Temat: zbiór danych - czy podlega pod ustawę o ochronie danych...

witam,
Czy zbiór danych, na który składa się NICK,LOGIN,HASŁO,PŁEĆ,EMAIL(z zastrzeżeniem ze nie jest daną osobową, nie zawiera imienia i nazwisko, adresu zamieszkania itp.) oraz informacje o stanie zdrowia podawane w późniejszym okresie przez użytkowników takie jak uzależnienia, stosowane leki, przebyte choroby, występujące objawy, data urodzenia, waga, wzrost, niektóre parametry medyczne (wynik morfologii krwi, stężenia cholesterolu) itp podlega pod ustawę o ochronie danych osobowych czy tez NIE jest to zbiór danych osobowych.
Witold W.

Witold W. 27k Security -
Management

Temat: zbiór danych - czy podlega pod ustawę o ochronie danych...

proponowałbym wystosować listowne zapytanie do urzędu, któremu ta sprawa podlegać będzie czyli GIODO...
http://www.giodo.gov.pl/440/

sprawa nie jest łatwa, ponieważ przedmiotem przetwarzania będą dane osobowe wrażliwe, co do który zalecana jest szczególna dbałość o bezpieczeństwo...
tymczasem dogłębnej analizie podlegać powinna kwestia, czy powiązanie danych o charakterze nieosobowym (a takie Pan wymienił) skutkuje możliwością (ŁATWEGO- "bez nadmiernych kosztów") wejścia w posiadanie danych wrażliwych o charakterze spersonalizowanym...

Jedna rada: na stronie (najlepiej podczas tworzenia konta) powinna być informacja, że adres mailowy utworzony do korespondencji NIE MOŻE zawierać nazwiska użytkownika...

spróbuję to jasno wyłuszczyć (nick, login, hasło umożliwiają identyfikację adresu IP komputera, z którego następuje logowanie- nie oznacza to osoby, która zawarła umowę z operatorem na usługę internetową, jednak zakłada się, ze jest to osoba jasno sprecyzowana) Dane te są znane administratorowi strony oraz operatorowi (tajemnica telekomunikacyjna)

adres e-mail pozwala stwierdzić i powiązać jego posiadacza z danymi jakie podał przy tworzeniu konta (mogą to być dane fikcyjne, ale spodziewam się, że użytkownicy Pana portalu będą podawać własne dane osobowe)- informację o tym posiada administrator serwera pocztowego (tajemnica telekomunikacyjna)

ad hoc polecam zastosowanie się do rady zamieszczonej powyżej i zapytanie skierowane do GIODO... będzie Pan miał stosowną podkładkę, albo poproszą o rejestrację zbioru...w gruncie rzeczy można to także zrobić a priori i wszystko będzie ok :)
pozdrawiam :)

konto usunięte

Temat: zbiór danych - czy podlega pod ustawę o ochronie danych...

bogdan Kowal:
witam,
Czy zbiór danych, na który składa się NICK,LOGIN,HASŁO,PŁEĆ,EMAIL(z zastrzeżeniem ze nie jest daną osobową, nie zawiera imienia i nazwisko, adresu zamieszkania itp.) oraz informacje o stanie zdrowia podawane w późniejszym okresie przez użytkowników takie jak uzależnienia, stosowane leki, przebyte choroby, występujące objawy, data urodzenia, waga, wzrost, niektóre parametry medyczne (wynik morfologii krwi, stężenia cholesterolu) itp podlega pod ustawę o ochronie danych osobowych czy tez NIE jest to zbiór danych osobowych.
Jest to zbior wrazliwych danych osobowych. Dlaczego?
Nick - wiele osob posluguje sie tym samym nickiem na wielu portalach, wiec moze to byc dana pozwalajaca na identyfikacje osoby.
email - nigdy nie sprawdzisz na 100% ze adres email nie jest w tym momencie dana osobowa. Nie zastrzezesz tego w regulaminie, bo luzie i tak nie czytaja regulaminu, a nie ma systemowej (informatycznej) mozliwosci, zeby wyfiltrowac.
Poniewaz zbierasz dane dot. choroby, to nie bedize polemiki, ze zastrzegles budowe emaila, albo ze nicki sa inne niz w cale sieci.
Proponuje zarejestrowac (uzyskac zgode) i dobrze chronic te dane.

tak sobie jeszcze pomyslalem - nie podlegasz ze swoim zbiorem pod zadna ustawe zdrowotna? nie jest to jakis ZOZ czy szpital?Rafał "NOMAD" S. edytował(a) ten post dnia 10.01.09 o godzinie 17:01

konto usunięte

Temat: zbiór danych - czy podlega pod ustawę o ochronie danych...

Witold W.:
proponowałbym wystosować listowne zapytanie do urzędu, któremu ta sprawa podlegać będzie czyli GIODO...
http://www.giodo.gov.pl/440/

sprawa nie jest łatwa, ponieważ przedmiotem przetwarzania będą dane osobowe wrażliwe, co do który zalecana jest szczególna dbałość o bezpieczeństwo...
tymczasem dogłębnej analizie podlegać powinna kwestia, czy powiązanie danych o charakterze nieosobowym (a takie Pan wymienił) skutkuje możliwością (ŁATWEGO- "bez nadmiernych kosztów") wejścia w posiadanie danych wrażliwych o charakterze spersonalizowanym...

Jedna rada: na stronie (najlepiej podczas tworzenia konta) powinna być informacja, że adres mailowy utworzony do korespondencji NIE MOŻE zawierać nazwiska użytkownika...
nie koniecznie identyfikacja osoby moze nastepowac jedynie po nazwisku z mailu. Problem poelga na tym ,ze mozna zidentyfikowac osobe po mailu nawet jezeli nie podaje ona w adresie imienia i nazwiska. Przyklad z nazwiskiem, podawany czesto przez GIODO jest najprostrzy. :)
spróbuję to jasno wyłuszczyć (nick, login, hasło umożliwiają identyfikację adresu IP komputera, z którego następuje logowanie- nie oznacza to osoby, która zawarła umowę z operatorem na usługę internetową, jednak zakłada się, ze jest to osoba jasno sprecyzowana) Dane te są znane administratorowi strony oraz operatorowi (tajemnica telekomunikacyjna)
Dane dot. adresu IP osoby, ktora laczy sie ze strona znane sa wlascicielowi strony (histat, googlowy analaizator logow). Powoduje to, ze admistrator strony moze zidentyfikowac laczaca sie osobe. Jezeli administrator stron yw jakis sposob moze polaczyc te inforamacje, to staja sie one dana osobowa.

adres e-mail pozwala stwierdzić i powiązać jego posiadacza z danymi jakie podał przy tworzeniu konta (mogą to być dane fikcyjne, ale spodziewam się, że użytkownicy Pana portalu będą podawać własne dane osobowe)- informację o tym posiada administrator serwera pocztowego (tajemnica telekomunikacyjna)
regulamin (kazdej strony) nakazuje podawania dobrych adresow e-mail. nie mozzemy zalozyc, ze uzytkownik poda specjalnie bledne dane. Jezeli bedize liczyl na feedback od wlasciciela strony, to poda dobry adres.
ad hoc polecam zastosowanie się do rady zamieszczonej powyżej i zapytanie skierowane do GIODO... będzie Pan miał stosowną podkładkę, albo poproszą o rejestrację zbioru...w gruncie rzeczy można to także zrobić a priori i wszystko będzie ok :)
pozdrawiam :)
A ja proponuje zatrudnic dobrego ABI i spac spokojnie. Sa to dane medyczne (wrazliwe), wiec prosze nie oszczedzac. Firm yzatrudniaja BHPowco, ostatnio nawet musza strazaka, to dlaczego oszczedza sie na ABI? :)

Temat: zbiór danych - czy podlega pod ustawę o ochronie danych...

dziekuje za odpowiedzie. Mam tylko pytanie, czy nie wiecie jak dlugo trwa rejestracja takiego zbioru i czy podpisanie umowy powierzenia przetwarzanych danych z firma hostujaca, ktora spelnia wymogi GIODO zwalnia od przedstawiania informacji technicznych dotyczacych serwerow przechowyjacych zbiory danych osobowych, ktory trzeba podac w punkcie 16 formularza zgloszeniowego.

konto usunięte

Temat: zbiór danych - czy podlega pod ustawę o ochronie danych...

Jak stwierdzisz, ze firma spelnia wymagania GioDO? Cytat z giodo.gov.pl

Komunikat Generalnego Inspektora Ochrony Danych Osobowych
W związku z powoływaniem się przez niektóre podmioty na posiadanie "certyfikatu GIODO" Biuro Generalnego Inspektora Ochrony Danych Osobowych informuje, iż Generalny Inspektor Ochrony Danych Osobowych, ani żaden inny podmiot, nie wydaje certyfikatów, których posiadanie jest warunkiem legalności przetwarzania danych. Zatem ewentualne certyfikaty wydane przez inne podmioty nie mają znaczenia z punktu widzenia dopuszczalności przetwarzania danych przez posiadacza takiego dokumentu.

Skoro firma hostingowa jest w porzadku, to nie widze problemu, zeby udostepnila Ci te dane lub nawet pomogla w wypelnieniu formularza.

Co do terminow - nie pomoge, ale zadzwon do GiODO i zapytaj.
Jarosław Żabówka

Jarosław Żabówka Administrator
Bezpieczeństwa
Informacji (ABI).

Temat: zbiór danych - czy podlega pod ustawę o ochronie danych...

Powierzenie danych do przetwarzania nie zwalnia nas z odpowiedzialności
i odpowiedniego wypełnienia zgłoszenia – ciągle pozostajemy ADO.

Jeżeli uznamy, że mamy tu do czynienia ze zbiorem danych osobowych, musimy pamiętać o podstawie prawnej do przetwarzania danych wrażliwych. W zasadzie wchodzą w rachubę dwie możliwości:
-uzyskanie od każdej osoby korzystającej z portalu, pisemnej zgody na przetwarzanie danych o stanie zdrowia,
-uznanie, że mamy do czynienia z danymi podanymi do publicznej wiadomości przez osobę której dane dotyczą – ta możliwość zależy jednak od konstrukcji portalu.
Podobne rozwiązanie zaproponowałem kiedyś firmie tworzącej portal erotyczno-randkowy, czyli udostępniający dane o życiu seksualnym. Przyjąłem, że skoro dane te są podawane przez osobę do publicznej wiadomości, to możemy się oprzeć na art.27 ust.2 pkt 8 ustawy.

W tym wypadku zalecałbym większą ostrożność. Gazeta Wyborcza opisała (zareklamowała?) ostatnio portal http://naszechoroby.pl – myślę, że zwróciło to uwagę na portale przetwarzające dane wrażliwe.

Po ostatnich decyzjach GIODO (np. http://www.goldenline.pl/forum/abi/495334 ), próba przewidzenia, czy uzna on, że mamy tu do czynienia z danymi osobowymi, wymaga
zdolności jasnowidzenia... Dlatego, skierowanie zapytania bezpośrednio do Biura GIODO może być najlepszym rozwiązaniem.Jarosław Żabówka edytował(a) ten post dnia 12.01.09 o godzinie 10:22

Temat: zbiór danych - czy podlega pod ustawę o ochronie danych...

pytanie 1)
w moim przypadku chyba opre sie o punkt 7 zgody na przetwarzanie danych wrazliwych:

7) przetwarzanie jest prowadzone w celu ochrony stanu zdrowia
cel serwisu pasuje pod ten punkt.

Czy mozna również przetwarzać dane wrażliwe powołując się na ustawę o świdczeniu usłgu drogą elektroniczną której art18 pkt 2 mówi:
"W celu realizacji umów lub dokonania innej czynności prawnej z usługobiorcą, usługodawca może przetwarzać inne dane niezbędne ze względu na właściwość świadczonej usługi lub sposób jej rozliczenia."
Według mojego rozumowiania ten fragment umożliwia również przetwarzanie danych wrażliwch, innych danych

pytanie 2)

Teraz mam problem ze znalezieniem firmy hostujacej ktora podpisze ze mna umowe powierzenia przetwarzania danych.

Urzedniczka z GIODO poinformowala mnie, ze jesli podpisze umowe na przetwarzanie danych z firma, ktora stosuje wysoki poziom zabezpieczen, to nie zwalnie mnie to z obowiazku wypelnienia w formularzu punktow 16 podpunkt a dotyczacy środków ochrony fizycznej danych (pomieszczenia, drzwi, monitoring).

Natomiast firma A, ciagle mi mowi, ze jak mam umowe powierzenia, to wystarczy ze ja dolacze do wniosku, a w tym punkcie zaznacze, zabezpiecznia stosowane np w moim pomieszczeniu gdzie jest komputer z ktorego lacze sie z baza na serwerze w fimie A. Czyli czy mam kraty w oknie, czy drzwi maja zamek, czy jest monitoring.

Czy "środki ochrony fizycznej danych" dotycza serwerowni firmy A, gdzie jest baza danych osobowych i danych wrazliwych, czy tez pomieszczenia firmy ktora korzysta z uslug firmy hostingujacej, i ktora ma komputer laczacy sie z komputerem w serwerowni. Czy tez i jednej i drugiej.bogdan Kowal edytował(a) ten post dnia 13.01.09 o godzinie 12:56
Przemysław Olszewski

Przemysław Olszewski Manager ds.
Complinace

Temat: zbiór danych - czy podlega pod ustawę o ochronie danych...

Pominę odpowiedź na pierwsze pytanie bo z doświadczenia wiem, że nie mając wszystkich informacji ciężko jest to rozstrzygać na 100%. Również pracownik z GIODO telefonicznie tego problemu nie rozwiąże, (tak myślę) ale jeżeli dokładnie opiszesz cały proces to możliwie, że pisemnie taką interpretację otrzymasz. Obecnie „czas reakcji” jest ok. 6 tygodni (tak było jesienią)

Pytanie 2)

Również opierając się na doświadczeniu. W Polsce jest już kilka firm hostujących, które mają zabezpieczenia zgodne z ustawą i są w stanie Ci pomóc np.: podają wypełniony przez siebie tą część wniosku. Jeżeli firma się na to zgodzi możesz sam ich odwiedzić, możesz poprosić o raport audytowy jeżeli tego dotyczył lub raport z kontroli GIODO. Dowiedz się jak spełniają wymogi ustawy (art. 31 ust 3), przecież ciążą na nich obowiązki posiadania odpowiednich procedur i dokumentacji.

Pamiętaj, że za wyciek danych z tej firmy to Ty jako administrator danych będziesz odpowiadał. Więc im mocniej ich sprawdzisz tym będziesz spokojniej spał. cytat z ustawy: "Art 31 ust 4. W przypadkach, o których mowa w ust. 1-3, odpowiedzialność za przestrzeganie przepisów niniejszej ustawy spoczywa na administratorze danych, co nie wyłącza odpowiedzialności podmiotu, który zawarł umowę, za przetwarzanie danych niezgodnie z tą umową."

Wszyscy czytający oczywiście znają ustawę ale dla zainteresowanych:
źródło ustawa o ODO http://www.giodo.gov.pl/data/filemanager_pl/473.pdf

Temat: zbiór danych - czy podlega pod ustawę o ochronie danych...

zmieniam tresc pytania.
czy jesli zgodnie z zasada anonimizacji danych bede zbieral:

login,haslo + dane medyczne to czy tabki zbior tez podlega pod ustawe??
chyba nie, ale pytam gdyz rozne osoby roznie mi juz na to odpowiadaja.

konto usunięte

Temat: zbiór danych - czy podlega pod ustawę o ochronie danych...

Co to jest zasada anonimizacji?
W przypadku strony internetowej masz doczynienia z:
- danymi uzyskanymi od usera (czyli login i haslo oraz dane medyczne)
- dane otrzymane z analizy logow - ip komputera z ktorego laczyl sie user. W przypadku gdy user laczy sie komputera, ktory posiada stale ip i to ip zarejestrowane jest na niego, to mozesz dokonac identyfikacji (temat: czy ip to dane osobowe).
W pewnym momencie i po polaczeniu tych 2 danych, moze dojsc do identyfikacji czlowieka, czyli zgodnie z definicja z ustawy - rozpoczynasz przetwarzanie danych osobowych wrazliwych :)
Troche to daleko idaca analiza - ale moze dojsc do momentu, kiedy przetwarzasz dane osobowe ...
Jaka dasz gwarancje ze nie bedziesz laczyl danych z tych logow?
O ile w przypadku danych zwyklych... raczej bym nie bawil sie w rejetracje, o tyle w tym wypadku - szczerze - nie chce byc na Twoim miejscu z podejmowaniem decyzji.
Ja bym poprosil o oficjalne stanowisko kogos z GIODO :)

konto usunięte

Temat: zbiór danych - czy podlega pod ustawę o ochronie danych...

sprawa jest na tyle 'grząska' ze również polecam zwrócić się do GIODO po oficjalne stanowisko, kwestii stałego ip jest wg mnie nie do przeskoczenia

Temat: zbiór danych - czy podlega pod ustawę o ochronie danych...

Ja nie bede zbierał informacji o IP, nie sa mi do niczego potrzebne nie zapisuje ich w bazie danych czyli nie mam u siebie w bazie danych osobowych, na podstawie ktorych moge zidentyfikowac osobe.

Musialbym miec informacje o IP + jego login, abym mogl posilic sie o jego identyfikacje, a skoro nie zbieram tych danych i moj zbior danych nie zawiera tych danych, to nie mozna mowic o danych osobowych.
Przeciez nikt nie okresli tozsamosci osoby na podstawie takich danych
alozj445 mam cukrzyce, pije alkohol i mam depresje.bogdan Kowal edytował(a) ten post dnia 15.01.09 o godzinie 18:34

konto usunięte

Temat: zbiór danych - czy podlega pod ustawę o ochronie danych...

Nie bedziesz zbieral danych o ruchu na stronie? Jakos nie chce mi sie wierzyc. Predzej czy pozniej skorzystasz z histata czy googlowego analizatora - chociaz zeby zobaczyc jaki ruch generowany jest na stronie (reklamy?).
Poza wszystkim taka baze (baze IP) danych tworzy administrator serwera na ktorym masz postawiony serwis i z zalozenia masz dostep do tych danych - ZAWSZE MASZ dostep do tych danych.
Oczywiscie alojz445, ktory ma cukrzyce, pije alkohol i ma depresje - w tym momencie nie. Ale zobaczy adres szuku.pl. Czesc osob posluguje sie tym samym nickiem/loginem w roznych serwisach. Pozostaje pojecie "nadmiernych dzialan i kosztow" w celu uzyskania tozsamosci. Na konferencji GIODO byla bardzo fajna prezentacja jednego z pracowikow inspektoratu o tym, ze net daje mozliwosci laczenia czesto nieistotnych danych w dane ktore pozwalaja na identyfikacje osoby.
Bogdanie - ja staram sie przedstawic temat w jak najciemniejszych barwach. Decyzja nalezy do Ciebie. A poniewaz ustawa i rozporzadzenie nie reguluje jasno tych kwestii - to jest problem.

Temat: zbiór danych - czy podlega pod ustawę o ochronie danych...

ok, instaluje statystyki google ktory zbiera ip, czy w logach apache.
i co tam mam
adres ip i adres strony i godzine.

w jaki sposob polaczysz te dane z loginem uzytkownika ktory jest na stronie.
zakladamy ze dziennie jest wiecej niz 1 uzytkownik serwisu, a w serwiesie nie zapisuje godzin,minut i sekund wejscia na dana strone czy aktualizacji danych.
Wg mnie nie mozna polaczyc ip z uzytkownikiem.bogdan Kowal edytował(a) ten post dnia 15.01.09 o godzinie 19:09

konto usunięte

Temat: zbiór danych - czy podlega pod ustawę o ochronie danych...

Mozesz powiazac po ruch usera na stronie. Da sie to zrobic.
Przyklad: na jednej ze swoich stron namierzylem czlowieka po jego ruchach po serwisie i po stronie z ktorej wszedl. i wcale nie musialem stosowac "nadmiernych kosztow i dzialan" - a na stronie bywa wiecej niz 1 osoba :)
Nie wazne jest jak to zrobisz - wazne ze mozesz to zrobic. Masz 2 bazy, ktore daja ci taka mozliwosc

Temat: zbiór danych - czy podlega pod ustawę o ochronie danych...

na stronie
http://www.giodo.gov.pl/319/id_art/2258/j/pl/
podali ze
Opinia Grupy Roboczej ds. Ochrony Danych, powołanej przez Parlament Europejski i Radę Europejską (rozdz. III pkt 3 przykład 15) uznała literalnie adres IP za dane dotyczące osoby możliwej do zidentyfikowania, stwierdzając, że: "dostawcy usług internetowych oraz menedżerowie lokalnych sieci mogą, stosując rozsądne środki, zidentyfikować użytkowników internetu, którym przypisali adresy ip ponieważ systematycznie zapisują w plikach daty, czas trwania oraz dynamiczny adres IP (czyli ulegający zmianie po każdym zalogowaniu) przypisany danej osobie. To samo odnosi się do dostawców usług internetowych, którzy prowadzą rejestr (logbook) na serwerze HTTP Nie ma wątpliwości, że w takich przypadkach można mówić o danych osobowych, w rozumieniu art. 2 Dyrektywy"

Rozumiem ze to mnie nie dotyczy.
ale zalozmy ze mam adres ip i login uzytkownika.
Jak ja maoge poznac tozsamosc osoby.bogdan Kowal edytował(a) ten post dnia 15.01.09 o godzinie 19:17

konto usunięte

Temat: zbiór danych - czy podlega pod ustawę o ochronie danych...

Na pierwszy rzut oka sadze, ze stapaja po bardzo cienkim lodzie.
Drugi rzut oka za chwilke - jak skoncze jesc :)

---edycja----
Podales adres serwisu i teraz go zabrales. Widocznie zalezalo Ci na tym. Opinia pierwszego rzutu oka jest powyzej i tego sie trzymam.

Odpowiadajac na Twoje pytanie po edycji:
najprostrzy przyklad ktory moze zajsc :
- masz IP
- wchodzisz na stronke http://ripe.net
- podajesz adres ip i dostajesz wlasciciela paczki IP
- w pewnym szczegolnym przypadku IP moze byc zarejstrowane na osobe z imienia lub nazwiska (znam takie przypadki) i dostajesz jeszcze miasto.
- google lub szuku.pl i wszytsko jasne
Dlugosc akcji - 5-10 minut, koszt: 0PLN

Przyklad moze nie do konca zwiazany w uodo, bo dane byly firmy, ale:
Podobna akcje mialem jakis czas temu (jeszcze jak w uzyciu bylo PowerGG, ktore pozwalalo uzyskac adres IP osoby ktora do Ciebie pisze) pojawil mi sie dowcipnis na gg - poznalem jego IP i okazalo sie, ze IP bylo zarejestrowane wlasnie na jego wlasna firme - bylo jego imie i nazwisko. Zadzwonilem - bardzo sie zdzwil i przestraszyl.Rafał "NOMAD" S. edytował(a) ten post dnia 15.01.09 o godzinie 19:24

konto usunięte

Temat: zbiór danych - czy podlega pod ustawę o ochronie danych...

Rafał "NOMAD" S.:
Na konferencji GIODO byla bardzo fajna prezentacja jednego z pracowikow inspektoratu o tym, ze net daje mozliwosci laczenia czesto nieistotnych danych w dane ktore pozwalaja na identyfikacje osoby.

Rafał mozesz mi to podeslac? To ten pdf o ktorym wspominasz w jednym z artów na blogu?

Temat: zbiór danych - czy podlega pod ustawę o ochronie danych...

OK
teraz zalozmy ze mam serwer dedykowany, uruchamiam wlasne program do statystyk, nie zapisujacy adresu IP i usuwam wykonywanie logow apache.
tak wiec nie mam IP, ktorych w rzadkich przypadkach moglbym polaczyc z tozsamoscia osoby.
to chyba wystarczy aby nie podlegac pod ustawe ODO.

poprzedni link usunalem bo chcialem zadawac pytania po koleji.
w takim razie ponawiam ptyanie. Co sodzicie o serwisie i jego funkcjonowaniu
https://www.osoz.pl/osoz-spl/servlet/main/indexhtml
podstawy prawne po lewej stroniebogdan Kowal edytował(a) ten post dnia 15.01.09 o godzinie 19:40



Wyślij zaproszenie do