Prawnik - RODO – SpecPrawnik.pl

Adrian Gajzler Adwokat

Prawnik od sporów prawnych w biznesie i w życiu prywatnym.

58

431

Kancelaria Adwokacka, Adrian Gajzler

Chłodna 22A lok. 9/10, 00-891 Warszawa

EMAIL TELEFON WWW

ZAPYTAJ O WYCENĘ Zamów wizytę

Przykłady przeprowadzonych spraw
Odpowiedzi na pytania
Publikacje

Wsparcie prawne na rzecz klienta biznesowego w procesie migracji kilkumilionowej bazy danych wykorzystywanej do działań e-marketingowych i telemarketingowych, zapewniając zgodność z RODO i innymi obowiązkami prawnymi.

Pełne wdrożenie RODO w firmie pożyczkowej przetwarzającej dane kilkudziesięciu tysięcy klientów. Wdrożenie procedur ochrony danych osobowych, przygotowanie dokumentacji (m.in. polityki, rejestry, klauzule), szkolenia dla pracowników oraz objęcie funkcji Inspektora Ochrony Danych. Sprawa obejmowała także przepływ danych osobowych do innej spółki ze wspólnej grupy kapitałowej.

Audyt zgodności z RODO w domu maklerskim oraz pełnienie funkcji IOD. W tle grupa kapitałowa i przepływ danych w ramach wspólnej grupy podmiotów.

Obsługa incydentu ujawnienia danych uczniów, rodziców, nauczycieli w placówce oświatowej. Zgłoszenie naruszenia do UODO, opracowanie komunikatów dla rodziców i wdrożenie nowych procedur organizacyjnych zabezpieczających przed podobnymi zdarzeniami.

Przygotowanie umów powierzenia przetwarzania danych dla agencji marketingowej. Sporządzenie kilkunastu umów powierzenia z podmiotami trzecimi (m.in. dostawcy CRM, hostingu, e-mail marketingu), wraz z instrukcjami przetwarzania i analizą ryzyka.

Opracowanie polityki prywatności i cookies dla sklepu internetowego działającego w UE. Stworzenie dokumentacji RODO, konfiguracja banera cookies oraz regulacja transferów danych do państw trzecich (Meta, Google).

Audyt RODO w kancelarii prawnej wykorzystującej narzędzia chmurowe. Ocena zgodności korzystania z Google Workspace i OneDrive, identyfikacja ryzyk oraz wdrożenie polityk zabezpieczających przetwarzanie danych klientów.

Obsługa podmiotu MŚP w sprawie żądania usunięcia danych przez byłego pracownika. Weryfikacja zasadności żądania, opracowanie odpowiedzi zgodnej z przepisami oraz analiza zakresu dalszego przetwarzania danych kadrowych. Klient posiadał interes prawny w dalszym przetwarzaniu danych osobowych i nie chciał usuwać danych. Problemem było wskazanie w klauzuli RODO (przekazywanej na etapie gromadzenia danych) błędnej informacji o okresie przechowywania danych. Należało znaleźć odpowiednią podstawę prawną przetwarzania ze wskazaniem właściwego celu oraz przygotować właściwy komunikat dla klienta.

Pełnienie funkcji IOD w spółce z branży odzieżowej prowadzącej sprzedaż e-commerce i sieć franczyzową. Nadzór nad zgodnością z RODO w organizacji prowadzącej sprzedaż internetową i stacjonarną (w modelu agencyjnym i franczyzowym), obejmujący audyt wewnętrzny, aktualizację dokumentacji, tworzenie procedur oraz doradztwo w zakresie powierzania danych partnerom handlowym. W tle grupa kapitałowa (RODO = wspólna grupa podmiotów).

Przygotowanie zasad przetwarzania danych osobowych dłużników i pełnomocnictw dla kancelarii obsługującej windykację sądową i egzekucję komorniczą. W tle duży wolumen spraw. Obsługa głównie sektora finansów.

Marta Kosecka Adwokat

Pomaganie to moja praca. Pozwól sobie pomóc!

65

275

Kancelaria Adwokacka Adwokat Marta Kosecka

Starowiejska 58/11, 81-356 Gdynia

Gdańsk

EMAIL TELEFON WWW

ZAPYTAJ O WYCENĘ Zamów wizytę

Usługi wycenione
Przykłady przeprowadzonych spraw

Telefoniczna porada prawna

15 minut rozmowy telefonicznej z prawnikiem, w celu uzyskania porady prawnej abyś mógł ze spokojem podjąć decyzję, jak postąpić w Twojej sprawie dalej. Prawnik odpowie na pytania i udzieli konkretnych informacji.

300,00 zł wybieram

Kancelaria Radców Prawnych M. Rusiecki, M. Szymkiewicz, R. Kurek spółka partnerska Radca prawny

93

254

Kancelaria Radców Prawnych M. Rusiecki, M. Szymkiewicz, R. Kurek sp.p.

Świętojańska 66/4, 81-393 Gdynia

Odpowiada w ciągu 8 godzin

EMAIL TELEFON WWW

ZAPYTAJ O WYCENĘ Zamów wizytę

Usługi wycenione
Odpowiedzi na pytania

Telefoniczna porada prawna

15 minut rozmowy telefonicznej z prawnikiem, w celu uzyskania porady prawnej abyś mógł ze spokojem podjąć decyzję, jak postąpić w Twojej sprawie dalej. Prawnik odpowie na pytania i udzieli konkretnych informacji.

49,00 zł wybieram

Monika Orłowska Radca prawny

Spokojne Spadkobranie. Pomoc prawna w przygotowaniu testamentu, postępowaniu o stwierdzenie nabycia spadku i dział spadku i podziale majątku wspólnego małżonków.

27

143

Kancelaria Radcowska i Mediacyjna Radcy Prawnego Moniki Orłowskiej

Batalionów Chłopskich 6, 27-600 Sandomierz

EMAIL TELEFON WWW

ZAPYTAJ O WYCENĘ Zamów wizytę

Zespół Specprawnik

17

128

Poznań

EMAIL TELEFON

ZAPYTAJ O WYCENĘ

Grzegorz Kantecki Radca prawny

145

1390

Grzegorz Kantecki Kancelaria Radcy Prawnego

Aleja Przyjaciół 1 lok. 12, 00-565 Warszawa

EMAIL TELEFON WWW

ZAPYTAJ O WYCENĘ Zamów wizytę

Usługi wycenione
Przykłady przeprowadzonych spraw
Odpowiedzi na pytania

Telefoniczna porada prawna

15 minut rozmowy telefonicznej z prawnikiem, w celu uzyskania porady prawnej abyś mógł ze spokojem podjąć decyzję, jak postąpić w Twojej sprawie dalej. Prawnik odpowie na pytania i udzieli konkretnych informacji.

149,00 zł wybieram

Marcin Radomski Radca prawny

25

114

Kancelaria Radców Prawnych Euro-Lex Radomski i Wspólnicy sp.j.

Bydgoska 90/3, 87-100 Toruń

EMAIL TELEFON WWW

ZAPYTAJ O WYCENĘ Zamów wizytę

Odpowiedzi na pytania

Czy na przesłanie oferty marketingowej na adres firmowy należy mieć zgodę według obecnych przepisów RODO?

Odpowiedź mojej wspólniczki Mec. Justyny Lisińskiej: Jeśli chodzi o przesyłanie oferty marketingowej zwykłą pocztą listownie, kurierem lub za osobistym doręczeniem, to zgoda nie jest wymagana, pod jednym warunkiem. Marketing bezpośredni jest dozwolony jako tzw. „prawnie uzasadniony interes administratora danych, za wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych”. Niestety, te „interesy, prawa i wolności osób, których dane są przetwarzane” nie zostały zdefiniowane. Zwykle w takich sytuacjach powtarzam naszym klientom: nie rób drugiemu, co Tobie niemiłe. Dopuszczalne będzie wysłanie pocztą raz na jakiś czas oferty papierowej, katalogów itp. Zalewanie potencjalnego klienta materiałami marketingowymi może być natomiast uznane za naruszenie jego praw i wolności. W przypadku wysyłania oferty marketingowej drogą e-mailową zgoda taka jest potrzebna, jeśli oferta jest kierowana do osoby fizycznej (czyli np. Jana Kowalskiego – j.kowalski@domena.pl). W sytuacjach gdy e-mail jest kierowany na adres spółki lub ogólny adres firmy uważa się, że zgoda nie jest potrzebna (np. biuro@spółka.przykladowa.pl). Konieczność pozyskiwania zgody na oferty e-mailowe wynika z ustawy o świadczeniu usług drogą elektroniczną, którą stosuje się niezależnie od przepisów RODO. W przypadku telemarketingu zgoda jest potrzeba zawsze. Reguluje tą kwestię prawo telekomunikacyjne.

Dobry wieczór, mój tata otrzymał list polecony od właściciela sieci komórkowej, że jego dane osobowe zostały skradzione przez pracownika. Co możemy z tym zrobić?

Odpowiedź radcy prawnego Justyny Lisińskiej: Witam. osoba, której dane osobowe były objęte kradzieżą, ma prawo żądać od administratora danych informacji i wyjaśnień z tym związanych, np. do kogo trafiły dane, czy wyciek był zgłoszony do Prezesa Urzędu Ochrony Danych Osobowych (PUODO), jakie dokładnie dane wyciekły. Jeśli te informacje nie zostały zawarte w piśmie właściciela sieci komórkowej, to należałoby o takie informacje wystąpić, choćby e-mailowo. Wiedząc, jakie dane zostały wykradzione, będą Państwo wiedzieli, na czym stoją i jakie dalsze kroki można podjąć. Osoba, której dane zostały skradzione ma prawo złożyć skargę do Urzędu Ochrony Danych Osobowych. Należy jednak pamiętać, że UODO nie ma kompetencji do wydania decyzji o rekompensacie finansowej w związku z wyciekiem. Może jednak nakazać administratorowi danych (czyli firmie telekomunikacyjnej) wykonanie określonych czynności związanych z przetwarzaniem danych lub ich zakazać, jak również nałożyć karę pieniężną. Przepisy RODO przewidują możliwość zażądania odszkodowania od firmy telekomunikacyjnej, której pracownik ukradł dane. Pracodawca odpowiada bowiem za działania swojego pracownika. Należałoby w tym celu skierować wezwać firmę telekomunikacyjną do zapłaty, a jeśli nie zapłacą, złożyć pozew do sądu cywilnego. Warto podkreślić, że wysokość odszkodowania, którą miałby zasądzić sąd, może zależeć od tego jakie dane zostały wykradzione i jakiego rodzaju szkodę poniosła osoba, której dane wykradziono. Np. jeśli wykradziono nr PESEL i numer dowodu osobistego i w oparciu o te dane złodziej w Internecie zaciągnął pożyczkę na dane Pani/Pana ojca, to jest większa szansa na uzyskanie znaczącego odszkodowania. Co istotne, odszkodowanie można uzyskać nie tylko za szkody finansowe, ale także krzywdę emocjonalną związaną z ujawnieniem lub utratą kontroli nad własnymi danymi. W przypadku kradzieży danych warto skorzystać z darmowego raportu BIK, wystarczy zadzwonić na infolinię i przedstawić sytuację. Daje to możliwość uzyskania dokumentu zawierającego informację o wszystkich zaciągniętych zobowiązaniach w bankach. Oprócz sprawdzenia historii kredytowej warto skorzystać z Centralnej Informacji. Usługa umożliwia zweryfikowanie, czy złodziej nie posłużył się danymi ofiary przestępstwa i nie założył rachunku bankowego na jej dane.

Witam, W firmie, w które pracuję chcemy wydać kalendarz z okazji jubileuszu firmy, będzie to kalendarz o charakterze historycznym. Dysponujemy zdjęciami archiwalnymi z lat 30-tych, 40-tych, itp. aż po zdjęcia robione obecnie. O ile zdobycie zgody na wykorzystanie zdjęć robionych niedawno nie stanowi większego problemu, o tyle zdjęcia z lat 30-tych czy 40-tych, szczególnie zbiorowe są już problemem, ponieważ nie znamy nazwisk, nie wiemy, które z tych osób żyją i nie znamy adresów ani ich ani rodzin, aby się skontaktować. Czy możemy wykorzystać takie zdjęcia w kalendarzu biorąc pod uwagę RODO? Będę wdzięczna za odpowiedź.

Przedstawiam odpowiedź mojej wspólniczki Pani Mecenas Justyny Lisińskiej. Zdjęcie (wizerunek) będzie stanowić dane osobowe, jeśli umożliwia określenie tożsamości osoby bez nadmiernych kosztów, czasu lub działań. W tym przypadku uważam, że należałoby najpierw podjąć próby ustalenia, czy da się ustalić tożsamość osób występujących na zdjęciach. Jeśli nie jest to możliwe bez nadmiernych kosztów, czasu lub działań, nie będą to dane osobowe. Zgoda na podstawie rozporządzenia RODO nie będzie wymagana. Jeśli wizerunek na zdjęciu będzie jednak stanowił dane osobowe (wiem, kim jest osoba widniejąca na zdjęciu), to można dane przetwarzać jedynie mając do tego podstawę prawną. Taka podstawą może być zgoda osoby, której wizerunek przetwarzamy. Ewentualnie można rozważyć, czy administrator może przetwarzać wizerunek bez zgody na podstawie prawnie uzasadnionego interesu administratora. Za taki prawnie uzasadniony interes można uznać marketing i public relations. Powoływanie się na prawnie uzasadniony interes administrator jest dopuszczalne pod warunkiem, że nie dochodzi do sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Takie podejście jest jednak bardziej ryzykowne, bo trzeba wykazać istnienie prawnie uzasadnionego interesu i uzasadnić swoje stanowisko. Zdecydowanie bezpieczniej byłoby uzyskać zgodę. Niezależnie od przepisów o ochronie danych osobowych, należy pamiętać także o przepisach ustawy o prawie autorskich i prawach pokrewnych. Zdjęcie podlega regulacjom prawa autorskiego, jeżeli ma cechę osobistej twórczości. Jej przejawami: są inwencja, samodzielność, oryginalność opracowania. Fotografia taka jest utworem, a osobie, która ją wykonała, przysługują prawa autorskie – zarówno osobiste, jak i majątkowe. Jest ona chroniona bez konieczności podejmowania jakichkolwiek działań przez autora. Przy czym prawa autorskie wygasają co do zasady z upływem lat siedemdziesięciu: 1) od śmierci twórcy, a do utworów współautorskich - od śmierci współtwórcy, który przeżył pozostałych; 2) w odniesieniu do utworu, którego twórca nie jest znany - od daty pierwszego rozpowszechnienia, chyba że pseudonim nie pozostawia wątpliwości co do tożsamości autora lub jeżeli autor ujawnił swoją tożsamość. Chronione są też prawa osoby znajdującej się na zdjęciu. Zgodnie z art. 81: 1. Rozpowszechnianie wizerunku wymaga zezwolenia osoby na nim przedstawionej. W braku wyraźnego zastrzeżenia zezwolenie nie jest wymagane, jeżeli osoba ta otrzymała umówioną zapłatę za pozowanie. 2. Zezwolenia nie wymaga rozpowszechnianie wizerunku: 1) osoby powszechnie znanej, jeżeli wizerunek wykonano w związku z pełnieniem przez nią funkcji publicznych, w szczególności politycznych, społecznych, zawodowych; 2) osoby stanowiącej jedynie szczegół całości takiej jak zgromadzenie, krajobraz, publiczna impreza. Zwracam uwagę na ust. 2 cytowanego przepisu. Jeśli osoba uwieczniona na zdjęciu jest jedynie szczegółem całości, nie jest potrzebna jej zgoda. W pytaniu wskazano natomiast, że chodzi głównie o zdjęcia zbiorowe, które można by najprawdopodobniej zakwalifikować jako przypadek wskazany w ust. 2. Podsumowując, należy ustalić, czy autorowi zdjęcia nadal przysługują prawa autorskie. Po drugie, należy ustalić, czy zdjęcia zawierają dane osobowe (można łatwo ustalić, kogo przedstawiają). Po trzecie, należy przeanalizować, czy osoby uwiecznione na zdjęciu stanowią tło. Jeśli na wszystkie powyższe pytania, odpowiedź brzmi nie, to można wykorzystać zdjęcia do przygotowania kalendarza jubileuszowego.

Witam, Na stanowisku pracy w zakładzie przemysłowym zamontowany jest pulpit wyświetlający imię i nazwisko operatora oraz obecną wydajność, ilość braków, czas pracy. Czy są to dane wrażliwe? Czy jest to niezgodne z Rodo? Czy można porównywać pracowników wg. wydajności w obrębie zakładu?

Odpowiedź radcy prawnego Justyny Lisińskiej: Witam, w pytaniu jest za mało danych, żeby jednoznacznie i w pełni na nie odpowiedzieć. Pracodawca bez wątpliwości może przetwarzać dane swoich pracowników. Także inni pracownicy mogą oczywiście wiedzieć, jak nazywają się inni pracownicy w zakładzie. Jeśli więc chodzi o imię i nazwisko, to nie widzę, żadnych problemów, aby takie dane wyświetlały się na pulpicie. Jest to niezbędne, aby ustalić, kto pracuje na danej maszynie. Wydajność, braki i czas pracy nie są danymi szczególnych kategorii danych, wymienionymi w art. 9 RODO, więc są tzw. danymi zwykłymi. Nie oznacza to jednak, że wszystkie dane zwykłe mają tą samą wagę. Inne skutki spowoduje ujawnienie osobie nieuprawnionej imienia i nazwiska operatora maszyny, a inne ujawnienie jego zarobków. Żeby określić, czy korzystanie z pulpitu wyświetlającego dane pracowników jest zgodne z prawem, należy przeprowadzić analizę ryzyka procesu przetwarzania tych danych. Analiza powinna dać odpowiedź, czy trzeba coś zmienić, czy taki sposób przetwarzania danych jest prawidłowy. Należałoby się m.in. zastanowić, czy nie jest to forma monitoringu elektronicznego pracowników, a także czy monitorowanie czasu pracy na maszynie nie wykracza poza dopuszczalne przetwarzanie przez pracodawcę danych o dacie, godzinie rozpoczęcia oraz zakończenia świadczenia pracy w dobowej normie czasu pracy. Analiza to dość skomplikowana operacja, więc sugeruję zlecić ją profesjonalnemu podmiotowi. Na marginesie podkreślam, że analiza ryzyka powinna być przeprowadzona dla wszystkich procesów przetwarzania danych w firmie. Zgodnie z art. 22[3] § 4 kodeksu pracy dopuszczalne jest stosowanie poza monitoringiem poczty elektronicznej również innych form monitoringu (które nie są wideo monitoringiem) celem „zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania udostępnionych pracownikowi narzędzi pracy”. Jeśli analiza ryzyka wykaże, że faktycznie stosowany panel maszyny jest „inną formą monitoringu”, to pracodawca jest obowiązany zamieścić w układzie zbiorowym pracy, regulaminie pracy lub obwieszczeniu informację o celach zakresie oraz sposobie zastosowania monitoringu jak również zastosować się do obowiązków informacyjnych poprzedzających wprowadzenie tej formy kontroli pracowników (przepisy art. 222 § 6-10 k.p. stosuje się odpowiednio). Odnośnie kontrolowania wydajności pracowników zwracam uwagę na opinię Grupy Roboczej Art. 29, zgodnie z którą: „O ile przetwarzanie danych jest konieczne i nie narusza prawa pracowników do poszanowania ich życia prywatnego, można uznać, że leży ono w uzasadnionym interesie pracodawcy zgodnie z art. 6 ust. 1 lit. f), jeżeli pracownicy zostali odpowiednio poinformowani o operacji przetwarzania. Stałego monitorowania częstotliwości i konkretnych momentów wchodzenia i wychodzenia pracowników nie można jednak uznać za uzasadnione, jeżeli zgromadzone w ten sposób dane wykorzystuje się również w innym celu, np. w ramach oceny wydajności pracowników.” Podsumowując, potrzebna jest kompleksowa analiza ryzyka i ocena przetwarzania danych w opisanym przypadku.

Dzień Dobry. Wirus zaszyfrował pliki na naszym serwerze. I musieliśmy odtwarzać dane z kopii i dokumentów papierowych. W rożnych rekordach jest około 2,5 tys danych wrażliwych wg RODO. Nasz informatyk opisał, że żadne dane nie wyszły na zewnątrz. Czy musimy listownie powiadamiać 2,5 ty osób fizycznych jak zalecił nasz inspektor ODO? Zaszyfrowanie danych potraktował jako utratę kontroli nad nimi.

Odpowiedź r. pr. Justyny Lisińskiej: Witam. Bardzo trudno oceniać konieczność zawiadomienia osób bez pełnej wiedzy na temat tego, jakie to były dane i okoliczności całego zajścia. Zgadzam się z inspektorem ochrony danych, że doszło do utraty kontroli nad nimi, czyli naruszenia dostępności. Z pewnością taką sytuację należy zakwalifikować jako naruszenie ochrony danych osobowych. Zawiadomienie osób, których dane dotyczą, o naruszeniu jest niezbędne, gdy naruszenie może powodować WYSOKIE RYZYKO NARUSZENIA PRAW LUB WOLNOŚCI tych osób. Żeby określić to poziom ryzyka IOD musiał je oszacować i określić na wysokie. Kluczowym czynnikiem podczas oceniania ryzyka jest m.in. rodzaj i wrażliwość danych osobowych, które zostały ujawnione w wyniku naruszenia. W pytaniu wskazano, że chodzi o dane „wrażliwe”. IOD powinien uzasadnić swoją decyzję wskazując, jakie w jego ocenie prawa i wolności mogły ulec naruszeniu i czemu ocenił ryzyko wystąpienia takiego naruszenia, jako wysokie. UODO w „Wytycznych dotyczących zgłaszania naruszeń ochrony danych osobowych zgodnie z rozporządzeniem 2016/679” opisuje przykładową sytuację analogiczną do opisanej przez Państwa: Administrator pada ofiarą ataku za pomocą oprogramowania typu ransomware, w wyniku którego wszystkie dane zostały zaszyfrowane, a w systemie nie stwierdzono obecności żadnego innego złośliwego oprogramowania. UODO stwierdza, że „zgłaszanie naruszenia organowi nadzorczemu lub osobom fizycznym NIE BYŁOBY KONIECZNE”, „jeżeli istniałaby kopia bezpieczeństwa i MOŻLIWE BYŁOBY PRZYWRÓCENIE DANYCH W ODPOWIEDNIM CZASIE, ponieważ nie miałyby miejsca trwała utrata dostępności lub naruszenie poufności danych.” W pytaniu wskazali Państwo, że dane udało się odtworzyć. Dostępność został więc przywrócona, pytanie tylko czy w 100% i czy w odpowiednio krótki czasie, aby prawa i wolności osób nie zostały naruszone. Kluczowe byłoby więc przeanalizowanie sprawy ponownie pod kątem postawionych powyżej pytań o zakres i czas odtworzenia danych. Nie ma wymogu, aby zawiadomienie nastąpiło drogą listową. Jak wskazał Urząd Ochrony Danych Osobowych „Mając na względzie znaczenie zawiadomienia, powinno być ono sporządzone w formie, która umożliwi podmiotowi danych na wielokrotne zapoznanie się z jego treścią. Wybierając środek komunikacji, trzeba pamiętać, że zawiadomienie musi zostać dostarczone adresatowi w możliwie najkrótszym czasie.”. Może to być więc także e-mail, jeśli mają Państwo adresy e-mailowe tych osób. Powiadomienia ograniczającego się do komunikatu prasowego czy firmowego bloga UODO jednakże słusznie nie uznaje za skuteczne poinformowanie osoby fizycznej o naruszeniu.

Chcę stworzyć platformę internetową związaną z przechowywaniem danych medycznych, w której użytkownik będzie rejestrował się używając maila i nazwy (którą sam podaje). Będzie to darmowa platforma do dobrowolnego użytku w celu kontroli pewnych parametrów zdrowia. Muszę napisać Politykę Prywatności, kto wtedy jest administratorem danych? Ja jako założyciel? Jakie dane muszę wpisać?

Witam, w przypadku danych o stanie zdrowia, należących do danych szczególnej kategorii, cała platforma powinna być stworzona z uwzględnieniem RODO (i zasady privacy by design). Obawiam się, że sobie Pan z tym nie poradzi samodzielnie, skoro ma Pan wątpliwości, co do kwestii administratora. Tu naprawdę jest potrzeba pomoc specjalisty od RODO, który wszystkie kwestie ochrony danych ureguluje we współpracy z specjalistą od zabezpieczeń informatycznych. Niedochowanie wymogów może się zakończyć bolesnymi karami administracyjnymi. Zapraszam do kontaktu z nami.

Co z robić w przypadku gdy kadrowa wysłała aneks do umowy o pracę z moimi wszystkimi danymi do innej osoby? Z góry dziękuję za odpowiedź Pozdrawiam

Jeśli osoba, która otrzymała przypadkowo aneks, nie była upoważniona do przetwarzania takich danych, to mamy do czynienia z naruszeniem ochrony danych osobowych. Można zgłosić skargę na stronie Urzędu Ochrony Danych Osobowych: https://uodo.gov.pl/pl/83/155

Witam! Czy na umowie najmu ruchomości może znajdować się seria i numer dowodu osobistego? Czy będzie to zgodne z tzw Rodo? Pozdrawiam! Michał

Witam. To zależy… Zgodnie z zasadą minimalizacji danych należy przetwarzać (wpisywać) tylko te dane, które są niezbędne do osiągnięcia danego celu przetwarzania. Dane podawane w umowie najmu mają służyć identyfikacji stron umowy. Nie ulega wątpliwości, że należy podać imię i nazwisko stron. W umowach podaje się także adres stron (zamieszkania lub do korespondencji). Adres dodaje się w celu umożliwienia kontaktu (np. wysłania pism, oświadczenia, wezwania) lub w celu identyfikacyjnym. Samo imię i nazwisko są zwykle niewystarczające, żeby zidentyfikować daną osobę (jest wielu Janów Kowalskich w Polsce, a adres można zmienić), dlatego dodaje się jeszcze dodatkowe dane, które w połączeniu z imieniem i nazwiskiem umożliwią jednoznaczną identyfikację. Takimi danymi może być numer dowodu osobistego lub PESEL. Urząd Ochrony Danych Osobowych jest bardzo wrażliwy na punkcie PESEL, zamiast PESEL można więc podać w umowie numer dowodu. Nie powinno się podawać jednocześnie numeru dowodu i PESEL, bo wystarczy tylko jeden rodzaj danych, żeby zidentyfikować stronę. Dane trzeba minimalizować! Osobiście do umowy wpisałabym PESEL, bo to numer nie ulegający zmianom, który należy podać w sądzie w przypadku dochodzenia np. zapłaty czynszu najmu. Natomiast absolutnie nie powinno się kserować dowodu osobistego, wystarczy jego okazanie, celem wpisania jego numeru do umowy.

Witam. Pytanie o Rodo. Firma prywatna ma podpisaną z PGE ............ umowę na projekt przebudowy sieci energetycznej, w tym też podpisywanie umów z właścicielami działek na przebudowę/budowę, umowa jest z 2017r. Dane osobowe właścicieli zostały pobrane z Urzędu Miejskiego przed wejściem rodo, natomiast niektóre umowy z właścicielami na przebudowę/budowę zostaly podpisane przed rodo a niektóre po, czy w takim przypadku w tych umowach podpisanych później musi być już klauzula informacyjna? Bo wszystkie zostały podpisane bez klauzuli.

Przed wejściem w życie RODO, obowiązywała ustawa o ochronie danych osobowych. Ta ustawa także przewidywała konieczność spełnienia obowiązku informacyjnego, choć w mniejszym zakresie niż wymaga tego RODO. Obowiązek informacyjny musimy spełnić w stosunku osoby, której dane przetwarzamy. Pod pojęciem przetwarzania należy rozumieć wszystko to, co dzieje się z danymi np. ich przechowywanie w szafie, na komputerze. Jeśli więc taki obowiązek nie był wcześniej spełniony, a nadal przetwarzamy dane (np. przechowując umowy), to musimy spełnić obowiązek informacyjny wobec osób, których dane przetwarzamy. Obowiązek informacyjny może przybrać formę klauzuli w umowie, ale nie musi. Nie trzeba poprawiać umów. Klauzulę informacyjną można przesłać np. e-mailem. Polecam ten sposób jako najprostszy i najtańszy. Jeśli nie mamy adresów e-mail, należałoby spełnić obowiązek informacyjny w inny sposób np. przesyłając klauzulę pocztą lub doręczając osobiście. Forma jest mniej istotna, pod warunkiem, że osoba, której dane przetwarzamy będzie mogła się zapoznać z treścią klauzuli.

Witam, firma ubezpieczeniowa przez pomyłkę wyslala moje dane na inny adres e-mail (imię, nazwisko, nr telefonu, nr pesel, nr szkody, dane pojazdu, adres e-mail), przyslali mi pismo w którym szerzej informują o możliwych skutkach tego naruszenia. Co mogę zrobić w takiej sytuacji i czy mogę ubiegać się o jakieś odszkodowanie?

Odp. radcy prawnego Justyny Lisińskiej: Witam. Zgodnie z art. 82 RODO każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia niniejszego rozporządzenia, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę.Jak wynika z art. 82 chodzi zarówno o szkodę majątkową (np. strata finansowa, którą osoba poniosła wskutek wypływu danych), jak i niemajątkową (np. krzywda, jaką osoba doznała wskutek bezprawnego ujawnienia danych o stanie jej zdrowia; naruszenie sfery prywatności, dobrego imienia). Przy czym w polskim sądzie należy wykazać istnienie takiej szkody i przekonać sąd, że należy się Panu jakieś odszkodowanie. Myślę, że nie będzie to takie łatwe, zwłaszcza w Pana przypadku.

Michał Kiesiński Radca prawny

7

58

ProLegis Kancelaria Prawna - Radcy Prawni i Adwokaci

Waryńskiego 34D, 86-300 Grudziądz

Klasztorna 27/7, 86-100 Świecie

Odpowiada w ciągu 24 godzin

EMAIL TELEFON WWW

ZAPYTAJ O WYCENĘ Zamów wizytę

Usługi wycenione
Odpowiedzi na pytania

Telefoniczna porada prawna

15 minut rozmowy telefonicznej z prawnikiem, w celu uzyskania porady prawnej abyś mógł ze spokojem podjąć decyzję, jak postąpić w Twojej sprawie dalej. Prawnik odpowie na pytania i udzieli konkretnych informacji.

49,00 zł wybieram