Sklep internetowy a GIODO

W tym konkretnym wypadku, jeśli składając zamówienie do producenta, nie używasz programu, który zapisuje te dane po Twojej stronie, to moim zdaniem nie.

To i ja pozwolę zapytać o GIODO a konkretnie o wypełnianie wniosku.
Planuję zgłosić zbiór danych osobowych na potrzeby księgowości.
Zbiór ten jest jeden, natomiast przetwarzany przez trzy podmioty : ja osobiście tworzę w panelu admin. fakturę dla klienta (dane to imię, nazwisko, adres, NIP), dane te dalej przekazywane są firmie hostingowej oraz faktury z tymi samymi danymi przekazywane są raz na trzy mies. mojej księgowej, która zajmuje się resztą prac księgowych.
I teraz pytania:
1. Rejestrując ten zbiór w punkcie o powierzeniu rozumiem, że mam wpisać i firmę księgową i firmę hostingową?
2. W punktach dotyczących stosowanych zabezpieczeń mam zaznaczać zabezpieczenia stosowane przeze mnie na moim kompie czy przez księgową czy przez firmę hostingową? A może wszystkie trzy?

Będę bardzo wdzięczna za odpowiedź

jeśli jest to zbiór na potrzeby wyłącznie fakturowania, to nie ma obowiązku rejestracji.

Polecam:
https://edugiodo.giodo.gov.pl/file.php/1/REJ/REJ_R04.html

Hmm, rozumiem, że jeżeli sama fakturuję i nikomu innemu nie przekazuję danych osobowych bo np. mam swój własny serwer i sama zajmuję się całą księgowością to ok. Ale jeśli to robi za mnie ktoś inny i powierzam mu dalej ten zbiór to chyba trzeba go zgłosić...czy też nie?
A jeśli nie to w takim razie czy zbiory, które powinnam zgłosić (podział z uwagi na cel) to :
1. Zbiór danych na potrzeby newslettera
2. Zbiór danych na potrzeby wysyłki kurierskiej
3. Zbiór danych na potrzeby rozpatrywania reklamacji i zwrotów
4. Zbiór danych hostingowanych (tu mam wątpliwość bo każdy z poprzednich zbiorów jest już hostingowany i w każdym poprzednim wniosku wpiszę, że dane są powierzane firmie hostingowej).

A i jeszcze jedno, księgowość to nie tylko fakturowanie...te dane są potem przetwarzane przez księgową (pity i takie tam).

Chyba mylisz trochę pojęcia. Tu ważne są przesłanki (czyli na jakiej podstawie wolno Ci przetwarzać dane) i cel, w jakim je przetwarzasz

buubbaa napisał:

1. Zbiór danych na potrzeby newslettera

Kliknij, aby rozszerzyć...

oczywiście

buubbaa napisał:

2. Zbiór danych na potrzeby wysyłki kurierskiej
3. Zbiór danych na potrzeby rozpatrywania reklamacji i zwrotów

Kliknij, aby rozszerzyć...

to przecież dane firm, zwykle publicznie dostępne lub dane zestawiane doraźnie

buubbaa napisał:

4. Zbiór danych hostingowanych (tu mam wątpliwość bo każdy z poprzednich zbiorów jest już hostingowany i w każdym poprzednim wniosku wpiszę, że dane są powierzane firmie hostingowej).

Kliknij, aby rozszerzyć...

tego nie rozumiem, o jakie dane chodzi?

buubbaa napisał:

(pity i takie tam)

Kliknij, aby rozszerzyć...

na PIT nie umieszcza się danych osobowych kontrahentów, a 'takich tam' nie znam.


Należy też pamiętać, że zwolnienie z obowiązku rejestracji nie zwalnia z innych obowiązków wynikających z uodo, w szczególności Administrator musi dołożyć należytej staranności w celu ochrony tych danych, muszą one zostać zebrane zgodnie z prawem, trzeba dopełnić obowiązku informacyjnego, dane przetwarzać mogą tylko osoby upoważnione przez Administratora.

Na PIT nie ale zanim cokolwiek trafi na PIT to dostaje te dane moja księgowa no i te dane dostaje firma hostingowa. Ale rozumiem, że skoro ten zbiór jest na potrzeby księgowości to bez względu przez kogo przechodzi nie muszę go zgłaszać.
A co z pozostałymi zbiorami, które wymieniłam?

Prowadząc sklep internetowy większość danych podawać będą osoby fizyczne a nie firmy.

Co rozumiesz p_a_g pod pojęciem, że dane zestawiane są doraźnie?

Reasumując, jeśli tworzysz bazę klientów (np. sklepu internetowego, lub dowolnej innej usługi) to TAK, należy rejestrować.
Jeśli tworzysz bazę na potrzeby fakturowania, to NIE, nie ma obowiązku rejestracji.

Czyli wnioskuję, że zbiór danych na potrzeby księgowości (faktury a potem na ich podstawie rozliczenia, których dokonuje firma księgowa) nie muszę zgłaszać jednak umowę powierzenia danych osobowych z księgową muszę podpisać natomiast muszę zgłosić
1. Zbiór danych osobowych dla potrzeb newlettera
2.Zbiór danych osobowych na potrzeby reklamacji i zwrotów
3. Zbiór danych osobowych na potrzeby wysyłki

tak?

buubbaa napisał:

Co rozumiesz p_a_g pod pojęciem, że dane zestawiane są doraźnie?

Kliknij, aby rozszerzyć...

art. 2 ust. 3 ustawy

Ale nie pisałaś wcześniej, że zamierzasz prowadzić sklep internetowy. W tym przypadku nie ma mowy o doraźności.

p_a_g napisał:

art. 2 ust. 3 ustawy

Ale nie pisałaś wcześniej, że zamierzasz prowadzić sklep internetowy. W tym przypadku nie ma mowy o doraźności.

Kliknij, aby rozszerzyć...

Przepraszam, niedopatrzenie Tak, otwieram sklep internetowy. Czy mógłbyś/mogłabyś ponownie odnieść się do moich pytań w kontekście tego, że to sklep internetowy?
Z góry dziękuję

No więc:

- jeśli jakieś dane będą zbierane wyłącznie na potrzeby fakturowania, to dalej nie ma potrzeby rejestrowania tej części zbioru, czyli w praktyce nie wymieniasz tych pól we wniosku.

- jeśli dane osobowe będą przechowywane na dyskach serwerów firmy hostingowej (zakładam, że na obszarze UE) to ja bym zamiast umowy o powierzeniu podpisał umowę o zachowaniu poufności. Jeśli dobrze rozumiem Twoje cele, to firma hostingowa nie będzie przetwarzać danych (chyba, że jest inaczej). Wystarczy więc, żeby 'obiecała, że nie zajrzy do środka'. Firma hostingowa zapewne ma gotowe wzory umów. Inną kwestią jest konieczność zapewnienia odpowiedniego poziomu bezpieczeństwa, to powinna zapewnić firma hostingowa, ale Ty jako ADO odpowiadasz przed sądem za braki w tej materii.

- z księgową też nie podpisywałbym takiej umowy, bo po co strzelać z armaty do muchy, kiedy można księgową zwyczajnie upoważnić.

Dziękuję za odpowiedź choć w kwestii umów o powierzenie danych niestety nie mogę się z tobą zgodzić. Sporo szukałam na ten temat.
Co do księgowej to stanowisko zajęło samo GIODO : GIODO Generalny Inspektor Ochrony Danych Osobowych - Czy pracodawca zlecający podmiotowi zewnętrznemu prowadzenie obsługi księgowej ma również obowiązek zawarcia z nim umowy powierzenia przetwarzania danych osobowych?
A co do firmy hostingowej to podobno samo robienie kopii zapasowych przez firmę jest traktowane jako przetwarzanie danych osobowych więc też takową umowę należy podpisać. Prócz tego podpisuje się wg tego co doczytałam upoważnienie z szefem firmy księgowej co z kolei zwalnia mnie z podpisywania kolejnych upoważnień gdyby w jej firmie ktoś inny miał jeszcze wgląd do tych danych (bo wtedy już takie upoważnienia wystawia szefowa firmy księgowej i je ewidencjonuje). Co do tych kwestii nie mam już wątpliwości, nawet już zmieniłam hosting na taki co tą umowę podpisze więc tu jest ok. Nurtuje mnie właśnie to od czego zaczęłam. Czyli jakie zbiory powinnam zgłosić i co jeśli jeden zbiór np. ten do newslettera jest przetwarzany przez kilka podmiotów(np. przez mnie i przez firmę hostingową i przez firmę do wysyłania maili). Czyje zabezpieczenia mam zaznaczyć we wniosku? Moje, firmy hostingowej czy firmy do rozsyłania maili (z którą nomen omen też trzeba podpisać umowę o powierzenie danych).

Niestety nie mogę się z Tobą zgodzić, a zawodowo zajmuję się bezpieczeństwem danych osobowych.

Przykład który podałaś odnosi się do outsourceingu obsługi księgowej i kadrowej. Nie podałaś wcześniej, że zatrudniasz pracowników. W taki przypadku jeśli nie masz działu kadr w strukturze swojej firmy i zatrudniasz pracowników i chcesz outsourceować księgowość, to oczywiście musisz mieć odpowiednie umowy z zewnętrzną księgowością. Na PITach rzeczywiście pojawią się teraz dane osobowe pracowników.

Co do hostingu to zgadzam się, że robienie kopii zapasowych jest przetwarzaniem, ale przecież można przyjąć, że to Ty robisz tę kopię, a nie pracownik firmy hostingowej. Pisze to z własnego doświadczenia zawodowego. Nie znam orzeczenia sądu oni decyzji GIODO która poważałby takie stanowisko. Zwróć też uwagę, że tak naprawdę kopię bezpieczeństwa robi jakiś skrypt uruchamiany w nocy przez proces CRON'a (cron – Wikipedia, wolna encyklopedia)

Jeśli zakładasz sklep, to powinnaś zgłosić JEDEN zbiór. Wskazać WSZYSTKIE CELE i podać pełen ZAKRES przetwarzanych danych.

Musisz też wymienić wszystkie firmy którym chcesz powierzyć dane, mało tego, musisz poinformować osoby, których dane dotyczą o tym, że zostaną one przekazane innym firmom, a ściślej innym administratorom danych.

p_a_g napisał:

jeśli nie masz działu kadr w strukturze swojej firmy, to oczywiście musisz mieć odpowiednie umowy z zewnętrzną księgowością.

Kliknij, aby rozszerzyć...

Ależ nie ma obowiązku podpisywać umowy z zewnętrzną księgowością. Można prowadzić ją samemu.

Przyznam, że od dwóch tygodni siedzę na necie i próbuję poskładać to wszystko do kupy i już głowa mi pęka od interpretacji
To jeszcze raz i po kolei.
1. Na razie nie zatrudniam pracowników czyli mam rozumieć, że nie muszę podpisywać z księgową umowy o powierzenie danych osobowych do przetwarzania bo to, że ona ma wgląd w dane klientów (otrzymując je z fakturą) nie jest samym przetwarzaniem bo nic z nimi nie robi? I wtedy wystarczy tylko upoważnienie? A może umowa o poufności?(tu też prosiłabym o Twoje stanowisko)
2. Co innego gdyby brała dane moich pracowników - musiałaby je np. wpisać na PITA, tak?Wtedy je przetwarza?
3. A czy samo przechowywanie danych osobowych nie jest przetwarzaniem?
4. Co do kopii zapasowych ja ich nie będę robiła i przyznam szczerze, że wolę aby tym wszystkim zajęła się firma hostingowa właśnie bo jestem zielona jeśli o to chodzi ale tu jak napisałam mam już firmę host.która podpisuje te umowy więc ok.
5.No co do tego, że powinnam zgłosić jeden zbiór to mam wątpliwości. Tzn. to byłoby super i dużo łatwiejsza sprawa ale sam chyba pisałeś, że zbiory dzieli się z uwagi na cele to jeżeli jest ich więcej niż jeden to zgłoszeń też powinno być tyle ile celi przetwaraznia...to jak to jest?

oczywiście, że nie ma obowiązku, ale podany przykład opisywał właśnie taką sytuację.

Janusz M. napisał:

Ależ nie ma obowiązku podpisywać umowy z zewnętrzną księgowością. Można prowadzić ją samemu.

Kliknij, aby rozszerzyć...

No generalni można robić wszystko samemu i pociągnąć tak miesiąc ,dwa a potem paść na twarz. Poza tym kwestia księgowości nie jest moją mocną stroną i wolę ją zlecić komuś innemu

buubbaa napisał:

No generalni można robić wszystko samemu i pociągnąć tak miesiąc ,dwa a potem paść na twarz. Poza tym kwestia księgowości nie jest moją mocną stroną i wolę ją zlecić komuś innemu

Kliknij, aby rozszerzyć...

podstawowe pytanie:

zatrudniasz pracowników, czy nie?

Teraz nie. Jednak chciałam zrozumieć mechanizm o jaki opiera się to wszystko a poza tym kiedyś mam nadzieję będę ich zatrudniała i wolałabym już nie przechodzić przez kolejne pytania na tym forum stąd pytanie "co gdybym zatrudniała".

buubbaa napisał:

1. Na razie nie zatrudniam pracowników czyli mam rozumieć, że nie muszę podpisywać z księgową umowy o powierzenie danych osobowych do przetwarzania

Kliknij, aby rozszerzyć...

i tu kropka, dalszej części tego punktu nie ma.
Nie musisz podpisywać umowy, upoważnienie nie zaszkodzi. Oczywiście księgowa nie będzie miała dostępu do danych wszystkich klientów. Księgowa będzie przetwarzała dane klientów na potrzeby fakturowania, ale zbioru tego nie trzeba rejestrować, bo to wyjątek.

buubbaa napisał:

2. Co innego gdyby brała dane moich pracowników - musiałaby je np. wpisać na PITA, tak?Wtedy je przetwarza?

Kliknij, aby rozszerzyć...

Tak. Wtedy poza fakturami dochodzą też inne dokumenty, np. PITy

buubbaa napisał:

3. A czy samo przechowywanie danych osobowych nie jest przetwarzaniem?

Kliknij, aby rozszerzyć...

Jest przetwarzaniem.

buubbaa napisał:

4. Co do kopii zapasowych ja ich nie będę robiła i przyznam szczerze, że wolę aby tym wszystkim zajęła się firma hostingowa właśnie bo jestem zielona jeśli o to chodzi ale tu jak napisałam mam już firmę host.która podpisuje te umowy więc ok.

Kliknij, aby rozszerzyć...

Możesz mieć umowę o powierzeniu, ale to jest kłopotliwe. Musisz informować osoby, których dane dotyczą o tym, że przetwarza je firma hostingowa. W praktyce stosuje się umowy o zachowaniu poufności. Ale zrobisz jak będziesz uważała, to Ty będziesz Administratorem Danych Osobowych.

buubbaa napisał:

5.No co do tego, że powinnam zgłosić jeden zbiór to mam wątpliwości. Tzn. to byłoby super i dużo łatwiejsza sprawa ale sam chyba pisałeś, że zbiory dzieli się z uwagi na cele to jeżeli jest ich więcej niż jeden to zgłoszeń też powinno być tyle ile celi przetwaraznia...to jak to jest?

Kliknij, aby rozszerzyć...

Nie, cel nie musi być jeden.
I jeszcze jedna bardzo ważna i bardzo praktyczna informacja, nie zgłaszaj więcej niż jednego zbioru ma potrzeby sklepu internetowego.

Proponuje przejrzeć rejestr zbiorów na stronach GIODO, jest on publicznie dostępny. Poszukaj innych sklepów internetowych, to jest standardowy przykład, w dodatku bardzo prosty. Zobacz jak inni wypełnili wniosek.