Czy zamawiający, udostępniając konkurencyjnym wykonawcom oferty złożone w postępowaniu o udzielenie zamówienia publicznego, powinien anonimizować dane osobowe znajdujące się w załączonych dokumentach, takich jak świadectwa kwalifikacyjne? Wątpliwości dotyczą w szczególności numeru PESEL, numeru dowodu osobistego, daty urodzenia oraz adresu zamieszkania. Wyjaśniamy, jak pogodzić zasadę jawności postępowania wynikającą z Prawa zamówień publicznych z obowiązkami administratora danych wynikającymi z RODO oraz jakie podstawy prawne powinien uwzględnić urząd przed udostępnieniem dokumentacji.

Pytanie:  Po zakończeniu okresu archiwizacji dokumentów wersji papierowej np. faktur, czy jednocześnie powinny zniknąć wszelkie informacje w ramach danych w systemach księgowych? Cel przetwarzania zakończył się, zgodnie z terminem wyznaczonym przez ustawę o rachunkowości, wskazanym w JRWA. Organy nadrzędne już nie mają podstaw do kontroli.

Wizerunek jest daną osobową i podlega ochronie prawnej zarówno w ujęciu prawa do ochrony danych osobowych jak również w ujęciu cywilnoprawnym, gdyż uznany jest za dobro osobiste. Wszystkie bezprawne działania związane z przetwarzaniem wizerunku w tym jego publikacją w sieci i bezwiednym udostępnianiem w celach promocyjnych stanowią realne zagrożenia do prywatności oraz bezpieczeństwa zwłąszcza wśród dzieci i uczniów. Dlatego warto prześledzić, jakimi skutecznymi narzędziami dysponuje szkoła, żeby zapewnić uczniom ochronę w zakresie wizerunku.

Pytanie:  Zgodnie z statutem naszej gminy, posiedzenia komisji RM są nagrywane (wizja i dźwięk) i publikowane na naszej stronie (nie są transmitowane na żywo). Ostatnie posiedzenie nagrane i opublikowane zostało z kamery głównej, która w trakcie przerw jest wyłączana - brak rejestracji wizji i dźwięku. Nagranie zostało opublikowane. Jednak osoba uczestnicząca w posiedzeniu jako gość (skarżący) zawnioskował o udostępnienie nagrania z pozostałych kamer zapasowych. Te rejestrowały sesję w sposób ciągły. Czy możemy przesłać dodatkowe zapasowe nagrania?

Pytanie:  Czy w świetle art. 34 b ust. 10 ustawy o finansach publicznych kierownik jednostki jest administratorem danych osobowych czy też zostały mu przypisane funkcje związane z realizacją obowiązków jednostki jako administratora danych?

Pytanie:  Zawarliśmy umowę z kancelarią prawną o usługi prawne. Czy kancelaria w takich usługach prawnych może być podmiotem przetwarzającym, czy jest administratorem danych?

Pytanie:  Czy z biegłym w zakresie zmiany stanu wody lub rzeczoznawcą majątkowym wykonującym usługę/zlecenie dla gminy (na działkach/nieruchomościach prywatnych), gmina powinna zawrzeć umowę powierzenia przetwarzania danych osobowych? Warto dodać, iż gmina przekazuje biegłym nr działki, nr księgi wieczystej, imię i nazwisko właściciela, adres nieruchomości. Czy może biegli/rzeczoznawcy są odrębnymi administratorami, którym udostępnia się dane niezbędne do wykonania umowy?

Privacy by design (ochrona danych w fazie projektowania) to prawny obowiązek nałożony na administratorów danych, który wymaga implementacji odpowiednich środków technicznych i organizacyjnych już na etapie projektowania procesów przetwarzania, systemów informatycznych czy usług. Celem jest wbudowanie ochrony prywatności w fundamentalną architekturę danego rozwiązania, a nie dodawanie jej jako zewnętrznej warstwy. Zasada ta, wraz z komplementarną zasadą privacy by default (domyślnej ochrony danych), ma na celu proaktywne minimalizowanie ryzyka naruszeń praw i wolności osób fizycznych. Podstawę prawną tej zasady stanowi art. 25 RODO.

Pytanie:  W naszej organizacji każdy pracownik, który przetwarzał dane miał nadawane upoważnienie do procesów określonych w organizacji oraz do celu realizacji powierzonych zadań służbowych. Dokument ten nadawał przełożony pracownika lub wyznaczony HRBP, co się nie sprawdziło z uwagi na ich nieaktualizowanie bądź nienadawanie. W związku z tym rozważamy nadanie ogólnych upoważnień odwołujących się do to zakresu zadań opisanych w aktach. Niestety tu również pojawia się problem z ich aktualizacją. W związku z tym, czy jest jakieś rozwiązanie, które pozwoli z jednej strony uogólnić upoważnienie tak, aby nadać je wszystkim pracownikom bez dodawania poszczególnych procesów, jednocześnie powołując się na zakres obowiązków przydzielonych w ramach (nieaktualizowanych regularnie) zakresów obowiązków i na bieżąco zlecanych zadań? Nasza firma jest typowo produkcyjna. Nie wszyscy mają dostęp do komputera, ale mimo to moim zdaniem dane osobowe przetwarzają wszyscy pracownicy. Problem głównie dotyczy tego, aby wszyscy pracownicy mieli aktualne upoważnienia adekwatne do wykonywanych zadań.

Pytanie:  Jednym z obowiązków naszej jednostki jest kontrola projektów dofinansowanych z EFS+, w trakcie której przetwarzamy dane osobowe. Jaka jest ich retencja? Jak to wygląda w przypadku legitymacji służbowej, jaką wydajemy naszym pracownikom, kontrolującym te organizacje. Jaka retencja będzie takiej legitymacji?