Sektorowa kontrola GIODO przeprowadzona w ubiegłym roku w kancelariach prawnych wykazała, że ich przedstawiciele zdają sobie sprawę z wagi i potrzeby ochrony danych osobowych.
Świadczy o tym stosunkowo nieduża liczba stwierdzonych uchybień, które ponadto dotyczyły tylko pewnych elementów związanych z zabezpieczaniem danych, co powodowało, że można je było szybko wyeliminować, często jeszcze przed zakończeniem kontroli. Dlatego GIODO nie wszczynał postępowań administracyjnych wobec tych podmiotów.
Ze szczególną sytuacją kontrolerzy GIODO zetknęli się w jednym przypadku, tj. kancelarii, która korzystała z poczty elektronicznej dostarczanej przez amerykańskiego operatora, a nie zawarła z nim wymaganej prawem umowy powierzenia przetwarzania danych. I mimo prowadzenia korespondencji w tej sprawie z operatorem, nie była w stanie uzyskać takiej umowy. Dostawca tłumaczył, że świadczy swoje usługi na ogólnych zasadach określonych w regulaminie i nie wyraził gotowości zawarcia odrębnej umowy.
W związku z tym wobec kancelarii zostało wszczęte postępowanie administracyjne, którego zakresem objęto naruszenie wymogu wynikającego z art. 31 ustawy o ochronie danych osobowych, tj. powierzenie przetwarzania danych bez umowy zawartej na piśmie. Sprawa pozostaje w toku. Warto jednak zaznaczyć, że takie postępowanie dostawcy nie będzie możliwe po 25 maja 2018 r., od kiedy zaczną być stosowane przepisy ogólnego rozporządzenia o ochronie danych osobowych. Od tej bowiem chwili wszystkie podmioty kierujące swe usługi do osób z terenu UE będą musiały działać zgodnie z jego przepisami, bez względu na to, gdzie znajduje się ich centrala lub siedziba.
Podkreślić należy, że tylko w jednej z kancelarii inspektorzy stwierdzili więcej naruszeń przepisów o ochronie danych osobowych. Polegały one na nietworzeniu kopii zapasowych plików zawierających dane osobowe, niezabezpieczeniu danych osobowych przesyłanych w plikach w formacie DOC i PDF za pośrednictwem skrzynki poczty elektronicznej przed ich udostępnieniem osobom nieupoważnionym oraz niezawarciu w polityce bezpieczeństwa wszystkich jej koniecznych elementów, tj. opisu struktury zbiorów danych wskazującego zawartość poszczególnych pól informacyjnych i powiązania między nimi oraz sposobu przepływu danych pomiędzy poszczególnymi systemami. Wobec tej kancelarii GIODO także wszczął postępowanie administracyjne.
