Frequently Asked Questions

Komitet Nadzoru Koordynacyjnego (CSC) – działający w ramach EROD – koordynuje nadzór nad przetwarzaniem danych osobowych w Systemie Informacyjnym Schengen (SIS). Odpowiednimi przepisami UE są rozporządzenie (UE) 2018/1862 (w szczególności art. 71) i rozporządzenie (UE) 2018/1861 (w szczególności art. 57).

W przypadku danych osobowych zawartych w SIS mają Państwo prawo dostępu do danych, ich poprawiania i usuwania. Prawa te obejmują:

• prawo do informacji, czy informacje dotyczące Państwa są przetwarzane w SIS;
• prawo dostępu do tych danych;
• prawo do sprostowania niedokładnych danych lub ich usunięcia, jeżeli dane te były przechowywane niezgodnie z prawem; oraz
• Prawo do podjęcia działań przed sądami, Twoim organem ochrony danych i / lub właściwymi organami, w stosownych przypadkach, w celu poprawienia lub usunięcia danych dotyczących Ciebie lub uzyskania odszkodowania.

Aby skorzystać ze swoich praw, należy skontaktować się z właściwym organem krajowym w wybranym przez siebie kraju strefy Schengen. Więcej informacji na temat właściwych organów krajowych i organu ochrony danych w każdym państwie strefy Schengen można znaleźć w „Przewodnikudotyczącym wykonywania praw osób, których dane dotyczą”,dostępnym na naszej stronie internetowej. Można tam również znaleźć wzory pism, które pomogą Ci w korzystaniu z przysługujących Ci praw. 

Należy zauważyć, że EROD nie jest uprawniona do rozpatrywania indywidualnych skarg lub wniosków. Ponadto EROD nie ma dostępu do treści tych systemów informacyjnych i baz danych.

Więcej informacji na temat korzystania z praw można znaleźć na naszej stronie internetowej https://www.edpb.europa.eu/our-work-tools/our-documents/csc-data-subject-rights/schengen-information-system-guide-exercising_pl.

RODO ustanawia szczególne prawa osób fizycznych, których należy przestrzegać. Możesz to zrobić poprzez:

• informowanie osób, których dane przetwarzasz, o swoich operacjach przetwarzania i celach przetwarzania, gdy zbierasz ich dane, na przykład za pośrednictwem oświadczenia o ochronie prywatności dostępnego na Twojej stronie internetowej;
• odpowiadanie na żądania osób fizycznych o skorzystanie z przysługujących im praw, takie jak żądania dostępu do danych, ich sprostowania, wyrażenie sprzeciwu, żądanie usunięcia lub przeniesienia danych.

Organizacje, które w sposób przejrzysty podchodzą do wykorzystywania danych osobowych i szanują prawa osób fizycznych, rzadziej stają się przedmiotem skarg.

Więcej informacji:

• Przestrzeganie praw osób fizycznych

Naruszenie ochrony danych osobowych jest naruszeniem bezpieczeństwa prowadzącym do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub dostępu do danych osobowych.

• Jeżeli naruszenie ochrony danych stanowi zagrożenie dla osób fizycznych, których sprawa dotyczy, należy zgłosić je właściwemu organowi ochrony danych w ciągu 72 godzin.
• Jeżeli naruszenie może spowodować wysokie ryzyko dla osób fizycznych, należy również bez zbędnej zwłoki powiadomić o tym naruszeniu osoby fizyczne, których sprawa dotyczy.

W każdym przypadku w odniesieniu do wszystkich naruszeń – nawet tych, które nie zostały zgłoszone organowi ochrony danych – należy odnotować co najmniej podstawowe szczegóły naruszenia, jego ocenę, skutki oraz kroki podjęte w reakcji na owo naruszenie.

 Więcej informacji:

• Naruszenia ochrony danych

EROD regularnie publikuje komunikaty prasowe, wiadomości, blogi oraz inne treści na stronie internetowej EROD i na swoich kanałach w mediach społecznościowych (Twitter: @EU_EDPB; Linkedin: Europejska Rada Ochrony Danych), dzięki czemu społeczność zajmująca się ochroną danych i ogół społeczeństwa mogą na bieżąco śledzić jej prace.

Na stronie internetowej EROD znajdują się również dwa kanały RSS, które można zasubskrybować, by automatycznie otrzymywać aktualne wiadomości i najnowsze publikacje EROD.

RODO (ogólne rozporządzenie o ochronie danych) tworzy zharmonizowany zbiór przepisów mających zastosowanie do wszystkich operacji przetwarzania danych osobowych przez organizacje (publiczne lub prywatne, niezależnie od ich wielkości) posiadające jednostkę organizacyjną w Europejskim Obszarze Gospodarczym (EOG) lub ukierunkowane na osoby fizyczne w UE. Głównym celem RODO jest zapewnienie, aby dane osobowe cieszyły się takim samym, wysokim standardem ochrony w całym EOG. Tym samym RODO zwiększa poziom pewności prawa zarówno dla osób fizycznych, jak i organizacji przetwarzających dane, oraz oferuje wysoki stopień ochrony osób fizycznych.

Rozporządzenie weszło w życie 24 maja 2016 r. i ma zastosowanie od 25 maja 2018 r.

All individuals residing in the European Economic Area (EEA) have the right to the protection of their personal data.

More specifically, under the GDPR, you have several rights

• Right to be informed
• Right of access
• Right to rectification
• Right to restriction of processing
• Right to data portability
• Right to object
• Right not be subject to a decision based solely on automated processing.

For more information on your rights, please consult our leaflet The GDPR and your rights or the EDPB Data Protection Guide for small business.

Jeżeli co najmniej dwóch administratorów wspólnie ustala cele i sposoby przetwarzania, są oni współadministratorami. Decydują się oni wspólnie przetwarzać dane osobowe we wspólnym celu. Współadministrowanie może przybierać różne formy, a udział różnych administratorów w owym procesie może być nierówny. Współadministratorzy muszą zatem określić swoje odpowiednie obowiązki w celu zapewnienia zgodności z RODO.

Należy zauważyć, że współadministrowanie prowadzi do wspólnej odpowiedzialności za czynności przetwarzania.

• Przykład współadministrowania: Przedsiębiorstwa A i B wprowadziły na rynek produkt pod wspólną marką i chcą zorganizować wydarzenie promujące ten produkt. W tym celu decydują się na udostępnienie danych ze swoich baz danych aktualnych i potencjalnych klientów przygotowując listę osób zaproszonych na wydarzenie. Uzgadniają również warunki wysyłania zaproszeń na wydarzenie, sposób gromadzenia informacji zwrotnych podczas wydarzenia oraz dalsze działania marketingowe. Przedsiębiorstwa A i B można uznać za współadministratorów danych osobowych związanych z organizacją wydarzenia promocyjnego, ponieważ wspólnie decydują one o wspólnie określonym celu oraz podstawowych środkach przetwarzania danych w tym kontekście.

Więcej informacji:

• Administrator danych lub podmiot przetwarzający dane

Zgoda mogłaby rzeczywiście stanowić ważną podstawę prawną do przechowywania życiorysów osób ubiegających się o pracę. Inną możliwą podstawą prawną mógłby być prawnie uzasadniony interes. W takim przypadku musiałbyś przeprowadzić test równowagi, aby udowodnić, że prawnie uzasadnione interesy Twojej organizacji przeważają nad prawami kandydatów.

W każdym razie będziesz musiał poinformować kandydatów o zamiarze i celach przechowywania ich danych.

Więcej informacji:

• Zgodne z prawem przetwarzanie danych osobowych

Tak, ale w tym celu należy najpierw określić podstawę prawną przetwarzania tego rodzaju danych osobowych. Przetwarzanie może zostać na przykład uznane za leżące w prawnie uzasadnionym interesie Twojej organizacji. Przy przetwarzaniu danych osobowych na podstawie prawnie uzasadnionego interesu zawsze niezbędne jest przeprowadzenie testu równowagi w celu ustalenia, czy Twoje prawnie uzasadnione interesy przeważają nad prawami osób fizycznych, w szczególności w przypadku dzieci.

Inną możliwą podstawą prawną takiego przetwarzania może być zgoda. Osoby fizyczne powinny być zawsze informowane z wyprzedzeniem, że podczas wydarzenia będą robione zdjęcia lub filmy.

Więcej informacji:

• Zgodne z prawem przetwarzanie danych osobowych

Komisja Europejska może zdecydować, czy dane państwo spoza Europy (lub organizacja międzynarodowa) zapewnia „odpowiedni” poziom ochrony danych, co ułatwia przepływ danych między Europą a tym państwem. 

EROD jest odpowiedzialna za wydawanie opinii na temat projektów decyzji stwierdzających odpowiedni stopień ochrony przed podjęciem decyzji przez Komisję Europejską. Opinie te nie są wiążące dla Komisji Europejskiej, ale zazwyczaj są przydatne dla innych organizacji, które są konsultowane w tych ramach, takich jak państwa członkowskie UE.

Ponadto Komisja Europejska jest organem właściwym do monitorowania rozwoju sytuacji w państwach pozaeuropejskich, który może mieć wpływ na decyzje stwierdzające odpowiedni stopień ochrony. Niektóre decyzje stwierdzające odpowiedni stopień ochrony przewidują szczególną prawidłowość przeglądu decyzji i mogą odnosić się do możliwości udziału przedstawicieli EROD w procesie przeglądu organizowanym przez Komisję Europejską.

Należy również pamiętać, że europejskie organy ochrony danych mogą chronić osoby fizyczne w związku z przekazywaniem danych w kontekście decyzji stwierdzającej odpowiedni stopień ochrony (lista takich osób znajduje się na naszej stronie internetowej: https://edpb.europa.eu/about-edpb/our-members).

Jeżeli uważają Państwo, że istniejąca decyzja stwierdzająca odpowiedni stopień ochrony nie jest zgodna z Państwa prawami podstawowymi osoby fizycznej do prywatności i ochrony danych, mogą Państwo wnieść skargę do organu ochrony danych, który może wnieść te zastrzeżenia do sądu krajowego, który może być zobowiązany do wystąpienia z wnioskiem o wydanie orzeczenia w trybie prejudycjalnym do Trybunału Sprawiedliwości (zob. art. 58 ust. 5 RODO i wyrok ETS Schrems (sprawa C-362/14)).

Dodatkowe informacje można znaleźć na stronie: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_pl 

Tak, RODO ma zastosowanie, jeżeli dane osobowe są zawarte lub mają być zawarte w zbiorze danych. Oznacza to, że RODO ma również zastosowanie do dokumentacji papierowej, a nie tylko do zautomatyzowanego przetwarzania danych osobowych.

Więcej informacji:

• Podstawowe informacje dotyczące ochrony danych

Unfortunately, the EDPB cannot consider late contributions as part of the public consultation.

Nie, nie musisz posiadać certyfikatu, aby zostać inspektorem ochrony danych.

Inspektorzy ochrony danych muszą jednak być w stanie wykazać, że posiadają niezbędne kwalifikacje wymagane przez RODO, takie jak specjalistyczna wiedza na temat prawa i praktyk w zakresie ochrony danych.

Więcej informacji:

• Inspektor ochrony danych

Administratorzy danych mogą przetwarzać dane osobowe wyłącznie w jednej z następujących sytuacji:

• za zgodą osób fizycznych, których sprawa dotyczy;
• gdy przetwarzanie jest niezbędne do wykonania umowy (umowy między Twoją organizacją a osobą fizyczną);
• w celu wypełnienia obowiązku prawnego wynikającego z przepisów unijnych lub krajowych;
• gdy przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym na mocy przepisów unijnych lub krajowych;
• w celu ochrony żywotnych interesów osoby fizycznej;
• ze względu na prawnie uzasadnione interesy organizacji – z wyjątkiem sytuacji, w których przeważają nad nimi prawa i wolności osób fizycznych.

Ponadto, w RODO ustanowiono dodatkowe warunki przetwarzania danych wrażliwych.

Więcej informacji:

• Zgodne z prawem przetwarzanie danych osobowych

Ocena skutków dla ochrony danych to pisemna ocena, którą Twoja organizacja powinna przeprowadzić, aby ocenić wpływ planowanej operacji przetwarzania. Pomaga zidentyfikować odpowiednie środki w celu przeciwdziałania ryzyku i wykazania zgodności.

Chociaż zawsze lepiej jest przewidzieć wpływ planowanych przez organizację operacji przetwarzania poprzez przeprowadzenie oceny skutków dla ochrony danych, to jest ona obowiązkowa wówczas, gdy przetwarzanie może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych.

Z taką sytuacją mamy w szczególności do czynienia w przypadku, w którym planowane przetwarzanie obejmuje:

• przetwarzanie - na dużą skalę - wrażliwych danych osobowych lub danych dotyczących wyroków skazujących; 
• systematyczną i szeroko zakrojoną ocenę osobistych cech danej osoby fizycznej, opartą na zautomatyzowanym przetwarzaniu, w tym profilowaniu, oraz ocenę, na podstawie której podejmowane są decyzje wywołujące skutki prawne dotyczące danej osoby lub w podobny sposób znacząco wpływające na osoby fizyczne;
• systematyczne, prowadzone na dużą skalę monitorowanie publicznie dostępnego obszaru.

EROD opracowała wytyczne, w których wymieniono kryteria, jakie należy wziąć pod uwagę przy ocenie, czy ocena skutków dla ochrony danych jest obowiązkowa. Organy ochrony danych opublikowały również wykazy operacji przetwarzania podlegających ocenie skutków dla ochrony danych. Ponadto kilka organów ochrony danych opracowało przewodniki, oprogramowanie lub narzędzia do samooceny, które pomogą Ci w dokonaniu odpowiedniej oceny.

Więcej informacji:

• Zachowaj zgodność z przepisami

Przetwarzanie danych osobowych jest dozwolone, jeżeli istnieje ku temu podstawa prawna. Oprócz dobrowolnej, konkretnej, świadomej i jednoznacznej zgody można wykorzystać inne podstawy prawne przetwarzania.
Innymi słowy, zgoda jest konieczna, gdy nie ma zastosowania żadna z pozostałych podstaw prawnych.

Więcej informacji:

• Zgodne z prawem przetwarzanie danych osobowych 

Informacje na temat możliwości rozwoju kariery można znaleźć na naszej stronie internetowej: https://www.edpb.europa.eu/career-opportunities_pl 

Aby uzyskać więcej informacji lub złożyć spontaniczny wniosek, prosimy o kontakt pod adresem edps-selections@edps.europa.eu. Jeżeli chcą Państwo złożyć wniosek, proszę wspomnieć, że ubiegają się Państwo o stanowisko w Sekretariacie EROD. Spontaniczny wniosek przesłany bezpośrednio do EROD jest usuwany bez przekazywania dalej.

RODO ustanawia zasadniczo dwa główne sposoby przekazywania danych osobowych do państwa spoza EOG lub do organizacji międzynarodowej. Przekazanie może nastąpić na podstawie decyzji stwierdzającej odpowiedni stopień ochrony lub - w przypadku braku takiej decyzji - na podstawie odpowiednich zabezpieczeń, w tym egzekwowalnych praw i środków ochrony prawnej przysługujących osobom fizycznym.

Więcej informacji:

• Międzynarodowe przekazywanie danych

Umowa między administratorem danych a podmiotem przetwarzającym dane musi przewidywać, że podmiot przetwarzający dane:

• przetwarza dane osobowe wyłącznie na polecenie administratora danych, w tym w odniesieniu do przekazywania danych osobowych do państwa spoza EOG;
• zapewnia, by osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy lub podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy;
• zapewnia bezpieczeństwo przetwarzania;
• nie korzysta z usług innego podmiotu przetwarzającego dane bez uprzedniej szczegółowej lub ogólnej pisemnej zgody administratora danych;
• pomaga administratorowi danych w wypełnianiu obowiązków administratora danych dotyczących odpowiadania na żądania osób fizycznych w zakresie wykonywania ich praw;
• pomaga administratorowi danych w zabezpieczaniu przetwarzania, powiadamianiu o naruszeniach ochrony danych i przeprowadzaniu ocen skutków dla ochrony danych;
• zależnie od decyzji administratora danych - usuwa lub zwraca wszystkie dane osobowe administratorowi danych po zakończeniu świadczenia usług;
• udostępnia administratorowi danych wszelkie informacje niezbędne do wykazania spełnienia obowiązków wynikających z RODO;
• umożliwia przeprowadzanie audytów, w tym inspekcji przeprowadzanych przez administratora danych lub innego audytora upoważnionego przez administratora danych, a także przyczynia się do nich.

Ponadto podmiot przetwarzający niezwłocznie informuje administratora danych, jeżeli jego zdaniem polecenia administratora naruszają RODO bądź też inne unijne lub krajowe przepisy o ochronie danych.

 Więcej informacji:

• Administrator danych lub podmiot przetwarzający dane

Tak, podmioty przetwarzające dane (tj. osoby fizyczne lub organy przetwarzające dane w imieniu administratora danych) mają obowiązki wynikające z RODO. Istnieją jednak pewne różnice między obowiązkami administratorów danych i podmiotów przetwarzających.

Podmioty przetwarzające dane muszą przestrzegać obowiązków określonych w umowie między administratorem a podmiotem przetwarzającym, w której wyszczególniono operacje przetwarzania i środki przetwarzania danych osobowych. Na przykład podmiot przetwarzający będzie musiał przeprowadzić operacje przetwarzania przy użyciu odpowiednich środków technicznych i organizacyjnych, zgodnie z poleceniami administratora. W ten sposób podmiot przetwarzający pomaga administratorowi w przestrzeganiu RODO.

Więcej informacji:

• Administrator danych lub podmiot przetwarzający dane