Pytanie:  Czy ośrodek pomocy społecznej, w którym zainstalowany jest monitoring wizyjny, ma w obowiązek przeprowadzenia DPIA?

To, że administrator przetwarza dane osobowe w „dużej skali” ma bardzo istotne znaczenie w kontekście jego obowiązków. Od tego zależy bowiem istnienie obowiązku wyznaczenia inspektora ochrony danych. Przetwarzanie danych osobowych w „dużej skali” stanowi również przesłankę obligatoryjnego przeprowadzenia oceny skutków dla ochrony danych. Kiedy mamy do czynienia z wielkoskalowym przetwarzaniem danych?

19 grudnia 2018 r. odbyło się szkolenie dla inspektorów ochrony danych poświęcone ocenie skutków dla ochrony danych. UODO udostępnił zapis szkolenia.

Pytanie:  Zabezpieczenie systemów informatycznych przed działaniem szkodliwego oprogramowania jest jednym z kluczowych rozwiązań, które powinien wdrożyć administrator. Funkcje tę pełni między innymi zapora sieciowa (firewall). Pozwala ona również spełnić wymóg monitorowania ruchu sieciowego - umożliwia przeanalizowanie działań pracownika w sieci m.in. w przypadku incydentu. Czy ta funkcja zapory sieciowej (monitorowanie ruchu sieciowego) wymaga oceny skutków dla ochrony danych?

Oceny skutków przetwarzania danych jest konieczna w przypadku, gdy administrator systematycznie monitoruje na dużą skalę miejsca dostępne publicznie. Jak rozumieć to sformułowanie? Szczegóły w artykule.

Pytanie:  Czy w agencji pracy tymczasowej należy przeprowadzać DPIA dla procesów rekrutacji?

Poznaliśmy opinię Europejskiej Rady Ochrony Danych dotyczącą wykazów rodzajów operacji przetwarzania wymagających oceny skutków dla ochrony danych. Z opinii wynika konieczność poprawienia polskiego wykazu.

Pytanie:  Czy podmiot przetwarzający ma obowiązek wykonać analizę ryzyka naruszenia praw i wolności podmiotów danych, dla procesu w którym przetwarza dane, które otrzymał od administratora danych osobowych?

Znamy już wykaz rodzajów operacji przetwarzania podlegających wymogowi dokonania oceny skutków dla ochrony danych. W specjalnym komunikacie Prezes UODO wskazał 9 kategorii operacji, w związku z którym konieczne jest dokonanie takiej oceny. Jest to niezwykle istotna informacja dla każdego administratora.

Pytanie:  W procesie przeprowadzania analizy ryzyka na pierwszym etapie jeszcze przed "zbiciem" poziomu ryzyka poprzez zastosowanie adekwatnych zabezpieczeń, okazało się, że poziom ryzyka naruszenia praw lub wolności osób fizycznych jest wysoki dla danego procesu. Czy w związku z tym automatycznie należy przeprowadzić DPIA?