Mentionsy

Witamy bardzo serdecznie w kolejnym odcinku naszego podcastu RODOłamacz.

Przez chwilę się zawąchałem o firmy doradczej i podmiotu monitorującego.

Portalu GDPR.

Zapraszamy do śledzenia i odszukiwania nas, oglądania, odsłuchiwania na YouTube, na Apple Podcast i Spotify.

Powiem szczerze, że mieliśmy pewien plan, ale on został kompletnie zburzony.

Powiedziałbym, że zdewastowany pewnym listem, który otrzymaliśmy i on spowodował, że przełożyliśmy.

Nasze wszystkie plany, rzuciliśmy wszystko, odstawiliśmy na bok.

Odcinek miał być świąteczny, ale będzie dotyczył w zasadzie trochę czegoś innego, niż planowaliśmy.

Powiedziałbym nawet, że bardziej bezpośredni niż pośredni, ale to trochę inaczej planowaliśmy.

Natomiast niestety czasami jest tak, że dostajemy takie listy, interwencje powiedziałbym, taki list interwencyjny, który wpłynął do portalu GDPR i nie mogliśmy nie zareagować.

Pokaż do kamery, że rzeczywiście to dostaliśmy.

No i proszę Państwa, zrobimy w ten sposób, bo ten list jest rzeczywiście taki bardzo długi, naładowany emocjami.

Nie powiem, że jest bulwersujący, bo nie, natomiast rzeczywiście bardzo mocny emocjonalnie, który napisała do nas matka.

Zaniepokojona poniekąd tym, co się dzieje na świecie, jeśli chodzi o przetwarzanie danych w kontekście świąt, a w zasadzie świętego Mikołaja, więc może zacznę czytać, bo nie ma co już trzymać w napięciu.

Więc zaczynamy od tego, że postaramy się odpowiedzieć na wszystkie pytania, a ich kilka jest.

Zbliżający się okres świąteczny, choć pełen uroku, skłonił mnie do refleksji nad tym, w jaki sposób przetwarzane są informacje przekazywane do tzw.

Droga Matko, sami nad tym się zastanawialiśmy, ale postanowiliśmy teraz ten temat zgłębić.

Święty Mikołaj, elfy, te rzeczy.

Uważam, że kwestie ochrony danych nie powinny pozostawać poza kontrolą, zwłaszcza gdy dotyczą osób małoletnich.

No zgadzamy się z tym, popieramy, rzeczywiście tu ochrona danych nie może schodzić, no drugi plan jest...

W związku z powyższą przejmie proszę odpowiedź na poniższe pytania i wątpliwości.

Tych pytań jest sporo, ale postaramy się tematowi sprostać.

Tak, więc rozprawiamy się po kolei.

Kto w świetle prawa pełni rolę administratora danych osobowych dzieci składających listy z prośbami o prezenty?

Chciałabym wiedzieć, do kogo mogę kierować ewentualne żądania związane z realizacją praw przysługujących dziecku na gruncie RODO?

Może zanim zaczniemy odpowiadać, to bardzo mnie zaniepokoiła ta ostatnia część, gdzie ona pisze, do kogo mogę kierować ewentualne żądania.

Dlaczego od razu żądania?

No ale może zacznijmy od tego administratora.

Jeżeli chodzi o to, co jest administratorem, to chyba odpowiedź jest częściowo znana.

Korespondencyjny, czyli Laponia.

Na razie Japonia przez L, czyli Laponia.

I teraz pytanie, też się zastanawiałem czytając ten list, bo no wiemy, Święty Mikołaj.

To nie jest chyba działalność gospodarcza nastawiona na zysk.

Że jest to albo nieodpłatna działalność pożytku publicznego, albo po prostu... Może ten zysk jest tylko taki emocjonalny, powiedziałbym.

Ja stawiam na fundację, ale też droga... Biorąc pod uwagę też okres funkcjonowania, no bo to jest tradycja już wielo, wielo dziesięcioletnia, tak?

Set letnia, w związku z tym... Nie chciałbym powiedzieć, że parę tysięcy lat, a pewnie więcej niż tysiąc.

Ale droga matko, która się nie podpisała, tylko się podpisała, tylko zaniepokojona.

Ja się wcale nie dziwię, że masz problem z określeniem, kto jest administratorem, bo...

Może wprowadzać trochę w błąd, bo nie wiesz czy Japonia się pisze przez L czy przez J. Jakby wyjaśnijmy, tu chodzi o Laponię, która mieści się w Finlandii i szukamy jej na północy, a nie na południu.

Natomiast co do formy prawnej, rzeczywiście tutaj też się zastanawialiśmy wcześniej i chyba nie jesteśmy w stanie odpowiedzieć na pytanie.

Pewnie nie jest to spółka, nie jest to jakoś działalność gospodarcza.

Bliżej byśmy stawiali na fundację, ale tak naprawdę trzeba by spojrzeć w obowiązek informacyjny.

Ale o politykę prywatności, jeżeli jest.

Pytanie jest trudne, ale mamy nadzieję, że udało nam się chociaż trochę sprawę naświetlić, wyjaśnić i uspokoić zaniepokojoną matkę.

Pytanie kolejne naszej zaniepokojonej czytelniczki.

Jeśli tak, to w jaki sposób zgoda ta jest pozyskiwana i dokumentowana?

Ale spróbujmy.

To też troszeczkę wynikałoby z pierwszego pytania, jeżeli chodzi o status, bo jeżeli to byłaby jakaś fundacja realizująca cel publiczny, to wtedy mielibyśmy na przykład tutaj literkę E, czyli realizacja jakiegoś celu publicznego, a nie na przykład prawnie uzasadniony interes.

Pytanie, czy jeżeli wysyłamy ten list, czy nie jest tu zgoda przez jednoznaczne czynności potwierdzające.

No i też oczywiście rola rodzica, bardzo dobre pytanie.

Ja uważam, że jeżeli na przykład taki list najczęściej dzieci wysyłają za pośrednictwem rodziców, to masz tą zgodę przez jednoznaczne czynności potwierdzające.

Rodzic wysyła taki list.

Większe problemy by były, jeżeli w takim liście mogą się znaleźć dane z dziewiątki, czyli dane wrażliwe.

Musiałaby być znowu zgoda, ale nie może być już przez jednoznaczność potwierdzająca.

Czyli musiałaby być wyraźnie wskazana w liście.

Czy on będzie jak Poczta Polska, czy bardziej jako kurier?

Czy w świetle ostatniego orzeczenia NSA możemy go traktować jako podmiot przetwarzający?

Myślę, że rodzic wtedy będzie jako pewnie przedstawiciel ustawowy tutaj działał.

Ewentualnie, więc tutaj nie powinno być z tym problemu.

Tylko oczywiście, jeżeli jest to dokonywane przez jednoznaczne czynności potwierdzające, przez wysłanie takiego listu, no to kwestia dokumentowania udzielenia takiej zgody oczywiście jest problematyczna.

Być może Święty Mikołaj, i to jest może jakiś protip od nas, że po prostu powinni się tam zastanowić w tej Laponii nad aplikacją, tak jak wszyscy dzisiaj dostawcy.

To nie byłoby problemu.

No tak, ale z drugiej strony mówiliśmy, że aplikacje to też są pewne ryzyka i namawiamy Świętego Mikołaja do wprowadzenia kolejnych ryzyk.

Ale byśmy tam zrobili mu Privacy by Design.

To byłaby taka wymuskana aplikacja.

Także tutaj Święty Mikołaju na pewno byśmy ofertowali.

Jeżeli by nie wziął najniższej ceny, to może byśmy się dogadali.

Ale nie jestem przekonany.

Kolejne dotyczące profilowania.

Proszę o wyjaśnienie, czy w praktyce oznacza to automatyczne profilowanie w rozumieniu artykułu 22?

Jeśli tak, interesuje mnie, jakie są kryteria takiej oceny?

Czy człowiek nadzoruje proces decyzyjny, czy istnieje możliwość

Złożenie odwołania od wyniku profilowania.

W mojej ocenie, jeżeli to są listy, dopóki nie będzie tych aplikacji, to w ogóle nie mamy tu do czynienia z automatycznym podejmowaniem decyzji, bo to nie jest przetwarzanie w formie elektronicznej i nie ma tutaj też automatyzmu.

Zwróćmy uwagę, że takie profilowanie, jeżeli mamy na przykład właśnie dokument papierowy i następnie ja oceniam go i nawet piszę,

To nie jest zautomatyzowane podejmowanie decyzji oparte na profilowaniu.

A jeśli jest wprowadzany do systemu Świętego Mikołaja w tejże fundacji?

To dalej by była kwestia, kto podejmuje decyzje.

Czy istnieje możliwość złożenia odwołania?

Obawiam się, że dopiero chyba na następny rok, no bo w efekcie dogadujemy się, luzga czy prezent.

Jeżeli bierzemy pod uwagę, że jest to jednak tradycja świąteczna, czyli chrześcijańska, to tak zwany dekalog będzie tu chyba etyczną podstawą takiej oceny.

Jest to decyzja, natomiast nie jest to zautomatyzowana decyzja i nie jest oparta na profilowaniu w rozumieniu rodowskim.

Bo pamiętajmy, że w rozumieniu rodowskim profilowanie jest to pewne specjalne techniczne przetwarzanie pewnych danych.

W celu analizy lub prognozy.

Tutaj, jak rozumiemy, na podstawie tego listu Święty Mikołaj dokonuje pewnej oceny.

Ja myślę, że twoje rozumowanie na temat profilowania jest dobre, ale jest tu pewne drobne ale.

Ale święty Mikołaj jest święty.

Czyli takie w zasadzie podwójne.

Podwójnie spełnione, bo to niezwykły człowiek, tylko masz wtedy w zasadzie... Słuchaj, to jest pewien rodzaj certyfikacji świętość.

Czyli jest to po prostu certyfikowane przetwarzanie danych.

Jestem przekonany, że tutaj nasza mama zaniepokojona już jest uspokojona, bo naprawdę już lepszej certyfikacji nigdzie nie znajdziemy.

To chodźmy dalej.

Swoją drogą, przenikliwość i wnikliwość tej naszej czytelniczki słuchaczki jest niesamowita, bo dostrzega problem związany z przetwarzaniem.

Czy tak zwane elfy

Lub inne osoby zaangażowane w proces przygotowywania prezentów mają status podmiotów przetwarzających.

To pytanie jest trochę poniżej pasa, powiedziałbym, jeśli chodzi o umowy.

Dosłownie tak, dlatego że skąd takie założenie, że miałoby nie być umów powierzenia?

My oczywiście jesteśmy jak najbardziej tutaj tolerancyjni i nie chcielibyśmy po pierwsze popadać w gatunkizm.

Tutaj trzeba by wrócić do twojego podstawowego pytania, czy elfy są osobami, ale myślę, że jak najbardziej, skoro współpracują z tak znaną osobą.

Szanowna pani, to zależy, bo jak pamiętamy

Zgodnie z obowiązującymi interpretacjami RODO, w tym chyba też komentarzem tutaj pod redakcją pani doktor Żomy, pierwszego profesora Urzędu Ochrony Danych Osobowych, takie umowy nie trzeba by zawierać, jeżeli takie ELFy są quasi pracownikami.

Czyli jeżeli one te dane, no pewnie głównie dane adresowe, jak rozumiem, bo zapewne nie analizują listów, ale dostarczają prezenty, czyli raczej, tak podejrzewam, że to jest magazynowanie i logistyka, ewentualnie systemy magazynowe.

No to jeżeli one pracują w infrastrukturze administratora, czyli Mikołaja, to nie zawiera się z nimi umów powierzenia.

Gdyby dane opuszczały infrastrukturę, powiedzmy, tej organizacji, czyli miałyby jakiś prywatny sprzęt, wychodziłyby poza tą bańkę, no to na pewno wtedy trzeba by zawrzeć umowę zgodną z artykułem 28, więc jest to słuszna uwaga, ale wydaje się, że w tym modelu pracy, który znamy z tradycyjnie dostępnych źródeł,

Czyli najprawdopodobniej tam są po prostu szkolenia, upoważnienia, no i ograniczenia dostępowe.

Czyli jesteśmy spokojni.

Ja tu bym miał pewne wątpliwości, ale zakładam, że taki ELF to jest dobry ELF i na pewno wszystkie kryteria są spełnione.

A jeszcze został przeszkolony, to już w ogóle nie ma o czym mówić.

Niezwykła dociekliwość, bo tu jest pytanie brzmi, czy dane dzieci są przekazywane dalej np.

firmom kurierskim, usługodawcom, logistycznym lub innym podmiotom realizującym dostawy.

Jeżeli tak,

Ja widziałem taki film, nie wiem czy on jest prawdziwy, że Święty Mikołaj z saniami na całym świecie i wrzucił wszystkie prezenty, tylko został jeden.

O ile pamiętam, to mały taki rower nie został dostarczony, ale mi się wydaje, że już w tym roku jest lepiej, wszystko zostało dostarczone.

Jeżeli tak, proszę o informacje dotyczące zakresu tych danych oraz podstawy ich udostępnienia.

I tutaj, mimo szczerej sympatii do naszej czytelniczki, ja bym się uchylił od odpowiedzi i zaraz wytłumaczę dlaczego.

Nie chcielibyśmy do końca odpowiedzieć na to pytanie.

Elementy związane z ogólną teorią względności, jak to wygląda czasoprzestrzennie.

Tak, i czy wszyscy mają komin, zwłaszcza że teraz są te przepisy, które te kominki każą niestety z domu wyrzucać, ale też pamiętam, że raczej też Mikołaj jest prośrodowiskowy, więc również jest kwestia omijania tego.

Ja myślę, że tu można by nawet, żeby uspokoić naszą zaniepokojoną czytelniczkę, że tutaj może jakiś charakter osobisty, domowy nawet by wchodził.

Podejrzewam, że są to podmioty na pewno zaufane, a przynajmniej powinny być zaufane wobec dzieci i na tym byśmy tę odpowiedź skończyli.

Tak i raczej nie spodziewałbym się kontroli organów nadzoru.

Myślę, że jest to wszystko zgodne z RODO oraz zdrowym rozsądkiem, bo

No bo też trochę może taki apel, no pomóżmy temu świętemu Mikołajowi.

To nie jest takie proste znaleźć kominy i dopasować prezenty, wrzucić i żeby one też nie ubrudzone spadły tam po drugiej stronie.

Również w okresie szczytu paczkowego i zawsze tutaj jest pełny szacunek, jeżeli chodzi o organizację i logistykę ze strony Świętego Mikołaja, że to jest w stanie rzeczywiście... Że takie firmy wybrał i to wszystko działa i rzeczywiście dowożone.

Jeżeli siedziba Świętego Mikołaja znajduje się na terytorium poza EOG, czy na tak zwanym biegunie północnym, no tutaj już wcześniej odpowiedzieliśmy, że chodzi o Laponię, a nie Japonię.

I rzeczywiście jest to na północy, ale jednak przynależy do jakiegoś państwa.

Chociaż tutaj może ma informacja jakaś ta nasza czytelniczka, których my nie mamy, że na przykład jest to daleko dalej na północy niż nam się wydawało.

Jeżeli, załóżmy, że jeżeli, to proszę o przedstawienie podstawy prawne możliwiającej przekazanie tam danych.

Interesuje mnie w szczególności, czy stosowane są standardowe klauzule umowne lub inne mechanizmy gwarantujące odpowiedni poziom ochrony.

Tutaj sytuacja jest prosta, bo rzeczywiście mamy Japonię, mamy Finlandię.

Także ewentualnie to jest wszystko dzieje się, całe zarządzanie danymi dzieje się w ramach tutaj RODO.

Zresztą nawet jeżeli ten podmiot byłby poza EOG to pytanie czy w ogóle mieliśmy do czynienia z transferem skoro nie mamy tutaj dwóch podmiotów po obu stronach tylko po prostu samego administratora poza EOG.

Inną oczywiście kwestią byłoby czy należy by stresować RODO bo wtedy oczywiście odpowiedź byłaby

I pytanie kolejne.

Myślę, że tu jakieś niezłe szkolenie musiała przejść ta czytelniczka.

To nie czytała nasz portal.

Czy listy z poprzednich lat są archiwizowane, jeśli tak, na jakiej podstawie i przez jaki okres?

Ja podejrzewam, że też robiliśmy jakiś research, nie ukrywamy przed tą dzisiejszą audycją.

I wychodzi nam, że skoro rzeczywiście mamy do czynienia z pewnym rodzajem profilowania, ale nie tego RODOskiego, z pewnym rodzajem oceny, z pewnym rodzajem jakiegoś archiwum,

Pewnie też dla zasady rozliczalności, bo zakładamy, że Mikołaj gdzieś też przechodzi jakieś audyty wewnętrzne, to jednak podejrzewamy, że jest jakaś taka mikrokorporacja.

Zasięg jest globalny.

To te dane są przechowywane, chociażby właśnie dla ścieżki audytowej.

Albo bycie dzieckiem.

W związku z tym do czasu, kiedy te listy są wysyłane, kiedy te, powiedzmy, usługi Świętego Mikołaja są wykorzystywane, no to te dane gdzieś tam są archiwizowane w tym właśnie celu.

Natomiast w momencie, kiedy już ta wiara ustaje albo kończy się 18 lat, no to pewnie dane są archiwizowane.

Natomiast z tego, co wiemy, nie są one wykorzystywane w żadnych innych celach poza tym.

Czyli nie ma tam marketingu,

I też możemy Państwa uspokoić, bo z tego co wiemy, a tematami RODO zajmujemy się naprawdę od dawna, nie słyszeliśmy, żeby Święty Mikołaj te dane sprzedawał nie tylko do marketingu, ale żeby był zaciągany przez sztuczną inteligencję.

List dostaliśmy, proszę Państwa, świeżo przed audycją, więc tutaj na gorąco zmieniliśmy temat.

Natomiast z uwagi na brak czasu chcieliśmy się zwrócić oficjalnie do fińskiego organu ochrony danych osobowych z zapytaniem, czy były incydenty.

Natomiast sprawdziliśmy w prasie, sprawdziliśmy w sprawozdaniach fińskiego organu i takich incydentów nie mieliśmy.

Stąd też pytanie wcześniej o kulturę przetwarzania danych osobowych.

Wydaje się ona na tyle wysoka, że do takich incydentów właśnie jak wycieki danych, jak jakiś phishing, jak inny rodzaj scammingu, no nie dochodziło.

Tak, ale też żeby Państwa uspokoić, zadamy to pytanie, zobaczymy jak szybko spłynie odpowiedź, jeśli w miarę to przekażemy z całą pewnością.

I pytanie dotyczące realizacji prawa, realizacji prawa do usunięcia danych.

Czy jako rodzic mogę skutecznie wystąpić o usunięcie wszystkich danych dotyczących mojego dziecka, niezależnie od momentu zgłoszenia, także w grudniu, gdy jak można przypuszczać systemy mogą być wyjątkowo

Tutaj może tak odczytujemy, że trochę na usprawiedliwienie podkreślam, że moim celem nie jest odbieranie dzieciom magii świąt.

Bo pytanie dotyczące usunięcia danych, jeżeli usuniemy dane za wcześnie, to po prostu.. Rozumiem, że jest teoretyczne.

I podkreślam, że moim celem nie jest odbieranie dzieciom magii świąt, lecz uzyskanie przejrzystości i pewności, no rozumiem, wychowała się na naszym portalu, że dane osobowe najmłodszych są traktowane z należytą starannością, zgodnie z obowiązującymi przepisami prawa

Podpis matki, która bardzo chce wierzyć w magię świąt, ale jeszcze bardziej w RODO.

Zresztą list zamieścimy też pod naszym podcastem.

Tak, list będzie zamieszczony.

Ja nie zakładam złych intencji świętego Mikołaja, więc myślę, że ta staranność, on już ma wbudowaną staranność

Co do usunięcia, raczej bym przestrzegał przed zbyt szybkim usunięciem, bo jeżeli zleciliśmy jakąś usługę i ta usługa jeszcze nie została zrealizowana, no to on nie może usunąć tych danych.

Także prośba o nieawanturowanie się, jeśli się okaże, że na przykład znowu dostaliśmy kolejne skarpetki.

To nie jest tak, że on na skutek usunięcia danych sobie coś skonfabulował, bo tak jak powiedzieliśmy nie korzysta ze sztucznej inteligencji.

Więc ja przypuszczam, że to... Znaczy też nie do końca znamy postawy prawne przetwarzania, bo oczywiście tutaj wszystko zależy od tego.

Pamiętajmy, że artykuł 17, usunięcie danych, tak zwane prawo do bycia zapomnianym, nie jest prawem bezwzględnym.

To znaczy, nie do końca wiemy też, jak działają te systemy wewnętrzne i wysyłkowe, logistyczno-magazynowe Świętego Mikołaja.

Jeżeli Święty Mikołaj jest administratorem tych danych, czyli ma jakieś cele podatkowe, rachunkowe, nie wiemy do końca jeszcze, jakim regulacjom podlega ze względu na swoją formę prawną.

To być może jest tak, że jeżeli te dane są na tzw.

C, czyli obowiązku prawnym przetwarzane, to on tych danych przez

Natomiast jeżeli podstawą byłaby zgoda, oczywiście zgoda może być wycofana w każdym czasie.

Więc dużo zależy od podstawy prawnej.

Natomiast myślę, że biorąc pod uwagę tutaj kulturę przetwarzania danych osobowych, też w samej Finlandii, no to taki wniosek z pewnością byłby rozpatrzony w terminie wynikającym z dwunastki RODO i pani otrzymałaby stosowną odpowiedź.

W odpowiednim czasie, biorąc pod uwagę, że jest to Skandynawia i wszystkie prawa są tam realizowane raczej bardziej wzorcowo niż mniej, więc...

Ja myślę, że udało nam się przynajmniej częściowo Panią uspokoić.

Oczywiście list opublikujemy, tak jak mówiliśmy, a nasze odpowiedzi już Pani usłyszała.

Na zakończenie bardzo dziękujemy za cierpliwość, za wysłuchanie nas i w zasadzie dziękujemy za

Życzymy dobrego przetwarzania danych, dotarcia prezentów, niepomylenia kominów i wszystkiego tego, co jest dobre.

Braku incydentów i tego, żeby było wszystko dobrze i żeby nam się generalnie wszystkim wiągło.

I żeby te listy dotarły do Świętego Mikołaja wszystkie.

Żeby to były dobre listy i trafione prezenty.

I życzymy też pozytywnego wyniku tego pozarodowskiego oczywiście profilowania, tak żeby te dzieci również u Państwa okazały się grzeczne.

Przy okazji już tylko minutkę powiem na kolejny odcinek.

Kolejny odcinek już w nowym roku.

Będziemy mówić o czymś szczególnym, czyli o podmiocie monitorującym.