Praktyczne porady RODO

[zwiastun]

Moim zdaniem, generalnie podejście @siristru jest słuszne w takiej kwestii: tworzyć dokumentację otwartą na zmiany w przyszłości. Chodzi o to, by zmiany w przyszłości nie wymagały tworzenia dokumentacji na nowo, ale żeby ją w razie potrzeby móc bezproblemowo uzupełniać, rozwijać.

Prosty przykład: w Polityce bezpieczeństwa Fundacji odwoływaliśmy się do przepisów obowiązującej wówczas ustawy o ochronie danych osobowych. Efekt, trzeba było zmieniać ileś zapisów. A gdyby było odwołanie do "obowiązujących przepisów", to nic by nie trzeba było w tej mierze zmieniać i dokumentacja byłaby wciąż aktualna.

Drobne, ale istotne.

[danieladrianka]

To ja znowu się dopytam ;)

Czyli generalnie to ja powinienem jako osoba prywatna pójść do dyrektorki przedszkola i zanieść do podpisania 2 (dwie) umowy ;)?

Jedna to umowa użyczenia gotowej strony internetowej (oraz domeny) w której zapiszę informację że użyczam nieodpłatnie do korzystania ze strony i domeny przez dyrekcję i nauczycieli oraz że nieodpłatnie będę jej administratorem. Czy tak?

Druga umowa to umowa przetwarzania danych osobowych. ( w witrynie jest 6 nauczycielek, każda ma własny mail i login w postaci Imię N.(czyli imię i pierwsza litera nazwiska) Dodatkowo nauczycielki oczywiście wrzucają zdjęcia dzieci, czasami z podpisami (np. dziś świętujemy urodziny Patrycji), na stronie dyrekcja udostępnia także spis dzieci nowo przyjętych do przedszkola.
Rozumiem że ta umowa musi to wszystko zawierać (szczegółowo?) ?
Jako nie będący w temacie nawet nie wiem jak taka umowa ma wyglądać, może są jakieś szablony, pomoce?

Tu rodzi się jeszcze pytanie w kwestii , a co z rodzicami? Oni też muszą wyrazić zgodę na umieszczenie zdjęć (imion, nazwisk) ich dzieci na stronie internetowej przedszkola? Ta zgoda musi być dla mnie (administratora strony) czy dla przedszkola?

Do tej pory nikt nigdy nic nie miał do tego, strona działa ponad 5 lat i można powiedzieć że wszystko jest ok. Czy przez RODO naprawdę trzeba wprowadzać tyle "problemów" do czegoś co dobrze funkcjonuje ?

Dodam że za pomocą strony rodzice mogą się skontaktować z dyrekcją szkoły poprzez zwykły formularz kontaktowy, nie ma możliwości rejestracji, ani ja ani nauczycielki nie wysyłają za pomocą strony żadnych maili czy newsletterów do rodziców.
Strona posiada informację o ciasteczkach oraz stronę z warunkami korzystania.

[rkonik]

Pewnie od @siristru dostaniesz dokładniejszą odpowiedź niż moja.

Ja na twoim miejscu zacząłbym w ogóle od jakiejkolwiek umowy i to najlepiej na papierze. Dogadanie się z przedszkolem czy jakąkolwiek instytucją jest proste i nie wymaga jakiegoś wielkiego wysiłku tym bardziej jeżeli sporo pracy jak nie wszystkie wykonasz dla nich nieodpłatnie. Musisz jednak pomyśleć o sytuacji złej której CI osobiście nie życzę ale się może zawsze wydarzyć.
Przykładowo zostanie opublikowane zdjęcie dziecka które nie powinno być publikowane. Lub któraś z tych 6 pracownic zdenerwuje się na dyrektorkę i coś namiesza na stronie.
Jak myślisz kto za to odpowie?
Ja zacząłbym od właściciela domeny i namiaru na niego. Jeżeli właściciel świadczy usługi na rzecz przedszkola i ma papier na to wówczas wiem do kogo się zwracać w przypadku nieprzyjemnej sytuacji. Na początek unormowałbym tą sytuację aby było wiadomo kto jest kim i jakie ma obowiązki i prawa. Po unormowaniu tego zająłbym się unormowanie RODO.
Będziesz spał spokojniej.

[siristru]

1. Tak, dobrze myślisz - zawierasz dwie umowy tak jak opisałeś.
2. Umowa powierzenia przetwarzania danych osobowych - wzór znajdziesz tutaj: https://odo24.pl/blog-post.wzor-umow...-zgodny-z-rodo
3. AAAA! Wizerunek to nie dość, że dana osobowa ale też dobro osobiste. Tym bardziej wizerunki (dane) dzieci są szczególnie chronione. Faktycznie rodzice powinni wyrazić zgodę na umieszczanie wizerunków ich dzieci na stronie internetowej. Zgoda musi być dla przedszkola.

Ochrona danych osobowych w Polsce jest uregulowana od 1997 roku To, że nikt z tym nic nie robił to inna historia. Dobrze, że RODO nareszcie takie rzeczy uświadamia. W szkole mojego syna co roku na rozpoczęciu są zbierane takie zgody - i to od lat!

Na wysyłanie maile ze strony (formularz kontaktowy) nie potrzebujesz zgody. Tutaj zgoda jest wyrażona przez jasno określone działanie - "piszę do ciebie i oczekuję odpowiedzi, pisz na podany adres".

Co do ciasteczek to informujemy, że używamy. Szczegóły na temat przetwarzania danych osobowych powinny być zawarte w Polityce Prywatności strony. Tam rodzic dowie się jakie strona może zawierać dane, kto nimi administruje, na jakiej podstawie i jakie przysługują im prawa.

[danieladrianka]

ok. Dzięki. Jak na razie nie widzę problemów by zastosować się do Waszych porad.
Na pewno to ogarnę w najbliższych dniach.

Przypomniało mi się trzecie pytanie ;)

Co z usługodawcą hostingu od którego wykupuję serwer ?
Czy z nim powinienem zawierać jakieś dodatkowe umowy? ( w panelu hostingu jest opcja a nawet dwie ;)):
1. Jestem administratorem Danych osobowych i powierzam ich przetwarzanie umową przetwarzania
2. jestem podmiotem przetwarzającym dane osobowe na zlecenie innych podmiotów i powierzam ich przetwarzanie umową przetwarzania


czy powinienem po uregulowaniu tych umów z przedszkolem zawrzeć którąś z tych dwóch w moim hostingu? Jeśli tak to którą?

[zwiastun]

Co Ty masz do uregulowania?
- kwestia własności witryny
- kwestia domeny
- kwestia hostingu
1. Własność witryny
Czy i jakie istnieje uzasadnienie, żebyś Ty był właściciwlem witryny?
Żadne.
Czy możesz być właścicielem tej witryny?
Teoretycznie - możesz, jak ktoś kto jest właścicielem budynku wynajmowanego na przedszkole.
Czy ma jakiś sens to, żebyś był właścicielem tej witryny?
Nie ma żadnego sensu. Co więcej, jako właściciel ponosisz odpowiedzialność za wszystko, co się na tej witrynie dzieje. A przecież nie możesz ponosić takiej odpowiedzialności. Póki co nic się nie stało. Ale wyobrazić sobie można różne zdarzenia, za które mógłbyś poniesć odpowiedzialność.
Co z tym zrobić? Oddać witrynę jej faktycznemu dysponentowi - przedszkolu i jego prawnemu przedstawicielowi.
Jak to zrobić: prosta umowa przekazania na własność bez wynagrodzenia. Nawet nie użyczenia, a przekazania, darowizny - nazwać można różnie.

2. Domena
Jeśli zakupileś domenę i jest to domena typu przedszkolepanakleksa.pl, to tak, jak przekazuzjesz witrynę, możesz przekazać i domenę. Oczywiście, trzeba to załatwić od strony formalnej (wpis u rejestratora domen). Konsekwencja dla przedszkola - ponoszenie corocznej odpłatności za domenę. Oczywiście, możedsz co roku dokonać opląty, a dokładniej przekazać przedszkolu darowiznę na ten cel.

3. Hosting
Jeśli na wynajmowanym przez siebie hostingu udostępniasz trochę miejsca dla witryny, możesz to robić dalej na podstawie umowy z przedszkolem (umowy hostingowej) ze wszystkimi konsekwencjami takiej umowy. Poniewaz w grę wchodzi ewentualna odpłatność, gdyby przedszkole samo zawarło z hostingiem umowę, umowa z Tobą będzie korzystniejsza.

Po załatwieniu tych spraw pozostanie rozwiązanie problemów związanych z RODO i w ogóle wydawaniem witryny przez przedszkole. Możesz tu posłużyć pomocą, doradztwem, ale - na Wszystkich Swiętych - by nie powoływać się na imię Najwyższego. Toż to nie Twój problem, tylko problem dyrekcji przedszkola. Jak się pan/i dyrekcja nie zna, to niech się pozna ze swoimi w tej mierze obowiązkami. Za to bierze pieniądze!

Oczywiście, mogę dalej opowiadac tutaj, co należy, żeby pomóc Ci wyjść z tego ambarasu , ale to raczej nie jest miejsce na korepetycje dla dyrektora tej placówki.
Uzmysłowię Ci tylko (i p. dyrektor/owi), że za opublikowane dziś bezprawnie na stronie przedszkola zdjęcie, będzie można być pozwanym także i za 10-15 lat, gdy mały Jaś będzie dorosły i strzeli mu do głowy, że wykorzystano jego wizerunek bez zgody jego albo jego rodziców.

[siristru]

1. Jestem administratorem Danych osobowych i powierzam ich przetwarzanie umową przetwarzania
2. jestem podmiotem przetwarzającym dane osobowe na zlecenie innych podmiotów i powierzam ich przetwarzanie umową przetwarzania

Administratorem Danych jest przedszkole.

Jeśli zrobisz jak radzi Zwiastun - będziesz udostępniał kawałek swojego hostingu - to jesteś przetwarzającym a przedszkole powierzyło ci dane.
Sytuacja jest o tyle ciekawa, że ty powierzasz je firmie hostingowej.

Czyli przedszkole zawiera umowę na powierzenie tobie, w umowie zgadza się na dalsze powierzenie a ty zawierasz umowę powierzenia z usługodawca hostingu.

Przedszkole (publiczne?) powinno mieć powołanego swojego Inspektora Ochrony Danych. On powinien ogarnąć te rzeczy w przedszkolu.

[danieladrianka]

@zwiastun
1,2,3 Ok to jest do zrobienia, nawet lepiej dla przedszkola bo to będzie ich i nie będzie zależało od innych losowych przypadków u mnie że tak powiem.
ad.3 co do hostingu - zapewne lepiej dla przedszkola (może nie taniej ;) będzie wykupienie własnego a mi udzielenie tylko pełnego dostępu do niego, w razie czego zawsze to ich a nie moje i mogą sobie zmienić administratora.

pozostaje kwestia RODO...

Zapewne formalności 1,2,3 uda się przeprowadzić szybko i bez problemu, ale jeśli dalej będę administratorem ( a raczej będę ) nadal będę przetwarzał ich dane osobowe ;) czyli umowa musi być. ( co z umową powierzania danych hostingu wtedy? oni - "przedszkole" podpisuje z hostingodawcą ?)

Ogólnie nieco się już zakręcam w tym ;)

Podsumowując:
Niebawem:
1. hosting, domena oraz działająca strona przeniesiona na nowy hosting jest formalnie własnością przedszkola. (np. umowa darowizny)
2. ja nadal jestem administratorem tej strony z pełnym dostępem do Joomla jak i nowego hostingu (np. umowa o administrowanie stroną i hostingiem)
3. strona działa dalej tak jak do tej pory
4. co muszę jeszcze zrobić ja? a co musi zrobić przedszkole ? :
- umowa między mną a przedszkolem o przetwarzaniu czy powierzaniu danych ?
- umowa między hostingiem a przedszkolem o powierzaniu danych ?
- uzyskanie przez przedszkole od każdego rodzica zgody na przetwarzanie danych ich dzieci (zdjęcia , nazwiska i imiona)? (być może takie już mają - nie wiem)
- oczywiście przeredagowanie Polityki Prywatności i Warunków korzystania

I dalej to śmiga tak jak powinno być ;)

Wszystko ?

edit po opublikowaniu przeczytałem @siristru

dzięki za dodatkowe informacje

[rkonik]

Jak już "przepiszesz" wszystko na przedszkole to możesz podpisać z nimi umowę na czynności administracyjne strony i w niej zawrzeć jakie czynności wykonujesz i w jakim zakresie odpowiadasz za nie.
W takiej sytuacji przedszkole stanie się administratorem danych Ty nawet nie będziesz procesorem. Przedszkole jako administrator danych ma pewne obowiązki które musi spełnić wobec Ciebie jako administratora witryny i wobec rodziców jeżeli będzie chciało publikować wizerunek dzieci.
Te obowiązki to umowa między tobą a przedszkolem, zgody rodziców, umowa powierzenia danych z hostingiem. Oczywiście jeżeli nie ma polityki prywatności lub jest niezgodna z obecnymi przepisami to też powinna zostać zmieniona.

Poza tym to tak trochę niepoważne podejście ze strony przedszkola i rodziców że zdjęcia dzieci bez żadnej zgody mogą być publikowane. Mam nadzieję że tak nie jest.
Dodatkowo nie wiem czy nie będzie jeszcze potrzebna umowa z autorem zdjęć (fotografem). Ponieważ zdjęcie jest w pewnym sensie dziełem a do tego przychodzą na z pomocą przepisy o prawach autorskich.

[danieladrianka]

Dodatkowo nie wiem czy nie będzie jeszcze potrzebna umowa z autorem zdjęć (fotografem). Ponieważ zdjęcie jest w pewnym sensie dziełem a do tego przychodzą na z pomocą przepisy o prawach autorskich.

Ogólnie można by chyba dodać w regulaminie albo poprostu pobrać zgodę od każdej pani która pisze artykuły że wszystkie zdjecia i teksty udostępniane są na wolnej licencji coś ala JEDL na wiki joomla.

Wysłane z mojego LG-M200 przy użyciu Tapatalka