E-podpis tylko pod Windowsem

Pytanie, jakie zadał mi kolega:
Fajnie jest, będzie podpis, ale ja mam Maca z jego oesem. Co teraz?
Szczerze mówiac opadła mi kopara, bo jako człowiek żyjący w świecie okien, jakoś nie pomyślałem. Problem nie tylko dotyczy macowców, ale też wszelkiej maści linuxowców.
No i lipa.
Zacząłem od przelecenia się po stronach dostawców podpisu. Wszystkie 3 firmy oferują w standardzie oprogramowanie do zarządzania e-podpisem i podpisywanie dokumentów, ale tylko pod Windows. Więc jeżeli chcielibyśmy rozpocząć pracę z e-podpisem i e-kartą potrzebny będzie kolega z Windowsem.
Tak samo potrzebujemy Windows do korespondencji z ZUSem, ale to dlatego, że Płatnik działa tylko w tym środowisku.
Więc co możemy zrobić z e-podpisem pod innym systemem operacyjnym, niż "jedyny i słuszny"?
Możemy podpisywać dokumenty w przeglądarce internetowej, jeżeli podpisujemy wnioski przez internet - i to wszystko. No, na razie możemy, chyba że pojawi się jakaś niezgodność interpretacjach skryptów przez przeglądarki ;)
A żeby nie było tak smutno - posiadacze Windows 98 nie muszą kupować nowszych systemów. Oprogramowanie do zarządzania podpisami działa też na tych, niewspieranych przez MS, systemach. No ale Płatnik już nie za bardzo chce działać ;)
Ufff ... czas chyba kończyc prace na dzisiaj.

Czy e-podpis tylko do ZUSu?

Skoro trzeba już wydać te 250PLN na podpis do ZUSu, może trzeba zastanowić się gdzie można go jeszcze zastosować.
Tak na początek. Czy ktoś zastanawiał się, żeby podpisywać swoje własne dokumenty w wordzie lub excelu przed przekazaniem do szefa?Można powiedzieć, przecież w życiu nikt nie podpisuje każdego dokumentu i że to strzelanie z armaty do muchy, ale skoro podpis już jest, to czemu nie zastosować go do zabezpieczenia własnej pracy.
Dalej oczywiście nasz kochany urząd skarbowy. Istnieje możliwość składania deklaracji podatkowych przy użyciu e-podpisu. Kto się pośpieszył mógł już złożyć deklarację za rok 2007.
Banki i autoryzacja przelewów interntowych. Na dzień dzisiejszy przelewy można podpisywać już w BPH i Nordei, który to bank (Nordea) oferuje posiadaczom kont 15% upust na zakup podpisu, ważnego 2 lata. Z niecierpliwością czekam na wdrożenie możliwości podpisu w kb24.pl ;)
Skoro wcześniej napisałem o urzędzie podatkowym, to nie można zapomnieć o mozliwości uzyskania elektrocznej wersji KRSu, podpisywania dokumentów w korespondecji z GIIF i GIODO (to już działa). Z obietnic, mamy już możliwość podpisywania dokumentów w korespondencji z różnymi urzędami. Mam nadzieję, że jeszcze dożyję pełnej informatyzacji administracji publicznej i że nie będę musiał stać z byle papierkiem w kilometrowych kolejkach. Już w tej chwili można na siłę wysyłać podpisane elektrocznicznie dokumenty do nieprzystosowanych urzędów.
Pole do zastosowan kwalifikowanego podpisy daje też ustawa o zamówieniach publicznych, która pozwala na zastosowanie aukcji elektrocznicznej podczas zakupu towarów i usług.
Czyli już teraz nie jest tak źle z tym podpisem. :)

Miód na serce ABI

Jak zmusić ADO z wężem w kieszeni do poczynienia inwestycji w celu zabezpieczenia zbiorów danych? Wystarczy powołać się na art. 36 ust. 1, który mowi, że:
"Administrator danych jest obowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem."

Tu jasno widać, że całość odpowiedzialności za zapewnienie ochrony spoczywa na przedstawicielu ADO (dyrektor, prezes, właściciel), a nie na ABI.
Tak więc, jeżeli ABI nie może "przepchnąć" inwestycji, zawsze może powołać się na ten artykuł.
Powodzenia ;)

Strona na dziś2:
UODO w szkołach i przedszkolach

Kim powinien być ABI?

Pytanie, które powstało zaraz po wejściu w życie ustawy o ochronie danych osobowych.
Ponieważ art.36 ust. 3 mówi, że administrator "wyznacza administratora bezpieczeństwa informacji, nadzorującego przestrzeganie zasad ochrony, o których mowa w ust. 1, chyba że sam wykonuje te czynności", rozpoczęło sie polowanie na ofiarę. ;)
Wielu pracowdawców, jako że większośc danych, to dane przetwarzane w systemach komputerowych, obciążyło dodatkowymi obowiązkami informatyka. Piszę obciążyło, ponieważ często było to na zasadzie dodatkowego wpisu w zakresie obowiązków, "a resztę, to se Pan doczyta". I pracodawcę ogarneło poczucie błogości z dobrze wykonanego obowiązku spychologii.
Tymczasem, nie jest tak prosto. ABI jest osobą wyznaczoną przez ADO (administratora danych osobowych) do wykonywania czynność związanych z zabezpieczeniem zbioru danych osobowych. Jednak przerzucenie obowiązków na ABI nie zwalnie ADO z obowiązku "dołożenia szczególnej staranności w celu ochrony interesów osób, którego dane dotyczą,..." (art. 26). Dodatkowo art. 31 ust. 4 mówi, że "odpowiedzialność za przestrzeganie przepisów niniejszej ustawy spoczywa na administratorze danych", nawet w momencie przekazania na piśmie obowiązków przetwarzania danych, innemu podmiotowi.
Więc kim w końcu jest ABI?
ABI jest "zbrojnym ramieniem" ADO, który ma za zadanie chronić dane osobowe. Głównie więc ABI musi:
- dokonać inwentaryzacji zbiorów, w ktorych zbierane są dane osobowe (nie tylko informatyczne, ale też papierowe) oraz osób upoważnionych do przetwarzania tych danych
- dokonać zgłoszenia zbiorów dnych do GIODO
- dbać o aktualność dokonanego zgłoszenia, informować GIODO o zmianie zakresu przetwarzanych danych
- sprawdzić, zmodyfikować i nadzorować bezpieczeństwo systemów informatycznych
- przygotować, aktualizować i dbać o przestrzeganie polityki bezpieczeństwa danych osobowych oraz instrukcji bezpieczeństwa systemów informatycznych
- szkolić i kontrolować pracowników zajmujących się przetwarzaniem danych osobowych
Jak widać zakres prac związanych z ochrona przetwarznych danych osobowych jest bardzo szeroki z dużym stopniu od specyfiki administratora danych.
Więc kim w końcu powinien być ABI?
Czy powinien być księgową/księgowym - nie, bo jaka księgowa ma doświadczenie związane z bezpieczeństwem informatycznym.
Czy powinien być kadrową/kadrowym - nie, bo pomimo znajomości przepisów kadrowych i obycia z danymi pracowniczymi dalej nie mamy możliwości kontroli zabezpieczeń informatycznych.
Czy powinien to być informatyk - nie, bo co ze znajomością przepisów, nadzorem zbiorów nieinformatycznych. A pozatym, jak nadzorować i oceniać własną pracę.
Hmmm... więc powinien być to zespół pracowników, ale ustawa nie mówi o delegacji uprawnień ABI na grupę pracowników. Więc stanowisko ABI musi zajmować osoba ze znajomością:
- systemów operacyjnych (Windows/Linux/UNIX) w zależności od stosowanych u ADO
- budowy, działania i zabezpieczeń sieci
- ustawy i innych aktów prawnych dot. przetwarzania danych
- prowadzenia szkoleń i konsultacji (predyspozycje i doświadczenie edukacyjne)
Oczywiście ABI nie musi być alfą i omegą we wszystkich dziedzinach, jednak to on odpowiada przed ADO za wykonywanie UODO. A do wspólprawcy zawsze może zaprosić prawnika, kadrowego, księgowego, informatyka (administratora sieci).
Wszystko jest w porządku, gdy ADO jest dużą organizacją, która może pozwolić sobie na zatrudnienie dodatkowej osoby na stanowisko ABI, a następnie inwestować w szkolenia i rozwój takiej osoby. A co w przypadku, gdy administrator danych należy do segmentu małych i średnich przedsiębiorstw? Pozostaje nielubiany przez wielu outsorcing lub zatrudnienie na umowę o dzieło lub umowę-zlecenie.
Czy taka forma pozyskania ABI jest bezpieczna?
Wydaje się że tak. Dzięki temu, że tak pozyskany ABI pełni tę samą funkcję w kilku organizacjach, ma szersze spojrzenie na problem, dzięki czemu może szybciej reagować na nowe zagro. Odchodzi też problem doszkalania pracownika, zastępstw na czas urlopów, powiązań wynikających z układów koleżeńskich w firmie (jak tu nadzorować kolegę).
Ponadto, specyfika zbiorów danych oraz sposobów ich przetwarzania w małych i średnich przedsiębiorstwach nie wymaga stałego nadzoru nad systemami i pracownikami.

Strona na dziś:
Do poduszki od GIODO

Szkolenia z ochrony danych osobowych

Znalazlem w sieci dość ciekawą firmę oferującą szkolenia z zakresu ochrony danych:
Ochrona Danych Osobowych - warsztaty - 05.06.2008
oraz
Zabezpieczanie systemów informatycznych przetwarzających dane osobowe - 06.06.2008

Firma zwie sie Omni Modo. Rozmowa z właścicielką była miła, cena sensowna. :)
Wrażenia i opinie po powrocie.

Strona na dzisiaj2:
E-ochronadanych.pl

Nowelizacja ustawy o ochronie danych osobowych

Czy w tym kraju nie może być tak, że ważne ustawy będą dobrze napisane i nie będą potrzebne co chwilę nowelizacje? ;)
Wyczytałem w internecie, że p. prezydent zgłosił w dniu 21 grudnia 2007r. projekt zmiany ustawy o ochronie danych osobowych.
Projekt i uzasadnienie.
Jakie zmiany proponuje p. prezydent:
Po pierwsze i najważniejsze daje GIODO narzędzie do walki z odmiotami, które nie stosują sie do ustawy, wytycznych GIODO oraz utrudniaja pracę GIODO. Dodatkowo kara też dotyka personalnie ABI i kierownika jednostki i wynosić może do 300% miesięcznego wynagrodzenia. Od nałożonej kary istnieje odwołanie do sądu administracyjnego, z wyłączeniem kary za niestosowanie sie do art. 18 ust.1 lub art. 44 ust. 2.
Po drugie i też ważne, pojawia sie konkretny wymiar kary, za przetwarzanie wrażliwych danych osobowych, przed zgłoszeniem zbioru do GIODO i wynosi on do 2 lat oraniczenia lub pozbawienia wolności. Więc nie bedzie można przetwarzać tych danych przed zarejestrowaniem zbioru, pomimo spełnienia warunku z art. 27 ust. 2 (czyżby?). Moim zdaniem mogą pojawić się problemy z interpretacją. Nie jestem prawnikiem, ale jako normalny obywatel mam prawo rozumieć ustawę. ;)
Po trzecie, pojawia sie kara za niepoinformowanie GIODO o zmianie zakresu przetwarznych danych. Jest to ogranicznie lub pozbawienie wolności do roku.
Jakie mogą być skutki powyższych zmian? Może wzrośnie ranga ABI w jednostkach, którymi się zajmuje. Może szefostwo firmy przestanie taktować ABI jako piąte koło u wozu i przerzucać te obowiązki na kadrową, księgową lub informatyka.
Dalej pojawia się propozycja rozszerzenia uprawnień GIODO o możliwość kierowania inicjatyw ustawodawczych lub zmian istniejących aktów prawnych, w zaresie działań GIODO, oraz możliwość przeniesienia części prac na jednostki zamiejscowe. Dzięki temu, wzrośnie prawdopodobnie efektywność pracy inspektoratu, oraz jakośc stanowionego prawa w zakresie ochrony danych osobowych.
Z ciekawszych zmian, warto moim zdaniem, odnotować jeszcze zmianę w art. 33 ust. 1, która rozszerza zakres informacji, jakie musi udzielić podmiot przetwarzający dane osobie zainteresowanej. Mnie bardzo ucieszyła jasno opisana możliwośc uzyskania informacji o źródle uzyskania informacji. Obecny zapis mówi jedynie o sposobie w jaki zebrano dane.

Czy to koniec zmian w ustawie?
Raczej nie. Mimo pewnego uporządkowania ustawy, jakoś nikt nie zajął się problematyką zbierania informacji w internecie (pobieranie zgody na przetwarzanie).

Strona na dziś:
PREZYDENT RP

Co się zmieni po 21 lipca 2008r.?

Ano, mam nadzieję że nic. :)
Według informacji podawanych przez ZUS i według ustawy z dnia 18 września 2001 r. o podpisie elektronicznym (Dz.U. nr 130, poz. 1450 z późn. zm.), od dnia 21 lipca wszyscy przesiębiorcy objęci obowiązkiem elektronicznej wymiany z Zakładem Ubezpieczeń Społecznych (zatrudniający 5 osób) będą mieli obowiązek przejscia z certyfikatów zusowskich na kwalifikowany podpis elektroniczny.

A czemu mam nadzieję, że nic?
Niedawno pojawiły się informacje, że nasi nieoceni posłowie, na skutek protestów małych i średnich przedsiębiorców rozpoczęli cieżką pracę nad zmianą ustawy i płynnym przesunięciu terminu od którego miałby obowiązywać kwalifikowany podpis elektroniczny.

Jak to ma wyglądać?
Do tej pory, ustawa zakłada, że z dniem 21 lipca 2008r. ZUS wyłącza swoja infrastrukturę odpowiedzialną za wydawanie i zarządzanie dotychczasowymi certyfikatami, oraz przy przyjmowaniu dokumentów drogą elektroniczną przyjmuje te, które zostały podpisane podpisem kwalifikowanym. Zakładając, że płatnik na przełomie lipca i sierpnia wysyła tylko dokumenty rozliczeniowe, to dla spóźnialskich, ostatecznym terminem "wyrobienia sobie" e-podpisu jest data złożenia dokumentów rozliczeniowych za lipiec (czyli 10 sierpnia 2008).
Według obiecanej przez posłów nowelizacji ustawy, w dniu 21 lipca 2008r. ZUS wyłącza swoja infrastrukturę odpowiedzialna za wydawanie nowych certyfikatów, ale do 21 lipca 2009r. honoruje jeszcze "swoje podpisy". Czyli jeżeli płatnikowi data ważności obecnego certyfikatu upływa z dniem 19 lipca 2008r. to istnieje możliwość uzyskania kolejnego podpisu, który bedize ważny do 19 lipca 2009r. Czyli czyli płatnik na rok odsuwa procedurę wdrożenia podpisu kwalifikowanego.

Czy to dobrze?
Obecnie 3 firmy mają prawo i do zarządzania podpisem kwalifikowanym.
Są to:
Krajowa Izba Rozliczeniowa Spółka Akcyjna
Polska Wytwórnia Papierów Wartościowych Spółka Akcyjna
Unizeto Technologies Spółka Akcyjna
Ponieważ tylko trzy, to nie ma żadnej konkurencji pomiędzy tymi podmiotami. Wszystkie oferuja identyczny zakres usługi, za identyczną cenę. Niestety, jak to w Polsce bywa, ktoś musi dobrze zarobić na obywatelu.
Wydłużenie i upłynnienie terminu uzyskiwania być może spowoduje spadek cen, być może dejdzie jeszcze jakiś podmiot i być może wzrośnie konkurencja. Ale to tylko być może.
Pozostanie spora część "prekursorów" i "chcących spać spokojnie", którzy na rok zostaną z niepotrzebnym, bo nie obowiązkowym podpisem. 250PLN na kżdego upoważnionego pracownika pójdzie do kosza...

A jeszcze jedno - już od prawie roku można podpisywać dokumenty do ZUS podpisem kwalifikowanym i już rok temu posłowie mogli zająć sie przesunięciem ostatecznego terminu. Ale być może byli zbyt zajęci.

Strona na dziś:
INTERNETOWY SYSTEM AKTÓW PRAWNYCH

Dane osobowe a konstytucja

Pierwszy post jest podobno najtrudniejszy. Najcześciej jest to jakieś blebleble:)
A ja postaram sie zacząć z "grubej rury".
Jestem nomadem podrózującym po świecie informatyki - więc blog będzie w dużej części poświecony zagadnieniom komputerowym i okoloinformatycznym.

Jako, że ostatnio w kręgu moich zainteresowań pojawiły się tematy związane z informatyką i tzw. biznesem, to z końcu zetknąłem się z tematem magazynowania i obróbki danych osobowych.
Temat z wierzchu prosty, ale niestety jak się wejdzie głębiej, to człowieka zaczynają przechodzić ciarki. ;)

Ale od początku.
Aktem prawnym obowiązującym każdego obywatela Polski jest Konstytucja Rzeczypospolitej Polskiej (czemu http://www.konstytucja.pl/ jest na sprzedaż? Czy na prawde polskiego rządu nie stać na zalatwienie tej sprawy?).
A w niej znajdujemy:

Art. 47.
Każdy ma prawo do ochrony życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym.

oraz

Art. 51.
1. Nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawniania informacji dotyczących jego osoby.
2. Władze publiczne nie mogą pozyskiwać, gromadzić i udostępniać innych informacji o obywatelach niż niezbędne w demokratycznym państwie prawnym.
3. Każdy ma prawo dostępu do dotyczących go urzędowych dokumentów i zbiorów danych. Ograniczenie tego prawa może określić ustawa.
4. Każdy ma prawo do żądania sprostowania oraz usunięcia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą.
5. Zasady i tryb gromadzenia oraz udostępniania informacji określa ustawa.

Czyli już w konstytucji mamy zagwarantowaną ochronę naszego imienia i danych. Dość ogólnie... ale to dopiero początek.
Co daje już nam konstytucja:
1. Zapewnia wolność życia i ochronę prywatności.
2. Chroni obywateli, przed zbytnim wścibstwem urzędników.
3. Daje prawo do dostępu i do poprawiania magazynowanych o nas informacji, przez różne instytucje.

Ustawa do której odsyła konstytucja to ustawa o ochronie danych osobowych 29 sierpnia 1997r. z jej późniejszymi zmianami. Ale to już inna bajka. ;)