Pytanie:  Pracodawca przetwarza informacje o dacie, godzinie i minucie badania na stan trzeźwości pracownika oraz jego wyniku wskazującym na stan po użyciu alkoholu albo stan nietrzeźwości lub środków działających podobnie do alkoholu wyłącznie w przypadku, gdy jest to niezbędne do zapewnienia ochrony życia i zdrowia pracowników lub innych osób lub ochrony mienia. Następnie przechowuje te informacje w aktach osobowych pracownika przez okres nieprzekraczający roku od dnia ich zebrania. Tym samym nie powinno się przechowywać negatywnych wyników kontroli, tj. o braku zawartości alkoholu we krwi lub braku obecności w organizmie pracownika środków działających podobnie do alkoholu. Niemniej jednak wychodząc naprzeciw sytuacjom, w których nastąpi np. zdarzenie komunikacyjne z udziałem kierowcy ZKM i kierowca (mimo tego, że jest trzeźwy) poprosi pracodawcę o przeprowadzenie kontroli trzeźwości na wypadek ewentualnego postępowania (pracownik chce tym samym na własne żądanie uzyskać potwierdzenie/dokument od pracodawcy, że tego dnia i w tej konkretnej sytuacji był trzeźwy) prosi o opinię. Czy w tej sytuacji mając na względzie powyższe oraz art. 5 ust. 1 lit. b i c RODO, pracodawca może sporządzić formularz z kontroli trzeźwości i udokumentować fakt, że pracownik jest trzeźwy (zachować wynik negatywny)? Ponadto czy przypadku wystąpienia ewentualnych zdarzeń konfliktowych/komunikacyjnych, kierowca po zakończonym kursie składa pracodawcy raport ze zdarzenia. W przedmiotowym raporcie chciałby zapisać informację, że po danym zdarzeniu na swój wniosek został skontrolowany przez pracodawcę na obecność alkoholu w wydychanym powietrzu, a kontrola wykazała 0,00 mg 1dm3. Czy w tej sytuacji pracodawca może przebadać pracownika i przetwarzać jego dane uwzgledniające negatywny wynik kontroli, mimo iż zapis ten będzie zachowany na oświadczeniu, a nie na formularzu z kontroli?

Pytanie:  Pracodawca nie ma komisja socjalna ZFŚS. Czy wobec tego ma obowiązek dokonywania przeglądu danych osobowych przetwarzanych w ramach funduszu socjalnego?

Administrator może zapewnić pracownikom możliwość korzystania z ChatGPT na komputerach służbowych. Czy należy w związku z tym uwzględnić obowiązki wynikające z zasady privacy by design. Jakie obowiązki związane z wdrożeniem ChatGPT na komputerach służbowych musi wykonać administrator danych osobowych?

Pytanie:  Prowadzę Biuro Usług Płatniczych jako jednoosobową działalność i do tej pory robiłam analizę ryzyka w RODO w sposób opisowy. Chciałabym ten proces ujednolicić, ale nie mam odpowiedniego wzoru i nie wiem jak prawidłowo to wykonać. Jak to zrobić?

Wyobraźmy sobie sytuację, w której w jednostce publicznej zachodzi potrzeba pilnej wymiany serwera. Jednostka planuje zainstalować wirtualny serwer w chmurze w modelu IaaS. W jaki sposób sformalizować przejście na wirtualny serwer w chmurze IaaS. Jakie wymagania RODO, KRI i dyrektywy NIS2 muszą tu zostać spełnione? Odpowiedź w artykule.

RODO nie reguluje ewidencji osób upoważnionych do przetwarzania danych osobowych to obowiązek, który wynika bezpośrednio z przepisów. Nie oznacza to jednak, że jej prowadzenie nie ma żadnego uzasadnienia. Sprawdź, dlaczego warto prowadzić ewidencję upoważnień do przetwarzania danych i jakie treści zamieścić w takiej ewidencji. Skorzystaj także z wzoru ewidencji osób upoważnionych do przetwarzania danych.

W razie stwierdzenia wysokiego ryzyka naruszenia praw lub wolności osób fizycznych administrator danych osobowych musi przeprowadzić ocenę skutków dla ochrony danych (DPIA). W zależności od wyników oceny konieczne może okazać się zainicjowanie konsultacji z Prezesem Urzędu Ochrony Danych Osobowych. Sprawdź, w jakich przypadkach i jak przeprowadzić uprzednie konsultacje z Prezesem UODO.

Ogólna analiza ryzyka oraz Ocena skutków dla ochrony danych (DPIA) to podstawowe obowiązki wynikających z RODO. Ogólna analiza ryzyka musi być przeprowadza przez każdego. Z kolei DPIA to szczególny rodzaj analizy ryzyka dokonywany w określonych okolicznościach. Zarówno ogólną analizę ryzyka jak i DPIA musi przeprowadzić nie tylko administrator danych osobowych, ale także procesor.

Jak już wielokrotnie wskazywaliśmy, ocena skutków dla ochrony danych (DPIA) to szczególny rodzaj analizy ryzyka RODO. Obowiązek dokonania DPIA powstanie w przypadkach określonych w art. 35 ogólnego rozporządzenia o ochronie danych.  Na obowiązek ten szczególną uwagę powinny zwrócić podmioty prowadzące sklepy internetowe – ze względu na potencjalnie dużą liczbę podmiotów, których dane osobowe są przetwarzane w związku z funkcjonowaniem sklepu. Sprawdź, kiedy i jak przeprowadzić ocenę skutków w sklepie internetowym

Administrator może zapewnić pracownikom możliwość korzystania z ChatGPT na komputerach służbowych. Czy należy w związku z tym uwzględnić obowiązki wynikające z zasady privacy by design. Jakie obowiązki związane z wdrożeniem ChatGPT na komputerach służbowych musi wykonać administrator danych osobowych?

Wdrożenie procedury zgłoszeń wewnętrznych w ramach ochrony sygnalistów może wiązać się z koniecznością przeprowadzenia oceny skutków dla ochrony danych (DPIA). Na ocenę konieczności przeprowadzenia DPIA administrator danych osobowych powinien zwrócić szczególną uwagę, uwzględniając treść wykazu opublikowanego przez Prezesa Urzędu Ochrony Danych Osobowych.

Przed rozpoczęciem przetwarzania danych osobowych administrator ma w określonych okolicznościach obowiązek dokonać oceny skutków dla ochrony danych (DPIA). Prawidłowo przeprowadzona ocena skutków dla ochrony danych może być skutecznym narzędziem dla administratora danych usprawniającym zarządzanie ochroną danych. Dla wielu podmiotów konieczność realizacji takiej oceny będzie wiązała się z kosztami finansowymi m.in. związanymi z zastosowanymi środkami bezpieczeństwa. Z drugiej strony odpowiedzialność za błędy w ocenie skutków lub jej nieprzeprowadzenie ponosi niestety wyłącznie administrator, nawet jeżeli powierzył on dokonanie tej oceny innemu wyspecjalizowanemu podmiotowi. Sprawdź, jak wygląda procedura oceny skutków dla ochrony danych osobowych.