Dnia 15 sierpnia 2024 r. minął termin przewidziany przez ustawodawcę do przygotowania jednostek, do przepisów które wprowadza tzw. ustawa Kamilka.

Nowe obowiązki prawne pozwalają na zbieranie określonych informacji od dzieci, ich rodziców oraz wprowadzają większą kontrolę nad osobami, które pracują z nieletnimi. Celem ustawy jest wcześniejsza identyfikacja sygnałów odnośnie do krzywdy, której ofiarą mogą stać się dzieci.

Ustawa nakłada nowe obowiązki na:

• jednostki systemu oświaty, placówki oświatowe, opiekuńcze, wychowawcze, resocjalizacyjne, religijne, artystyczne, medyczne, rekreacyjne, sportowe lub związaną z rozwijaniem zainteresowań, do której uczęszczają albo w której przebywają lub mogą przebywać małoletni;

• organizatorów działalności oświatowej, opiekuńczej, wychowawczej, resocjalizacyjnej, religijnej, artystycznej, medycznej, rekreacyjnej, sportowej lub związanej z rozwijaniem zainteresowań przez małoletnich;

• podmioty świadczące usługi hotelarskie oraz turystyczne, a także prowadzące inne miejsca zakwaterowania zbiorowego.

Weryfikacja niekaralności

Nakaz weryfikacji niekaralności pracownika należy obecnie do pracodawców prowadzących działalność związaną z kontaktami pracowników z małoletnimi (dzieci do 18 roku życia):

• wychowaniem,
• edukacją,
• wypoczynkiem,
• leczeniem,
• uprawianiem sportu,
• rozwojem duchowym,
• świadczeniem porad psychologicznych,
• realizacją innych zainteresować przez małoletnich,
• opieką nad małoletnimi.

Warto podkreślić, że już przepisy Ogólnego Rozporządzenia o Ochronie Danych Osobowych – RODO regulują kwestie specjalnej potrzeby dbania o ochronę osób małoletnich. Informacje, które wskazują na ten kontekst można znaleźć w motywie 38 RODO

,,Szczególnej ochrony danych osobowych wymagają dzieci, gdyż mogą one być mniej świadome ryzyka, konsekwencji, zabezpieczeń i praw przysługujących im w związku z przetwarzaniem danych osobowych’’…………(całość treści motywu znajdziemy pod linkiem https://gdpr-text.com/pl/read/recital-38/

Przepisy zawarte w Standardach Ochrony Małoletnich stanowią temat żywych dyskusji zarówno w mediach ogólnokrajowych jak i na polu lokalnym. Duże zainteresowanie budzi m.in. relacja nowych przepisów zawartych w Standardach Ochrony Małoletnich w stosunku do przepisów nałożonych na mocy Ogólnego Rozporządzenia o Ochronie Danych Osobowych – RODO.

W związku z pojawiającymi się pytania głos zabrał Prezes Urzędu Ochrony Danych Osobowych.

W swoim wystąpieniu podkreślił na co szczególnie zwrócić uwagę podczas przetwarzania danych osobowych;

,, Osoba, z którą ma być nawiązany stosunek pracy lub która ma być dopuszczona do działalności, musi przedstawić również informacje o swojej karalności. Dotyczy to przestępstw o charakterze seksualnym, przestępstw przeciwko życiu i zdrowiu (np. pobicie, spowodowanie uszczerbku na zdrowiu), przestępstwa znęcania się, przestępstwa handlu ludźmi, przestępstw z ustawy o przeciwdziałaniu narkomanii lub informacji o odpowiadających tym przestępstwom czynach zabronionych określonych w przepisach prawa obcego’’.

Niezwykle istotne jest, aby wszelkie dane które będą dotyczyły pracowników lub/oraz kandydatów do pracy itp. muszą uwzględniać przepisy ochrony danych osobowych – RODO. Brak respektowania przepisów prawa w zakresie przepisów RODO może skutkować wysokim ryzykiem narażenia dla praw lub wolności osób których dane dotyczą a w konsekwencji wysokimi karami finansowymi.

W celu uniknięcia ryzyka niewłaściwego przetwarzania danych osobowych w związku ze zmianami wprowadzonymi przez Standardy Ochrony Małoletnich należy w jednostce, w której wprowadzane są przepisy przeprowadzić analizę ryzyka w celu zweryfikowania obecnie obowiązujących w jednostce polityk ochrony danych osobowych oraz innych metodyk realizacji przepisów wymaganych RODO.

Ponadto należy wdrożyć mechanizmy zakładające domyślną ochronę danych już w fazie projektowania w taki sposób, aby odpowiedziały one wymogą ustawy Kamilka.

Warto nadmienić przy tym, iż LEX Kamilek z punktu widzenia przepisów RODO wprowadza nowe procesy przetwarzania danych osobowych.

Wraz z wprowadzeniem nowych regulacji prawnych wymagana jest weryfikacja kategorii osób których to dane osobowe będą pozyskiwane, kluczowa będzie również dbałość o minimalizację pozyskiwanych informacji w taki sposób, aby pozyskiwane informacje były ograniczone jedynie do tych które są wymagane przepisami prawa.

Istotna będzie również weryfikacja klauzul informacyjnych, w szczególności cele, podstawa prawna przetwarzania danych, informacje o odbiorcach oraz kategoriach odbiorców danych, weryfikacja źródeł, z których pochodzą dane oraz kwestie retencji danych.

Zachodzące zmiany będą wymagały zwiększonej współpracy Administratora Danych Osobowych oraz Inspektora Ochrony Danych Osobowych. Przede wszystkim bardzo istotna będzie procedura wdrożenia organizacyjnych oraz technicznych procedur bezpieczeństwa.

Zdaniem Ministerstwa Edukacji Niektóre z przepisów ustawy LEX Kamilek wymagają dodatkowego doprecyzowania stąd też w najbliższym czasie należy spodziewać się wytycznych kuratorium oświaty w zakresie interpretacji zapisów ustawy, które budzą pewne niejasności.

Jak Poinformowało Ministerstwo Edukacji na październik zostaną zlecone kontrole w jednostkach oświatowych które mają dać odpowiedź jak wyglądają postępy w zakresie wdrażania Standardów Ochrony Małoletnich.

Standardy Ochrony Małoletnich wprowadzają zmiany, które dotykają kwestii bardzo delikatnych, dlatego też niezwykle istotne jest, aby śledzić informacje odnośnie do ustawy Lex Kamilek a także dostrzegać powiązania pomiędzy ustawą a przepisami RODO. Nabyta wiedza pozwoli na uniknięcie konsekwencji prawnych wynikających z niedostosowania jednostki do Standardów Ochrony Małoletnich.

FIRMA ATFIDE pomaga wdrożyć obowiązki wynikające z „LEX Kamilek”. Oferujemy wdrożenie procedur i szkolenia https://atfide.pl/ustawa-kamilka/

Źródła:

https://uodo.gov.pl/pl/138/3278

https://forsal.pl/kraj/aktualnosci/artykuly/9597890,lex-kamilek-pod-lupa-szefowa-ministerstwa-edukacji-narodowej-zapowiada-zmiany.html

https://www.portalsamorzadowy.pl/polityka-i-spoleczenstwo/nowacka-przepisy-dotyczace-ustawy-lex-kamilek-beda-ewaluowane,567086.html

Globalna pandemia koronawirusa spowodowała zwiększenie zainteresowania kwestiami RODO w wielu aspektach życia zarówno społecznego jak i gospodarczego. Duża część pracowników wykonuje swoje zadania w ramach pracy zdalnej w celu zmniejszenia ryzyka zarażenia koronawirusem. Pasażerowie powracający z zagranicy wypełniają karty lokalizacyjne. Przyjezdni otrzymywali zapytanie odnośnie numeru lotu, którym podróżowali, wskazania stałego miejsca zamieszkania, miejsca pobytu w kraju, numeru telefonu oraz adresu e- mail. Część podróżujących żywiła obawy co od informacji pobieranych po przylocie do kraju. Na lotniskach oraz w niektórych miejscach pracy dokonuje się pomiaru temperatury ciała pasażerów i pracowników. Jest to działanie jak najbardziej zgodne z przepisami, należy tutaj przywołać wydane ,,12 marca 2020 r. oświadczenie prezesa UODO.

W oświadczeniu tym podkreślono, że art. 17 „specustawy” dotyczącej przeciwdziałania COVID-19 wskazuje, że Główny Inspektor Sanitarny lub działający z jego upoważnienia Wojewódzki Inspektor Sanitarny może wydawać pracodawcom m. in. nakazy w drodze decyzji nakładające obowiązek podjęcia określonych czynności zapobiegawczych lub kontrolnych i współdziałania z innymi organami administracji publicznej oraz Państwowej Inspekcji Sanitarnej’’.

Praca zdalna a ochrona danych osobowych i bezpieczeństwo informacji

W czasie wykonywania pracy zdalnej bardzo ważne jest przestrzeganie zasad ochrony danych osobowych oraz bezpieczeństwa informacji w miejscu pracy. Należy zwrócić uwagę czy urządzenia które pracodawca udostępnia pracownikowi mają w swoim systemie odpowiednie zabezpieczenia tj. konieczne aktualizacje w zakresie systemu operacyjnego (IOS lub Android), oprogramowania jak i systemu antywirusowego. Koniecznejest zabezpieczenie miejsca pracy jak i ogółu dokumentacji jaka jest używana przez pracownika podczas pracy. Należy zapewnić aby dostęp do dokumentacji służbowej nie miały osoby postronne w tym kreweni, domownicy oraz wszelkie inne nieuprawnione osoby przebywające w domu osoby pracującej. Kluczową kwestią jest bezpieczeństwo dostępu do urządzenia na którym odbywa się praca zdalna - szczególnie należy zwrócić uwagę na blokadę dostępu do urządzenia po opuszczeniu przez pracownika miejsca pracy (nawet w przypadku bardzo krótkiego okresu czasu).

Zabezpieczenie urządzeń i narzędzi na których wykonywana jest praca zdalna. Korzystanie z prywatnej poczty e - mail

Dostęp do urządzenia na którym wykonywana jest praca bezwzględnie musi być zabezpieczony mocnym hasłem tj. powinno zawierać nie mniej niż 8 znaków w tym małe i duże litery oraz cyfry. Naganną praktyką jest umieszczanie kartek z zapisanym hasłem dostępu przy monitorze. Tego typu działanie w bardzo prosty sposób może posłużyć osobie postronnej do uzyskania nieuprawnionego dostępu do danych co może nieść za sobą ryzyko utraty danych osobowych. W przypadku kiedy pracownik pracujący zdalnie zgubi urządzenie które służy mu do pracy, należy niezwłocznie powiadomić o zaistniałej sytuacji a także jeżeli to możliwe dokonać zdalnego wyczyszczenia pamięci. W zakresie użytkowania poczty e - mail należy korzystać przede wszystkim ze skrzynek służbowych.  W określonych przypadkach kiedy dochodzi do przetwarzania danych osobowych za zgodą pracodawcy jako administrtora danych można korzystać z prywatnej skrzynki mailowej - jednakże wówczas treść wiadomości oraz załącznik muszą być szyfrowane. Należy bardzo dokładnie sprawdzać czy wiadomość adresowana jest do właściwego adresata, bardzo ważne aby nie podawać w wiadomości mailowej informacji poufnych ani danych osobowych, nie należy również otwierać maili od nieznanych adresatów.

Zapewnienie ochrony danych osobowych zgodnie z RODO oraz zasady zapewnienia bezpieczeństwa informacji  obowiązują Nas również, a nawet zwłaszcza w dobie pandemii koronowirusa, w wyniku której przetwarzane są szczególne kategorie danych osobowych – dane dotyczące zdrowia i sytuacji rodzinnej osób.

Z samego założenia kary  mają być dotkliwe i odstraszające. Przy ich wymierzaniu decydować jednak musi indywidualna ocena każdego z naruszeń. I zanim dojdzie do jej nałożenia, Prezes UODO bierze pod uwagę 11 czynników, których wymaga RODO.  Ocenia się więc charakter, wagę i czas trwania naruszenia. Znaczenie ma więc liczba poszkodowanych osób czy rozmiar poniesionej przez nie szkody, ale i to, jaki był cel i zakres przetwarzania danych, których dotyczyło naruszenie Konieczne jest zbadanie, czy miało ono charakter umyślny, czy też nie.  Istotne dla ustaleń jest również przeanalizowanie działań, jakie w związku z naruszeniem podjął administrator bądź podmiot przetwarzający. Prezes UODO bierze więc pod uwagę, czy np. podmiot po swojej stronie podjął działania zmierzające do naprawy stwierdzonych nieprawidłowości, czy powiadomił osoby, których dane przetwarza np. o wycieku informacji z bazy dennych. 

Ustalany jest też stopień odpowiedzialności administratora lub podmiotu przetwarzania. Dlatego Prezes UODO zwraca przy tym uwagę na to, jak np. dane były chronione zarówno od strony technicznej, jak i proceduralnej. Znaczenie ma tu również podejście do przewidzianych w RODO zasad privacy by default oraz privacy by design. A więc znaczenie ma, czy ochrona danych osobowych była brana pod uwagę już na etapie projektowania produktu czy usługi.  

RODO wyszczególnia dwa stopnie kar:

Pierwszy – zakłada przyznanie grzywny w wysokości do 10 milionów euro lub 2% rocznego obrotu przedsiębiorstwa, np.:

• zaniedbanie bezpieczeństwa przetwarzania danych osobowych (art. 32);
• przetwarzanie danych osobowych osób nieletnich bez zgody ich rodziców lub opiekunów (art. 8);

Drugi próg kar – do 20 milionów euro lub 4% rocznego obrotu firmy, np.:

• nieprzestrzeganie podstawowych zasad przetwarzania danych osobowych (art. 5);
• brak podstawy prawnej pozwalającej na gromadzenie i przetwarzanie danych osobowych (art. 6);

Przykłady pierwszych kar nałożonych w Polsce przez UODO:

• 55 tys. zł zapłaci związek za ujawnienie zbyt szerokiego zakresu danych osobowych
• 943 tys. zł kary zapłaci Firma za złamanie przepisów RODO.

Do Urzędu Ochrony Danych Osobowych do  konca maja 2019 r. wpłynęło ok. 10 000 skarg, a  kwietnia 2019 r. - 3855 zgłoszeń.