Pytanie:  Urząd gminy chce udzielić dostępu do programów komputerowych pracownikom jednostek organizacyjnych - głównie w ramach realizacji zadań związanych z planowaniem oraz realizacją budżetu. Przygotowane jest do tego celu zarządzenie, które wskazuje, iż konta w domenie i udzielenie dostępu do programów wymaga wniosku (imię i nazwisko pracownika, stanowisko). Czy przy zakładaniu konta potrzebna jest umowa powierzenia przetwarzania danych osobowych od jednostek dla urzędu (dane pracownika)? Przetwarzane dane dotyczą głównie usług jednak zdarza się, że usługodawcą jest osoba fizyczna. Czy wówczas również należy zawrzeć umowę powierzenia, gdzie administratorem jest gmina a podmiotem przetwarzającym jest jednostka organizacyjna? Bazy danych są na naszych serwerach.

Pytanie:  W świetle art. 34b ust. 10 ustawy o finansach publicznych kierownik jednostki jest administratorem danych osobowych, ale jego rola jest ściśle ograniczona do danych przetwarzanych w ramach Centralnego Rejestru Umów. Czy to oznacza, że powinien mieć RCP, RKCP, politykę naruszeń, itd.? Czy powinien podpisać umowę powierzenia z jednostką, gdyż pracownicy jednostki będą realizować jego zadanie?

Nie istnieje jedna oficjalna i uniwersalna lista pytań służących do przeprowadzenia oceny skutków transferu danych (Transfer Impact Assessment – TIA), w tym przy transferze danych osobowych do USA lub Chin. Obowiązek przeprowadzenia TIA wynika przede wszystkim z wyroku TSUE w sprawie Schrems II, a zakres oceny zależy m.in. od państwa docelowego, rodzaju przekazywanych danych osobowych oraz zastosowanego mechanizmu transferu, np. standardowych klauzul umownych (SCC). Metodologię przeprowadzania TIA oraz kluczowe obszary, które należy przeanalizować, wskazują przede wszystkim zalecenia Europejskiej Rady Ochrony Danych (EROD).

Pytanie:  Jesteśmy jednostką publiczną. Pracownik przy mojej pomocy składa wniosek o wydanie upoważnienia do przetwarzania danych osobowych. Następnie Inspektor pisze upoważnienie do przetwarzania danych osobowych i daje administratorowi do podpisu w trzech egzemplarzach tj.: jeden dla pracownika, drugi do kadr, trzeci dla inspektora. Czy faktycznie niezbędne są upoważnienia w trzech egzemplarzach? Jeśli tak, to czy inspektor może podpisywać takie upoważnienie czy tylko administrator?

Pytanie:  W jakiej sytuacji przy zleceniu opracowania projektu sieci wodociągowej lub jej wykonania, zlecający (wodociągi) powinien podpisać z wykonawcą umowę powierzenia?

Prezes UODO upomniał szpital specjalistyczny w Sosnowcu oraz podmiot świadczący usługę poczty elektronicznej po naruszeniu danych 224 osób. Administrator nie zweryfikował, czy procesor rzeczywiście zapewnia odpowiednie zabezpieczenia, a analiza ryzyka nie obejmowała konkretnie zewnętrznego dostawcy poczty. Sprawa pokazuje, że deklaracje zgodności z RODO i certyfikat ISO/IEC 27001 nie zwalniają administratora z obowiązku kontroli podmiotu przetwarzającego.

Pytanie:  Urząd Miasta zlecił firmie zewnętrznej pełnienie funkcji IOD. Czy zgodnie z obowiązującymi przepisami np. kodeksem pracy, czy ustawie o samorządzie gminnym dopuszczalne jest powołanie zastępcy IOD spośród pracowników urzędu? Czy to prawda, że jeżeli jakiś zakres obowiązków został zlecony zewnętrznej firmie, to nie można pracownikowi urzędu przypisać tych samych obowiązków, co miałoby miejsce w przypadku IOD i zastępcy IOD.

Pytanie:  Pracodawca zawarł umowę ubezpieczenia grupowego z agentem (nie brokerem). Czy pracodawca powinien podpisać umowę powierzenia przetwarzania danych osobowych z agentem?

Pytanie:  Ustawa o rynku pracy i służbach zatrudnienia nakłada na Ochotnicze Hufce Pracy obowiązek podejmowania działań środowiskowych mających na celu identyfikację młodzieży wymagającej wsparcia. Działając na podstawie art. 351 ust. 13 ustawy, OHP zwraca się z prośbą o przekazanie informacji o młodzieży zamieszkałej na terenie gminy. Czy gmina powinna udzielić informacje o uczniach np.: imię (imiona) i nazwisko; numer PESEL (lub w przypadku jego braku — datę i miejsce urodzenia oraz dane dokumentu tożsamości); adres zamieszkania oraz adres do doręczeń; informacje o ukończonych szkołach; dane o ostatniej szkole i klasie, do której dana osoba uczęszczała. W związku z tym, że wnioskowane dane dotyczą osób małoletnich, proszę również o podanie danych osobowych rodziców/opiekunów prawnych. Czy pismo powinny otrzymać szkoły i one powinny udzielać odpowiedzi?

Pytanie:  Firma zleca fotografowi (studio) wykonanie profesjonalnych zdjęć pracownikom, Czy mamy tu do czynienia z relacją ADO - ADO (fotograf przetwarza dane w postaci wizerunku w celu wykonania umowy)? Jeżeli firma uzyskała zgodę od pracowników na przetwarzanie ich danych w postaci wizerunku, to czy fotograf jako odrębny ADO musi ją pozyskiwać ponownie? Czy dodatkowo pracownik musi wyrazić zgodę na przekazanie danych osobowych, czy w tym wypadku zgoda na przekazanie jest dorozumiana?