Udostępnienie wykonawcy sieci wodociągowej danych osobowych właścicieli nieruchomości w ramach zamówienia publicznego rodzi istotne wątpliwości na gruncie RODO. Dokumentacja przekazywana przez przedsiębiorstwo wodociągowe może zawierać m.in. imiona i nazwiska właścicieli, adresy nieruchomości oraz numery ksiąg wieczystych, wskazane w oświadczeniach dotyczących lokalizacji przyłączy wodociągowych. Kluczowe jest ustalenie, czy wykonawca robót budowlanych przetwarza te dane w imieniu przedsiębiorstwa wodociągowego, co wymaga zawarcia umowy powierzenia przetwarzania danych osobowych, czy też działa jako odrębny administrator danych.

Pytanie:  Województwo udziela gminie pomocy finansowej na realizację zadania z zakresu pomocy społecznej polegającego na udzielaniu pomocy w formie zasiłków celowych poszkodowanym w wypadku autokaru za granicą. GOPS prowadzi postępowanie i przyznaje zasiłki. Gmina przedstawia województwu rozliczenie z wykorzystania pomocy finansowej, które zawiera zestawienie wypłaconych zasiłków celowych tj. imię i nazwisko, adres, nr konta klienta OPS oraz kopie wydanych decyzji. Czy w tej sytuacji należy zawrzeć umowę powierzenia przetwarzania danych pomiędzy gminą a województwem? Kto jest w tym przypadku administratorem danych, a kto podmiotem przetwarzającym?

Pytanie:  Urząd gminy chce udzielić dostępu do programów komputerowych pracownikom jednostek organizacyjnych - głównie w ramach realizacji zadań związanych z planowaniem oraz realizacją budżetu. Przygotowane jest do tego celu zarządzenie, które wskazuje, iż konta w domenie i udzielenie dostępu do programów wymaga wniosku (imię i nazwisko pracownika, stanowisko). Czy przy zakładaniu konta potrzebna jest umowa powierzenia przetwarzania danych osobowych od jednostek dla urzędu (dane pracownika)? Przetwarzane dane dotyczą głównie usług jednak zdarza się, że usługodawcą jest osoba fizyczna. Czy wówczas również należy zawrzeć umowę powierzenia, gdzie administratorem jest gmina a podmiotem przetwarzającym jest jednostka organizacyjna? Bazy danych są na naszych serwerach.

Pytanie:  W świetle art. 34b ust. 10 ustawy o finansach publicznych kierownik jednostki jest administratorem danych osobowych, ale jego rola jest ściśle ograniczona do danych przetwarzanych w ramach Centralnego Rejestru Umów. Czy to oznacza, że powinien mieć RCP, RKCP, politykę naruszeń, itd.? Czy powinien podpisać umowę powierzenia z jednostką, gdyż pracownicy jednostki będą realizować jego zadanie?

Nie istnieje jedna oficjalna i uniwersalna lista pytań służących do przeprowadzenia oceny skutków transferu danych (Transfer Impact Assessment – TIA), w tym przy transferze danych osobowych do USA lub Chin. Obowiązek przeprowadzenia TIA wynika przede wszystkim z wyroku TSUE w sprawie Schrems II, a zakres oceny zależy m.in. od państwa docelowego, rodzaju przekazywanych danych osobowych oraz zastosowanego mechanizmu transferu, np. standardowych klauzul umownych (SCC). Metodologię przeprowadzania TIA oraz kluczowe obszary, które należy przeanalizować, wskazują przede wszystkim zalecenia Europejskiej Rady Ochrony Danych (EROD).

Pytanie:  Jesteśmy jednostką publiczną. Pracownik przy mojej pomocy składa wniosek o wydanie upoważnienia do przetwarzania danych osobowych. Następnie Inspektor pisze upoważnienie do przetwarzania danych osobowych i daje administratorowi do podpisu w trzech egzemplarzach tj.: jeden dla pracownika, drugi do kadr, trzeci dla inspektora. Czy faktycznie niezbędne są upoważnienia w trzech egzemplarzach? Jeśli tak, to czy inspektor może podpisywać takie upoważnienie czy tylko administrator?

Pytanie:  W jakiej sytuacji przy zleceniu opracowania projektu sieci wodociągowej lub jej wykonania, zlecający (wodociągi) powinien podpisać z wykonawcą umowę powierzenia?

Prezes UODO upomniał szpital specjalistyczny w Sosnowcu oraz podmiot świadczący usługę poczty elektronicznej po naruszeniu danych 224 osób. Administrator nie zweryfikował, czy procesor rzeczywiście zapewnia odpowiednie zabezpieczenia, a analiza ryzyka nie obejmowała konkretnie zewnętrznego dostawcy poczty. Sprawa pokazuje, że deklaracje zgodności z RODO i certyfikat ISO/IEC 27001 nie zwalniają administratora z obowiązku kontroli podmiotu przetwarzającego.

Pytanie:  Urząd Miasta zlecił firmie zewnętrznej pełnienie funkcji IOD. Czy zgodnie z obowiązującymi przepisami np. kodeksem pracy, czy ustawie o samorządzie gminnym dopuszczalne jest powołanie zastępcy IOD spośród pracowników urzędu? Czy to prawda, że jeżeli jakiś zakres obowiązków został zlecony zewnętrznej firmie, to nie można pracownikowi urzędu przypisać tych samych obowiązków, co miałoby miejsce w przypadku IOD i zastępcy IOD.

Pytanie:  Pracodawca zawarł umowę ubezpieczenia grupowego z agentem (nie brokerem). Czy pracodawca powinien podpisać umowę powierzenia przetwarzania danych osobowych z agentem?