Domena czy serwer? Jeszcze o GIODO i danych osobowych

[piolun 0]

Przeczytałem nieco artykułów na tym forum i w ogóle w sieci na temat konieczności zgłaszania baz danych do GIODO oraz odpowiedniego administrowania danymi osobowymi w przypadku prowadzenia serwisów internetowych przetwarzające te dane. Nie znalazłem jednak jasnej odpowiedzi na chyba najważniejsze pytanie:

 

 

 

 

Czy obowiązkowi zgłoszenia (zarejestrowania) bazy danych do GIODO podlega tylko osoba (firma), prowadząca serwis gromadzący i przetwarzający dane osobowe, mający hosting w Polsce (i ewentualnie innych krajach UE) czy też każdy taka osoba (firma), która prowadzi swój serwis pod domeną *.pl i w języku polskim?

 

 

 

 

Przykładowo: prowadzę serwis kulinarny "kluski-cioci-jadzi.pl" gdzie zbieram rozmaite dane osobowe zarejestrowanych użytkowników, ale serwis hostowany jest w USA lub Kanadzie (a więc poza Polską i UE). Jedyne co go łączy z krajem to domena *.pl. Czy muszę w takim wypadku zarejestrować bazę danych w GIODO? I drugi przykład. Prowadzę analogiczny serwis "kluski-cioci-jadzi.com", a więc pod domeną globalną, ale hosting mam w Polsce. Rozumiem, że w tym drugim wypadku (niezależnie od domeny) muszę bazę danych zarejestrować. Ale jak jest z tym pierwszym przykładem?

 

 

 

 

Będę niezwykle wdzięczny (i pewnie nie tylko ja), jeśli ktoś z odpowiednią wiedzą i doświadczeniem zechce precyzyjnie odpowiedzieć na to pytanie. Zaznaczam, że pytanie nie dotyczy firmy oferującej usługi hostingowe (co jest główną tematyką tego forum), tylko SERWISU INTERNETOWEGO . Pozdrawiam wszystkich użytkowników.

[megi 358]

Przeczytałem nieco artykułów na tym forum i w ogóle w sieci na temat konieczności zgłaszania baz danych do GIODO oraz odpowiedniego administrowania danymi osobowymi w przypadku prowadzenia serwisów internetowych przetwarzające te dane. Nie znalazłem jednak jasnej odpowiedzi na chyba najważniejsze pytanie:

Bo szukasz nie tam gdzie trzeba...

 

Czy obowiązkowi zgłoszenia (zarejestrowania) bazy danych do GIODO podlega tylko osoba (firma), prowadząca serwis gromadzący i przetwarzający dane osobowe, mający hosting w Polsce (i ewentualnie innych krajach UE) czy też każdy taka osoba (firma), która prowadzi swój serwis pod domeną *.pl i w języku polskim?

 

Z ustawy o ochronie danych osobowych:

 

 

Ustawę stosuje się (...) do:

(...)

2) osób fizycznych i osób prawnych oraz jednostek organizacyjnych niebędących osobami

prawnymi, jeżeli przetwarzają dane osobowe w związku z działalnością zarobkową,

zawodową lub dla realizacji celów statutowych

- które mają siedzibę albo miejsce zamieszkania na terytorium Rzeczypospolitej Polskiej,

albo w państwie trzecim, o ile przetwarzają dane osobowe przy wykorzystaniu środków

technicznych znajdujących się na terytorium Rzeczypospolitej Polskiej.

 

Innymi słowy nie ważne pod jaką domeną masz serwis, ważne, że jako administrator danych osobowych mieszkasz w Polsce. A czy podlegasz obowiązkowemu zgłoszeniu do GIODO to już zależy od tego, czy nie zachodzi któraś z przesłanego zwalniająca z obowiązku rejestracji (opisane tutaj https://edugiodo.gio.../view.php?id=17).

 

GIODO prowadzi platformę eduGIODO, gdzie można znaleźć wiele informacji na temat ochrony danych, obowiązków ADO, rejestracji zbiorów itp.

https://edugiodo.giodo.gov.pl/ - polecam.

 

Przykładowo: prowadzę serwis kulinarny "kluski-cioci-jadzi.pl" gdzie zbieram rozmaite dane osobowe zarejestrowanych użytkowników, ale serwis hostowany jest w USA lub Kanadzie (a więc poza Polską i UE).

 

Jako administrator danych osobowych masz obowiązek zabezpieczyć je przed dostępem osób nieupoważnionych. Administratorzy firmy hostingowej zazwyczaj do danych utrzymywanych na ich serwerach mają dostęp - z punktu widzenia ustawy są to osoby nieupoważnione. Chcąc w zgodzie z prawem przetwarzać dane osobowe na hostingu musisz mieć z firmą hostingową umowę powierzenia przetwarzania danych osobowych w celu świadczenia usług hostingowych. Dodatkowo, jeżeli swój serwis utrzymujesz na hostingu w kraju poza UE, to *prawdopodobnie* podpada to pod transfer danych osobowych do państw trzecich i musisz mieć pewność, że w tym kraju gwarantuje się co najmniej taką samą ochronę danych osobowych, jak w Polsce.

[piolun 0]

Ustawę stosuje się (...) do:

(...)

2) osób fizycznych i osób prawnych oraz jednostek organizacyjnych niebędących osobami

prawnymi, jeżeli przetwarzają dane osobowe w związku z działalnością zarobkową,

zawodową lub dla realizacji celów statutowych

- które mają siedzibę albo miejsce zamieszkania na terytorium Rzeczypospolitej Polskiej,

albo w państwie trzecim, o ile przetwarzają dane osobowe przy wykorzystaniu środków

technicznych znajdujących się na terytorium Rzeczypospolitej Polskiej.

 

Zaraz, zaraz... Celowo zaznaczyłem we fragmencie ustawy miejsce, w którym jest mowa o wykorzystaniu środków technicznychn ZNAJDUJĄCYCH SIĘ NA TERYTORIUM Polski. A zatem jeśli mam hosting w USA, to nie są to środki techniczne na terytorium RP, nawet jeśli wykorzystuję je do przetwarzania danych osobowych. A zatem z tego fragmentu jasno wynika, że jeśli masz hosting poza Polską, to ustawa Cię nie dotyczy. Nie rozumiem jak inaczej można rozumieć tę ustawę w świetle podstawowej logiki...

Edytowano Maj 16, 2011 przez piolun (zobacz historię edycji)

[megi 358]

Zaraz, zaraz... Celowo zaznaczyłem we fragmencie ustawy miejsce, w którym jest mowa o wykorzystaniu środków technicznychn ZNAJDUJĄCYCH SIĘ NA TERYTORIUM Polski. A zatem jeśli mam hosting w USA, to nie są to środki techniczne na terytorium RP, nawet jeśli wykorzystuję je do przetwarzania danych osobowych. A zatem z tego fragmentu jasno wynika, że jeśli masz hosting poza Polską, to ustawa Cię nie dotyczy.

 

IMHO to należy czytać tak:

(które mają siedzibę albo miejsce zamieszkania na terytorium Rzeczypospolitej Polskiej),

albo

(w państwie trzecim, o ile przetwarzają dane osobowe przy wykorzystaniu środków

technicznych znajdujących się na terytorium Rzeczypospolitej Polskiej).

 

Nie rozumiem jak inaczej można rozumieć tę ustawę w świetle podstawowej logiki...

Też nie rozumiem

 

To jest ustawa a nie wprowadzenie do logiki. Ustawy mają to do siebie, że bywają pisane przez oderwanych od pługa ekspertów. Interpretacja, że polską ustawę stosuje się do "polskich obywateli i firm" (skrót myślowy) oraz pod pewnym warunkiem również do niepolskich obywateli i firm, jest IMO dość naturalna. Jeżeli się z tym nie zgadzasz to rzuć linkiem do innej interpretacji.