{"id":1922,"date":"2022-06-27T08:40:59","date_gmt":"2022-06-27T06:40:59","guid":{"rendered":"https:\/\/www.profinfo.pl\/blog\/?p=1922"},"modified":"2024-01-03T09:24:37","modified_gmt":"2024-01-03T08:24:37","slug":"dokumentacja-glupcze-czyli-o-tym-jak-czytac-przepisy-rodo-z-uwzglednieniem-zasady-rozliczalnosci","status":"publish","type":"post","link":"https:\/\/www.profinfo.pl\/blog\/dokumentacja-glupcze-czyli-o-tym-jak-czytac-przepisy-rodo-z-uwzglednieniem-zasady-rozliczalnosci\/","title":{"rendered":"Dokumentacja, g\u0142upcze! Czyli o tym jak czyta\u0107 przepisy RODO z uwzgl\u0119dnieniem zasady rozliczalno\u015bci"},"content":{"rendered":"\n

Gdy wchodzi w \u017cycie nowy akt prawny, jego tw\u00f3rcy maj\u0105 zazwyczaj jasne wyobra\u017cenie na temat tego, co chc\u0105 osi\u0105gn\u0105\u0107. Najwa\u017cniejsze cele eksponuj\u0105, zapisuj\u0105c je w postaci zasad przewodnich nowej regulacji. Nigdy jednak nie da si\u0119 przewidzie\u0107 wszystkich skutk\u00f3w nowo uchwalanego prawa. Ujawniaj\u0105 si\u0119 one dopiero, gdy akt prawny zaczyna by\u0107 stosowany i jego postanowienia s\u0105 przek\u0142adane na praktyk\u0119 dzia\u0142ania podmiot\u00f3w, do kt\u00f3rych jest adresowany. Mo\u017ce si\u0119 wtedy okaza\u0107, \u017ce rozwi\u0105zania, kt\u00f3re tw\u00f3rcy regulacji uwa\u017cali za uzupe\u0142niaj\u0105ce, pomocnicze, z perspektywy adresat\u00f3w przepis\u00f3w staj\u0105 si\u0119 kluczowe, a konieczno\u015b\u0107 ich przestrzegania urasta do rangi podstawowego zadania wynikaj\u0105cego z nowych przepis\u00f3w.<\/strong><\/p>\n\n\n\n\n\n\n\n

W przypadku RODO tak w\u0142a\u015bnie sta\u0142o si\u0119 z zasad\u0105 rozliczalno\u015bci<\/strong>. Stanowi ona, \u017ce administratorzy nie tylko ponosz\u0105 odpowiedzialno\u015b\u0107 za przestrzeganie przepis\u00f3w okre\u015blaj\u0105cych zasady przetwarzania danych osobowych, ale musz\u0105 te\u017c by\u0107 w stanie wykaza\u0107, \u017ce to robi\u0105. Przewidziana jako metoda zapewnienia realizacji okre\u015blonych w art. 5 ust. 1 przewodnich zasad RODO, wyra\u017cona w kolejnym ust\u0119pie \u2013 2, niejako poza nawiasem, sta\u0142a si\u0119 istotnym punktem odniesienia dla praktyk\u00f3w, kt\u00f3rzy powinno\u015b\u0107 dostosowania si\u0119 do RODO musieli przeku\u0107 na konkretne dzia\u0142ania i rozwi\u0105zania wewn\u0119trzne. C\u00f3\u017c bowiem oznacza \u201eby\u0107 w stanie wykaza\u0107\u201d przestrzeganie przepis\u00f3w? Odpowied\u017a narzuca si\u0119 sama. Nie wystarczy dzia\u0142a\u0107 zgodnie z RODO. To, co si\u0119 robi nale\u017cy ponadto dokumentowa\u0107, tak by w razie w\u0105tpliwo\u015bci m\u00f3c udowodni\u0107, \u017ce post\u0119powa\u0142o si\u0119 zgodnie z prawem. Zasada rozliczalno\u015bci przek\u0142ada si\u0119 zatem na wym\u00f3g prowadzenie dokumentacji ochrony danych osobowych.<\/p>\n\n\n\n

\"Dokumentacja<\/a>
„Dokumentacja ochrony danych osobowych ze wzorami<\/a>” pod redakcj\u0105 Mariusza Jagielskiego ju\u017c teraz w ksi\u0119garni Profinfo.pl<\/figcaption><\/figure>\n\n\n\n

U\u015bwiadomienie sobie powy\u017cszej zale\u017cno\u015bci jest kluczowe, je\u015bli chce si\u0119 w spos\u00f3b prawid\u0142owy odczyta\u0107 nakazy zawarte w postanowieniach RODO. Przepisy te zawieraj\u0105 niejako dwie warstwy obowi\u0105zk\u00f3w. Pierwsz\u0105 warstw\u0119 stanowi\u0105 wyra\u017cone wprost w danej normie nakazy lub zakazy odnosz\u0105ce si\u0119 do ochrony danych osobowych. Warstw\u0119 drug\u0105 stanowi wym\u00f3g wyboru takiego sposobu realizacji obowi\u0105zk\u00f3w wskazanych na poziomie warstwy pierwszej, by da\u0142o si\u0119 to udokumentowa\u0107. Jako przyk\u0142ad niech pos\u0142u\u017cy nam art. 13 RODO. Przepis ten nak\u0142ada na administrator\u00f3w wym\u00f3g podania podmiotom danych, od kt\u00f3rych dane s\u0105 zbierane, pewnych informacji oraz aktualizacji tych informacji w przypadku dalszego przetwarzania danych w celu innym ni\u017c ten, dla kt\u00f3rego zosta\u0142y pierwotnie zebrane (warstwa pierwsza). Odczytanie tego przepisu z uwzgl\u0119dnieniem zasady rozliczalno\u015bci pokazuje, \u017ce na administratorach spoczywa jeszcze jeden obowi\u0105zek. Musz\u0105 oni zapewni\u0107 mo\u017cliwo\u015b\u0107 wykazania, \u017ce wskazane wymogi zosta\u0142y prawid\u0142owo zrealizowane (warstwa druga). Oznacza to, \u017ce s\u0105 zobowi\u0105zani wybra\u0107 tak\u0105 metod\u0119 realizacji wskazanych obowi\u0105zk\u00f3w informacyjnych, by ich wykonanie da\u0142o si\u0119 udokumentowa\u0107. Tylko wtedy mo\u017cliwe b\u0119dzie spe\u0142nienie wymogu na\u0142o\u017conego na administrator\u00f3w w art. 5 ust. 2 RODO. Tworzenie dokumentacji nale\u017cy traktowa\u0107 jako integralny element przestrzegania wymog\u00f3w RODO<\/a>. Gdy realizuje si\u0119 poszczeg\u00f3lne nakazy i zakazy, trzeba t\u0119 powinno\u015b\u0107 uwzgl\u0119dni\u0107.       <\/p>\n\n\n\n

Rzecz jasna, nie wszystkie przepisy RODO maj\u0105 taki charakter, \u017ce stan\u0105 si\u0119 podstaw\u0105 tworzenia dokumentacji. Musz\u0105 one by\u0107 tak skonstruowane, \u017ce wynikaj\u0105 z nich jakie\u015b wymagania na\u0142o\u017cone na adresat\u00f3w tego aktu prawnego. Prezes Urz\u0119du Ochrony Danych Osobowych<\/a> w swoich wytycznych sporz\u0105dzonych jeszcze w 2018 r.<\/a> wskazuje nast\u0119puj\u0105ce przypadki obowi\u0105zk\u00f3w administratora, kt\u00f3re powi\u0105zane s\u0105 bezpo\u015brednio z konieczno\u015bci\u0105 wykazania ich realizacji:<\/p>\n\n\n\n

  1. stosuje si\u0119 on do og\u00f3lnych zasad przetwarzania okre\u015blonych w art. 5 RODO,<\/li>
  2. zapewnia, aby dane przetwarzane by\u0142y zgodnie z prawem (art. 6\u201311 RODO),<\/li>
  3. zapewnia, aby przestrzegane by\u0142y prawa os\u00f3b, kt\u00f3rych dane s\u0105 przetwarzane (art. 12\u201323 RODO),<\/li>
  4. zapewnia wype\u0142nianie og\u00f3lnych obowi\u0105zk\u00f3w w zakresie przetwarzania danych ci\u0105\u017c\u0105cych na administratorze i podmiocie przetwarzaj\u0105cym (art. 24\u201331 RODO),<\/li>
  5. zapewnia bezpiecze\u0144stwo przetwarzania danych, uwzgl\u0119dniaj\u0105c charakter, zakres, kontekst i cele przetwarzania danych (art. 32\u201336 RODO),<\/li>
  6. zapewnia kontrol\u0119 nad przetwarzaniem danych w postaci monitorowania przestrzegania przepis\u00f3w i przyj\u0119tych procedur przetwarzania przez Inspektora Ochrony Danych lub podmioty certyfikuj\u0105ce czy monitoruj\u0105ce przestrzeganie przyj\u0119tych kodeks\u00f3w post\u0119powania (art. 27\u201343 RODO),<\/li>
  7. stosuje si\u0119 do wymaga\u0144 w zakresie przekazywania danych do pa\u0144stw trzecich i instytucji mi\u0119dzynarodowych (art. 44\u201349 RODO).<\/li><\/ol>\n\n\n\n

    Nale\u017cy podkre\u015bli\u0107, \u017ce wskazane wyliczenie nie jest wyczerpuj\u0105ce. Dodatkowe wymagania, kt\u00f3rych realizacja tak\u017ce b\u0119dzie wymaga\u0142a \u201ewykazania\u201d, a zatem odpowiedniego udokumentowania, mog\u0105 znajdowa\u0107 si\u0119 bowiem tak\u017ce w niekt\u00f3rych regulacjach implementuj\u0105cych RODO. W polskim kontek\u015bcie nale\u017cy w tym miejscu wskaza\u0107 zw\u0142aszcza przepisy zawarte w ustawie z dnia 21 lutego 2019 o zmianie niekt\u00f3rych ustaw w zwi\u0105zku z zapewnieniem stosowania rozporz\u0105dzenia 2016\/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony os\u00f3b fizycznych w zwi\u0105zku z przetwarzaniem danych osobowych i w sprawie swobodnego przep\u0142ywu takich danych oraz uchylenia dyrektywy 95\/46\/WE (Dz.U. z 2019 r., poz. 730) – tzw. \u201eustawa dostosowuj\u0105ca\u201d, kt\u00f3re wprowadzi\u0142y modyfikacje w licznych aktach sektorowych wskazuj\u0105c spos\u00f3b dostosowania prowadzonej dzia\u0142alno\u015bci do wymog\u00f3w RODO. Czasem poci\u0105ga\u0142o to za sob\u0105 konieczno\u015b\u0107 opracowania stosownych dokument\u00f3w. Taka potrzeba pojawi\u0142a si\u0119 w szczeg\u00f3lno\u015bci w dziedzinie prawa pracy, ale tak\u017ce je\u015bli chodzi o wykorzystanie technologii telekomunikacyjnych do przetwarzania danych osobowych oraz w przypadku wszystkich stosowanych form monitoringu.   <\/p>\n\n\n\n

    Dla dope\u0142nienia obrazu zauwa\u017cmy jeszcze, \u017ce RODO zawiera tak\u017ce przepisy, z kt\u00f3rych obowi\u0105zek dokumentacyjny<\/strong> wynika wprost. Chodzi o nast\u0119puj\u0105ce wymagania:<\/p>\n\n\n\n

    1. prowadzenie rejestru czynno\u015bci przetwarzania i zakres rejestru kategorii czynno\u015bci przetwarzania, o kt\u00f3rych mowa w art. 30 RODO;<\/li>
    2. zg\u0142aszanie naruszenia ochrony danych do organu nadzorczego (UODO) \u2013 art. 33 ust. 3 RODO;<\/li>
    3. prowadzenie wewn\u0119trznej dokumentacji stanowi\u0105cej rejestr narusze\u0144 ochrony danych, o kt\u00f3rym mowa w art. 33 ust. 5 RODO;<\/li>
    4. zawarto\u015b\u0107 raportu dokumentuj\u0105cego wyniki przeprowadzonych ocen skutk\u00f3w dla ochrony danych \u2013 art. 35 ust. 7 RODO.<\/li><\/ol>\n\n\n\n

      Cech\u0105 charakterystyczn\u0105 wskazanych przepis\u00f3w jest to, \u017ce okre\u015blaj\u0105 one konkretne tre\u015bci, kt\u00f3re adresat jest zobowi\u0105zany opracowa\u0107. W powy\u017cszych przypadkach nie ma wi\u0119c konieczno\u015bci odwo\u0142ywania si\u0119 do zasady rozliczalno\u015bci.  <\/p>\n\n\n\n

      Jednak sytuacja, gdy przepisy wprost wskazuj\u0105 zakres wymaganej dokumentacji, to wyj\u0105tek od zasady. W wi\u0119kszo\u015bci przypadk\u00f3w adresaci przepis\u00f3w musz\u0105 tre\u015b\u0107 dokument\u00f3w ustala\u0107 sami. Tak\u017ce w tym wzgl\u0119dzie za wskaz\u00f3wk\u0119 mo\u017ce pos\u0142u\u017cy\u0107 nam zasada rozliczalno\u015bci. W jej \u015bwietle przygotowanie dokumentacji ochrony danych osobowych nie jest wszak celem samym w sobie. Ma stanowi\u0107 metod\u0119 realizacji wskazanego w art. 5 ust. 2 RODO wymogu, by mo\u017cna by\u0142o wykaza\u0107, \u017ce przetwarzanie odbywa si\u0119 zgodnie z przepisami. Tre\u015b\u0107 dokumentacji powinna by\u0107 wi\u0119c do tego celu dostosowana.<\/p>\n\n\n\n

      Zobacz wi\u0119cej publikcji z zakresu ochrony danych osobowych<\/a><\/p>w ksi\u0119garni Profinfo.pl<\/cite><\/blockquote><\/figure>\n\n\n\n

      Rozwini\u0119cie powy\u017cszej idei znajdujemy w art. 24 RODO. Odczytuj\u0105c ten przepis w kontek\u015bcie wymogu wykazania, \u017ce podejmowane dzia\u0142ania pozostaj\u0105 w zgodzie z RODO, nale\u017cy potraktowa\u0107 dokumentacj\u0119 jako \u201e\u015brodek organizacyjny\u201d, kt\u00f3ry administrator \u201ewdra\u017ca\u201d w celu realizacji wymog\u00f3w RODO. Przepis ten wymaga, by uwzgl\u0119dni\u0107 w tym wzgl\u0119dzie \u201echarakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolno\u015bci os\u00f3b fizycznych o r\u00f3\u017cnym prawdopodobie\u0144stwie i wadze zagro\u017cenia\u201d.<\/p>\n\n\n\n

      Tak wi\u0119c zar\u00f3wno art. 5 ust. 2, jak i art. 24 nale\u017cy odczytywa\u0107 w ten spos\u00f3b, \u017ce tw\u00f3rcy RODO pozostawili administratorom pewn\u0105 swobod\u0119 co do sposobu dokumentowania podejmowanych dzia\u0142a\u0144. Chodzi\u0142o o to, by nie umieszcza\u0107 w dokumentach tre\u015bci niepotrzebnych, takich, kt\u00f3rych opracowanie zabiera czas, a kt\u00f3rych funkcjonalno\u015b\u0107 jest w\u0105tpliwa. Dokumentacja powinna realizowa\u0107 cele RODO i tylko w takim zakresie jest wymagana.        <\/p>\n\n\n\n

      Z art. 5 ust. 2 i art. 24 wynika jeszcze jeden wym\u00f3g dotycz\u0105cy dokumentacji. Musi by\u0107 ona  dostosowana do potrzeb konkretnego podmiotu. Ka\u017cdy dokument powinien by\u0107 zindywidualizowany i uwzgl\u0119dnia\u0107 zar\u00f3wno specyfik\u0119 przetwarzania, jak i rol\u0119 jak\u0105 w tym procesie odgrywa jego tw\u00f3rca (czy jest administratorem, wsp\u00f3\u0142administratorem, czy podmiotem przetwarzaj\u0105cym). Nie ma wi\u0119c dw\u00f3ch podmiot\u00f3w, kt\u00f3re b\u0119d\u0105 prowadzi\u0142y identyczn\u0105 dokumentacj\u0119. Nale\u017cy o tym pami\u0119ta\u0107, zw\u0142aszcza gdy przygotowuje si\u0119 dokumentacj\u0119 w oparciu o gotowe wzorce i formatki. Powinny by\u0107 one zaopatrzone w instrukcj\u0119 umo\u017cliwiaj\u0105c\u0105 ich indywidualizacj\u0119.<\/p>\n\n\n\n

      Zgodnie ze znan\u0105 anegdot\u0105 Bill Clinton w trakcie kampanii wyborczej w 1992 r., gdy po raz pierwszy kandydowa\u0142 na urz\u0105d prezydenta USA, kaza\u0142 swoim wsp\u00f3\u0142pracownikom przygotowa\u0107 plakat z has\u0142em \u201eGospodarka, g\u0142upcze!<\/em>\u201d, tak, by stale przypomina\u0142 mu o tym, \u017ce je\u015bli zapomni o uwzgl\u0119dnieniu kwestii gospodarczych w swoich wyst\u0105pieniach wyborczych, to nie ma szans na zwyci\u0119stwo. Gdyby odnie\u015b\u0107 t\u0119 anegdot\u0119 do dzia\u0142a\u0144 podmiot\u00f3w pr\u00f3buj\u0105cych sprosta\u0107 wyzwaniom RODO, to \u015bmia\u0142o mo\u017cna powiedzie\u0107, \u017ce rol\u0119 clintonowskiej gospodarki w ich przypadku b\u0119dzie odgrywa\u0107 dokumentacja ochrony danych osobowych<\/a>. Gdy realizuje si\u0119 obowi\u0105zki w omawianej dziedzinie, konieczno\u015b\u0107 jej przygotowania zawsze trzeba mie\u0107 z ty\u0142u g\u0142owy. Je\u015bli si\u0119 o tym zapomni i wybierze tak\u0105 metod\u0119 post\u0119powania, kt\u00f3rej nie da si\u0119 odpowiednio udokumentowa\u0107, to nie zrealizuje si\u0119 zasady rozliczalno\u015bci. To za\u015b oznacza naruszenie wymog\u00f3w RODO. Bez wzgl\u0119du na to jakie faktycznie dzia\u0142ania ochronne si\u0119 podejmuje i jaki poziom bezpiecze\u0144stwa danych si\u0119 zapewnia.<\/p>\n\n\n\n

      Wi\u0119cej na temat dokumentacji w najnowszej publikacji pod redakcj\u0105 naukow\u0105 Mariusza Jagielskiego \u201eDokumentacja ochrony danych osobowych ze wzorami<\/em><\/a>\u201d<\/p>\n\n\n\n

      \n\n\n\n
      <\/figure>
      \n

      Mariusz Jagielski<\/a><\/strong> \u2013 doktor habilitowany nauk prawnych, profesor Uniwersytetu \u015al\u0105skiego w Katowicach; od 1994 r. pracownik naukowo-dydaktyczny, a w latach 2011\u20132016 prodziekan Wydzia\u0142u Prawa i Administracji U\u015a; od 2018 r. pe\u0142nomocnik rektora U\u015a ds. ochrony danych osobowych; prowadzi uniwersyteckie zaj\u0119cia z przedmiot\u00f3w: ochrona danych osobowych, GDPR in business i dokumentacja ochrony danych osobowych oraz szkolenia z tego zakresu dla kadry zarz\u0105dzaj\u0105cej i pracownik\u00f3w przedsi\u0119biorstw, a tak\u017ce organ\u00f3w administracji rz\u0105dowej i samorz\u0105dowej; autor wielu opracowa\u0144 naukowych we wskazanych dziedzinach.<\/p>\n<\/div><\/div>\n","protected":false},"excerpt":{"rendered":"

      Gdy wchodzi w \u017cycie nowy akt prawny, jego tw\u00f3rcy maj\u0105 zazwyczaj jasne wyobra\u017cenie na temat tego, co chc\u0105 osi\u0105gn\u0105\u0107. Najwa\u017cniejsze cele eksponuj\u0105, zapisuj\u0105c je w postaci zasad przewodnich nowej regulacji. Nigdy jednak nie da si\u0119 przewidzie\u0107 wszystkich skutk\u00f3w nowo uchwalanego prawa. Ujawniaj\u0105 si\u0119 one dopiero, gdy akt prawny zaczyna by\u0107 stosowany i jego postanowienia s\u0105 … <\/p>\n

      Czytaj wi\u0119cej „Dokumentacja, g\u0142upcze! Czyli o tym jak czyta\u0107 przepisy RODO z uwzgl\u0119dnieniem zasady rozliczalno\u015bci”<\/span><\/a><\/p>\n","protected":false},"author":1,"featured_media":1928,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[71],"tags":[120],"class_list":["post-1922","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-porady","tag-ochrona-danych-osobowych"],"_links":{"self":[{"href":"https:\/\/www.profinfo.pl\/blog\/wp-json\/wp\/v2\/posts\/1922","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.profinfo.pl\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.profinfo.pl\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.profinfo.pl\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.profinfo.pl\/blog\/wp-json\/wp\/v2\/comments?post=1922"}],"version-history":[{"count":9,"href":"https:\/\/www.profinfo.pl\/blog\/wp-json\/wp\/v2\/posts\/1922\/revisions"}],"predecessor-version":[{"id":1938,"href":"https:\/\/www.profinfo.pl\/blog\/wp-json\/wp\/v2\/posts\/1922\/revisions\/1938"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.profinfo.pl\/blog\/wp-json\/wp\/v2\/media\/1928"}],"wp:attachment":[{"href":"https:\/\/www.profinfo.pl\/blog\/wp-json\/wp\/v2\/media?parent=1922"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.profinfo.pl\/blog\/wp-json\/wp\/v2\/categories?post=1922"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.profinfo.pl\/blog\/wp-json\/wp\/v2\/tags?post=1922"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}