Prowadzenie sklepu internetowego wiąże się najczęściej z procesem przetwarzania danych osobowych jego klientów. Aby zapewnić właściwą ochronę tych danych, sprzedawca zobowiązany jest do przygotowania obszernej dokumentacji w tym zakresie, obejmującej m. in politykę bezpieczeństwa oraz instrukcję zarządzania systemem informatycznym, a także do wdrożenia procedur mających na celu ochronę przetwarzanych danych osobowych.
Obowiązek przygotowania dokumentacji
Zgodnie z art. 36 ust. 2 ustawy o ochronie danych osobowych (dalej: u.o.d.o.) administrator danych prowadzi dokumentację opisującą sposób przetwarzania danych oraz środki zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną. Sposób prowadzenia i zakres dokumentacji określa rozporządzenie w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (dalej: rozporządzenie). Zgodnie z §3 ust. 1 rozporządzenia na dokumentację, o której mowa powyżej składa się polityka bezpieczeństwa i instrukcja zarządzania system informatycznym. Opracowanie polityki bezpieczeństwa oraz instrukcji zarządzania systemem informatycznym należy zatem do obowiązków administratora danych, którym przeważnie jest właściciel sklepu internetowego (za administratora danych nie można uznać – przykładowo - członka zarządu spółki z o.o. czy wspólnika spółki jawnej; administratorem danych będzie natomiast spółka prawa handlowego).
Wyszukiwarki internetowe jako administrator danych osobowych – orzeczenie TSUE
Nie ma obowiązku zamieszczania polityki bezpieczeństwa oraz instrukcji zarządzania systemem informatycznym na stronie internetowej sklepu internetowego. Wskazana dokumentacja powinna zostać zatwierdzona przez administratora danych oraz przyjęta do stosowania.
Polityka bezpieczeństwa
Polityka bezpieczeństwa w sposób ogólny prezentuje przyjęte w firmie zasady postępowania, dotyczące ochrony danych osobowych. Zgodnie z §4 rozporządzenia polityka bezpieczeństwa zawiera w szczególności:
1) wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe;
2) wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych;
3) opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi;
4) sposób przepływu danych pomiędzy poszczególnymi systemami;
5) określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych.
Polecamy: Monitor Księgowego – prenumerata
Instrukcja zarządzania systemem informatycznym
Instrukcja zarządzania systemem informatycznym to dokument w sposób szczegółowy opisujący procedury przyznawania uprawnień, tworzenie kopii zapasowych, sposoby uwierzytelniania dostępu oraz konserwację systemu. Zgodnie z §5 rozporządzenia instrukcja zarządzania systemem informatycznym obejmuje w szczególności:
1) procedury nadawania uprawnień do przetwarzania danych i rejestrowania tych uprawnień w systemie informatycznym oraz wskazanie osoby odpowiedzialnej za te czynności;
2) stosowane metody i środki uwierzytelnienia oraz procedury związane z ich zarządzaniem i użytkowaniem;
3) procedury rozpoczęcia, zawieszenia i zakończenia pracy przeznaczone dla użytkowników systemu;
4) procedury tworzenia kopii zapasowych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania;
5) sposób, miejsce i okres przechowywania:
a) elektronicznych nośników informacji zawierających dane osobowe,
b) kopii zapasowych,
6) sposób zabezpieczenia systemu informatycznego przed działalnością szkodliwego oprogramowania;
7) sposób odnotowania udostępniania danych osobowych;
8) procedury wykonywania przeglądów i konserwacji systemów oraz nośników informacji służących do przetwarzania danych.
Zakres środków ochrony danych osobowych określonych w rozporządzeniu różni się w zależności od stosowanego przez przedsiębiorcę poziomu bezpieczeństwa. Poziom wysoki stosuje się, gdy przynajmniej jedno urządzenie systemu informatycznego, służącego do przetwarzania danych osobowych, połączone jest z siecią publiczną. Oznacza to, że właściciele sklepów internetowych będą zasadniczo zobowiązani do wdrożenia maksymalnych środków bezpieczeństwa przewidzianych w rozporządzeniu.
Hosting a obowiązek przygotowania dokumentacji
Z przygotowania dokumentacji związanej z ochroną przetwarzanych danych osobowych nie zwalnia administratora danych umowa zawarta z firmą udostępniającą zasoby serwerowni. Zgodnie z § 3 ust. 2 dokumentację wdraża administrator danych. Nie wydaje się możliwe zastąpienie własnej dokumentacji dokumentacją przygotowaną przez firmę hostingową. Firma hostingowa nie staje się administratorem danych nawet w przypadku gdy powierzono jej przetwarzanie danych osobowych w drodze umowy, o której mowa w art. 31 ust. 1 u.o.d.o.
W celu prawidłowej realizacji obowiązków ustawowych administrator powinien wybrać dostawcę usług internetowych, który oferuje środki zabezpieczenia wskazane w ustawie o ochronie danych osobowych oraz rozporządzeniu. Umowa pomiędzy administratorem danych a firmą hostingową powinna określać stosowane przez firmę hostingową zabezpieczenia przetwarzania danych, które to dane mogą posłużyć przy przygotowywaniu wymaganej przez przepisy dokumentacji oraz przy zgłaszaniu zbioru do Generalnego Inspektora Ochrony Danych Osobowych.
Jak rozliczać sprzedaż za pomocą kuponów internetowych
Administrator bezpieczeństwa informacji
W ustawie o ochronie danych osobowych, w brzmieniu od 1 stycznia 2015 r., przewidziane zostały dwa sposoby sprawowania nadzoru nad przestrzeganiem zasad ochrony danych osobowych: poprzez wyznaczenie administratora bezpieczeństwa informacji oraz poprzez samodzielne wykonywanie przez administratora danych czynności nadzorczych.
Powołanie administratora bezpieczeństwa informacji będzie wiązać się z przejęciem przez niego części obowiązków dotyczących aktualizowania omawianej dokumentacji oraz nadzorowania przestrzegania zasad w niej określonych. Obecność administratora bezpieczeństwa informacji wpłynie w szczególności na charakter środków organizacyjnych stosowanych w celu ochrony danych osobowych - do obowiązków administratora bezpieczeństwa informacji może należeć kontrola zabezpieczeń, nadawanie upoważnień oraz podejmowanie działań w przypadku naruszeń ochrony danych osobowych.
Autor: Krzysztof Smach, Kancelaria GACH, HULIST, MIZIŃSKA, WAWER – adwokaci i radcowie prawni sp.p.
Podyskutuj o tym na naszym FORUM