Autor: Joanna Bialobrzewska

  • Umowa fotografa z klientem a prawo autorskie i RODO

    Umowa fotografa z klientem a prawo autorskie i RODO

    Pracujesz jako fotograf? A może dopiero zamierzasz zamienić pasję w dochodowe zajęcie? Niezależnie od tego, czy rozpoczynasz swoją przygodę z fotografią, czy też przenosisz funkcjonujący już biznes na wyższy poziom – koniecznie zadbaj o prawne aspekty swojej działalności! Pamiętaj, że treść umów, które zawierasz z klientami, modelami, zleceniodawcami decyduje między innymi o możliwości wykorzystania zdjęć do promocji własnej marki. Zastanów się czy dysponujesz prawem do zamieszczania fotografii w swoim portfolio, na stronie www lub w mediach społecznościowych. Ponadto, nie zapominaj, że rozpowszechniając wizerunek innych osób przetwarzasz ich dane i jesteś zobowiązany do przestrzegania obowiązujących przepisów (w tym Rodo).

    Umowa z klientem

    Bez względu na to, jaką formę przybierze – ważny jest zgodny zamiar stron.
    I choć teoretycznie umowa może być ustna, to dla celów dowodowych warto sporządzić ją na piśmie. Przy jasno wypunktowanych zasadach współpracy – trudniej o konflikt. Ponadto, papierowy egzemplarz jest niezastąpiony, gdy w grę wchodzą pewne kwestie z obszaru praw autorskich (przeniesienie autorskich praw majątkowych czy udzielenie licencji wyłącznej).

    Najbardziej popularnymi umowami są: umowa o dzieło lub umowa zlecenie czy umowa o świadczenie usług. Pierwsza z nich zazwyczaj towarzyszy jednorazowym sesjom. Druga i trzecia zleconym fotografom czynnościom, które wiążą się z dłuższą współpracą czy świadczeniem regularnie usługi dokumentacji fotograficznej. I tak fotograf zamierzający wykonać sesję portretową najprawdopodobniej podpisze z klientem umowę o dzieło (rezultat), a dokumentujący proces wykonania projektu architektonicznego – umowę zlecenie (staranne działanie) lub umowę o świadczenie usług.

    Inną umową, aczkolwiek bardzo charakterystyczną dla branży fotograficznej, jest umowa na zasadach TFP  (time for pictures). Reguluje ona zasady współpracy pomiędzy fotografem a modelką (modelem). Modelka (model) pozuje w zamian za zdjęcia, a fotograf wykonuje sesję w zamian za pozowanie. Ostatecznie obie strony osiągają pewną korzyść.

    Przedmiot umowy

    Niezależnie od rodzaju umowy, ważna jest jej czytelność i precyzyjność. Chociażby ze względu na możliwe niedomówienia i zawodność ludzkiej pamięci czy na wypadek ewentualnych reklamacji i roszczeń. Klient może zakwestionować jakość wykonanej pracy i z zareklamować ją, np. na podstawie rękojmi (tzw. reklamacja na podstawie rękojmi).

    Dlatego bardzo ważnym jest zdefiniowanie przedmiotu umowy. Warto wskazać konkretną ilości zaplanowanych ujęć/zdjęć, miejsce wykonania sesji (studio, plener). Jak również odnieść się do kwestii dostarczenia zdjęć w formie analogowej (czy ograniczona liczba odbitek mieści się w pakiecie, czy jest dodatkowo płatna itp.).

    Wynagrodzenie

    Kluczową kwestią jest ustalenie wynagrodzenia. W umowie powinny znaleźć się precyzyjne informacje na temat tego co i ile kosztuje. A gdy mamy do czynienia z umową TFP, która ma charakter nieodpłatny, ważne jest określenie wzajemnych zobowiązań stron i ustalenie, kto ponosi koszty związane z wynajęciem studia czy wykonaniem makijażu.

    Jeśli fotograf praktykuje pobieranie zaliczki lub zadatku, to również tę kwestię należy dookreślić w umowie. Bardzo ważne jest odróżnienie tych dwóch pojęć i ich mocy prawnej. Zaliczka i zadatek to co innego! Ponadto, niosą za sobą odmienne skutki, gdy umowa nie dojdzie do skutku. Mówiąc krótko: zadatek w przypadku odstąpienia stron od umowy przybiera formę odszkodowania (pełni funkcję dyscyplinującą), a zaliczka podlega zwrotowi.

    Aby wyjaśnić różnicę między zadatkiem i zaliczką, posłużę się przykładem.

    Przyszła panna młoda na około rok przed swoim ślubem zawarła z fotografem umowę, której przedmiotem było wykonanie sesji weselno-plenerowej. Podpisała dokument i zapłaciła wykonawcy zadatek w wysokości 1.000 zł. Na kilka tygodni przed ślubem klientka poinformowała fotografa, że rezygnuje z jego usług, bo znalazła tańszego specjalistę. Fotograf zatrzymał zadatek jako formę odszkodowania i miał do tego prawo! Natomiast, gdyby sytuacja była odwrotna (fotograf nie dotrzymał umowy), wówczas musiałby zwrócić klientce zadatek w podwójnej wysokości (czyli to co dostał jako zadatek + taką samą kwotę w ramach odszkodowania).

    Gdyby ww. umowa przewidywała wpłatę zaliczki klientka miałaby prawo żądania jej zwrotu.

    Autorskie prawa majątkowe

    Jeśli zastanawiasz się o co chodzi z tymi prawami i dlaczego to takie ważne – już  tłumaczę! Na wstępie zaznaczę, że odnoszę się do fotografii, które wyrażają twórczość autora i mają indywidualny charakter.

    Zasadą jest, że autor zdjęć (twórca) może w pełni korzystać z praw majątkowych do fotografii. Może na przykład sprzedać zdjęcia magazynowi poświęconemu modzie, urodzie czy wnętrzom. Zdjęcie (oczywiście takie, które jest rezultatem pracy twórczej) jest dla fotografa jak obraz dla malarza. Może czerpać z niego korzyści materialne!

    W takim stanie prawnym klient nie powinien używać otrzymanych fotografii w celach komercyjnych, np. do kampanii marketingowej własnej marki. Jego korzystanie ze zdjęć powinno sprowadzać się wyłącznie do użytku prywatnego (domowe odbitki, albumy rodzinne, tapeta na pulpicie itp.). Nie powinien także ich publikować w sieci. Nie dysponuje bowiem majątkowymi prawami do nich.

    Błędnym jest powszechne przekonanie, że osoba uwieczniona na zdjęciu zawsze jest właścicielem fotografii i może dysponować nią w nieograniczonym zakresie!

    Sytuacja może ulec diametralnej zmianie, gdy do umów wprowadzimy pewne modyfikacje. Wówczas prawa majątkowe do zdjęć mogą fotografowi w ogóle nie przysługiwać, albo będą mu przysługiwały w ograniczonym zakresie. Strony według uznania mogą zdecydować się na przeniesienie autorskich praw majątkowych (przejście praw z twórcy na nabywcę) lub udzielenie licencji (określenie warunków korzystania ze zdjęcia).

    Należy zatem bacznie zwracać uwagę na podpisywane dokumenty. Zwłaszcza w przypadku tzw. „gotowców z internetu” i przedstawionych nam wzorców. Nie czytając umów i nie znając znaczenia poszczególnych zapisów można nieświadomie pozbawić się pewnych praw. Skutek bywa taki, że fotograf nie możliwości wykorzystywania zdjęć do promocji własnej firmy, np. poprzez zamieszczanie w portfolio na stronie www lub social mediach.

    Wizerunek

    Fotograf musi pamiętać, że rozpowszechnianie wizerunku wymaga zezwolenia osoby na nim przedstawionej. W przypadku osoby małoletniej, niezbędne jest uzyskanie zgody od przedstawiciela ustawowego lub opiekuna.

    Prawo przewiduje 3 wyjątki od zasady uzyskiwania zgody:

    • osoba otrzymała zapłatę za pozowanie,
    • mamy do czynienia z  rozpowszechnianiem wizerunku osoby powszechnie znanej,
    • wizerunek osoby stanowi jedynie szczegół całości takiej jak zgromadzenie, krajobraz czy publiczna impreza.

    Fotograf rozpowszechniający w sieci wizerunek innych osób, który nie dysponuje ich zgodą, może ponieść z tego tytułu poważne konsekwencje. Istnieje bowiem klika mechanizmów prawnych umożliwiających osobie, której dobra naruszono dochodzenie roszczeń.

    Fotografia a Rodo

    Przetwarzając informacje na temat swoich klientów fotograf wchodzi w rolę administratora danych osobowych i zobowiązany jest do przestrzegania RODO. Zazwyczaj gromadzi nie tylko wizerunki osób przedstawionych na zdjęciach, ale również informacje takie jak: imię nazwisko klienta, adres, e-mail, nr telefonu, nr konta bankowego itp. Działając jako administrator danych zobowiązany jest między innymi do wypełnienia obowiązku informacyjnego czy zapewnienia odpowiednich środków technicznych i organizacyjnych, gwarantujących skuteczną ochronę  danych osobowych.

    Warto zatem zadbać o wdrożenie odpowiedniego systemu ochrony danych osobowych, adekwatnego do rodzaju i rozmiaru przetwarzania.

    Legalnie – profesjonalnie

    Duża konkurencja na rynku wymusza na branży kreatywnej pełen profesjonalizm usług. Dziś nie wystarczy wyłącznie pomysł, bo rynek zweryfikuje ile jest on faktycznie wart. Coraz silniejszym narzędziem gospodarczym staje się „legalna strona biznesu”. Jeśli klient jest zadowolony z jakości Twoich usługi i ma świadomość, że działasz transparentnie i zgodnie z prawem, z pewnością wróci wraz z kolejnymi klientami.

    Źródła

    RODO

    Ustawa 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych.

    Ustawa kodeks cywilny z dnia 23 kwietnia 1964 r.

    Czy ten wpis był dla Ciebie wartościowy? Jeśli tak, udostępnij go innym.

    Jesteś fotografem? Potrzebujesz indywidualnej konsultacji lub wsparcia w stworzeniu lub weryfikacji umowy? Nie czekaj, napisz do nas!

  • Zdjęcia pracowników na firmowej stronie a RODO i prawo autorskie?

    Zdjęcia pracowników na firmowej stronie a RODO i prawo autorskie?

    Moi klienci często zadają mi pytanie: czy Rodo zabrania publikacji zdjęć pracowników na firmowej stronie internetowej? Odpowiadam: NIE. Nie znajdziemy w RODO takiego zakazu. I gdy „Rodo już nie straszy” kieruję rozmowę na inny tor, sięgając do regulacji dotyczących ochrony dóbr osobistych. Następnie omawiamy cel publikacji, kontekst i treść informacji zamieszczanych przy fotografii. Ostatecznie koncentrujemy się na zgodzie samego pracownika. Jednoznacznej, konkretnej i niewątpliwej. Niewymuszonej i świadomej. I tak naprawdę chyba o to w prawie chodzi, żeby znaczenie poszczególnych przepisów (uprawień i obowiązków) odnieść do człowieka. Przestać traktować wymogi prawne jak kolejny kwadracik do odznaczenia. Jeśli chcesz wiedzieć, jak ma się zdjęcie pracownika do Rodo i praw autorskich, poniżej przedstawiam Ci najważniejsze informacje.

    Zdjęcia pracowników a Rodo

    Mam wrażenie, że Rodo stało się „straszakiem” i odpowiedzią na wszelkie wątpliwe kwestie prawne. Argumentu „Rodo” używają już nie tylko odbiorcy niechcianych ofert telemarketingowych, ale również urzędnicy, przedsiębiorcy oraz wyjątkowo czujni klienci. Również kwestia publikacji fotografii pracowników na stronach www od niedawna stała się problemem kojarzonym niemalże wyłącznie w kontekście Rodo. Tymczasem rozpowszechnianie wizerunku ściśle wiąże się z ustawą z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych oraz ochroną dóbr osobistych człowieka, o której mowa w  ustawie kodeks cywilny z dnia 23 kwietnia 1964 r.

    Rodo wprost nie zakazuje pracodawcy rozpowszechniania w sieci wizerunku pracownika. Jest on jednak administratorem danych swoich pracowników i powinien dostosować swoje działania do przepisów unijnego rozporządzenia. Tak, aby przetwarzanie danych osobowych odbywało się zgodnie z prawem, adekwatnie do okoliczności i w określonym celu.

    Zdjęcia prawcowników a prawo autorskie

    W myśl art. 81 ustawy o prawie autorskim i prawach pokrewnych, rozpowszechnianie wizerunku wymaga zezwolenia osoby na nim przedstawionej.  Prawo przewiduje 3 wyjątki od powyżej zasady. I tak zgoda nie będzie wymagana, gdy:

    • osoba ta otrzymała zapłatę za pozowanie,
    • mamy do czynienia z  rozpowszechnianiem wizerunku osoby powszechnie znanej, jeśli wizerunek wykonano w związku z pełnieniem przez nią funkcji publicznych, społecznych, zawodowych,
    • mamy do czynienia z rozpowszechnianiem wizerunku osoby stanowiącej jedynie szczegół całości takiej jak zgromadzenie, krajobraz czy publiczna impreza.

    Jeśli zatem pracodawca ma zamiar rozpowszechniać wizerunek swoich pracowników za pośrednictwem strony www, (np. publikując ich portrety z opisem) powinien pozyskać odpowiednie zezwolenia. W przypadku, gdy takich zgód nie będzie posiadał, może ponieść odpowiedzialność na gruncie prawa autorskiego. Zastosowanie znajdzie wówczas ochrona przewidziana w art. 78 ustawy. A osoba, której wizerunek opublikowano bez wymaganej zgody, będzie miała prawo zażądać od pracodawcy usunięcia naruszenia lub jego skutków, złożenia publicznego oświadczenia i zadośćuczynienia.

    Rodo a prawo autorskie

    Brak zgody pracownika na publikację wizerunku (przewidzianej w prawie autorskim) skutkuje nie tylko naruszeniem dóbr osobistych osoby przedstawionej na fotografii, ale również niespełnieniem wymogów wynikających z Rodo. Pracodawca w takiej sytuacji nie będzie bowiem dysponował przesłanką legalnego przetwarzania danych w postaci wizerunku. W konsekwencji może narazić się również na odpowiedzialność na gruncie Rodo (kara pieniężna, odpowiedzialność cywilnoprawna).

    Zgoda pracownika

    Zgoda pracownika może być wyrażona w sposób dowolny. Musi być jednak jednoznaczna, konkretna i niewątpliwa. Ze względów dowodowych, warto pozyskać ją w formie pisemnej. Powinna zawierać takie elementy jak: miejsce i data złożenia oświadczenia, cel wykorzystania wizerunku i okres na jaki jest udzielana.

    Ponadto, osoba, której zdjęcie ma być opublikowane na firmowej stronie internetowej powinna wiedzieć o ewentualnym zamiarze zestawienia jej wizerunku z innymi postaciami, opisem lub komentarzem. Chodzi o to, aby zestawienie  informacji z wizerunkiem nie obrażało pracownika, ani w inny sposób nie naruszało jego dóbr osobistych.

    Podsumowanie

    Wykorzystanie fotografii przedstawiających wizerunek pracowników wiąże się zazwyczaj z usprawnieniem komunikacji służbowej i działaniami promocyjnymi. Prezentacja zespołu z pewnością ociepla wizerunek firmy, co w konsekwencji może przełożyć się na wymierne korzyści. Sięgając po takie narzędzie marketingowe pamiętajmy jednak o pracowniku, który nie powinien być stawiany przed faktem dokonanym. Realizując własne interesy nie naruszajmy jego dóbr osobistych.

    Decydując się zaś na wykonanie profesjonalnej sesji fotograficznej nie zapominajmy o prawach autorskich do zdjęć. W tym celu, aby uniknąć ewentualnych wątpliwości co do dozwolonego użytku fotografii warto zadbać o odpowiednie brzmienie umowy z fotografem.

    Źródła

    RODO

    Ustawa 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych.

    Ustawa kodeks cywilny z dnia 23 kwietnia 1964 r.

  • Czy lekarz dentysta może zatrudnić innego dentystę?

    Czy lekarz dentysta może zatrudnić innego dentystę?

    Wielokrotnie już zadano mi następujące pytanie: czy jako lekarz dentysta prowadzący własny gabinet mam prawo zatrudnić innego stomatologa? W jaki sposób mogę rozwinąć działalność i wachlarz świadczonych usług podejmując współpracę z innymi specjalistami? Na przykład z ortodontą, implantologiem czy chirurgiem szczękowym…
    O tym kiedy i na jakich zasadach zatrudnienie innego lekarza jest możliwe wyjaśnię w niniejszym wpisie.

    Wolny zawód

    Zawód lekarza (lekarza dentysty) należy do kategorii tzw. wolnych zawodów. Bardzo często pojęcie wolnego zawodu kojarzy się wyłącznie z niezależnością i prestiżem. Tymczasem kryje się pod nim konieczność uzyskania szczególnego wykształcenia, specyficzne zasady wykonywania zawodu oraz osobisty charakter działania na własne ryzyko i odpowiedzialność.

    Pozostając przy zawodzie lekarza warto zaznaczyć, że wyjątkową rolę odgrywa sam przedmiot prowadzonej działalności. Mianowicie – świadczenie usług zdrowotnych, które odnoszą się do najcenniejszych dóbr człowieka, czyli życia i zdrowia! Pomiędzy lekarzem a pacjentem zachodzi również szczególny stosunek zaufania, stąd czynności zawodowe zobowiązany jest wykonywać osobiście. Nie powinno zatem nikogo dziwić, że ustawodawca narzuca medykom charakterystyczne warunki świadczenia usług.

    Praktyka lekarska czy podmiot leczniczy

    Lekarz, który planuje świadczyć swoje usługi w formie działalności gospodarczej wcześniej lub później stanie przed wyborem: zarejestrować praktykę lekarską czy podmiot leczniczy?

    W przypadku praktyki lekarskiej konieczne jest posiadanie prawa do wykonywania zawodu i dokonanie wpisu do CEIDG. Następnym krokiem będzie zarejestrowanie praktyki w rejestrze podmiotów wykonujących działalność leczniczą prowadzonym przez okręgową radę lekarską. Trzeba również spełnić wymagania dotyczące pomieszczenia, w którym usługi będą świadczone. Szczegółowe wytyczne odnośnie lokalu znajdują się w rozporządzeniu ministra zdrowia z dnia 26 czerwca 2012 r. Ponadto, lekarz zobowiązany jest do regularnego opłacania składki ubezpieczeniowej (OC).

    W przypadku prowadzenia działalności w formie podmiotu leczniczego istnieje pewna dowolność w wyborze formy  prawnej działalności. Podmiotem leczniczym może być zarówno jednoosobowy przedsiębiorca, który dokonał wpisu w CEIDG, jak i  spółka osobowa lub kapitałowa. Organem, w którym należy dokonać rejestracji podmiotu jest wojewoda. Wniosek należy złożyć elektronicznie za pośrednictwem strony internetowej. Uzyskanie wymaganego wpisu łączy się ze spełnieniem pewnych wymogów, tj.: posiadanie odpowiednich pomieszczeń lub urządzeń, używanie i przechowywanie wyrobów medycznych zgodnie z ustawowymi wytycznymi, zapewnienie wykonywania świadczeń zdrowotnych wyłącznie przez osoby wykonujące zawód medyczny i spełniające stosowne wymagania oraz posiadanie polisy OC (tu oplata jest wyższa niż w przypadku praktyki lekarskiej).

    Zatrudnianie lekarzy a forma działalności

    Mając już jakieś wstępne rozeznanie w kwestii rozróżnienia formy prowadzonej działalności leczniczej możemy przejść do sedna tematu.

    Indywidualna praktyka lekarska nie może zatrudniać innego lekarza w zakresie udzielanych świadczeń. Ograniczenie nie dotyczy zatrudniania osób niebędących lekarzami, które wykonują czynności pomocnicze. Wyjątkiem od powyższej reguły będzie zatrudnienie lekarza w celu odbycia stażu podyplomowego lub innego szkolenia specjalistycznego. Oczywiście pod warunkiem uprzedniego uzyskania przez indywidualną praktykę odpowiedniej akredytacji do prowadzenia tego typu szkoleń. Podstawę prawną stanowi przepis art. 53 ustawy o  zawodach lekarza i lekarza dentysty. Zgodnie z jego brzmieniem:

    Lekarz wykonujący indywidualną praktykę lekarską, indywidualną specjalistyczną praktykę lekarską, indywidualną praktykę lekarską lub indywidualną specjalistyczną praktykę lekarską w miejscu wezwania może zatrudniać osoby niebędące lekarzami do wykonywania czynności pomocniczych (współpracy).

    Lekarz, lekarz dentysta wykonujący indywidualną praktykę lekarską lub indywidualną specjalistyczną praktykę lekarską lub grupową praktykę lekarską lub grupową specjalistyczną praktykę lekarską, prowadzący odpowiednio staż podyplomowy, szkolenie specjalizacyjne lub szkolenia w celu uzyskania umiejętności z zakresu węższych dziedzin medycyny lub udzielania określonego świadczenia zdrowotnego, może zatrudniać lekarza, lekarza dentystę w celu odbywania przez niego stażu podyplomowego, szkolenia specjalizacyjnego lub szkolenia w celu uzyskania umiejętności z zakresu węższych dziedzin medycyny lub udzielania określonego świadczenia zdrowotnego.

    Ograniczenie możliwości zatrudniania innych lekarzy nie znajdzie zastosowania w przypadku podmiotu leczniczego. Lekarz wykonujący działalność w tego typu formie może swobodnie zatrudniać innych lekarzy. Czyli nawiązać z nimi zarówno umowy o pracę, jak i ustalać inne formy współpracy.

    Przekształcenie indywidualnej praktyki w podmiot leczniczy

    Jeśli zatrudnienie lekarza w prowadzonej praktyce nie jest możliwe i w pewnym stopniu ogranicza rozwój prowadzonej działalności, warto zastanowić się nad dokonaniem przekształcenia w podmiot leczniczy. Na taki krok decydują się zazwyczaj lekarze, którzy planują rozszerzyć profil prowadzonej działalności, zawierają kontrakty z NFZ albo po prostu chcą pracować mniej, jednocześnie nie tracąc dochodu i pacjentów.

    Samo przekształcenie nie jest bardzo skomplikowane. Wymaga przede wszystkim złożenia wniosku o wykreślenie praktyki zawodowej i uzyskania wpisu jako podmiot leczniczy. Oczywiście, należy spełnić wymagania dotyczące polisy, pomieszczeń i itp.

    A jeśli nie podmiot leczniczy to co?

    Jeśli zmiana formy działalności nie jest odpowiednim rozwiązaniem problemu w zakresie współpracy z innymi lekarzami, warto rozważyć prowadzenie kilku praktyk lekarskich w jednym gabinecie. Przede wszystkim, mam tu na myśli grupową praktykę lekarską. Może ona przybrać formę spółki cywilnej,  jawnej czy partnerskiej. Co jest ważne, w ramach grupowej praktyki lekarskiej świadczenia zdrowotne mogą być udzielane wyłącznie przez lekarzy będących wspólnikami albo partnerami ( art. 18 ust. 7 ustawy o działalności leczniczej).

    Nic nie stoi również na przeszkodzie, aby lekarze przyjęli rozwiązanie polegające na wspólnym uzgodnieniu sposobu korzystania z jednego gabinetu lekarskiego. Wówczas istotne będzie szczegółowe uregulowanie kwestii dotyczących ponoszonych kosztów (lokal, sprzęt), zatrudnienia personelu czy odpowiedzialności za bezpieczeństwo przetwarzanych danych osobowych.

    Podsumowanie

    Wbrew panującej opinii, że prawo ogranicza działalność stomatologów, uważam, że rozwiązań jest całkiem sporo. Jednakże każde z nich należy przeanalizować indywidualnie pod kątem stawianych celów i realnych możliwości. Nie zapominajmy przy tym, że gabinet lekarski to nie tylko biznes, ale przede wszystkim usługi na rzecz zdrowia i życia ludzkiego.

  • Bezpieczeństwo danych osobowych ucznia

    Bezpieczeństwo danych osobowych ucznia

    Początek roku szkolnego to duże wyzwanie dla rodziców. Zwłaszcza dla tych, których dziecko dopiero zaczyna przygodę ze szkołą lub przedszkolem. I nie chodzi tu wyłącznie o emocje towarzyszące temu wydarzeniu lub skompletowanie idealnej wyprawki (choć to też nie lada wyzwanie!). Nowy rok szkolny niesie za sobą wiele problemów organizacyjnych. Zwłaszcza, gdy trzeba pogodzić pracę zawodową z opieką nad dzieckiem, które kończy lekcje o 12 albo zaczyna dopiero o 13. Na ratunek niektórym (szczęściarzom!) przychodzą dziadkowie, ciocie i nianie. Pozostali polegają na rożnych instytucjach publicznych i niepublicznych, klubach i akademiach oraz prywatnych przedsiębiorstwach z szeroką gamą zajęć pozalekcyjnych. Ostatecznie każda zorganizowana forma opieki nad dziećmi ma realny wpływ na poziom ich bezpieczeństwa. W tym również na bezpieczeństwo danych osobowych naszych pociech.

    Jako opiekun małego żłobkowicza, przedszkolaka lub ucznia we wrześniu podpiszesz różne druki zgłoszeniowe, umowy lub zgody. Zapoznaj się z nim uważnie! Być może właśnie decydujesz, czy zgadzasz się na publikację wizerunku Twojego dziecka na fanpage’u szkoły. Jeśli zaś jesteś dyrektorem szkoły, przedszkola, właścicielem szkoły językowej lub klubu sportowego pamiętaj, że zobowiązany jesteś do przestrzegania przepisów RODO. W tym artykule przedstawię Ci kilka przykładowych czynności z jakimi wiąże się przetwarzanie danych w publicznym przedszkolu i szkole.

    Zacznijmy od rekrutacji

    Żeby zapisać  dziecko do szkoły rodzice zobowiązani są wypełnić wniosek zgłoszeniowy i załączyć do niego wymagane prawem oświatowym dokumenty. We wniosku podjemy dane osobowe dziecka: imię i nazwisko, datę urodzenia, nr PESEL (a w przypadku jego braku numer dowodu potwierdzającego  tożsamość), adres zamieszkania oraz dane osobowe rodziców. Wśród załączników mogą się znaleźć informacje o dochodzie na osobę w rodzinie, prawomocny wyrok sądu rodzinnego dotyczący rozwodu, separacji, jak również akt zgonu lub oświadczenia dotyczące osób wychowujących dziecko.

    Jak sami widzicie katalog danych osobowych jest dość rozbudowany. Dlatego przestrzeganie przez szkołę przepisów z zakresu ochrony danych osobowych, a tym samym zapewnienie ich bezpieczeństwa i poufności, jest bardzo ważne. Puntem wyjścia będzie wypełnienie obowiązku informacyjnego, który spoczywa na szkole jako administratorze danych osobowych. Przedstawienie w sposób jasny, przejrzysty i zrozumiały tego kto, w jakim cel, w oparciu o jaka podstawę prawną i jak długo przetwarza dane osobowe dziecka z pewnością uspokoi rodziców. Jednym ze sposobów jest opracowanie odpowiedniej klauzuli informacyjnej i zamieszczenie jej w treści wniosku lub w formie załącznika.

    Wyniki rekrutacji – czyli listy uczniów

    Obowiązek podania do publicznej wiadomości wyników z przeprowadzonej rekrutacji został uregulowany w prawie oświatowym. Takie listy należy upublicznić poprzez ich umieszczenie w widocznym miejscu w siedzibie odpowiednio przedszkola, szkoły lub placówki. Listy zawierają imiona i nazwiska kandydatów uszeregowane w kolejności alfabetycznej oraz najniższą liczbę punktów, która uprawnia do przyjęcia. Wyraźnie wskazując na „siedzibę szkoły”, prawo nie przewidziało możliwości publikowania list uczniów na stronie internetowej szkoły. Jest to zatem niedopuszczalne.

    Dokumentacja z badania psychologa i logopedy

    Szkoły i przedszkola nie koncentrują się wyłącznie na edukacji dzieci. W razie potrzeby udzielają im również wsparcia pedagogiczno-psychologicznego. Dzięki temu dzieci mogą liczyć na pomoc psychologa, pedagoga czy logopedy.

    Z punktu widzenia ochrony danych osobowych ucznia istotną kwestią jest gromadzenie przez placówki oświatowe dokumentacji badań i czynności uzupełniających prowadzonych przez specjalistów. W imiennych teczkach dzieci znajdziemy informacje, które mogą mieć postać tzw. danych wrażliwych, czyli danych szczególnie chronionych. Ważne jest zatem, by szkoła uniemożliwiła ujawnienia ich treści osobo nieupoważnionym poprzez zastosowanie odpowiednich środków bezpieczeństwa i zasad poufności.

    Wyróżnienia w konkursach

    W tym kontekście powstało wiele mitów. Przykładowe: zakaz wywieszania podpisanych imieniem i nazwiskiem dziecka prac plastycznych oraz zakaz zamieszczania informacji o wyróżnieniu dziecka w konkursie. Przepisy o ochronie danych osobowych takich zakazów nie ustanawiają! Co więcej, zgodnie ze wskazówkami Urzędu Ochrony Danych Osobowych, umieszczanie na tablicach na terenie szkoły danych osobowych uczniów w celu ich wyróżnienia za szczególne osiągnięcia mieści się w granicach realizowanych przez szkołę w interesie publicznym zdań i „przyczynia się do wzmocnienia własnej poczucia wartości ucznia”.

    Z punktu widzenia formalnego takie czynności nie wymagają pozyskiwania od rodziców odrębnych zgód, gdyż pozostają w obszarze działań motywacyjnych po stronie szkoły. Jednak, gdyby tego typu praktyka w jakiś sposób, w ocenie rodziców, mogła naruszać dobra osobiste dziecka, to mają oni prawo do złożenia sprzeciwu wobec takiego przetwarzania z przyczyn związanych ze szczególną sytuacją danej osoby.

    Publikacja zdjęć dzieci na stronie www

    Zupełnie odmienny stan prawny mamy w przypadku publikowania zdjęć uczniów na stronie internetowej. Tu zgoda rodzica niepełnoletniego dziecka jest jak najbardziej zasadna i pożądana. Chodzi bowiem o ochronę wizerunku, którego rozpowszechnianie wiąże się z regulacjami prawa autorskiego i praw pokrewnych oraz ochroną dóbr osobistych. W tym przypadku publikacja wizerunku ucznia na stronie internetowej lub fanpage’u szkoły wymaga odrębnej zgody i indywidualnej decyzji opiekuna prawnego dziecka.

    Dodam, że pozyskania zgody nie wymaga rozpowszechnianie wizerunku osoby stanowiącej jedynie szczegół całości. Chodzi tu o zgromadzenie, krajobraz lub publiczną imprezę. Zatem rozpowszechnianie zdjęć z zabaw szkolnych czy wycieczek, na których widzimy sylwetkę dziecka jako szczegół całości fotografii nie biedzie wymagało pozyskania odrębnej zgody.

    O tym jakie elementy, zgodnie z wymaganiami RODO, powinna zawierać zgoda pisałam w artykule na temat legalności przetwarzania danych osobowych. Ponadto, należy pamiętać, że zgoda może być w każdej chwili wycofana.

    Udostępnianie danych osobowych ucznia „na zewnątrz”

    Spotkałam się kilkukrotnie z sytuacją, że dziecko wypełniło w szkole formularz (np. ankietę szkoły językowej lub ubezpieczyciela), podając szczegółowe dane (imię i nazwisko ucznia oraz rodziców, adres zamieszkania, e-mail, nr telefonu, wiek itp.). Następnie autor ankiety przesyłał na adres zamieszkania dziecka oferty handlowe bądź telefonował celem zawarcia umowy na odległość. Czy można wykorzystywać w ten sposób pozyskane informacje o potencjalnych klientach?

    Nie, jeśli nie istniała ku temu odpowiednia przesłanka prawna. Aby legalnie wykorzystywać informacje podane przez dziecko w ankiecie podmiot musi dysponować wyraźną zgodą opiekunów prawnych dziecka. Takiej zgody w imieniu ucznia nie może udzielić nauczyciel czy dyrektor szkoły. Co więcej, szkoła powinna czuwać nad zapewnieniem ochrony prywatności uczniów!

    Interesujący przykład udostępniania danych ucznia wskazuje w swoim „Poradniku dla szkół” Urząd Ochrony Danych Osobowych. Dotyczy on udostępniania danych osobowych uczniów z określonego rocznika lub klasy absolwentowi szkoły. Organ nadzorczy wyraźnie zaznaczył, że może to nastąpić tylko wówczas, gdy wcześniej osoba, której dane dotyczą wyrazi na to zgodę.

    Rodo w niepublicznych placówkach, klubach, szkołach językowych

    Przepisy RODO obowiązują we wszystkich podmiotach, zarówno prywatnych, jak i publicznych, które przetwarzają dane osobowe. W związku z tym, każdy kto przetwarza dane osobowe powinien dostosować dotychczasowe procedury do aktualnych wymagań i zapewnić jak najwyższy stopień bezpieczeństwa oraz poufności danych.

    W przypadku korzystania z usług świadczonych na rzecz dzieci zazwyczaj podstawą prawną przetwarzania jest przepis prawa, umowa lub zgoda. Przy czym treść postanowień umowy, zwłaszcza w  zakresie dotyczącym  dóbr osobistych dziecka, nie może być sprzeczna z obowiązującym porządkiem prawnym i zawierać klauzul niedozwolonych.

    Podsumowanie

    W trakcie roku szkolnego wielu rodziców wypełni ankiety i formularze oraz podpisze gotowe wzorce umów, zgłoszenia i zgody. Dokumenty te stworzą zarówno publiczne i niepubliczne placówki oświatowe, jak  również podmioty prywatne, których oferta usług skierowanych do dzieci stale rośnie. Moja uwaga jest następująca: nie bójmy się ich czytać! A w razie wątpliwości prośmy o wyjaśnienie znaczenia poszczególnych postanowień oraz domagajmy się tego, by dane osobowe naszych dzieci były należycie chronione.

    Źródła

    Strona internetowa UODO

    Prawo oświatowe

    RODO

  • Kopia danych osobowych a kopia dokumentacji medycznej

    Kopia danych osobowych a kopia dokumentacji medycznej

    Stosowanie RODO budzi wiele praktycznych wątpliwości po stronie placówek medycznych. Jedną z nich jest praktyczna realizacja „prawa do kopii danych osobowych” w powiązaniu z funkcjonującym w prawie medycznym „prawie dostępu do dokumentacji medycznej”. Lekarze zastanawiają się w jaki sposób prawidłowo realizować uprawnienia pacjentów oraz kiedy naliczać opłaty za udostępnione kopie historii choroby. I nie chodzi tu wyłącznie o kwestie finansowe, ale przede wszystkim organizacyjno – techniczne. Szczególnie wówczas, gdy lekarz jest sam sobie sterem, żeglarzem, okrętem…

    Wniosek pacjenta – dwa uprawnienia

    Jeśli pacjent wystąpi z wnioskiem o udostępnienie kopii danych osobowych powołując się na RODO (a konkretnie na art. 15 ust. 3) administrator ma obowiązek dostarczyć mu kopię danych osobowych podlegających przetwarzaniu. Pierwsza kopia powinna zostać udostępniona bezpłatnie. Za wszelkie kolejne administrator może pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych.

    W przypadku, gdy pacjent zwróci się o wydanie kopii historii choroby będziemy mieli do czynienia z udostępnieniem dokumentacji medycznej na podstawie art. 23 ust. 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta.Jest to jedno z podstawowych praw pacjenta gwarantujące dostęp do informacji o stanie zdrowia i udzielonych świadczeniach zdrowotnych. O tym kto i na jakich zasadach może uzyskać takie informacje pisałam tutaj. Dodam, że w przypadku udostępniania dokumentacji medycznej w oparciu o ww. ustawę podmiot udzielający świadczeń zdrowotnych może każdorazowo pobrać opłatę za wydane odpisy lub kopie, której maksymalną wysokość określa art. 28 ustawy.

    Mamy zatem do czynienia z dwoma niezależnymi uprawnieniami. Ich źródłem są odmienne przepisy prawa. Ponadto, służą realizacji różnych celów. Prawo do kopii danych pozwala osobie fizycznej zweryfikować zgodność przetwarzania jej danych z obowiązującym prawem. Natomiast prawo dostępu do dokumentacji medycznej ma znacznie szerszy charakter. Nie ogranicza się wyłącznie do pojęcia danych osobowych, a jego realizacja pozwala na pozyskanie szerszego katalogu informacji.

    Kopia danych w postaci kopii dokumentacji medycznej

    Kopia danych osobowych to nie to samo co kopia dokumentacji medycznej!

    Udostępniając pacjentowi kopię danych osobowych lekarz nie jest wprost zobowiązany do kserowania historii choroby. Realizacja uprawnienia z Rodo może ograniczyć się wyłącznie do treści danych osobowych bez konieczności udostępniania całego nośnika. Przepisy unijnego rozporządzenia mówią bowiem o kopii danych osobowych, a nie o kopii nośnika, na którym dane się znajdują. Ponadto, dokumentacja medyczna może zawierać również inne informacje, które nie są danymi osobowymi w rozumieniu art. 4 pkt 1 RODO.

    W związku z powyższym, pacjent – powołując się art. 15 Rodo – może żądać kopii danych, a nie kopii dokumentacji medycznej.

    Sporządzenie kopii dokumentacji medycznej jest jedną z prawnie dostępnych form pozyskania informacji o stanie zdrowia pacjenta i udzielonych mu świadczeniach zdrowotnych, o których mowa w art. 27 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta. Przy czym w praktyce może również stanowić sposób realizacji uprawnienia do kopii danych osobowych.

    Terminy realizacji uprawnień

    W przypadku wniosku o wydanie kopii danych osobowych na podstawie RODO administrator bez zbędnej zwłoki – a w każdym razie w terminie miesiąca od otrzymania żądania – udziela osobie, której dane dotyczą, informacji o działaniach podjętych w związku z żądaniem. Termin może ulec przedłużeniu o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań. Przy czym administrator informuje wnioskującego o opóźnieniu i jego powodach w terminie miesiąca od otrzymania żądania.

    Realizacja prawa dostępu do dokumentacji medycznej powinna nastąpić bez zbędnej zwłoki.

    Sposoby realizacji uprawnień

    Pacjent ma prawo dokonania wyboru, z którego uprawnienia chce skorzystać: prawa do kopii danych osobowych czy prawa dostępu do dokumentacji medycznej.

    Jeśli pacjent wystąpi z wnioskiem o wydanie kopi danych osobowych, o tym w jakiej formie dane zostaną mu udostępnione ostatecznie decyduje administrator. W praktyce oznacza to, że może ale nie musi wydawać pacjentowi kompletnej kopii dokumentacji medycznej.

    W przypadku realizacji prawa dostępu do dokumentacji medycznej wydanie jej kopii dokumentacji jest uregulowane ustawowo. Art. 27 ust. 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta mówi wprost, że dokumentacja medyczna jest udostępniana do wglądu, przez sporządzenie odpisu, wyciągu, wydruku, wydania oryginału za potwierdzeniem odbioru i z zastrzeżeniem zwrotu po wykorzystaniu (na żądanie organów władzy publicznej albo sądów powszechnych, a także w przypadku gdy zwłoka w wydaniu dokumentacji mogłaby spowodować zagrożenie życia lub zdrowia pacjenta) czy też poprzez udostępnienie na informatycznym nośniku lub za pośrednictwem środków komunikacji elektronicznej. W niniejszym kontekście przepisy nie przewidują po stronie lekarza swobody w doborze formy realizacji uprawnienia pacjenta.  O formie decyduje wnioskujący w oparciu o właściwe przepisy prawa.

    Odnośnie swobody wyboru formy kopii danych udostępnianej przez administratora tożsame stanowisko znajdziemy w komunikacie zamieszczonym na stronie internetowej Urzędu Ochrony Danych Osobowych. Cytując: (…) Jeżeli pacjent zwróci się do lekarza bądź do podmiotu udzielającego świadczeń zdrowotnych o kopię przetwarzanych danych osobowych, podmioty te podejmują decyzję, w jaki sposób zrealizują to uprawnienie. Mogą one wówczas dokonać wyboru, czy udostępnią kopię dokumentacji medycznej, czy też udostępnią kopię danych zawartych w dokumentacji medycznej. W wielu przypadkach podmioty te mogą zdecydować się na sporządzenie kopii dokumentacji medycznej, gdyż będzie to dla nich najprostsza forma realizacji prawa pacjenta, a zarazem wywiązania się ciążącego na nich obowiązku.

    Stanowiska Rzecznika Praw Pacjenta i UODO

    W dniu 21 czerwca 2018 r. Rzecznik Praw Pacjenta przedstawił swój pogląd w sprawie prawa pacjenta do kopii danych osobowych w komunikacie skierowanym do podmiotów wykonujących działalność leczniczą. Z jego treści wynikało, że dostarczenie kopii danych nie może być dokonane bez udostępnienia dokumentacji. Rzecznik uznał, że nie można rozdzielić nośnika danych od samych danych, a żądanie wydania kopii danych osobowych przetwarzanych w dokumentacji medycznej powinno powodować powstanie obowiązku udostępnienia pacjentowi wszystkich stron tej dokumentacji.

    Powyższy pogląd wywołał dyskusję w temacie i zrodził pewne obawy po stronie medyków. W szczególności dotyczyły one masowego korzystania z „darmowego prawa do kopii dokumentacji medycznej”. Co w konsekwencji mogłoby znacznie obciążyć czasowo i finansowo podmioty świadczące usługi medyczne, a w niektórych sytuacjach nawet nosić znamiona nadużycia prawa.

    Z odsieczą przyszedł Urząd Ochrony Danych Osobowych, który w dniu 27.07.2018 r. opublikował na swojej stronie internetowej komentarz w sprawie realizacji prawa pacjenta do otrzymania kopii danych osobowych oraz kopii dokumentacji medycznej. Znajdziemy w nim następujące stwierdzenie: (…) Są to dwa różne prawa i służą różnym celom. Mogą, lecz nie zawsze muszą, być realizowane w odmienny sposób”, ” (…) W przypadku udostępniania kopii danych osobowych przetwarzanych w dokumentacji medycznej podstawowe znaczenie ma treść danych. RODO nie posługuje się pojęciem udostępniania kopii dokumentów zawierających dane osobowe, jest w nim natomiast używane pojęcie kopii danych. Ponadto, podkreślono, że jeżeli pacjent nie wskaże, że wnioskuje o realizację prawa na gruncie RODO, to udostępnienie dokumentacji medycznej powinno się odbyć na zasadach określonych w u.p.p. Tym samym nie podzielono opinii Rzecznika Praw Pacjenta co do poglądu kopia danych = kopia dokumentacji medycznej.

    W dniu 6.08.2018 r. na stronie internetowej Rzecznika Praw Pacjenta zamieszczono komunikat z prośbą prośba o zgłaszanie uwag i wątpliwości dotyczących stosowania art. 15 ust. 3 RODO w zakresie udostępnienia pacjentom kopii ich danych zawartych w dokumentacji medycznej. Informacje mają posłużyć do analizy wskazanego zagadnienia, o której wynikach Rzecznik Praw Pacjenta poinformuje odrębnym komunikatem.

    Aktualizacja – zmiany po 4 maja 2019 r.

    Od 4 maja 2019 r. –  na skutek zmian prawnych – udostępnienie po raz pierwszy dokumentacji medycznej jest bezpłatne! To efekt zmian po wejściu w życie ustawy, która wdraża RODO i zmienia przepisy sektorowe. Oznacza to, że ustawodawca przychylił się do stanowiska Rzecznika Praw Pacjentów. W praktyce oznacza to, że pierwszą kopię dokumentacji medycznej pacjent lub jego przedstawiciel ustawowy otrzyma za darmo. Za kolejne kopie zapłaci na dotychczasowych zasadach.

    Podsumowanie

    Okazuje się, że praktyczne stosowanie Rodo w kontekście regulacji szczególnych właściwych prawu medycznemu nie jest zadaniem łatwym. Zwłaszcza dla tych gabinetów i placówek, które do czasu wejścia w życie nowych przepisów o ochronie danych osobowych nie do końca wiedziały jak realizować prawa pacjentów dotyczące dostępu do informacji o stanie zdrowia i udzielonych świadczeniach. Dlatego też przy wdrażaniu Rodo w służbie zdrowia niezbędna jest wiedza z zakresu prawa medycznego oraz ustalenie jasnych procedur realizacji poszczególnych uprawnień. Tak, aby nie tracić czasu na analizy poszczególnych wniosków i skupić się na leczeniu.

    Źródła

    Strona internetowa Urzędu Ochrony Danych Osobowych

    Strona internetowa Rzecznika Praw Pacjenta

    Ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta

    Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (tzw. RODO)

  • Rekrutacja a RODO, czyli jak zamieszczać ogłoszenia i zbierać zgody

    Rekrutacja a RODO, czyli jak zamieszczać ogłoszenia i zbierać zgody

    Prowadzisz rekrutację? Jeśli tak, to najprawdopodobniej ogłoszenie o prowadzonym naborze zamieściłeś na swojej stronie internetowej, w mediach społecznościowych lub w innym serwisie internetowym. Zaczynają spływać aplikacje, a Ty wchodzisz w rolę administratora danych osobowych. Tym samym, mając świadomość lub nie, jesteś zobowiązany do stosowania przepisów unijnego rozporządzenia o ochronie danych osobowych (tzw. RODO), które obowiązuje od 25 maja 2018 r. Jeśli nie wiesz w jaki sposób i o czym powinieneś informować kandydatów zamieszczając ogłoszenie o naborze, albo zastanawiasz się jak powinna brzmieć nowa formułka zgody na przetwarzanie danych, to poniższy artykuł jest skierowany właśnie do Ciebie!

    Informacje dla kandydatów do pracy

    Oprócz strategicznych kwestii dotyczących stanowiska pracy (wymagania, zakres obowiązków, oferta) rekrutujący powinien poinformować potencjalnych kandydatów o tym:

    • kto jest administratorem danych –  czyli kto ustala cele i sposoby przetwarzania danych osobowych i jak można się nim skontaktować,
    • jaki jest cel zbierania danych osobowych,
    • czy podanie danych jest niezbędne i jakie skutki rodzi ich niepodanie,
    • jaka jest podstawa prawna – czyli skąd wynika możliwość zbierania danych kandydatów do pracy,
    • kto będzie odbiorcą danych pozyskanych w związku z rekrutacją (czyli kto może mieć do nich dostęp),
    • czy dane będą przekazywane do krajów trzecich – czy otrzyma je od rekrutującego jakiś podmiot spoza UE,
    • jak długo dane osobowe kandydatów będą przetwarzane (zbierane, przechowywane, udostępniane itp.),
    • czy na podstawie podanych informacji podjęte zostaną zautomatyzowane decyzje (np. profilowanie) i jakie konsekwencje mogą przynieść osobie,
    • jakie uprawnienia przysługują uczestnikom w związku z przetwarzaniem ich danych (katalog praw wynikających z RODO i mających zastosowanie).

    Wypełnienie obowiązku informacyjnego powinno zostać dokonane w łatwo dostępnej formie, prostym językiem oraz w sposób jasny i zrozumiały.

    Zgoda na przetwarzanie danych nie zawsze jest konieczna

    Zgoda jest jedną z przesłanek, które uprawniają do legalnego przetwarzania danych osobowych. O zgodzie i legalności przetwarzania danych pisałam tu.

    Jeśli zatem istnieje inna podstawa do przetwarzania danych, pozyskiwanie dodatkowej zgody od kandydata do pracy nie będzie konieczne. Taka sytuacja będzie miała miejsce w przypadku zamiaru zatrudnienia pracownika na umowę o pracę. Wówczas zastosowanie znajdą przepisy Kodeksu pracy, w tym w szczególności art. 221 o następującym brzmieniu:

    Pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:

    1) imię (imiona) i nazwisko;

    2) imiona rodziców;

    3) datę urodzenia;

    4) miejsce zamieszkania (adres do korespondencji);

    5) wykształcenie;

    6) przebieg dotychczasowego zatrudnienia.

    Niezależnie od danych osobowych, o których mowa wyżej, pracodawca ma prawo żądać od pracownika także:

    1) innych danych osobowych pracownika, a także imion i nazwisk oraz dat urodzenia dzieci pracownika, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy;

    2) numeru PESEL pracownika.

    W tym miejscu należałoby zastawić się nad dwiema istotnymi kwestiami. Po pierwsze, czy Twoja oferta na pewno dotyczy pracy na etat, a może jednak umowy cywilnoprawnej? Po drugie, czy pozyskujesz także inne dodatkowe informacje, które nie mieszczą się w granicach ww. przepisu? Przykładowo: fotografię przedstawiającą wizerunek osoby aplikującej.

    Jeśli Twoja oferta pracy dotyczy umowy cywilnoprawnej albo zakres pozyskiwanych danych znacznie wykracza poza kodeksową przesłankę legalności (przy umowie o pracę) oraz inne przesłanki wynikające z obowiązujących przepisów prawa – pozostaje poprosić kandydata o dołączenie do dokumentów aplikacyjnych odpowiedniego oświadczenia.

    Nowa klauzula zgody do CV

    Dotychczas stosowaną klauzulę zgody na przetwarzanie danych w oparciu o ustawę z dnia 29.08.1997 r. wypadałoby nieco zmodyfikować. Jak? Przede wszystkim nie należy powoływać się na akt prawny, który został uchylony. Ustawa z 1997 r. już nie obowiązuje! Oświadczenie o zgodzie na przetwarzanie danych powinno mieć zrozumiałą i łatwo dostępną formę, przy jednoczesnym sformułowaniu treści prostym i jasnym językiem. Co ważne, zgoda ma przetwarzanie danych w celu rekrutacji nie może być łączona z innymi zgodami, ani w żaden sposób wymuszona. Powinna być wyraźna i odnosić się do określonego przetwarzania przez konkretnego administratora danych.

    W zależności od celu i okresu przetwarzania przykładowe klauzule mogą wyglądać następująco:

    Prosimy o zamieszczenie w dokumentach aplikacyjnych jednego z oświadczeń:

    Wyrażam zgodę na przetwarzanie moich danych osobowych zawartych w zgłoszeniu (CV, list motywacyjny) oraz informacji zebranych podczas ewentualnej rozmowy kwalifikacyjnej w celu przeprowadzenia postępowania rekrutacyjnego na stanowisko xxx w firmie YYY.

    Wyrażam zgodę na przetwarzanie moich danych osobowych zawartych w zgłoszeniu (CV, list motywacyjny) oraz informacji zebranych podczas ewentualnej rozmowy kwalifikacyjnej przez okres trwania procesu rekrutacyjnego na stanowisko xxxx  w firmie YYY, jak również w celu włączenia mnie do bazy kandydatów na potrzeby przyszłych procesów rekrutacyjnych w firmie YYY, w tym również na inne stanowiska.

    Zmiany w kodeksie pracy

    Projekt ustawy o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679 przewiduje pewne modyfikacje w przepisach prawa pracy w zakresie dotyczącym danych osobowych. Między innymi planowane jest rozszerzenie katalogu z art. 221 Kodeksu pracy o „dane kontaktowe” i wyłączenie z niego „imion rodziców”. Przy czym podanie danych w zakresie wykształcenia, kwalifikacji zawodowych oraz przebiegu dotychczasowego zatrudnienia musi być niezbędne do wykonywania określonego rodzaju pracy lub na określonym stanowisku pracy.

    Planowane jest również wprowadzenie nowych przepisów, w tym w szczególności art. 221a i art. 221b. Pierwszy z nich dotyczy przetwarzania przez pracodawcę innych danych niż wymienione w art. 221 za zgodą osoby ubiegającej się o zatrudnienie lub pracownika. Z projektu wynika, że brak zgody lub jej wycofanie, nie może być podstawą niekorzystnego traktowania osoby ubiegającej się o zatrudnienie lub pracownika, a także nie może powodować wobec nich jakichkolwiek negatywnych konsekwencji. Drugi z przywołanych powyżej przepisów dotyczy przetwarzania  tzw. danych wrażliwych oraz danych dotyczących wyroków skazujących i naruszeń prawa. W kontekście proponowanych zmian, dopuszczalność ich przetwarzania może mieć miejsce tylko w przypadku niezbędności wypełnienia obowiązku pracodawcy nałożonego przepisem prawa.

    Przechowywanie CV i LM

    Przepisy prawa nie wskazują wprost, jak długo pracodawca może przechowywać otrzymane CV i LM oraz kiedy stają się one nieaktualne. Jeśli zgłaszający swoją aplikację wyraźnie zaznaczył, że jego zgoda na przetwarzanie obejmuje wyłącznie okres odpowiadający procesowi rekrutacji na konkretne stanowisko, to po dokonaniu wyboru nie powinniśmy pozostawiać zebranych zgłoszeń w swoich zbiorach. Jeśli zależy nam na pozostawieniu kontaktów „na później” na potrzeby ewentualnych przyszłych naborów, należało zadbać o odpowiednie brzmienie klauzuli zgody.

    I choć wydawałoby się, że już samo aplikowanie na stanowisko jest wyraźnym działaniem i powinno samo przez się stanowić zgodę na przetwarzanie jej danych, to budzi pewne wątpliwości interpretacyjne. Oceniając sytuację z perspektywy przedsiębiorcy, na którym ciąży ciężar dowodu legalności przetwarzania danych, pozyskiwanie pisemnej zgody nadal wydaje się być uzasadnione.

    Dostęp do aplikacji kandydatów

    Pracodawca, gromadząc aplikacje kandydatów do pracy, zobowiązany jest do zastosowania organizacyjnych, technicznych oraz fizycznych środków ochrony danych osobowych. Oznacza to w szczególności bezpieczne przechowywanie otrzymanych zgłoszeń oraz ich usuwanie i niszczenie po upływie legalnego okresu przetwarzania. Przykładowymi rozwiązaniami mogą być: przechowywanie wydrukowanych dokumentów aplikacyjnych w metalowej, zamykanej szafce, zabezpieczenie systemu informatycznego przed dostępem osób nieupoważnionych – uwierzytelnianie dostępu czy szyfrowanie wiadomości zawierających zgłoszenia aplikacyjne.

    Podsumowanie

    Rekrutacja ściśle wiąże się z przetwarzaniem danych osobowych. Dlatego zarówno w małej firmie, jak i w dziale HR giganta ważna jest weryfikacja dokonywanych na danych operacji pod kątem ryzyka przypadkowego lub niezgodnego z prawem ich ujawnienia, zniszczenia lub utraty. Dostosowanie do obowiązujących przepisów warto zacząć od inwentaryzacji zgromadzonych aplikacji pod kątem zasadności i legalności dalszego przetwarzania zawartych w nich danych. Mówiąc wprost – chodzi o uporządkowanie folderów, skrzynek mailowych, teczek i szuflad zawierających CV i listy motywacyjne kandydatów do pracy. Kolejny krokiem powinno być opracowanie wewnętrznych procedur przetwarzania danych oraz odpowiednich wzorów lub szablonów publikowanych ogłoszeń o naborze.

    Podstawa prawna

    RODO

    Ustawa o ochronie danych osobowych

    Prawo pracy

    Projekt ustawy o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679

  • Dokumentacja przetwarzania danych według nowych przepisów

    Dokumentacja przetwarzania danych według nowych przepisów

    Kolejny tydzień funkcjonujemy w nowym systemie ochrony danych osobowych, który wprowadziło unijne rozporządzenie obowiązujące od 25 maja 2018 r. Zmiany odbiły się głośnym echem głównie wśród przedsiębiorców, którzy rozpoczęli masową produkcję dokumentacji na potrzeby ewentualnej kontroli. Sposoby na zdobycie „rodopapierów” były różne (kwestia budżetu i wymagań). Wśród nich znalazły się: zakup wzorów do wypełnienia, kopiowanie tego, co ktoś wrzucił do sieci, czy też indywidualne audyty i opracowania specjalistów. Przez chwilę poczułam się jak przy punkcie ksero na pierwszym roku studiów… Biorąc jednak po uwagę fakt, że każda branża ma odrębne regulacje szczególne, które wypadałoby poznać zanim wykorzystamy gotowy druk, zaczęłam się zastanawiać na ile szablon jest w stanie urzeczywistnić wywiązanie się z zasady rozliczności wg. RODO. Tym bardziej, że rozporządzenie nie nakazuje nam wprost tworzenia opasłych tomów dokumentacji. Poniżej postaram się wyjaśnić, gdzie można szukać wskazówek niezbędnych do stworzenia rejestru, polityk, procedur itp.

    Przepisy prawa a dokumentacja

    Z chwilą wejścia w życie nowych przepisów tracą moc dotychczasowe regulacje. W tym chociażby rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych. Na dzień dzisiejszy niezbędnych informacji należy szukać w rozporządzeniu Parlamentu Europejskiego i Rady (UE) z dnia 27 kwietnia 2016 r. (tzw. RODO), w ustawie z dnia 10 maja 2018 r. o ochronie danych osobowych oraz innych szczególnych regulacjach dotyczących konkretnej branży.

    Przykładowo w przypadku podmiotów wykonujących działalność leczniczą będzie to w szczególności: ustawa z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta i rozporządzenie Ministra Zdrowia z dnia 9 listopada 2015 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania. W odniesieniu zaś do podmiotów realizujących zadania publiczne wartym poświecenia uwagi będzie rozporządzenie Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych.

    W przypadku odrębnych dziedzin mamy inne szczególne regulacje, o których nie należy zapominać budując wewnętrzny system ochrony danych osobowych.

    Wytyczne dotyczące dokumentacji

    Akty prawne, o których mowa powyżej nie zawierają konkretnych wytycznych co do tego, jak powinna wyglądać dokumentacja przetwarzania danych osobowych. Co więcej, nie formułują nakazu jej prowadzenia. RODO daje podmiotom przetwarzającym dane osobowe pewną swobodę w tym zakresie. I słusznie, bo gdyby narzucono sztywne wymogi bardzo szybko mogłyby okazać się nieaktualne i nieadekwatne do rzeczywistości.

    Skąd zatem pomysł tworzenia dokumentacji?

    Obowiązki administratorów danych

    Administratorzy danych i podmioty przetwarzające mają pewne obowiązki formalne, które wynikają wprost z RODO. Wśród nich znajdują się między innymi:

    • prowadzenie rejestru czynności przetwarzania i rejestru kategorii czynności przetwarzania (art. 30 RODO);
    • obowiązek zgłoszenia naruszenia ochrony danych wg. wytycznych, o których mowa w art. 33 ust. 3 oraz obowiązek dokumentowania wszelkich naruszeń (art. 33 ust. 5);
    • dokonanie oceny skutków dla ochrony danych  i zawarcie w niej informacji, o których mowa w art. 35 ust. 7 RODO – w tym przypadku UODO sugeruje aby tworzyć raporty dokumentujące wyniki przeprowadzonych ocen;
    • powierzenie danych na podstawie umowy lub innego instrumentu prawnego z uwzględnieniem warunków, o których mowa w art. 28 ust. 3 RODO.

    Dokumentacja uwzględniająca wymagania RODO

    Zgodnie z brzmieniem komunikatu zamieszczonego na stronie internetowej organu nadzorczego „Obecnie, w nowym systemie prawnym dotyczącym przetwarzania danych osobowych, nie wymienia się dokumentów jakie administrator powinien posiadać, aby wykazać zgodność realizowanych czynności przetwarzania (…)”. Oczywiście poza elementami dokumentacji, których obowiązek prowadzenia wynika wprost z Rozporządzenia (np. rejestr czynności przetwarzania). Ponadto, „z treści art. 24 ust 1 RODO wynika jednak, że administrator danych ma być w stanie wykazać całościowo zgodność przetwarzania danych (…) „.

    W praktyce oznacza to, że mimo braku formalnego obowiązku prowadzenia dokumentacji przetwarzania danych należy dysponować „instrumentami”, które pozwolą wykazać, że przetwarzanie danych odbywa się zgodnie z prawem. Mianowicie poprzez stosowanie się do zasad przetwarzania określonych w art. 5, zapewnienie wypełnienia obowiązków ciążących na administratorze i podmiocie przetwarzającym, respektowanie praw osób fizycznych czy zapewnienie kontroli nad przetwarzaniem danych. Dobór środków zależy od administratora danych. Powinien on jednak uwzględniać stan wiedzy technicznej, koszty, charakter, zakres, kontekst, cele przetwarzania a także ryzyka na jakie są narażone przetwarzane dane.

    Stara dokumentacja a nowe prawo

    Zdaniem organu nadzorczego, „(…) jeśli prowadzona wg. dotychczas obowiązujących wymagań dokumentacja zawierała wymagane elementy, takie jak inwentaryzacja zasobów informacyjnych, opis przepływy danych między systemami czy specyfikacje środków organizacyjnych i technicznych zastosowanych do ochrony przetwarzanych danych, czego wymagała polityka bezpieczeństwa to w pełni można je przenieść do nowej dokumentacji”.

    Co więcej, UODO nie widzi przeszkód aby starą dokumentację (o ile była prowadzona) uzupełnić o nowe elementy, w tym: rejestr czynności przetwarzania, rejestr kategorii czynności przetwarzania, procedury zgłaszania naruszeń ochrony danych do organu nadzorczego, procedury prowadzenia wewnętrznego rejestru naruszeń ochrony danych, raporty dokumentujące wyniki przeprowadzonych ocen skutków dla ochrony danych, procedury związane z pseudonimizacją i szyfrowaniem itp. Oczywiście pod warunkiem, że są zgodne z wymaganiami określonymi Rozporządzeniem oraz adekwatne do obecnego stanu wiedzy technologicznej.

    Podsumowanie

    Nie sposób wyliczyć katalogu dokumentów, które stanowiłyby wymagane minimum dla każdej branży i każdego przedsiębiorcy. Zapewne w przypadku małych firm, które przetwarzają dane osobowe sporadycznie dokumentacja będzie bardziej okrojona, niż w przypadku korporacyjnego giganta. Jednakże każdy przedsiębiorca powinien dokonać indywidualnej analizy przepływu danych w swojej firmie, aby odpowiednio dobrać środki i skonstruować dokumentację adekwatną do rodzaju przetwarzania.

    Źródła

    RODO

    ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych

    strona internetowa Urzędu Ochrony Danych Osobowych

  • Czy lekarz musi pobierać od pacjenta zgodę na przetwarzanie danych osobowych

    Czy lekarz musi pobierać od pacjenta zgodę na przetwarzanie danych osobowych

    RODO, czyli unijne rozporządzenie dotyczące ochrony danych osobowych dotyczy każdego, kto przetwarza dane osób fizycznych. Wśród zobowiązanych do dostosowania się do nowych przepisów znajdą się również lekarze i lekarze dentyści. Ochrona danych z ich perspektywy ma bardzo istotne znaczenie! Chociażby dlatego, że w gabinetach i poradniach dochodzi do przetwarzana danych dotyczących zdrowia czy danych genetycznych, które są danymi szczególnych kategorii. Czy w związku z tym lekarz będzie zobowiązany do pobierania od pacjentów zgody, by zamieszczać w dokumentacji medycznej ich dane osobowe lub by kontaktować się z nim telefonicznie w celu przełożenia wizyty? Takie pytania kierują do mnie lekarze, którzy po wstępnych „szkoleniach z RODO” boją się nadchodzących zmian. Zastanawiają się również, jak skupić się na leczeniu i czynić użytek z nowych technologii, a jednocześnie nie narazić się na odpowiedzialność za niedopełnienie czynności formalno-prawnych. W poniższym artykule wyjaśnię kwestię zgody pacjenta na przetwarzanie jego danych w kontekście świadczonych usług medycznych.

    Działalność lecznicza

    Zacznijmy od definicji, którą znajdziemy w art. 3 ust. 1 ustawy o działalności leczniczej. Jej brzmienie jest następujące: „Działalność lecznicza polega na udzielaniu świadczeń zdrowotnych. Świadczenia te mogą być udzielane za pośrednictwem systemów teleinformatycznych lub systemów łączności. Działalność lecznicza może również polegać na promocji zdrowia lub na realizacji zadań dydaktycznych i badawczych w powiązaniu z udzielaniem świadczeń zdrowotnych i promocją zdrowia, w tym wdrażaniem nowych technologii medycznych oraz metod leczenia”.

    Dokumentacja medyczna

    Podmiot udzielający świadczeń zdrowotnych jest zobowiązany prowadzić, przechowywać i udostępniać dokumentację medyczną. O tym w jaki sposób ma to robić mówi ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta oraz ustawa o systemie informacji w ochronie zdrowia, jak również wydane na ich podstawie rozporządzenia. Co więcej, podmiot udzielający świadczeń zdrowotnych jest również zobowiązany zapewnić ochronę danych zawartych w tej dokumentacji.

    W tym miejscu zaznaczę, że kwestia tajemnicy lekarskiej oraz zasad udostępniania informacji o pacjencie została przeze mnie szczegółowo omówiona we wpisie o dostępie do dokumentacji medycznej.

    Jakie dane osobowe przetwarzają lekarze?

    Lekarze przetwarzając dane pacjentów mają do czynienia z danymi zwykłymi (np. imię i nazwisko, adres zamieszkania, nr PESEL, nr telefonu, adres e-mail) oraz danym szczególnych kategorii (dane o stanie zdrowia, seksualności, dane genetyczne). Ponadto, jeśli lekarz, w zakresie prowadzonej przez siebie działalności gospodarczej, zatrudnia personel medyczny lub nawiązuje współpracę z podmiotami świadczącymi na jego rzecz określone usługi, możemy mówić o przetwarzaniu danych z innego tytułu niż cele zdrowotne. Katalog danych przetwarzanych przez pomiot wykonujący działalność leczniczą zależy od indywidualnego charakteru działalności, zakresu i celu dokonywanych operacji.

    W niniejszym wpisie skupię się wyłącznie na danych pobieranych od pacjentów. Kwestie przetwarzania danych osobowych pracowników i innych podmiotów omówię w kolejnych wpisach.

    Przetwarzanie danych niewymagające zgody pacjenta

    Na początku podkreślę, że nie można mylić zgody na przetwarzanie danych osobowych ze zgodą na udzielanie świadczeń zdrowotnych. Są to dwa odrębne oświadczenia woli!

    Przepisy RODO wyłączają obowiązek pozyskiwania od pacjenta zgody na przetwarzanie danych osobowych dotyczących zdrowia w następujących sytuacjach:

    1. Przetwarzanie jest niezbędne dla celów profilaktyki zdrowotnej. Należy przez to rozumieć przetwarzanie związane z informowaniem pacjenta o możliwości udzielenia świadczenia, zaproszenie na badania przesiewowe lub wykonanie szczepień. Przy czym przetwarzanie w celu profilaktyki jest niezbędne tylko wtedy, jeżeli jest uzasadnione stanem zdrowia pacjenta, czynnikami ryzyka lub rokowaniami co do niego zawartymi w dokumentacji medycznej.
    2. Przetwarzanie jest niezbędne dla celów medycyny pracy, w tym oceny zdolności pracownika do pracy – takie przetwarzanie związane jest z procesem realizacji zadań służby medycyny pracy.  Bedą to: badania wstępne, okresowe i kontrolne pracowników oraz inne świadczenia zdrowotne wykonywane na podstawie pisemnej umowy zawartej przez pracodawcę z podstawową jednostką służby medycyny pracy.
    3. Przetwarzanie jest niezbędne w celu diagnozy medycznej i leczenia – czyli wiąże się z procesem udzielania świadczeń zdrowotnych (diagnostycznych i leczniczych). Obejmuje zatem prowadzenie dokumentacji medycznej.
    4. Przetwarzanie jest niezbędne dla zapewnienia opieki zdrowotnej oraz zarządzania systemami i usługami opieki zdrowotnej. Pod tym celem kryje się rejestracja pacjenta, przypomnienie o terminie realizacji świadczenia zdrowotnego czy odwołanie wizyty, które wiążą się z zapewnieniem ciągłości opieki zdrowotnej. Ponadto, będzie to również: zapewnienie jakości udzielania świadczeń i związane z nim badanie satysfakcji pacjentów, komunikacją po udzieleniu świadczenia w celu oceny samopoczucia pacjenta, jak również wykonywanie innych czynności pomocniczych przy udzielaniu świadczeń zdrowotnych.
    5. Przetwarzanie jest niezbędne dla zapewnienia zabezpieczenia społecznego oraz zarządzania systemami i usługami zabezpieczenia społecznego – czyli  wystawianie zaświadczeń lekarskich, wykonywanie zadań przez lekarzy orzeczników.

    Przetwarzanie danych w celach inne niż zdrowotne

    W niektórych sytuacjach mimo, że przetwarzanie nie wpisuje się ww. katalog zwolnień obowiązek pozyskania zgody również nie będzie miał zastosowania. Zgodnie z brzmieniem rozporządzenia nastąpi to w celach określonych w art. 6 ust. 1 lit. b) – f) lub art. 9 ust. 2 lit. c), f), g), i), j). Mianowicie, gdy przetwarzanie odbywa się na podstawie umowy lub w celu wypełnienia obowiązku prawnego. Jak również w celu wykonania zadania realizowanego w interesie publicznym, w związku ochroną żywotnych interesów lub gdy dotyczy danych w sposób oczywisty upublicznionych. Ponadto, pozyskanie zgody nie będzie miało zastosowania, jeśli przetwarzanie jest niezbędne dla celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora danych.

    Przetwarzanie danych wymagające zgody pacjenta

    Pozyskiwanie przez lekarzy zgody na przetwarzanie danych będzie miało miejsce w sytuacji, gdy nie istnieje inna podstawa prawna.

    Przykładem może być przetwarzanie danych osobowych pacjentów w celach marketingowych lub w związku z realizacją badań klinicznych lub naukowych. Podobna sytuacja dotyczy przetwarzania danych w związku ze zautomatyzowanym podejmowaniem decyzji w indywidualnych sprawach. Jak również w sytuacji przekazywania danych osobowych do państwa trzeciego.

    Za każdym razem przed pozyskaniem od pacjenta zgody, administrator danych powinien indywidualnie zbadać, czy zgodnie z  RODO nie posiada innej podstawy prawnej do przetwarzania danych.

    Podsumowanie

    Reasumując, w przypadku świadczenia usług medycznych zgoda nie stanowi podstawowego warunku legalności operacji na danych osobowych. Jest jedną z przesłanek legalności, ale nie jedyną. Przypominam, że katalog przesłanek legalności oraz wzór zgody opisałam tu. 

    Lekarze i lekarze dentyści, którzy wykonując swój zawód przetwarzają dane osobowe jako podstawę prawną zazwyczaj wskażą przepis rozporządzenia w związku z właściwym przepisem krajowym. Dopiero, gdy zastosowania nie znajdzie żadna z przesłanek należy rozważyć zasadność pozyskania zgody pacjenta. Warto poczynić ustalenia w tym zakresie, co pozwoli również prawidłowo wypełnić obowiązek informacyjny wynikający z Rodo.

    Źródła

  • Kosmetyki w Unii Europejskiej – jak sprawdzić czy są bezpieczne?

    Kosmetyki w Unii Europejskiej – jak sprawdzić czy są bezpieczne?

    Całkiem niedawno w mediach zrobiło się głośno na temat małej dziewczynki, która trafiła do szpitala z powodu makijażu wykonanego dziecięcymi „malowidłami”. Zabawa w dorosłą mogła się zakończyć tragicznie. Mimo, że etykieta towaru informowała o przebadaniu i nietoksyczności produktu. Jak się później okazało, dziecko miało uczulenie na jeden ze składników kosmetyków. Sprawa wzbudziła moje szczególne zainteresowanie, bo sama jakiś czas temu kupiłam córce dziecięcy zestaw błyszczyków. I przyznam szczerze – zrobiłam to bez większego wczytywania się w ich skład. Zawierzyłam deklaracji producenta. Postanowiłam jednak sprawdzić, jak się mają regulacje prawne w temacie kosmetyków i jakie wymagania przepisy stawiają producentom i importerom.

    Produkt kosmetyczny

    Cennym źródłem informacji o bezpieczeństwie kosmetyków okazała się treść unijnego rozporządzenia (WE) nr 1223/2009 oraz projekt polskiej ustawy o produktach kosmetycznych. Pomocnym w zdefiniowaniu, czy wyrób jest produktem kosmetycznym okazał się również podręcznik opracowany przez Komisję Europejską.

    I tak ustaliłam, że ocena, czy dany produkt jest produktem kosmetycznym musi być dokonywana na podstawie indywidualnych badań jego cech. Dowiedziałam się także, że:

    pojęcie produktu kosmetycznego obejmuje: kremy, emulsje, płyny, żele i oliwki do skóry, maseczki do twarzy, podkłady barwiące (płyny, pasty, pudry), pudry do makijażu, pudry po kąpieli, pudry higieniczne, mydła toaletowe, mydła dezodoryzujące, perfumy itd. Czyli w zasadzie każdą substancję lub mieszaninę przeznaczoną do kontaktu z zewnętrznymi częściami ciała ludzkiego (naskórkiem, owłosieniem, paznokciami, wargami oraz zewnętrznymi narządami płciowymi) lub z zębami i błonami śluzowymi jamy ustnej.

    Ponadto, unijne rozporządzenie zdefiniowało co nie jest produktem kosmetycznym. Mianowicie nie jest nim substancja lub mieszanina przeznaczona do spożycia, wdychania, wstrzykiwania lub wszczepiania do ciała ludzkiego. Co więcej, do produktów kosmetycznych nie zaliczymy również produktów leczniczych, wyrobów medycznych lub produktów biobójczych.

    Osoba odpowiedzialna

    Do obrotu unijnego mogą być wprowadzane jedynie produkty kosmetyczne, dla których na terenie Wspólnoty wyznaczono „osobę odpowiedzialną”. Gwarantuje ona spełnienie odpowiednich obowiązków przez każdy wprowadzany do obrotu produkt kosmetyczny. Nie zawsze osobą tą musi być producent. Może nią być osoba przez niego pisemnie upoważniona. O ile ma siedzibę na terenie UE. W przypadku importowanego produktu kosmetycznego odpowiedzialnym jest importer. Przy czym on również może udzielić pisemnego upoważnienia osobie mającej siedzibę na terenie Wspólnoty.

    Od momentu wprowadzenia produktu kosmetycznego do obrotu osoba odpowiedzialna przechowuje jego dokumentację (przez okres 10 lat) i udostępnia ją w celach kontroli właściwym organom.

    Dystrybutor

    Jaka jest rola dystrybutora zanim wprowadzi produkt na rynek? Musi sprawdzić, czy towar posiada odpowiednie oznakowanie, czy nie upłynęła data minimalnej trwałości oraz czy spełnione są wymogi językowe. Jeśli pojawią się wątpliwości, to dystrybutorzy nie udostępniają produktu na rynku dopóty, dopóki nie zostanie on dostosowany do obowiązujących wymogów. Ewentualnie wycofują go z rynku. Natomiast w sytuacji, gdy produkt kosmetyczny stwarza ryzyko dla zdrowia ludzi, niezwłocznie informują o tym osobę odpowiedzialną oraz właściwe organy.

    Dokumentacja

    Dokumentacja zawiera:

      • opis produktu kosmetycznego,
      • raport bezpieczeństwa,
      • opis metod produkcji i oświadczenie o zgodności z dobrą praktyką produkcji,
      • jeżeli jest to uzasadnione ze względu na rodzaj produktu kosmetycznego lub efekt jego działania – dowód deklarowanego działania,
      • dane dotyczące wszelkich testów na zwierzętach, przeprowadzonych przez producenta, jego przedstawicieli lub dostawców w trakcie opracowania lub oceny bezpieczeństwa produktu kosmetycznego lub jego składników.

    Dobra praktyka produkcji i bezpieczeństwo

    Zgodnie z obowiązującym prawem, produkcja produktów kosmetycznych odbywa się zgodnie z dobrą praktyką produkcji. Oznacza to produkcję odpowiadająca normom zharmonizowanym. Należy przez to rozumieć zgodność ze specyfikacjami służącymi ocenie właściwości kosmetyków.

    Produkty kosmetyczne powinny być bezpieczne w normalnych lub dających się racjonalnie przewidzieć warunkach stosowania. Trzeba przy tym uwzględnić w szczególności: prezentację, oznakowanie, instrukcję używania oraz informacje i wskazówki od osoby odpowiedzialnej za wprowadzenie produktu do obrotu.

    Przed wprowadzeniem produktu kosmetycznego do obrotu osoba odpowiedzialna zapewnia dokonanie oceny bezpieczeństwa produktu i sporządzenie Raportu Bezpieczeństwa Produktu Kosmetycznego (Safety Assessment). Oceny tej dokonuje osoba posiadająca dyplom lub inny dowód formalnych kwalifikacji studiów w dziedzinie farmacji, toksykologii, medycyny lub innej zbliżonej dyscypliny lub kursu uznawanego przez dane państwo członkowskie za równorzędny.

    Zgłaszanie kosmetyków

    Zgodnie z przepisami unijnego rozporządzenia, produkty kosmetyczne podlegają rejestracji w bazie CPNP (Cosmetic Products Notification Portal). Bazę prowadzi Komisja Europejska. Fakt dokonania zgłoszenia nie oznacza, że kosmetyk jest bezpieczny, spełnia wymagane normy i może być dopuszczony do obrotu.

    Przygotowanie raportu bezpieczeństwa i zgłoszenie kosmetyków do CPNP to nie wszytsko. Produkty kosmetyczne powinny być również odpowiednio opisane i oznakowane (funkcja, skład, działanie). Dopiero wówczas można mówić o zapewnieniu bezpieczeństwa ich stosowania. Konsument i podmiot kontrolujący może wówczas upewnić się, czy dany produkt nie zawiera substancji, których obecność w kosmetykach jest niedozwolona, ograniczona lub może powodować uczulenia.

    Import kosmetyków spoza UE

    Produkty kosmetyczne importowane muszą spełniać takie same wymagania, jak kosmetyki produkowane na terenie UE. Dotyczy to w zarówno ich składu, jak i wymaganej dokumentacji. Osobą odpowiedzialną za produkt wprowadzany na rynek UE jest każdy importer. Wymagania prawne dotyczą również sytuacji, gdy kolejny importer w łańcuchu dostaw sprowadza towar spoza UE, który już znajduje się na rynku. Każdorazowo importer musi pisemnie upoważnić osobę mającą siedzibę w UE jako odpowiedzialną. Na opakowaniu produktu kosmetycznego należy podać imię i nazwisko lub nazwę zarejestrowanej w UE firmy oraz adres osoby odpowiedzialnej.

    Polska ustawa o produktach kosmetycznych

    Po 9 latach od wejścia w życie unijnego rozporządzenia, najprawdopodobniej w czerwcu 2018 r., wejdzie w życie polska ustawa o produktach kostycznych. Zastąpi ona obecnie obowiązującą ustawę z 2001 r.

    Europejski sektor kosmetyków jest jedną z dziedzin działalności przemysłowej, w których występuje zjawisko podrabiania zagrażające zdrowiu ludzi. Państwa członkowskie zobowiązane są zatem do wdrażania regulacji, które zminimalizują zagrożenie i zapewnią właściwy poziom bezpieczeństwa produktów kosmetycznych. Co niewątpliwie przełoży się na bezpieczeństwo konsumentów.

    Przedmiotem polskiej ustawy będzie wykonanie rozporządzenia nr 1223/2009. Wiąże się to z określeniem obowiązków organów odpowiedzialnych za nadzór nad produktami kosmetycznymi oraz ustaleniem sankcji za nieprzestrzeganie przepisów.

    Aktualizacja: polska ustawa wejdzie w życie z dniem 1 stycznia 2019 r.

    Obowiązki

    Prawodawca polski uchylając dotychczasową ustawę wprowadza nowe obowiązki i instytucje. Wśród nich znajdują się:

      • Wprowadzenie obowiązku rejestracji zakładów, w których są wytwarzane lub paczkowane produkty kosmetyczne. W tym celu niezbędne jest złożenie pisemnego wniosku w terminie co najmniej 14 dni przed dniem rozpoczęcia planowanej działalności. A jeśli wytwórca nie jest osobą odpowiedzialną, to zobowiązany jest wskazać organom nadzoru osobę, na rzecz której wytwarza produkt kosmetyczny.
      • Utworzony zostanie System Informowania o Ciężkich Działaniach Niepożądanych Spowodowanych Stosowaniem Produktów Kosmetycznych.
      • Nadzór nad przestrzeganiem przepisów rozporządzenia i ustawy sprawowany przez Państwową Inspekcję Sanitarną oraz Inspekcję Handlową.
      • Sporządzenie dokumentacji produktu w języku polskim i angielskim.
      • Wprowadzenie kar pieniężnych.

    Kary

    Ustawa przewiduje zastąpienie dotychczasowych przepisów karnych regulacjami umożliwiającymi nakładanie kar drogą decyzji administracyjnych. Sankcje mają być proporcjonalne i odstraszające. Poniżej przedstawiam kilka przykładów (więcej rozdział 5 ustawy):

    kto:

      • nie zapewnia, że produkt kosmetyczny jest wytwarzany z zachowaniem zasad dobrej praktyki produkcji, podlega karze pieniężnej w wysokości do 50 000 zł.
      • wprowadza do obrotu produkt kosmetyczny bez spełnienia wymogów dotyczących oceny bezpieczeństwa, o której mowa w art. 10 rozporządzenia unijnego, podlega karze pieniężnej w wysokości do 100 000 zł.
      • nie spełnienia wymogu dotyczącego okresu przechowywania dokumentacji produktu podlega karze pieniężnej w wysokości do 30 000 zł.
      • wprowadza do obrotu produkt kosmetyczny bez spełnienia wymogów dotyczących dokumentacji produktu podlega karze pieniężnej w wysokości do 100 000 zł.
      • wprowadza do obrotu produkt kosmetyczny z naruszeniem ograniczeń dotyczących substancji, o których mowa w art. 14, art. 15 i art. 17 rozporządzenia podlega karze pieniężnej w wysokości do 100 000 zł
      • wbrew zakazom wynikającym z art. 18 rozporządzenia przeprowadza testy na zwierzętach podlega karze pieniężnej w wysokości do 100 000 zł.

    Podsumowanie

    Wejście w życie ustawy o produktach kosmetycznych ma wzmocnić bezpieczeństwo konsumentów kupujących kosmetyki. Obowiązek posiadania odpowiednich badań i dokumentacji (pod groźbą kary) ma zapewnić produkcję bezpiecznych wyrobów i zwiększyć jej innowacyjność. Zdaniem polskiego ustawodawcy, nowe przepisy ułatwią przedsiębiorcom prowadzenie działalności gospodarczej i skrócą czas prowadzenia czynności administracyjnych. Projekt nie wprowadza dodatkowych wymagań inne niż te, które zostały określone w rozporządzeniu nr 1223/2009. Przewidziano również 9-miesięczny okres przejściowy na dostosowanie się do obowiązków dotyczących rejestracji zakładów wytwarzających produkty kosmetyczne.

    Źródła

    Rozporządzenie (WE) nr 1223/2009

    Ustawa o produktach kosmetycznych

  • Ułatwienia dla startujących przedsiębiorców

    Ułatwienia dla startujących przedsiębiorców

    Zapowiadane przez rząd ułatwienia i udogodnienia dla osób planujących podjąć działalność gospodarczą na nowych zasadach miały wejść w życie najpierw z początkiem marca a potem 1 kwietnia 2018 r. Z uwagi na wniesione przez Senat poprawki termin uległ zmianie. Ostatecznie pakiet 5-ciu ustaw, podpisanych przez prezydenta w dniu 23 marca, wejdzie w życie 30 kwietnia 2018 r. Chcesz wiedzieć jakie istotne zmiany wprowadzają nowe ustawy? A może planujesz wystartować z młodą firmą i chcesz skorzystać z możliwości niepłacenia składek do Zus-u przez pierwsze 6 miesięcy? Jeśli tak, to poniżej przedstawię Ci w skrócie ważne informacje dotyczące przedmiotowych nowości w prawie. Sama lub sam świadomie zdecyduj czy warto skorzystać z tzw. pasa startowego dla młodych firm.

    Konstytucja dla biznesu

    Konstytucja dla biznesu to pakiet ustaw, których głównym celem jest zreformowanie i uproszczenie przepisów dotyczących prowadzenia działalności. W pakiet wchodzi 5 następujących regulacji:

    1. prawo przedsiębiorców,
    2. przepisy wprowadzające ustawę – Prawo przedsiębiorców oraz inne ustawy dotyczące działalności gospodarczej
    3. ustawa o Rzeczniku Małych i Średnich Przedsiębiorców
    4. ustawa o Centralnej Ewidencji i Informacji o Działalności Gospodarczej i Punkcie Informacji dla Przedsiębiorcy
    5. ustawa o zasadach uczestnictwa przedsiębiorców zagranicznych i innych osób zagranicznych w obrocie gospodarczym na terytorium Rzeczypospolitej Polskiej

    Najważniejsze zmiany

    • Wprowadzenie zasady „co nie jest prawem zabronione, jest dozwolone”. Przez co należy rozumieć, że przedsiębiorca może prowadzić biznes w sposób wolny, jeśli nie łamie wskazanych wyraźnie w prawie zakazów lub ograniczeń.
    • Domniemanie uczciwości przedsiębiorcy – przedsiębiorca nie musi udowadniać swojej uczciwości, a wątpliwości dotyczące okoliczności danej sprawy będą rozstrzygane na jego korzyść.
    • Niejasne przepisy będą rozstrzygane na korzyść przedsiębiorców.
    • Zasada proporcjonalności – wyrażająca się tym, że rząd nie może nakładać na przedsiębiorcę nieuzasadnionych obciążeń. Przykładowo, nie może żądać od przedsiębiorcy dokumentów, którymi już dysponuje.
    • Powołanie Rzecznika Małych i Średnich Przedsiębiorców. Rzecznik ma stać na straży praw przedsiębiorców, wnioskować do ministrów o wyjaśnienie najbardziej skomplikowanych przepisów czy interweniować w sprawie łamania prawa przedsiębiorców.
    • Możliwość zawieszenia działalności w przypadku zatrudniania pracownika na urlopie macierzyńskim czy wychowawczym.
    • Możliwość załatwiania niektórych prostych spraw urzędowych przez telefon, e-mail lub za pomocą innych środków komunikacji.
    • Stworzenie katalogu podstawowych reguł, którymi należy kierować się przy tworzeniu prawa gospodarczego.
    • Ministrowie i organy centralne będą wydawać objaśnienie prawne.
    • Wprowadzenie nowych przepisów dotyczących zasad udziału przedsiębiorców zagranicznych i innych osób zagranicznych w obrocie gospodarczym w Polsce.

    Rozpoczynający działalność na nowych zasadach

    Konstytucja dla biznesu, a mówiąc precyzyjniej ustawa prawo przedsiębiorców wprowadza dwie formy udogodnień dla startujących z własnym biznesem: prowadzenie działalności bez wpisu do ewidencji oraz półroczne zwolnienie z płacenia obowiązkowych składek do Zus-u. Czy to tylko kolorowe hasła, czy zmiany na miarę ustawy Wilczka? Co zyskujemy, a czym ryzykujemy? Sprawdźmy.

    Możliwość prowadzenia działalności nierejestrowanej

    Zgodnie z nowymi przepisami, nie musisz rejestrować firmy, gdy Twoje miesięczne przychody nie przekraczają połowy płacy minimalnej a w okresie ostatnich 60 miesięcy nie prowadziłeś działalności gospodarczej. Aktualne minimalne wynagrodzenie wynosi 2100 zł brutto. Zatem, jeśli Twoje miesięczne przychody wynoszą równo 1050 zł brutto lub oscylują poniżej tej kwoty –  nie musisz składać wniosku do Centralnej Ewidencji i Informacji o Działalności Gospodarczej. Jeśli jednak Twój przychód przekroczy ustalą kwotę, zgodnie z ustawą jesteś zobowiązany do złożenia wniosku o wpis w terminie 7 dni.

    Dotychczas prawo nie przewidywało pułapu przychodu, do którego można było wykonywać działalność bez jej rejestrowania. Zmiana będzie istotna dla osób, które eksperymentują z własnym biznesem będąc jeszcze na etacie albo chcą przetestować czy ich pomysł znajdzie zainteresowanie na rynku.

    Ważne!

    • Ustawa mówi o przychodzie, a nie o dochodzie. Nie ma znaczenia ile zarobisz na rękę.
    • Działalność nieewidencjonowana nie może dotyczyć działalności wykonywanej w ramach spółki cywilnej (na wypadek jakby wspólnicy próbowali dzielić przychód).
    • Ustawa prawo przedsiębiorców w art. 6 wyklucza możliwość nierejestrowania firmy w przypadku działalności wytwórczej w rolnictwie, wynajmowania pokoi przez rolników, sprzedaży posiłków domowych, wyrobu wina przez rolników itp.
    • Ustawodawca nie określił wprost jak rozliczane będą kwestie podatkowe z tytułu osiągniętych przychodów (podatek dochodowy i ewentualnie VAT).

    Ulga na start

    Przez pierwszych 6 miesięcy prowadzenia działalności przedsiębiorca nie musi płacić składek z tytułu obowiązkowych ubezpieczeń społecznych (składki do Zus). Jest to kwestia wyboru – z ulgi można skorzystać lub nie – składając w Zus-ie odpowiednią deklarację. Następnie po upływie pół roku możesz przez 2 lata opłacać składki na dotychczasowych zasadach, czyli w ramach tzw. „małego zusu”. Ulga dotyczy osób, które podejmują działalność po raz pierwszy albo po upływie co najmniej 60 miesięcy od dnia jej ostatniego zawieszenia lub zakończenia oraz nie wykonują jej na rzecz byłego pracodawcy.

    Dotychczas przedsiębiorca miał 7 dni od założenia działalności na zgłoszenie się do obowiązkowych ubezpieczeń społecznych. Po zmianach ma na to 6 miesięcy.

    Ważne!

    • Ulga na start nie dotyczy składki na ubezpieczenie zdrowotne (wynoszącej około 320 zł).
    • Faktyczna wysokość ulgi na start jest równa składkom na ubezpieczenie społeczne (emerytalne, rentowe, wypadkowe, chorobowe), które aktualnie dla początkującego przedsiębiorcy wynoszą nieco poniżej 200 zł.
    • W przypadku skorzystania z ulgi przedsiębiorca nie będzie zgłoszony do ubezpieczenia społecznego. Jest to równoznaczne z tym, że nie będzie mógł pójść na zwolnienie lekarskie, otrzymywać świadczenia rehabilitacyjnego, renty czy odprowadzać kapitału na emeryturę.

    Podsumowanie

    Niewątpliwie zmiany w polskim prawie gospodarczym są konieczne. Czekamy jednak z niecierpliwością na ich praktyczne stosowanie. Zwłaszcza w obszarze relacji przedsiębiorca – urząd. Jeśli zaś chodzi o możliwość skorzystania z ulgi na start czy opcję nierejestrowania firmy, to przedsiębiorca sam powinien ocenić ewentualne korzyści i zagrożenia.

    Źródła

    http://www.dziennikustaw.gov.pl,
    https://www.biznes.gov.pl/pl