Wykreślenie zbioru danych z rejestru GIODO zostało wprowadzone w maju 2004 roku. Wcześniej zgłoszone zbiory danych pozostawały w rejestrze także, gdy ADO już ich nie przetwarzał. Nie ma obowiązku wykreślania zbiorów z rejestru. Jednak ADO powinien we własnym interesie zadbać, aby w rejestrze nie widniały informacje na temat zbiorów, których już nie posiada.

Pytanie:  Do naszego banku trafiają wnioski o udostępnienie danych osobowych. Administrator bezpieczeństwa informacji prowadzi centralny rejestr takich wniosków. Zeskanowane wnioski z poszczególnych placówek banku spływają do ABI, który je rejestruje i weryfikuje, czy są poprawne. Po przeanalizowaniu wniosków, ABI udziela odpowiedzi, czy dane można udostępnić, czy nie. Czy decyzje wydawane przez ABI powinny mieć charakter dokumentu pisemnego poświadczonego przez niego? Czy prowadzenie takiego rejestru i procedura przesyłania wniosków do ABI muszą być opisane w polityce bezpieczeństwa? Czy do rozpatrzenia wniosku wystarczy jego kopia, czy ABI powinien mieć ich oryginały? A może pracownicy powinni sami takie wnioski rozpatrywać, a ABI będzie tylko kontrolował, czy robią to poprawnie podczas cyklicznych sprawdzeń?

Dopełnienie obowiązku informacyjnego jest jednym z warunków legalnego przetwarzania danych osobowych. Jakie obowiązki informacyjne powinien spełnić pracodawca jako administrator danych wobec swoich pracowników i współpracowników?

Przetwarzanie danych osobowych to nie tylko ich zbieranie czy wykorzystywanie, ale także usuwanie. Jeśli więc chcesz np. zniszczyć dokumenty, w których znajdują się dane osobowe, musisz przestrzegać przepisów ustawy o ochronie danych osobowych.

Pytanie:  Jako szpital zawarliśmy umowę na wykonanie badań analitycznych z laboratorium. Czy powinniśmy zawrzeć w niej zapisy związane z powierzeniem przetwarzania danych osobowych? Laboratorium nie chce podpisać umowy powierzenia. Twierdzi, że nie dochodzi do powierzenia danych osobowych, gdyż są one przetwarzane nie dla szpitala, ale dla pacjenta. Podmiot twierdzi, że z chwilą przekazania mu danych pacjentów on staje się ich administratorem i na niego przechodzą obowiązki związane z ich ochroną. Co się stanie, jeśli w laboratorium dojdzie do wycieku danych i np. zostaną ujawnione wyniki badań pacjentów? Czy za taką sytuację szpital będzie ponosił odpowiedzialność?

Pytanie:  Nasza firma od początku września prowadzi rejestry korespondencji przychodzącej i wychodzącej zarówno w wersji papierowej, jak i elektronicznej. Do prowadzenia rejestru w wersji elektronicznej nie używamy żadnego specjalnego programu, posługujemy się Excelem. Zbiór ten znajduje się w naszym systemie informatycznym. Czy w związku z tym mamy obowiązek zgłosić taki zbiór danych osobowych do rejestracji u Generalnego Inspektora Ochrony Danych Osobowych? Podobne wątpliwości pojawiły się w związku z prowadzeniem ewidencji udostępniania danych osobowych i rejestru pełnomocnictw. Ewidencję prowadzimy także w wersji elektronicznej, na takich samych zasadach, jak rejestr korespondencji przychodzącej i wychodzącej. Są w nim informacje o tym, kto wnioskował o udostępnienie czyich danych osobowych i czy informacja została udzielona. W rejestrze widnieją m.in., takie dane jak: imię, nazwisko, adres, PESEL czy NIP. W rejestrze pełnomocnictw zamieszczamy jedynie imię i nazwisko, reszta to informacje związane z samym pełnomocnictwem. Czy także dane zawarte w tych zbiorach muszą być zgłoszone do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych?

Pytanie:  Na podstawie zawartej umowy przekazujemy dane osobowe kontrahentów zalegających z płatnościami do kancelarii prawnej w celu windykacji należności. Kancelaria wykorzystuje je do wysyłania wezwań przedsądowych i ewentualnego podjęcia dalszych czynności związanych z wystawieniem pozwu i skierowaniem sprawy do sądu. W zawartej umowie figuruje zapis, który zobowiązuje kancelarię do zachowania w tajemnicy informacji dotyczących prowadzonych spraw. Zwróciliśmy się do kancelarii z prośbą o wprowadzenie aneksem do umowy bardziej szczegółowych zapisów związanych z powierzeniem przetwarzania danych osobowych (zgodnie z art. 31 ustawy o ochronie danych osobowych). Kancelaria stwierdziła jednak, że nie ma takiej potrzeby, ponieważ przepisy branżowe o adwokaturze i radcach prawnych w wystarczający sposób regulują jej obowiązki w takiej sytuacji. Czy ma rację?