Zgodnie z art. 5c-5e ustawy z dnia 10 kwietnia 1997 r. Prawo energetyczne konieczne jest wyłącznie ustalenie statusu odbiorcy wrażliwego energii elektrycznej oraz liczby osób w gospodarstwie domowym, od czego uzależniona jest wysokość dodatku energetycznego. Zakres danych osobowych objęty treścią powyższego przepisu, w zakresie podania numeru PESEL oraz podania numeru dokumentu potwierdzającego tożsamość wnioskodawcy w przypadku braku numeru PESEL wykracza poza zakres danych niezbędnych do realizacji celu, dla którego dane są przetwarzane. Obowiązek podania tych danych nie jest niezbędny do załatwienia przez organ sprawy.

Brak jest podstaw do żądania podania we wniosku o wypłatę dodatku energetycznego numeru telefonu wnioskodawcy, bowiem stanowi to przekroczenie zakresu upoważnienia ustawowego. Dopuszczalne byłoby pozyskanie tej danej jedynie na zasadzie dobrowolności jej podania przez wnioskodawcę.

Prezes UODO nałożył karę w wysokości 40 tyś. złotych na podmiot publiczny w związku z brakiem umów powierzenia przetwarzania danych osobowych, które małe być zawarte z podmiotami, którym przekazywał dane. Nakładając karę PUODO wziął również pod uwagę to, że stwierdzone w toku postępowania nieprawidłowości nie zostały one usunięte przez administratora, ani nie wdrożył on rozwiązań mających przeciwdziałać naruszeniom w przyszłości.

Podczas kontroli zgodności przetwarzania danych osobowych z przepisami RODO przeprowadzoną przez Prezesa Urzędu Ochrony Danych Osobowych ustalono, że w procesie przetwarzania danych osobowych Burmistrz W., jako administrator danych, naruszył przepisy o ochronie danych osobowych. W swojej decyzji PUODO nakazuje przechowywanie rejestru mieszkańców przez okres przewidziany prawem dla dokumentów dotyczących spraw meldunkowych oraz wskazanie w klauzuli informacyjnej podmiotu świadczącego usługi serwisowe systemu informatycznego w zakresie nazwy i adresu siedziby tego podmiotu.

Urzędy pracy ustalają dla osób bezrobotnych profil, na podstawie którego, określa się forma pomocy dla bezrobotnego. W celu ustalenia profilu urząd zbiera dane osobowe bezrobotnego, m.in. wiek, płeć, wykształcenie, stopień niepełnosprawności, umiejętności, uprawnienia i doświadczenie zawodowe, miejsce zamieszkania i czas pozostawania bez pracy. Te pozyskiwane przez urząd informacje zawierają dane wrażliwe. W dniu 6 czerwca 2018 r. Trybunał Konstytucyjny (TK) orzekł, że uregulowanie w rozporządzeniu zasad przypisywania przez urząd pracy profilu osobie bezrobotnej jest niezgodne z konstytucją. Zdaniem TK regulacja odnosząca się do tej kwestii powinna znaleźć się w ustawie. Orzeczenie wejdzie w życie po upływie 12 miesięcy od opublikowania.

Decyzja Prezesa UODO odmawiająca uwzględnienia wniosku w sprawie udostępnienia danych przez spółdzielnię mieszkaniową

Przepis Statutu Gminy we fragmencie, w jakim wymaga od wnioskodawców inicjatywy uchwałodawczej dołączenia do wniosku listy zawierającej numer PESEL każdego z wnioskodawców jest niezgodny z art. 7 Konstytucji RP, a także z art. 1 ust. 1 SamGminU i art. 23 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych.

Ustawa o ochronie danych osobowych nie posługuje się pojęciem "danych wrażliwych", jakkolwiek zwrot taki funkcjonuje w literaturze fachowej. Godzi się zatem wskazać, że także imię i nazwisko należy do katalogu dóbr osobistych i danych osobowych o pewnym stopniu wrażliwości, jednak nie wchodzących w skład danych określonych w art. 27 ust. 1 ustawy o ochronie danych osobowych.

Nie sposób mówić o poufności danych osobowych pracowników ochrony w sytuacji, gdy dane każdego z nich mogą zostać ustalone w związku z wykonywanymi czynnościami.

Wymagany w załączniku zaskarżonej uchwały obowiązek podania imion rodziców wykracza poza dane niezbędne do prawidłowego obliczenia opłaty za gospodarowanie odpadami. […] Przedmiotowe dane osobowe tylko wówczas powinny być gromadzone, gdyby były one niezbędne celem ich przetwarzania w związku z realizacją uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa lub gdyby były one niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego.

Obowiązek informacyjny przewidziany w art. 33 ustawy o ochronie danych osobowych ma na celu zapewnienie osobom, których dane osobowe są przetwarzane, dostępu do informacji o okolicznościach ich przetwarzania. Prawidłowe i rzetelne wypełnienie przez administratora danych tego obowiązku jest niezbędne do zapewnienia osobie, której dane osobowe dotyczą, kontroli prawidłowości procesu przetwarzania danych osobowych.

W rozpoznawanej sprawie skarżący domagał się udostępnienia kserokopii dokumentu wypowiedzenia stosunku pracy nauczycielki M. S., która bez wątpienia jest osobą pełniącą funkcje publiczne. Wobec powyższego bezspornym jest, że informacje żądane przez A. B. są informacjami publicznymi w rozumieniu ustawy o dostępie do informacji publicznej, zaś Dyrektor Szkoły Podstawowej w P., która jest szkołą publiczną, do którego został skierowany ów wniosek jako podmiot reprezentujący Szkołę Podstawową w P. należy do kategorii podmiotów obowiązanych do udostępnienia informacji publicznej w myśl art. 4 ust. 1 pkt 4 ustawy o dostępie do informacji publicznej.

Dane odnoszące się do osób pełniących w organach władzy publicznej określone funkcje publiczne, mieszczą się w pojęciu informacji publicznej. Niewątpliwie organy administracji rządowej w województwie (w tym wojewoda, którego obsługę administracyjną, organizacyjną i techniczną zapewnia urząd) należy zaliczyć do organów władzy publicznej.

Przy przetwarzaniu dane osobowe powinny być należycie zabezpieczone. Administrator danych jest obowiązany, jak stanowi art. 36 ust. 1 ustawy, zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem.

W toku prowadzonego postępowania wyjaśniającego Generalny Inspektor ustalił, iż Przewodniczący Rady Miejskiej w G. nie przetwarza obecnie danych osobowych Skarżącego w kwestionowanym przez niego zakresie, nie jest więc możliwym wydanie nakazu ich usunięcia.

Ustawa o ochronie danych osobowych odwołuje się do pojęcia systemu informatycznego w kontekście przetwarzania danych.

Zasady udzielania informacji publicznej normuje ustawa z dnia 6 września 2001 r. o dostępie do informacji publicznej. W myśl przepisu art. 1 ust. 1 tej ustawy informacją publiczną jest każda informacja o sprawach publicznych. W ocenie Sądu, wydawane przez organ architektoniczno-budowlany decyzje o pozwoleniu na budowę stanowią informację publiczną w rozumieniu wyżej podanym – tym samym projekt budowlany podlegający zatwierdzeniu w drodze decyzji organu budowlanego również stanowi informacje publiczną w rozumieniu art. 6 ust. 1 pkt 4 lit. a ustawy.

Zamawiający nie przewidział we wzorze umowy powierzenia mu obowiązków administratora przetwarzania danych osobowych i tym samym wykonawca w żaden sposób nie wykazał w jaki sposób przywołane przez niego w odwołaniu postanowienia umowne naruszają art. 1 ust. 2 czy też art. 31 ust. 1 ustawy o ochronie danych osobowych.

Dane o wykonywaniu zamówienia przez oznaczone imiennie osoby wraz z informacjami na temat ich kwalifikacji zawodowych, doświadczenia i wykształcenia niezbędnego do wykonania zamówienia, a także zakresu czynności, który zostanie im powierzony, […] - mają dla przedsiębiorcy wartość gospodarczą, dają bowiem możliwość ubiegania się o zamówienie.

Zgłoszenie zbioru danych na nieobowiązującym wzorze, a więc niezgodnie z przepisami wykonawczymi do ustawy, nie spełnia wymogów określonych w art. 41 ust. 1 ustawy o ochronie danych osobowych, a tym samym zachodzi przesłanka odmowy rejestracji, o której mowa w art. 44 ust. 1 pkt 1 ustawy.