Grupa Robocza ds. Ochrony Osób Fizycznych w Zakresie Przetwarzania Danych Osobowych (w skrócie: Grupa Robocza Art. 29) w opinii 05/2014 w sprawie technik anonimizacji zajęła stanowisko w sprawie procesów anonimizacji i kwestii z nią związanych.

Jednym z wiodących problemów dotyczących ochrony danych osobowych na tle norm unijnych jest kwestia anonimizacji danych i zagadnienia z nią związane.

Zgodnie z ustawą o ochronie danych osobowych do przetwarzania danych mogą być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych. A zatem szkoła, jako administrator danych zobowiązana jest wszystkim osobom, które zbierają, przechowują, utrwalają, opracowują, zmieniają, udostępniają czy usuwają dane, nadać upoważnienia.

Jestem pracownikiem działu informatyki i chciałem zapytać, co na gruncie ustawy o ochronie danych osobowych musimy dopełnić, abyśmy mogli oddawać do naprawy firmie zewnętrznej zepsute dyski twarde? Proces serwisu wygląda w ten sposób, że na nasze wezwanie pracownik zewnętrznej firmy serwisującej sprzęt komputerowy przyjeżdża do naszego biura i protokolarnie odbiera zepsuty dysk twardy. Następnie zabiera go do siedziby swojej firmy (serwisu), po czym do nas wraca już naprawiony dysk twardy. Zdajemy sobie sprawę, że na wielu dyskach twardych, które w ten sposób oddajemy do serwisu, mogą być zapisane dane osobowe, ale nie możemy ich samodzielnie usunąć przed przekazaniem do serwisu (z prostego powodu – dysk jest zepsuty). Co w takim wypadku? Czy protokolarne potwierdzenie odbioru dysku przez serwisanta jest wystarczające?

Udostępnianie przez administratorów danych informacji o stosowanych przez nich sposobach zabezpieczenia danych osobowych, w ramach realizacji obowiązku wynikającego z ustawy o dostępie do informacji publicznej jest praktyką szeroko komentowaną i krytykowaną w doktrynie.