Nie istnieje jedna oficjalna i uniwersalna lista pytań służących do przeprowadzenia oceny skutków transferu danych (Transfer Impact Assessment – TIA), w tym przy transferze danych osobowych do USA lub Chin. Obowiązek przeprowadzenia TIA wynika przede wszystkim z wyroku TSUE w sprawie Schrems II, a zakres oceny zależy m.in. od państwa docelowego, rodzaju przekazywanych danych osobowych oraz zastosowanego mechanizmu transferu, np. standardowych klauzul umownych (SCC). Metodologię przeprowadzania TIA oraz kluczowe obszary, które należy przeanalizować, wskazują przede wszystkim zalecenia Europejskiej Rady Ochrony Danych (EROD).

Pytanie:  Jesteśmy jednostką publiczną. Pracownik przy mojej pomocy składa wniosek o wydanie upoważnienia do przetwarzania danych osobowych. Następnie Inspektor pisze upoważnienie do przetwarzania danych osobowych i daje administratorowi do podpisu w trzech egzemplarzach tj.: jeden dla pracownika, drugi do kadr, trzeci dla inspektora. Czy faktycznie niezbędne są upoważnienia w trzech egzemplarzach? Jeśli tak, to czy inspektor może podpisywać takie upoważnienie czy tylko administrator?

Pytanie:  W jakiej sytuacji przy zleceniu opracowania projektu sieci wodociągowej lub jej wykonania, zlecający (wodociągi) powinien podpisać z wykonawcą umowę powierzenia?

Prezes UODO upomniał szpital specjalistyczny w Sosnowcu oraz podmiot świadczący usługę poczty elektronicznej po naruszeniu danych 224 osób. Administrator nie zweryfikował, czy procesor rzeczywiście zapewnia odpowiednie zabezpieczenia, a analiza ryzyka nie obejmowała konkretnie zewnętrznego dostawcy poczty. Sprawa pokazuje, że deklaracje zgodności z RODO i certyfikat ISO/IEC 27001 nie zwalniają administratora z obowiązku kontroli podmiotu przetwarzającego.

Pytanie:  Urząd Miasta zlecił firmie zewnętrznej pełnienie funkcji IOD. Czy zgodnie z obowiązującymi przepisami np. kodeksem pracy, czy ustawie o samorządzie gminnym dopuszczalne jest powołanie zastępcy IOD spośród pracowników urzędu? Czy to prawda, że jeżeli jakiś zakres obowiązków został zlecony zewnętrznej firmie, to nie można pracownikowi urzędu przypisać tych samych obowiązków, co miałoby miejsce w przypadku IOD i zastępcy IOD.

Pytanie:  Pracodawca zawarł umowę ubezpieczenia grupowego z agentem (nie brokerem). Czy pracodawca powinien podpisać umowę powierzenia przetwarzania danych osobowych z agentem?

Pytanie:  Ustawa o rynku pracy i służbach zatrudnienia nakłada na Ochotnicze Hufce Pracy obowiązek podejmowania działań środowiskowych mających na celu identyfikację młodzieży wymagającej wsparcia. Działając na podstawie art. 351 ust. 13 ustawy, OHP zwraca się z prośbą o przekazanie informacji o młodzieży zamieszkałej na terenie gminy. Czy gmina powinna udzielić informacje o uczniach np.: imię (imiona) i nazwisko; numer PESEL (lub w przypadku jego braku — datę i miejsce urodzenia oraz dane dokumentu tożsamości); adres zamieszkania oraz adres do doręczeń; informacje o ukończonych szkołach; dane o ostatniej szkole i klasie, do której dana osoba uczęszczała. W związku z tym, że wnioskowane dane dotyczą osób małoletnich, proszę również o podanie danych osobowych rodziców/opiekunów prawnych. Czy pismo powinny otrzymać szkoły i one powinny udzielać odpowiedzi?

Pytanie:  Firma zleca fotografowi (studio) wykonanie profesjonalnych zdjęć pracownikom, Czy mamy tu do czynienia z relacją ADO - ADO (fotograf przetwarza dane w postaci wizerunku w celu wykonania umowy)? Jeżeli firma uzyskała zgodę od pracowników na przetwarzanie ich danych w postaci wizerunku, to czy fotograf jako odrębny ADO musi ją pozyskiwać ponownie? Czy dodatkowo pracownik musi wyrazić zgodę na przekazanie danych osobowych, czy w tym wypadku zgoda na przekazanie jest dorozumiana?

Pytanie:  Firma fotograficzna A realizuje sesje zdjęciowe w szkołach. Szkoły powierzają dane uczniów firmie A na podstawie umowy powierzenia danych osobowych (umowa zawiera ogólną zgodę administratora na podpowierzenie danych). Ponieważ firma A usługę sesji zdjęciowej realizuje przy udziale swoich przedstawicieli -B2B (podmiot B), a ci współpracują B2B z fotografami (podmiot C). Firma A (procesor) chce podpowierzyć dane powierzone od szkoły przedstawicielowi B, a ten fotografowi C. Jak procesor A może podpowierzyć dane ze szkoły podprocesorowi B, żeby nie stosować dla każdej szkoły osobnej umowy podpowierzenia? Z uwagi na dużą ilość szkół nie jest to możliwe. Czy można zastosować jakąś ogólną zasadę „ogólne podpowierzenie”, jedną umową, które sankcjonowałoby podpowiedzenie danych danemu przedstawicielowi, który obsługuje pewną ilość szkół?

Pytanie:  W dokumentacji powypadkowej znajduje się dokumentacja medyczna pracownika, który uległ wypadkowi przy pracy. Czy pracodawca ma obowiązek udostępnić Policji całość dokumentacji powypadkowej na żądanie Policji (art. 15 ust.1 pkt 6 ustawy o Policji), czy powinien wyłączyć z niej dokumentację medyczną i prosić o postanowienie prokuratora w tym zakresie?