RODO wskazówki - Zdalny odczyt wodomierzy pod kontrolą UODO
Czy systemy zdalnego odczytu mierników (ciepła, wody, energii elektrycznej) budzą duże zainteresowanie społeczne? Nie wiadomo. Wiadomo natomiast, że w bieżącym roku Urząd Ochrony Danych Osobowych, obok Systemu Informacyjnego Schengen i Wizowego Systemu Informacji oraz banków przetwarzających dane osobowe w związku ze sporządzaniem kopii dokumentów tożsamości, zapowiedział kontrole w podmiotach korzystających z systemu zdalnego odczytu wodomierzy (tzw. inteligentne liczniki). Trudno nie odnieść wrażenia, że kontrole w tym obszarze skierowane będą przede wszystkim do spółdzielni i wspólnot mieszkaniowych.
Spółdzielnie i wspólnoty mieszkaniowe realizując szereg zadań na korzyść swoich członków zobowiązane są do wdrożenia i spełnienia wielu wymagań określonych w przepisach prawa, w tym również, w przepisach określających proces ochrony danych osobowych. Nie bez znaczenia jest także ekonomiczny aspekt zastosowanych rozwiązań związanych z wykorzystaniem nowoczesnych zdobyczy technologicznych, w tym możliwości zdalnego odczytu wodomierzy. Nie może się to jednak odbywać kosztem zwiększonego ryzyka naruszenia praw i wolności osób, których dane osobowe w takim procesie są przetwarzane.
Posiadający status administratora danych, zarówno spółdzielnie, jak i wspólnoty mieszkaniowe korzystający z usług podmiotów zewnętrznych w procesie zdalnego odczytu wodomierzy powinny zadbać nie tylko o podpisanie umowy biznesowej, ale także o zawarcie stosownej umowy powierzenia przetwarzania danych osobowych określającej przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora (spółdzielni i wspólnoty mieszkaniowej) oraz podmiotu zewnętrznego (podmiotu przetwarzającego). Warto pamiętać, iż zgodnie z art. 28 ust. 1 RODO jeżeli przetwarzanie danych osobowych ma się odbywać w imieniu administratora, korzysta on wyłącznie z usług takich podmiotów zewnętrznych, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą. Ten sam wymóg dotyczy przypadku, w jakim podmioty zewnętrzne realizując umowę biznesową (ze spółdzielnią i wspólnotą mieszkaniową) w zakresie zdalnego odczytu wodomierzy korzystają z usług innego podmiotu, właściciela aplikacji, serwera, itp. Pomocnym przy wyborze przyszłego podmiotu przetwarzającego będzie, m.in. przeprowadzenie weryfikacji z wykorzystaniem arkusza pytań kontrolnych lub specjalnie przygotowanej, dla potrzeb umowy powierzenia przetwarzania danych osobowych, ankiety.
Doświadczenie pokazuje, że prowadzone przez UODO kontrole z pewnością nie skupią się tylko i wyłącznie na umowach biznesowych w zakresie zdalnego odczytu wodomierzy i umowach przetwarzania danych osobowych. Z całą pewnością weryfikowane będą także inne (wszystkie?) elementy przyjętego w spółdzielni i wspólnocie mieszkaniowej procesu ochrony danych osobowych, m.in.:
- podstawa prawna przetwarzania danych osobowych,
- realizacja praw osób, których dane dotyczą,
- proces dystrybucji klauzuli informacyjnych do podmiotów danych,
- aktualność Rejestru czynności przetwarzania danych osobowych,
- upoważnienia pracowników do przetwarzania danych osobowych,
- wyniki analizy ryzyka i oceny skutków dla ochrony danych,
- szkolenia pracowników z zakresu ochrony danych osobowych,
- skuteczność wydanych procedur w zakresie ochrony danych osobowych,
- realizacja zadań przez Inspektora Ochrony Danych (IOD), a w przypadku braku powołania IOD przez administratora (spółdzielnię i wspólnotę mieszkaniową),
- wyniki audytów i sprawdzeń pod kątem wypełnienia wymagań określonych w RODO.
Wartym zaznaczenia jest fakt, że w przypadku zidentyfikowania niezgodności w trakcie inspekcji prowadzonej przez UODO, działania kontrolne zakończyć się mogą sankcjami opisanymi w RODO, w tym wysoką karą finansową. Dlatego też, przygotowując się do kontroli sektorowej prowadzonej przez UODO należy jak najszybciej dokonać sprawdzenia zgodności wdrożonego procesu ochrony danych osobowych z przepisami prawa z tego obszaru, z wytycznymi i szczegółowymi instrukcjami opublikowanymi przez UODO wytycznych oraz szczegółowych instrukcji. W przypadku dostrzeżenia niezgodności pojawia się konieczność dokonania pilnej aktualizacji i korekty procesu przetwarzania danych osobowych. Takie postępowanie potwierdza działania zgodne z zasadą mówiącą, że ochrona podstawowych praw i wolności osób, których dane osobowe przetwarza spółdzielnia i wspólnota mieszkaniowa, ma charakter nadrzędny.
Grzegorz Leśniewski
PDP Group Sp. z o.o.