.jpg)
Zespół powołany zarządzeniem Zarządu ma dostęp do danych osobowych. Jakie obowiązki RODO należy mu przydzielić?
Powołanie zespołu zadaniowego zarządzeniem Zarządu jest częstym rozwiązaniem w organizacjach, które chcą przeprowadzić audyt, zoptymalizować zatrudnienie, przeanalizować koszty, uporządkować procesy lub ocenić efektywność pracy poszczególnych komórek organizacyjnych.
Problem pojawia się wtedy, gdy członkowie takiego zespołu otrzymują dostęp do danych osobowych, a w szczególności do informacji o pracownikach, wynagrodzeniach, absencjach, kwalifikacjach zawodowych, wydajności pracy czy sytuacji zdrowotnej.
Zarząd może powołać zespół i określić jego zadania organizacyjne. Nie oznacza to jednak, że samo zarządzenie automatycznie legalizuje dostęp do wszystkich danych osobowych, które mogą okazać się przydatne podczas realizacji projektu.
Jeżeli zespół ma dostęp do danych osobowych, jego zadania, uprawnienia i zasady odpowiedzialności za przetwarzanie danych powinny zostać określone przed rozpoczęciem pracy.
Nie wystarczy zapis: „Zespół realizuje zadania zgodnie z obowiązującymi przepisami prawa”. Potrzebne są konkretne reguły dotyczące dostępu, zakresu danych, poufności, bezpieczeństwa i dokumentowania czynności.
1. Najpierw ustalmy, kto odpowiada za przetwarzanie danych
Podstawowe pytanie brzmi: czy zespół jest odrębnym administratorem danych?
Co do zasady, nie. Jeżeli Zarząd powołuje zespół jako wewnętrzną strukturę organizacyjną przedsiębiorstwa lub innej organizacji, administratorem pozostaje podmiot, który ustala cele i sposoby przetwarzania danych. Zespół działa w jego strukturze organizacyjnej, w granicach powierzonych mu zadań i uprawnień.
Z tego wynikają trzy konsekwencje:
Zarząd nie może samym zarządzeniem zastąpić podstawy prawnej przetwarzania danych.
Kierownik zespołu nie uzyskuje automatycznie prawa do wszystkich informacji znajdujących się w organizacji.
Każdy członek zespołu powinien mieć dostęp tylko do tych danych, które są niezbędne do realizacji powierzonych mu zadań.
W praktyce oznacza to konieczność ustalenia celu przetwarzania, podstawy prawnej, kategorii osób, których dane dotyczą, kategorii danych oraz rzeczywistego zakresu dostępu poszczególnych członków zespołu.
Podstawowe znaczenie mają tutaj art. 5 ust. 1 lit. a–f i ust. 2, art. 6, art. 24, art. 25 oraz art. 32 RODO.
2. Jakie zadania z zakresu RODO należy przydzielić zespołowi?
Jeżeli zespół ma pracować na danych osobowych, zarządzenie powinno zawierać odrębną część regulującą zasady ich przetwarzania. W zależności od charakteru projektu warto przypisać zespołowi następujące obowiązki.
Zadanie 1. Przetwarzanie danych wyłącznie w celu określonym w zarządzeniu
Zespół powinien wykorzystywać dane osobowe wyłącznie w celu realizacji zadania, dla którego został powołany.
Przykładowo, jeżeli zespół ma przeanalizować organizację pracy i zabezpieczenie kadrowe personelu medycznego, nie powinien wykorzystywać pozyskanych danych do prowadzenia niezależnej oceny zachowania konkretnych pracowników, sporządzania nieformalnych rankingów ani podejmowania działań niezwiązanych z powierzonym projektem.
W zarządzeniu warto wskazać, że członkowie zespołu:
przetwarzają dane wyłącznie w zakresie niezbędnym do realizacji zadania;
nie wykorzystują danych do celów prywatnych ani innych niezatwierdzonych celów;
nie podejmują samodzielnie nowych celów przetwarzania;
nie udostępniają danych osobom spoza uprawnionego kręgu odbiorców.
Podstawa prawna: art. 5 ust. 1 lit. b RODO – ograniczenie celu.
Zadanie 2. Ustalenie minimalnego zakresu danych niezbędnych do analizy
Zespół powinien określić, jakie dane rzeczywiście są potrzebne do realizacji projektu, i ograniczyć ich zakres do niezbędnego minimum.
Jeżeli celem jest ustalenie liczby etatów, obsady dyżurowej lub braków kadrowych, często wystarczą dane zagregowane, zestawienia liczebności albo informacje o strukturze zatrudnienia.
Nie zawsze konieczne będzie udostępnianie imion i nazwisk, numerów PESEL, adresów zamieszkania, informacji o stanie zdrowia czy szczegółowych danych płacowych.
Warto zobowiązać zespół do:
uzasadniania potrzeby dostępu do danych identyfikujących konkretne osoby;
korzystania w pierwszej kolejności z zestawień statystycznych lub danych zanonimizowanych;
ograniczania liczby osób, których dane są analizowane;
zgłaszania Zarządowi lub osobie odpowiedzialnej za ochronę danych potrzeby rozszerzenia zakresu dostępu.
Podstawa prawna: art. 5 ust. 1 lit. c RODO – minimalizacja danych.
Zadanie 3. Przestrzeganie zasad dostępu do danych
Zarządzenie powinno wskazywać, że dostęp do danych osobowych przysługuje członkom zespołu tylko w zakresie wynikającym z ich zadań i nadanych uprawnień.
W praktyce oznacza to, że samo członkostwo w zespole nie uzasadnia dostępu do całej dokumentacji kadrowej, systemów informatycznych czy akt osobowych.
Warto nałożyć na zespół obowiązek:
korzystania wyłącznie z przyznanych uprawnień;
nieprzekazywania kont, haseł ani tokenów dostępowych innym osobom;
niepozyskiwania danych z systemów, do których członek zespołu nie ma upoważnienia;
niekopiowania dokumentacji poza zatwierdzone lokalizacje;
zgłaszania potrzeby nadania, zmiany lub odebrania uprawnień.
Podstawa prawna: art. 29 oraz art. 32 ust. 1 RODO. Art. 29 odnosi się do przetwarzania pod kierownictwem administratora lub podmiotu przetwarzającego.
Zadanie 4. Zachowanie poufności
Każdy członek zespołu powinien być zobowiązany do zachowania w poufności informacji uzyskanych w związku z realizacją zadania.
Dotyczy to zarówno dokumentów papierowych, jak i danych dostępnych w systemach informatycznych, korespondencji, notatek, zestawień, prezentacji oraz ustnych informacji o pracownikach i innych osobach.
Poufność powinna obejmować również okres po zakończeniu prac zespołu, zgodnie z obowiązującymi przepisami i zobowiązaniami danej osoby.
Nie należy jednak zakładać, że sam podpis pod zarządzeniem zawsze wystarczy. Trzeba sprawdzić, czy dana osoba jest już objęta właściwym upoważnieniem i obowiązkiem poufności, a jeśli nie – zapewnić odpowiednie formalne umocowanie.
Podstawa prawna: art. 5 ust. 1 lit. f, art. 29 i art. 32 ust. 4 RODO.
Zadanie 5. Bezpieczne przechowywanie i przekazywanie danych
Zespół powinien pracować na dokumentach i zestawieniach w sposób, który ogranicza ryzyko przypadkowego ujawnienia, utraty lub zniszczenia danych.
W zarządzeniu warto określić, że:
dokumenty są przechowywane w zatwierdzonych lokalizacjach;
dane elektroniczne są przekazywane wyłącznie przy użyciu zatwierdzonych kanałów;
dokumenty papierowe nie są pozostawiane bez nadzoru;
materiały nie są przesyłane na prywatne skrzynki pocztowe ani kopiowane do prywatnych chmur;
wydruki i kopie robocze są zabezpieczane oraz usuwane po ustaniu potrzeby ich wykorzystywania, z uwzględnieniem zasad retencji dokumentacji.
Nie należy automatycznie zakazywać każdej kopii czy wydruku. Należy natomiast określić, kiedy są dopuszczalne, kto może je wykonywać i w jaki sposób mają być zabezpieczone.
Podstawa prawna: art. 5 ust. 1 lit. f oraz art. 32 RODO.
Zadanie 6. Zgłaszanie incydentów i podejrzeń naruszenia ochrony danych
Członkowie zespołu powinni mieć obowiązek niezwłocznego zgłaszania podejrzenia naruszenia ochrony danych osobowych osobie lub komórce wskazanej w procedurze obowiązującej u administratora.
Przykładowe zdarzenia to:
wysłanie zestawienia do niewłaściwego odbiorcy;
zagubienie dokumentów;
ujawnienie danych podczas prezentacji;
uzyskanie dostępu przez osobę nieuprawnioną;
pozostawienie dokumentacji w miejscu dostępnym dla osób postronnych;
utrata urządzenia zawierającego dane.
Zespół nie powinien samodzielnie przesądzać, że zdarzenie nie stanowi naruszenia, i rezygnować z jego zgłoszenia. Ocena naruszenia oraz decyzja o ewentualnym zgłoszeniu do Prezesa UODO należą do właściwych osób działających w imieniu administratora, zgodnie z przyjętą procedurą.
Podstawa prawna: art. 33 i 34 RODO.
Zadanie 7. Dokumentowanie operacji i wyników prac
Zespół powinien dokumentować źródła danych, zakres otrzymanych informacji, sposób ich wykorzystania oraz wyniki analiz w zakresie niezbędnym do wykazania prawidłowego przebiegu prac.
Warto przewidzieć:
ewidencję przekazanych zestawień i dokumentów;
wskazanie osób uprawnionych do otrzymywania materiałów;
oznaczenie dokumentów zawierających dane osobowe;
określenie zasad przygotowywania raportów dla Zarządu;
weryfikację, czy raport końcowy rzeczywiście wymaga podania danych identyfikujących konkretne osoby.
Raport dotyczący organizacji pracy nie powinien bez uzasadnionej potrzeby zawierać nazwisk, szczegółowych informacji o zdrowiu ani innych danych pozwalających na identyfikację osób.
Podstawa prawna: art. 5 ust. 2 oraz art. 24 RODO.
Zadanie 8. Zakończenie dostępu i uporządkowanie dokumentacji
Po zakończeniu prac albo odwołaniu członka zespołu należy niezwłocznie zweryfikować jego dostęp do danych, systemów i dokumentacji.
Zespół powinien przekazać materiały robocze zgodnie z ustalonymi zasadami oraz usunąć zbędne kopie, o ile ich dalsze przechowywanie nie wynika z obowiązku prawnego lub przyjętych zasad dokumentowania i retencji.
Należy też odebrać lub zmienić uprawnienia informatyczne i rozliczyć dokumenty papierowe.
Podstawa prawna: art. 5 ust. 1 lit. e i f oraz art. 32 RODO.
3. Czy IOD powinien być członkiem zespołu?
To zależy od celu i zakresu prac.
IOD powinien być zaangażowany w konsultacje dotyczące ochrony danych, zwłaszcza gdy zespół ma uzyskać dostęp do danych szczególnie wrażliwych, analizować organizację pracy personelu lub tworzyć nowe rozwiązania związane z przetwarzaniem danych.
Zgodnie z art. 39 ust. 1 lit. a i b RODO IOD informuje o obowiązkach wynikających z przepisów oraz monitoruje ich przestrzeganie. Na podstawie art. 38 ust. 1 administrator zapewnia IOD właściwe i terminowe włączanie we wszystkie sprawy dotyczące ochrony danych osobowych.
Nie oznacza to jednak, że IOD powinien automatycznie zostać członkiem każdego zespołu.
Jeżeli jego zadaniem ma być niezależne monitorowanie zgodności działań zespołu, często korzystniejsze będzie pozostawienie go w roli doradczej i kontrolnej. IOD nie powinien przejmować odpowiedzialności za decyzje biznesowe Zarządu ani za wdrożenie rozwiązań, których zgodność ma następnie niezależnie oceniać.
4. Czy można powołać zespół bez dostępu do danych osobowych?
Tak. W wielu przypadkach to rozwiązanie najbezpieczniejsze i najbardziej efektywne.
Jeżeli celem jest analiza kosztów, efektywności organizacyjnej, obciążenia pracą lub zabezpieczenia kadrowego, należy najpierw sprawdzić, czy zadanie można wykonać na danych zagregowanych lub odpowiednio zanonimizowanych.
Warto przy tym rozróżnić:
Dane zanonimizowane – nie pozwalają na identyfikację osoby, również przy uwzględnieniu środków, których można racjonalnie użyć.
Dane pseudonimizowane – pozwalają na identyfikację przy użyciu dodatkowych informacji; nadal są danymi osobowymi.
Dane zagregowane – przedstawiają zbiorcze wyniki. Mogą nie być danymi osobowymi, jeżeli nie pozwalają na identyfikację konkretnych osób.
Samo usunięcie imienia i nazwiska nie zawsze zapewnia anonimowość. W niewielkiej komórce organizacyjnej połączenie stanowiska, specjalizacji, wymiaru etatu i harmonogramu może pozwolić na rozpoznanie konkretnego pracownika.
Jeżeli zespół nie potrzebuje identyfikacji osób, zarządzenie powinno nakazywać korzystanie w pierwszej kolejności z danych statystycznych i zestawień, a dostęp do danych jednostkowych dopuszczać wyłącznie po uzasadnieniu jego niezbędności.
5. Jakich zadań nie należy automatycznie przydzielać zespołowi?
Zespół zadaniowy nie powinien bez odpowiedniego umocowania i analizy prawnej:
uzyskiwać nieograniczonego dostępu do akt osobowych;
podejmować decyzji o celach przetwarzania danych niezależnie od administratora;
samodzielnie rozszerzać zakresu danych, do których ma dostęp;
przekazywać danych podmiotom zewnętrznym;
decydować o zgłoszeniu naruszenia do Prezesa UODO zamiast osób właściwych po stronie administratora;
przechowywać dokumentacji bez określonego celu i okresu;
wykorzystywać danych zebranych do jednego celu do innych, niezweryfikowanych celów.
Szczególnej ostrożności wymagają dane dotyczące zdrowia, wynagrodzeń, ocen pracowniczych, absencji oraz inne informacje, które mogą wpływać na sytuację zawodową konkretnej osoby.
6. Co powinno znaleźć się w zarządzeniu Zarządu?
Z punktu widzenia zgodności z RODO rekomenduję, aby zarządzenie zawierało co najmniej:
Cel i zakres zadań zespołu.
Wskazanie administratora danych.
Określenie kategorii danych i osób, których dane mogą być przetwarzane.
Zasady ustalania i nadawania uprawnień członkom zespołu.
Ograniczenie dostępu do danych niezbędnych do realizacji zadania.
Obowiązek zachowania poufności.
Zasady przechowywania, przekazywania i zabezpieczania materiałów.
Obowiązek zgłaszania incydentów.
Zasady dokumentowania i przekazywania wyników prac.
Zasady zakończenia dostępu i postępowania z dokumentacją po rozwiązaniu zespołu.
Wskazanie roli IOD w konsultowaniu rozwiązań dotyczących ochrony danych.
Warto również określić, kto odpowiada za przygotowanie danych dla zespołu, kto zatwierdza zakres dostępu oraz kto kontroluje wykonanie tych zasad.
Podsumowanie
Powołanie zespołu zarządzeniem Zarządu nie zwalnia administratora z obowiązków wynikających z RODO. Jeżeli członkowie zespołu mają dostęp do danych osobowych, należy określić nie tylko cel ich pracy, ale również granice dostępu, obowiązki poufności, zasady bezpieczeństwa i sposób rozliczenia wykorzystanych informacji.
Najlepszą praktyką jest przyjęcie zasady: najpierw określamy cel, potem minimalny zakres danych, a dopiero na końcu przyznajemy dostęp konkretnym osobom.
Takie podejście ogranicza ryzyko nieuprawnionego ujawnienia informacji, ułatwia wykazanie zgodności z RODO i pozwala Zarządowi realizować zadania organizacyjne bez tworzenia niepotrzebnych zagrożeń dla praw osób, których dane dotyczą.
Brak komentarzy:
Prześlij komentarz