Source: https://odo24.pl/najczesciej-zadawane-pytania-faq
Timestamp: 2019-04-23 03:55:32
Legal References Found: art. 26
 art. 24
 art. 49
 art. 32
 art. 49
 art. 32
 art. 57
 art. 15
 art. 16
 art. 17
 art. 18
 art. 20
 art. 21
 art. 22
 art. 13
 Art. 29
 Art. 29
 Art. 29
 art. 29
 art. 42

Document Content:
﻿ Najczęstsze pytania IOD ADO ODO - ODO24.pl
Są to wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (osobie, której dane dotyczą). Możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
Mogą to być wszelkie dane dotyczące osoby, poczynając od adresu IP komputera, z którego korzystamy,a na wizytówce kończąc. Dane osobowe możemy znaleźć nie tylko w dowodzie osobistym czy paszporcie, ale daną osobową mogą być również odciski palców, kod genetyczny czy wzór siatkówki oka. Wśród najmniej strzeżonych i najczęściej wykorzystywanych danych osobowych jest numer telefonu, adres email oraz login na portalach społecznościowych. W sieci wystarczy raz ujawnić swoje dane osobowe, a po wprowadzeniu ich do wyszukiwarki może okazać się, że są już w kilku miejscach.
2. Co to są dane szczególnej kategorii?
Dane osobowe szczególnej kategorii są to dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz dane genetyczne, dane biometryczne, przetwarzane w celu jednoznacznego zidentyfikowania osoby fizycznej, jak również dane dotyczące zdrowia, seksualności lub orientacji seksualnej tej osoby. Obok danych szczególnej kategorii, ograniczenia w przetwarzaniu dotyczą także danych dotyczących wyroków skazujących i czynów zabronionych (art. 10 RODO).
Najprościej mówiąc, dane szczególnej kategorii lub inaczej - dane „wrażliwe” to grupa danych osobowych, która podlega szczególnym zasadom przetwarzania i ochrony. W związku z wyjątkowym charakterem danych, obowiązuje szereg szczegółowych zasad związanych z postępowaniem z nimi – najczęściej regulowanych odrębnymi przepisami branżowymi. Do danych wrażliwych możemy zaliczyć nawet przechowywane przez pracodawcę zwolnienia lekarskie.
3. Kim jest administrator danych osobowych (ADO)?
ADO oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania.
ADO to podmiot, który przetwarza nasze dane osobowe, wykorzystując je we własnych celach. W przypadku, gdy uznamy, że nasze dane są w sposób niewłaściwy przetwarzane przez ADO lub dane są nieaktualne, możemy prawo ich aktualizacji bądź zażądania zaprzestania ich przetwarzania. Zgodnie z RODO administratorem danych osobowych nie jest osoba, która przetwarza dane w celach osobistych lub domowych np. kolega, któremu daliśmy nasz numer telefonu czy adres mailowy jak również ciocia, której co roku wysyłamy list polecony na urodziny.
4. Kim jest współadministrator danych osobowych?
Współadministrator danych osobowych to taki administrator danych osobowych, który wspólnie z innym administratorem ustala cele i sposoby przetwarzania danych osobowych. Źródło: art. 26 ust. 1 RODO.
Jeśli faktyczną kontrolę nad tym, dlaczego i w jaki sposób przetwarzane są dane, sprawuje przynajmniej dwa podmioty, to wszystkie z nich są współadministratorami. Przykład: „Biuro podróży, sieć hoteli i linie lotnicze postanawiają założyć wspólną platformę internetową w celu udoskonalenia współpracy w zakresie zarządzania rezerwacjami turystycznymi. Uzgadniają ważne elementy sposobów przetwarzania danych, które będą stosowane, na przykład jakie dane będą przechowywane, w jaki sposób rezerwacja będzie przypisywana i zatwierdzana oraz kto może mieć dostęp do przechowywanych informacji. Postanawiają ponadto wymieniać się danymi swoich klientów w celu prowadzenia zintegrowanych działań marketingowych.”
5. Kim jest inspektor ochrony danych (IOD)?
6. W jaki sposób zgłosić powołanie inspektora ochrony danych (IOD)?
Wyznaczenie IOD należy zgłosić Prezesowi UODO w ciągu 14 dni, wskazując imię, nazwisko oraz adres poczty elektronicznej lub numer telefonu inspektora, a także: 1) imię i nazwisko oraz adres zamieszkania, w przypadku gdy administratorem lub podmiotem przetwarzającym jest osoba fizyczna; 2) firmę przedsiębiorcy oraz adres miejsca prowadzenia działalności gospodarczej, w przypadku gdy administratorem lub podmiotem przetwarzającym jest osoba fizyczna prowadząca działalność gospodarczą; 3) pełną nazwę oraz adres siedziby, w przypadku gdy administratorem lub podmiotem przetwarzającym jest podmiot inny niż wskazany w pkt 1 i 2; 4) numer identyfikacyjny REGON, jeżeli został nadany administratorowi lub podmiotowi przetwarzającemu.
W przypadku wyznaczenia jednego inspektora przez organy lub podmioty publiczne albo przez grupę przedsiębiorców, każdy z tych podmiotów dokonuje zawiadomienia. W terminie 14 dni należy zgłosić również zmianę tych danych lub odwołanie inspektora. Zawiadomienia sporządza się w postaci elektronicznej i opatruje kwalifikowanym podpisem elektronicznym albo podpisem potwierdzonym profilem zaufanym ePUAP. Imię, nazwisko oraz adres poczty elektronicznej lub numer telefonu inspektora, należy umieścić także na stronie internetowej, a w jej braku – w miejscu prowadzenia działalności.
W ciągu 14 dni od wyznaczenia IOD, musimy zgłosić ten fakt do UODO. W tym celu, należy postępować zgodnie z instrukcjami urzędu. Jeśli w tym celu korzystamy z pełnomocnika, to do formularza należy załączyć dowód uiszczenia opłaty skarbowej od pełnomocnictwa, chyba że pełnomocnikiem jest małżonek, wstępny, zstępny lub rodzeństwo. Ponadto, imię, nazwisko oraz e-mail lub telefon IOD umieszczamy na naszej stronie internetowej. W razie wątpliwości, Prezes UODO prowadzi także stronę z pytaniami i odpowiedziami. Więcej informacji na naszym blogu.
7. Czym są polityki i procedury ochrony danych osobowych?
Są to dokumenty wewnętrzne organizacji, przyjęte aktem wewnętrznym jej organu i wiążące dla pracowników i współpracowników, tj. osób upoważnionych do przetwarzania danych osobowych. Wyznaczają normy postępowania w odniesieniu do spełnienia poszczególnych wymogów RODO. Zgodnie z art. 24 ust. 2 RODO, wdrożenie odpowiednich polityk ochrony danych jest obowiązkiem administratora, jeśli jest to proporcjonalne w stosunku do czynności przetwarzania.
Są to dokumenty, dzięki którym pracownicy mogą odnaleźć odpowiedź na pytania związane z ochroną danych: jak przetwarzać dane osobowe, jak je zabezpieczyć, komu zgłaszać incydent i jakie czynności podjąć po jego wykryciu, a także jak przeprowadzać wymagane analizy. Wewnętrzne polityki i procedury powinny być przede wszystkim użyteczne – zapewniać możliwie najefektywniejsze wdrożenie RODO. Wymagana lista dokumentacji ochrony danych osobowych zamieszczona jest na stronie UODO.
8. Czym jest rejestr czynności przetwarzania?
Rejestr czynności przetwarzania administratora danych osobowych to dokument, w którym znajdują się następujące informacje: imię i nazwisko lub nazwę oraz dane kontaktowe administratora oraz wszelkich współadministratorów, a także gdy ma to zastosowanie – przedstawiciela administratora oraz inspektora ochrony danych; cele przetwarzania; opis kategorii osób, których dane dotyczą, oraz kategorii danych osobowych; kategorie odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w tym odbiorców w państwach trzecich lub w organizacjach międzynarodowych; gdy ma to zastosowanie, przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym nazwa tego państwa trzeciego lub organizacji międzynarodowej, a w przypadku przekazań, o których mowa w art. 49 ust. 1 akapit drugi, dokumentacja odpowiednich zabezpieczeń; jeżeli jest to możliwe, planowane terminy usunięcia poszczególnych kategorii danych; jeżeli jest to możliwe, ogólny opis technicznych i organizacyjnych środków bezpieczeństwa, o których mowa w art. 32 ust. 1.
Rejestr czynności podmiotu przetwarzającego to dokument, w którym znajdują się następujące informacje: imię i nazwisko lub nazwa oraz dane kontaktowe podmiotu przetwarzającego lub podmiotów przetwarzających oraz każdego administratora, w imieniu którego działa podmiot przetwarzający, a gdy ma to zastosowanie – przedstawiciela administratora lub podmiotu przetwarzającego oraz inspektora ochrony danych; kategorie przetwarzań dokonywanych w imieniu każdego z administratorów; gdy ma to zastosowanie –przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym nazwa tego państwa trzeciego lub organizacji międzynarodowej, a w przypadku przekazań, o których mowa w art. 49 ust. 1 akapit drugi, dokumentacja odpowiednich zabezpieczeń; jeżeli jest to możliwe, ogólny opis technicznych i organizacyjnych środków bezpieczeństwa, o których mowa w art. 32 ust. 1.
Rejestr czynności przetwarzania to dokument, w którym aktualizujemy informacje m.in. o tym, w jakich celach przetwarzamy dane osobowe, kogo dotyczą te dane, jaki jest ich zakres, komu je ujawniamy, czy do kiedy będą przechowywane. W rejestrze zamieszcza się także ogólne informacje o sposobie zabezpieczenia danych, a także o tym, czy są przekazywane poza Unię Europejską. Rozróżnia się dwa rejestry czynności przetwarzania – dla administratora danych osobowych, który zawiera szerokie informacje o przetwarzanych danych, a także dla podmiotu przetwarzającego, gdzie należy wskazać przede wszystkim, w imieniu jakich administratorów dokonujemy przetwarzania danych osobowych, a także jaki jest zakres danych i rodzaj operacji, które na nich wykonujemy.
9. Jakie są zasady przetwarzania danych osobowych?
10. Jak długo możemy przetwarzać czyjeś dane osobowe?
11. Jak trwale i ostatecznie usunąć dane osobowe?
Trwałe i ostateczne usunięcie danych osobowych to nic innego niż zniszczenie ich nośników w sposób uniemożliwiający ich odtworzenie. Do tego celu służą m.in. niszczarki, specjalne programy komputerowe nadpisujące dysk.
Trwałe i ostateczne usunięcie danych osobowych z dokumentów w wersji papierowej można wykonać usuwając cały dokument w odpowiedniej klasy niszczarce. W zakresie danych osobowych znajdujących się na nośnikach elektronicznych rozróżniamy kasowanie, polegające na całkowitym wymazaniu danych na nośniku poprzez ich nadpisanie oraz kasowanie polegające na usunięciu zapisanych danych z wykorzystaniem prostych procesów fizycznych np. zniszczenie młotkiem dysku twardego komputera. W przypadku nośników magnetycznych kasowanie może odbyć się z użyciem silnego pola magnetycznego. Warto wiedzieć, że na rynku funkcjonują firmy, które profesjonalnie zajmują się niszczeniem wszystkich nośników danych osobowych
12. Na czym polega obowiązek analizy ryzyka i DPIA?
13. Na czym polegają zasady privacy by default i privacy by design?
Zasada privacy by design oznacza, że administrator – zarówno przy określaniu sposobów przetwarzania, jak i w czasie samego przetwarzania –wdraża odpowiednie środki techniczne i organizacyjne, takie jak pseudonimizacja, zaprojektowane w celu skutecznej realizacji zasad ochrony danych, takich jak minimalizacja danych, oraz w celu nadania przetwarzaniu niezbędnych zabezpieczeń, tak by spełnić wymogi niniejszego rozporządzenia oraz chronić prawa osób, których dane dotyczą.
Zasada privacy by default oznacza wdrożenie odpowiednich środków technicznych i organizacyjnych, aby domyślnie przetwarzane były wyłącznie te dane osobowe, które są niezbędne dla osiągnięcia każdego konkretnego celu przetwarzania. Obowiązek ten odnosi się do ilości zbieranych danych osobowych, zakresu ich przetwarzania, okresu ich przechowywania oraz ich dostępności. W szczególności środki te zapewniają, by domyślnie dane osobowe nie były udostępniane bez interwencji danej osoby nieokreślonej liczbie osób fizycznych.
Privacy by design to uwzględnienie ochrony danych w fazie projektowania, a innymi słowy – zapewnienie zgodności z RODO jeszcze zanim zaczniemy przetwarzać dane. Przykładowo, jeśli planujemy uruchomić nowy produkt lub usługę, to zastanawiamy się, jakie będą warunki regulaminu, jaki system informatyczny będzie wykorzystywany do jej świadczenia, a także którzy z pracowników będą zaangażowani w proces sprzedaży. Już na tym etapie powinniśmy odpowiedzieć na pytania, jakie dane będziemy pozyskiwać, gdzie klienci znajdą informacje o przetwarzaniu danych, czy na ich żądanie będziemy mogli je łatwo udostępnić lub usunąć, a także czy będziemy mieli zawarte umowy powierzenia przetwarzania (np. z podmiotem dostarczającym system informatyczny).
Privacy by default to domyślna ochrona danych – oznacza, że bez dodatkowej zgody czy potwierdzenia, przetwarzamy jedynie niezbędny zakres danych do świadczenia jakiejś usługi. Przykładowo, jeśli korzystając z portalu społecznościowego możemy udostępnić informacje o nas, to powinniśmy być poproszeni o taką decyzję uprzednio, a nie być zmuszani do doszukiwania się w ustawieniach możliwości ukrycia pewnych informacji, które domyślnie są udostępnione. Podobnie, jeśli kupujemy jakiś produkt, podając dane osobowe, to bez dodatkowej zgody sprzedawca nie powinien zapisywać nas do programu lojalnościowego, biuletynu informacyjnego czy konkursu.
14. Co to jest naruszenie ochrony danych osobowych?
15. Kiedy i komu należy zgłaszać naruszenie ochrony danych osobowych?
Jeżeli naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą, o takim naruszeniu. Zawiadomienie nie jest wymagane, jeśli: a) administrator wdrożył odpowiednie techniczne i organizacyjne środki ochrony i środki te zostały zastosowane do danych osobowych, których dotyczy naruszenie, b) administrator zastosował następnie środki eliminujące prawdopodobieństwo wysokiego ryzyka naruszenia praw lub wolności osoby, której dane dotyczą; lub c) wymagałoby ono niewspółmiernie dużego wysiłku. W takim przypadku wydany zostaje publiczny komunikat lub zastosowany zostaje podobny środek.
W razie incydentu, należy jak najszybciej usunąć jego skutki, opisać jego okoliczności i planowaną reakcję, a jeśli występuje taki obowiązek – zgłosić naruszenie wraz z wymaganą dokumentacją, w ciągu 72 godzin organowi nadzorczemu i bez zbędnej zwłoki - osobom, których dotyczą dane objęte naruszeniem.
Naruszenia nie zgłaszamy organowi nadzorczemu, jeśli jest mało prawdopodobne, by w wyniku incydentu (np. utraty danych), mogło dojść do naruszenia praw osób fizycznych. Naruszenia nie zgłaszamy osobom, których dotyczą dane objęte incydentem, jeśli a) jesteśmy w stanie wykazać, że nie występuje wysokie ryzyko naruszenia ich praw, b) zabezpieczyliśmy odpowiednio dane objęte naruszeniem, np. uniemożliwiając dostęp osobom nieuprawnionym), lub c) wyeliminowaliśmy prawdopodobieństwo wysokiego ryzyka naruszenia praw osób, których dane są objęte incydentem. Jeśli zawiadomienie wszystkich osób wymagałoby niewspółmiernie dużego wysiłku, to jako alternatywę można zastosować publiczny komunikat lub równie skuteczny środek komunikacji.
Niezależnie, czy zgłaszamy incydent, musimy go odnotować
16. Czym zajmuje się Prezes Urzędu Ochrony Danych Osobowych?
W ramach zadań nadanych przez RODO, Prezes UODO to główny organ państwowy zajmujący się ochroną danych osobowych. W ramach zadań nadanych przez art. 57 RODO, organ ten m.in.: monitoruje i egzekwuje stosowanie RODO; upowszechnia w społeczeństwie wiedzę o ryzyku, przepisach, zabezpieczeniach i prawach związanych z przetwarzaniem oraz rozumienie tych zjawisk; doradza, parlamentowi narodowemu, rządowi oraz innym instytucjom i organom w sprawach dotyczących ochrony danych, rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez podmiot, organizację lub zrzeszenie; prowadzi postępowania w sprawie stosowania RODO, wydaje decyzje, a jeśli to jest to proporcjonalne – nakłada i ustala wysokość administracyjnych kar pieniężnych za naruszenia RODO.
Prezes UODO to z jednej strony szef urzędu dysponującego inspektorami którzy mogą do nas zawitać z kontrolą, a także urzędu, który prowadzi postępowania i nakłada kary za naruszenia przepisów o ochronie danych osobowych. Z drugiej strony to instytucja, do której zgłaszamy powołanie inspektora ochrony danych, raportujemy incydenty, a także z którą konsultujemy wątpliwości w zakresie ochrony danych. Poza powyższymi funkcjami Prezes UODO również szkoli i edukuje zarówno osoby, których dane są przetwarzane jak i podmioty je przetwarzające. Do Prezesa UODO również możemy zgłaszać się, jeśli sądzimy, że nasze dane są przetwarzane niezgodnie z prawem. W jednym zdaniu Prezes UODO to państwowy strażnik przetwarzania danych osobowych.
17. Jak wygląda kontrola inspektora UODO?
Celem kontroli jest ustalenie stanu faktycznego w zakresie przestrzegania przez podmiot kontrolowany przepisów o ochronie danych osobowych oraz udokumentowanie dokonanych ustaleń. Czynności kontrolne „na miejscu” są dokonywane w siedzibie kontrolowanego podmiotu oraz w innym miejscu (np. jednostkach organizacyjnych) wskazanym jako obszar przetwarzania danych osobowych. Kontroli poddawane są zarówno podmioty z sektora publicznego jak i podmioty prywatne, które powinny stosować zasady przetwarzania danych osobowych. Kontrola kończy się sporządzeniem i podpisaniem protokołu.
Większość kontroli Prezesa UODO jest wynikiem złożonej skargi na przetwarzanie danych, jednak występują też liczne sprawdzenia z urzędu konkretnych branży. Przepisy RODO nie określają czasu kontroli. Z doświadczenia możemy powiedzieć, że kontrola Prezesa UODO może trwać od jednego dnia nawet do tygodnia. Na długość kontroli wpływa jej zakres przedmiotowy (czy jest to kontrola całej organizacji czy tylko wybranego działu/zagadnienia) oraz złożoność prowadzonej działalności z punktu widzenia procesów przetwarzania danych osobowych
18. Co to jest polityka kluczy?
Polityka kluczy jest to rozwiązanie organizacyjne mające na celu kontrolowanie i ewidencjonowanie dostępu do pomieszczeń oraz innych zabezpieczeń fizycznych, w których znajdują się nośniki zarówno w wersji papierowej jak i elektronicznej zawierające dane osobowe. Określa ona w szczególności procedurę wydawania, przechowywania i zdawania kluczy do pomieszczeń lub innych zabezpieczeń fizycznych otwieranych za pomocą kluczy.
Polityka kluczy to szereg procedur postępowania z kluczami, kartami dostępowymi do pomieszczeń oraz szaf, w których przetwarzane są dane osobowe w celu zabezpieczenia do nich dostępu osobom nieupoważnionym
19. Co to jest zasada czystego biurka?
Zasada czystego biurka jest to rozwiązanie organizacyjne mające na celu zapewnienie poufności danych osobowych, które są przetwarzane przez osoby upoważnione w trakcie wykonywania obowiązków służbowych lub pracowniczych polegające na usuwaniu z niezabezpieczonego miejsca pracy danych osobowych w wersji papierowej oraz na elektronicznych nośnikach danych osobowych jak również stosowaniu wygaszaczy ekranu w przypadku korzystania z urządzeń wyświetlających dane osobowe.
Spis reguł dotyczących pozostawiania stanowiska pracy bez kontroli w sposób zabezpieczający przetwarzane dane osobowe przed dostępem osób nieupoważnionych.
20. Co to jest obowiązek informacyjny?
W przypadku zbierania danych osobowych od osoby, której one dotyczą administrator danych jest obowiązany poinformować tę osobę o swojej tożsamości i danych kontaktowych, a jeśli występuje, także o danych kontaktowych inspektora ochrony danych. Powinien także przekazać informacje o: celach i podstawie prawnej przetwarzania (w tym o prawnie uzasadnionych interesach, jeśli występują), odbiorcach, którym dane osobowe, będą ujawniane, o przekazywaniu danych poza UE, okresie przechowywania danych, o prawach, które przysługują osobie, której dane dotyczą, a także o tym, czy podanie danych osobowych stanowi wymóg, czy też jest dobrowolne oraz czy dane osobowe będą wykorzystywane do zautomatyzowanego podejmowania decyzji, a jeśli tak, to na jakich zasadach.
Są to informacje, które musi udzielić ADO każdej osobie, której dane przetwarza, by osoba ta wiedziała, co dzieje się z jej danymi osobowymi, do kogo ma się zwrócić w przypadku naruszenia jej praw jak również miała świadomość, na co się godzi wyrażając zgodę na przetwarzanie swoich danych osobowych. Obowiązek ten jest realizowany przez ADO najczęściej w postaci klauzul informacyjnych, polityk prywatności lub regulaminów świadczenia usług drogą elektroniczną. Więcej informacji oraz przykładowe klauzule informacyjne znajdziesz na naszym blogu.
21. Jakie mają prawa osoby, których dane osobowe przetwarzamy?
Osoby, których dane dotyczą, mają następujące prawa: prawo dostępu do danych - art. 15 RODO, prawo do sprostowania danych – art. 16 RODO, prawo do bycia zapomnianym, tj. do usunięcia danych – art. 17 RODO, prawo do ograniczenia przetwarzania – art. 18 RODO, prawo do przenoszenia danych – art. 20 RODO, prawo do sprzeciwu – art. 21 RODO, prawo do tego, by nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i wywołuje wobec tej osoby skutki prawne lub w podobny sposób istotnie na nią wpływa – art. 22 RODO.
Ponadto, na korzyść osób, których dane dotyczą, administrator ma obowiązek przekazania osobie, której dane dotyczą, informacji o przetwarzaniu danych osobowych - art. 13 i 14 RODO, a w przypadku realizacji żądania w zakresie sprostowania, usunięcia lub ograniczenia przetwarzania danych – także obowiązek poinformowania o tym odbiorców, którym ujawniono te dane (art. 19 RODO).
Oprócz obowiązku informacyjnego, który musi być wobec nas spełniony, RODO daje nam następujące prawa:
możliwość dostępu do naszych danych, uzyskania informacji m.in. przez kogo i jak są przetwarzane (patrz obowiązek informacyjny ADO), a także uzyskania kopii naszych danych,
jeśli dane są nieprawidłowe - żądanie niezwłocznego ich sprostowania, a jeśli niekompletne - ich uzupełnienia,
żądanie zaprzestania wykorzystywania danych i ograniczenia się do ich przechowywania – nie tylko gdy np. ze względów dowodowych nie chcemy usunięcia nielegalnie przetwarzanych danych, ale także do czasu rozstrzygnięcia różnego rodzaju sporów (np. co do prawidłowości danych czy zasadności wniesionego sprzeciwu),
żądanie otrzymania w powszechnie używanym formacie danych, które dostarczyliśmy administratorowi (dotyczy danych przetwarzanych na podstawie zgody lub umowy, nie obejmuje danych przetwarzanych w ramach władzy lub interesu publicznego),
Gdy nasze prawa nie są realizowane lub gdy nasze dane przetwarzane są w sposób niezgodny z RODO, możemy złożyć skargę do Prezesa UODO, a w razie wystąpienia szkody – także żądać od administratora odszkodowania, co może wiązać się z postępowaniem sądowym.
22. Co powinno zawierać szkolenie z ochrony danych osobowych?
Szkolenie z ochrony danych osobowych powinno zawierać wyjaśnienie podstawowych definicji w tym określenia danych osobowych, przetwarzania danych i przetwarzania danych w systemie informatycznym, prawnego umocowania IOD, dopuszczalności przetwarzania danych osobowych, obowiązków wobec osób, których dane dotyczą, praw osób, których dane dotyczą, dopuszczalności udostępnienia danych osobowych, rejestru czynności przetwarzania, uprawnień Prezes UODO w tym uprawnień kontrolnych, przepisów karnych, odpowiedzialności osób przetwarzających dane osobowe, postępowania w przypadku naruszenia bezpieczeństwa przetwarzanych danych osobowych, obszaru, w którym odbywa się przetwarzanie danych osobowych, zasadach niszczenia danych osobowych zapisanych na nośnikach informatycznych, zasad zarządzania systemem informatycznym przetwarzającym dane osobowe, zasad tworzenia kopii awaryjnych, postępowania z wydrukami danych osobowych, zasad uwierzytelniania i autoryzacji w systemie informatycznym przetwarzającym dane osobowe oraz rozliczalności operacji w systemie informatycznym przetwarzającym dane osobowe.
Szkolenie z zakresu ochrony danych osobowych może być zróżnicowane w zależności od stanowiska dla jakiego jest przeprowadzane (IOD, ADO, przedstawiciel ds. IT, pracownicy) oraz od rodzaju branży jaką konkretny podmiot się zajmuje. Podczas szkolenia, uczestnik powinien przyswoić wiedzę, która pozwoli mu bezpiecznie i w sposób zgodny z prawem przetwarzać dane osobowe w organizacji. W ramach dobrych praktyk, szkolenia powinny być wykonywane cyklicznie, aby osoby przetwarzające dane nie zapominały o podstawowych praktykach i były na bieżąco z obowiązującym prawem.
23. Kto musi przejść szkolenie z zakresu ochrony danych osobowych?
Każda osoba upoważniona do przetwarzania danych osobowych musi zostać zaznajomiona zarówno z powszechnie obowiązującymi przepisami o ochronie danych osobowych, jak również wewnętrznymi aktami prawnymi i środkami bezpieczeństwa, do których należy się stosować w miejscu przetwarzania danych osobowych.
Szkolenie z zakresu danych osobowych powinna przejść każda osoba w organizacji lub poza nią, która będzie miała dostęp do przetwarzanych w niej danych osobowych i zostanie jej nadane upoważnienie do przetwarzania danych osobowych.
24. Co to jest upoważnienie do przetwarzania danych osobowych?
25. Co to jest oświadczenie o zachowaniu poufności danych osobowych?
Osoby, które zostały upoważnione do przetwarzania danych osobowych, powinny być zobowiązane zachować w tajemnicy te dane oraz sposoby ich zabezpieczenia. W związku z koniecznością zapewnienia bezpieczeństwa danych osobowych oraz rozliczalności administratora, pracowników i współpracowników należy zobowiązać do złożenia oświadczenia o zachowaniu w poufności danych osobowych, do których mogą mieć dostęp przy wykonywaniu swoich obowiązków.
W praktyce oświadczenie najlepiej zebrać po przeszkoleniu pracowników z nowych przepisów o ochronie danych osobowych oraz wewnętrznych polityk procedur, które mają je wdrażać – wtedy taki dokument obejmie zarówno oświadczenie o zapoznaniu się z nowymi przepisami, jak i zobowiązanie do zachowania poufności danych osobowych. Zbierając oświadczenia, można zweryfikować aktualność nadanych upoważnień do przetwarzania danych osobowych i w razie potrzeby – nadać nowe upoważnienia w ramach jednego zadania.
26. Co to jest obszar przetwarzania danych osobowych?
Jest to wykaz lokalizacji, budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe.
W praktyce obszar przetwarzania danych osobowych stanowi każde miejsce, gdzie znajdują się dane osobowe. Obszarem przetwarzania będzie zarówno archiwum, w którym znajdują się dane, nasz komputer służbowy, przy którym codziennie pracujemy czy dyski twarde zewnętrznych serwerów hostingowych, z których korzystamy. Obszar przetwarzania musi być jasno i precyzyjnie określony w polityce bezpieczeństwa, więc warto jest go określić rzetelnie i nie zapominać o aktualizacji, szczególnie, gdy zamierzamy przetwarzać dane osobowe poza pierwotnym obszarem przetwarzania.
27. Co to jest umowa powierzenia przetwarzania danych osobowych?
Administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Podmiot ten może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie, musi spełniać warunki bezpieczeństwa przetwarzania danych oraz ponosi za dane taką samą odpowiedzialność jak ich administrator.
Najczęstszym przykładem stosowania umów powierzenia przetwarzania danych jest powierzenie danych znajdujących się na serwerze hostingowym, czyli z dostawcami wirtualnej przestrzeni dyskowej, rzadziej z organizatorami konkursów, konferencji, szkoleń. Nie ma żadnych ograniczeń w zakresie kategorii podmiotu, z jakim możemy zawrzeć umowę o powierzeniu przetwarzania danych, więc do tej kategorii również zostaną zaliczone wszelkie firmy oferujące outsourcing danych osobowych. W takim przypadku niestety nie pozbywamy się odpowiedzialności za dane osobowe, gdyż nadal jesteśmy administratorem tych danych i odpowiadamy za nie. Więcej informacji oraz wzór umowy powierzenia przetwarzania znajdziesz na naszym blogu.
28. Co to jest zewnętrzny nośnik danych osobowych?
Jest to mobilny przedmiot fizyczny, na którym możliwe jest zapisanie informacji zawierającej dane osobowe i z którego możliwe jest późniejsze odtworzenie tej informacji.
W praktyce najpopularniejszymi przykładami nośników danych osobowych są papier, dyski twarde, karty pamięci, pamięć USB, laptop, płyty CD/DVD, telefony komórkowe, karty magnetyczne i chipowe. Istotą zewnętrzności nośnika danych osobowych jest jego mobilność, czyli możliwość prostego przenoszenia. Nie powiemy, że serwer firmowy zajmujący cały pokój jest mobilny, tak samo jak mobilność komputera stacjonarnego jest dość ograniczona.
29. Na czym polega anonimizacja dokumentów?
To proces polegający na przekształceniu danych osobowych, w sposób uniemożliwiający przyporządkowanie poszczególnych informacji osobistych lub rzeczowych do określonej czy możliwej do zidentyfikowania osoby fizycznej lub w przypadku, kiedy można tego dokonać jedynie niewspółmiernie dużym nakładem czasu, kosztów i sił.
Przykładem anonimizacji dokumentu w wersji papierowej jest nic innego niż zwykłe zamalowanie np. czarnym, nieprzezroczystym flamastrem danych osobowych lub wykonanie kserokopii naklejając zwykłą karteczkę zasłaniającą te dane , w taki sposób by kopia już ich nie zawierała. W przypadku anonimizacji dokumentu w wersji elektronicznej wystarczy stworzyć kopie dokumentu z usuniętymi danymi osobowymi.
30. Co to są zabezpieczenia fizyczne danych osobowych?
Zabezpieczenia fizyczne mają na celu zapewnienie ochrony pomieszczeń, sprzętów, infrastruktury oraz personelu przed bezpośrednim działaniem czynników fizycznych i zdarzeń takich jak pożar, powódź, kradzież, wandalizm, terroryzm. Wyróżnia się zabezpieczenia pasywne, które mają na celu zapobiegnięcie zagrożeniom lub opóźnienie włamania np. ogrodzenia czy sejfy oraz zabezpieczenia aktywne, które wykrywają zagrożenia lub im przeciwdziałają np. monitoring, alarmy przeciwwłamaniowe, systemy gaśnicze.
Są to wszelkie zabezpieczenia materialne, które w jakikolwiek sposób utrudniają dostęp do danych osobom do nich nieuprawnionych. Zabezpieczeniem fizycznym nie będzie program antywirusowy, systemowy firewall (zabezpieczenia informatyczne) lub polityka kluczy czy haseł (zabezpieczenia organizacyjne).
31. Jakie są kary za naruszenie RODO?
Administrator danych, który naruszył RODO, podlega odpowiedzialności prawnoadministracyjnej (decyzje Prezesa UODO mogą obejmować kary pieniężne, a także różnego rodzaju nakazy mające na celu zapewnienie zgodności z RODO), cywilnej (osoba, której dane dotyczą, ma prawo do odszkodowania za szkodę majątkową lub niemajątkową wynikłą z naruszenia RODO). Ponadto, każda osoba, która nielegalnie przetwarza dane osobowe lub udaremnia przeprowadzenie kontroli przestrzegania przepisów o ochronie danych, podlega odpowiedzialności karnej, przewidzianej ustawą o ochronie danych osobowych. Ostatnim rodzajem odpowiedzialności jest odpowiedzialność dyscyplinarna pracownika naruszającego zasady ochrony danych osobowych. Pracownik, który dopuścił się tego typu naruszeń podlega upomnieniu, naganie lub nawet zwolnieniu z własnej winy.
Prezes UODO może nałożyć karę pieniężną do 20 mln euro lub 4% obrotu za najpoważniejsze naruszenia, m.in. zasad przetwarzania danych, praw osób, których dane dotyczą, lub niestosowanie się do nakazów organu nadzorczego, a za pozostałe naruszenia - do 10 mln euro lub 2% obrotu, w zależności która kwota jest wyższa. Poza karami pieniężnymi, Prezes UODO może wydawać nakazy związane z przywróceniem zgodności z RODO, a nawet nakazać ograniczenie przetwarzania wyłącznie do przechowywania, co może zatamować proces biznesowy i być bardziej dotkliwe niż kara pieniężna. Ponadto, naruszając RODO, należy liczyć się także z odpowiedzialnością odszkodowawczą w przypadku pozwu, karną w przypadku zawiadomienia do prokuratury lub dyscyplinarną – w przypadku niestosowania się do wewnętrznych polityk i procedur przez pracownika.
Najważniejsze akty prawne w zakresie ochrony danych osobowych (stan na dzień 25.01.2019 r.)
Poniższe akty prawne można znaleźć na stronie Urzędu Ochrony Danych Osobowych.
Rekomendacja Rady Europy z dnia 1 kwietnia 2015 dotycząca ochrony danych osobowych w sektorze zatrudnienia
Rekomendacja R(10) z dnia 23 listopada 2010 r. dotycząca ochrony osób w związku z automatycznym przetwarzaniem danych osobowych podczas tworzenia profili
Rekomendacja R(02) 9 z dnia 18 września 2002 r. dotycząca ochrony danych osobowych zbieranych i przetwarzanych dla celów ubezpieczeniowych
Rekomendacja R(99) 5 Komitetu Ministrów dla Państw Członkowskich dotycząca ochrony prywatności w Internecie, wytyczne w sprawie ochrony osób w zakresie gromadzenia i przetwarzania danych osobowych na "infostradach"
Rekomendacja R(97) 18 Komitetu Ministrów dla Państw Członkowskich dotycząca ochrony danych osobowych gromadzonych i przetwarzanych dla celów statystycznych
Rekomendacja R(97) 5 Komitetu Ministrów do Państw Członkowskich dotycząca ochrony danych osobowych
Rekomendacja R(91) 10 I Nota wyjaśniająca Komitetu Ministrów dla Państw Członkowskich dotycząca udostępniania osobom trzecim danych osobowych będących w posiadaniu instytucji publicznych
Rekomendacja R(87) 15 z dnia 17 września 1987 r. dotycząca ochrony danych osobowych wykorzystywanych w sektorze policji
Rekomendacja R(87) 15 Komitetu Ministrów Rady Europy dotycząca ochrony danych osobowych wykorzystywanych w sektorze policji z 17 września 1987 roku
Rekomendacja R(86) 1 z dnia 23 stycznia 1986 r. dotycząca ochrony danych osobowych dla potrzeb ubezpieczenia społecznego
Rekomendacja R(85) 20 z dnia 25 października 1985 r. dotycząca ochrony danych osobowych wykorzystywanych dla potrzeb marketingu bezpośredniego
Rekomendacja R(85) 20 Komitetu Ministrów z 25 października 1985 roku dla Państw Członkowskich dotycząca ochrony danych osobowych używanych dla celów marketingu bezpośredniego, Rady Europy "Ochrona Danych Osobowych Wykorzystywanych dla potrzeb marketingu bezpośredniego"
Rekomendacja R(83) 10 z dnia 23 września 1983 r. dotycząca ochrony danych osobowych wykorzystywanych w badaniach naukowych i statystyce
Rekomendacja R(83) 10 Komitetu Ministrów dla Państw Członkowskich dotycząca ochrony danych osobowych gromadzonych i przetwarzanych dla celów badań naukowych i statystycznych
Rekomendacja R(81) 1 Komitetu Ministra dla Państw Członkowskich dotycząca regulacji mających zastosowanie do zautomatyzowanych banków danych medycznych
Oficjalne wytyczne (stan na dzień 25.01.2019r.)
Wytyczne dotyczące zgody na mocy Rozporządzenia 2016/679, WP259 rev.01
Wytyczne dotyczące przejrzystości na mocy Rozporządzenia 2016/679, WP260 rev.01
Wytyczne Grupy Roboczej Art. 29 w sprawie zautomatyzowanego podejmowania decyzji i profilowania do celów rozporządzenia 2016/679, WP251rev.01
Wytyczne Grupy Roboczej Art. 29 w sprawie powiadomień o naruszeniu ochrony danych osobowych na mocy rozporządzenia 2016/679, WP250 rev.01
Wytyczne dotyczące prawa do przenoszenia danych NA MOCY ROZPORZĄDZENIA 2016/679, WP242 rev.01
Wytyczne dotyczące oceny skutków dla ochrony danych oraz pomagające ustalić, czy przetwarzanie „może powodować wysokie ryzyko” do celów rozporządzenia 2016/679, WP248 rev.01
Wytyczne Grupy Roboczej Art. 29 dotyczące inspektorów ochrony danych (IOD), WP243 rev.01
Wytyczne dotyczące ustalenia wiodącego organu nadzorczego właściwego dla administratora lub podmiotu przetwarzającego, WP244 rev.01
Stanowisko grupy roboczej art. 29 ds. ochrony danych w sprawie wyjątków od obowiązku prowadzenia rejestru czynności przetwarzania zgodnie z artykułem 30 ust. 5 RODO
Dokument Roboczy Dotyczący Wiążących Reguł Korporacyjnych dla Administratorów, WP 256 rev.01
Dokument Roboczy Dotyczący Wiążących Reguł Korporacyjnych dla Podmiotów Przetwarzających, WP 257 rev.01
Dokument dotyczący adekwatności (język angielski), WP 254 rev. 01
Wytyczne w sprawie stosowania i ustalania administracyjnych kar pieniężnych do celów rozporządzenia nr 2016/679, WP 253
Wytyczne dotyczące akredytacji podmiotów certyfikujących (język angielski)
Wytyczne nr 1/2018 dotyczące certyfikacji oraz identyfikacji kryteriów certyfikacji zgodnie z art. 42 i 43 rozporządzenia 2016/679 (j. angielski)
Wytyczne nr 2/2018 w sprawie wyjątków ustanowionych w artykule 49 rozporządzenia 2016/679.
Opinia dotycząca kluczowych elementów Dyrektywy 2016-680 (język angielski)
Opinia 1/2017 na temat proponowanego rozporządzenia w sprawie prywatności
Opinia nr 2/2017 na temat przetwarzania danych w miejscu pracy
Opinia nr 03/2017 dotycząca przetwarzania danych osobowych w ramach współpracujących inteligentnych systemów transportowych (C-ITS)
Oficjalne wytyczne