Temat: rejestr udostępnień

Czy ktoś doświadczony mógłby się wypowiedzieć w temacie rejestracji udostępnień danych - nie chodzi mi o rejestr wniosków o udostępnienie , tylko o to, komu i kiedy udostępniliśmy czyjeś dane. Czy jest konieczność prowadzenia takiego rejestru? Jeśli tak to z czego wynika (może z art.15 c) RODO) ?
Jeśli powinniśmy go prowadzić, to czy w takim rejestrze powinny też znaleźć się zapisy dotyczące instytucji, do których przekazujemy dane zgodnie z przepisami np ZUS, US ..

Temat: rejestr udostępnień

Bożena M.:
Czy ktoś doświadczony mógłby się wypowiedzieć w temacie rejestracji udostępnień danych - nie chodzi mi o rejestr wniosków o udostępnienie , tylko o to, komu i kiedy udostępniliśmy czyjeś dane. Czy jest konieczność prowadzenia takiego rejestru? Jeśli tak to z czego wynika (może z art.15 c) RODO) ?
Jeśli powinniśmy go prowadzić, to czy w takim rejestrze powinny też znaleźć się zapisy dotyczące instytucji, do których przekazujemy dane zgodnie z przepisami np ZUS, US ..

Rodo nie zawiera obowiązku prowadzenia takiego rejestru (odmiennie od rejestru czynności 30.1. i wszystkich kategorii czynności 30.2). Jeśli ADO uważa, że w ten sposób realizuje wymóg wykazania się przestrzeganiem rodo (24.1.), nic nie stoi na przeszkodzie by go prowadzić.
Z praktycznego punktu widzenia, realizacja może być albo iluzoryczna (martwa) albo nie do opanowania (mnogość i rozproszenie udostępnień).

Nic tak nie demotywuje jak narzucanie i wykonanie nikomu nie potrzebnej roboty.

Temat: rejestr udostępnień

Radosław Z.:

Bożena M.:
Czy ktoś doświadczony mógłby się wypowiedzieć w temacie rejestracji udostępnień danych - nie chodzi mi o rejestr wniosków o udostępnienie , tylko o to, komu i kiedy udostępniliśmy czyjeś dane. Czy jest konieczność prowadzenia takiego rejestru? Jeśli tak to z czego wynika (może z art.15 c) RODO) ?
Jeśli powinniśmy go prowadzić, to czy w takim rejestrze powinny też znaleźć się zapisy dotyczące instytucji, do których przekazujemy dane zgodnie z przepisami np ZUS, US ..

Rodo nie zawiera obowiązku prowadzenia takiego rejestru (odmiennie od rejestru czynności 30.1. i wszystkich kategorii czynności 30.2). Jeśli ADO uważa, że w ten sposób realizuje wymóg wykazania się przestrzeganiem rodo (24.1.), nic nie stoi na przeszkodzie by go prowadzić.
Z praktycznego punktu widzenia, realizacja może być albo iluzoryczna (martwa) albo nie do opanowania (mnogość i rozproszenie udostępnień).

Nic tak nie demotywuje jak narzucanie i wykonanie nikomu nie potrzebnej roboty.

Masz rację - wprowadzeniem czegoś takiego z pewnością nie wywoła aplauzu.
Ale załóżmy, że były pracownik prosi o dostęp do swoich danych. To co z informacjami o odbiorcach? Jego dane udostępniliśmy kilku firmom - bo było to konieczne do umowy, bankowi, ZUS, US, Związki Zawodowe - jak to potem zebrać z wszystkich lat pracy. No chyba, że program kadrowy miałby taka opcję i notowałby to z formie "rejestru" dla pracownika

Temat: rejestr udostępnień

Bożena M.:
Ale załóżmy, że były pracownik prosi o dostęp do swoich danych. To co z informacjami o odbiorcach? Jego dane udostępniliśmy kilku firmom - bo było to konieczne do umowy, bankowi, ZUS, US, Związki Zawodowe - jak to potem zebrać z wszystkich lat pracy. No chyba, że program kadrowy miałby taka opcję i notowałby to z formie "rejestru" dla pracownika

Nie wiem czy dobrze odczytuję zamiar. Proponujesz permanentną inwigilację?
Informacja, że dane zostały udostępnione ZUS, US, bankowi jest wystarczająca. Z czego wywodzisz potrzebę informowania o datach przekazań?
Jeśli coś takiego miałoby być wprowadzone (daty przekazań), to obawiam się, że piedyrliard ludzi trzeba by zatrudnić tylko do tego. Drugie tyle do kontrolowania. I niech się ktoś pomyli ....

Temat: rejestr udostępnień

Radosław Z.:

Bożena M.:
Ale załóżmy, że były pracownik prosi o dostęp do swoich danych. To co z informacjami o odbiorcach? Jego dane udostępniliśmy kilku firmom - bo było to konieczne do umowy, bankowi, ZUS, US, Związki Zawodowe - jak to potem zebrać z wszystkich lat pracy. No chyba, że program kadrowy miałby taka opcję i notowałby to z formie "rejestru" dla pracownika

Nie wiem czy dobrze odczytuję zamiar. Proponujesz permanentną inwigilację?
Informacja, że dane zostały udostępnione ZUS, US, bankowi jest wystarczająca.

no to jest dla mnie dziwne, poinformuję go o ZUS, US, banku,a o reszcie odbiorców nie- to taka informacja będzie trochę kiepska

Jeśli coś takiego miałoby być wprowadzone (daty przekazań), to obawiam się, że piedyrliard ludzi trzeba by zatrudnić tylko do tego. Drugie tyle do kontrolowania. I niech się ktoś pomyli

co za różnica czy do rejestru wpisuję z datą, czy bez - pytanie czy go prowadzić, a jak nie to jak spełnić art 15 c) ?

Temat: rejestr udostępnień

Radosław Z.:
Z praktycznego punktu widzenia, realizacja może być albo iluzoryczna (martwa) albo nie do opanowania (mnogość i rozproszenie udostępnień).

Tylko że ryzyko jest krytyczne i bez kontroli - skutecznej - nad udostępnieniami danych zostaniesz zatopiony bardzo szybko. Ostatnio plusowałem kilka twoich niezłych merytorycznie wypowiedzi, ale w tym wątku znów masz słabszy moment. Wydziwiasz znaczy.

Temat: rejestr udostępnień

Pani Bożeno, a bez tego "rejestru" to Administrator danych nie poradzi sobie ze spełnieniem obowiązku wynikającego z art 15.1.c ? Przecież osoba, której dane dotyczą ma prawo otrzymać od nas informacje "czy przetwarzane są dane jej dotyczące" (nie były przetwarzane tylko są OBECNIE przetwarzane), "informacje o odbiorcach lub kategoriach odbiorców" (nie data przekazania danych do odbiorcy). Myślę, że prowadzenie rejestru na tą okoliczność, będzie przerostem formy nad treścią. Ja zamierzam się ograniczyć do posiadania wiedzy jakich mamy odbiorców, znać procesy zachodzące w organizacji oraz osoby odpowiedzialne (liderów) tych procesów.

Temat: rejestr udostępnień

Adam G.:
zamierzam się ograniczyć do posiadania wiedzy jakich mamy odbiorców, znać procesy zachodzące w organizacji oraz osoby odpowiedzialne (liderów) tych procesów.

Ciekawe, jak rozliczysz się z obowiązku monitorowania, czy planowane udostępnienia są legalne, celowe i adekwatne.

Temat: rejestr udostępnień

Adam G.:
Pani Bożeno, a bez tego "rejestru" to Administrator danych nie poradzi sobie ze spełnieniem obowiązku wynikającego z art 15.1.c ? Przecież osoba, której dane dotyczą ma prawo otrzymać od nas informacje "czy przetwarzane są dane jej dotyczące" (nie były przetwarzane tylko są OBECNIE przetwarzane), "informacje o odbiorcach lub kategoriach odbiorców"

art.15 pkt .c) mówi "informacje o odbiorcach lub kategoriach odbiorców, którym dane osobowe ZOSTAŁY lub zostaną ujawnione" - ja to rozumiem, że zostały ujawnione w przeszłości- bo co by znaczyło, że w chwili obecnej? A jeśli w przeszłości to kto kiedyś dojdzie do tego, komu w końcu je ujawniono.

danych do odbiorcy). Myślę, że prowadzenie rejestru na tą okoliczność, będzie przerostem formy nad treścią. Ja zamierzam się ograniczyć do posiadania wiedzy jakich mamy odbiorców, znać procesy zachodzące w organizacji oraz osoby odpowiedzialne (liderów) tych procesów

Oczywiście, że odpowiedzialność trzeba rozłożyć, ale jak zwrócił uwagę p. Paweł G. można się ciężko zdziwić po fakcie, że dane były przekazane nielegalnie, nadmiarowo ..Ja się obawiam, że pomimo wyznaczenia osób odpowiedzialnych za procesy, pracownicy i tak będą z przyzwyczajenia robić swoje nie zastanawiając się nad RODO. Nie zauważą pewnych procesów, Nie zgłoszą ich, W tej chwili niestety takie sytuacje mi się zdarzają - pomimo to, że inwentaryzacji procesów czynności i tego co się dzieje z danymi poświęciłam dużo czasu.

Z wzorem takiego rejestru udostępnień spotkałam się w jakiejś opublikowanej polityce bezpieczeństwa, dodatkowo oprócz daty udostępnienia danych była jeszcze informacja kto kto i w jakim zakresie je udostępnił. Stąd wziął się mój temat.

Temat: rejestr udostępnień

Bożena M.:
się obawiam, że pomimo wyznaczenia osób odpowiedzialnych za procesy, pracownicy i tak będą z przyzwyczajenia robić swoje nie zastanawiając się nad RODO. Nie zauważą pewnych procesów,

Tu masz prawdopodobieństwo graniczące z pewnością :)
Ja się przekonałem, że bez rejestru udostępnień nie ma szans.

Temat: rejestr udostępnień

Paweł G.:

Bożena M.:
się obawiam, że pomimo wyznaczenia osób odpowiedzialnych za procesy, pracownicy i tak będą z przyzwyczajenia robić swoje nie zastanawiając się nad RODO. Nie zauważą pewnych procesów,

Tu masz prawdopodobieństwo graniczące z pewnością :)
Ja się przekonałem, że bez rejestru udostępnień nie ma szans.

I do takiego rejestru każesz wpisywać też udostępnienie podmiotom upoważnionym?
Każde udostępnienie ? (jeśli byłoby udostępnienie kilkukrotne, temu samemu odbiorcy w takim samym zakresie danych)

Temat: rejestr udostępnień

Bożena M.:
I do takiego rejestru każesz wpisywać też udostępnienie podmiotom upoważnionym?

Jeśli masz na myśli powierzenia, to nie.

Temat: rejestr udostępnień

Paweł G.:

Bożena M.:
I do takiego rejestru każesz wpisywać też udostępnienie podmiotom upoważnionym?

Jeśli masz na myśli powierzenia, to nie.

Nie. Mam na myśli ZUS, US, banki (to pod kątem kadri płac), sądom pod kątem np dochodzenia roszczeń, komornikom

Temat: rejestr udostępnień

Bożena M.:
Nie. Mam na myśli ZUS, US, banki (to pod kątem kadri płac), sądom pod kątem np dochodzenia roszczeń, komornikom

Do tej pory ten typ odpuszczałem, ale za działy kadr i księgowości się właśnie biorę - ulepszam system. Uszczelniam znaczy :)

Temat: rejestr udostępnień

Jestem przeciw wprowadzaniu dodatkowej biurokracji kt nic albo niewiele pożytecznego przyniesie a przede wszystkim nie jest wymagana przez prawo.
Kiedyś, dość dawno już , dość wiekowy kontrolujący zapytał mnie po co wprowadzam sama sobie "kajdany" w postaci dodatkowych procedur i rejestrów które nie są wymagane przez prawo - nie mając wysokiego poziomu pewności że pracownicy spełnia te moje dodatkowe obowiązki.? Jeśli je wprowadzę musza działać ... a nie działały -. On tylko przyszedł i sprawdził wewnętrzne procedury - szybko znalazł "dziurę" - a najgorsze że wcale nie trzeba było takich warunków , jak sami sobie narzuciliśmy, spełniać ... miałam szczęście potraktował nas ulgowo - ale wyciągnęłam z tego nauczkę i nie popełnię drugi raz tego samego błędu. Oczywiście jeśli obsługujesz małą organizacje w kt masz czas i możliwości mieć wszystko non stop "pod kontrolą" to zupełnie inna sprawa.
Każde "kadry" przekazują dane do ZUS i US - po co wiec umieszczać tę oczywista informacje w jakimś dodatkowym rejestrze ? Fakt udostępnienia danych komornikowi w ramach prowadzonego przez niego postępowania - też bez sens wpisywania tego w rejestrze . Nie jest to częste a nawet jeśli pracownik zażyczy sobie informacji o odbiorcach jego danych - sprawdzisz to w jego aktach - i tak trzeba będzie na taki wniosek odpowiedzieć indywidualnie. Zreszta masz obowiązek informować o kategoriach odbiorcow a nie konkretnych odbiorcach.

Temat: rejestr udostępnień

Monika K.:
Każde "kadry" przekazują dane do ZUS i US - po co wiec umieszczać tę oczywista informacje w jakimś dodatkowym rejestrze?

Ja mam swoje ryzyka i swoje powody.

Fakt udostępnienia danych komornikowi w ramach prowadzonego przez niego postępowania - też bez sens

Nie bezsens, bo do rejestru pracownik ma wpisać po spełnieniu określonych warunków. Czy zaistniały te warunki - pracownik musi wykazać.

Temat: rejestr udostępnień

Monika K.:
jeśli pracownik zażyczy sobie informacji o odbiorcach jego danych - sprawdzisz to w jego aktach - i tak trzeba będzie na taki wniosek odpowiedzieć indywidualnie. Zreszta masz obowiązek informować o kategoriach odbiorcow a nie konkretnych odbiorcach.

Nie wszystko niestety znajdę w aktach, Jakby tak było to byłoby super. Podpisujemy np wiele umów. Czasem dane pracowników są w nich zawarte - tego w aktach nie ma.
Nie do końca rozumiem czy jak mam podać "odbiorców lub kategorie odbiorców" to powinnam tam wpisać ogólnie np. kontrahentów czy ich wymienić?
Z różnych przyczyn w umowach może być podany inny zakres ich danych . Trzeba by przejrzeć mnóstwo papierów, żeby po latach dojść do tego gdzie on mógł być wymieniony .
Czyli podsumowując zastanawiam się jak sensownie opracować skuteczną procedurę, w której realizujemy prawo dostępu.

Temat: rejestr udostępnień

Bożena M.:
co za różnica czy do rejestru wpisuję z datą, czy bez - pytanie czy go prowadzić, a jak nie to jak spełnić art 15 c) ?

Warto czytać przepisy rodo całościowo i realizować również całościowo. Skupianie się na oderwanym fragmencie powoduje tworzenie problemów tam, gdzie ich nie ma.

Prawo dostępu do informacji (art. 15) nie jest najważniejszym ani pierwszym etapem przestrzegania rodo. Niemniej może być papierkiem lakmusowym wykazania przestrzegania rodo.