Prywatność w projekcie

Mało zbieranych danych, krótkie przechowywanie i jasne wskazówki dotyczące faksowania informacji osobowych.

Aktualizacja:

RODO (rozporządzenie (UE) 2016/679) nie wspomina o faksie, ale go obejmuje: wysłanie dokumentu dotyczącego możliwej do zidentyfikowania osoby jest przetwarzaniem danych osobowych. CaptainFax działa z Francji, więc obowiązują nas przepisy europejskie. Przesłany dokument zachowujemy tylko do chwili wysłania faksu, nie wymagamy konta, a płatności kartą obsługuje Stripe. Jeśli to Ty faksujesz dane osobowe, zwykle jesteś ich administratorem. Kolejne sekcje opisują, co to oznacza, zwłaszcza dla bezpieczeństwa i na wypadek faksu wysłanego do niewłaściwej osoby.

Cztery punkty wyjścia

RODO myśli kategoriami danych i ryzyka, a nie technologii. Te zasady dotyczą faksu tak samo jak e-maila czy listu.

  • Przesłanie to przetwarzanie

    Art. 4 pkt 2 wymienia ujawnianie poprzez przesłanie wśród operacji przetwarzania. Faksowanie paska wypłaty, formularza medycznego lub teczki klienta podlega więc rozporządzeniu.

  • Potrzebna jest podstawa prawna

    Art. 6 przewiduje sześć: zgodę, umowę, obowiązek prawny, żywotne interesy, interes publiczny i prawnie uzasadnione interesy. Którą wybrać, zależy od celu wysyłki i od odbiorcy.

  • To, co potrzebne, i nic więcej

    Art. 5 ust. 1 lit. c, czyli zasada minimalizacji, wymaga, by przetwarzać tylko dane adekwatne i stosowne, w zakresie ograniczonym do celu. Przed utworzeniem PDF usuń zbędne strony i szczegóły.

  • Przekazanie poza UE ma warunki

    Faks do kraju spoza Europejskiego Obszaru Gospodarczego to przekazanie w rozumieniu rozdziału V (art. 44-49). Dla Kanady, jednego z naszych kierunków, istnieje decyzja Komisji Europejskiej o odpowiednim stopniu ochrony dla organizacji komercyjnych podlegających ustawie PIPEDA (decyzja 2002/2/WE). W przypadku innych odbiorców tam sprawdź, jakie zabezpieczenie ma zastosowanie.

Co art. 32 oznacza dla faksu

Art. 32 zobowiązuje administratorów i podmioty przetwarzające do stosowania środków technicznych i organizacyjnych odpowiednich do ryzyka, z uwzględnieniem stanu wiedzy technicznej, kosztów i charakteru danych. Szyfrowanie jest tam wymienione jako jeden z możliwych środków, obok pseudonimizacji i regularnego testowania.

W przypadku faksu szyfrowanie obejmuje tylko początek drogi. W CaptainFax przesyłanie odbywa się przez HTTPS, a plik jest usuwany po wysłaniu. Odcinek telefoniczny pozostaje nieszyfrowany, jak przy każdym faksie. Resztę muszą więc zrobić środki organizacyjne: zweryfikowane numery, sprawdzenie wrażliwych faksów przez drugą osobę, telefon do odbiorcy wcześniej i zanonimizowane strony, gdy cel na to pozwala.

Zapisz swoje decyzje. Art. 5 ust. 2 wymaga, abyś potrafił wykazać zgodność, a krótka notatka wyjaśniająca, dlaczego dla danego procesu używa się faksu i jakie środki ostrożności mu towarzyszą, spełnia tę rolę. Jeśli ocena ryzyka wykaże, że faks bez szyfrowania end-to-end jest zbyt ryzykowny dla pewnych treści, wybierz dla nich inny kanał.

Faks trafił do niewłaściwej osoby

Strona z danymi osobowymi, która trafia do nieuprawnionego odbiorcy, jest naruszeniem ochrony danych osobowych w rozumieniu art. 4 pkt 12, nawet jeśli błąd był niezamierzony. Przejdź przez te kroki po kolei.

  1. Ogranicz skutki

    Skontaktuj się z nieuprawnionym odbiorcą, poproś o zniszczenie stron i, jeśli to możliwe, o pisemne potwierdzenie. Zachowaj ślad tych działań.

  2. Zarejestruj naruszenie wewnętrznie

    Art. 33 ust. 5 wymaga dokumentowania każdego naruszenia: faktów, skutków i podjętych działań naprawczych. Dotyczy to także sytuacji, gdy zgłoszenie nie jest wymagane.

  3. W razie potrzeby zgłoś organowi w ciągu 72 godzin

    Chyba że naruszenie raczej nie skutkuje ryzykiem naruszenia praw lub wolności osób, zgłoś je organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia (art. 33 ust. 1). Zgłoszenie po tym terminie musi wyjaśniać przyczyny opóźnienia.

  4. Zawiadom osoby, jeśli ryzyko jest wysokie

    Gdy ryzyko jest wysokie, na przykład dla danych o zdrowiu lub finansowych albo informacji umożliwiających kradzież tożsamości, osoby, których dane dotyczą, trzeba zawiadomić bez zbędnej zwłoki, prostym językiem (art. 34). Podmiot przetwarzający musi bez zbędnej zwłoki poinformować administratora (art. 33 ust. 2).

Co wdrożyć w swojej organizacji

Lista zweryfikowanych numerów
Stałych odbiorców, takich jak ubezpieczyciel, laboratorium czy sekretariat sądu, trzymaj na sprawdzonej i datowanej liście. Numer bierze się z listy, nigdy z pamięci.
Drugie spojrzenie na wrażliwe faksy
Przy dokumentacji medycznej lub finansowej współpracownik sprawdza numer i treść przed wysłaniem. Dwie minuty, które zapobiegają większości błędów.
Wzór strony tytułowej
Nazwa odbiorcy, liczba stron, dane nadawcy i instrukcja na wypadek pomyłki. Umieszczona na początku każdej wysyłki, mówi znalazcy, co zrobić.
Kontrola własnych urządzeń
Dla faksów przychodzących ustaw aparat w pomieszczeniu zamykanym na klucz albo włącz odbiór do pamięci chronionej kodem PIN, jeśli model na to pozwala. Wyczyść pamięć lub dysk, zanim oddasz wynajęty sprzęt.
Wpis w rejestrze czynności przetwarzania
Jeśli faks jest częścią stałych procesów, opisz go w rejestrze wymaganym przez art. 30: cel, kategorie danych i odbiorców, przekazania, okresy przechowywania i środki bezpieczeństwa.

Najczęstsze pytania

Czy wolno faksować dane o zdrowiu?
RODO tego nie zakazuje. Dane o zdrowiu należą do szczególnych kategorii z art. 9: potrzebny jest jeden z wyjątków wymienionych w tym artykule, na przykład świadczenie opieki zdrowotnej, oraz wyższy poziom staranności. Dochodzą przepisy krajowe, jak tajemnica lekarska. Inspektor ochrony danych lub samorząd zawodowy podpowie, co dotyczy Twojej praktyki.
Czy potrzebuję umowy z CaptainFax?
Gdy dostawca przetwarza dane osobowe w Twoim imieniu, art. 28 wymaga umowy określającej polecenia, poufność, bezpieczeństwo oraz zwrot lub usunięcie danych po zakończeniu usługi. Jeśli Twoja organizacja zamierza regularnie używać CaptainFax do dokumentów z danymi osobowymi, napisz do nas przez stronę kontaktową, a razem to omówimy.
Jak długo przechowywane są moje dokumenty?
W CaptainFax przesłany plik służy do wysłania faksu, a potem jest automatycznie usuwany. Płatności kartą obsługuje Stripe. Po swojej stronie sam ustal, jak długo trzymasz własne kopie i potwierdzenia (art. 5 ust. 1 lit. e). U odbiorcy obowiązuje jego własna polityka przechowywania.
Czy osoba wymieniona w faksie może skorzystać ze swoich praw?
Tak. Prawa dostępu, sprostowania, usunięcia, sprzeciwu i pozostałe z art. 15-22 kieruje się do administratora, czyli organizacji, która zdecydowała o wysłaniu dokumentu. Musi ona odpowiedzieć w ciągu miesiąca, a przy skomplikowanych lub licznych wnioskach termin można przedłużyć o kolejne dwa miesiące (art. 12 ust. 3).

Czytaj dalej

Kilka stron, które uzupełniają to, co właśnie przeczytałeś.

Powiązane pytania