Frequently Asked Questions

IOD nie może ponosić odpowiedzialności za nieprzestrzeganie RODO. Za zgodność z RODO odpowiada organizacja, która wyznaczyła inspektora ochrony danych.

Więcej informacji:

• Inspektor ochrony danych

Umowa między administratorem danych a podmiotem przetwarzającym dane musi przewidywać, że podmiot przetwarzający dane:

• przetwarza dane osobowe wyłącznie na polecenie administratora danych, w tym w odniesieniu do przekazywania danych osobowych do państwa spoza EOG;
• zapewnia, by osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy lub podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy;
• zapewnia bezpieczeństwo przetwarzania;
• nie korzysta z usług innego podmiotu przetwarzającego dane bez uprzedniej szczegółowej lub ogólnej pisemnej zgody administratora danych;
• pomaga administratorowi danych w wypełnianiu obowiązków administratora danych dotyczących odpowiadania na żądania osób fizycznych w zakresie wykonywania ich praw;
• pomaga administratorowi danych w zabezpieczaniu przetwarzania, powiadamianiu o naruszeniach ochrony danych i przeprowadzaniu ocen skutków dla ochrony danych;
• zależnie od decyzji administratora danych - usuwa lub zwraca wszystkie dane osobowe administratorowi danych po zakończeniu świadczenia usług;
• udostępnia administratorowi danych wszelkie informacje niezbędne do wykazania spełnienia obowiązków wynikających z RODO;
• umożliwia przeprowadzanie audytów, w tym inspekcji przeprowadzanych przez administratora danych lub innego audytora upoważnionego przez administratora danych, a także przyczynia się do nich.

Ponadto podmiot przetwarzający niezwłocznie informuje administratora danych, jeżeli jego zdaniem polecenia administratora naruszają RODO bądź też inne unijne lub krajowe przepisy o ochronie danych.

 Więcej informacji:

• Administrator danych lub podmiot przetwarzający dane

Zgodność z RODO jest monitorowana przez krajowe organy ochrony danych. Organy ochrony danych mogą prowadzić postępowania i w razie potrzeby nakładać sankcje. Organy ochrony danych dysponują szeregiem narzędzi, w tym karami pieniężnymi w wysokości do 20 mln EUR lub 4 % rocznego światowego obrotu, w zależności od tego, która z tych kwot jest wyższa. Mogą również udzielać upomnień lub nakładać  tymczasowe bądź stałe zakazy przetwarzania.

Dane kontaktowe wszystkich organów ochrony danych EOG można znaleźć na stronie internetowej EROD: Członkowie

Więcej informacji:

• Urząd Ochrony Danych a Ty

Pliki cookie to małe pliki przechowywane na urządzeniu, takim jak komputer, urządzenie mobilne lub inne urządzenie, które może przechowywać informacje. Pliki cookie służą wielu ważnym funkcjom, w tym zapamiętywaniu użytkowników oraz ich wcześniejszych interakcji ze stroną internetową. Mogą być wykorzystywane do zapamiętywania przedmiotów umieszczonych w koszyku zakupów lub do zapamiętywania informacji wpisywanych do internetowego formularza zgłoszeniowego.

Uwierzytelniające pliki cookie pełnią również ważną funkcję w procesie identyfikacji użytkowników podczas logowania się do usług bankowych oraz innych usług online. Do informacji przechowywanych w plikach cookie mogą należeć takie dane osobowe, jak adres IP, nazwa użytkownika, unikalny identyfikator lub adres e-mail.

RODO daje osobom fizycznym kontrolę nad przetwarzaniem ich danych osobowych. Kluczową rolę w tym procesie odgrywa przejrzystość. Oznacza to, że musisz poinformować osoby fizyczne, których dane przetwarzasz, o swoich operacjach przetwarzania i celach. Innymi słowy, musisz wyjaśnić, kto przetwarza ich dane, ale także w jaki sposób i dlaczego to robi. Osoby fizyczne mogą ocenić potencjalne ryzyko i podjąć decyzje dotyczące swoich danych osobowych tylko wtedy, gdy sposób wykorzystania ich danych osobowych jest  dla nich „przejrzysty".

Zgodnie z RODO jesteś zobowiązany do udostępniania osobom fizycznym następujących informacji:

• tożsamość i dane kontaktowe administratora;
• cele przetwarzania;
• podstawa prawna przetwarzania (jeżeli jest to prawnie uzasadniony interes, konkretne informacje o tym, które prawnie uzasadnione interesy odnoszą się do konkretnego przetwarzania i który podmiot realizuje każdy prawnie uzasadniony interes).
• dane kontaktowe administratora;
• dane kontaktowe inspektora ochrony danych (jeżeli inspektor ochrony danych został wyznaczony);
• odbiorcy lub kategorie odbiorców danych;
• informacje o tym, czy dane będą przekazywane poza Europejski Obszar Gospodarczy (EOG) (w stosownych przypadkach: istnienie lub brak decyzji stwierdzającej odpowiedni stopień ochrony lub odniesienia do odpowiednich zabezpieczeń oraz sposób udostępniania tych informacji osobom, których dane dotyczą);
• kategorie przetwarzanych danych osobowych, jeżeli dane nie są uzyskiwane od osoby fizycznej, której sprawa dotyczy.

Ponadto RODO wymaga, aby w celu zapewnienia rzetelnego i przejrzystego przetwarzania Twoja organizacja przekazała następujące informacje:

• okres przechowywania lub - w przypadku, gdy nie jest to możliwe - kryteria stosowane do określenia tego okresu;
• prawo do żądania dostępu do danych osobowych, ich usunięcia, sprostowania, ograniczenia ich przetwarzania, wyrażenia sprzeciwu i przenoszenia danych;
• prawo do wniesienia skargi do organu ochrony danych;
• jeżeli podstawą prawną przetwarzania jest zgoda: prawo do wycofania zgody w dowolnym momencie;
• w przypadku zautomatyzowanego podejmowania decyzji – istotne informacje na temat logiki leżącej u podstaw przetwarzania i zamierzonych konsekwencji przetwarzania dla osoby, której dane dotyczą;
• źródło danych osobowych (jeżeli nie otrzymałeś ich bezpośrednio od osoby, której dane dotyczą;
• czy osoba fizyczna jest zobowiązana do podania danych osobowych (na mocy prawa lub umowy lub w celu zawarcia umowy) oraz jakie są konsekwencje odmowy podania danych.

Więcej informacji:

• Przestrzeganie praw osób fizycznych

The EDPB endorsed WP29 documents are available here.

As regards the other existing WP29 documents, they may remain relevant and helpful insofar as the EDPB has not adopted new documents on the topic and/or they are compatible with the GDPR. This amounts to a case-by-case assessment.