Szkolenie z ochrony danych według DSGVO (RODO) dla pracowników — według prawa niemieckiego

To szkolenie dotyczy pracy w Niemczech. Jest tłumaczeniem kursu niemieckiego; obowiązują przepisy niemieckie i polecenia w Twoim zakładzie.

15 modułów · około 53 minut · test końcowy z 20 pytaniami, do zaliczenia 14 poprawnych · certyfikat uczestnictwa w PDF

O czym jest ten kurs

Kto w zakładzie rejestruje dane klientów, czyta aplikacje, rozlicza wynagrodzenia albo po prostu pisze e-maile, przetwarza dane osobowe — i stoi tym samym w samym środku Datenschutz-Grundverordnung (DSGVO; po polsku RODO — ogólne rozporządzenie o ochronie danych).

Rejestracja nie jest potrzebna. O imię, nazwisko i adres e-mail zapytamy dopiero przed testem końcowym – wyłącznie na potrzeby certyfikatu. Twój postęp jest zapisywany w tej przeglądarce. Możesz przerwać w dowolnym momencie i kontynuować później.

Moduł 1 z 15

O co chodzi — i czym ten kurs nie jest

Kto w zakładzie bierze do ręki nazwiska, adresy, e-maile, wynagrodzenia lub zwolnienia lekarskie, przetwarza dane osobowe — przy biurku, przy telefonie, w magazynie, na home office. Datenschutz-Grundverordnung (DSGVO; po polsku RODO — ogólne rozporządzenie o ochronie danych) obowiązuje więc nie tylko dział IT, lecz każdą osobę, która pracuje z takimi danymi. Art. 32 ust. 4 DSGVO wymaga, aby pracownicy przetwarzali dane osobowe wyłącznie na polecenie; art. 39 ust. 1 lit. b DSGVO wymienia podnoszenie świadomości i szkolenie pracowników wprost jako zadanie w ochronie danych. Ten kurs jest tym szkoleniem.

Czego się tu nauczysz: gdzie obowiązuje DSGVO, czym są dane osobowe, jakie dane są szczególnie chronione, według jakich zasad wolno przetwarzać, jakie prawa mają osoby, których dane dotyczą, kto pełni jaką rolę, jakie środki ochrony liczą się w Twojej codziennej pracy, jak rozpoznać i zgłosić naruszenie ochrony danych, co grozi za naruszenia — i jak podjąć decyzję w sytuacji awaryjnej.

Co ten kurs zapewnia: część ogólną, prawną szkolenia z ochrony danych, z potwierdzeniem treści, daty i wyniku.

Czego nie zapewnia: zasad Twojego zakładu. Kto jest Twoim inspektorem ochrony danych lub osobą kontaktową, jak wygląda Twoja droga zgłaszania naruszenia, jaka zasada haseł i jakie terminy usuwania obowiązują — to zna tylko Twoja firma. Do tego służy moduł „Procedury w naszym zakładzie”. Kurs nie zastępuje też polityki prywatności, rejestru czynności przetwarzania ani porady prawnej w konkretnej sprawie.

Zapamiętaj

Ochrona danych to nie zadanie „działu IT” ani „inspektora ochrony danych”. Większość naruszeń powstaje na stanowisku pracy: e-mail do niewłaściwego odbiorcy, odblokowany ekran, teczka w stołówce. Dokładnie tam zaczyna ten kurs.

Moduł 2 z 15

Ramy prawne w jednym miejscu — DSGVO i BDSG

Dwa akty prawne zazębiają się ze sobą. Kto raz zobaczył je w powiązaniu, szybciej zrozumie resztę kursu.

Gdzie obowiązuje DSGVO — przedmiotowo (art. 2)

DSGVO obowiązuje przy każdym przetwarzaniu całkowicie lub częściowo zautomatyzowanym — czyli wszędzie tam, gdzie w grę wchodzi komputer, smartfon lub serwer. Obowiązuje jednak także bez komputera, gdy tylko dane osobowe są zapisane lub mają być zapisane w zbiorze danych: w segregatorze, kartotece, uporządkowanym archiwum. Nie są objęte luźne, nieuporządkowane notatki bez systemu — oraz czynności czysto prywatne, rodzinne (art. 2 ust. 2 lit. c), na przykład własna książka adresowa w domu.

Gdzie obowiązuje DSGVO — terytorialnie (art. 3)

• Administrator lub podmiot przetwarzający ma jednostkę organizacyjną w UE — wtedy DSGVO obowiązuje niezależnie od tego, gdzie dane są faktycznie przetwarzane.
• Administrator ma siedzibę poza UE, ale oferuje osobom w UE towary lub usługi albo obserwuje ich zachowanie — wtedy obowiązuje również (zasada miejsca rynku).

Przykłady: Niemiecka firma zapisuje dane klientów — DSGVO obowiązuje. Firma z USA sprzedaje w Niemczech i zapisuje w tym celu dane użytkowników — DSGVO obowiązuje. Firma z USA przetwarza wyłącznie dane osób w USA bez związku z UE — DSGVO nie obowiązuje.

Zapamiętaj

Decydujące jest nie obywatelstwo („obywatel UE”), lecz to, czy osoba przebywa w Unii albo czy administrator ma tu jednostkę organizacyjną. I: papier nie jest wolny od ochrony danych — akta osobowe w szafie podlegają DSGVO tak samo jak plik na serwerze.

Moduł 3 z 15

Dane osobowe i przetwarzanie

W ochronie danych chodzi o dane osobowe. Są to według art. 4 pkt 1 DSGVO (Datenschutz-Grundverordnung, po polsku RODO) wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Decydujące jest nie to, czy dana informacja jest „tajna” lub „prywatna”, lecz to, czy można na jej podstawie rozpoznać człowieka — bezpośrednio lub pośrednio.

Przykłady: imię i nazwisko, data urodzenia, wiek, adres, adres e-mail, numer telefonu, numer konta bankowego, numer pracownika, numer ubezpieczenia społecznego, numer dowodu, numer rejestracyjny pojazdu, adres IP, dane lokalizacyjne, zdjęcia, głos, odcisk palca, historia zamówień, kolor włosów i oczu. Także służbowy adres imie.nazwisko@firma.de jest daną osobową — osoba jest jednoznacznie rozpoznawalna.

Identyfikacja pośrednia: „Blondynka z działu kadr” — jeśli pracuje tam tylko jedna blondynka, jest to dana osobowa, nawet bez nazwiska. To samo dotyczy pseudonimów (numer pracownika, numer klienta), dopóki gdzieś istnieje klucz, który prowadzi z powrotem do osoby (art. 4 pkt 5). Tylko naprawdę anonimowe dane, przy których nikt nie jest już w stanie ustalić osoby, wypadają poza DSGVO. Dane osób prawnych (firma Müller GmbH jako taka) nie są chronione — ale dane jej osób kontaktowych już tak.

Co znaczy „przetwarzanie” (art. 4 pkt 2)

Praktycznie każde działanie na danych osobowych jest przetwarzaniem: zbieranie, utrwalanie, porządkowanie, przechowywanie, adaptowanie, odczytywanie, pobieranie, wykorzystywanie, przesyłanie, dopasowywanie, ograniczanie, usuwanie, niszczenie.

Zapamiętaj

Już samo przeglądanie jest przetwarzaniem. Kto otwiera teczkę, która go nie dotyczy, przetwarza dane bez polecenia — a to już jest naruszenie, nawet jeśli nic się „nie stało”.

Moduł 4 z 15

Szczególne kategorie danych osobowych

Niektóre dane mogą szczególnie zaszkodzić człowiekowi, jeśli trafią w niepowołane ręce: mogą prowadzić do dyskryminacji, wykluczenia lub prześladowania. Art. 9 ust. 1 DSGVO (Datenschutz-Grundverordnung, po polsku RODO) obejmuje je dlatego zasadniczym zakazem przetwarzania — przetwarzanie jest dozwolone tylko w wąsko ujętych wyjątkach art. 9 ust. 2, na przykład przy wyraźnej zgodzie albo gdy wymaga tego prawo pracy i prawo socjalne (§ 26 ust. 3 BDSG — niemieckiej federalnej ustawy o ochronie danych, np. zwolnienie lekarskie do wypłaty wynagrodzenia za czas choroby).

Szczególne kategorie według art. 9 ust. 1:

• pochodzenie rasowe lub etniczne
• poglądy polityczne (np. przynależność partyjna)
• przekonania religijne lub światopoglądowe
• przynależność do związków zawodowych
• dane genetyczne
• dane biometryczne w celu jednoznacznego zidentyfikowania (skan odcisku palca, rozpoznawanie twarzy)
• dane dotyczące zdrowia (diagnozy, dni choroby, znaczna niepełnosprawność, ciąża)
• dane dotyczące życia seksualnego lub orientacji seksualnej

Numer ubezpieczenia społecznego nie jest więc daną z art. 9 — jest jednak wrażliwym identyfikatorem, który mimo to trzeba starannie chronić. I odwrotnie: zwykłe zdjęcie paszportowe nie jest automatycznie biometryczne; biometryczne w rozumieniu art. 9 staje się dopiero wtedy, gdy metodami technicznymi uzyskuje się z niego cechę służącą do jednoznacznej identyfikacji.

W Twojej codziennej pracy

Dni choroby, zaświadczenia lekarskie, legitymacja osoby ze znaczną niepełnosprawnością, wyznanie (znacznik podatku kościelnego na pasku wynagrodzenia): te dane należą wyłącznie do osób, które potrzebują ich do swoich zadań — nie na czat zespołu, nie do otwartego archiwum, nie do rozmowy na korytarzu.

Moduł 5 z 15

Zasady przetwarzania

Art. 5 DSGVO (Datenschutz-Grundverordnung, po polsku RODO) to kompas. Każde przetwarzanie w zakładzie musi dać się zmierzyć tymi siedmioma zasadami — a organy nadzorcze sprawdzają dokładnie według tej listy.

Co to oznacza dla Ciebie

Nie decydujesz o podstawach prawnych i terminach usuwania — ale realizujesz te zasady każdego dnia. Kto „na szybko” wykorzystuje dane w innym celu, kto pyta o więcej, niż trzeba, albo kto z wygody zachowuje stare rekordy, narusza art. 5, nawet bez złych zamiarów.

Zapamiętaj

Cel, ilość, czas. Po co potrzebuję tej danej? Czy naprawdę potrzebuję wszystkiego? Jak długo wolno mi ją zachować? Kto zadaje te trzy pytania, zrozumiał art. 5.

Moduł 6 z 15

Podstawy prawne — kiedy wolno przetwarzać

W ochronie danych obowiązuje zakaz z zastrzeżeniem zezwolenia: dane osobowe wolno przetwarzać tylko wtedy, gdy ma zastosowanie jedna z podstaw prawnych wymienionych w art. 6 ust. 1 DSGVO (Datenschutz-Grundverordnung, po polsku RODO). Jest ich sześć — litery od a do f.

Zgoda — najsłabsza podstawa

Zgoda musi być dobrowolna, świadoma, jednoznaczna i wyrażona dla konkretnego celu (art. 7). Można ją wycofać w dowolnym momencie — a wycofanie musi być równie łatwe jak jej wyrażenie. Dlatego w zakładzie jest często złym wyborem: to, co jest konieczne do wykonania umowy, nie wymaga zgody; a kto opiera się na zgodzie, musi umieć żyć z jej wycofaniem.

Dane pracowników — § 26 BDSG

Do danych pracowników obok art. 6 ust. 1 lit. b stosuje się krajową regulację § 26 BDSG (Bundesdatenschutzgesetz, niemieckiej federalnej ustawy o ochronie danych): przetwarzanie jest dopuszczalne, jeśli jest konieczne do nawiązania, wykonywania lub zakończenia stosunku pracy — rozliczanie wynagrodzeń, rejestracja czasu pracy, planowanie urlopów, dokumenty potwierdzające kwalifikacje. Zgoda pracowników jest dobrowolna tylko wtedy, gdy nie grozi im żadna niekorzyść (§ 26 ust. 2); dlatego jest wyjątkiem, a nie regułą.

W Twojej codziennej pracy

Nie musisz sam ustalać podstawy prawnej — robi to administrator i zapisuje ją w rejestrze czynności przetwarzania. Ale musisz wiedzieć: bez podstawy nie ma przetwarzania. Kto chce wykorzystać dane klientów w nowym celu, pyta wcześniej — nie później.

Moduł 7 z 15

Prawa osób, których dane dotyczą

DSGVO (Datenschutz-Grundverordnung, po polsku RODO) daje każdej osobie, której dane są przetwarzane, egzekwowalne prawa. Klient, kandydat do pracy, kolega może z nich skorzystać — e-mailem, listem, telefonicznie, także bez żadnej formy. A wniosek nie trafia do inspektora ochrony danych, lecz do tego, kto akurat odbiera telefon.

Termin: jeden miesiąc

Art. 12 ust. 3 DSGVO: wnioski należy rozpatrzyć bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania. Przy wnioskach skomplikowanych lub licznych termin można przedłużyć o kolejne dwa miesiące — wtedy osobę trzeba o tym poinformować w ciągu pierwszego miesiąca. Udzielenie dostępu jest nieodpłatne (art. 12 ust. 5). Kto przekroczy termin, ryzykuje skargę do organu nadzorczego (art. 77) i administracyjną karę pieniężną.

Co robisz, gdy wniosek trafia do Ciebie

1. Nie odpowiadaj samodzielnie — i nie przekazuj danych przez telefon, zanim tożsamość nie zostanie ustalona.
2. Zanotuj datę wpływu. Miesięczny termin biegnie od otrzymania, nie od przekazania dalej.
3. Natychmiast przekaż właściwej osobie (inspektor ochrony danych, kierownictwo, wyznaczona osoba kontaktowa — moduł „Procedury w naszym zakładzie”).

Zapamiętaj

Wniosek osoby, której dane dotyczą, to nie skarga ani atak. To prawo. Błąd prawie nigdy nie leży w odpowiedzi — lecz w tym, że wniosek przez trzy tygodnie leży w skrzynce.

Moduł 8 z 15

Role — administrator, podmiot przetwarzający, inspektor ochrony danych

Cztery pojęcia porządkują, kto w ochronie danych za co odpowiada.

Przykład: Firma Müller zleca biuru rachunkowemu rozliczanie wynagrodzeń. Administratorem jest firma Müller, podmiotem przetwarzającym biuro rachunkowe, osobami, których dane dotyczą — pracownicy. Według art. 28 ust. 3 DSGVO (Datenschutz-Grundverordnung, po polsku RODO) potrzebna jest do tego pisemna umowa powierzenia przetwarzania — bez niej przekazanie danych jest niedopuszczalne. Administrator pozostaje odpowiedzialny za wszystko, co robi usługodawca (art. 24).

Inspektor ochrony danych (Datenschutzbeauftragter, DSB)

Według § 38 ust. 1 BDSG (Bundesdatenschutzgesetz, niemieckiej federalnej ustawy o ochronie danych) firma musi wyznaczyć DSB, jeśli z reguły co najmniej 20 osób jest stale zatrudnionych przy zautomatyzowanym przetwarzaniu danych osobowych — niezależnie od tej liczby, gdy odbywa się przetwarzanie szczególnie ryzykowne (art. 37 DSGVO, § 38 BDSG). DSB informuje i doradza, monitoruje przestrzeganie przepisów, jest punktem kontaktowym dla pracowników, osób, których dane dotyczą, i organu nadzorczego (art. 39). W swoim zadaniu jest niezależny od poleceń i nie może być z powodu jego wykonywania stawiany w niekorzystnej sytuacji (art. 38 ust. 3). Nie podejmuje decyzji — i nie odpowiada zamiast kierownictwa.

Zadania w zakładzie

• Kierownictwo: ustala zasady, zapewnia środki, ponosi odpowiedzialność organizacyjną (art. 24).
• Przełożeni: wdrażają zasady w zespole, kontrolują, szkolą, wspierają DSB.
• Pracownicy: przetwarzają wyłącznie na polecenie (art. 29, art. 32 ust. 4), przestrzegają zasad wewnętrznych i ustawowych, zgłaszają naruszenia ochrony danych i uchybienia natychmiast przełożonemu lub DSB.

Zapamiętaj

Odpowiedzialna jest firma, nie DSB. DSB doradza i kontroluje — to Twoja osoba kontaktowa, gdy masz wątpliwości, a nie osoba, na którą w razie czego się wskazuje.

Moduł 9 z 15

Środki techniczne i organizacyjne (TOM)

TOM to skrót od technische und organisatorische Maßnahmen — środki techniczne i organizacyjne. Art. 32 DSGVO (Datenschutz-Grundverordnung, po polsku RODO) zobowiązuje administratorów i podmioty przetwarzające do zapewnienia stopnia bezpieczeństwa odpowiadającego ryzyku — i wymienia wprost pseudonimizację i szyfrowanie, zapewnienie poufności, integralności, dostępności i odporności systemów, zdolność do przywrócenia danych po incydencie (backup) oraz regularne sprawdzanie skuteczności.

Co leży w Twoich rękach

Większość TOM działa tylko wtedy, gdy je stosujesz:

• Blokuj ekran, gdy tylko odchodzisz od stanowiska — także „tylko na chwilę”, także gdy w pomieszczeniu są tylko koledzy. Nie każdy kolega może widzieć wszystko.
• Hasła: długie, unikalne dla każdej usługi, nigdy nie przekazywane, nie na karteczce przy monitorze, nie na czacie zespołu. Menedżer haseł jest dozwolony i pożądany, jeśli zakład go dopuścił.
• Clean Desk: dokumenty kadrowe, listy klientów, wydruki wieczorem zamykać na klucz; nie używać drukarki jako półki.
• Nośników danych i papieru z danymi osobowymi nie wyrzucać do zwykłego kosza — niszczarka albo pojemnik na dokumenty poufne.
• Uprawnień dostępu używać tak, jak zostały nadane: to, co mógłbyś zobaczyć, nie oznacza automatycznie, że wolno Ci to oglądać (art. 32 ust. 4).
• Żadnych prywatnych urządzeń, usług chmurowych ani komunikatorów do danych firmowych, chyba że zakład je wyraźnie dopuścił.

Zapamiętaj

Najdroższy firewall nie pomoże, jeśli akta osobowe leżą otwarte w sali konferencyjnej. Na każdym stanowisku pracy zadaj sobie pytanie: Gdzie są spisane nasze TOM, które dotyczą mnie — i czy dziś ich przestrzegam?

Moduł 10 z 15

Naruszenia ochrony danych — rozpoznać, zgłosić, udokumentować

Naruszenie ochrony danych — DSGVO (Datenschutz-Grundverordnung, po polsku RODO) mówi o „naruszeniu ochrony danych osobowych” (art. 4 pkt 12) — ma miejsce, gdy dane osobowe zostały bez upoważnienia ujawnione, zmienione, zniszczone lub utracone albo gdy osoby nieuprawnione miały do nich dostęp. Zamiar nie ma znaczenia. Większość naruszeń to przeoczenia.

Typowe przypadki:

• Mailing do wszystkich klientów, adresy stoją w polu „Do” zamiast „UDW”
• E-mail z listą wynagrodzeń lub ofertą trafia do niewłaściwego odbiorcy
• Akta osobowe zostają w stołówce i są czytane
• Laptop lub smartfon z danymi klientów zostaje skradziony, ginie pendrive
• Ransomware szyfruje serwer — także utrata dostępności jest naruszeniem
• W sklepie internetowym odwiedzający widzi dane poprzednio zalogowanego klienta
• Dział IT przez pomyłkę usuwa wszystkich klientów z CRM bez backupu

Terminy

72 godziny biegną od stwierdzenia naruszenia w firmie — nie od momentu, w którym dowiaduje się o nim DSB. Kto przez trzy dni zachowuje naruszenie dla siebie, już zużył termin firmy. O tym, czy trzeba zgłosić, decyduje nie osoba, której przytrafiła się pomyłka, lecz administrator po ocenie ryzyka.

Co robisz — w tej kolejności

1. Zgłoś natychmiast — inspektorowi ochrony danych lub przełożonemu, tego samego dnia, także gdy nie masz pewności, czy to „naprawdę” naruszenie.
2. Ogranicz szkodę, na ile to możliwe: poproś niewłaściwego odbiorcę o usunięcie, zleć zablokowanie urządzenia, zmień dostępy.
3. Zapisz, co się stało: co, kiedy, jakie dane, ile osób, kto został poinformowany.
4. Nie tuszuj, nie „naprawiaj” samodzielnie, nie dzwoń na własną rękę do osób, których dane dotyczą — to koordynuje administrator.

Zapamiętaj

Zgłoszone naruszenie to sprawa do załatwienia. Przemilczane naruszenie to drugie naruszenie — i to będzie droższe niż pierwsze (art. 83 ust. 4).

Moduł 11 z 15

Ochrona danych w codziennej pracy — e-mail, phishing, home office, urządzenia mobilne

Przepisy stoją w art. 5 i art. 32 DSGVO (Datenschutz-Grundverordnung, po polsku RODO) — naruszenia zdarzają się w Twojej skrzynce, na Twoim telefonie i przy kuchennym stole na home office. Sześć sytuacji, które dotyczą prawie każdego.

E-mail

• Sprawdź odbiorcę, zanim wyślesz — autouzupełnianie chętnie podpowiada niewłaściwego „Müllera”. Wysyłka danych osobowych do niewłaściwego odbiorcy to naruszenie ochrony danych (art. 4 pkt 12).
• Lista odbiorców w „UDW”, nigdy w „Do” ani „DW”, jeśli odbiorcy nie muszą się nawzajem znać.
• Załączniki z danymi wrażliwymi szyfruj albo wysyłaj przez dopuszczony kanał wymiany; hasło osobną drogą.
• Żadnego przekazywania służbowych e-maili na prywatne skrzynki.

Phishing i inżynieria społeczna

Napastnicy nie potrzebują techniki, jeśli człowiek otworzy im drzwi. Typowo: e-mail „od kierownictwa” pilnie żąda listy wynagrodzeń lub przelewu; „dział IT” prosi o Twoje hasło; link prowadzi do strony logowania, która wygląda jak prawdziwa. Znaki rozpoznawcze: presja czasu, poufność, nietypowy kanał, odbiegający adres nadawcy, błędy ortograficzne, cel linku nie pasuje do tekstu. Prawidłowo jest zawsze: nie klikać, niczego nie wysyłać, dopytać przez znany kanał (numer telefonu z książki firmowej, nie z e-maila) i zgłosić wiadomość działowi IT lub DSB. Nikt poważny nigdy nie pyta o Twoje hasło.

Home office i praca mobilna

• Tylko urządzenia firmowe lub urządzenia wyraźnie dopuszczone; używać VPN.
• Ustawić ekran tak, żeby domownicy i goście nie mogli czytać; blokada ekranu także w domu.
• Unikać wydruków; jeśli to konieczne, przechowywać pod zamknięciem i niszczyć w zakładzie, nie w domowych śmieciach.
• Poufnych rozmów telefonicznych nie prowadzić w pociągu, kawiarni ani na open space.

Urządzenia mobilne i nośniki danych

Laptop, smartfon, pendrive: zaszyfrowane, z kodem blokady, nigdy bez nadzoru w samochodzie lub pociągu. Utratę zgłaszać natychmiast — zaszyfrowane urządzenie to naruszenie do udokumentowania, niezaszyfrowane — naruszenie podlegające zgłoszeniu.

Telefon i goście

Przez telefon żadnych informacji o klientach ani kolegach dla nieznajomych — także nie „tylko numer wewnętrzny” ani „czy dziś jest chory”. Goście są oprowadzani w towarzystwie; ekrany, tablice i wydruki w sali konferencyjnej trzeba wcześniej uprzątnąć.

Zapamiętaj

Trzy sekundy przed kliknięciem „Wyślij” to najtańszy środek ochrony danych, jaki istnieje. Odbiorca, załącznik, UDW.

Moduł 12 z 15

Odpowiedzialność i kary pieniężne

Naruszenia ochrony danych mają konsekwencje — dla firmy i dla osoby, która je spowodowała.

Administracyjne kary pieniężne (art. 83)

Organy nadzorcze mogą nakładać kary pieniężne w dwóch stopniach:

Zastosowanie ma każdorazowo kwota wyższa. Wysokość zależy od charakteru, wagi i czasu trwania naruszenia, umyślności lub niedbalstwa, współpracy z organem oraz od tego, czy naruszenie zostało zgłoszone samodzielnie (art. 83 ust. 2). Ponadto organ może zakazać przetwarzania (art. 58 ust. 2).

Odszkodowanie (art. 82)

Każda osoba, która poniosła szkodę w wyniku naruszenia, ma prawo do odszkodowania — majątkowego i niemajątkowego. Szkoda niemajątkowa znaczy: także utrata kontroli nad własnymi danymi, obawa przed nadużyciem lub skompromitowaniem mogą podlegać naprawieniu. Roszczenie kieruje się przeciw administratorowi, w pewnych okolicznościach także przeciw podmiotowi przetwarzającemu.

Kto odpowiada w firmie?

• Firma jako administrator ponosi karę pieniężną i odszkodowanie. Kierownictwo odpowiada za organizację: zasady, środki, kontrolę, szkolenie (art. 24).
• Inspektor ochrony danych doradza i monitoruje — nie odpowiada zamiast kierownictwa (art. 38, 39).
• Pracownicy odpowiadają w swoim bezpośrednim zakresie odpowiedzialności: naruszenia poleceń mogą pociągnąć za sobą upomnienie i wypowiedzenie; przy rażącym niedbalstwie lub umyślności w grę wchodzi udział w pokryciu szkody. Kto bez upoważnienia przetwarza dane osobowe, by się wzbogacić lub komuś zaszkodzić, popełnia przestępstwo według § 42 ust. 2 BDSG (Bundesdatenschutzgesetz, niemieckiej federalnej ustawy o ochronie danych) — do dwóch lat pozbawienia wolności; kto zarobkowo przekazuje bez upoważnienia dane wielu osób — do trzech lat (§ 42 ust. 1 BDSG).

Zapamiętaj

Milionowe kwoty płaci firma. Miejsce pracy traci osoba, która zabrała akta osobowe do domu albo podała hasło „koledze z IT”. Obu rzeczy da się uniknąć — dzięki temu, co jest w tym kursie.

Moduł 13 z 15

Przypadek praktyczny: lista wynagrodzeń trafia do niewłaściwego odbiorcy

Sytuacja: Piątek, godzina 16:40. Pani K. z działu kadr wysyła miesięczną listę wynagrodzeń jako załącznik Excel do biura rachunkowego. Autouzupełnianie wstawiło zamiast lohn@steuerberater-mueller.de adres info@mueller-elektrotechnik.de — klienta. Lista zawiera nazwiska, wynagrodzenia brutto, klasy podatkowe, wyznanie (podatek kościelny) i przy dwóch osobach adnotację „dopłata do zasiłku chorobowego”. Pani K. zauważa błąd o 16:55.

Ścieżka decyzyjna

1. Czy to naruszenie ochrony danych? Tak. Dane osobowe zostały ujawnione nieuprawnionemu podmiotowi (art. 4 pkt 12 DSGVO — Datenschutz-Grundverordnung, po polsku RODO). To, że była to pomyłka i że odbiorca jest poważnym klientem, niczego nie zmienia. To, że lista zawiera dane z art. 9 (religia, zdrowie), zwiększa ryzyko.

2. Co pani K. robi natychmiast — a czego nie?

3. Kto decyduje o zgłoszeniu organowi nadzorczemu? Administrator — w praktyce kierownictwo razem z DSB. Termin 72 godzin (art. 33) biegnie od piątku 16:55, czyli do poniedziałku 16:55. Weekend się liczy. Tutaj zgłoszenie jest bardzo prawdopodobnie konieczne: dane o wynagrodzeniu, religii i zdrowiu oznaczają ryzyko dla osób, których dane dotyczą; potwierdzenie usunięcia przez odbiorcę może obniżyć ryzyko, ale nie znosi obowiązku oceny.

4. Czy trzeba poinformować pracowników? Według art. 34 przy prawdopodobnym wysokim ryzyku — tutaj dobrze uzasadnione, bo dotknięte są dane o wynagrodzeniu i zdrowiu, a odbiorca częściowo zna kolegów osobiście. Decyzję podejmuje administrator, informacja przekazywana jest w sposób skoordynowany, nie przez panią K. na korytarzu.

5. Dokumentacja. Zdarzenie zostaje zapisane według art. 33 ust. 5 w rejestrze naruszeń — także wtedy, gdyby ostatecznie zgłoszenie nie było konieczne. I zostaje przeanalizowane: sprawdzić autouzupełnianie dla adresów zewnętrznych, wprowadzić obowiązkowe szyfrowanie listy wynagrodzeń.

Co przesądziło o tym przypadku

Nie błąd — ten zdarza się każdemu. Przesądziła reakcja o 16:55: zgłosić zamiast czekać do poniedziałku. Gdyby pani K. przeczekała weekend, 64 z 72 godzin byłyby zużyte, zanim administrator w ogóle dowiedziałby się, że musi podjąć decyzję.

Moduł 14 z 15

Procedury w naszym zakładzie

Ten moduł wypełnia Twój zakład. Część ogólna tego szkolenia kończy się tutaj — to, co następuje teraz, zna tylko Twoja firma.

Te informacje należą tutaj:

Dla kierownictwa

Droga zgłaszania naruszeń ochrony danych to najważniejszy punkt tej listy — i ten, który najczęściej pozostaje niejasny. Termin 72 godzin z art. 33 DSGVO biegnie od stwierdzenia naruszenia w firmie. Kto nie wie, do kogo zadzwonić w piątek wieczorem, zużywa weekend — nie z niedbalstwa, lecz dlatego, że nikt mu tego nie powiedział.

Moduł 15 z 15

Dokumentowanie szkolenia

Na koniec to, co czyni z tego szkolenia dowód.

Po co w ogóle dowód: Art. 5 ust. 2 DSGVO (Datenschutz-Grundverordnung, po polsku RODO) zobowiązuje administratora do tego, by był w stanie wykazać przestrzeganie zasad; art. 24 wymaga wykazania odpowiednich środków. Szkolenie pracowników jest takim środkiem — organizacyjnym, częścią TOM — a art. 39 wymienia podnoszenie świadomości i szkolenie wprost. Organ nadzorczy, który sprawdza po naruszeniu ochrony danych, pyta najpierw: Czy pracownicy byli przeszkoleni? Proszę mi to pokazać.

Powtarzanie: DSGVO nie podaje stałego terminu. Organy nadzorcze i jednostki certyfikujące oczekują regularnego szkolenia — w praktyce co roku, a ponadto przed pierwszym przetwarzaniem przy zatrudnieniu, przy zmianie stanowiska, po naruszeniu ochrony danych w zakładzie i przy zmianie przepisów.

Krąg uczestników: wszyscy, którzy mają do czynienia z danymi osobowymi — czyli praktycznie wszyscy pracownicy, łącznie z przełożonymi, uczniami zawodu, pracownikami dorywczymi i pracownikami tymczasowymi; w przypadku zewnętrznych usługodawców reguluje to umowa według art. 28.

Dokumentacja: Twój certyfikat uczestnictwa zawiera nazwisko, kurs, datę, wynik, pełną listę tematów oraz numer certyfikatu, który można sprawdzić na stronie weryfikacji Akademii. Zachowaj go i przekaż kopię do miejsca, które w zakładzie prowadzi dokumentację ochrony danych — z reguły DSB lub dział kadr.

Co trzeba dodatkowo udokumentować: zobowiązanie do zachowania poufności (zwyczajowo przy zatrudnieniu) oraz część dla konkretnego zakładu z modułu „Procedury w naszym zakładzie”. Dopiero oba razem — część ogólna z certyfikatem, część zakładowa z podpisem — dają dowód szkolenia, jaki chce zobaczyć organ lub audytor.

Zapamiętaj

Dowód, którego nikt nie może znaleźć, nie jest dowodem. Odłożyć certyfikat, zanotować datę, powtórzyć w przyszłym roku — a nowe koleżanki i nowych kolegów szkolić przed pierwszym dniem pracy z danymi klientów, nie po.

Test końcowy

20 pytań, w każdym jedna poprawna odpowiedź. Do zaliczenia potrzeba 14 poprawnych odpowiedzi (70 %). Ocena odbywa się na serwerze — na tej stronie nie ma klucza odpowiedzi.

Twój wynik