Pytanie: Proszę o udzielenie informacji dotyczącej podstawy prawnej oraz zasad wydawania upoważnień dla komisji rewizyjnej w zakresie przetwarzania danych osobowych, w tym wzoru takiego upoważnienia.

Prezes Urzędu Ochrony Danych Osobowych (UODO) nałożył karę w wysokości prawie 240 tys. zł na firmę z branży gastronomicznej za zgubienie przez jej pracownika służbowego pendrive’a. W wyniku incydentu szkody odniosła jedna osoba. Warto wiedzieć, dlaczego karę wymierzono w takiej wysokości oraz jak się zabezpieczyć przed podobnymi wypadkami.

Polityka prywatności to dokument w postaci elektronicznej, który w praktyce jest stosowany w celu przekazania wymaganych prawem informacji użytkownikom strony internetowej, których dane osobowe są przetwarzane za pośrednictwem tej strony. W praktyce jednak polityka prywatności spełnia rolę klauzuli informacyjnej RODO. Brak polityki prywatności nie jest naruszeniem prawa, ale w takim przypadku administrator musi spełnić obowiązek informacyjny RODO w inny sposób.

Czy dostęp do danych z systemu monitoringu wizyjnego powinien zostać uwzględniony w upoważnieniach do przetwarzania danych osobowych wszystkich pracowników mających wgląd w monitory systemu? Czy dotyczy to np. pielęgniarek w punkcie pielęgniarskim, pracowników obsługi w punkcie informacyjnym z dostępem do podglądu z kamer zlokalizowanych w rejestracji szpitala oraz parkingów, lekarzy z dostępem do monitorów na SOR? Nie ma możliwości ingerencji w system związany m.in. z brakiem możliwości kasowania bądź zgrywania zapisów z systemu monitoringu na dysk zewnętrzny. Czy wyłącznie takie upoważnienie powinni mieć pracownicy techniczni, którzy mają zadanie serwisować system itp.?

Udostępnianie danych osobowych pomiędzy powiązanymi spółkami musi być oparte na jednej z podstaw z art. 6 lub 9 RODO. W przeciwnym razie UODO może nałożyć administracyjną karę pieniężną. Przykładem jest przypadek czeskiej spółki.

Administrator danych osobowych ponosi odpowiedzialność odszkodowawczą za wyrządzenie szkody niemajątkowej (krzywdy) podmiotowi danych w wyniku naruszenia RODO. Potwierdził to w niedawnym wyroku Trybunał Sprawiedliwości UE. Do wyroku odniósł się Prezes Urzędu Ochrony Danych Osobowych, wskazując, co jest konieczne do dochodzenia odszkodowania za naruszenie RODO.