Source: https://www.giodo.info.pl/index.php/pytania-i-odpowiedzi?start=1
Timestamp: 2018-12-16 22:06:25+00:00

Document:
Czy baza maili i telefonów klientów podlega pod ustawę o ochronie danych osobowych?
Tak, zgodnie z art. 6 za dane osobowe uważa wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Oznacza to że posiadając takie dane należy stosować wszystkie zabezpieczenia i dokumentacje wymaganą przez GIODO. Jeśli dane służą nam nie tylko do wystawiania faktur to zbiór taki również musimy zarejestrować w GIODO.
Czy prowadzony w postaci papierowej rejestr przychodzącej i wychodzącej korespondencji jest zbiorem danych i czy podlega rejestracji?
Tak, zgodnie z definicją zawartą w art. 7 pkt 1 za zbiór uważa się "każdy posiadający strukturę zestaw danych o charakterze osobowym". Zgodnie z art. 2 ust. 2 pkt 1 ustawy o ochronie danych osobowych, ustawę tę stosuje się do przetwarzania danych osobowych w kartotekach, skorowidzach, księgach, wykazach i w innych zbiorach ewidencyjnych. Oznacza to, iż przepisy ustawy mają zastosowanie również w przypadku przetwarzania danych osobowych w zbiorach prowadzonych w formie tradycyjnej (papierowej), tj. bez użycia systemów informatycznych. Zgodnie z nowelizacją ustawy zbiory danych przetwarzane poza systemem informatycznym są zwolnione z obowiązku rejestracji. Oczywiście muszą być one ujęte w rejestrze prowadzonym przez ADO.
Czy przed rejestracją zbioru w GIODO należy najpierw wdrożyć politykę bezpieczeństwa?
Tak, sama rejestracja zbioru jest uwieńczeniem działań mających na celu zapewnienie przetwarzanym danym odpowiedniego bezpieczeństwa. Zgodnie z art. 36 ust. 1 ustawy o ochronie danych osobowych jesteśmy zobowiązani do odpowiednich środków zarówno technicznych jak i organizacyjnych.
Czy należy zgłosić do GIODO zbiór danych osób korzystających z newslettera?
Tak, pozyskane adresy e-mail stanowią zbiór danych osobowych w rozumieniu art. 7 ust. 1 ustawy, zgodnie z którym zbiór danych rozumiany jest jako każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie.
Czy biblioteka ma obowiązek rejestracji zbiorów danych czytelników?
Tak, zbiory danych czytelników biblioteki podlegają rejestracji, istnieją jednak od tego odstępstwa w myśl art. 43 ust. 1 pkt 4 ustawy, z obowiązku rejestracji zwolnione są zbiory, w których gromadzone są dane osobowe dotyczące wyłącznie osób uczących się oraz zatrudnionych u administratora danych osobowych. Rejestracji również nie podlegają zbiory danych dotyczących użytkowników systemu biblioteczno-informacyjnego, które prowadzone są przez uczelnie wyższe.
Czy spółdzielnia mieszkaniowa podlega ustawie oo ochronie danych osobowych?
Tak, spółdzielnia mieszkaniowa jest takim samym ADO jak każdy inny podmiot, przetwarza przecież dane swoich pracowników czy lokatorów. Zatem zgodnie z art 36 musi posiadać opracowaną i wdrożoną pełną dokumentację przewidzianą przez ustawę o ochronie danych osobowych.
Czy przekazując dane osobowe klientów, zewnętrznym firmom łamię prawo?
Nie, jeśli przekazanie danych następuje na podstawie wiążącej umowy i podmiot, któremu przekazujemy dane jest w stanie, w odpowiedni sposób je zabezpieczyć. Wynika to z art. 31 ust. 1 ustawy o ochronie danych osobowych, Administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych.
Należy jednak pamiętać, że zgodnie z art. 35 ust 3 tejże ustawy, Administrator danych jest zobowiązany poinformować bez zbędnej zwłoki innych administratorów, którym udostępnił zbiór danych, o dokonanym uaktualnieniu lub sprostowaniu.
Czy szkoła prowadząc e-dziennik narusza przepisy ustawy o ochronie danych osobowych?
Nie, według GIODO dziennik lekcyjny prowadzony w formie elektronicznej nie narusza prawa uczniów, rodziców i nauczycieli do ochrony danych osobowych. Wynika to z faktu, że przepisy ustawy określają tylko ogólne zasady przetwarzania danych. W sytuacji, gdy występują szczególne wobec ustawy przepisy prawa, trzeba je zastosować jako pierwsze. W tym przypadku zasady tworzenia i prowadzenia dzienników lekcyjnych określają przepisy dotyczące oświaty. Mowa tu m.in. o rozporządzeniu ministra edukacji narodowej i sportu z dn. 19 lutego 2002r., które określa w jaki sposób, publiczne przedszkola, szkoły i placówki mają prowadzić dokumentację przebiegu nauczania oraz jaki ma być jej rodzaj.
Podkreślić należy tutaj, że zarówno dzienniki w formie papierowej jak i elektronicznej muszą być w odpowiedni sposób i przy pomocy określonych środków, zabezpieczone przed dostępem osób nieuprawnionych.
Co GIODO może zrobić w sprawie przesyłania SPAMU?
Jeżeli chodzi o spam, ustawa o ochronie danych osobowych ma bardzo ograniczone zastosowanie. Kwestie te regulują odrębe przepisy prawa. W odniesieniu do ustawy można jedynie wnieść sprzeciw wobec przetwarzania danych osobowych do administratora danych. Jednak wysyłając maila zwrotnego ze sprzeciwem na adres, z ktorego otrzymaliśmy spam, musimy pamiętać, że pomoże on zidentyfikować nasze konto jako aktywne, co spowoduje, że nasza poczta elektroniczna nadal będzie atakowana przez programy spamerskie. GIODO może wszcząć postępowanie administracyjne w przypadku nie zastosowania się administratora danych do sprzeciwu przeciw przetwarzaniu danych w celach marketingowych. Należy zauważyć, że jest to najskuteczniejsze w przypadku tradycyjnych działań marketingowych, gdy znany jest nam administrator danych.
Jakie dane mogą zbierać Przedsiębiorcy telekomunikacyjni na potrzeby rejestracji kart pre-paid?Zgodnie z art. 60b ust. 1 pkt 1 ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne, abonent będący osobą fizyczną podaje dostawcy usług następujące dane: a) imię i nazwisko, b) numer PESEL, jeżeli go posiada, albo nazwę, serię i numer dokumentu potwierdzającego tożsamość, a w przypadku cudzoziemca, który nie jest obywatelem państwa członkowskiego albo Konfederacji Szwajcarskiej - numer paszportu lub karty pobytu. Powyższy przepis wskazuje dane, jakie abonent - kupujący kartę pre-paid jest obowiązany podać dostawcy usług przedpłaconych.

References: art. 6
 art. 7
 art. 2
 art. 36
 art. 7
 art. 43
 art. 31
 art. 35
 art. 60