WYDANIE ONLINE
Istota funkcjonowania jednostek pomocy społecznej wiąże się z przetwarzaniem danych osobowych – przede wszystkim osób korzystających z tej pomocy. Na jakiej podstawie przetwarzać te dane? Jak zrealizować obowiązek informacyjny? Czy należy w związku z tym przeprowadzić ocenę ryzyka? Odpowiedzi na te pytania zależą od okoliczności konkretnego przypadku. Poznaj rozwiązania wybranych problemów z zakresu przetwarzania danych osobowych w pomocy społecznej.
Francuski organ nadzorczy (CNIL) nałożył karę w wysokości 20.000 euro na spółkę, która stosowała wobec pracowników nadzór wideo w sposób ciągły. Organ nadzorczy wydał również nakaz, aby spółka podjęła środki w celu zapewnienia identyfikacji dostępu do wspólnej służbowej poczty elektronicznej. CNIL dwukrotnie ostrzegał firmę w kwestii zasad, których należy przestrzegać podczas instalowania kamer w miejscu pracy. Wskazywał w szczególności, że pracownicy nie powinni być monitorowani w sposób ciągły, a także powinni otrzymać informację o zainstalowaniu kamery.
Belgijski organ nadzorczy upomniał federalną służbę publiczną ds. zdrowia Service Public Fédéral (SPF) Santé Publique za nieudzielenie odpowiedzi na wniosek obywatela, który chciał zrealizować prawo dostępu do swoich danych.
Tylko 14 proc. obywateli Unii Europejskiej jest przekonanych, że ma pełną kontrolę nad swoimi danymi udostępnianymi w sieci. Pozostali nie są już tego tacy pewni albo uważają, że po udostępnieniu informacji o sobie w Internecie nie mają już na nie żadnego wpływu – wynika z opublikowanego w czerwcu 2019 roku raportu „Special Eurobarometer 487a”.
PROBLEM Czy wójt gminy może w celu weryfikacji i ustalenia wysokości należnej opłaty za zagospodarowanie odpadami komunalnymi zobowiązać kierownika urzędu stanu cywilnego do przekazania informacji o liczbie zgonów, urodzeń, a także zameldowaniach, wymeldowaniach, zawarciu związków małżeńskich z podaniem adresu nieruchomości?
PROBLEM Jak uregulować problem nagrywania – transmisji z obrad poszczególnych komisji, gdzie poruszane są tematy niepodlegające publikacji, np. dane szczególnie chronione?
PROBLEM Po wpisaniu w parkomacie numeru rejestracyjnego pojazdu urządzenie nie tylko drukuje bilet potwierdzający opłacenie miejsca parkingowego dla konkretnego pojazdu, ale również zapisuje ten numer w swojej pamięci. Dzięki temu miejski podmiot zarządzający strefą płatnego parkowania ma dostęp do informacji, jaki pojazd parkował w danym miejscu, kiedy tam się znalazł i na jak długi czas został opłacony jego postój. Pojawia się więc obawa, że dzięki przetwarzaniu takich danych zarządca uzyskuje zbyt szeroką wiedzę na temat życia prywatnego użytkownika pojazdu – tym bardziej że przecież może on zidentyfikować właściciela pojazdu, sięgając do Centralnej Ewidencji Pojazdów i Kierowców.
PROBLEM Jeden z pracowników urzędu wysyłając maila do strony postępowania administracyjnego, omyłkowo wpisał inny adres mailowy. Przez co informacja trafiła nie tylko do wymaganego adresata. Czy jest to naruszenie RODO? Co należy zrobić w takiej sytuacji?
PROBLEM Czy zawarcie umowy z wybranym w wyniku przeprowadzenia np. przetargu nieograniczonego wykonawcą to część całej procedury przetargowej i nadal podstawą przetwarzania jest art. 6 ust. 1 lit. c RODO? Czy może w sytuacji podpisywania umowy inna jest już podstawa i cel przetwarzania danych, tj. art. 6 ust. 1 lit. b RODO? Wówczas należy ponownie spełnić obowiązek informacyjny wobec tego wykonawcy, z którym podpisywana jest umowa? Ponadto w formularzu ofertowym zamawiający żądają podania danych kontaktowych (telefon, e-mail) samego wykonawcy lub osoby z ramienia wykonawcy do kontaktu. Czy podstawą żądania tych danych jest art. 6 ust. 1 lit. c RODO, czy też należałoby mieć zgodę na przetwarzanie danych kontaktowych? Dodatkowo skoro podstawą przetwarzania jest art. 6 ust. 1 lit. C, to niewątpliwie przysługują prawa, o których mowa w art. 15, 16 i 18 (z ograniczeniami wprowadzonymi od 4 maja 2019 r.). Czy jednak nie należy uznać, choćby hipotetycznie, że prawo do „bycia zapomnianym" również przysługuje, na podstawie art. 20 ust. 1 lit. a, d bądź e RODO?
PROBLEM Czy placówka medyczna może spodziewać się kontroli ze strony Państwowej Inspekcji Pracy w zakresie przetwarzania danych pracowników oraz kandydatów do pracy? Czy nie należy to tylko do kompetencji Urzędu Ochrony Danych Osobowych? Jakie dokumenty mogą być skontrolowane?
Jeżeli co najmniej dwóch administratorów wspólnie ustala cele i sposoby przetwarzania, są oni współadministratorami. Wspólnie powinni określić odpowiednie zakresy swojej odpowiedzialności dotyczącej wypełniania obowiązków wynikających z RODO. W tym celu niezbędne jest prawidłowe sformułowanie umowy. Poniżej przedstawiamy przykładowe postanowienia umowne pomocne dla współadministratorów.
W przypadku naruszenia ochrony danych obowiązkiem administratora danych osobowych jest niezwłoczne zawiadomienie Prezesa UODO o dokonanym naruszeniu, ale też poinformowanie o tym naruszeniu podmiotu danych – jeżeli występuje wysokie ryzyko naruszenia praw lub wolności osoby fizycznej. Niestety stosunkowo często zawiadomienia są sporządzone zbyt ogólnikowo lub są wewnętrznie sprzeczne. Jak uniknąć błędów? Warto skorzystać z rad organu nadzorczego.
Cyfryzacja, aplikacje mobilne, nowe technologie, wszechobecny postęp powodują, że również podmioty publiczne powinny dbać o cyberbezpieczeństwo. W jaki sposób? Poniższa lista kontrolna pozwala w szybki sposób zweryfikować wiedzę na ten temat oraz sprawdzić, czy wszystkie niezbędne środki bezpieczeństwa zostały wdrożone w jednostce.
