Grupa Robocza Art. 29 uznała, że kryterium z artykułu 7 lit. f) dyrektywy 95/46/WE w odpowiednich okolicznościach i z zastrzeżeniem odpowiednich zabezpieczeń może zapobiec zbytniemu opieraniu się na innych podstawach prawnych.

Udostępnianie danych przez szpital jest procesem skompilowanym i opartym o wiele regulacji prawnych znajdujących, odpowiednio zastosowanie w zależności od tego czyje dane mają zostać udostępnione.

W procesie przetwarzania danych osobowych w szpitalach dochodzi do licznych nieprawidłowości.

Mimo uznanych korzyści płynących z przetwarzania danych w chmurze (tzw. cloud computingu) zarówno pod względem ekonomicznym, jak i społecznym, trzeba wziąć pod uwagę, że wykorzystywanie usług przetwarzania w chmurze na szeroką skalę może wywołać szereg zagrożeń.

Wyjaśnienie pojęć konieczności i proporcjonalności oraz ich stosowania w przypadku środków będących przedmiotem wniosków lub środków obowiązujących jest niezbędne, aby rozwiązać problemy dotyczące egzekwowania prawa na wielu poziomach: lokalnym, regionalnym, krajowym lub europejskim.

Zgoda w dyrektywie 95/46/WE jest jedną z kilku podstaw prawnych przetwarzania danych osobowych. Jeśli zostanie właściwie wykorzystana – stanowi narzędzie umożliwiające osobie, której dane dotyczą, kontrolę nad ich przetwarzaniem. W przeciwnym wypadku kontrola ze strony osoby, której dane dotyczą, staje się złudna, a sama zgoda stanowi nieodpowiednią podstawę przetwarzania.

Z opinii 8/2010 w sprawie prawa właściwego zaprezentowanej przez Grupę Roboczą ds. Ochrony Osób Fizycznych w Zakresie Przetwarzania Danych Osobowych (w skrócie: Grupa Robocza Art. 29) wynika, że określenie prawa właściwego mającego zastosowanie w odniesieniu do przetwarzania danych osobowych na mocy dyrektywy 95/46/WE w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych oraz swobodnego przepływu tych danych ma zasadnicze znaczenie z kilku powodów.

Pojęcie administratora danych i jego relacja z pojęciem przetwarzającego pełnią kluczową rolę w stosowaniu dyrektywy 95/46/WE. Poznanie znaczenia i kryteriów zastosowania tych pojęć odgrywają ogromną rolę w wykonywaniu powyższej dyrektywy.

Importerzy prowadzący centralne akcje marketingowe, a także podmioty z sieci dealerskiej zarządzające akcjami lokalnymi niejednokrotnie do treści marketingowych własnych produktów i usług dołączają informacje marketingowe cudzych produktów i usług. W branży motoryzacyjnej jest to działanie nakierowane na oferowanie samochodów w pełni wyposażonych w opcje dodatkowe. Najczęściej marketing oferowany przez dealerów lub importerów powiązany jest usługami ubezpieczeniowymi, leasingowymi, czy kredytowymi.

Zgodnie z obserwowaną praktyką stacje dealerskie często pozyskują na zlecenie importerów kserokopie dowodów osobistych, dowodów rejestracyjnych samochodów lub praw jazdy klientów. Najczęstszym celem kopiowania dokumentów klientów jest zapobieganie reeksportowi samochodów i zapewnienie bezpieczeństwa pojazdów podczas dokonywania prac związanych z ingerencją w systemy zabezpieczeń.

W relacjach pomiędzy importerem a dealerami z autoryzowanej przez importera sieci dealerskiej obserwuje się przekazywanie (udostępnianie) danych osobowych przetwarzanych przez dealera. Przekazywanie danych klientów najczęściej następuje w celach związanych z raportowaniem, analizą, czy statystyką. Przekazywanie z kolei danych osobowych pracowników stacji dealerskiej najczęściej następuje w celach powiązanych z rozliczeniem bonusów, czy przystąpieniem do programów pracowniczych organizowanych przez importera. Warto dopełnić niezbędnych wymogów, aby proces przekazywania danych odbywał się w sposób legalny, zgodny z przepisami o ochronie danych osobowych.

Branża motoryzacyjna dla wzrostu sprzedaży samochodów i świadczonych usług wymaga prowadzenia szerokich kampanii marketingowych. Obserwując dzisiejsze praktyki można skłonić się ku stwierdzeniu, że zarówno importerzy samochodów, jak i dealerzy prowadzą szeroką ekspansję świadczonych przez siebie usług. Warto zadbać, aby prowadzone działania marketingowe były zgodne z powszechnie obowiązującymi przepisami prawa w tym zakresie.

Jeśli administrator danych ma wątpliwości dotyczące prawdopodobieństwa wystąpienia niekorzystnego wpływu na dane osobowe lub prywatność osoby, której dane dotyczą, powinien wykazać się przesadną ostrożnością i powiadomić daną osobę o naruszeniu. Zgodnie z przepisami dyrektywy 2002/58/WE o prywatności i łączności elektronicznej nie musi jednak tego robić w każdym przypadku.

Technologia rozpoznawania twarzy znalazła ogromne zastosowanie w dziedzinie usług online i usług komórkowych w celu identyfikacji i kategoryzacji osób oraz weryfikacji ich tożsamości.

W sklepach z aplikacjami przybywa ponad 1 600 nowych aplikacji dziennie, z czego przeciętny użytkownik smartfona pobiera 37 aplikacji. Dzięki nim gromadzone są różnego rodzaju informacje, np. te dotyczące lokalizacji czy dane przechowywane na urządzeniu przez osobę korzystającą z urządzenia. Powoduje to powstanie nowych kategorii ryzyka związanego z przetwarzaniem danych osób korzystających z aplikacji w telefonach czy tabletach.

Trybunał Sprawiedliwości uznał, że osoba, której dane dotyczą, może zażądać od operatora wyszukiwarki tego, aby dana informacja, dotycząca jej osobiście – a w tym wypadku chodziło o informacje uzyskane w rezultacie wyszukiwań przeprowadzonych na podstawie konkretnego imienia i nazwiska, nie była już podawana do wiadomości szerokiego kręgu odbiorców poprzez zawarcie jej na liście wyników wyszukiwania.

Sieciowe serwisy społecznościowe są platformami komunikacyjnymi on-line, które umożliwiają osobom przystępowanie albo tworzenie sieci użytkowników o wspólnych zainteresowaniach.

Grupa Robocza ds. Ochrony Osób Fizycznych w Zakresie Przetwarzania Danych Osobowych (w skrócie: Grupa Robocza Art. 29) w opinii 05/2014 w sprawie technik anonimizacji zajęła stanowisko w sprawie procesów anonimizacji i kwestii z nią związanych.

Jednym z wiodących problemów dotyczących ochrony danych osobowych na tle norm unijnych jest kwestia anonimizacji danych i zagadnienia z nią związane.

Zgodnie z ustawą o ochronie danych osobowych administrator danych jest obowiązany zgłosić zbiór danych do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych (GIODO), z wyjątkiem przypadków zwolnienia z rejestracji wskazanych w ustawie. W odniesieniu do szkół i placówek oświatowych, zwolnienie z rejestracji odnosi się do kilku zbiorów.