Jak należy podejść do sfery ochrony danych osobowych w PKZP, żeby spełnić wymogi ustawy i aby dane osobowe były należycie chronione ?

Każdy Administrator Danych Osobowych (ADO) (reprezentowany w PKZP przez Zarząd) powinien przygotować oraz wdrożyć  system (procedury) ochrony danych osobowych w swojej jednostce.

Kolejne czynności związane z wdrożeniem procedur dotyczących ochrony danych osobowych:

1. Zarząd PKZP jako ADO powołuje pełnomocnika ADO do spraw danych osobowych Osoba ta będzie zajmowała się w organizacji wszelkimi sprawami związanymi z ochroną danych osobowych. Jeszcze lepszym rozwiązaniem jest, aby w ramach pomocy prawnej (pomoc prawną Zakładu pracy przewiduje Rozporządzenie o PKZP), wspomnianym pełnomocnikiem stał się IOD (Inspektor Ochrony Danych) Zakładu pracy przy którym funkcjonuje PKZP. IOD Zakładu pracy powinien zostać wspomnianym pełnomocnikiem (podkreślam „pełnomocnikiem”), a nie IOD PKZP. Jeżeli pełniłby funkcję IOD Kasy miałby wtedy dodatkowe obowiązki wobec UODO. 

 Warto wiedzieć!

Administratorem Danych Osobowych (ADO) może zostać członek komisji rewizyjnej, wtedy nie będzie konfliktów kompetencyjnych dotyczących prawa wglądu w jakiekolwiek dokumenty PKZP, ponieważ zgodnie z rozporządzeniem z 19 grudnia 1992 roku o funkcjonowaniu PKZP Komisja Rewizyjna ma prawo wglądu do wszelkich dokumentów dotyczących działalności PKZP począwszy od dokumentacji zarządu, a kończąc na dokumentacji księgowej).

 2. Pełnomocnik ADO powinien w szczególności:

• przeanalizować wszelkie obszary organizacji, gdzie, przez kogo i jakie zbiory danych osobowych są przetwarzane,
• po rozpoznaniu zasugerować ADO, czy może jednak powołać IOD,
• przyjąć model szacowania ryzyka,
• na podstawie powyższego przyjąć odpowiednie procedury ochrony danych osobowych w organizacji;
• przygotować odpowiednią dokumentację (dopilnować formalności) :
• polityka bezpieczeństwa,
• rejestr czynności przetwarzania (na papierze iw formie elektronicznej np. arkusz excel),
• instrukcja zarządzania systemem informatycznym,
• umowy powierzenia przetwarzania danych osobowych (na papierze i w formie elektronicznej)
• wprowadzić powyższe ustalenia w życie poprzez przygotowanie odpowiednich załączników do dokumentacji podstawowej (polityki bezpieczeństwa), poprzez przeszkolenie pracowników i ich upoważnienie do przetwarzania danego zakresu danych osobowych.

 Warto nadmienić, że ustawa o ochronie danych osobowych przewidziała zwolnienie z części obowiązków.

Jedyny obowiązek dokumentacyjny, o którym wspomina RODO , to prowadzenie Rejestru czynności przetwarzania. Dodatkowo z tego obowiązku są zwolnione jednostki zatrudniające poniżej 250 osób, oraz które nie przetwarzają danych  osobowych w dużej skali (RODO art. 30 pkt 5). Można z tego wnioskować, że „małe” Kasy nie muszą nawet  prowadzić Rejestru czynności przetwarzania.

Opinie zawarte w niniejszej publikacji zawierają subiektywny punkt widzenia Autorów.