Szanowni Państwo,

Dnia 25 maja 2018 r. wchodzi w życie Rozporządzenie Parlamentu Europejskiego i Rady (UE) z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływie tych danych. Podmioty przetwarzające dane osobowe zobowiązane zostały do wdrożenia niezbędnych procedur.

System Casusoft wspierająca zarządzania Kancelarią Prawną oraz Działem Prawnym został zmodyfikowany o wymogi dotyczące funkcjonowania oprogramowania w zakresie wchodzących zmian o ochronie danych osobowych.

Poniżej przedstawiamy listę zmian, które muszą spełniać Systemy Informatyczne przetwarzające dane osobowe.

Wymagania dla bezpieczeństwa danych osobowych zostały zapisane w Sekcji 2 Rodo. Podstawowym wymaganiem jest bezpieczeństwo przetwarzania. Administrator i podmiot przetwarzający wdrażają odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający oszacowanemu ryzyku. Ryzyko powinno być adekwatne do stanu wiedzy technicznej, kosztu wdrażania oraz charakteru, zakresu, kontekstu i celu przetwarzania danych osobowych.

Poniżej przedstawiamy listę zmian, które muszą spełniać Systemy Informatyczne przetwarzające dane osobowe.
Wymogi te związane są głównie z realizacją praw osób, których dane dotyczą oraz obowiązków administratora danych osobowych. Systemy informatyczne, w których przetwarzane są dane osobowe muszą umożliwiać m.in.:
• Ograniczenie okresu przetwarzania danych do zgodnego z celem ich przetwarzania (ograniczenie przechowywania) (Artykuł 5. punkt 1 e)
• Wycofanie zgody, na podstawie której przetwarzane są dane (Artykuł 7. punkt 3)
• Realizację prawa dostępu osobie, której dane dotyczą (Artykuł 15. punkt 3)
• Realizację prawa do sprostowania danych (Artykuł 16.)
• Realizację prawa do bycia zapomnianym (Artykuł 17.)
• Realizację prawa do ograniczenia przetwarzania (Artykuł 18.)
• Realizację prawa do przenoszenia danych (Artykuł 20.)
• Realizację prawa do sprzeciwu (Artykuł 21.)
• Realizację prawa do niepodlegania zautomatyzowanemu podejmowaniu decyzji, w tym profilowaniu (Artykuł 22.)
• Realizację decyzji organu nadzorczego o czasowym lub całkowitym ograniczeniu przetwarzania, w tym zakazu przetwarzania (Artykuł 58. punkt 2 f )

Najistotniejsze znaczenie dla zabezpieczenia danych przetwarzanych w systemach informatycznych ma regulacja zawarta w art. 32 ogólnego rozporządzenia o ochronie danych poświęcona bezpieczeństwu przetwarzania. Artykuł ten stanowi, że administrator i podmiot przetwarzający wdrażają odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych. W tym procesie administrator i podmiot przetwarzający powinni uwzględnić stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia wspomnianych praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia. Jednocześnie przepis wskazuje przykładowe rozwiązania możliwe do zastosowania:
a. pseudonimizację (przetworzenie danych osobowych w taki sposób, aby nie można ich było już przypisać konkretnej osobie, której dane dotyczą, bez użycia dodatkowych informacji, pod warunkiem że takie dodatkowe informacje są przechowywane osobno i są objęte środkami technicznymi i organizacyjnymi uniemożliwiającymi ich przypisanie zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej) i szyfrowanie danych osobowych;
b. zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania;
c. zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego;
d. regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania.

Zespół Casusoft