Zgodnie z ustawą o ochronie danych osobowych do przetwarzania danych mogą być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych. A zatem szkoła, jako administrator danych zobowiązana jest wszystkim osobom, które zbierają, przechowują, utrwalają, opracowują, zmieniają, udostępniają czy usuwają dane, nadać upoważnienia.

Do najważniejszych obowiązków szkoły, jako administratora danych osobowych należy, zgodnie z treścią ustawy o ochronie danych osobowych, dołożenie szczególnej staranności w celu ochrony interesów osób, których dane dotyczą.

Zatrudniliśmy zewnętrzną firmę w zakresie zadań bhp. Oddelegowany przez tę firmę inspektor bhp będzie prowadzić na nasze potrzeby wszelką dokumentację wymaganą przez przepisy prawa pracy. Inspektor bhp przekazał naszemu działowi kadr, że będzie potrzebował korzystać z teczek osobowych pracowników, ponieważ potrzebuje do swojej pracy ich danych. Czy w związku z tym umowa z zewnętrzną firmą powinna zawierać jakieś dodatkowe zapisy związane z ochroną danych osobowych naszych pracowników?

W związku z pojawiającymi się błędnymi publikacjami konieczne jest jednoznaczne wskazanie administratora danych dla danych osobowych przetwarzanych w szkole.

Nasza firma zorganizowała konkurs z nagrodami. Przewidujemy, że informacje o zwycięzcach konkursu opublikujemy w ogólnopolskich mediach (przede wszystkim gazety oraz czasopisma branżowe), a także na naszej stronie internetowej. Generalnie informacje te w naszym założeniu mają obejmować: imiona i nazwiska zwycięzców, miasta z których pochodzą oraz ich zdjęcia. Czy jeżeli wskażemy w regulaminie konkursu, że zastrzegamy sobie prawo publikacji tego typu informacji, jest wystarczające z punktu widzenia ustawy o ochronie danych osobowych? Czy możemy opublikować te informacje bez zgody zwycięzców konkursu?

Proszę o wyjaśnienie następującej okoliczności. Nasz zakład prowadzi Zakładowy Fundusz Świadczeń Socjalnych. Możliwymi beneficjentami świadczeń socjalnych, zgodnie z Regulaminem Zakładowego Funduszu są przede wszystkim nasi pracownicy. Niedawno powołaliśmy w zakładzie funkcję Administratora Bezpieczeństwa Informacji, zgodnie z wymogami ustawy o ochronie danych osobowych. Nasz ABI jedną z pierwszych rzeczy na jakie zwrócił uwagę, było to że od naszych pracowników, którzy składają wnioski o przyznanie świadczenia z Funduszu, zbieramy zgody na przetwarzanie ich danych po to by rozpatrzeć wniosek i przyznać świadczenie, a następnie je rozliczyć. Osoba pełniąca u nas funkcję ABI mówi, że od pracowników nie powinniśmy zbierać zgód na przetwarzanie ich danych w powyższych celach, ponieważ ich dane przetwarzamy jako pracodawca. Kto ma tutaj rację?

Nasza spółka zawiera właśnie umowę z firmą świadczącą usługi z zakresu ochrony. Docelowo podmiot ten ma zapewnić ochronę mienia budynków należących do naszej spółki, w tym również budynku, w którym mamy zlokalizowane biuro. W przypadku tego budynku umowa przewiduje, że pracownicy firmy ochroniarskiej między innymi będą prowadzili ewidencję osób wchodzących do biura. Taka ewidencja dotyczyć będzie tylko gości, ponieważ pracownicy wchodzą za pomocą kart magnetycznych. Firma ochroniarska zaproponowała już format takiej ewidencji. Wynika z niej, że dane gości mają być zbierane w zakresie: imię, nazwisko, nazwa podmiotu reprezentowanego, do kogo ta osoba przyszła, data przyjścia i data wyjścia, własnoręczny podpis gościa. Zaczęliśmy się zastanawiać, czy umowa którą zawieramy z firmą ochroniarską nie powinna zawierać jakiś dodatkowych zapisów związanych z faktem pozyskiwania tych danych. Kto odpowiada za ochronę tych danych?

Czy na gruncie ustawy o ochronie danych osobowych pracodawca ma prawo informować swoich pracowników (np. pracowników z danej komórki organizacyjnej) o przyczynach zakończenia współpracy z ich przełożonym? Celem przekazania takiej informacji jest zapewnienie ładu organizacyjnego oraz transparentność w równym traktowaniu pracowników.

Jestem pracownikiem działu informatyki i chciałem zapytać, co na gruncie ustawy o ochronie danych osobowych musimy dopełnić, abyśmy mogli oddawać do naprawy firmie zewnętrznej zepsute dyski twarde? Proces serwisu wygląda w ten sposób, że na nasze wezwanie pracownik zewnętrznej firmy serwisującej sprzęt komputerowy przyjeżdża do naszego biura i protokolarnie odbiera zepsuty dysk twardy. Następnie zabiera go do siedziby swojej firmy (serwisu), po czym do nas wraca już naprawiony dysk twardy. Zdajemy sobie sprawę, że na wielu dyskach twardych, które w ten sposób oddajemy do serwisu, mogą być zapisane dane osobowe, ale nie możemy ich samodzielnie usunąć przed przekazaniem do serwisu (z prostego powodu – dysk jest zepsuty). Co w takim wypadku? Czy protokolarne potwierdzenie odbioru dysku przez serwisanta jest wystarczające?

Udostępnianie przez administratorów danych informacji o stosowanych przez nich sposobach zabezpieczenia danych osobowych, w ramach realizacji obowiązku wynikającego z ustawy o dostępie do informacji publicznej jest praktyką szeroko komentowaną i krytykowaną w doktrynie.

Przetwarzanie danych osobowych osób mieszkających wraz członkiem spółdzielni wymaga w świetle ustawy o ochronie danych osobowych od spółdzielni mieszkaniowej – tj. administratora danych osobowych, podmiotu decydującego o celach i środkach ich przetwarzania – wskazania przepisu prawa, na podstawie którego przetwarza przedmiotowe dane.

Członek spółdzielni zwrócił się do spółdzielni mieszkaniowej o dokonanie naprawy w jego mieszkaniu instalacji hydraulicznej. Spółdzielnia mieszkaniowa zamierza przekazać dane osobowe lokatora firmie świadczącej usługi hydrauliczne na potrzeby dokonania w jego lokalu koniecznych napraw. Pracownik spółdzielni zastanawia się czy może przekazać dane osobowe lokatora firmie remontowej bez jego zgody.