Pomiar temperatury może być przeprowadzany także z wykorzystaniem kamery termowizyjnej. Takie rozwiązanie można stosować w sytuacji, w której pomiar temperatury zostanie w odpowiednim trybie zalecony w zakładzie pracy przez sanepid. Powstaje pytanie, czy w takim przypadku zachodzi konieczność przeprowadzenia oceny skutków dla ochrony danych.

Pytanie:  Na terenie Polski znajdują się spółki produkcyjne wchodzące w skład grupy zakładów, dla których spółka matka znajduje się w jednym z krajów UE. Tam też znajdują się serwery główne dla wszystkich zakładów. W zakładach zlokalizowanych w Polsce znajdują się serwerownie, sieci lokalne itd. Czy dla każdego z tych zakładów należy przeprowadzić analizę ryzyka dla systemów informatycznych znajdujących się w tych zakładach?

Kluczem dla zrozumienia przepisów i celów rozporządzenia 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: RODO), jest tzw. podejście oparte na ryzyku. Wyraża się ono w nałożonym na administratora obowiązku przeprowadzania analizy ryzyka związanego z przetwarzaniem danych, jakie jest realizowane w organizacji.

Celem przyjęcia na poziomie Unii Europejskiej rozporządzenia 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, było przede wszystkim wzmocnienie ochrony praw i wolności osób, których dane są przetwarzane. Cel ten jest realizowany m.in. poprzez wprowadzenie podejścia opartego na ryzyku (ang. risk-based approach) – koncepcji stanowiącej zasadniczy filar przepisów RODO.

Od dnia 25 maja 2018, roku czyli od początku obowiązywania Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: RODO, Rozporządzenie) na każdym administratorze danych osobowych ciąży obowiązek przeprowadzania analizy ryzyka.

Pytanie:  Czy prawidłowe jest powiązanie koncepcji "Privacy by design" z oceną skutków przetwarzania danych osobowych (DPIA) w sytuacji wprowadzania nowego procesu biznesowego, w którym dane osobowe są przetwarzane (lub jego aktualizacji)?

W określonych okolicznościach obowiązkiem administratora danych osobowych staje się ocena skutków przetwarzania dla ochrony danych (DPIA). Proces ten powinien być zrealizowany przy wsparciu personelu administratora, ale przede wszystkim z udziałem inspektora ochrony danych, jeżeli takowy jest wyznaczony w organizacji. Sprawdź, jaką rolę pełni IOD w ocenie skutków dla ochrony danych.

W Monitorze Polskim opublikowano nowy wykaz operacji rodzajów przetwarzania podlegających wymogowi dokonania oceny skutków dla ochrony danych. W zaktualizowanym wykazie po uwzględnieniu opinii wydanej przez Europejską Radę Ochrony Danych i obejmuje również czynności przetwarzania związane z oferowaniem towarów lub usług osobom, których dane dotyczą, lub z monitorowaniem ich zachowania w kilku państwach członkowskich lub mogące znacznie wpłynąć na swobodny przepływ danych osobowych w Unii Europejskiej.

W określonych przypadkach administrator danych osobowych ma obowiązek przeprowadzenia oceny skutków dla ochrony danych (DPIA). Jak przedstawia się ta kwestia w urzędzie gminy?

To, że administrator przetwarza dane osobowe w „dużej skali” ma bardzo istotne znaczenie w kontekście jego obowiązków. Od tego zależy bowiem istnienie obowiązku wyznaczenia inspektora ochrony danych. Przetwarzanie danych osobowych w „dużej skali” stanowi również przesłankę obligatoryjnego przeprowadzenia oceny skutków dla ochrony danych. Kiedy mamy do czynienia z wielkoskalowym przetwarzaniem danych?