Temat: IOD w CUS

Jakub B.:
Mam tu sytuację członka personelu podmiotu przetw. na umowie o pracę oraz na umowę o współpracy, także upo dla członka a umowa powierzenia dla współpracownika

Tylko czemu odrębne upoważnienie lub powierzenie, skoro dostęp IODa do danych i procesów następuje z mocy samego prawa?

Temat: IOD w CUS

Paweł G.:

Jakub B.:
Mam tu sytuację członka personelu podmiotu przetw. na umowie o pracę oraz na umowę o współpracy, także upo dla członka a umowa powierzenia dla współpracownika

Tylko czemu odrębne upoważnienie lub powierzenie, skoro dostęp IODa do danych i procesów następuje z mocy samego prawa?

O! To jest właśnie pytanie, które miałem nadzieję że w końcu padnie
Jak to jest, że w dużej ilości miejsc pokutuje stwierdzenie, że jak zewnętrzny IOD to z automatu powierzenie?
dlaczego upowazniac do przetwarzania IOD na umowie o pracę, skoro zgodnie z aktem powołania oraz zapisami Rodo administrator ma zapewnić dostęp do danych?

Temat: IOD w CUS

Dla mnie jednak to zależy mocno od okoliczności. Jeśli IOD wykonuje wszystkie zadania tylko w siedzibie administratora i tylko z wykorzystaniem jego systemów IT, to bym umowy powierzenia nie zawierał. Jeśli jednak jest inaczej, np. kontaktuje się z osobami, których dane dotyczą, za pomocą systemów, nad którymi administrator nie ma kontroli, tobym się jednak zastanowił.

Temat: IOD w CUS

Paweł G.:
Dla mnie jednak to zależy mocno od okoliczności. Jeśli IOD wykonuje wszystkie zadania tylko w siedzibie administratora i tylko z wykorzystaniem jego systemów IT, to bym umowy powierzenia nie zawierał. Jeśli jednak jest inaczej, np. kontaktuje się z osobami, których dane dotyczą, za pomocą systemów, nad którymi administrator nie ma kontroli, tobym się jednak zastanowił.

W przypadku zewnętrznego IOD zrzuca to problem zabezpieczeń na firmę właśnie.
dla IOD z CUW również, bo jednak dzieje się wszystko na sprzęcie procesora.
Dobrze jest rozmawiać jak widać...

Temat: IOD w CUS

Jakub B.:

Paweł G.:

Jakub B.:
Mam tu sytuację członka personelu podmiotu przetw. na umowie o pracę oraz na umowę o współpracy, także upo dla członka a umowa powierzenia dla współpracownika

Tylko czemu odrębne upoważnienie lub powierzenie, skoro dostęp IODa do danych i procesów następuje z mocy samego prawa?

O! To jest właśnie pytanie, które miałem nadzieję że w końcu padnie

Przecież z RODO nie wynika bynajmniej, że IOD-a ma mieć dostęp do wszelkich danych. Upoważnienie skonkretyzuje do jakiego zakresu danych dostęp jest IOD-zie niezbędny :)
Analogicznie jest z ewentualną z umową powierzenia.

Jak to jest, że w dużej ilości miejsc pokutuje stwierdzenie, że jak zewnętrzny IOD to z automatu powierzenie?

Bo tak jakoś wynika z art. 28 RODO - jeżeli administrator powierza dane procesorowi to powinna być umowa, nie ma przecież wyjątku dla powierzenia związanego z przetwarzaniem jako IOD-a. ;)
Powierzenie jeżeli IOD-a jest niezależnym podmiotem, jeżeli jest członkiem personelu procesora - to powierzenie dotyczy procesora:)

dlaczego upowazniac do przetwarzania IOD na umowie o pracę, skoro zgodnie z aktem powołania oraz zapisami Rodo administrator ma zapewnić dostęp do danych?

Temat: IOD w CUS

Jakub B.:

Jacek P.:
Placówki powierzyły do CUS przetwarzanie danych, łącznie z funkcją IOD.

Sorry, ale jeśli jest taka umowa - to jakie uzasadnienie ma kolejna umowa powierzenia? Czy to ma być jakieś "podpowierzanie" ? Trochę robi się to nieczytelne i lekko "ekstrawagancko" ...
Czy nie będzie prościej - i do tego zgodnie z RODO - żeby procesor któremu powierzono m.in. wykonywanie zadań IOD-y - właśnie tego konkretnego IOD-ę po prostu upoważnił ?

Ale dokładnie tak jest w przypadku pracownika CUS
W przypadku współpracownika CUS (outsourcing IOD) zasadne jest (pod)powierzenie
No chyba że jestem w błędzie...

Nie sadzę żeby było to zasadne - zdecydowanie bardziej sensowne wydaje się po prostu upoważnienie IOD-y przez procesora. Konstruowanie jakiegoś "podpowierzenia" jest jakąś fikcją i dodatkowym komplikowaniem, generowaniem zbędnej biurokracji i ewentualnych problemów. Przykładowo - czy zarówno procesor jak i ten że tak nazwę "fikcyjny podprocesor" będą jakby równolegle prowadzili "rejestr kategorii czynności przetwarzania" z art. 30 ust. 2 RODO? ;)

Temat: IOD w CUS

IOD jest niezależny, więc nie można zadekretować upoważnieniem, do jakich danych i kiedy dostęp będzie mu niezbędny. Ograniczanie niezależności IOD przez ograniczanie mu dostępu do danych naruszałoby RODO. Mam nadzieję, Jacek, że nie jesteś IOD, bo uprawiasz złe doradztwo.

Temat: IOD w CUS

Jacek P.:

Jakub B.:

[

Nie sadzę żeby było to zasadne - zdecydowanie bardziej sensowne wydaje się po prostu upoważnienie IOD-y przez procesora. Konstruowanie jakiegoś "podpowierzenia" jest jakąś fikcją i dodatkowym komplikowaniem, generowaniem zbędnej biurokracji i ewentualnych problemów. Przykładowo - czy zarówno procesor jak i ten że tak nazwę "fikcyjny podprocesor" będą jakby równolegle prowadzili "rejestr kategorii czynności przetwarzania" z art. 30 ust. 2 RODO? ;)

Pisząc o podpowierzeniu, patrzę na dane z perspektywy ich administratora.
Skoro CUW jest procesorem, to takiemu iodzie z outsourcingu, podpowierza przetwarzanie danych.
Zasadniczo jest to umowa powierzenia oczywiście.

Temat: IOD w CUS

Paweł G.:
IOD jest niezależny, więc nie można zadekretować upoważnieniem, do jakich danych i kiedy dostęp będzie mu niezbędny. Ograniczanie niezależności IOD przez ograniczanie mu dostępu do danych naruszałoby RODO. Mam nadzieję, Jacek, że nie jesteś IOD, bo uprawiasz złe doradztwo.

A może tak ad rem? A nie tylko, że "złe bo złe" a Twoje zapewne "dobre ponieważ dobre" ;)
Dyskutowaliśmy b. szczegółowo nt "Upoważnienie dla IOD" więc nie ma sensu się powtarzać;)
Nie tylko ja twierdziłem, że IOD-a nie tylko nie musi, ale wręcz nie powinien mieć dostępu do wszystkiego niejako z definicji :)
Rozumiem, ze IOD-a do realizacji swoich zadań koniecznie musi np. wiedzieć ile zarabiają wszyscy pracownicy w jego firmie?;)
Twoje "argumenty" to były jakieś luźne porównania czy też analogie a to do informatyków a to do radców prawnych ...
Pozdrawiam :)

Temat: IOD w CUS

Jakub B.:

Jacek P.:

Jakub B.:

[

Nie sadzę żeby było to zasadne - zdecydowanie bardziej sensowne wydaje się po prostu upoważnienie IOD-y przez procesora. Konstruowanie jakiegoś "podpowierzenia" jest jakąś fikcją i dodatkowym komplikowaniem, generowaniem zbędnej biurokracji i ewentualnych problemów. Przykładowo - czy zarówno procesor jak i ten że tak nazwę "fikcyjny podprocesor" będą jakby równolegle prowadzili "rejestr kategorii czynności przetwarzania" z art. 30 ust. 2 RODO? ;)

Pisząc o podpowierzeniu, patrzę na dane z perspektywy ich administratora.
Skoro CUW jest procesorem, to takiemu iodzie z outsourcingu, podpowierza przetwarzanie danych.
Zasadniczo jest to umowa powierzenia oczywiście.

Ale dlaczego podpowierza a nie upoważnia?
O ile zrozumiałem to administrator powierzył procesorowi dane, m.in. z związku z wykonywaniem zadań IOD-y. W tej sytuacji będąc konsekwentnym powinien podpowierzać dane innym poza IOD-ą pracownikom czy współpracownikom, którzy też będą przetwarzali dane, ale wykonywali inne zadania :)

Temat: IOD w CUS

Jacek P.:

[

Ale dlaczego podpowierza a nie upoważnia?
O ile zrozumiałem to administrator powierzył procesorowi dane, m.in. z związku z wykonywaniem zadań IOD-y. W tej sytuacji będąc konsekwentnym powinien podpowierzać dane innym poza IOD-ą pracownikom czy współpracownikom, którzy też będą przetwarzali dane, ale wykonywali inne zadania :)

Poruszamy się w zakresie art. 28 pkt. 2 i 3 RODO
Zewnętrzny IOD to jednak odrębny podmiot
Nie wspomniałem o sytuacji wykonywania innych zadań niż IOD

Temat: IOD w CUS

Jacek P.:
Rozumiem, ze IOD-a do realizacji swoich zadań koniecznie musi np. wiedzieć ile zarabiają wszyscy pracownicy w jego firmie?

Na pewno będą sytuacje, kiedy IOD zażąda dostępu do tego rodzaju danych. I nie może wtedy biegać i upraszać o łaskawą zmianę zakresu upoważnienia. IOD jest niezależny, więc sam decyduje, dostęp do jakich danych jest mu w tym momencie niezbędny.

Temat: IOD w CUS

Paweł G.:

Jacek P.:
Rozumiem, ze IOD-a do realizacji swoich zadań koniecznie musi np. wiedzieć ile zarabiają wszyscy pracownicy w jego firmie?

Na pewno będą sytuacje, kiedy IOD zażąda dostępu do tego rodzaju danych. I nie może wtedy biegać i upraszać o łaskawą zmianę zakresu upoważnienia. IOD jest niezależny, więc sam decyduje, dostęp do jakich danych jest mu w tym momencie niezbędny.

Taaak, i do np. informacji niejawnych też - bo jest niezależnym IOD-ą ;)
Zachęcam do ponownej lektury tej dyskusji po prostu :) Szkoda czasu na chochole tańce ;)

Temat: IOD w CUS

Jacek P.:
Taaak, i do np. informacji niejawnych też

Nie ma sensu rozmawiać z manipulantem, który udaje, że nie ma różnicy tam, gdzie merytorycznie jest przepaść. Wymyśliłeś sobie jakąś aberracji, jakoby IOD należało upoważnieniem ograniczać dostęp do danych. Nie masz żadnego potwierdzenia tej aberracji w literaturze przedmiotu, komentarzach, wytycznych dotyczących inspektorów ochrony danych, w dotychczasowym orzecznictwie wreszcie. Ale przy tej aberracji trwasz i bronisz jej jak niepodległości. Przynajmniej tyle mogę, by w każdym wątku, gdzie tę aberrację wciskasz, wyraźnie zaznaczyć, że to głupota jakaś totalna.

Temat: IOD w CUS

Nie sposób tu się nie zgodzić z Panem Pawłem Graczyk. IOD z samej swojej funkcji z rozporządzenia posiada upoważnienie do przetwarzania danych. ADO jest zobowiązany zapewnić mu dostęp, przy czym IOD jako z definicji profesjonalista, wie o tym do jakich danych dostęp jest mu niezbędny kierując się zasadą minimalizmu.

Ponadto pragnę zauważyć, że zgodnie z art. 29 nie istnieje coś takiego jak pisemne upoważnienie, a jedynie polecenie przetwarzania, przy czym z definicji IODa nie może on otrzymywać poleceń w związku z wykonywaniem swoich zadań.

Formę pisemną upoważnienia wprowadzają przepisy wprowadzające odo, jednak nie widziałem w nich upoważnienia pisemnego dla IODa.

Temat: IOD w CUS

Paweł G.:

Jacek P.:
Taaak, i do np. informacji niejawnych też

Nie ma sensu rozmawiać z manipulantem, który udaje, że nie ma różnicy tam, gdzie merytorycznie jest przepaść. Wymyśliłeś sobie jakąś aberracji, jakoby IOD należało upoważnieniem ograniczać dostęp do danych. Nie masz żadnego potwierdzenia tej aberracji w literaturze przedmiotu, komentarzach, wytycznych dotyczących inspektorów ochrony danych, w dotychczasowym orzecznictwie wreszcie. Ale przy tej aberracji trwasz i bronisz jej jak niepodległości. Przynajmniej tyle mogę, by w każdym wątku, gdzie tę aberrację wciskasz, wyraźnie zaznaczyć, że to głupota jakaś totalna.

Szanowny Panie /Kolego Pawle Graczyku,
Niepotrzebnie podchodzisz ambicjonalnie i emocjonalnie do tematu :)
Aberracja to wg Kopalińskiego "zboczenie, odchylenie, nienormalność (umysłu)". Chcesz mnie obrazić czy aberracyjnie rozumiesz to pojęcie? ;) Tertium non datur ;)
Gdy np. Ty nie mogłeś zrozumieć różnicy pomiędzy kopią danych na gruncie RODO a kopią dokumentu (nośnika) to uporczywie tłumaczyłem - aż w końcu - jak mnie się wydaje - zrozumiałeś (przynajmiej w części) :)
Nie zarzucałem Ci przy tym aberracji ani głupoty ;)
Cóż, styl to człowiek :)
Merytorycznie odniosę się do innej wypowiedzi bo tutaj nie ma do czego, niestety ...

Temat: IOD w CUS

Mariusz S.:
Nie sposób tu się nie zgodzić z Panem Pawłem Graczyk.

Nie przesądzałbym, ze nie sposób :)
IOD z

samej swojej funkcji z rozporządzenia posiada upoważnienie do przetwarzania danych. ADO jest zobowiązany zapewnić mu dostęp, przy czym IOD jako z definicji profesjonalista, wie o tym do jakich danych dostęp jest mu niezbędny kierując się zasadą minimalizmu.

Można do tego podejść zupełnie inaczej
https://www.poradyodo.pl/rodo/zewnetrzny-inspektor-ochr...

Wytyczne dotyczące inspektorów ochrony danych (‘DPO’)
3.2 Niezbędne zasoby
Artykuł 38(2) nakłada obowiązek wspierania „inspektora ochrony danych w wypełnianiu przez niego zadań[..], zapewniając mu zasoby niezbędne do wykonania tych zadań oraz dostęp do danych osobowych i operacji przetwarzania, a także zasoby niezbędne do utrzymania jego wiedzy fachowej.” Następujące aspekty powinny zostać wzięte pod uwagę:
(...)
 Umożliwienie dostępu do innych działów organizacji, np. HR, działu prawnego, IT, ochrony etc., dzięki czemu DPO mogą uzyskać niezbędne wsparcie, wkład lub informacje z tych innych działów";

IMHO wynika z tego ze dostęp nie musi bynajmniej być nieograniczony, wprost przeciwnie - oczywiście powinien być ten dostęp m.in do danych. ale w zakresie niezbędnym :)
Można mieć i inne zdanie ;)

Podobnie było na gruncie "starej" UODO i sytuacji ABI
https://www.poradyodo.pl/odpowiedzialnosc-abiado/czy-ab...

Ponadto pragnę zauważyć, że zgodnie z art. 29 nie istnieje coś takiego jak pisemne upoważnienie, a jedynie polecenie przetwarzania, przy czym z definicji IODa nie może on otrzymywać poleceń w związku z wykonywaniem swoich zadań.

Art 29 RODO: Podmiot przetwarzający oraz każda osoba działająca z upoważnienia administratora lub podmiotu przetwarzającego i mająca dostęp do danych osobowych przetwarzają je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub prawo państwa członkowskiego.
Czyli istnieje upoważnienie, wprawdzie brak wymogu wprost aby było pisemne - ale zwykle przyjmuje się, że jest wskazane "dla celów dowodowych". Analogiczne na gruncie starej UODO nie było wprost wymogu aby było pisemne, jednak zwykle AD stosowali tę formę :) Pomimo stanowiska GIODO ;)

Formę pisemną upoważnienia wprowadzają przepisy wprowadzające odo, jednak nie widziałem w nich upoważnienia pisemnego dla IODa.

Temat: IOD w CUS

Wyraz aberracja pochodzi z łaciny od eratio – błądzić i od aberratio – zbłąkanie się, zbłądzenie. Aberracja oznacza odstępstwo od przyjętych norm myślenia.

Temat: IOD w CUS

Paweł G.:
Wyraz aberracja pochodzi z łaciny od eratio – błądzić i od aberratio – zbłąkanie się, zbłądzenie. Aberracja oznacza odstępstwo od przyjętych norm myślenia.

Dokładnie to od: ab – od oraz errare – błądzić.
Errare humanum est , ale niekoniecznie calumniare ;)

Z czasem szacunkiem, ale bardziej polegam na erudycji Kopalińskiego niźli Twojej ;)

Czasem warto zastanowić się albo nawet może pomyśleć zanim się napisze coś niemądrego i niesmacznego, zwłaszcza gdy w todze Katona chcemy gromić aberrację i totalną głupotę - oczywiście u innych ;)

Co do przyjętych norm w temacie - można różnie podejść do tematu, jak zaznaczyłem we wcześniejszym poście.

Temat: IOD w CUS

Nazwanie aberracji aberracją nie jest argumentem ad personam, lecz ad rem.