Frequently asked questions

Tak, Twoi klienci muszą być informowani podczas rozmowy telefonicznej o celach nagrania, odbiorcach nagrań, ich prawie do sprzeciwu i prawie dostępu do nagrań.

Więcej informacji:

• Zgodne z prawem przetwarzanie danych osobowych 

Osoby fizyczne mają prawo zażądać usunięcia dotyczących ich danych osobowych, a w takim przypadku administrator ma obowiązek usunąć dane osobowe. Odpowiedzi należy udzielić bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania żądania. Termin ten może zostać przedłużony o kolejne dwa miesiące, jeżeli żądanie jest zbyt złożone i na zrealizowanie go potrzeba więcej czasu, pod warunkiem, że dana osoba fizyczna zostanie o tym poinformowana w ciągu jednego miesiąca od otrzymania żądania.

Należy zauważyć, że prawo do usunięcia danych nie ma charakteru bezwzględnego. Nie ma ono zastosowania w przypadku, gdy dane są niezbędne:

• do skorzystania z prawa do wolności wypowiedzi i informacji (np. w celach dziennikarskich);
• do przestrzegania obowiązku prawnego, który wymaga przetwarzania danych osobowych (np. przetwarzania danych dotyczących czasu pracy pracowników);
• ze względu na interes publiczny dotyczący zdrowia publicznego
• do celów archiwalnych w interesie publicznym lub do celów badań naukowych bądź historycznych lub do celów statystycznych; oraz
• do ustalenia, dochodzenia lub obrony roszczeń.

Jeżeli dane osobowe, które mają zostać usunięte zostały wcześniej przekazane innym organizacjom, musisz poinformować tych odbiorców, że dana osoba zwróciła się o ich usunięcie, chyba że okaże się to niemożliwe lub wymagałoby to niewspółmiernie dużego wysiłku

Więcej informacji:

• Przestrzeganie praw osób fizycznych

W przypadku bezpośredniego zbierania danych osobowych od osób fizycznych, których sprawa dotyczy, organizacje muszą przekazywać informacje na temat operacji przetwarzania w zwięzły i przejrzysty sposób, przy użyciu zrozumiałego, łatwo dostępnego, jasnego i prostego języka. Można to zrobić na piśmie (np. na odwrotnej stronie oferty przetargowej) lub drogą elektroniczną (np. na stronie internetowej). Na wniosek osoby, której sprawa dotyczy możesz również przekazać te informacje ustnie, ale musisz być w stanie udowodnić później, że takie informacje zostały udostępnione.

Nawet jeśli dane zostały zebrane pośrednio, tj. jeśli nie zbierasz bezpośrednio danych osobowych od osoby fizycznej, ale pozyskujesz je na przykład za pośrednictwem strony trzeciej, musisz przekazać osobom fizycznym te same, szczegółowe informacje.

Zgodnie z RODO, zawarcie ważnej umowy między administratorem danych a podmiotem przetwarzającym dane jest obowiązkowe. Naruszenie tego obowiązku może podlegać administracyjnej karze pieniężnej w wysokości do 10 mln EUR lub do 2 % całkowitego rocznego obrotu przedsiębiorstwa, w zależności od tego, która z tych kwot jest wyższa.

Aby ułatwić proces zawierania umowy między administratorem a podmiotem przetwarzającym, duńskie i słoweńskie organy ochrony danych oraz Komisja Europejska opracowały wzory umów.

Więcej informacji:

• Administrator danych lub podmiot przetwarzający dane

Odpowiedzi należy udzielić bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania żądania. Termin ten może zostać przedłużony o kolejne dwa miesiące, jeżeli żądanie jest zbyt złożone i udzielenie odpowiedzi na nie wymaga więcej czasu, pod warunkiem, że dana osoba fizyczna zostanie o tym poinformowana w ciągu jednego miesiąca od otrzymania żądania.

Musisz to zrobić bezpłatnie.

Więcej informacji:

• Przestrzeganie praw osób fizycznych

Nie, przetwarzanie danych wrażliwych jest ogólnie zabronione, z wyjątkiem bardzo szczególnych okoliczności:

• Osoba fizyczna udzieliła wyraźnej zgody na przetwarzanie jej danych wrażliwych.
• Przetwarzanie danych wrażliwych jest konieczne, aby administrator danych mógł wypełniać swoje obowiązki, w szczególności w kontekście prawa pracy, zabezpieczenia społecznego i ochrony socjalnej.  Administrator danych może być na przykład zmuszony do przetwarzania danych wrażliwych danej osoby, aby móc ustalić, czy jest ona uprawniona do niektórych świadczeń dotyczących zabezpieczenia społecznego lub stypendiów pracowniczych.
• Przetwarzanie danych wrażliwych jest niezbędne do ochrony żywotnych interesów osoby fizycznej, jeżeli jest ona fizycznie lub prawnie niezdolna do wyrażenia zgody. Jeśli dana osoba jest na przykład nieprzytomna w wyniku wypadku i wymaga natychmiastowej opieki medycznej, jej dane dotyczące zdrowia mogą wymagać przetwarzania w celu zapewnienia odpowiedniej opieki medycznej.
• Przetwarzanie danych wrażliwych odbywa się w kontekście uprawnionej działalności fundacji, stowarzyszenia lub innego podmiotu niezarobkowego o celach politycznych, światopoglądowych, religijnych lub związkowych i wyłącznie w celu przetwarzania danych osobowych jego członków, byłych członków lub osób utrzymujących z nim stałe kontakty
• Dane wrażliwe zostały w sposób oczywisty upublicznione przez osoby fizyczne.
• Przetwarzanie danych wrażliwych jest niezbędne w kontekście postępowania prawnego.
• Przetwarzanie danych wrażliwych jest niezbędne ze względów związanych z ważnym interesem publicznym.
• Przetwarzanie danych wrażliwych jest niezbędne w kontekście profilaktyki zdrowotnej lub medycyny pracy. Ocena danych wrażliwych danej osoby, takich jak jej dane medyczne, może być na przykład niezbędna do określenia jej zdolności do pracy.
• Przetwarzanie danych wrażliwych jest niezbędne w sprawach zdrowia publicznego na podstawie prawa UE lub prawa krajowego. Przetwarzanie danych wrażliwych osób fizycznych może być na przykład konieczne do zapewnienia wysokiej jakości opieki zdrowotnej i wysokiej jakości produktów medycznych lub w celu zwalczania poważnych zagrożeń dla zdrowia, takich jak wirusy.
• Przetwarzanie danych wrażliwych jest niezbędne do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych. Przetwarzanie danych wrażliwych może być na przykład konieczne do dostarczenia prawidłowych statystyk dotyczących sytuacji danego kraju w danej dziedzinie.

Więcej informacji:

• Zgodne z prawem przetwarzanie danych osobowych

Osoby fizyczne mogą zapytać Cię, czy przetwarzasz ich dane. Jeśli tak jest, to mają one prawo dostępu do tych danych. W takim przypadku (jeśli przetwarzasz ich dane) powinieneś na przykład bezpłatnie dostarczyć kopię ich danych osobowych wraz z wszelkimi niezbędnymi dodatkowymi informacjami. Jeżeli żądanie jest składane drogą elektroniczną, organizacja powinna przekazać wymagane informacje w powszechnie stosowanym formacie elektronicznym, chyba że dana osoba fizyczna zażąda inaczej.

Więcej informacji:

• Przestrzeganie praw osób fizycznych

Przetwarzanie danych osobowych oznacza każdy rodzaj czynności (operacji przetwarzania) wykonywanych na danych osobowych osób fizycznych lub z nimi związanych. Obejmuje to zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wyszukiwanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub udostępnianie w inny sposób, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie danych osobowych.

RODO ma zastosowanie do plików cookie, jeżeli są one wykorzystywane do przetwarzania danych osobowych. Istnieją jednak również bardziej szczegółowe przepisy dotyczące plików cookie, w tym dyrektywa o prywatności i łączności elektronicznej.

Przechowywanie pliku cookie lub uzyskanie dostępu do pliku cookie już przechowywanego w urządzeniu końcowym użytkownika jest dozwolone tylko pod warunkiem, że dany abonent lub użytkownik został odpowiednio poinformowany (w szczególności o celach przetwarzania) i wyraził swoją zgodę.

Jedynym wyjątkiem są technicznie niezbędne pliki cookie. Organizacje nie muszą prosić o zgodę, gdy używają na swoich stronach internetowych technicznie niezbędnych plików cookie.

Więcej informacji:

• Zgodne z prawem przetwarzanie danych osobowych

Pseudonimizacja polega na przetworzeniu danych osobowych w taki sposób, aby nie można ich było już przypisać konkretnej osobie bez użycia dodatkowych informacji, pod warunkiem, że takie dodatkowe informacje są przechowywane osobno i są objęte środkami technicznymi i organizacyjnymi uniemożliwiającymi ich przypisanie osobie fizycznej. W praktyce może to oznaczać zastąpienie danych osobowych (imię, nazwisko, numer osobisty, numer telefonu itp.) w zbiorze danych danymi pośrednio identyfikującymi (pseudonimy, numer porządkowy itp.). Dane spseudonimizowane są nadal danymi osobowymi i podlegają RODO.

Dane zanonimizowane to dane, które zostały zanonimizowane w taki sposób, że osoby fizycznej nie można lub już nie można zidentyfikować za pomocą jakichkolwiek środków, co do których istnieje uzasadnione prawdopodobieństwo, że zostaną one wykorzystane. Po prawidłowym przeprowadzeniu anonimizacji, RODO nie ma już zastosowania do zanonimizowanych danych.

Więcej informacji:

• Zabezpiecz dane osobowe

W RODO rozróżnia się dwie główne role: administratorów danych i podmiotów przetwarzających dane. Rozróżnienie to ma kluczowe znaczenie, ponieważ administrator danych ponosi większą odpowiedzialność i musi wypełniać więcej obowiązków niż podmiot przetwarzający.

Administratorami danych i podmiotami przetwarzającymi mogą być osoby fizyczne lub prawne, na przykład: MŚP, organ publiczny, przedsiębiorstwo, organizacja, organ państwowy, stowarzyszenie itp.

Administrator danych ustala cele i sposoby operacji przetwarzania. Innymi słowy, administrator decyduje o sposobie i powodach operacji przetwarzania. Podmioty przetwarzające przetwarzają natomiast dane osobowe w imieniu administratora. Przetwarzanie dokonywane przez podmioty przetwarzające musi być regulowane umową z administratorem danych lub innym aktem prawnym.

Przykłady administratorów danych:

• firmy, które przetwarzają dane osobowe swoich klientów w celu dokonania sprzedaży;
• instytucje finansowe przetwarzające dane osobowe swoich klientów;
• stowarzyszenia przetwarzające dane swoich członków;
• szkoły lub uniwersytety przetwarzające dane osobowe studentów i nauczycieli;
• szpitale, które przetwarzają dane osobowe swoich pacjentów;
• agencje rządowe, które przetwarzają dane osobowe obywateli.
   

Przykłady podmiotów przetwarzających dane:

• MŚP korzysta z usług biura rachunkowego w celu prowadzenia swoich ksiąg i rejestrów. MŚP jest administratorem danych, a biuro rachunkowe podmiotem przetwarzającym dane;
• firma płacowa przetwarza dane osobowe dla MŚP. Firma płacowa będzie działać jako podmiot przetwarzający, jeśli przetwarza dane osobowe wyłącznie w imieniu MŚP. MŚP ustala cele i sposoby przetwarzania danych, a zatem jest administratorem danych.
• MŚP zleca firmie marketingowej zbieranie adresów e-mail za pośrednictwem stron internetowych osób trzecich. Przedsiębiorstwo marketingowe robi to zgodnie z wyraźnymi poleceniami MŚP i wyłącznie do celów MŚP. Firma marketingowa działa jako podmiot przetwarzający dla tego zbioru danych.

Więcej informacji:

• Administrator danych lub podmiot przetwarzający dane

Niektóre rodzaje danych osobowych należą do szczególnych kategorii danych osobowych, co oznacza, że zasługują one na większą ochronę. Są to tzw. dane wrażliwe. Dane wrażliwe obejmują dane, które ujawniają informacje na temat:

• zdrowia danej osoby fizycznej;
• orientacji seksualnej danej osoby fizycznej;
• pochodzenia rasowego lub etnicznego danej osoby fizycznej;
• poglądów politycznych, przekonań religijnych lub światopoglądowych danej osoby fizycznej; członkostwa danej osoby fizycznej w związkach zawodowych;
• danych biometrycznych i genetycznych danej osoby fizycznej.

Przetwarzanie danych wrażliwych osoby fizycznej jest zasadniczo zabronione, z wyjątkiem szczególnych okoliczności uzasadniających ich przetwarzanie.

Więcej informacji:

• Podstawowe informacje dotyczące ochrony danych

Inspektorem ochrony danych może być obecny pracownik posiadający wystarczającą wiedzę na temat RODO (jeżeli obowiązki służbowe tego pracownika są zgodne z obowiązkami inspektora ochrony danych i nie prowadzi to do konfliktu interesów) lub osoba zewnętrzna. Inspektor ochrony danych powinien być w stanie wykonywać zadania niezależnie i podlegać bezpośrednio najwyższemu kierownictwu.

Więcej informacji:

• Inspektor ochrony danych

Dane osobowe oznaczają wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Możliwa do zidentyfikowania osoba to każdy, kogo można zidentyfikować, zarówno bezpośrednio, jak i pośrednio. Różne informacje, które łącznie mogą prowadzić do identyfikacji konkretnej osoby, także stanowią dane osobowe.

Przykłady danych osobowych obejmują:

• imię i nazwisko;
• adres domowy;
• adres e-mail;
• numer dowodu osobistego;
• dane dotyczące lokalizacji;
• adres IP (Internet Protocol);
• identyfikator pliku cookie;
• rachunki bankowe;
• deklaracje podatkowe;
• dane biometryczne (takie jak odcisk palca);
• numer ubezpieczenia społecznego;
• numer paszportu;
• wyniki badań;
• oceny w szkole;
• historia przeglądania;
• fotografia osoby fizycznej;
• numer rejestracyjny pojazdu itp.

 Więcej informacji:

• Podstawowe informacje dotyczące ochrony danych

1. Upewnij się, że dane, które otrzymałeś, zostały zebrane zgodnie z prawem, a osoby fizyczne, których sprawa dotyczy, zostały poinformowane o przetwarzaniu ich danych osobowych.
2. Jeśli osoba trzecia przetwarza dane osobowe w Twoim imieniu, upewnij się, że posiadasz umowę między administratorem a podmiotem przetwarzającym, która szczegółowo opisuje operacje przetwarzania i sposoby przetwarzania danych osobowych.

I oczywiście wywiązuj się ze wszystkich obowiązków ciążących na administratorach danych.

Więcej informacji:

• Administrator danych lub podmiot przetwarzający dane

Publikowanie nazwisk zwycięzców konkursu na swojej stronie internetowej można uznać za prawnie uzasadniony interes, jeżeli można to udowodnić, przeprowadzając test równowagi w celu ustalenia, czy Twoje prawnie uzasadnione interesy przeważają nad prawem osób fizycznych.

Dobrą praktyką byłoby ustanowienie wewnętrznej procedury, w której wyjaśnione zostałyby zasady publikowania danych osobowych zwycięzców.

Ponadto przetwarzanie danych osobowych w tych celach powinno być częścią polityki prywatności konkursu, tak aby uczestnicy byli z wyprzedzeniem informowani o tym, w jaki sposób ich dane będą przetwarzane.
 

Więcej informacji:

• Zgodne z prawem przetwarzanie danych osobowych 

Niezbędne środki bezpieczeństwa mogą się różnić w zależności od charakteru przetwarzanych danych osobowych i związanego z nimi ryzyka dla osób fizycznych. Istnieją jednak pewne minimalne środki, które należy wprowadzić:

• bezpieczny dostęp do pomieszczeń;
• korzystanie z regularnie aktualizowanego oprogramowania antywirusowego;
• staranne dobieranie haseł;
• wymuszanie od użytkowników uwierzytelniania przed korzystaniem z urządzeń komputerowych;
• stosowanie polityki tworzenia kopii zapasowych i odzyskiwania danych po wystąpieniu incydentów.

Ponadto zawsze warto stosować podstawowe środki bezpieczeństwa, takie jak blokowanie ekranu podczas nieobecności czy zamykanie biura na koniec dnia.

Więcej informacji:

• Zabezpiecz dane osobowe

Tak, możesz, ale RODO nakłada pewne obowiązki na firmy, które udostępniają dane osobowe. Twoja organizacja musi poinformować osoby fizyczne, że udostępnisz ich dane stronie trzeciej. Musisz również poinformować je o swoich celach, bezpieczeństwie, dostępie i środkach przechowywania, które będą miały zastosowanie.

Wyznaczenie inspektora ochrony danych jest obowiązkowe w następujących trzech przypadkach:

• organizacja jest organem publicznym;
• główna działalność organizacji polega na regularnym i systematycznym monitorowaniu osób fizycznych na dużą skalę, na przykład na podstawie geolokalizacji za pośrednictwem aplikacji mobilnej, lub też polega na nadzorowaniu centrów handlowych i przestrzeni publicznej za pośrednictwem telewizji przemysłowej;
• główna działalność organizacji polega na przetwarzaniu na dużą skalę danych wrażliwych lub danych osobowych dotyczących wyroków skazujących i naruszeń prawa.

Zawsze możesz wyznaczyć inspektora ochrony danych na zasadzie dobrowolności, nawet jeśli nie jest to wymagane prawem. Należy pamiętać, że w takim przypadku należy przestrzegać wszystkich przepisów RODO dotyczących zadań i stanowiska inspektora ochrony danych.

Więcej informacji:

• Inspektor ochrony danych

Nie,  upublicznianie  rejestru przetwarzania nie jest konieczne. Musisz być jednak w stanie udostępnić rejestr organowi ochrony danych, na jego żądanie.

Więcej informacji:

• Zachowaj zgodność z przepisami