RODO aktualności – 10.2018

• Rada Miejska Cieszyna podjęła uchwałę w sprawie określenia szczegółowych zasad wnoszenia inicjatyw obywatelskich, zasad tworzenia komitetów inicjatyw uchwałodawczych, zasad promocji obywatelskich inicjatyw uchwałodawczych oraz formalnych wymogów, jakim muszą odpowiadać składane projekty, w której stwierdzono, iż przy tworzeniu Komitetu należy wskazać imię (imiona) i nazwiska, adres zamieszkania oraz numer PESEL.
• Uchwałę w całości unieważnił wojewoda śląski (rozstrzygnięcie nadzorcze z dnia 11 października 2018 r. NR NPII.4131.1.511.2018).
• W ocenie wojewody ograniczenie kręgu „mieszkańców gminy” do osób legitymujących się numerem PESEL. Pomija więc przypadki, w których mieszkaniec gminy nie dysponuje takim numerem. Ponadto numer PESEL nie jest niezbędnym elementem pozwalającym na weryfikację mieszkańca gminy, w żaden sposób nie wskazuje, bowiem na miejsce zamieszkania danej osoby.

• Nadal wiele firm stosuje praktykę, w której Klient zawierający umowę proszony jest o wyrażenie zgody na przetwarzanie danych osobowych niezbędnych do realizacji umowy. Jeśli stosowne okienko nie zostanie zaznaczone, umowa nie zostanie zawarta.
• UODO, ustami rzecznika prasowego, ostrzega: jeśli spełniona jest któraś ze wskazanych w art. 6 RODO równoprawnych przesłanek uprawniających do przetwarzania danych osobowych, pozyskiwanie zgody jest działaniem niewłaściwym mogącym wprowadzać w błąd.
• UODO dodaje również, iż żądając zgody na przetwarzanie danych związanych z wykonaniem kontraktu, przedsiębiorca de facto wymusza ją na kliencie. Istnieje więc ryzyko prawne naruszenia art. 7 RODO (warunku dobrowolności zgody).

• NSA orzekł, iż ekspertyzy realizowane za środki publiczne (w tym wypadku na zlecenie Kancelarii Prezydenta RP) muszą być udostępnione w trybie dostępu do informacji publicznej (wyrok NSA z 23 października 2018 r., II OSK 1427/17).
• NSA nie przesądził jednak, czy równocześnie powinny zostać ujawnione imiona i nazwiska autorów ekspertyzy.
• Sąd stwierdził, że jeśli Kancelaria Prezydenta dojdzie do wniosku, iż naukowcy należą do grupy funkcjonariuszy publicznych, to ich nazwiska powinny być podane do publicznej wiadomości. Jeśli nie, Kancelaria powinna odmówić podania nazwisk z powodu ochrony prywatności.

• Z poradnika UODO dla pracodawców wynika, że niedopuszczalnym jest przechowywanie CV po zakończonej rekrutacji „na wszelki wypadek” np. do obrony przed roszczeniami. UODO stwierdził, że nawet ewentualne wystąpienie z roszczeniem z tytułu dyskryminacji nie uzasadnia zachowania CV. Nie jest to niezbędne do wykazania, że firma równo traktowała kandydatów. Ciężar dowodu spoczywa na pracodawcy, ale to kandydat musi przedstawić fakty, z których wynika domniemanie nierównego traktowania.
• W sprawie wypowiedział się również dr Kawecki, który stwierdził, iż można zastanowić się, czy omawiana interpretacja w pełni realizuje przewidzianą w art. 11 ustawy – Prawo przedsiębiorców zasadę, zgodnie z którą jeżeli w sprawie pozostają wątpliwości co do treści normy prawnej, są one rozstrzygane na korzyść przedsiębiorcy, chyba że sprzeciwiają się temu sporne interesy stron.

• Na koniec ubiegłego roku spółka Cloud Technologies wyceniana była na 276 mln zł, teraz jest to zaledwie 35 mln zł. Spółka zajmuje się reklamą w Internecie na bazie przetwarzania danych z chmury w oparciu o Big Data (targetuje reklamę internetową).
• Klienci spółki po 25 maja 2018 r. zaczęli postrzegać korzystanie z danych Cloud Technologies jako ryzyko naruszenia przepisów RODO i ewentualną odpowiedzialność finansową przed organem nadzoru.
• Spółka zapewnia, iż posługuje się wyłącznie danymi zanonimizowanymi, na co ma potwierdzenie w opiniach prawnych. Prezes zarządu wskazuje, iż RODO spowodowało przede wszystkim chaos informacyjny, a osoby, które nie do końca rozumiały nowe przepisy, wolałby dla bezpieczeństwa wstrzymać swoje projekty i współpracę ze spółką.

• Nie potrzeba zgody byłego pracownika na umieszczenie w świadectwie pracy imion jego rodziców.
• Podstawą prawną do przetwarzania przez byłego pracodawcę imion rodziców jest art. 6 ust. 1 lit. c) RODO (obowiązek prawny).

• W dniach 22-26 października 2018 r. odbyła się 40. Międzynarodowa Konferencja Rzeczników Ochrony Danych Osobowych i Prywatności.
• Zakończyła się ona przyjęciem pięciu rezolucji i deklaracji, więcej: https://uodo.gov.pl/pl/138/557
• 23 października 2018 r. miał miejsce Kongres RODO, zorganizowany przez Wolters Kluwer Polska.
• Poruszono na nim kilka ciekawych tematów, m. in. potrzebę uchwalenia przepisów branżowych, brak regulacji monitoringu w niektórych aspektach, kwestię tajemnicy zawodowej czy profilowanie na podstawie umowy, więcej: https://www.prawo.pl/biznes/rodo-jak-stosowac-przepisy-w-praktyce,318767.html

Źródło: https://twitter.com/Eric00001989/status/1054764230052904961

• Notariusz zażądał podania danych nieobjętych aktem notarialnym, m.in. numeru telefonu i adresu e-mail. Klientka podała dane, wyrażając zgodę.
• Takie działanie stanowi naruszenie zasady minimalizacji danych.
• Notariusz może żądać wyłącznie danych, do zbierania których uprawnia go ustawa Prawo o notariacie.

Źródło: http://prawo.gazetaprawna.pl/artykuly/1325266,rodo-a-dzialalnosc-notariusza.html

• Prezes UODO wskazał, że praktyka oznaczania stron postępowania także poprzez nr PESEL jest niezgoda z prawem.
• Zdaniem PUODO stanowi to naruszenie zasady minimalizacji danych.
• Wskazanie nr PESEL strony postępowania jest obowiązkowe dopiero na etapie postępowania egzekucyjnego w administracji, zgodnie z art. 27 § 1 pkt 2 ustawy o postępowaniu egzekucyjnym w administracji

Źródło: https://uodo.gov.pl/pl/138/561

• Jeżeli administrator danych kopiuje dowody osobiste, to musi przeprowadzić dla tej czynności ocenę skutków zgodnie z RODO oraz zastosować środki ochrony danych.
• Kopiowanie dowodu jest zabronione, chyba że taki obowiązek wynika bezpośrednio z przepisu prawa lub wyrażona jest zgoda (pod warunkiem uzasadnienia dla kopiowania dokumentów tożsamości).

Źródło: https://www.infor.pl/prawo/prawa-konsumenta/umowy/2792731,Kopiowanie-dowodu-osobistego-a-RODO.html 

• Podmioty wykonujące działalność leczniczą mogą przetwarzać dane osobowe pacjentów bez ich zgody na podstawie art. 9 ust. 2 lit. h) RODO.
• Obecnie trwają prace nad kodeksem postępowania podmiotów wykonujących działalność leczniczą.

Źródło: https://gazetalekarska.pl/?p=44361 

• Organ nadzorczy Portugalii nałożył 400 tysięcy euro kary na szpital.
• Szpitalowi zarzucono naruszenie zasad: integralności, poufności oraz minimalizacji danych.
• Lista konkretnych zarzutów jest długa, między innymi: brak wewnętrznych procedur różnicowania dostępów do danych, dostęp do danych medycznych osób nieuprawnionych czy brak weryfikacji, czy konta już nie pracujących w szpitalu osób zostały usunięte.

Źródło: https://www.danebezpieczne.pl/wysoka-kara-rodo-nalozona-na-szpital-w-portugalii/amp/ 

• 19 października opublikowano nową wersję projektu rozporządzenia ePrivacy.
• Projekt motywu 21 preambuły do ePrivacy uznaje zapisywanie plików śledzących na urządzeniu końcowym użytkownika bez jego zgody za „niezbędne do świadczenia usługi społeczeństwa informacyjnego”, jeśli jest ona finansowana (wyłącznie lub w przeważającym stopniu) z reklamy.

Źródło: https://panoptykon.org/eprivacy-czy-esledzenie  

• Ministerstwo Cyfryzacji ostrzega przed osobami podszywającymi się pod weryfikację Profilu Zaufanego.
• W ostatnim czasie część z użytkowników Profilu Zaufanego otrzymała złośliwą wiadomość na skrzynkę email, z prośbą o weryfikację Profilu Zaufanego z adresu , o temacie „Faktura 2018.10.30.

Źródło: https://www.bankier.pl/wiadomosc/Ostrzegamy-oszusci-podszywaja-sie-pod-Profil-Zaufany-7623557.html   

• Rzecznik zwrócił uwagę na 3 aspekty (260 sygnałów) związanych z RODO w służbie zdrowia: wywoływanie pacjentów, ochrona danych w trakcie rejestracji oraz udzielanie informacji przez telefon.
• Rzecznik inaczej niż UODO interpretuje art. 15 ust. 3 RODO w zakresie braku odpłatności za udostępnienie danych osobie, której dane dotyczą w kontekście kopii dokumentacji medycznej

Źródło: http://serwisy.gazetaprawna.pl/zdrowie/artykuly/1333895,rzecznik-praw-pacjenta-o-rodo-w-sluzbie-zdrowia.html

• Dobiegła końca kampania edukacyjna dla organizacji pozarządowych prowadzona przez UODO we współpracy z Narodowym Instytutem Wolności – ostatnie szkolenie miało miejsce 30 października 2018 r.
• Na potrzeby kampanii „Gotowi na RODO” powstał również poradnik dla NGO’s dotyczący RODO, dostępny tutaj: https://uodo.gov.pl/file/641

Źródło: https://uodo.gov.pl/pl/138/560   

• Właściciel hurtowni, w przekonaniu, że spełnia wymagania RODO, kazał pracownikom wysyłać do wszystkich współpracujących firm umowy powierzenia. Poświęcił wiele czasu i pieniędzy na wygenerowanie setek dokumentów, które następnie firmy musiały podpisać i odesłać – w zdecydowanej większości przypadków było to zbędne.

Źródło: https://www.nowiny.pl/biznes/144572-rodo-pod-kontrola-z-t2t-system.html