Należyte przygotowanie swojej firmy do ochrony danych osobowych stanowi nie tylko realizację obowiązku nałożonego przez bezwzględnie obowiązujące przepisy, ale jest również przejawem prowadzenia biznesu na miarę XXI wieku. Wszyscy już rozumieją, że dane osobowe mają wymierną wartość finansową i dlatego należy je chronić.

W tym celu właśnie powstało RODO – dokument na skalę europejską, o charakterze ogólnym. Nowoczesny, bo wyznaczający pewne kierunki działania, ale nie narzucający żadnych gotowych rozwiązań w postaci np. cotygodniowej zmiany hasła. Innowacyjny, bo przerzucający na przedsiębiorcę obowiązek dostosowania kwestii ochrony danych osobowych do zdiagnozowanego przez siebie ryzyka w tym zakresie. W końcu doniosły prawnie, ponieważ obowiązuje każdego przedsiębiorcę, pod sankcją kar finansowych.

O RODO można by pisać wiele, szczególnie po przeszło dwóch latach od jego wejścia w życie. Nie taka jednak jest intencja tego artykułu. W tym momencie chcieliśmy bowiem przedstawić Państwu zakres usług Fundacji – baza wiedzy dostępna jest natomiast w tej sekcji: artykuły o RODO.

Wdrożenie RODO oferta

Fundacja ENTROPIA powstała w 2014 roku i od samego początku zajmuje się problematyką ochrony danych osobowych. Od 2016 roku zaczęła analizować RODO i prowadzić pierwsze prace mające na celu wdrożenie go u rodzimych przedsiębiorców.

W oparciu o lata doświadczeń wypracowane zostały trzy zasadnicze modele współpracy.

Przygotowanie dedykowanych dokumentów RODO

Nie jesteśmy zwolennikami szablonów, gdyż one się zwyczajnie nie sprawdzają. Dlatego w gronie prawników – specjalistów z zakresu ochrony danych osobowych stworzyliśmy ankietę audytową, która pozwala nam dokładnie poznać przedsiębiorstwo Klienta i na tej podstawie przygotować dokumenty skrojone pod konkretną działalność.

Pełen zakres informacji znaleźć mogą Państwo pod tym linkiem: dedykowane dokumenty RODO.

Objęcie funkcji Inspektora Ochrony Danych

Niektórzy przedsiębiorcy powinni (a część z nich ma taki prawny obowiązek) wyznaczyć w swojej firmie Inspektora Ochrony Danych, czyli podmiot, który odpowiedzialny będzie za odpowiednie wdrożenie RODO i utrzymywanie wysokiego poziomu ochrony danych w firmie. Z powodzeniem pełnimy takie funkcje w dużych podmiotach gospodarczych.

Pełen zakres informacji znaleźć mogą Państwo pod tym linkiem: przejęcie funkcji IOD.

Szkolenia

Fundacja, jako podmiot wyspecjalizowany w ochronie danych osobowych, realizuje szkolenia dla przedsiębiorców z zakresu RODO. Szkolimy zarówno przedsiębiorców, jak i ich pracowników, w tym inspektorów ochrony danych.

Pełen zakres informacji znaleźć mogą Państwo pod tym linkiem: szkolenia.

***

Nasi specjaliści gotowi są na udzielenie wszelkich informacji dotyczących poruszanych kwestii. W tym celu zapraszamy do skorzystania z formularza kontaktowego i opisania swoich potrzeb:

Wdrożenie RODO oferta Fundacji obejmuje kompleksową obsługę z zakresu ochrony danych osobowych.

Artykuł Wdrożenie RODO oferta, usługi RODO pochodzi z serwisu .

W ostatnim czasie dokonaliśmy kilku istotnych modyfikacji w naszej dokumentacji RODO, po to by stała się jeszcze bardziej nowoczesna, profesjonalna, a jednocześnie prosta i użyteczna w codziennej obsłudze. Poniżej prezentujemy wykaz przygotowywanych przez nasz Zespół dokumentów z podziałem na część Podstawową, którą następnie możemy w zależności od potrzeb rozbudowywać o kolejne dokumenty i procedury z części Rozszerzonej.

PAKIET PODSTAWOWY: 

Polityka Ochrony Danych
Załącznik nr 1 Rejestr upoważnień
Załącznik nr 2 Wzór upoważnienia do przetwarzania danych osobowych
Załącznik nr 3 Wzór Zobowiązania do zachowania poufności osoby przetwarzającej dane osobowe
Załącznik nr 4 Rejestr zgód
Załącznik nr 5 Rejestr czynności przetwarzania danych osobowych
Załącznik nr 6 Rejestr wszystkich kategorii czynności przetwarzania
Załącznik nr 7 Rejestr zgłoszeń
Załącznik nr 8 Rejestr naruszeń
Załącznik nr 9 Rejestr odbiorców danych
Wzór umowy powierzenia danych

Objaśnienia:

Polityka Ochrony Danych:
Podstawowy dokument ramowy. Zawiera generalne zasady postępowania z danymi osobowymi w Firmie.

Rejestr upoważnień:
Zawiera informacje nt. pracowników, którzy zostali upoważnieni przez Pracodawcę (Administratora Danych Osobowych) do przetwarzania w jego imieniu danych osobowych.

Wzór upoważnienia do przetwarzania danych osobowych:
Dokument uprawniający pracownika do przetwarzania danych osobowych w Firmie.

Wzór Zobowiązania do zachowania poufności osoby przetwarzającej dane osobowe:
Dokument zobowiązujący pracownika do zachowania w tajemnicy danych, które przetwarza, w związku z wykonywaniem zadań służbowych.

Rejestr zgód:
Zawiera informacje nt. osób fizycznych, które wyraziły zgodę na przetwarzanie danych, a wyrażona zgoda stanowi jedyną podstawę prawną dla tego przetwarzania. może dot. m.in. rekrutacji, kontaktu za pośrednictwem formularza kontaktowego udostępnionego na stronie internetowej.

Rejestr czynności przetwarzania danych osobowych:
Dokument zawierający zdefiniowane procesy przetwarzania danych osobowych w Firmie, tj. wszystkie czynności nakierowane na realizację konkretnego celu przetwarzania danych – np. realizacja umów z klientami, korespondencja itp.

Rejestr wszystkich kategorii czynności przetwarzania:
Dokument określający jakie czynności Podmiot Przetwarzający wykonuje na danych, które zostały mu powierzone przez innego Administratora (czyt. inną firmę/organizację) w celu zrealizowania Umowy Głównej.

[podmiot przetwarzający to tzw. procesor – czyli podmiot który „pracuje” na danych otrzymanych od innego Administratora (firmy) w celu wykonania jakiejś usługi np. – prowadzenia obsługi księgowej.

Innymi słowy, Rejestr wszystkich kategorii czynności przetwarzania dotyczy tylko tych przedsiębiorstw, które pozyskują dane osobowych od innych firm, ponieważ są im one niezbędne do wykonania zlecenia lub usługi. Najlepszym przykładem takiej firmy jest Biuro Rachunkowe, które pozyskuje od swoich klientów dane celem prowadzenia obsługi księgowej klientów.

Rejestr zgłoszeń:
Zawiera informacje nt. żądań osób, których dane dotyczą w zakresie wykonania (przez Administratora) przysługujących im praw oraz sposobu realizacji tych żądań.

Rejestr naruszeń:
Zawiera informacje, które należy uzupełnić w razie wystąpienia tzw. Incydentu Bezpieczeństwa tj. poważnego naruszenia danych osobowych w Firmie.
[Wzór zgłoszenia Incydentu stanowi załącznik do rejestru naruszeń – wypełnione zgłoszenie należy przesłać do Prezesa Urzędu Ochrony Danych Osobowych w terminie 72 godzin od momentu jego wykrycia].

Rejestr odbiorców danych:
Zawiera informacje o zawartych umowach powierzenia przetwarzania danych osobowych.

Wzór umowy powierzenia danych:
Projekt umowy, którą Administrator danych winien zawrzeć z każdym podmiotem, któremu powierza dane osobowe niezbędne do wykonania Umowy Głównej.

„ROZSZERZENIE”

Klauzule informacyjne:
Dokumenty te odpowiadają za wypełnienie tzw. „obowiązku informacyjnego”, o którym mowa w art. 13 RODO, tj. podstawowego obowiązku jaki spoczywa na Administratorze Danych Osobowych.
Wyróżniamy dwie podstawowe klauzule, w zależności od kategorii podmiotów do których są adresowane (klauzule dla pracowników, klauzule dla klientów/kontrahentów).

Procedura zarządzania systemami informatycznymi:
Dokument zawiera generalne zasady postępowania z danymi osobowymi w Firmie, których przetwarzanie odbywa się w sposób zautomatyzowany.

Informacja na temat monitoringu wizyjnego w miejscu pracy:
czyli podstawowe informacje, jakie Administrator Danych Osobowych obowiązany jest zamieścić w pobliżu miejsca zainstalowania kamery.

Polityka prywatności:
Podstawowy dokument w działalności internetowej zgodny z wymogami ustawy o świadczeniu usług drogą elektroniczną, prawa telekomunikacyjnego oraz RODO.

Polityka plików cookies (ciasteczkowa)
Dokument informujący o stosowanych technologiach do pozyskiwania informacji na temat aktywności użytkowników portalu, witryny internetowej.

Polityka czystego Biurka:
Dokument stanowi zbiór prostych zasad, których stosowanie pozwala na zwiększenie bezpieczeństwa danych w codziennej pracy biurowej.

Wykaz środków techniczno – organizacyjnych
Dokument określający stosowane przez Administratora środki ochrony (zabezpieczenia) zbiorów danych oraz miejsc, w których są one przechowywane.

Zainteresowanych sporządzeniem dedykowanej dokumentacji RODO zachęcamy do kontaktu:

drogą mailową pod adresem:

kontakt@fundacjaentropia.pl

telefonicznie:

790 494 135 (Paweł Zawartka)

lub za pośrednictwem formularza kontaktowego:

Artykuł DOKUMENTACJA RODO W FIRMIE pochodzi z serwisu .

7 października 2019 r. to ważna data w kalendarzu szeroko rozumianego obszaru zgodności. W tym dniu Rada Unii Europejskiej zatwierdziła dyrektywę w sprawie ochrony osób zgłaszających naruszenia prawa Unii, której przedmiotem jest właśnie ochrona sygnalistów, czyli pracowników (i nie tylko) zgłaszających nieprawidłowości dotyczące funkcjonowania przedsiębiorstwa czy urzędu, a zaobserwowane w toku wykonywania pracy. Biorąc pod uwagę postanowienia unijnego aktu prawnego, można być pewnym, że tematyka sygnalistów zainteresuje w najbliższych latach znacząco więcej osób niż obecnie. Nowe przepisy unijne pozwalają zgłaszać i ujawniać nadużycia i przekazywać informacje wewnętrznie (a przedsiębiorcy mają umożliwić zgłaszanie poprzez zorganizowanie odpowiednich procedur) lub bezpośrednio właściwym organom krajowym, a także odpowiednim instytucjom, organom i urzędom. Osoby zgłaszające nadużycia będą również chronione przed jakimikolwiek negatywnymi skutkami swoich działań w postaci np. represji i wprowadzają zabezpieczenia pozwalające chronić sygnalistów przed zawieszeniem w pracy, zdegradowaniem czy zastraszaniem. Chronione będą, co ważne, również osoby pomagające sygnalistom. Dyrektywa musi jeszcze zostać zatwierdzona przez unijnych ministrów.

Stan aktualny

Dotychczas zagadnienia dotyczące sygnalistów i ich ochrony nie cieszyły się szczególnym zainteresowaniem polskiego ustawodawcy i ten stan rzeczy zmienia się dość powoli. Jako jeden z przykładów można wymienić pojawienie się na przełomie 2017 i 2018 r. projektu ustawy o jawności życia publicznego, który zakłada m.in. wieloletnią gwarancję zatrudnienia dla osób zgłaszających nadużycia oraz odszkodowanie odpowiadające dwuletnim zarobkom w razie naruszenia tej gwarancji. Pomimo tego, że projekt został opublikowany końcem 2017 (od tego czasu uległ kilku modyfikacjom) jak na razie nie ma widoków na jego wejście w życie – zgodnie z informacjami zawartymi na stronie Rządowego Centrum Legislacji ostatnie działania związane z tym projektem miały miejsce w kwietniu 2018 roku. Podobnie rzecz się ma z projektem nowej ustawy o odpowiedzialności podmiotów zbiorowych za czyny zabronione pod groźbą kary (nowej, gdyż ustawa o takim tytule aktualnie funkcjonuje w porządku prawnym, ale w praktyce jej skuteczność jest niewielka). Projekt tej ustawy spłynął co prawda do Sejmu w styczniu 2019 roku, jednak od tego momentu pozostaje „skierowany do konsultacji”. Być może sprawy nabiorą rozpędu w związku z uchwaleniem na poziomie Unii Europejskiej dyrektywy o sygnalistach, która zobowiązuje państwa członkowskie mniej więcej do połowy 2021 r. do przyjęcia nowych regulacji w tym zakresie. Spodziewany jest zatem akt prawny regulujący sytuację sygnalistów w polskim systemie prawnym. Kwestią wtórną pozostaje, czy będzie to dokończenie prac nad istniejącymi projektami, czy też zupełnie nowy akt prawny.

Kto powinien się zainteresować tematem sygnalistów

Dyrektywa odnosi się zarówno do podmiotów prywatnych, jak i publicznych. Jeśli chodzi przedsiębiorców, to dotyczy każdego pracodawcy, który zatrudnia co najmniej 50 pracowników. Szczególne obowiązki ciążą na sektorze finansowym, gdzie ochrona osób zgłaszających nadużycia będzie dotyczyć wszystkich podmiotów niezależnie od liczby zatrudnionych.

Państwa członkowskie muszą zapewnić osobom zgłaszającym przypadki nadużyć dostęp do kompleksowych i niezależnych informacji i porad na temat dostępnych procedur i środków zaradczych bezpłatnie, a także pomocy prawnej w trakcie postępowania. Oznacza to konieczność organizacji systemu wsparcia dla sygnalistów na poziomie krajowym. Dodatkowo, podczas postępowania sądowego osoby zgłaszające mogą również otrzymać wsparcie finansowe i psychologiczne.

Jakie zapisy zawiera Dyrektywa

Przepisy zapewnią znacznie większą ochronę osobom, które zgłaszają nadużycia w swoich miejscach pracy. W pierwszym rzędzie należy zaznaczyć, że Dyrektywa nie zawiera ograniczeń związanych z treścią możliwych zgłoszeń. W przepisach zastosowany został otwarty katalog nieprawidłowości. Zrezygnowano również z obowiązku wewnętrznego zgłaszania co oznacza, że informacja dotycząca nadużycia może trafić bezpośrednio do odpowiednich organów administracji publicznej.

Inne ważne zapisy Dyrektywy dotyczą m.in. ochrony, na takiej samej zasadzie jak sygnalistów osób, które pomagają sygnalistom, wzmocnienia ochrony tożsamości sygnalisty oraz zrównania zgłoszenia anonimowego z jawnym, a także umożliwienia wnoszenia przez sygnalistów roszczeń o rekompensatę za obecnie i w przyszłości utracone dochody z powodu konsekwencji zgłoszenia nieprawidłowości. Przepisy dają również ochronę osobom zgłaszającym, jeżeli przy przekazywaniu informacji doszło do złamania tajemnicy przedsiębiorstwa lub ujawnienia informacji do mediów. Zlikwidowane zostaną także kary za nadużywanie prawa do raportowania (za wyjątkiem sankcji za oczywiste fałszywe zgłoszenia). Ponadto sąd będzie mógł oddalić pozwy przeciwko sygnalistom, które będą dotyczyły pomówień, naruszenia praw autorskich czy tajemnicy zawodowej.

Jak się przygotować na zmiany

Już teraz można się przygotować na nadchodzące zmiany przepisów. Trzeba bowiem pamiętać, iż nawet pomimo formalnego braku konieczności utrzymywania systemu compliance (wyjątek – sektor bankowy i spółki giełdowe), organy ścigania coraz bardziej interesują się właściwym organizowaniem procedur wewnętrznych mających oczywisty wpływ na prawidłowe funkcjonowanie działalności gospodarczej. W przypadku przestępstwa nadużycia zaufania wskazuje się coraz częściej, że przesłanką potencjalnej odpowiedzialności jest brak należytego nadzoru (wina w nadzorze) ze strony członków organu reprezentującego nad podejmowaniem decyzji odnoszących skutek w stosunku do majątku podmiotu gospodarczego. Jednym z elementów mających na celu dowiedzenie należytej staranności w nadzorze jest posiadanie odpowiednich procedur, które winny gwarantować zgodność działań organizacji zarówno z przepisami jak i etyką. Dobrą praktyką jest opracowanie i wdrożenie procedury zgłaszania nadużyć oraz/lub powołanie wewnętrznej komisji, do której pracownicy będą mogli zgłaszać zaobserwowane nadużycia. Skład oraz zasady działania takiej komisji powinny być jasno uregulowane i komunikowane w organizacji, tak aby wzbudzały wśród pracowników poczucie wartości podejmowanych działań. Fundacja Entropia posiada doświadczenie w opracowywaniu i wdrażaniu procedur umożliwiających zgłaszanie nadużyć w przedsiębiorstwie. Nasz zespół chętnie podzieli się wiedzą oraz pomoże opracować odpowiednie regulacje, dzięki którym nie spotkamy się z zarzutem braku należytej staranności w nadzorze. Fundacja proponuje również opracowanie regulaminu komisji etycznej, która pomoże wewnętrznie zgłaszać i rozpatrywać w sposób jak najbardziej obiektywny i niezależny sprawy dotyczące etycznego funkcjonowania przedsiębiorstwa, w tym też sprawy dotyczące spraw pracowniczych. Niewątpliwie posiadanie procedur zapobiegającym nadużyciom oraz gwarantujących podejmowanie działań biznesowych zgodnie z etyką wpływa pozytywnie na wartość każdej firmy i pozwala zdobyć zaufanie większego kręgu potencjalnych kontrahentów.

Artykuł Sygnaliści – nowa dyrektywa o ochronie sygnalistów – analiza pochodzi z serwisu .