Bank współpracuje z firmą XYZ, która w imieniu banku pośredniczy pomiędzy bankiem i klientami podczas zawierania umowy kredytu. Przedmiotem usług świadczonych przez tę firmę jest pośrednictwo w zawarciu oraz administrowanie umową kredytową (tj. kontrola spłat rat kredytowych). Bank posiada też drugą umowę o współpracy z firmą XYZ dotyczącą prowadzenia monitoringu i windykacji należności. Jak należy ułożyć współpracę pomiędzy bankiem a firmą XYZ - pośrednikiem, aby nie naruszyć tajemnicy bankowej i zarazem ochrony danych osobowych klientów?

Na zlecenie spółki X zewnętrzna firma opracuje raport, w którym zawrze informacje co do tzw. rezerwy, czyli wartości zobowiązań spółki X wobec swoich pracowników z tytułu poszczególnych świadczeń (odpraw emerytalnych i rentowych, odpraw pośmiertnych, rezerw na niewykorzystane urlopy wypoczynkowe). Raport zostanie opracowany na podstawie informacji przekazanych przez spółkę X. Firmie tej w pliku Excel spółka X nie będzie podawać imion i nazwisk pracowników, lecz informacje takie jak data urodzenia, płeć, staż pracy w spółce X. Czy przekazując zewnętrznej firmie ww. informacje dotyczące pracowników spółki X w takim zakresie, powinna być zawarta na piśmie umowa powierzenia?

Zgoda w dyrektywie 95/46/WE jest jedną z kilku podstaw prawnych przetwarzania danych osobowych. Jeśli zostanie właściwie wykorzystana – stanowi narzędzie umożliwiające osobie, której dane dotyczą, kontrolę nad ich przetwarzaniem. W przeciwnym wypadku kontrola ze strony osoby, której dane dotyczą, staje się złudna, a sama zgoda stanowi nieodpowiednią podstawę przetwarzania.

Z opinii 8/2010 w sprawie prawa właściwego zaprezentowanej przez Grupę Roboczą ds. Ochrony Osób Fizycznych w Zakresie Przetwarzania Danych Osobowych (w skrócie: Grupa Robocza Art. 29) wynika, że określenie prawa właściwego mającego zastosowanie w odniesieniu do przetwarzania danych osobowych na mocy dyrektywy 95/46/WE w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych oraz swobodnego przepływu tych danych ma zasadnicze znaczenie z kilku powodów.

Jeśli administrator danych ma wątpliwości dotyczące prawdopodobieństwa wystąpienia niekorzystnego wpływu na dane osobowe lub prywatność osoby, której dane dotyczą, powinien wykazać się przesadną ostrożnością i powiadomić daną osobę o naruszeniu. Zgodnie z przepisami dyrektywy 2002/58/WE o prywatności i łączności elektronicznej nie musi jednak tego robić w każdym przypadku.

Technologia rozpoznawania twarzy znalazła ogromne zastosowanie w dziedzinie usług online i usług komórkowych w celu identyfikacji i kategoryzacji osób oraz weryfikacji ich tożsamości.

W sklepach z aplikacjami przybywa ponad 1 600 nowych aplikacji dziennie, z czego przeciętny użytkownik smartfona pobiera 37 aplikacji. Dzięki nim gromadzone są różnego rodzaju informacje, np. te dotyczące lokalizacji czy dane przechowywane na urządzeniu przez osobę korzystającą z urządzenia. Powoduje to powstanie nowych kategorii ryzyka związanego z przetwarzaniem danych osób korzystających z aplikacji w telefonach czy tabletach.

Grupa Robocza ds. Ochrony Osób Fizycznych w Zakresie Przetwarzania Danych Osobowych (w skrócie: Grupa Robocza Art. 29) w opinii 05/2014 w sprawie technik anonimizacji zajęła stanowisko w sprawie procesów anonimizacji i kwestii z nią związanych.

Jednym z wiodących problemów dotyczących ochrony danych osobowych na tle norm unijnych jest kwestia anonimizacji danych i zagadnienia z nią związane.

Zatrudniliśmy zewnętrzną firmę w zakresie zadań bhp. Oddelegowany przez tę firmę inspektor bhp będzie prowadzić na nasze potrzeby wszelką dokumentację wymaganą przez przepisy prawa pracy. Inspektor bhp przekazał naszemu działowi kadr, że będzie potrzebował korzystać z teczek osobowych pracowników, ponieważ potrzebuje do swojej pracy ich danych. Czy w związku z tym umowa z zewnętrzną firmą powinna zawierać jakieś dodatkowe zapisy związane z ochroną danych osobowych naszych pracowników?

Proszę o wyjaśnienie następującej okoliczności. Nasz zakład prowadzi Zakładowy Fundusz Świadczeń Socjalnych. Możliwymi beneficjentami świadczeń socjalnych, zgodnie z Regulaminem Zakładowego Funduszu są przede wszystkim nasi pracownicy. Niedawno powołaliśmy w zakładzie funkcję Administratora Bezpieczeństwa Informacji, zgodnie z wymogami ustawy o ochronie danych osobowych. Nasz ABI jedną z pierwszych rzeczy na jakie zwrócił uwagę, było to że od naszych pracowników, którzy składają wnioski o przyznanie świadczenia z Funduszu, zbieramy zgody na przetwarzanie ich danych po to by rozpatrzeć wniosek i przyznać świadczenie, a następnie je rozliczyć. Osoba pełniąca u nas funkcję ABI mówi, że od pracowników nie powinniśmy zbierać zgód na przetwarzanie ich danych w powyższych celach, ponieważ ich dane przetwarzamy jako pracodawca. Kto ma tutaj rację?

Nasza spółka zawiera właśnie umowę z firmą świadczącą usługi z zakresu ochrony. Docelowo podmiot ten ma zapewnić ochronę mienia budynków należących do naszej spółki, w tym również budynku, w którym mamy zlokalizowane biuro. W przypadku tego budynku umowa przewiduje, że pracownicy firmy ochroniarskiej między innymi będą prowadzili ewidencję osób wchodzących do biura. Taka ewidencja dotyczyć będzie tylko gości, ponieważ pracownicy wchodzą za pomocą kart magnetycznych. Firma ochroniarska zaproponowała już format takiej ewidencji. Wynika z niej, że dane gości mają być zbierane w zakresie: imię, nazwisko, nazwa podmiotu reprezentowanego, do kogo ta osoba przyszła, data przyjścia i data wyjścia, własnoręczny podpis gościa. Zaczęliśmy się zastanawiać, czy umowa którą zawieramy z firmą ochroniarską nie powinna zawierać jakiś dodatkowych zapisów związanych z faktem pozyskiwania tych danych. Kto odpowiada za ochronę tych danych?

Czy na gruncie ustawy o ochronie danych osobowych pracodawca ma prawo informować swoich pracowników (np. pracowników z danej komórki organizacyjnej) o przyczynach zakończenia współpracy z ich przełożonym? Celem przekazania takiej informacji jest zapewnienie ładu organizacyjnego oraz transparentność w równym traktowaniu pracowników.