Frequently Asked Questions

RODO ustanawia szczególne prawa osób fizycznych, których należy przestrzegać. Możesz to zrobić poprzez:

• informowanie osób, których dane przetwarzasz, o swoich operacjach przetwarzania i celach przetwarzania, gdy zbierasz ich dane, na przykład za pośrednictwem oświadczenia o ochronie prywatności dostępnego na Twojej stronie internetowej;
• odpowiadanie na żądania osób fizycznych o skorzystanie z przysługujących im praw, takie jak żądania dostępu do danych, ich sprostowania, wyrażenie sprzeciwu, żądanie usunięcia lub przeniesienia danych.

Organizacje, które w sposób przejrzysty podchodzą do wykorzystywania danych osobowych i szanują prawa osób fizycznych, rzadziej stają się przedmiotem skarg.

Więcej informacji:

• Przestrzeganie praw osób fizycznych

Naruszenie ochrony danych osobowych jest naruszeniem bezpieczeństwa prowadzącym do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub dostępu do danych osobowych.

• Jeżeli naruszenie ochrony danych stanowi zagrożenie dla osób fizycznych, których sprawa dotyczy, należy zgłosić je właściwemu organowi ochrony danych w ciągu 72 godzin.
• Jeżeli naruszenie może spowodować wysokie ryzyko dla osób fizycznych, należy również bez zbędnej zwłoki powiadomić o tym naruszeniu osoby fizyczne, których sprawa dotyczy.

W każdym przypadku w odniesieniu do wszystkich naruszeń – nawet tych, które nie zostały zgłoszone organowi ochrony danych – należy odnotować co najmniej podstawowe szczegóły naruszenia, jego ocenę, skutki oraz kroki podjęte w reakcji na owo naruszenie.

 Więcej informacji:

• Naruszenia ochrony danych

Inspektorzy ochrony danych mogą wykonywać inne zadania w ramach organizacji, ale nie może to prowadzić do konfliktu interesów. Oznacza to, że inspektor ochrony danych nie może zajmować stanowiska, na którym ustala cele i sposoby czynności przetwarzania. Konflikt taki występuje głównie na stanowiskach kierowniczych (dyrektor generalny, dyrektor operacyjny, dyrektor finansowy, szef działu HR, szef działu IT, dyrektor zarządzający), ale może również zachodzić w przypadku innych funkcji, jeżeli wiążą się one z ustalaniem celów i sposobów przetwarzania.

Inspektor ochrony danych musi być w stanie wykonywać swoje obowiązki i zadania w sposób niezależny. Oznacza to, że Twoja organizacja:

• nie może wydawać inspektorowi ochrony danych poleceń dotyczących wykonywania jego obowiązków;
• nie może karać ani odwoływać inspektora ochrony danych za wykonywanie jego zadań.

Więcej informacji:

• Inspektor ochrony danych

EROD regularnie publikuje komunikaty prasowe, wiadomości, blogi oraz inne treści na stronie internetowej EROD i na swoich kanałach w mediach społecznościowych (Twitter: @EU_EDPB; Linkedin: Europejska Rada Ochrony Danych), dzięki czemu społeczność zajmująca się ochroną danych i ogół społeczeństwa mogą na bieżąco śledzić jej prace.

Na stronie internetowej EROD znajdują się również dwa kanały RSS, które można zasubskrybować, by automatycznie otrzymywać aktualne wiadomości i najnowsze publikacje EROD.

RODO (ogólne rozporządzenie o ochronie danych) tworzy zharmonizowany zbiór przepisów mających zastosowanie do wszystkich operacji przetwarzania danych osobowych przez organizacje (publiczne lub prywatne, niezależnie od ich wielkości) posiadające jednostkę organizacyjną w Europejskim Obszarze Gospodarczym (EOG) lub ukierunkowane na osoby fizyczne w UE. Głównym celem RODO jest zapewnienie, aby dane osobowe cieszyły się takim samym, wysokim standardem ochrony w całym EOG. Tym samym RODO zwiększa poziom pewności prawa zarówno dla osób fizycznych, jak i organizacji przetwarzających dane, oraz oferuje wysoki stopień ochrony osób fizycznych.

Rozporządzenie weszło w życie 24 maja 2016 r. i ma zastosowanie od 25 maja 2018 r.

All individuals residing in the European Economic Area (EEA) have the right to the protection of their personal data.

More specifically, under the GDPR, you have several rights

• Right to be informed
• Right of access
• Right to rectification
• Right to restriction of processing
• Right to data portability
• Right to object
• Right not be subject to a decision based solely on automated processing.

For more information on your rights, please consult our leaflet The GDPR and your rights or the EDPB Data Protection Guide for small business.

Komisja Europejska może zdecydować, czy dane państwo spoza Europy (lub organizacja międzynarodowa) zapewnia „odpowiedni” poziom ochrony danych, co ułatwia przepływ danych między Europą a tym państwem. 

EROD jest odpowiedzialna za wydawanie opinii na temat projektów decyzji stwierdzających odpowiedni stopień ochrony przed podjęciem decyzji przez Komisję Europejską. Opinie te nie są wiążące dla Komisji Europejskiej, ale zazwyczaj są przydatne dla innych organizacji, które są konsultowane w tych ramach, takich jak państwa członkowskie UE.

Ponadto Komisja Europejska jest organem właściwym do monitorowania rozwoju sytuacji w państwach pozaeuropejskich, który może mieć wpływ na decyzje stwierdzające odpowiedni stopień ochrony. Niektóre decyzje stwierdzające odpowiedni stopień ochrony przewidują szczególną prawidłowość przeglądu decyzji i mogą odnosić się do możliwości udziału przedstawicieli EROD w procesie przeglądu organizowanym przez Komisję Europejską.

Należy również pamiętać, że europejskie organy ochrony danych mogą chronić osoby fizyczne w związku z przekazywaniem danych w kontekście decyzji stwierdzającej odpowiedni stopień ochrony (lista takich osób znajduje się na naszej stronie internetowej: https://edpb.europa.eu/about-edpb/our-members).

Jeżeli uważają Państwo, że istniejąca decyzja stwierdzająca odpowiedni stopień ochrony nie jest zgodna z Państwa prawami podstawowymi osoby fizycznej do prywatności i ochrony danych, mogą Państwo wnieść skargę do organu ochrony danych, który może wnieść te zastrzeżenia do sądu krajowego, który może być zobowiązany do wystąpienia z wnioskiem o wydanie orzeczenia w trybie prejudycjalnym do Trybunału Sprawiedliwości (zob. art. 58 ust. 5 RODO i wyrok ETS Schrems (sprawa C-362/14)).

Dodatkowe informacje można znaleźć na stronie: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_pl 

Tak, RODO ma zastosowanie, jeżeli dane osobowe są zawarte lub mają być zawarte w zbiorze danych. Oznacza to, że RODO ma również zastosowanie do dokumentacji papierowej, a nie tylko do zautomatyzowanego przetwarzania danych osobowych.

Więcej informacji:

• Podstawowe informacje dotyczące ochrony danych

Tak, ale w tym celu należy najpierw określić podstawę prawną przetwarzania tego rodzaju danych osobowych. Przetwarzanie może zostać na przykład uznane za leżące w prawnie uzasadnionym interesie Twojej organizacji. Przy przetwarzaniu danych osobowych na podstawie prawnie uzasadnionego interesu zawsze niezbędne jest przeprowadzenie testu równowagi w celu ustalenia, czy Twoje prawnie uzasadnione interesy przeważają nad prawami osób fizycznych, w szczególności w przypadku dzieci.

Inną możliwą podstawą prawną takiego przetwarzania może być zgoda. Osoby fizyczne powinny być zawsze informowane z wyprzedzeniem, że podczas wydarzenia będą robione zdjęcia lub filmy.

Więcej informacji:

• Zgodne z prawem przetwarzanie danych osobowych

Zgoda mogłaby rzeczywiście stanowić ważną podstawę prawną do przechowywania życiorysów osób ubiegających się o pracę. Inną możliwą podstawą prawną mógłby być prawnie uzasadniony interes. W takim przypadku musiałbyś przeprowadzić test równowagi, aby udowodnić, że prawnie uzasadnione interesy Twojej organizacji przeważają nad prawami kandydatów.

W każdym razie będziesz musiał poinformować kandydatów o zamiarze i celach przechowywania ich danych.

Więcej informacji:

• Zgodne z prawem przetwarzanie danych osobowych

Jeżeli co najmniej dwóch administratorów wspólnie ustala cele i sposoby przetwarzania, są oni współadministratorami. Decydują się oni wspólnie przetwarzać dane osobowe we wspólnym celu. Współadministrowanie może przybierać różne formy, a udział różnych administratorów w owym procesie może być nierówny. Współadministratorzy muszą zatem określić swoje odpowiednie obowiązki w celu zapewnienia zgodności z RODO.

Należy zauważyć, że współadministrowanie prowadzi do wspólnej odpowiedzialności za czynności przetwarzania.

• Przykład współadministrowania: Przedsiębiorstwa A i B wprowadziły na rynek produkt pod wspólną marką i chcą zorganizować wydarzenie promujące ten produkt. W tym celu decydują się na udostępnienie danych ze swoich baz danych aktualnych i potencjalnych klientów przygotowując listę osób zaproszonych na wydarzenie. Uzgadniają również warunki wysyłania zaproszeń na wydarzenie, sposób gromadzenia informacji zwrotnych podczas wydarzenia oraz dalsze działania marketingowe. Przedsiębiorstwa A i B można uznać za współadministratorów danych osobowych związanych z organizacją wydarzenia promocyjnego, ponieważ wspólnie decydują one o wspólnie określonym celu oraz podstawowych środkach przetwarzania danych w tym kontekście.

Więcej informacji:

• Administrator danych lub podmiot przetwarzający dane

Unfortunately, the EDPB cannot consider late contributions as part of the public consultation.

Przetwarzanie danych osobowych jest dozwolone, jeżeli istnieje ku temu podstawa prawna. Oprócz dobrowolnej, konkretnej, świadomej i jednoznacznej zgody można wykorzystać inne podstawy prawne przetwarzania.
Innymi słowy, zgoda jest konieczna, gdy nie ma zastosowania żadna z pozostałych podstaw prawnych.

Więcej informacji:

• Zgodne z prawem przetwarzanie danych osobowych 

Nie, nie musisz posiadać certyfikatu, aby zostać inspektorem ochrony danych.

Inspektorzy ochrony danych muszą jednak być w stanie wykazać, że posiadają niezbędne kwalifikacje wymagane przez RODO, takie jak specjalistyczna wiedza na temat prawa i praktyk w zakresie ochrony danych.

Więcej informacji:

• Inspektor ochrony danych

Ocena skutków dla ochrony danych to pisemna ocena, którą Twoja organizacja powinna przeprowadzić, aby ocenić wpływ planowanej operacji przetwarzania. Pomaga zidentyfikować odpowiednie środki w celu przeciwdziałania ryzyku i wykazania zgodności.

Chociaż zawsze lepiej jest przewidzieć wpływ planowanych przez organizację operacji przetwarzania poprzez przeprowadzenie oceny skutków dla ochrony danych, to jest ona obowiązkowa wówczas, gdy przetwarzanie może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych.

Z taką sytuacją mamy w szczególności do czynienia w przypadku, w którym planowane przetwarzanie obejmuje:

• przetwarzanie - na dużą skalę - wrażliwych danych osobowych lub danych dotyczących wyroków skazujących; 
• systematyczną i szeroko zakrojoną ocenę osobistych cech danej osoby fizycznej, opartą na zautomatyzowanym przetwarzaniu, w tym profilowaniu, oraz ocenę, na podstawie której podejmowane są decyzje wywołujące skutki prawne dotyczące danej osoby lub w podobny sposób znacząco wpływające na osoby fizyczne;
• systematyczne, prowadzone na dużą skalę monitorowanie publicznie dostępnego obszaru.

EROD opracowała wytyczne, w których wymieniono kryteria, jakie należy wziąć pod uwagę przy ocenie, czy ocena skutków dla ochrony danych jest obowiązkowa. Organy ochrony danych opublikowały również wykazy operacji przetwarzania podlegających ocenie skutków dla ochrony danych. Ponadto kilka organów ochrony danych opracowało przewodniki, oprogramowanie lub narzędzia do samooceny, które pomogą Ci w dokonaniu odpowiedniej oceny.

Więcej informacji:

• Zachowaj zgodność z przepisami

Administratorzy danych mogą przetwarzać dane osobowe wyłącznie w jednej z następujących sytuacji:

• za zgodą osób fizycznych, których sprawa dotyczy;
• gdy przetwarzanie jest niezbędne do wykonania umowy (umowy między Twoją organizacją a osobą fizyczną);
• w celu wypełnienia obowiązku prawnego wynikającego z przepisów unijnych lub krajowych;
• gdy przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym na mocy przepisów unijnych lub krajowych;
• w celu ochrony żywotnych interesów osoby fizycznej;
• ze względu na prawnie uzasadnione interesy organizacji – z wyjątkiem sytuacji, w których przeważają nad nimi prawa i wolności osób fizycznych.

Ponadto, w RODO ustanowiono dodatkowe warunki przetwarzania danych wrażliwych.

Więcej informacji:

• Zgodne z prawem przetwarzanie danych osobowych

Informacje na temat możliwości rozwoju kariery można znaleźć na naszej stronie internetowej: https://www.edpb.europa.eu/career-opportunities_pl 

Aby uzyskać więcej informacji lub złożyć spontaniczny wniosek, prosimy o kontakt pod adresem edps-selections@edps.europa.eu. Jeżeli chcą Państwo złożyć wniosek, proszę wspomnieć, że ubiegają się Państwo o stanowisko w Sekretariacie EROD. Spontaniczny wniosek przesłany bezpośrednio do EROD jest usuwany bez przekazywania dalej.

Pierwszym krokiem do zainstalowania systemu monitoringu jest określenie celu lub celów takiego działania. Cele instalowania telewizji przemysłowej mogą być różne, takie jak zapewnienie bezpieczeństwa pomieszczeń, pomoc w zapobieganiu i wykrywaniu kradzieży i innych przestępstw lub ochrona życia i zdrowia pracowników, ze względu na charakter wykonywanej przez nich pracy.

Podobnie jak w przypadku każdego przetwarzania danych osobowych, nagrania osób fizycznych musza posiadać - zgodnie z RODO - podstawę prawną. Zgoda może stanowić podstawę prawną takiego przetwarzania danych. Jest jednak mało prawdopodobne, aby miało to zastosowanie do większości przypadków korzystania z telewizji przemysłowej, ponieważ trudno będzie uzyskać dobrowolną zgodę wszystkich osób, które prawdopodobnie zostaną zarejestrowane. Najczęstszą podstawą prawną tego rodzaju przetwarzania danych osobowych jest prawnie uzasadniony interes. Jeżeli przetwarzanie opiera się na prawnie uzasadnionym interesie, konieczne będzie przeprowadzenie testu równowagi w celu ustalenia, czy Twoje prawnie uzasadnione interesy przeważają nad prawami osób fizycznych.

Będziesz musiał poinformować osoby fizyczne, że są one rejestrowane. Można to zrobić, umieszczając w widocznych miejscach łatwe do odczytania znaki. Ponadto, przy wszystkich wejściach należy umieścić znak wskazujący cel systemu monitoringu oraz tożsamość i dane kontaktowe administratora danych.

Osobom, których obrazy są rejestrowane przez system monitoringu należy przekazać następujące informacje:

• tożsamość i dane kontaktowe administratora danych;
• cele przetwarzania;
• podstawę prawną przetwarzania (jeżeli jest to prawnie uzasadniony interes - konkretne informacje o tym, które prawnie uzasadnione interesy odnoszą się do konkretnego przetwarzania i o tym, który podmiot realizuje każdy prawnie uzasadniony interes);
• the dane kontaktowe inspektora ochrony danych (jeżeli takowy został wyznaczony);
• odbiorcy lub kategorie odbiorców danych;
• sposób zabezpieczenia nagrań z kamer monitoringu;
• okres przechowywania nagrań z kamer monitoringu;
• istnienie praw osób fizycznych wynikających z RODO oraz prawo do wniesienia skargi do krajowego organu ochrony danych.

Więcej informacji:

• Zgodne z prawem przetwarzanie danych osobowych 
• Przestrzeganie praw osób fizycznych

RODO ustanawia zasadniczo dwa główne sposoby przekazywania danych osobowych do państwa spoza EOG lub do organizacji międzynarodowej. Przekazanie może nastąpić na podstawie decyzji stwierdzającej odpowiedni stopień ochrony lub - w przypadku braku takiej decyzji - na podstawie odpowiednich zabezpieczeń, w tym egzekwowalnych praw i środków ochrony prawnej przysługujących osobom fizycznym.

Więcej informacji:

• Międzynarodowe przekazywanie danych

Tak, podmioty przetwarzające dane (tj. osoby fizyczne lub organy przetwarzające dane w imieniu administratora danych) mają obowiązki wynikające z RODO. Istnieją jednak pewne różnice między obowiązkami administratorów danych i podmiotów przetwarzających.

Podmioty przetwarzające dane muszą przestrzegać obowiązków określonych w umowie między administratorem a podmiotem przetwarzającym, w której wyszczególniono operacje przetwarzania i środki przetwarzania danych osobowych. Na przykład podmiot przetwarzający będzie musiał przeprowadzić operacje przetwarzania przy użyciu odpowiednich środków technicznych i organizacyjnych, zgodnie z poleceniami administratora. W ten sposób podmiot przetwarzający pomaga administratorowi w przestrzeganiu RODO.

Więcej informacji:

• Administrator danych lub podmiot przetwarzający dane