tym, jak uzyskać niższe koszty rozmów telefonicznych w firmie? Przeczytaj te artykuły:

Jaka centrala telefoniczna będzie najlepsza dla małej firmy?Dlaczego większość firm wybiera telefon VoIP?Centrala wirtualna czy stacjonarna w firmie?6 powodów, dla których musisz znać statystyki rozmów telefonicznych w firmie