obowiązek informacyjny RODO
AnalizyArtykuł miesiącaCiekawostkiNowości w prawiePoradnikiTOP 10

Obowiązek informacyjny w RODO

05 kwi 2018
416

Jest to pierwsza część artykułu - poradnika poświęconego stosowaniu obowiązków informacyjnych zgodnych z RODO.

Poniżej lista artykułów z cyklu "Obowiązek informacyjny w RODO":

Informowanie osób, których dane dotyczą o przetwarzaniu ich danych osobowych, stanowi jeden z podstawowych obowiązków administratora danych.

Tylko osoba skutecznie poinformowana, jest w stanie podejmować świadome decyzje w związku z przetwarzaniem jej danych osobowych i skutecznie reagować na ewentualne nieprawidłowości w tym zakresie.

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (dalej: Rozporządzenie lub RODO) wprowadziło istotne zmiany w zakresie problematyki informowania podmiotów danych o przetwarzaniu danych osobowych ich dotyczących.

Obejrzyj w formie video na YouTube…

… albo odsłuchaj w formie podcastu

Moment aktualizacji obowiązku informacyjnego

Kluczowe dla prawidłowości realizacji obowiązku informacyjnego, jest określenie momentu jego aktualizacji, tj. sytuacji, kiedy administrator danych jest zobowiązany przedstawić osobie, której dane dotyczą informacje związane z przetwarzaniem jej danych osobowych.

Obowiązek informacyjny aktualizuje się w trzech sytuacjach:

  • przy zbieraniu danych, od osoby, której dane dotyczą;
  • przy zbieraniu danych w sposób inny niż od osoby, której dane dotyczą;
  • przez cały okres przetwarzania danych osobowych (w związku z prawem dostępu przysługującym osobie, której dane dotyczą).

W niniejszym artykule skupimy się na dwóch pierwszych sytuacjach, które wiążą się ze stosowaniem przez administratora tzw. klauzul informacyjnych (komunikatów dotyczących przetwarzania danych osobowych). Prawa osób, których dane dotyczą, w tym prawo dostępu do danych, zostały omówione w dalszych artykułach z cyklu.

klauzule informacyjne

Chcesz sprawdzić swoje klauzule informacyjne?

Nasi eksperci zrobią to dla Ciebie! Usprawnimy Twoją „komunikację RODO” w taki sposób, żeby była przyjazna dla odbiorcy a przy tym w pełni zgodna z przepisami o ochronie danych osobowych.

Skorzystaj z naszych konsultacji.

Sprawdź

Zbieranie danych, od osoby, której dane dotyczą

Gromadzenie danych od osoby, której dane dotyczą, jest najczęstszym sposobem pozyskiwania danych przed administratorów. Będziemy mieli z nim do czynienia przede wszystkim wtedy, kiedy podmiot danych świadomie dostarcza administratorowi swoje dane (np. przy wypełnianiu papierowego kwestionariusza, formularza online , czy też w rozmowie telefonicznej z konsultantem). Z tzw. pierwotnym gromadzeniem danych mamy również do czynienia wówczas, kiedy administrator sam pozyskuje dane na skutek obserwacji zachowania danej osoby (np. przy wykorzystaniu kamer, urządzeń GPS lub innych zautomatyzowanych urządzeń lub oprogramowania).

Przekazanie podmiotowi danych informacji o przetwarzaniu jego danych osobowych, powinno nastąpić w momencie gromadzenia tych danych.

Art. 13 ust. 1 RODO wprost wskazuje na ten właśnie moment.

RODO zobowiązuje dodatkowo administratora do udzielania podmiotom danych określonych informacji dotyczących przetwarzania danych osobowych, w sytuacji, kiedy planuje on dalej przetwarzać te dane w celu innym niż cel, w którym zostały pierwotnie zebrane. Wówczas informacji udziela się przed takim dalszym przetwarzaniem.

Zbieranie danych w sposób inny niż od osoby, której dane dotyczą

Zbieranie danych w sposób inny niż od osoby, której dane dotyczą, polega na pozyskaniu danych z innych źródeł. Przy tzw. wtórnym gromadzeniu danych, administrator może skorzystać m.in. ze źródeł powszechnie dostępnych (np. publicznych rejestrów), jak również ze współpracy z innymi podmiotami (np. kupno bazy marketingowej od innego administratora). W praktyce oznacza to, że podmiot danych, co do zasady, nie uczestniczy świadomie w procesie gromadzenia jego danych przez administratora.

Należy jednak zaznaczyć, że przypadki, kiedy źródłem informacji jest podmiot działający w imieniu i na rzecz osoby, której dane dotyczą (np. działanie rodzica jako przedstawiciela ustawowego) należy interpretować jako przypadki pierwotnego gromadzenia danych.

Zgodnie z art. 14 ust. 3 RODO, informacje o przetwarzaniu danych osobowych, administrator danych podaje podmiotowi danych:

  • w rozsądnym terminie po pozyskaniu danych osobowych – najpóźniej w ciągu miesiąca – mając na uwadze konkretne okoliczności przetwarzania danych osobowych;
  • jeżeli dane osobowe mają być stosowane do komunikacji z osobą, której dane dotyczą – najpóźniej przy pierwszej takiej komunikacji z osobą, której dane dotyczą; lub
  • jeżeli planuje ujawnić dane osobowe innemu odbiorcy – najpóźniej przy ich pierwszym ujawnieniu.

Administrator który gromadzi dane z innych źródeł niż osoba, której dane dotyczą powinien przekazać tej osobie, wszystkie niezbędne informacje w tzw. rozsądnym terminie po uzyskaniu danych, jednak nie później niż w ciągu miesiąca od tej chwili. Termin powinien być oceniany jako rozsądny, przy uwzględnieniu konkretnych (faktycznych) okoliczności przetwarzania danych osobowych, w oparciu o obiektywne kryteria. Oznacza to tyle, że administrator powinien dążyć do jak najszybszego spełnienia obowiązku informacyjnego wobec podmiotu danych, biorąc pod uwagę dostępne na chwilę pozyskania danych środki.

Niezależnie od powyższego, przekazanie informacji powinno nastąpić nie później niż w terminie miesiąca od zgromadzenia danych. Termin ten należy traktować jako ogólny graniczny termin przekazania informacji, który będzie również znajdował zastosowanie do kolejnych punktów.

e-learning RODO

Zminimalizuj ryzyko naruszenia RODO w Twojej organizacji – przeszkól zespół.

Zależy Ci na tym aby Twoi pracownicy otrzymali certyfikat i poznali praktyczną wiedzę z zakresu RODO zamiast nużących regułek?

Sprawdź nasze interaktywne szkolenia e-learningowe.

Sprawdź

Oznacza to, że jeżeli pierwsza komunikacja z osobą, której dane dotyczą lub pierwsze ujawnienie jej danych innemu podmiotowi, planowane jest przez administratora przed upływem jednego miesiąca po uzyskaniu danych, wówczas informacje muszą zostać dostarczone najpóźniej w chwili tego kontaktu lub ujawnienia jej danych, niezależnie od tego, że jeden miesiąc od momentu uzyskania danych nie wygasł.

Jeżeli natomiast pierwszy kontakt lub ujawnienie danych administrator planuje później niż miesiąc po uzyskaniu danych osobowych, nadal obowiązuje go termin wskazany w punkcie pierwszym, tj. stosowne informacje muszą zostać przekazane osobie, której dane dotyczą, najpóźniej w ciągu miesiąca od  otrzymania danych.

Zakres informacji przekazywanych osobie, której dane dotyczą

Teraz zajmijmy się kluczowym elementem obowiązku informacyjnego – czyli jego treścią. Zakres informacji do, których przekazania zobowiązany jest administrator, różni się w zależności od sytuacji, w której aktualizuje się obowiązek informacyjny.

Zbieranie danych, od osoby, której dane dotyczą

W sytuacji, kiedy dane osobowe zbierane są od osoby, której one dotyczą, administrator podaje jej następujące informacje:

1. tożsamość i dane kontaktowe administratora,

2. gdy ma to zastosowanie – tożsamość i dane kontaktowe przedstawiciela administratora,

3. gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych,

4. cele przetwarzania danych osobowych,

5. podstawy prawne przetwarzania,

6. jeżeli przetwarzanie odbywa się na podstawie prawnie uzasadnionych interesów administratora lub strony trzeciej, te realizowane interesy,

7. informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją,

8. gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz warunkach tego przekazania,

9. okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu,

10. informacje o przysługujących osobie, której dane dotyczą prawach,

11. jeżeli przetwarzanie odbywa się na podstawie zgody, informacje o prawie do jej cofnięcia; w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na jej podstawie jej cofnięciem,

12. informacje o prawie wniesienia skargi do organu nadzorczego,

13. informacje, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych,

14. informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu.

Podmiot danych ma zostać w sposób kompleksowy poinformowany nie tylko o procesach przetwarzania jego danych osobowych, ale również o przysługujących mu związku z tym przetwarzaniem prawach, możliwych do podjęcia działaniach (skarga do organu nadzoru), jak i konsekwencjach, jakie niesie dla niego dokonywane przetwarzanie.

Informując osobę, której dane dotyczą o swojej tożsamości i siedzibie, administrator powinien przekazać takie swoje dane, które będą mogły w łatwy sposób go zidentyfikować i zostać wykorzystane do nawiązania z nim kontaktu. Przykładowo, nie zaleca się stosowania skrótu nazwy, jeżeli nie umożliwia on jednoznacznej identyfikacji podmiotu. To co natomiast należy zarekomendować, to podanie danych, które umożliwiają skorzystanie z różnych form komunikacji (np. adres email, numer telefonu, adres strony internetowej).

Takie same uwagi odnoszą się do wskazania przedstawiciela administratora danych (wymóg wyznaczenia przedstawiciela dotyczy administratorów nie mających siedziby w Unii Europejskiej).

Artykuł który czytasz jest dla Ciebie wartościowy? Zapisz się na nasz newsletter i bądź na bieżąco z naszymi blogowymi nowościami

Inspektor Ochrony Danych

W sytuacji, kiedy w administrator w swojej strukturze powołał Inspektora Ochrony Danych (dalej: IOD), zobowiązany jest on do przekazania jego danych kontaktowych. Dane kontaktowe IOD powinny umożliwiać osobom, których dane dotyczą, nawiązanie z nim kontaktu w łatwy sposób (adres korespondencyjny, telefon kontaktowy, dedykowany adres email).

Art. 13 RODO nie wymaga publikowania imienia i nazwiska IOD. Zamieszczenie takich informacji w przekazywanej podmiotowi danych klauzuli informacyjnej należy traktować jedynie jako dobrą praktykę.

Decyzja o tym, czy udostępnienie tych danych może być konieczne lub pomocne, powinna zostać podjęta wspólnie przez administratora oraz IOD. Należy zwrócić uwagę, że zamieszczenie tego typu informacji na formularzach czy kwestionariuszach, za pomocą, których zbierane są dane osobowe, może okazać się na dłuższą metę niepraktyczne. Zmiana personalna na stanowisku IOD, każdorazowo wymagałaby bowiem zmiany stosowanych formularzy. O ile łatwo tego dokonać w przypadku dokumentów w formie elektronicznej, to w przypadku dokumentów w formie papierowej jedynym rozwiązaniem byłoby ich zniszczenie i zastąpienie nowymi, co może generować dość duże koszty.

A jeśli już mowa o Inspektorze Ochrony Danych, to zapraszamy Cię na nasz kurs IOD. W czasie tego praktycznego szkolenia dowiesz się jak zbudować bezpieczny i sprawnie działający system ochrony danych osobowych (w tym – jak poprawnie stosować obowiązki informacyjne).

Cel przetwarzania

Cele przetwarzania danych osobowych powinny zostać wskazane przez administratora w sposób precyzyjny w oparciu o istniejący w tym zakresie stan faktyczny. Z uwagi na zasadę przejrzystości, nie jest dopuszczalne wskazywanie celów przetwarzania na zapas (więcej o zasadach przetwarzania na gruncie RODO tutaj).

Tym samym, nieprawidłowym będzie wskazanie w klauzuli informacyjnej, że dane osobowe mogą być przetwarzane w jakimś celu (np. marketingowym). Takie zwroty mogą powodować, że podmiot danych nie będzie miał pewności co do tego w jakich konkretnie celach jego dane są rzeczywiście wykorzystywane. Zaleca się zatem posługiwanie zwrotami typu: dane osobowe będą / są przetwarzane w jakimś celu (np. marketingowym).

Podstawy przetwarzania danych osobowych

Wskazując podstawy przetwarzania danych należy odnieść się do przesłanek legalizujących wskazanych w art. 6 oraz 9 RODO (więcej o podstawach przetwarzania na gruncie RODO tutaj). Jeżeli  przetwarzanie odbywa się na podstawie prawnie uzasadnionych interesów administratora lub strony trzeciej, należy wskazać jakie konkretnie interesy legalizują to przetwarzanie. Dodatkowo, w ramach dobrej praktyki, w sytuacji, jeżeli podstawę przetwarzania będzie stanowiło wypełnianie obowiązku prawnego ciążącego na administratorze, należałoby wskazać konkretny przepis, z którego ten obowiązek wynika.

Odbiorcy lub kategorie odbiorców

RODO nakłada obowiązek informowania podmiotów danych o odbiorcach lub o kategoriach odbiorców ich danych osobowych, jeżeli takowi istnieją.

Do kręgu odbiorców RODO zalicza nie tylko podmioty, którym dane osobowe są udostępniane, ale również podmioty, którym administrator powierzył przetwarzanie danych osobowych. Oznacza to, że klauzula informacyjna powinna zawierać dane o wszystkich podmiotach, którym administrator przekazuje przetwarzane przez siebie dane osobowe. Pomimo tego, że RODO nie wymaga podania pełnych danych tych podmiotów, dopuszczając wymienianie tylko ich kategorii to punktem wyjścia, w ramach realizacji powoływanej już zasady przejrzystości, powinna być jednak próba konkretnego zdefiniowania tych podmiotów. Jeżeli administrator decyduje się na wskazanie jedynie kategorii odbiorców, powinien być w stanie wykazać, dlaczego uważa, że takie rozwiązanie będzie dla odbiorcy informacji zrozumiałe.

Umowa powierzenia

umowa powierzenia przetwarzania danych

Umowa powierzenia

Trzy gotowe i sprawdzone szablony umowy powierzenia zgodnej z RODO z instrukcją wypełniania.

Zobacz co otrzymasz w pakiecie.

Sprawdź

Podczas podawania informacji o odbiorach danych, administrator powinien zwrócić uwagę, czy któryś z tych podmiotów nie ma siedziby w państwie trzecim (poza Europejskim Obszarem Gospodarczym). Jeżeli tak, wówczas katalog przekazywanych informacji powinien zostać rozszerzony dodatkowo o informacje o zamiarze przekazania danych osobowych do tego państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję Europejską odpowiedniego stopnia ochrony lub wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz o możliwościach uzyskania kopii danych lub o miejscu udostępnienia danych.

Kwestie związane z przekazywaniem danych do państw trzecich zostały omówione w poświęconym temu tematowi odrębnym artykule.

Okres przechowywania danych osobowych

Kolejnym elementem klauzuli informacyjnej, jest wskazanie przez administratora okresu, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteriów ustalania tego okresu. W tym zakresie należy pamiętać o tym, że okresy te mogą się od siebie różnić w zależności od tego jaki jest cel przetwarzania danych. Jeżeli gromadzone dane będą przetwarzane w różnych celach, należy wskazać okresy przechowywania danych dla tych różnych celów. Administrator może dopełnić tego obowiązku poprzez wskazanie konkretnych dat (np. do 31 grudnia 2018 r.), przedziałów czasowych (np. przez okres 5 lat, przez okres obowiązywania zawartej umowy, etc.) lub sytuacji (np. do czasu wycofania zgody, do czasu wniesienia sprzeciwu, etc.).

Prawa przysługujące osobie, której dane są przetwarzane

Na gruncie RODO osoba, której dane dotyczą powinna zostać również poinformowana o przysługujących jej prawach, tj. prawie do żądania dostępu do danych osobowych, ich sprostowania, usunięcia lub ograniczenia przetwarzania, prawie do wniesienia sprzeciwu wobec przetwarzania, prawie do przenoszenia danych, a także prawie do wniesienia skargi do organu nadzorczego. Pomimo, że nie jest to wprost wymagane przez RODO, informując podmiot o przysługujących mu prawach, administrator w ramach dobrych praktyk powinien również wskazać mu, jakie kroki powinien on podjąć, aby móc z tego prawa realnie skorzystać (np. wskazując dane  kontaktowe do organu nadzoru).

Jeżeli przetwarzanie odbywa się na podstawie zgody, administrator powinien przekazać osobie, której dane dotyczą informacje o prawie do cofnięcia tej zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na jej podstawie przed jej cofnięciem.

W sytuacji, jeżeli dane gromadzone są w związku z wymogiem ustawowym lub umownym lub pod warunkiem zawarcia umowy, a osoba, której dane dotyczą, jest zobowiązana do podania tych danych, administrator powinien ją o tym poinformować oraz dodatkowo wskazać jakie są ewentualne konsekwencje niepodania przez nią danych osobowych.

Możliwą konsekwencją niepodania danych może być przykładowo brak możliwości zawarcia umowy (w sytuacji jeżeli podmiot odmawia przekazania danych identyfikujących). W tym zakresie należy podkreślić, że ten element klauzuli informacyjnej, nie może być wykorzystywany przez administratorów do wymuszania podania przez osoby, których dane dotyczą szerszego zakresu danych niż jest to niezbędne dla celu przetwarzania (np. zastrzeganie adresu email jako niezbędnego do zawarcia umowy).

Profilowanie, automatyczne podejmowanie decyzji

Ostatni z punktów art. 13 RODO wymaga od administratora dostarczania podmiotowi danych konkretnych informacji o automatycznym podejmowaniu decyzji, opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i wywołujących wobec tego podmiotu skutki prawne lub w podobny sposób istotnie na niego wpływających (art. 22 RODO).

Kwestii zautomatyzowanego podejmowania decyzji oraz profilowania, poświęcony zostaał osobny artykuł z naszej serii publikacji o RODO. Na potrzeby tego artykułu warto zasygnalizować jedynie, że decyzje oparte na zautomatyzowanym przetwarzaniu danych, w tym profilowaniu, są obecnie powszechnie wykorzystywane w obszarach takich jak sektor bankowy, ubezpieczeń czy zdrowia. Decyzje takie podejmowane są przy wykorzystaniu dedykowanych algorytmów m.in. na potrzeby scoringu kredytowego, określania limitów na kartach kredytowych, etc. Jeżeli administrator podejmuje takie decyzje, musi:

  • przekazać osobie, której dane dotyczą, informacje że wykonuje na jej danych tego typu działania oraz określić ich cel;
  • dostarczać istotnych informacji o regułach podejmowania takich decyzji, w szczególności czynnikach wpływających na określoną treść decyzji;
  • wyjaśnić znaczenie i przewidywane konsekwencje takiego przetwarzania.

Zbieranie danych w sposób inny niż od osoby, której dane dotyczą

W sytuacji, kiedy dane osobowe zbierane są w sposób inny niż od osoby, której one dotyczą, administrator podaje tej osobie następujące informacje:

1. tożsamość i dane kontaktowe administratora,

2. gdy ma to zastosowanie – tożsamość i dane kontaktowe przedstawiciela administratora.

3. gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych,

4. cele przetwarzania danych osobowych,

5. podstawy prawne przetwarzania,

6. kategorie odnośnych danych,

7. informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją,

8. gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz warunkach tego przekazania,

9. okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu,

10. jeżeli przetwarzanie odbywa się na podstawie prawnie uzasadnionych interesów administratora lub strony trzeciej, te realizowane interesy,

11. informacje o przysługujących osobie, której dane dotyczą prawach,

12. jeżeli przetwarzanie odbywa się na podstawie zgody, informacje o prawie do jej cofnięcia; w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na jej podstawie jej cofnięciem,

13. informacje o prawie wniesienia skargi do organu nadzorczego,

14. źródło pochodzenia danych, a gdy ma to zastosowanie informacja czy dane pochodzą ze źródeł publicznie dostępnych,

15. informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu.

Część z tych informacji pozostaje analogiczna do informacji podawanych w przypadku zbierania danych osobowych bezpośrednio od osoby, której dane dotyczą (dot. to m.in. informacji o administratorze, inspektorze ochrony danych, celach i podstawach przetwarzania, etc.).

W przypadku wtórnego pozyskiwania danych RODO rozszerza katalog przekazywanych informacji o kategorie odnośnych danych osobowych oraz wskazanie źródła ich pochodzenia.

Kategorie danych osobowych

Poprzez pojęcie kategorie odnośnych danych należy rozumieć kategorie danych osobowych pozyskanych przez administratora z innego źródła. Kategorie tych danych mogą zostać wskazane dwojako, albo poprzez wskazanie typów i rodzajów danych (np. dane identyfikacyjne, dane pracownicze) albo poprzez wskazanie zakresu informacji (np. imię, nazwisko, email, adres). Biorąc pod uwagę zasadę przejrzystości przetwarzania danych zasadnym będzie przyjęcie przez administratora drugiego ze wskazanych rozwiązań.

Źródło pochodzenia danych

Źródło pochodzenia danych powinno zostać określone przez administratora w sposób jak najbardziej  precyzyjny, tak aby podmiot danych mógł je w sposób poprawny zidentyfikować, bez konieczności podejmowania w tym zakresie nadmiernych działań. W sytuacji, kiedy administrator danych pozyskał dane z różnych źródeł, RODO (motyw 61) dopuszcza przedstawienie tych źródeł w sposób ogólny. Sytuacja taka powinna jednak stanowić wyjątek, a niemożność podania źródła powinna oznaczać okoliczność  o charakterze obiektywnym, a nie stanowić subiektywne odczucie administratora (jak np. konieczność skrócenia klauzuli z uwagi na ograniczoną ilość znaków w przesyłanej do podmiotu danych wiadomości).

 Poniżej rozwiązanie dla tych który chcą samodzielnie wdrożyć RODO w swojej organizacji:

, , ,
Ekspert ds. ochrony danych osobowych Absolwentka Wydziału Prawa i Administracji Uniwersytetu Kardynała Stefana Wyszyńskiego w Warszawie. Ukończyła także studia podyplomowe Wykonywanie funkcji Administratora Bezpieczeństwa Informacji i Inspektora Ochrony Danych prowadzone w Instytucie Nauk Prawnych Polskiej Akademii Nauk. Specjalizuje się w prawie ochrony danych osobowych. Zajmuje się przeprowadzaniem audytów zgodności procesów przetwarzania danych, tworzeniem oraz wdrażaniem systemów ochrony danych osobowych i bezpieczeństwa informacji oraz kompleksową obsługą podmiotów publicznych i prywatnych w tym zakresie. Brała udział w kilkudziesięciu projektach audytorskich realizowanych głównie dla podmiotów z sektora finansowego (m.in. windykacja, bankowość), branży produkcyjnej oraz oświaty. Swoje zainteresowania skupia wokół zagadnień związanych z przetwarzaniem danych osobowych przez grupy kapitałowe m.in. w zakresie przekazywania danych wewnątrz grup, w tym do państw trzecich. Współautorka bloga poświęconego tematyce ochrony danych osobowych (www.blog-daneosobowe.pl).

Related Posts

Nowości w prawie
Kontrola trzeźwości – co na to nowelizacja kodeksu pracy?
obowiązek informacyjny RODO
Analizy
7 błędów przy dopełnianiu obowiązku informacyjnego
rodo faq
#RODOFAQ
Kim jest odbiorca danych? #RODOFAQ

416 Responses

      1. Roman
        Reply

        Witam. w jaki sposób zrealizować obowiązek informacyjny nie posiadając kontaktu do osoby, której dane dotyczą? Dane w postaci imienia, nazwiska, nr PESEL pozyskane od innej osoby).
        pozdrawiam

    2. GosiaL
      Reply

      Czy w przypadku wystawienia faktury sprzedażowej dla kontrahenta mamy obowiązek zapoznać go z klauzulą informacyjną, dołączoną np. do regulaminu sprzedaży, dać mu ją do podpisu, by móc udowodnić, że się z nią zapoznał? Przetwarzamy jego dane nie na podstawie zgody, tylko m.in. na podstawie przepisów prawa i realizacji prawnych obowiązków ciążących na administratorze. Czy wtedy też musimy spełniać obowiązek informacyjny czy tylko w przypadku, gdy przetwarzanie odbywa się na podstawie jego zgody? Po zgodę sięgamy w ostateczności, gdy nie mamy innych legalnych przesłanek przetwarzania. Chodzi mi o to, żeby nie dać się zwariować i nie tworzyć nadmiernej papierologii na „w razie czego”.

      1. Lex Artist
        Reply

        Dzień dobry 🙂 jeśli klauzula informacyjna jest częścią regulaminu sprzedaży, z którym zapoznaje się każdy kupujący (np. regulamin jest zamieszczony na stronie internetowej) nie widzimy konieczności dodatkowego jej przedstawiania i podpisywania, pozdrawiamy

  2. Artur
    Reply

    Artykuł 14 ustęp 5 RODO przewiduje wyłączenia obowiązku informacyjnego. Są wskazane m.in. takie sytuacje, jak to że fakt spełnienia obowiązku informacyjnego może uniemożliwić lub poważnie utrudnić realizację celów takiego przetwarzania. Jeżeli więc wierzyciel dostanie nowe informacje o stanie majątkowym, miejscu przebywania lub stanie zdrowia dłużnika (od sąsiadów, komornika itp.), to czy może nie przekazywać takiej informacji dłużnikowi, gdy mogłoby to utrudnić odzyskanie należnych pieniędzy?
    Dodatkowo, czy art. 15 ust. 5 d) może odnosić się do tajemnicy bankowej?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. W zakresie pierwszego pytania – wszystko zależy od tego, czy dane o sytuacji finansowej, które zostały pozyskane potraktujemy jako nowe dane osobowe, czy też dane zaktualizowane. W drugim przypadku obowiązek informacyjny w ogóle nie istnieje, ponieważ nie mamy wówczas do czynienia z pierwotnym zebraniem danych. W pierwszym natomiast z czysto prawnego punktu widzenia obowiązek taki istnieje. Prosimy jednak pamiętać, że osoba, której dane dotyczą, z uwagi na relację wierzyciel-dłużnik, nie będzie mogła skorzystać z niektórych uprawnień, w które wyposaża ją RODO (np. w prawo do sprzeciwu wobec przetwarzania danych, czy prawo do bycia zapomnianym). Co do drugiego pytania – dokładnie tak. 🙂 Pozdrawiamy!

  3. Aga
    Reply

    Mam może banalne pytanie, ale w natłoku informacji już nie mam pewności. Jeśli zbieram tylko podstawowe dane klienta – nazwisko, adres, telefon, które są wykorzystywane tylko w celu realizacji umowy zakupu , to czy muszę od niego uzyskać zgodę?
    I druga kwestia – czy od pracowników, których dane są zbierane i wykorzystywane tylko na potrzeby związane z zatrudnieniem , czy od nich też muszę mieć zgodę? Wiem , że jeśli chciałabym wykorzystać ich zdjęcie np. w firmowej korespondencji , to wtedy zgoda na to jest konieczna.
    Z góry dziękuję i pozdrawiam 😉

      1. Magda
        Reply

        Czy przy przewarzaniu danych osobowych pracowników szerzej niz pozwala na to prawo pracy (np.wizerunek) zgoda pracownika faktycznie nie jest wymagana?

        1. Kancelaria Lex Artist
          Reply

          Dzień dobry. Jeśli chodzi o wizerunek, wszystko zależy od tego, w jakim celu ten wizerunek będzie przetwarzany. Przykładowo – jeśli planują Państwo przetwarzać wizerunek pracowników na kartach identyfikacyjnych w celu zapewnienia bezpieczeństwa na terenie zakładu pracy, to jest to dopuszczalne bez zgody pracowników, jednak informację o przetwarzaniu wizerunku należy wtedy zawrzeć w zapisach Regulaminu Pracy. Natomiast jeśli np. wizerunek pracowników miałby być wykorzystany w komunikacji promocyjnej z Klientem (choćby na stronie internetowej Państwa firmy), to wówczas koniecznym byłoby pozyskiwanie od pracowników zgody na przetwarzanie wizerunku. Proszę pamiętać również o tym, że wizerunek (oprócz przepisów o ochronie danych osobowych) chroniony jest także przepisami ustawy o prawie autorskim i prawach pokrewnych. Pozdrawiamy!

  4. Michał
    Reply

    Biuro rachunkowe (mój procesor) poinformowało mnie, że w bazie ich programu są dane archiwalne dotyczące mojego przedsiębiorstwa, które zgodnie z prawem powinny być nadal przechowywane. Chodzi tutaj zarówno o dane osobowe byłych pracowników, zleceniobiorców, jak również o dane byłych kontrahentów (osób fizycznych) w postaci informacji zawartych w wystawionych przez nich lub dla nich fakturach (na fakturach są zarówno dane kontrahenta ujawnione w CEiDG, jak i inne informacje, takie jak: numer rachunku bankowego, rodzaj wykonanej usługi, czy też jej wartość – te informacje są również w bazie programu księgowego). Biuro zwróciło mi uwagę, że przed 25 maja powinienem wypełnić obowiązek informacyjny (art. 13 RODO) wobec tych osób – jest to spora liczba osób. Czy faktycznie jestem zobowiązany do poinformowania tych osób o przetwarzaniu zgodnie z RODO? Czy przyjmując fakturę od nowego kontrahenta (osoby fizycznej) powinienem przedstawić tej osobie informacje zgodnie z art. 13 RODO (w tym podać dane biura rachunkowego jako odbiorcy danych osobowych)?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Z czysto prawnego punktu widzenia powinien Pan dopełnić obowiązku informacyjnego zarówno wobec osób, których dane Pan już posiada, jak i od osób, których dane Pan pozyska po 25 maja 2018 r. Zdajemy sobie jednak sprawę, iż co do osób, które są np. w archiwach, z praktycznego punktu widzenia może się to nawet okazać niewykonalne. W tym zakresie pozostaje czekać na ewentualne rekomendacje organu nadzoru. Natomiast po 25 maja, wystawiają faktury czy podpisując z kimś umowę, powinien zostać spełniony obowiązek informacyjny zgodny z art. 13 RODO, który m. in. zakłada podanie odbiorców danych lub przynajmniej ich kategorii. To oznacza, że nie musi Pan np. wskazywać konkretnego biura rachunkowego, lecz samą „kategorię” odbiorców czyli np. „biura rachunkowe, spółki/firmy prowadzące obsługę rachunkowo-księgową” lub podobne. Pozdrawiamy!

      1. Michał
        Reply

        Bardzo dziękuję za wyczerpującą odpowiedź. Czy są Państwu znane jakieś wytyczne albo wskazówki, jak w praktyce wypełnić obowiązek informacyjny w sytuacji, gdy administrator przyjmuje fakturę od osoby fizycznej, np. za zakupy w sklepie spożywczym, którego właścicielem jest osoba fizyczna albo za wymianę opon itp. Dane tej osoby będą przetwarzane do celów księgowych. Czy od 25 maja należy mieć zawsze pod ręką formularz z informacją i po dokonaniu zakupu przekazać go sprzedawcy oraz poprosić sprzedawcę o potwierdzenie podpisem faktu zapoznania się z nim? Czy też w przypadku przyjmowania faktur od dostawców tego obowiązku nie będzie?

        1. Kancelaria Lex Artist
          Reply

          Mamy takie informacje i wskazówki, natomiast jest to już usługa płatna. 🙂 Najlepiej informację zamieścić razem z fakturą. Pozdrawiamy!

      2. Michał Be
        Reply

        Dzień dobry, jaka jest podstawa prawna dochowania obowiązku informacyjnego w przypadku osób, których dane osobowe już posiadam? art. 13 ust. 1 RODO wskazuje, iż obowiązek informacyjny aktualizuje się ,,podczas ich pozyskiwania”.

        1. Kancelaria Lex Artist
          Reply

          Dzień dobry. Tak też przyjmujemy w Lex Artist – wobec osób, których dane osobowe były przetwarzane przez administratora danych, przed rozpoczęciem stosowania RODO, nie ma nakazu dopełnienia ponownie obowiązku informacyjnego. Pozdrawiamy!

  5. Kasia
    Reply

    Mam pytanie – jak informować klientów w obowiazku informacyjnym z art.13 RODO o okresie przetwarzania ich danych w newsletterze? od czego ten okres zależy? jak liczyć ten okres?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Przetwarzanie danych w newsletterze odbywa się na podstawie zgody osoby, której dane dotyczą. Wobec tego jako okres przetwarzania danych w tym zakresie należy wskazać, że dane będą przetwarzane do momentu wycofania zgody. Pozdrawiamy!

  6. Sylwek
    Reply

    Długi artykuł jak na sam obowiązek informacyjny (ale jednak czytelny), jednak RODO bardzo zwiększa zakres pobieranych danych. W związku z obowiązkiem (który może wynikać ze zgody), mam pytanie o wizytówkę. Czy potrafi mi Pan/i odpowiedzieć na jedno pytanie: na targi jedzie Dyrektor Sprzedaży, czy może on dysponować wizytówkami innej osobie w firmie (takimi danymi jak imię i nazwisko przedstawiciela handlowego, który mu podlega?). Czy może też przekazać kontakt (imię nazwisko, telefon, mail) np: do Działu Technicznego swojej firmy. Bo jednak Dyrektor nie dysponuje swoimi danymi osobowymi, ale z drugiej strony, trudno, żeby te czynności nie były podejmowane. Jaką podstawę prawną możemy ewentualnie zastosować: art 6.1.b czy art. 6.1.f??

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Dziękujemy, że mimo długości, artykuł jest czytelny. 🙂 Niestety, jeśli Pan spojrzy w zakres obowiązku informacyjnego w art. 13 RODO, to również jest on baaaardzo długi. 🙂 Jako podstawę prawną do opisywanego przez Pana stanu faktycznego można przyjąć prawnie uzasadniony interes (art. 6 ust. 1 lit f RODO), należy jednak zadbać o to, aby kontakty do pracowników, które Państwa Dyrektor dystrybuuje miały na celu relacje biznesowe (związane z Państwa firmą). Pozdrawiamy!

  7. Sylwek
    Reply

    A takie pytanie. Dzwoni ktoś do centrali i chce rozmawiać z pracownikiem marketingu czy sprzedaży (nie mamy możliwości zidentyfikowania osoby dzwoniącej). Pracownik marketingu (czy sprzedaży) czasami się przedstawia (imię, nazwisko, firma-więc podaje automatycznie swoje dane osobowe), czy przełączenie z centrali (sekretariatu) do tej osoby można podłączyć pod prawnie uzasadniony interes (art. 6 ust. 1 lit f. RODO)? Druga sytuacja: do sekretariatu (działu HR) dzwoni urzędnik, informacje, które chce uzyskać z centrali/sekretariatu są danymi osobowymi pracownika firmy, czy mamy mu te dane podać (czy może zaproponować bezpieczniej kontakt mailowy?). Jeżeli nie możemy podać, ale numer, z którego dzwoni urzędnik łatwo zweryfikować, że jest to numer urzędu (bo jest na stronie urzędu; bo jest na platformie sprawozdawczej GUS;), czy wtedy możemy dane osobowe pracownika podać?

    1. Kancelaria Lex Artist
      Reply

      Po odpowiedzi na bardziej złożone i wymagające poświęcenia więcej czasu kwestie zapraszamy do skorzystania z usługi konsultacji. 🙂 Pozdrawiamy!

  8. Fabian
    Reply

    Firmy, które przetwarzają informacje mają teraz ogromny problem związany z wprowadzeniem regulacji o ochronie danych osobowych. Co prawda czytałem coś o zwolnieniu z tych regulacji małych i średnich firm, ale nie wiem dokładnie co z tego wyjdzie. Jeśli nie wiemy wszystkiego na pewno warto skorzystać z pomocy specjalistów.

  9. Aleksandra
    Reply

    Dzień dobry, proszę o odpowiedź na pytanie czy obowiązek informacyjny względem klientów (osoby fizyczne prowadzące działalność gospodarczą) może zostać zrealizowany poprzez informację na stronie internetowej firmy? Czy powinniśmy raczej poinformować każdego klienta indywidualnie (co przyznam, że ze względu na ilość klientów może okazać się czasochłonne)?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Tak, jest taka możliwość, z tym że powinien być zamieszczony w miejscu widocznym dla wszystkich klientów. Jeśli np. realizują Państwo obowiązek informacyjny w związku z zakupem jakiegoś towaru w sklepie internetowym, to najlepiej będzie dopełnić obowiązku informacyjnego na stronie formularza zamówienia. Pozdrawiamy!

  10. Mirosław
    Reply

    Dzień dobry, w sprawie RODO – jeśli pracodawca zleca badania profilaktyczne firmie medycznej, to administratorem danych jest pracodawca a firma medyczna jest podmiotem przetwarzającym dane na podstawie umowy powierzenia. Jednak w trakcie procesu badania profilaktycznego, firma medyczna pozyskuje dane medyczne od pracownika/pacjenta i nie przekazuje ich pracodawcy (jedynie końcowe orzeczenie). Jaka jest funkcja firmy medycznej w odniesieniu do powierzonych danych, a jaka w odniesieniu do pozyskanych przez siebie danych medycznych?
    Pozdrawiam

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Jeżeli mamy do czynienia z badaniami profilaktycznymi, które pracodawca musi realizować na podstawie przepisów prawa pracy, to mamy wówczas do czynienia z udostępnieniem danych osobowych firmie medycznej, a nie z powierzeniem przetwarzania danych osobowych. Podstawą prawną jest art. 6 ust. 1 lit. c RODO (obowiązek prawny). Firma medyczna staje się wówczas odrębnym administratorem udostępnionych jej danych. Pozdrawiamy!

  11. Paweł
    Reply

    Witam
    Mam takie pytanie w związku z obowiązkiem informacyjnym, posiadamy opracowane klauzule, czy po 25.05 musimy wysłać listy z nimi do wszystkich osób, których dane obecnie przetwarzamy. Są to dane przetwarzane na podstawie ustaw np. płatnicy opłat za wodę i ścieki. Czy można przyjąć inny schemat np. strona internetowa ale co z zasadą rozliczności.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Dobrym pomysłem jest zamieszczenie klauzuli informacyjnej na Państwa stronie internetowej, jednak w celu zapewnienia rozliczalności proponujemy np. wysyłkę maila lub poczty do osób, których dane Państwo przetwarzają z informacją, iż pod danym adresem strony internetowej mogą uzyskać informacje, które są Państwo obowiązani podać zgodnie z art. 13 RODO. Pozdrawiamy!

  12. GABRIELA
    Reply

    Dzień dobry, jeśli chcemy (albo raczej musimy) umieścić klauzulę informacyjną na stronie naszej instytucji (sektor finansów publicznych), to jaki mamy wskazać cel lub cele przetwarzania danych i ich podstawy prawne, skoro tych celów jest wiele?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Cele powinny być dopasowane do zakresu danych, które są wykorzystywane w danym celu i każdy z nich powinien być wskazany w klauzuli informacyjnej. To samo tyczy się podstaw prawnych. Pozdrawiamy!

  13. Gabriela
    Reply

    No właśnie, ale jeśli informacje umieszczamy na głównej stronie i piszemy tam, kto jest administratorem danych, inspektorem ochrony danych, jakie prawa ma osoba, której dane dotyczą… to mamy wymienić wszystkie cele, tzn np że dane będą przetwarzane w procesie rekrutacji i w każdym innym celu, który będzie miał zastosowanie w naszej firmie czy? pozdrawiam

    1. Kancelaria Lex Artist
      Reply

      Obowiązek informacyjny w poszczególnych procesach realizowany może być w różnych miejscach, odpowiedź na pytania o konkretne cele/procesy wymaga znacznie szerszej analizy. Pozdrawiamy!

  14. Karol
    Reply

    Witam

    Chciałbym się zapytać czy w myśl przepisów RODO nr telefonu stanowi dane wrażliwe?
    Przykład: w szkole odbywają się zapisy na kursy językowe i zainteresowani uczniowie proszeni są o podanie swojego imienia oraz nr telefonu do rodzica w celu kontaktu w związku z tym kursem, którym zainteresował się uczeń będzie możliwe po wprowadzeniu RODO ?

    Pozdrawiam

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Nr telefonu nie stanowi szczególnej kategorii danych (tzw. danych wrażliwych), o których mowa w art. 9 RODO. Pozdrawiamy!

      1. Darek
        Reply

        Witam,
        Proszę o uzupełnienie Państwa odpowiedzi, nie kryję iż mam wątpliwości ponieważ zarówno można zidentyfikować osobę po np: nr rejestracyjnym pojazdu ( i te dane są danymi wrażliwymi) jak i można zidentyfikować osobę po nr tel, ponieważ w myśl przepisów nie można zakupić karty SIM bez pełnej weryfikacji danych osobowych kupującego. Uprzejmie proszę o doprecyzowania Państwa stanowiska.
        Pozdrawiam.

        1. Kancelaria Lex Artist
          Reply

          To, czy po jakichś danych możemy zidentyfikować daną osobę, nie przesądza o przynależności tej kategorii danych do tzw. danych wrażliwych (czy też jak mówi RODO „szczególnej kategorii danych”). Te szczególne kategorie danych wprost wskazuje art. 9 RODO: dane osobowe ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz dane genetycznych, dane biometryczne lub dane dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby. Zatem w świetle RODO, zarówno nr telefonu, jak i przytoczony przez Pana nr rejestracyjny pojazdu nie stanowią szczególnych kategorii danych czyli tzw. danych wrażliwych. Pozdrawiamy!

  15. Paweł
    Reply

    A co w przypadku, gdy instytucja publiczna korzysta z rejestrów np ZUS czy US, w celu przyznania świadczenia. Docelowo miało to być udogodnieniem dla klientów, którzy nie muszą przynosić stosownych zaświadczeń. Czy obecnie pozyskanie informacji z takiego rejestru, w trakcie procedury przyznawania np „becikowego”, będzie wymagało poinformowanie o tym fakcie klienta, który złożył wniosek?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Tak, jednak taki obowiązek można spełnić zamieszczając np. klauzulę informacyjną na wniosku o udzielenie świadczenia. Pozdrawiamy!

      1. Paweł
        Reply

        Dziekuję. Mam jeszcze jedno pytania. W mojej instytucji posiadamy politykę bezpieczeństwa opartą na uodo, której nowelizacji póki co nie ma. Czy po wejściu RODO będzie mieć obowiązujące w jednym czasie dwa akty prawne w zakresie danych osobowych? Jeśli tak to, czy stosujemy akt europejski, czy oba?

        1. Kancelaria Lex Artist
          Reply

          Dopóki nie zostanie uchwalona nowa ustawa o ochronie danych osobowych (stanowiąca uzupełnienie RODO), będzie obowiązywać obecna ustawa, jednak RODO jest rozporządzeniem unijnym, które jest bezpośrednio stosowane w krajach członkowskich. Jeśli przepisy obecnej UODO będą sprzeczne z przepisami RODO, to w razie kolizji stosujemy przepisy RODO. Pozdrawiamy!

  16. Kamil
    Reply

    Dzień dobry. Pytanie odnośnie obowiązku informacyjnego pod prostym formularzem kontaktowym na stronie firmy: Jeżeli formularz ten służy wyłącznie odpowiedzi na zadane przez klienta pytanie i dane przez niego podane nie są przetwarzane do żadnych innych celów to czy zasadne jest podawanie tak rozbudowanej wielopunktowej klauzuli, którą proponuje RODO? Rozumiem, że w tej sytuacji lepiej się odwołać do regulaminu lub polityki prywatności poprzez umieszczenie np. informacji „W związku z wypełnieniem powyższego formularza przetwarzamy Twoje dane osobowe. O szczegółach dowiesz się z naszej polityki prywatności „link”.? Bo wydaje mi się dość absurdalnym, żeby pod prostym formularzem umieszczać jakąś rozbudowaną klauzulę, w której piszemy o podstawie prawnej, celu, administratorze, inspektorze, wszystkich prawach etc jeżeli danych na dobrą sprawę się później nie wykorzystuje.
    Proszę mnie też utwierdzić w przekonaniu, jeżeli takie dane chciałbym później jednak zachować w celu ponownego kontaktu z klientem np. w celu przedstawienia oferty w przyszłości to czy musi być pod formularzem klauzula zgody z checkboxem do zaznaczenia czy wystarczy jedynie sucha informacja że dane są zbierane również w tym celu?
    Z góry dziękuję za odpowiedź i pozdrawiam

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Jeśli chodzi o drugie pytanie – tak, jest wymagane zebranie odrębnej zgody na przetwarzanie danych osobowych w celach marketingowych. Natomiast co do pierwszej kwestii – jest wiele różnych możliwości technicznych rozwiązania tego problemu. Pod formularzem można zamieścić np. (najlepiej wytłuszczony) napis „Klauzula informacyjna RODO” lub inny, gdzie po najechaniu kursorem rozwijałaby się pełna treść klauzuli. Pozdrawiamy!

      1. Kamil
        Reply

        Dziękuję za odpowiedź. Jeszcze tylko celem doprecyzowania: czy w momencie zbierania danych jedynie w celu odpowiedzi na zadane pytanie w klauzuli informacyjnej jako podstawę prawną należy podać art. 6 ust 1 pkt f) czyli prawnie uzasadniony cel administratora? Jeśli tak to jak nazwać ten cel? Czy sama odpowiedź na zadane pytanie to już marketing bezpośredni?

        1. Kancelaria Lex Artist
          Reply

          Po szersze informacje zapraszamy do skorzystania z usługi konsultacji. 🙂 Pozdrawiamy!

  17. Krzysztof
    Reply

    Dzień dobry,

    Jestem zwykłym „kowalskim” , nie mam firmy.
    Prowadzę bloga i w nim są komentarze gdzie ktoś podaje email nicka i komentuje jak ja teraz 🙂
    Jest formularz kontaktowy na stronie który działa podobnie imię, nazwisko nick email i wysyła się do mnie wiadomość.
    Czy mnie też dotyczą przepisy o rodo i muszę się bać ew. sankcji kar itd za nie dopełnianie obowiązku rodo informacyjnego czy czego tam jeszcze ?
    Jedynie jest na stronie o ciastkach wyskakujące info i nic więcej…

    Pozdrawiam

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. RODO nie ma potrzeby się bać. 🙂 Niemniej jednak zalecamy każdemu, kto przetwarza dane osobowe (nawet jeśli jest osobą fizyczną), aby dostosował się do jego przepisów. Pozdrawiamy!

  18. Martyna
    Reply

    Dzień dobry! Czy w przypadku, kiedy organizator szkolenia (stowarzyszenie) zamierza robić zdjęcia podczas wydarzenia, przetwarzanie danych (wizerunku) można oprzeć o uprawniony interes administratora? Czy koniecznie musi być na to zgoda uczestnika? Pozdrawiam!

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Koniecznym będzie pozyskanie zgody na przetwarzanie danych osobowych w postaci wizerunku. Pozdrawiamy!

  19. Paweł
    Reply

    Dzień Dobry. Czy w przypadku przetwarzania danych na podstawie ustaw, gdzie jest wyraźnie napisane że Wójt prowadzi rejestr (np rejestr mieszkańców), w klauzuli informacyjnej zamieszczamy prawo do usunięcia danych i prawo do wniesienia sprzeciwu wobec przetwarzania. Pozdrawiam.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Nie zamieszczamy, ponieważ prawa te nie przysługują osobie, której dane dotyczą, w wypadku przetwarzania danych osobowych na podstawie obowiązku prawnego ciążącego na administratorze danych osobowych. Pozdrawiamy!

  20. Mario
    Reply

    Obowiązek informacyjny wypełniamy przy każdorazowym pozyskaniu danych? Np. przy składanych cyklicznie wnioskach w pomocy społecznej, dodatkach mieszkaniowych czy świadczeniach rodzinnych.
    Czy też trzeba spełnić obowiązek informacyjny wobec tych których dane już mamy w posiadaniu. Tych którzy składali wnioski wcześniej i mają trwające świadczenia, lub wygasłe.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Wystarczy spełnić go przy pierwszym pozyskaniu danych od danej osoby. Zasadniczo powinno się spełnić taki obowiązek wobec osób, których dane Państwo już przetwarzają, a przynajmniej te elementy obowiązku informacyjnego, które są nowe w RODO (np. prawo do wniesienia skargi do organu nadzoru). Pozdrawiamy!

      1. Agnieszka
        Reply

        Dzień dobry, jeżeli posiadamy dane osobowe wielu klientów zbierane w trakcie współpracy, ale nie mamy udokumentowanych zgód na przetwarzanie danych (często były to rozmowy telefoniczne nierejestrowane) czy musimy je w przypadku RODO na nowo udokumentować? Jesteśmy firmą handlowo usługową i jeżeli klient chce skorzystać z naszych usług to musi podać dane do realizacji usługi (adres firmy, imię nazwisko, tel, e-mail). Czy możemy domniemać, że składając zamówienie (pisemne lub telefoniczne) dobrowolnie podaje dane i jest to jednoznaczne z wyrażeniem zgody na przetwarzanie? W celu realizacji zamówienia musimy przekazać dane klienta kurierowi, często wraz z imieniem, nazwiskiem i nr telefonu. Czy musimy z firmą kurierską podpisać porozumienie na przekazanie danych? Jak powinno się fachowo nazywać? Z góry dziękuję

        1. Kancelaria Lex Artist
          Reply

          Dzień dobry. Na przetwarzanie danych Klientów w celu wykonania umowy (zrealizowania usługi) nie jest wymagana zgoda na przetwarzanie danych osobowych, także uspokajamy w tym zakresie. 🙂 Jeżeli chodzi o kurierów, to przyjmujemy, iż mamy do czynienia z udostępnieniem danych osobowych osób, którym przesyłka ma być dostarczona. Pozdrawiamy!

          1. Sara

            Witam,
            Zgodna nie jest wymagana, a czy jest wymagany obowiązek informacyjny? Mam na myśli bardziej jednoosobowe działalności niż spółki 🙂

  21. Karolina
    Reply

    Dzień dobry,
    1. Czy dane klienta kupującego towar na stronie internetowej, który to proces obsługuje zaprojektowany system, jest zautomatyzowanym przetwarzaniem danych osobowych?

    2. Czy należy w stopkach maili dodać klauzulę informacyjną? Jeśli tak jak zawrzeć tyle informacji w tak małym formacie?
    Pozdrawiam

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry.

      1) Tak, ale na pytanie, czy mamy do czynienia z tzw. profilowaniem kwalifikowanym można odpowiedzieć wówczas, gdy odpowiemy sobie na pytanie, czy to zautomatyzowane przetwarzanie łącza się również z automatycznym podejmowaniem decyzji, które mają istotny wpływ na osobę, której dane dotyczą.

      2) Klauzulę informacyjną należy podać przy zbieraniu danych osobowych od osoby, której dane dotyczą. Decyzja, czy będzie to w stopce maila, czy w innym miejscu, należy do administratora danych. Nie jesteśmy specjalistami od spraw technicznych, więc w tej kwestii nie doradzimy. 🙂

      Pozdrawiamy!

  22. Bartłomiej
    Reply

    Dzień dobry, a co z prawem „usunięcia lub ograniczenia przetwarzania” w przypadku umów o pracę? Przecież pracownik nie może tego zażądać. Czy informacje o tych prawach powinny się w ogóle znaleźć w przypadku informacji dla pracowników?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Jeśli osoba, której dane dotyczą nie posiada zgodnie z RODO np. prawa do bycia zapomnianym, to nie trzeba zamieszczać informacji o tym prawie w klauzuli informacyjnej. Pozdrawiamy!

  23. Agnieszka
    Reply

    Mam pytanie może nietypowe. Jak wygląda sprawa wszelkich zgód i wymogów w przypadku, gdy np. Kowalski zbiera podpisy pod petycją w jakiejś sprawie. Przykładowo ostatnio w osiedlowym sklepie była wyłożona lista na którą każdy mógł się wpisać, dotycząca kwestii lokalnych. Tabela zawierała dane takie jak nazwisko, adres i Pesel. Czy w ogóle w myśl przepisów RODO można tak zbierać podpisy, czy np. Kowalski może przejść z taką listą wśród sąsiadów a potem przekazać je komuś, kto złoży je w Urzędzie którego sprawa dotyczy?

  24. Reja
    Reply

    Dzień dobry,
    reprezentuję małą firmę. Mamy podpisane umowy o świadczenie usług z innymi przedsiębiorstwami. Umowy są podpisane przez osoby reprezentujące te przedsiębiorstwa i jak rozumiem ich realizacja stanowi podstawę do przetwarzania danych tych osób. Co z pracownikami tych firm? Najczęściej nie kontaktujemy się bezpośrednio z prezesem. Mamy dane pracowników, ich stanowiska i numery telefonów. Przetwarzamy zatem ich dane osobowe. Powinniśmy mieć ich zgodę, czy umowa pomiędzy firmami stanowi podstawę do przetwarzania danych pracowników? Będę bardzo wdzięczna za wyjaśnienie.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. To zależy w jakim celu przetwarzają Państwo dane osobowe swoich kontrahentów, jeśli świadczą Państwo dla nich usługi na zasadzie outsourcingu np. IT, kadry i płace lub podobne, to mamy konieczność zawarcia umowy powierzenia przetwarzania danych osobowych. Pozdrawiamy!

      1. Reja
        Reply

        Dzień dobry. Prowadzimy dla firm usługi doradcze, ale żeby je realizować jesteśmy w kontakcie telefonicznym i mailowym z pracownikami tych firm. Rozumiem, że w tej sytuacji uzasadnieniem posiadania danych pracowników jest uzasadniony interes gospodarczy związany z umową z ich pracodawcą i żadne zgody czy klauzule nie są potrzebne. Zgadza się?

  25. Anka
    Reply

    Witam serdecznie!

    Znakomite wpisy, bardzo rozjaśniają mroczny świat RODO 😉 Mam pytanie odnośnie obowiązku informacyjnego dla kontrahenta. Czy do każdej wystawionej faktury należy dołączyć w jakiś sposób klauzulę informacyjną?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry i dziękujemy serdecznie za miłą opinię! 🙂 Do każdej faktury – nie, natomiast kontrahent, otrzymując pierwszą fakturę, powinien otrzymać razem z nią klauzulę informacyjną. Taką klauzulę można również zawrzeć np. w formularzu zamówienia. Pozdrawiamy!

  26. Krzysztof
    Reply

    Dzień dobry, mam taką wątpliwość, w jaki sposób parafia powinna spełniać obowiązek informacyjny wobec członków Kościoła lub też innych osób, których dane przetwarza w związku wymogami określonymi w prawie kanonicznym lub państwowym ? A co w przypadku przetwarzania danych w innych celach, np. działalności charytatywnej ? Jak osoby te powinny być informowane o przetwarzaniu ich danych ?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Pomocnym będzie art. 91 RODO, który mówi o tym, że jeżeli m. in. kościoły i związki lub wspólnoty wyznaniowe stosują szczegółowe zasady ochrony osób fizycznych, to zasady takie mogą być nadal stosowane, jeśli zostaną dostosowane do wymogów RODO. Większość parafii posiada dziś strony internetowe, nie ma więc przeszkód, aby tam zamieścić klauzulę informacyjną. Jeśli chodzi o działalność charytatywną, to ona często również odbywa się na drukach/formularzach, więc tam można zamieścić klauzulę informacyjną. Pozdrawiamy!

  27. Marta
    Reply

    Witam, znalazłam już kilka cennych porad na Państwa stronie ale męczy mnie jedna wątpliwość 🙂 Zgodnie z RODO jeśli mamy z klientem podpisaną umowę na realizację zamówień to przetwarzamy jego dane zgodnie z prawem bo jest to niezbędne do wykonania naszej umowy. Ale jak się ma do tego obowiązek informacyjny Administratora Danych? Nie musimy podpisywać zgody na przetwarzanie (bo mamy umowę), ale mimo to musimy go poinformować o fakcie zbierania danych?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Dziękujemy – staramy się jak najmocniej rozświetlać mroki RODO. 🙂 Tak, powinno się Klienta poinformować o przetwarzaniu jego danych. RODO stanowi jednak, że obowiązek informacyjny należy dopełnić w momencie zbierania danych. Tak więc, patrząc literalnie, wobec aktualnych Klientów takiego obowiązku nie będzie trzeba spełniać, ponieważ ich dane już Państwo zebrali przed rozpoczęciem stosowania RODO. Natomiast co do nowych Klientów tj. takich, z którymi podpiszą Państwo umowy po 25 maja (czego życzymy w jak największej ilości!), taką klauzulę informacyjną można zawrzeć np. jako załącznik do umowy. Pozdrawiamy!

  28. Anna
    Reply

    Witam, RODO nie określa szczegółowo jak powinna być przeprowadzona analiza ryzyka przetwarzania danych osobowych… zatem czy może ona być prostą tabelą z wymienionymi ryzykami, nazwanymi aktywami, których ryzyko może dotyczyć, prawdopodobieństwem wystąpienia ryzyka oraz sposobami minimalizacji tego ryzyka?
    pozdrawiam

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Tak – ponieważ RODO nie określa sposobu przeprowadzenia analizy, wybór sposobu i metodologii przeprowadzenia analizy ryzyka należy do administratora danych. Z wyborem wiąże się jednak odpowiedzialność za dobór odpowiedniej metody. Pozdrawiamy!

  29. dorota
    Reply

    Dzień dobry, prowadzę jednoosobową działalność gospodarczą- sklep spożywczy (osiedlowy), zatrudniam kilka osób i chciałam zapytać, czy powinnam pracownikom pisać jakieś upoważnienia do przetwarzania danych osobowych. Mają one jedynie wgląd do faktur. korzystają też z terminala płatniczego przy transakcjach bezgotówkowych.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Jeśli pracownicy maja m. in. wgląd do faktur, to powinni takie upoważnienia (choćby w najprostszej formie) otrzymać. Pozdrawiamy!

  31. vera
    Reply

    Dzień dobry! Proszę o odp. na pytanie: czy pracodawca posiada obowiązek informacyjny, i w jakim zakresie, wobec aktualnie zatrudnionych jak i byłych pracowników?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Przyjmujemy, że wobec aktualnie zatrudnionych osób, jak i byłych pracowników, nie istnieje wymóg dopełniania nowego obowiązku informacyjnego – obowiązek taki należy dopełnić w momencie zbierania danych osobowych. W dniu 25 maja nie będą Państwo zbierali danych osobowych obecnych czy byłych pracowników. Dopiero w razie zatrudniania nowych osób po 25 maja 2018 r. należy spełnić obowiązek informacyjny w nowym kształcie (art. 13 RODO). Pozdrawiamy!

  32. Barbara
    Reply

    Dzień dobry, czy firma, która wyszukuje nowych, potencjalnych klientów np. ze strony internetowej krs-u lub innych stron, gdzie jest podane : imię, nazwisko i adres zamieszkania jest zobowiązana do powiadomienia takowej osoby o tym, że dana firma uzyskała jej dane z takiego źródła? Kiedy to zrobić? Czy można to uczynić dopiero wtedy, gdy zostanie do niej wysłała np. przesyłką pocztową oferta firmy i dołączyć do niej list z informacją o źródle pozyskania jej danych?
    Z góry dziękuję za odpowiedź.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Obowiązek informacyjny powinno się spełnić podczas zbierania danych osobowych. Pozdrawiamy!

  33. Maria
    Reply

    Dzień Dobry. Proszę o odpowiedź na pytania: Prowadzę jednoosobową działalność gospodarczą – świadczenie usług doradczych / realizacja projektów. Nie zatrudniam pracowników i podwykonawców i usługi świadczę samodzielnie. Posiadam umowę o świadczenie usług z Klientem, którego personel przesyła informacje e-mailem z wizytówkami biznesowymi w stopkach e-maila i kontaktuje się ze mną telefonicznie w ramach prac związanych z realizacją usług. Współpraca z personelem Klienta jest konieczna do realizacji umowy o świadczenie usług z Klientem a w umowie Klient zobowiązuje się do udostępnienia wszelkich danych i informacji potrzebnych do świadczenia usług. Ponadto w umowie jest klauzula o poufności regulująca postępowanie dotyczące przekazywanych przez Klienta danych i ich udostępniania innym podmiotom. Czy zapisy Klauzuli o poufności są w tym przypadku nadrzędne i w takim przypadku nie są wymagane dodatkowe zgody? Czy w takim wypadku powinnam spełnić obowiązek informacyjny wobec personelu Klienta, który wymienia ze mną korespondencję e-mail czy obowiązek taki ciąży na samym Kliencie.?Czy powinnam dokonać innych czynności w stosunku do personelu Klienta lub samego Klienta?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Występuje Pani w roli tzw. procesora (podmiotu przetwarzającego), a mamy do czynienia z relacją powierzenia przetwarzania danych osobowych. Należy zatem z Pani Klientem podpisać umowę powierzenia przetwarzania danych osobowych. Zgody osób nie są wymagane. Pozdrawiamy!

      1. ZK
        Reply

        nie do końca rozumiem tą odpowiedź – w sytuacji gdy jest relacja zleceniodawca – zleceniobiorca i jest podpisana umowa określająca zakres zlecenia, dlaczego trzeba podpisywać dodatkową umowę powierzenia. w 99% przypadków, jeżeli są umowy / współpraca między firmami, to współpracują ze sobą pracownicy tych firm. Jeżeli do każdej umowy/zlecenia trzeba będzie dodatkowo podpisywać umowy powierzenia i informować pracowników o przetwarzaniu danych to oznaczałoby jakiś paraliż działalności biznesowej… Czy na pewno do każdej umowy z klientem trzeba podpisywać umowę powierzenia w sytuacji gdy jest kontakt z pracownikiem tej firmy?

        Pytanie 2: czy umowę powierzenia trzeba podpisywać z pocztą polską, kurierami – którym przecież przekazywane są listy/przesyłki zawierające dane osobowe klientów?

  35. Hania
    Reply

    Czy obowiązuje w zamówieniach publicznych obowiązek „przypomnienia ” aby wykonawcy informowali swoich podwykonawców, że ich dane są przekazywane? Np. Ogłaszam przetarg, który wygrał Pan „Z”, ale Pan „Z” nie jest w stanie wykonać usługi sam i bierze sobie do pomocy Pana”Y”. Czy my przypominamy Panu Z”, że ma on obowiązek poinformowania Pana „Y”?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Obowiązku takiego wprost nie ma, ale na pewno będzie to dobra praktyka. Pozdrawiamy!

      1. Małgorzata
        Reply

        Dzień dobry. Mam pytanie czy jeśli rozpatrujemy odwołanie na decyzję administracyjną, skargę, zażalenie, to czy mamy obowiązek informować stronę o przetwarzaniu jej danych osobowych jeśli postępowanie jest prowadzone zgodnie z KPA?

        1. Kancelaria Lex Artist
          Reply

          Dzień dobry. Nie, ponieważ przy rozpatrywaniu odwołania nie zbierają już Państwo danych osobowych tych osób. Zostały one zebrane wcześniej podczas postępowania w I instancji. Pozdrawiamy!

          1. Anna

            Dzień dobry. Czy jeśli w treści np. skargi pojawią się dane innych osób niż skarżącego, mamy obowiązek poinformowania tych innych osób na podstawie art. 14 ust. 1 i 2? Czy zachodzi wyłączenie przewidziane w art. 14 ust. 5 lit. c?

          2. Lex Artist

            Dzień dobry 🙂 jeśli mamy jako stronę organ publiczne możemy skorzystać ze wskazanego przez Panią wyłączenia. Pozdrawiamy!

  36. Jarosław
    Reply

    Dzień dobry, chciałbym zapytać o obowiązek informacyjny względem klientów których mamy już w bazie.
    1) Przykładowo kilka lat temu firma dokonała zakupu od rolnika ryczałtowego. W celu wystawienia faktury rr zebrane zostały dane rolnika. Faktura wystawiona została na miejscu, nie bylo zadnej umowy. Dane klienta ciagle sa w naszej bazie – czy wzgledem niego mamy obowiązek informacyjny? Czy przy kolejnej transakcji z tym klientem po 25 maja mamy obowiązek informacyjny?

    2) Nasza firma dokonala zakupu na Allegro towaru od osoby fizycznej prowadzacej dzialalnosc gospodarcza.
    Dane osobowe zostały dodane do naszego systemu ksiegowego wraz z faktura – czy wobec takiego klienta mamy obowiązek informacyjny?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Odpowiadamy:

      1) Nie ma takiej potrzeby.

      2) Tak, powinno się spełnić wówczas obowiązek informacyjny.

      Pozdrawiamy!

      1. Jarosław
        Reply

        1) Czy gdybyśmy chcieli kontaktować się z tym klientem telefonicznie w celach przedstawienia nowej ofert itp to należy wykonać obowiązek informacyjny?

        2) Czy w drugiej sytuacji ma znaczenie czy transakcja została dokonana przed 25 maja? Nie do końca rozumiem czemu w sytuacji 1 nie ma obowiązku, a w sytuacji 2 jest obowiązek.

  37. Gabriela
    Reply

    Witam,
    czy tak skonstruowany obowiązek informacyjny jest poprawny?
    Informujemy, że Administratorem Pani/Pana danych osobowych jest ………….., adres siedziby ………
    Dane kontaktowe Inspektora Ochrony Danych …………….
    Pani/Pana dane osobowe przetwarzane będą w celu przeprowadzenia konkursu na stanowisko……. w ….. na podstawie art. 6 ust. 1 pkt a i c RODO
    Odbiorcą Pani/Pana danych osobowych będą upoważnieni pracownicy ………………………………, którzy przetwarzają dane w związku z przeprowadzeniem konkursu na stanowisko……………………………….
    Pani/Pana dane nie będą przekazywane do państwa trzeciego/organizacji międzynarodowej.
    Pani/Pana dane osobowe będą przechowywane do zakończenia rekrutacji, w której bierze Pani/Pan udział.
    Posiada Pani/Pan prawo dostępu do treści swoich danych oraz prawo ich sprostowania, usunięcia, ograniczenia przetwarzania, prawo do przenoszenia danych, prawo wniesienia sprzeciwu, a w przypadku wyrażenia zgody na przetwarzanie danych, prawo do jej wycofania. Prawo do cofnięcia zgody w dowolnym momencie nie ma wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem.
    Ma Pani/Pan prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, gdy uzna Pani/Pan, iż przetwarzanie danych osobowych Pani/Pana dotyczących narusza przepisy ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 roku.
    Podanie danych jest dobrowolne, ale konieczne w celu przeprowadzenia konkursu, w którym Pani/Pan bierze udział.
    Pani/Pana dane będą nie będą podlegały zautomatyzowanemu podejmowaniu decyzji, w tym profilowaniu .

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Analiza klauzuli informacyjnej wchodzi w zakres usługi konsultacji, po którą zapraszamy. Pozdrawiamy!

  38. Mariusz
    Reply

    Dobry wieczór.
    Bardzo proszę o informację czy w związku z RODO, jako pracownik Działu Personalnego, muszę przygotować klauzulę informacyjną dla pracowników zatrudnionych na dzień 25 maja br czy tylko wręczać takową do zapoznania i podpisu zatrudnianym po 25 maja? Nadmieniam, że nigdy wcześniej nie były pracownikom wręczane dokumenty informacyjne w temacieochrony danych osobowych.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Przyjmujemy, że po 25 maja 2018 r. spełniamy obowiązek informacyjny tylko dla osób nowo zatrudnianych. Pozdrawiamy!

  39. Dorota
    Reply

    Witam! Gratuluję świetnej pod względem merytorycznym strony nt RODO. Lektura wiele mi wyjaśniła:) Pozostała mi jeszcze wątpliowść: kiedy obowiązek informacyjny uznaje się za spełniony? Mamy przygotowane klauzule informacyjne dla pracowników i zastanawiamy się nad przesłaniem ich do nich poprzez email lub zamieszczenie na stronie Intranetu. Czy takie działania pozwalają spełnić obowiązek informacyjny, czy też od każdego pracownika powinniśmy uzyskać jakieś potwierdzenie, że zapoznał się z klauzulą?
    Mam wątpliwość, ponieważ od banków dostajemy jako konsumenci tylko listy i nikt nie prosi nas o potwierdzenie odczytu….
    Pozdrawiam!

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Dziękujemy za miłą recenzję! 🙂 Odpowiadając na pytanie – nie trzeba uzyskiwać potwierdzenia od osoby, której dane dotyczą, spełnienia obowiązku informacyjnego. Istotnym jest, aby klauzula informacyjna dotarła do osób, których dane dotyczą, w taki sposób, aby mogły się bezproblemowo z nią zapoznać. Pozdrawiamy!

  40. Jola
    Reply

    Czy prowadząc korespondencję mailową z naszymi kontrahentami (a dokładnie pracownikami innych firm) i przesyłając im wiadomości mailowe o różnej treści i różne rzeczy w formie załączników (skany dokumentów, oferty, rozliczenia itp) mamy obowiązek umieszczenia klauzuli informacyjnej w każdym takim mailu?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Nie, tylko przy pierwszym kontakcie tj. podczas zbierania danych osobowych należy spełnić obowiązek informacyjny. Pozdrawiamy!

  41. Laura
    Reply

    Dzień dobry! Mam pytanie dotyczące udzielania informacji telefonicznej. Weźmy na przykład urząd, do którego dzwoni klient aby dowiedzieć się np. na jakim etapie jest jego sprawa. Czy takiej osobie mamy prawo udzielić jakiejkolwiek informacji telefonicznie czy koniecznie należy taka osobę zaprosić do urzędu?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Jeśli zweryfikują Państwo tożsamość takiej osoby i jest ona uprawniona do tego, by zasięgać informacji w sprawie np. jest stroną postępowania administracyjnego, to dlaczego nie? 🙂 Pozdrawiamy!

  42. Kalina
    Reply

    Dzień dobry, być może kwestia została już poruszona, ale mam pytanie dotyczące aktualizacji obowiązku informacyjnego. 1. Czy muszę wypełnić obowiązek informacyjny (mail/list) wobec klientów, z którymi współpracuje w dniu 25.05 na podstawie umowy? 2. Czy muszę wypełnić obowiązek informacyjny (mail/list) wobec klientów, z którymi współpracuję od czasu do czasu ale nie w dniu wejścia w życie RODO? 3. Czy muszę wypełnić obowiązek informacyjny (mail/list) wobec osób, których dane przetwarzam w celach archiwizacyjnych? Czy zamieszczenie klauzuli na strona internetowaej pozwoli na spełnienie wymogów zasady rozliczalności pozwoli na wypełnienie obowiązku informacyjnego?
    Będę ogromnie wdzięczna za odpowiedź.
    Pozdrawiam!

    1. Kancelaria Lex Artist
      Reply

      Rzeczywiście kwestia została już poruszona w innych komentarzach do tego artykułu, zachęcamy do poszukiwań. 🙂 Pozdrawiamy!

  43. Ewa
    Reply

    Witam,
    Państwa blog jest naprawdę nieocenioną bazą wiedzy na temat RODO. Bardzo dziękuję za wszystkie wpisy, bo można się naprawdę sporo dowiedzieć. Chciałam zapytać, czy w celu wdrożenia się do RODO obowiązkowe jest przesłanie do wszystkich użytkowników adresów e-mail, które mamy zapisane w bazie kontaktów firmy o tym, że przetwarzamy ich dane i spełnić cały obowiązek informacyjny z RODO? Czy też dotyczy to dopiero nowych adresów e-mail, które pojawią się w naszej bazie po dniu 25 maja 2018? Nie ukrywam że wysłanie takiej informacji do wszystkich osób z bazy będzie zadaniem dość utrudnionym, ponieważ różne są podstawy przetwarzania tych danych (np. marketing, wykonanie zawartych umów, byli pracownicy itp.).

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Przede wszystkim dziękujemy za miłe słowa. 🙂 Pytanie pojawiło się już w komentarzach pod tym wpisem, także „szukajcie, a znajdziecie”. 🙂 Pozdrawiamy!

  44. Marta
    Reply

    Witam, dla pewności…obowiązek informacyjny spełniamy tylko przy pierwszym kontakcie czyli np: chcąc nawiązać kontakt z panem X muszę go odpowiednio poinformować kto jest administartotem itp, co do klientów obecnych już w bazie obowiązek ten nie dotyczy. Ale z drugiej strony dostaję obecnie na skrzynkę pocztową wiele maili informacyjnych o posiadaniu moich danych osobowych m.in przez Allegro, Empik, bank itp. a przecież nie jestem ich nowym klientem więc albo czegoś do końca nie rozumiem albo niektóre podmioty działają zbyt nadgorliwie 🙂

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Są różne stanowiska co do tego, czy nowy obowiązek informacyjny należy spełniać wobec osób, których dane przetwarzaliśmy już przed 25 maja 2018 r. Stoimy na stanowisku, iż obowiązku takiego nie ma, ale na pewno wysłanie takiego maila z klauzulą jest dobrą praktyką. Ot, zamieniamy „nadgorliwość” na „dobrą praktykę” – i już sprawa wygląda lepiej. 🙂 Pozdrawiamy!

  45. vera
    Reply

    Dzień dobry! Rzeczywiście informacje od „Kancelaria Lex Artist” są najbardziej profesjonalne, przede wszystkim praktyczne, a właśnie takich informacji nam potrzeba.
    Proszę o odp. na pytanie, czy na urzędach, które przetwarzają dane osobowe interesariuszy w ramach swoich kompetencji wynikających z przepisów prawa (dane osobowe pozyskiwane są bezpośrednio od osoby lub z innych źródeł), ciąży obowiązek informacyjny, o którym mowa w w art. 13 ogólnego rozporządzenia o ochronie danych?
    Z góry dziękuję za odpowiedź. Życzę miłego dnia.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Dziękujemy za miłe słowa! 🙂 Tak, ciąży na takich urzędach obowiązek informacyjny. Pozdrawiamy!

  46. ZK
    Reply

    bardzo proszę o rozwianie moich wątpliwości:
    1. po 25 maja 2018r. dostanę na moją skrzynkę mail z prośbą o nawiązanie kontaktu biznesowego. mail będzie zawierał dane osobowe: imię, nazwisko, email, telefon – czy jeżeli nie usunę tego maila ze swojej skrzynki i nie wyślę w odpowiedzi klauzuli informacyjnej – to czy naruszę rozporządzenie RODO, mimo że to ja dostałam wiadomość zawierającą dane osobowe?
    2. czy brak wykasowania ze skrzynki emaila zawierającego dane osobowe osoby której nie poinformowałam o przetwarzaniu danych zgodnie z RODO stanowi naruszenie?
    3. jaką maksymalną karę może otrzymać firma mśp za naruszenie RODO?
    4. klient zażądał usunięcia swoich danych z bazy. od ostatniej fv z klientem minęło 5 lat, więc zgodnie z ustawą o rachunkowości nie mam obowiązku przechowywania jego danych. Dane, kontrakty i faktury usuwam więc z mojego systemu i baz, ale wciąż widzę jego dane np. w systemie bankowości online w historii rachunku – widnieją jego płaności zawierające imię, nazwisko, adres, numer faktury za którą płacił. Co z tym zrobić? czy wezwać bank do usunięcia historii transakcji?
    5. czy z bankami i pocztą należy mieć zawarte umowy powierzenia – z uwagi na to że przekazujemy tym podmiotom dane osobowe naszych klientów i kontrahentów.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry:

      1) Nie zawsze – to zależy od kontekstu sytuacji.
      2) Jeżeli jest Pani administratorem tych danych to jest takie ryzyko.
      3) 20 milionów euro lub 4 % światowego obrotu (wyższa z tych kwot).
      4) Tak, administrator danych powinien podjąć „rozsądne działania” zgodnie z RODO, aby inny administrator wykonał tzw. prawo do bycia zapomnianym.
      5) Nie, bazujemy tam na udostępnieniu danych osobowych.

      Pozdrawiamy!

  47. Łukasz
    Reply

    Witam,
    Moja szkoła otrzymuje informacje z Urzędu Miasta jako organu prowadzącego informacje o wszystkich uczniach, którzy należą do obwodu szkoły. Sekretarz wpisuje do szkolnego rejestru o nazwie „uczniowie realizujący obowiązek szkolny w innej szkole” dane tych uczniów, którzy uczęszczają do innej szkoły. W związku z tym musimy do rodziców tych uczniów pisać informacje, że posiadamy ich dane oraz dane ich dzieci w celu monitorowania realizacji obowiązku szkolnego, podając jednocześnie, że pozyskaliśmy je z UM?
    Pozdrawiam

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Tak, należy spełnić obowiązek informacyjny wobec rodziców. Pozdrawiamy!

      1. Admin
        Reply

        Witam, Piszę jeszcze raz gdyż poprzedni komentarz zniknął. Odnośnie powyższego komentarza – obowiązek taki należy spełnić nawet wtedy, gdy przetwarzanie takich danych wynika bezpośrednio z przepisów prawa? (Ustawy o systemie oświaty)
        Pozdrawiam

        1. Kancelaria Lex Artist
          Reply

          Tak, obowiązek informacyjny istnieje niezależnie od tego, jaka jest podstawa prawna przetwarzania danych osobowych. Pozdrawiamy!

  48. justyna
    Reply

    Czy dane personalne pracowników wpisywanych w ofercie powinny stanowić tajemnicę przedsiębiorstwa i czy wykonawca musi mieć zgodę od pracownika na wpisywanie jego danych do oferty?

    1. Kancelaria Lex Artist
      Reply

      Co do tajemnicy przedsiębiorstwa – to jest decyzja niezwiązana z ochroną danych osobowych. Nie ma takiej potrzeby, aby uzyskiwać zgodę pracownika na wpisanie danych do oferty. Pozdrawiamy!

  49. justyna
    Reply

    Jeżeli dane nie uzyskuje się od osoby której dotyczą to kiedy przekazać tej osobie klauzulę informacyjną, (wykonawca podał dane osobowe swojego pracownika)

  50. Admin
    Reply

    Nawet jeżeli trzymanie takich danych wynika bezpośrednio z przepisów prawa (Ustawa o systemie oświaty)?
    W mojej szkole sekretarz musiał by wysłać taką informację do ok 150 osób….
    Pozdrawiam

  51. Justyna
    Reply

    3. Czy w postępowaniu do 30 tys euro (czyli bez stosowania ustawy) mamy obowiązek usunąć dane osobowe wykonawcy który złożył ofertę , jeżeli dostaniemy taką prośbę po zakończeniu postępowania?

    1. Kancelaria Lex Artist
      Reply

      Okres przechowywania dokumentów, które zawierają dane osobowe jest często determinowany przepisami prawa. W Pana przypadku należałoby się zastanowić, czy przechowywanie tych danych po postępowaniu ma jakieś swoje uzasadnienie prawne. Zgłoszenie żądania usunięcia danych nie jest prawem bezwzględnym.

  52. Marta
    Reply

    Dzień dobry,
    Proszę o odpowiedź, czy wystawiając fakturę na jakąkolwiek spółkę też muszę spełnić obowiązek informacyjny.
    My jesteśmy również spółką.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Na jakąkolwiek spółkę nie, ale jeśli jest to np. spółka cywilna, to już tak – ponieważ wówczas podpisuję się umowę ze wspólnikami spółki cywilnej, a to już są osoby fizyczne. Pozdrawiamy!

  53. Dawid
    Reply

    Witam
    Prowadzę działalność w której skupuję i sprzedaję części samochodowe jak i całe auta. Wystawiam faktury na samochody albo umowy kupna sprzedaży. Czy muszę mieć zgody osób których dane są na umowach i fakturach ?? Czy wystarczy spełnić obowiązek informacyjny – np. dodać paragraf na umowie czy ew. zapis na fkaturze.

  54. vera
    Reply

    Dziękuję za poprzednie odpowiedzi! Mam pytanie dot. zabezpieczenia danych (w tym również szczególnych) w sytuacji wysyłania ich do uprawnionych odbiorców (nie do właściciela danych) w sposób tradycyjny, tzn. listem zwykłym lub poleconym. Czy mam obowiązek np. zapakować dokument z danymi w drugą kopertę z inf., że przesyłka zawiera dane osobowe ? Czy może to adresat ma obowiązek tak zorganizować odbiór korespondencji aby listy z danymi osobowymi otwierały wyłącznie osoby upoważnione?
    Dziękuję. Pozdrawiam.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Obowiązki leżą raczej po stronie adresata. Nie popadajmy w paranoję. 🙂 Pozdrawiamy!

  55. Anna
    Reply

    Witam, jesteśmy Zespołem Szkół,
    1) Czy klauzulę informacyjną odnośnie przetwarzania danych – monitoring – powinniśmy wywiesić w widocznym miejscu w szkole np.na tablicy informacyjnej wraz z podpisem administratora danych (Dyrektora szkoły) i podaniem podstawy przetwarzania (konkretny artykuł)?
    2)Czy kierując pracowników na badania profilaktyczne powinniśmy zawrzeć z ZOZ-em umowę powierzenia danych?
    3)Czy od uczniów powinniśmy zbierać zgody na przetwarzanie wizerunku?
    Czy przed przyjęciem kandydata do internatu szkoły, również powinniśmy go poinformować go i jego rodziców na piśmie o przetwarzaniu danych i celu przetwarzania oraz uzyskać na to ich zgodę (jaki konkretny art. wskazać?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry.

      1) Tak, natomiast klauzula informacyjna nie musi być podpisana przez administratora danych.
      2) Nie, mamy tutaj do czynienia z udostępnieniem danych osobowych, a nie powierzeniem.
      3) Jeżeli chodzi o przepisy o ochronie danych osobowych – to zależy w jakim celu, natomiast niezależnie powinny być zebrane zgody na rozpowszechnianie wizerunku, które są przewidziane prawem autorskim.
      4) Poinformować tak, natomiast zgody nie trzeba pozyskiwać. Podstawy prawne są przede wszystkim dwie: obowiązek prawny ciążący na administratorze danych oraz wykonanie umowy, której stroną jest osoba, której dane dotyczą (art. 6 ust. 1 lit. b oraz c RODO).

      Pozdrawiamy!

  56. Daniel
    Reply

    Witam
    Prowadzę jednoosobową działalność ( siłownia ). Wydajemy karnety z kodem kreskowym. W programie mam przypisane imię i nazwisko do każdego karnetu(kodu kreskowego). Program mamy lokalnie na komputzerz. Jakie zgody muszę wziąć od klientów??

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Jeżeli nie prowadzi Pan marketingu, to żadnych zgód nie potrzeba. Podstawą przetwarzania danych osobowych jest bowiem wykonanie umowy, której stroną jest osoba, której dane dotyczą (art. 6 ust. 1 lit. b RODO). Pozdrawiamy!

  57. Andrzej
    Reply

    Witam , jak już ustaliliśmy sprzedając podłogi z montażem niepotrzebna mi zgoda na przetwarzanie danych , jak ma się w tej sytuacji obowiązek informacyjny.Rozumiem że powstaje on w momencie spisania zamówienia i tam powinien być zamieszczony.Dane klienta po wystawieniu faktury są kasowane zostaje forma papierowa w dokumentacji firmy którą jak wiemy należy mieć przez 5 lat. Co powinna w takiej sytuacji zawierać informacja .Pozdrawiam

    1. Kancelaria Lex Artist
      Reply

      Zapraszamy do naszego sklepu, gdzie można zakupić wzór RODO-wskiej klauzuli informacyjnej. Pozdrawiamy!

  58. Andrzej
    Reply

    Czy taka informacja będzie prawidłowa :Administratorem Pani/Pana danych osobowych jest………………………….. z siedzibą w ………………….. przy ul. ………….. Pani/Pana dane osobowe będą przetwarzane w celu wystawienia faktury oraz w celach księgowych. Dane mogą zostać udostępnione wyłącznie podmiotom upoważnionym na podstawie przepisów prawa. Przysługuje Pani/Panu prawo dostępu do treści swoich danych i ich poprawiania. Podanie danych jest dobrowolne, ale niezbędne do wystawienia zamówienia faktury i protokołu odbiorczego.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Zapraszamy do naszego sklepu, gdzie można nabyć wzór klauzuli informacyjnej zgodnej z RODO. Powyższe informacje są niewystarczające. Pozdrawiamy!

  59. Tomek
    Reply

    Gdzie zamieszczać klauzulę informacyjną w sklepie .Czy wystarczy kartka z informacją na biurku przed klientem,czy powinna się może ona znajdować np na zleceniu czy fakturze.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Najlepiej zamieszczać ją tak, aby można było w łatwy sposób się można była z nią zapoznać. 🙂 Pozdrawiamy!

  60. Bartek
    Reply

    Dzień dobry,
    Bardzo dziękuję za wiele pomocnych informacji na Państwa stronie. Prześledziłem powyższe komentarze i nadal nurtuje mnie jedna rzecz. Mianowicie przy realizacji naszych zamówień gromadzimy dane kontaktowe pracowników firm, z którymi współpracujemy. Dane te są wykorzystywane do wykonania zlecenia (odpowiedź na zapytanie ofertowe, dalsze ustalenia w sprawie oferty i sposobu realizacji zamówienia, itp.), ewentualnie do dalszego podtrzymania relacji z klientem/dostawcą. Nie wysyłamy newsletterów, nie stosujemy e-mail marketingu itp. Najczęściej nie mamy żadnych długoterminowych/ramowych umów tylko jednorazowe zamówienia, w których nie ma zapisów o ochronie danych.
    Zrozumiałem, że w opisanej sytuacji
    1) nie mamy obowiązku prosić o zgodę na wykorzystanie tych danych (na podstawie art. 6 ust. 1 lit. b lub f RODO)
    2) powinniśmy wypełnić obowiązek informacyjny w stosunku do osób, których dane pozyskujemy po 25 maja (art. 13 lub art. 14).
    3) natomiast nie zrozumiałem do końca czy naprawdę konieczne jest podpisywanie umów powierzenia przetwarzania danych osobowych, z jakich przepisów to ewentualnie wynika i z kim powinniśmy takie umowy podpisywać? Ze wszystkimi klientami / dostawcami, którzy przekazują nam dane swoich pracowników w celu realizacji jakiejś umowy/zamówienia?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Podziękowania na początek za miłe słowa! 🙂 Po kolei:

      1) Tak,
      2) Tak,
      3) Jeżeli przetwarzają Państwo dane tylko osób kontaktowych lub osób reprezentujących (przy podpisaniu dokumentów) drugą stronę umowy to umowy powierzenia zawierać nie trzeba. Natomiast jeśli np. świadczą Państwo usługi dla drugiej strony polegające na przetwarzaniu danych osobowych np. pracowników drugiej strony umowy w zakresie chociażby kadr i płac, to wówczas jest konieczność podpisania umowy powierzenia. Pozdrawiamy!

  61. Anna
    Reply

    Dzień Dobry 🙂
    dołączam do podziękowań za pomoc w zrozumieniu RODO 🙂
    i mam pytanie odnośnie obowiązku informacyjnego w placówkach medycznych
    1. informujemy pacjentów – w momencie zbierania danych (czyli przy rejestracji) – to jasne
    2. czy wobec pacjentów, którzy już są pod naszą opieką też mamy obowiązek informacyjny
    3. i czy wobec personelu medycznego, wykonującego zadania przy realizacji świadczenia medycznego również taki obowiązek informacyjny nas obowiązuje
    bardzo dziękuję 🙂

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry! Pozostaje po raz kolejny wyrazić podziękowania! 🙂

      Odpowiadamy:

      1) Jasne, więc się nie odnosimy. 🙂
      2) Nie ma takiego obowiązku,
      3) Również nie ma takiego obowiązku – tylko wobec nowych, zatrudnionych po 25 maja osób.

      Pozdrawiamy zimno, co by trochę ochłodzić ten gorący czas. 🙂

  62. krzysztof
    Reply

    Dzień dobry. Brnę jak i inni przez gąszcz informacji o RODO i proszę mnie poprawić jeśli się mylę –
    1. Prowadząc jednosobową małą dz.gosp. sprzedaję na serwisie internetowym allegr pl oraz ebay i jestem zoobowiązany jako administrator danych do wywiązania się z obowiązku informacyjnego dot. RODO każdego Klienta czy to obecnego czy też sprzed dwóch lat – nawet jeśli jego dane służyły wyłącznie do wywiązania się z umowy sprzedaży oraz wystawienia rachunku(faktury) i nie będę ich używać do innych celów?
    Co z sytuacją gdy zakupu dokonuje osoba, która płaci ale następnie podaje dane innej osoby do której wysyłam zamówienie – muszę dotrzeć do każdej z nich z informacjami?
    3. Czy dobrze rozumiem, że dokonując zakupów na serwisie czy to od firmy czy osoby prywatnej również jestem zoobowiązany spełnić obowiązek informacyjny wobec mojego Sprzedawcy?
    Pozdrawiam

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Spróbujemy. 🙂

      1) Nie ma takiego obowiązku. Art. 13 i 14 RODO, które statuują obowiązek informacyjny, mówią wprost, iż obowiązek powstaje w trakcie zbierania danych osobowych. W związku z tym obowiązek informacyjny realizujemy tylko wobec osób, których dane zbieramy po 25 maja 2018 r.
      2) Powinno podjąć się rozsądne działania, aby dotrzeć do obu osób.
      3) Nie, to już byłaby sprawa całkowicie niepraktyczna z punktu widzenia biznesowego.

      Pozdrawiamy!

  63. Joanna
    Reply

    Proszę o odp. na pytanie: czy składając wniosek do sklepu internetowego o usunięcie konta klienta, po wcześniejszym wycofaniu zgody na przetwarzanie moich danych, muszę podać nr klienta nadany mi przez sklep po zarejestrowaniu? Dodam, że do do rejestracji w sklepie podałam adres e-mail, imię i nazwisko. Konta nie używam od dłuższego czasu i nie pamiętam nr klienta, a od podania tego numeru uzależniono usunięcie konta. Nr klienta nie jest przecież moją daną osobową, a wnioskuję o usunięcie danych osobowych udostępnionych przeze mnie w określonym celu. Bardzo proszę o odp.
    Dziękuję. Pozdrawiam.

  64. Kamil
    Reply

    Witam serdecznie,

    prowadzę jednoosobową działalność gospodarczą, która nie zbiera w żaden sposób danych osobowych poza wystawianymi fakturami czy też otrzymywanymi od kontrahentów. Dane te znajdują się w CEIDG, a więc są danymi publicznymi (a przynajmniej tak to rozumiem). Moja firma zajmuje się programowaniem wszelkiego rodzaju aplikacji dla głównie jednego klienta. Dość pobieżnie przeczytałem Rozporządzenie dotyczące RODO i nie znalazłem tam informacji czy w moim przypadku istnieje obowiązek informowania klientów/kontrahentów, których dane (faktury) otrzymałem przed 25 maja 2018. Czy jest to konieczne? Rozumiem, że przy każdej kolejnej wystawionej fakturze mam informować swoich NOWYCH klientów/kontrahentów o wdrożonej polityce prywatności?

    Pozdrawiam serdecznie

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Co do nowych klientów – tak, będzie Pan musiał spełnić obowiązek informacyjny. Natomiast co do Klientów, których dane przetwarzał Pan przed 25 maja 2018 r. takiego obowiązku nie ma. Pozdrawiamy!

  65. Krzysztof
    Reply

    Dzień dobry.
    Dziękuje za szybką odpowiedź. Ciekawi mnie jeszcze wątek z drugiego pytania tzn.
    „Co z sytuacją gdy zakupu dokonuje osoba, która płaci ale następnie podaje dane innej osoby do której wysyłam zamówienie – muszę dotrzeć do każdej z nich z informacjami?”
    Wiadomo, że tak, lecz jest to sytuacja dosyć częsta – co jeśli mamy tylko dane adresowe tej drugiej osoby, brak jest możliwości wysłania informacji o obowiązku emailem, ponieważ nie zostaje podany. I teraz – zakładamy, że Kupujący dogadał się z tą osobą ażeby ona w jego imieniu odebrała przesyłkę dla niego i tym samym zgodziła się ona na podanie swoich danych osobowych – ale jest to tylko domniemanie, teoretycznie Kupujący mógł podać jej dane bez jej wiedzy i zgody – skoro nie jest ona stroną Umowy sprzedaży to wydaje mi się, ze konieczne jest uzyskanie przeze mnie bezposrednio od niej zgody na przetwarzanie jej danych osobowych abym mógł wysłać zamówienie na jej adres? Nie mogę nawet zrobić tak że wysyłam w jednej przesyłce zamówienie wraz z informacjami o RODO oraz z prośbą o wyrazenie zgody na przetwarzanie jej danych bo muszę ją uzyskac przed wysyłką
    Co Państwo sądzą o takim przypadku?
    Pozdrawiam
    Krzysztof

  66. Anna
    Reply

    Witam,

    a jeśli po wybraniu najkorzystniejszej oferty (zamówienia publiczne) publikujemy informację o kwocie tej oferty i danych firmy, a także dla zasady spełnienia przejrzystości postępowania dane innych podmiotów, których oferty rozpatrywaliśmy wraz z kwotami, jakie proponowali, to jak to zrobić zgodnie z RODO?
    pozdrawiam

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Jeśli są to dane tylko podmiotów, które nie są osobami fizycznymi, to RODO stosować nie trzeba. Pozdrawiamy!

  67. Krzysztof
    Reply

    Czy marketingowiec musi informować o przetwarzaniu danych osobowych w chwili rozmowy jeśli wejdzie na stronę internetową firmy i nie zapisując numeru w żadnej bazie danych zadzwoni z ofertą pod numer podany na stronie?

  68. Małgorzata
    Reply

    Dzień dobry! Mam takie pytanie: pracuję w jednostce samorządzu terytorialnego-wydział podatkowy, gdzie mam do czynienia z tajemnicą skarbową, czy obowiązek infomacyjny także mnie dotyczy i czy w takim wypadku kiedy przychodzi do nas podatnik np. podatku od nieruchomości i już mamy jego dane czy powinniśmy go w fomie pisemnej informować, czy wystarczy tylko informacja na BIP,

  69. Jan
    Reply

    Dzień Dobry,
    Mam pytanie, czy prawo do bycia zapomnianym nie stoi w sprzeczności z obowiązkiem pracodawcy przechowywania danych pracowników (nawet po ustaniu stosunku pracy) na potrzeby kontroli z ZUS, PIP, czy choćby Urzędu Skarbowego?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. W tym wypadku stoi w sprzeczności – warto podkreślić, iż prawo do bycia zapomnianym czy też prawo do usunięcia danych (bo to będzie bardziej adekwatne w opisywanym przypadku) nie są prawami absolutnymi i nie zadziałają w każdym wypadku. To właśnie jest taki wypadek. Pozdrawiamy!

  70. justyna
    Reply

    Dzień dobry
    Mam pytanie, do naszej firmy wpływają wnioski na sekretariat w sprawie:
    1. zgłoszenie zmiany kierownika budowy,
    2. ponownego oszacowania szkody,
    3. faktura rr od rolnika, w której wpisał numer dowodu osobistego,
    4. zaświadczenia o zarobkach i zatrudnieniu,
    5. wsparcia z zfss od emeryta itd.

    czy my musimy mieć od wszystkich zgody na przetwarzanie?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Zgoda nie jest wymagana. Natomiast w odniesieniu do pkt 3 wydaje się zbędnym zbieranie numeru dowodu osobistego – stwarza to ryzyko prawne naruszenia RODO-wskiej zasady minimalizacji danych. Pozdrawiamy!

  71. Joanna
    Reply

    Witam, czy w Państwa opinii przetwarzanie danych związanych z procesem naboru na wolne stanowisko odbywa się na podstawie zgody czy też przepisu prawa, konkretnie art.22 (1) Kodeksu Pracy. Zdaję sobie sprawę z różnicy pomiędzy regulacją RODO (przesłanka legalności art. 6 ust. 1 pkt.c) – mówiące o obowiązku prawnym Administratora, a dotychczas obowiązującą ustawą – tam przesłanka obejmowała zarówno obowiązek, jak i uprawnienie. Dodam, że w dyskutowanym przypadku chodzi o gminę, gdzie realizacja zadań (za pośrednictwem Urzędu) należy do obowiązków ustawowych tej jednostki. Czy prawo pracodawcy wyrażone w art. 22 (1) może być przesłanką przetwarzania, czy też w procesie naboru musimy bezwzględnie uzyskać zgodę osoby. Spotykam się z różnymi interpretacjami.
    W odniesieniu do pytania postawionego wcześniej, dotyczącego prawa do bycia zapomnianym, uważam, ze w przypadku pracowników należy powołać się na wyłączenie stosowania tego prawa wynikające z art. 17 ust. 3 pkt. d) tj. przetwarzania do celów archiwalnych w interesie publicznym (kontrole upoważnionych organów)

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Prawo do bycia zapomnianym nie jest prawem absolutnym, zatem jeśli np. ciąży na Państwu obowiązek prawny przechowywania pewnych danych (np. danych pracowniczych), to prawo do bycia zapomnianym wówczas nie zadziała. Rzeczywiście w zakresie konieczności pozyskiwania zgody przy rekrutacji, to nawet w naszym zespole część osób jest zwolennikami stanowiska oparcia tego procesu na zgodzie, a część na innych przesłankach prawnych (przede wszystkim działań podjętych na żądanie osoby, której dane dotyczą, przed zawarciem umowy – art. 6 ust. 1 lit. b RODO oraz obowiązku prawnego – art. 6 ust. 1 lit.c RODO). Faktycznie, obecnie sformułowany art. 22 (1) KP nadaje uprawnienie, a nie nakłada obowiązku na pracodawcę – wtedy jednak aktualizuje się przesłanka prawnie uzasadnionego interesu administratora danych (art. 6 ust. 1 lit. f RODO). Zwracamy jednak uwagę, iż na etapie prac legislacyjnych jest projekt ustawy o zmianie niektórych ustaw w związku z rozpoczęciem stosowania RODO. Projekt przewiduje zmianę art. 22 (1) KP, który będzie już nakładał na pracodawcę obowiązek prawny, jednak tylko co do pewnego zakresu danych (wymienionych enumeratywnie w przepisie). Pozyskanie pozostałych danych będzie wymagało zgody kandydata. Pozdrawiamy!

  72. Przemko
    Reply

    Szanowni Państwo,

    krąży plotka (może nie-plotka) że w każdym pomieszczeniu, w którym przetwarzane są dane osobowe, powinna się znaleźć niszczarka (lub inny sprzęt) do niszczenia danych osobowych. Jednak w treści samego Rozporządzenia, takiej informacji nie znalazłem. Czy w związku z tym – jako że RODO daje nam jedynie wskazówki dobrych praktyk – od administratora zależy w jaki sposób będziemy (i gdzie w obrębie firmy) niszczyli dane, pod jednym tylko warunkiem – że przestrzegamy normy din 66399?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Ta plotka jest faktycznie tylko plotką. 🙂 Decyzja co do tego, jak będzie wyglądało niszczenie danych, należy do administratora danych. Pozdrawiamy!

      1. Przemko
        Reply

        Dziękuję serdecznie za odpowiedź! Także sądziłem że to bzdura, przecież zniszczyłoby to rynek w zakresie usług bezpiecznego niszczenia danych, przez firmy zewnętrzne. Pozdrawiam 🙂

  73. Gabriela
    Reply

    Dzień dobry,

    dane dotyczące związków zawodowych są szczególną kategorią danych zgodnie z RODO. Czy zatem powinniśmy utworzyć zbiór danych osób należących do takich organizacji? Moim zdaniem nie, ponieważ pracodawca a tym samym administrator danych niekoniecznie nawet musi wiedzieć, że pracownik należy do danego związku.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Przynależność danych do tzw. danych wrażliwych, czy danych zwykłych nie determinuje tworzenia lub nie zbiorów danych. Mało tego, RODO nie wymaga już tworzenia zbiorów danych. Pozdrawiamy!

  74. Emil
    Reply

    Czy należy zachować zasadę rozliczalności obowiązku informacyjnego tzn. czy powinniśmy zawrzeć klauzulę potwierdzaną podpisem klienta lub osobny dokument stanowiący o prawach klienta potwierdzony jego podpisem?

  75. Kancelaria Lex Artist
    Reply

    Dzień dobry. Jeżeli chodzi o marketing bezpośredni to nie zawsze zgoda osoby, której dane dotyczą, będzie potrzebna. Wskazuje na to motyw 47 preambuły do RODO, który podaje, jako przykład prawnie uzasadnionego interesu administratora danych, marketing bezpośredni. Jeśli chodzi o drugie pytanie, to przedstawiona przez Pana sytuacja wydaje się naruszać przepisy RODO, przede wszystkim art. 7, który mówi o warunkach wyrażenia zgody. Jeżeli od wyrażenia zgody na marketing uzależniamy wykonanie bądź nie jakiejś usługi, to nie możemy mówić o zgodzie dobrowolnej. Pozdrawiamy!

  76. Ksenia
    Reply

    Dzień dobry,
    Bardzo dziękuję za wiele cennych informacji zawartych na tej stronie. Ja mam z kolei pytanie odnośnie umów powierzenia. Mam bowiem wątpliwości czy powinniśmy je zawierać z:
    1. Firma systemów informatycznych, na której programach pracujemy
    2. Kancelaria prawna
    3. NZOZ, który przeprowadza badania wstępne i okresowe pracowników
    4. Firma BHP, która nas obsługuje
    5. Firma informatyczna serwisująca nasz sprzęt i systemy informatyczne
    6. Firmy transportowe wyłonione w drodze przetargu, dowożące dzieci do szkół
    7. Firma niszcząca dokumenty
    8. Firma ubezpieczeniowa (ubezpieczenie dobrowolne)
    Dodam, że jesteśmy jednostką organizacyjną samorządu terytorialnego.
    Bardzo dziękuję za odpowiedź.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. 1 – to zależy, czy w ramach aplikacji mają Państwo również gwarancję i/lub serwis. 2 – tak, 3 – nie (to jest udostępnienie danych osobowych, a nie powierzenie), 4-7 – tak. 8 – nie, z ubezpieczycielem również jest udostępnienie. Pozdrawiamy!

  77. Mariianna
    Reply

    Dzień Dobry,
    a jak przekłada się obowiązek informacyjny dla PROCESORA, np. biura księgowego w stosunku do powierzonych mu danych.
    1. czy również ma obowiązek informacyjny (niezależnie od administratora)?
    2. czy w stosunku do powierzonych danych ma spełniać prawa wynikające dla osób, których te dane dotyczą? czy raczej odsyłać o możliwość dochodzenia tych praw bezpośrednio do administratora?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Procesor co do zasady nie spełnia obowiązku informacyjnego wobec osób, których dane przetwarza w imieniu i na rzecz administratora. Natomiast co do punktu 2 – najczęściej w umowach powierzenia jest zapis, który zobowiązuje procesora do „zajęcia się” żądaniem osób, których dane dotyczą, jeśli żądanie dotyczy przetwarzania, którego dokonuje procesor. Pozdrawiamy!

  78. Anna
    Reply

    Witam, coraz częściej spotykam się z klauzulami informacyjnymi wywieszanymi w obszarze monitorowanym. Jednak są one w stosunku do wymagań art. 13 RODO mocno „skrócone”, nie ma tam np. informacji o odbiorcach danych, przekazywaniu informacji do państw trzecich czy profilowaniu. Czy tak skonstruowane klauzule informacyjne są prawidłowe?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Przy obszarach monitorowanych przyjmujemy, iż w miejscu, gdzie znajdują się kamery może być użyta skrócona informacja. Natomiast powinna przynajmniej w jednym miejscu (najczęściej na recepcji) znajdować się pełna klauzula informacyjna z art. 13 RODO. Pozdrawiamy!

  79. Tomasz
    Reply

    Witam, czy Akademicki Związek Sportowy powinien powołać IOD oraz czy możemy umieszczać zdjęcia na Facebooku szkolnym z imprez sportowych itp. Pozdrawiam.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Naszym zdaniem, choć obowiązku takiego nie ma, zalecalibyśmy Państwu powołanie IOD-a. Zdjęcia można umieszczać, ale tylko za zgodą osób, których dane dotyczą. Pozdrawiamy!

  80. Gabriela
    Reply

    Witam, a jak postąpić kiedy o świadczenia z ZFŚS ubiegają się np. osoby, które były naszymi pracownikami, a teraz są już na emeryturze? składają oni wnioski o zapomogi itd… konieczne jest uzyskanie od nich zgody na przetwarzanie ich danych czy sam fakt złożenia wniosku uznajemy za działanie wyrażające zgodę?

  81. Mario
    Reply

    Producent i jednocześnie gwarant sprzętu, który sprzedajemy wymaga od nas wpisywania do ich systemu gwarancyjnego danych sprzedanego sprzętu oraz danych właściciela. Rejestracja taka ma się odbywać zaraz po sprzedaży, mimo, że z góry nie wiadomo, czy i kiedy kupujący skorzysta ze swoich praw wynikających z gwarancji. Producent, w swojej klauzuli informacyjnej na stronie internetowej, powołuje się na bliżej nieokreślony prawnie uzasadniony interes. Czy wystarczy w naszej klauzuli informacyjnej umieścić stosowny wpis o przekazaniu danych do producenta? Ale w jakim celu i na jakiej podstawie prawnej? Dane klient podaje nam w celu realizacji umowy.

    1. Kancelaria Lex Artist
      Reply

      W klauzuli informacyjnej należy umieścić producenta i gwaranta sprzętu jako odbiorcę danych. Celem będzie rozpatrzenie zgłoszenia reklamacji, a podstawą prawną będzie prawnie uzasadniony interes administratora danych. Pozdrawiamy!

  82. Emilia
    Reply

    Witam, często można spotkać sformułowanie, że dane nie są przetwarzane tylko udostępniane, jednak biorąc pod uwagę definicję przetwarzania jest to przetwarzanie. Jak to się ma w rzeczywistości ?

  83. Gabriela
    Reply

    Dziękuję za odpowiedź, a czy w takiej sytuacji powinniśmy wypełnić obowiązek informacyjny i za podstawę przetwarzania danych w związku z udzielaniem świadczeń z ZFŚS osób, które nie są pracownikami, podać art. 6 ust. 1 lit a RODO?

  84. Justyna
    Reply

    Dzień dobry,

    Również mam pytanie odnośnie umów powierzenia….Czy przekazując dane dzieci do przedszkola dyżurującego w czasie wakacji z tym przedszkolem też zawieramy umowę powierzenia czy wystarczy, że rodzic podpisze zgodę na przekazanie tych danych?

  85. Gabriela
    Reply

    Dzień dobry,

    powrócę jeszcze do tematu udzielenia świadczeń z ZFŚS byłym pracownikom… co w sytuacji jeśli dołączają oni do wniosków informacje dotyczące stanu zdrowia, pobytów w szpitalu itd… jak zorganizować to zgodnie z RODO?

  86. Ania
    Reply

    Witam serdecznie,
    miałabym pytanie o umowę wydawcy z autorem artykułów. Czy do autorów należy stosować klauzulę informacyjną, czy w tym zakresie mamy wyłączenie zgodnie z nową ustawą (art. 2)?

  87. Justyna
    Reply

    Dzień dobry,

    Czy w przypadku gdy wpływają na nas (biuro tłumaczeń) dokumenty do tłumaczenia np. komis przekazuje dowód rejestracyjny, gdzie są dane poprzedniego właściciela np z Niemiec to czy musimy wobec tej osoby (poprzedniego właściciela) spełnić obowiązek informacyjny?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Nie, ponieważ Państwo występują w tym zakresie w roli procesora, a nie administratora danych osobowych. Pozdrawiamy!

  88. Ksenia
    Reply

    Witam
    Opracowuję właśnie wniosek na dowóz niepełnosprawnego ucznia do szkoły transportem zorganizowanym przez gminę. Oczywiście zamieszczam tam całą klauzulę informacyjną. Rozumiem, że nie muszę zamieszczać zgody na przetwarzanie danych gdyż przetwarzanie odbywać się będzie na podstawie art. 6 ust 1c, a nie zgody? Czy jednak wpisać oświadczenie o wyrażeniu zgody na przetwarzanie danych?

  89. vera
    Reply

    Dzień dobry!
    Mam takie pytanie: jak rozróżnić powierzenie od udostępnienia danych osobowych? Na skierowaniu na badania lekarskie podaję takie same dane pracownika jak na liście pracowników skierowanych na szkolenie (imię, nazwisko, data urodzenia, stanowisko) . Dlaczego z firmą szkolącą w zakresie BHP muszę zawrzeć umowę powierzenia, a z placówką medycyny pracy nie? W jednym i drugim przypadku określam cel przetwarzania danych.
    Dziękuję. Pozdrawiam.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Pytanie jest bardzo dobre, ponieważ czasami nawet my, specjaliści w dziedzinie ochrony danych osobowych, mamy kłopoty z rozróżnieniem tych dwóch instytucji prawnych. 🙂 Dlaczego w medycynie pracy mamy udostępnienie? Przede wszystkim dlatego, że placówka medyczna, wykonująca zadania medycyny pracy, oprócz konieczności spełniania reżimów Kodeksu pracy, ma także odrębną podstawę prawną do przetwarzania danych – ustawę o służbie medycyny pracy. To jednak nie wszystko, podmiot świadczący usługi medycyny pracy nie może być uznany za procesora, ponieważ w toku wykonywania świadczeń medycyny pracy wytwarza dokumentację medyczną, do której pracodawca nie ma dostępu. Gdyby podmiot leczniczy uznać za procesora, to np. po zakończeniu współpracy z danym pracodawcą, obowiązany byłby do usunięcia dokumentów wytworzonych w czasie współpracy, co jednak byłoby niezgodne z KP oraz z powołaną wcześniej ustawą. Stąd też przyjmujemy, że w przypadku medycyny pracy mamy do czynienia z udostępnieniem, a nie powierzeniem przetwarzania danych osobowych. Pozdrawiamy!

  90. Anna
    Reply

    Dzień dobry, a co w przypadku gdy jako instytucja dajemy do laboratorium próbki pochodzące od zwierząt do ich zbadania. Konkretnie materiały dostarcza jeden z naszych pracowników, przez laboratorium nazywany jako „właściciel” zwierzęcia. Laboratorium posiada jego imię i nazwisko, numer telefonu i dane instytucji do wystawienia faktury? Czy tutaj w ogóle jest konieczna umowa powierzenia przetwarzania danych?

  91. Anna
    Reply

    Witam. Jak postąpic w przypadku, kiedy na skrzynkę mail’ową firmy spływają prośby np. o pomoc osobie X (tu pojawiają się jej dane: imię, zdjecie, mamy adres mail’owy), która choruje na schorzenie Y (dane z grupy „wrażliwych”). Jak dopełnić np. obowiązku informacyjnego? Czy w ogóle trzeba? Przyjąć, że przesłanką legalizującą będzie zgoda osoby X (sama przysłała mi te dane)? Nierzadko zdarza się, że choruje osoba X (i to jeszcze dziecko), a prośbę o pomoc rozsyłają np. jego rodzice (w posiadanie ich danych także wchodzimy z automatu). Czy w klauzuli informacyjnej taki przypadek trzeba opisać?

  92. Anna
    Reply

    Witam. W przypadku jednoosobowej działalności np. Kancelaria Prawna Jan Kowalski, AD (do wskazania w obowiązku informacyjnym) jest Kancelaria Prawna Jan Kowalski, czy Jan Kowalski prowadzący działalność pod nazwą Kancelaria Prawna Jan Kowalski?

  93. Kancelaria Lex Artist
    Reply

    Dzień dobry. W opisanej przez Pana sytuacji mamy do czynienia z udostępnieniem danych osobowych osoby kontaktowej drugiej stronie umowy na podstawie prawnie uzasadnionego interesu administratora danych (art. 6 ust. 1 lit. f RODO). Należy w umowie dopilnować, aby został spełniony obowiązek informacyjny wobec tych osób kontaktowych. Jeśli chodzi o odbiorców danych, to RODO nie wymaga, aby wskazywać ich konkretnie z nazwy, przepis stanowi o „odbiorcach lub ich kategoriach”. Pozdrawiamy!

  94. Paweł
    Reply

    Dzień dobry, mam takie nietypowe pytanie – czy IOD może w ramach szkolenia z RODO dla pracowników, wysłać każdemu na adres e-mail służbowy prezentację z najważniejszymi zagadnieniami?

  96. Anna
    Reply

    Dzień dobry. Zastanawiam się, czy takie podejście się obroni… Na firmowego maila kancelarii adwokackiej spływają dane różnych osób np. ktoś chce uzyskać poradę i przesyła plik danych (często także w tym są dane wrażliwe), albo ktoś chce sprzedać coś lub oferuje usługę np. tłumaczenia tekstów, albo spływają maile z prośbą o pomoc finansową np. w chorobie. Taka sytuacja została opisana w klauzuli informacyjnej (umieszczonej na stronie internetowej) w sposób następujący … W związku z tym, że nadawcy tych maili dobrowolnie przekazują swoje dane (sami z siebie wysyłają te maile), to można to potraktować jako wyrazne działanie potwierdzające przyzwolenie na przetwarzanie danych i w ślad za tym w klauzuli informacyjnej do takich przypadków wskazano podstawę prawną art. 6 ust.1 lit. a (dla danych zwykłych) i art. 9 ust. 2 lit. a (dla danych wrażliwych), oraz dodatkowo art. 9 ust. 2 lit. e (dla przypadków maili z informacją o chorobie i prośbie o pomoc). Czy to się obroni?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Sytuacja wymaga głębszej analizy, po którą zapraszamy do skorzystania z usługi konsultacji. Pozdrawiamy!

  97. Gabriela
    Reply

    Dzień dobry, dziękuję po raz kolejny za cenne przekazywane tutaj informacje!
    Mam takie pytanie, bo już chyba sama się gubię….. czy jeśli w instytucji realizowany jest projekt, na który jeden z pracowników otrzymał środki np. z ministerstwa i ten kierownik projektu zatrudniał personel w swoim projekcie (pracownicy i osoby z zewnątrz) to czy ten kierownik powinien mieć upoważnienie od Administratora danych w instytucji do przetwarzania danych osobowych? pozdrawiam

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Zarówno kierownik projektu, jak i poszczególni pracownicy (o ile mają dostęp do danych osobowych) powinni mieć upoważnienia do przetwarzania danych osobowych. Pozdrawiamy i dziękujemy za miłe słowa! 🙂

  98. Ewela
    Reply

    Witam, mam pytanie odnośnie szkoleń pracowniczych: czy wysyłając pracowników na szkolenie zamknięte, realizowane w drodze zamówienia publicznego powinnam zawrzeć z wykonawcą umowę powierzenia? Zamawiający przekazuje wykonawcy imię, nazwisko i stanowisko uczestników szkolenia a wykonawca w celu realizacji przedmiotu zamówienia zobowiązany jest sporządzić listę obecności i wystawić uczestnikom szkolenia imienny certyfikat. Czy w tym przypadku mamy do czynienia z administratorem i podmiotem przetwarzającym czy jest to relacja między dwoma administratorami?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. W opisanej relacji należałoby zawrzeć z wykonawcą umowę powierzenia. Pozdrawiamy!

  99. klaudia
    Reply

    Witam,
    mam pewien dylemat. Otóż, sprzedawałam bilety na pewnej stronie internetowej, przeznaczonej do sprzedaży biletów.
    Wiadome, że został wypełniony formularz z pełnymi danymi oraz numerem telefonu.
    Bez mojej zgody, został numer kontaktowy udostępniony osobie która zakupiła przez platformę bilet.
    Czy to jest zgodne z prawem?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Tak, jest to zgodne z prawem. Trudno, żeby kupujący nie miał wiedzy, komu ma np. zapłacić za bilety. Pozdrawiamy!

      1. Klaudia
        Reply

        tyle, że pieniądze za bilety trafiają do serwisu, a następnie serwis przelewa pieniądze na nasze konto. Osoba kupująca oraz osoba sprzedająca nie widzi swoich danych..

  100. Emilia
    Reply

    Witam,
    na jakiej podstawie prawnej możemy zbierać dane osobowe osób zainteresowanych udziałem w Uniwersytecie Trzeciego Wieku. Pozdrawiam.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Na podstawie art. 6 ust. 1 lit. b RODO – podejmowanie działań, na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Pozdrawiamy!

  101. Paweł
    Reply

    Dzień dobry,

    czy klauzula informacyjna powinna być stosowana przed podpisywaniem umów o dzieło lub zlecenia? I wtedy podstawą jest art. 6 lit b RODO? Zastanawiam się też ile powinno się przechowywać takie dane? pozdrawiam

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Tak, to dobry moment na przedstawienie klauzuli informacyjnej. Podana podstawa prawna również jest prawidłowa. Rekomendujemy przechowywanie danych do zakończenia współpracy, z uwzględnieniem właściwych terminów przedawnienia. Pozdrawiamy! 🙂

  102. Gabriela
    Reply

    Dzień dobry,

    jeśli naukowcy przysyłają artykuły do redakcji czasopisma specjalistycznego i w strukturze artykułu maja podać swoje imię i nazwisko, afiliację do instytucji oraz adres poczty elektronicznej to czy trzeba im wtedy też przedstawiać klauzulę informacyjną?
    Te dane nigdzie indziej nie są przetwarzane.

    Ponadto, na stronie czasopisma jest lista recenzentów danego rocznika.

    Pozdrawiam!

  103. Kamila
    Reply

    Witam,
    1. czy na początku rozmowy telefonicznej musi być przekazana klientowi informacja o ochronie danych? Tzn. czy wyraża zgodę na rozmowę?
    2. Jeśli klient umówi się na spotkanie z doradcą podczas rozmowy należy zebrać jego dane (imię i nazwisko, adres, aktualny nr tel.) – czy po otrzymaniu takich danych musimy podać mu jakąś informację o RODO?
    3 pytanie, jeśli doradca fizycznie podpisze z nim umowę o jakiś produkt, to czy musi podpisać jakąś informację o RODO?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Jeśli chodzi o pytanie 1, to trzeba być bardzo ostrożnym, o ile pod względem przepisów o ochronie danych osobowych, działania marketingowe można uznać za prawnie uzasadniony interes administratora danych, to istnieje ryzyko prawne w kontekście ustawy Prawo telekomunikacyjne. We wrześniu zeszłego roku UOKiK wszczął postępowanie wobec z jednego z operatorów telekomunikacyjnych o to, iż dzwonił do potencjalnych klientów z prośbą o wyrażenie zgody na przedstawienie oferty. Pytanie nr 2 – tak, przy zbieraniu tych danych w celu umówienia spotkania należy spełnić obowiązek informacyjny. Pytanie nr 3 – tak, w umowie bądź jako załącznik do niej powinna znaleźć się klauzula informacyjna w myśl art. 13 RODO. Pozdrawiamy!

  104. Emilia
    Reply

    Witam, w nawiązaniu do pytania o Uniwersytet Trzeciego Wieku, to często się zdarza, że lekarz na opinii lekarskiej dopisuje swoje uwagi na temat zdrowia osoby chcącej wziąć udział w projekcie. Mam dylemat, czy warto dołożyć oprócz art. 6 ust.1 lit. b jeszcze art. 9 ust. 2 lit. a, poproszę o jakąś sugestię.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Tak, warto dołożyć ten przepis jako podstawę prawną przetwarzania danych osobowych. Pozdrawiamy!

  105. Anna
    Reply

    Dzień dobry.
    1) Placówka prywatna świadcząca usługi z zakresu profilaktyki zdrowotnej, leczenia, ma dwie przychodnie (o różnych lokalizacjach). Pierwsza przychodnia świadczy usługi dla dorosłych i dzieci, druga jest ukierunkowana tylko na dzieci pod kątem ich rehabilitacji. Jedna strona internetowa, jeden administrator danych. Czy w takim przypadku ma być jedna klauzula informacyjna (a w niej umieścić dwie lokalizacje placówek należących do tego samego administratora), czy lepszym rozwiązaniem będzie mieć dwie klauzule.
    2) Czy przetwarzanie danych osobowych dzieci w takiej placówce odbywa się na podstawie wyrażonej zgody rodziców/opiekunów?
    3) Ta sama prywatna placówka medyczna średnio rocznie przyjmuje ok. 2 tys. pacjentów. Czy taka placówka powinna wyznaczyć IOD-a? Art. 37 ust. 1 lit. c mówi o przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych. Jak rozumieć „dużą skalę”? Mogę prosić o jakąś podpowiedź?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Po kolei:

      1) lokalizacji placówek nie trzeba umieszczać w klauzulach informacyjnych, wystarczy oznaczenie administratora danych (zgodnie z art. 13 RODO), natomiast klauzul praktycznie zawsze jest więcej niż jedna, ponieważ inną przedstawiają Państwo Pacjentom, inną pracownikom – inne podstawy prawne przetwarzania danych, inne cele itd.
      2) w placówce medycznej nie ma potrzeby wyrażania zgody ani przez dzieci, ani przez ich rodziców, podstawą prawną jest bowiem art. 9 ust. 2 lit. h) RODO.
      3) rekomendujemy wyznaczenie IOD-a w przypadku skali, którą opisano.

      Pozdrawiamy!

  106. Anna
    Reply

    Witam. W odniesieniu jeszcze do powyższej prywatnej placówki medycznej …
    Rozumiem, że wyznaczenie IOD-a w takiej placówce jest dobrowolne, nie obowiązkowe. Jeżeli obowiązkowe, to trzeba to zrobić do 31.07.2018 r.? Słowem „klucz” jest tutaj „duża skala”. Rozumiem – szpitale – duża skala bezspornie. Zresztą Grupa Robocza art. 29 także daje taki przykład jako obowiązku posiadania IOD-a. Ta sama Grupa Robocza art. 29 wskazuje też, że praktyka pojedynczego lekarza to nie jest duża skala. A co pośrodku? Placówka medyczna, kilku lekarzy z różnych specjalności, ok. 2 tys. pacjentów. Można, ale nie ma obowiązku wyznaczyć IOD-a?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Odpowiedź na to pytanie pojawiła się już w innym wątku. Zachęcamy do poszukiwań. 🙂 Pozdrawiamy!

  107. Dawid
    Reply

    Witam
    Firma Sklep AGD RTV itp. posiada około 15 sklepów stacjonarnych oraz dwa sklepy internetowe. Czy powinna powołać Inspektora Danych Osobowych?? Czy można już powiedzieć że taka firma przetwarza dane osobowe na dużą skalę ??
    Super BLOG
    Polecam Każdemu 🙂

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Dziękujemy za miłe słowa! 🙂 Jak najbardziej zakwalifikowalibyśmy opisane działania jako przetwarzanie danych na dużą skalę. Pozdrawiamy!

  108. Anna
    Reply

    Dzień dobry.
    Placówka medyczna do rejestracji pacjentów korzysta m.in. z portalu znanylekarz.pl. Czy w obowiązku informacyjnym tej placówki należy wskazać ten portal? W jakim charakterze? Dane pacjenta przetwarza najpierw wskazany portal, który przekazuje dane pacjenta do placówki z którą ma umowę. Czy jest to udostępnienie na podst. art. 6 ust. 1 lit. b? Dalsze przetwarzanie danych przez docelową placówkę medyczną odbywa się na podstawie art. 9 ust. 2 lit. h? Pozdrawiam.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Pani Anno, z racji wielu pytań, które od Pani otrzymujemy na łamach bloga, dostrzegamy, że powstaje wiele wątpliwości we wdrożeniu RODO. Zapraszamy zatem do skorzystania z usługi konsultacji. Pozdrawiamy!

  109. Anna
    Reply

    Witam. Czy przetwarzanie danych zwykłych pacjenta podczas rejestracji do lekarza odbywa się już na podstawie art. 9 ust. 2 lit. h RODO, czy na podstawie jego zgody?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Pani Anno, z racji wielu pytań, które od Pani otrzymujemy na łamach bloga, dostrzegamy, że powstaje wiele wątpliwości we wdrożeniu RODO. Zapraszamy zatem do skorzystania z usługi konsultacji. Pozdrawiamy!

  110. Anna
    Reply

    Dzień dobry. Tak, dookoła RODO powstaje wiele wątpliwości. Dziękuję za okazaną cierpliwość i na pewno skorzystam z usługi konsultacji. Pozdrawiam.

  111. Natalia
    Reply

    Witam. Proszę o wyjaśnienie relacji:
    -biuro podróży świadczące usługi dla dużego touroperatora – relacja Procesor-ADO?
    -biuro podróży- hotel, linie lotnicze, przewoźnik- relacja ADO-ADO?
    – biuro podróży oferujące swoje wycieczki, nie w imieniu touroperatora- ADO?
    Pozdrawiam i dziękuję za możliwość skorzystania z rewelacyjnej bazy wiedzy.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Na początek dziękujemy za miłe słowa!
      Wszystkie strzały trafne, 3/3! 🙂
      Pozdrawiamy.

  112. Jolanta Maciejewska
    Reply

    Dzień Dobry,

    Wysłałam umowę powierzenia danych osobowych do firmy ubezpieczeniowej AXA, z którą mamy umowę generalną do zawierania umów ubezpieczenia imprez turystycznych, a więc przekazujemy do AXA dane osobowe (często też i te wrażliwe) naszych klientów. Dostałam odpowiedź, że firmy ubezpieczeniowe nie podpisują umów powierzenia danych osobowych z Biurami Podróży, mają swoje umowy w których to one są Administratorem danych osobowych i to te umowy przesyłają do swoich agentów.
    Nie bardzo wiem jak w takiej sytuacji mamy postępować ? Czy możemy przekazywać dane osobowe naszych klientów (ich zgody do przekazywania ich danych naszym podwykonawcom oczywiście mamy) do firmy ubezpieczeniowej bez zawartej z nią umowy powierzenia danych ?

    Bardzo dziękuję za pomoc
    Z poważaniem

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Tak, ubezpieczyciele pełnią w opisanej relacji rolę odrębnych administratorów danych, w związku z tym dane nie są im powierzane, lecz udostępniane. Pozdrawiamy!

  113. Jolanta
    Reply

    Bardzo dziękuję za odpowiedź. Jednakże od nas klienci w zawieranych z nami umowach – dotyczy to wyjazdów firmowych etc.. wymagają jak poniżej :

    6. Klient udziela Biuru Podróży zgody na korzystanie z usług innych podmiotów przetwarzających, tj. przewoźników, agentów lotniczych, hoteli, pilotów wycieczek, ubezpieczycieli, grafików komputerowych, drukarni , dalej jako „Podwykonawcy” – w celu realizacji niniejszej Umowy o udział w Imprezie Turystycznej.
    7. Biuro Podróży, zgodnie z art. 28 ust. 4 Rozporządzenia UE, oświadcza, że zawarło lub zawrze z Podwykonawcami stosowne umowy powierzenia przetwarzania danych osobowych a jego Podwykonawcy podobnie jak Biuro Podróży podlegają obowiązkom wskazanym w art. 32 Rozporządzenia UE.
    8. Biuro Podróży jest zobowiązane udostępnić Klientowi wszelkie informacje dotyczące spełnienia obowiązków Biura Podróży, jako podmiotu przetwarzającego dane Uczestników Imprez turystycznych.

    i mogą zażądać umów powierzenia danych, co w takim razie mamy robić i na jakiej podstawie prawnej możemy udostępnić dane naszych klientów firmie ubezpieczeniowej ?

  114. Paweł
    Reply

    Witam, chyba już dopadła mnie RODOza i pogubiłem się w tych kwestiach. Czy jeśli w ogłoszeniu o konkursie o pracę dajemy klauzulę informacyjną, to potem musimy jeszcze po przyjęciu pracownika na dane stanowisko przedstawić mu kolejną klauzulę informacyjną?
    pozdrawiam

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Zdajemy sobie sprawę z epidemii RODOzy. 🙂 Powinny być dwie odrębne klauzule informacyjne, ponieważ inny zakres danych zbieramy w momencie rekrutacji, a zupełnie inny od pracownika, którego decydujemy się zatrudniać. Pozdrawiamy!

  115. Gabriela
    Reply

    Witam serdecznie 🙂 jeśli ktoś bierze z własnej woli udział w rekrutacji dotyczącej otrzymywania stypendium naukowego w projekcie badawczym (a sam doktorat robi w innej jednostce naukowej) to czy w klauzuli od instytucji wypłacającej stypendium temu doktorantowi należy wpisać, że jego dane będą przetwarzane na podstawie jego zgody oraz w celu wykonywania umowy stypendialnej czy też może wystarczy właśnie sam art. 6 b RODO? i w takim przypadku instytucja, w której realizowany jest projekt i z której będzie wypłacane stypendium jest administratorem danych tego doktoranta? zasadniczo jeśli w umowie o finansowanie projektu badawczego jest obowiązek wypłacania stypendium doktorantowi, to chyba wtedy też można mówić o art. 6 lit c RODO? pozdrawiam

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. W naszej ocenie wystarczy za podstawę prawną podstać wykonanie umowy oraz przedsięwzięcie czynności, na żądanie osoby, której dane dotyczą, przed zawarcie umowy (art. 6 ust. 1 lit. b) RODO), natomiast instytucja wypłacająca stypendium będzie administratorem danych stypendysty. 😉 Pozdrawiamy!

  116. Korneliusz Tylak
    Reply

    Dzień dobry.
    W związku z niezamówionym telefonicznym marketingiem bezpośrednim ostatnio próbuję dochodzić swoich praw i dowiedzieć się jakie jest źródło pochodzenia mojego numeru telefonu w bazie danych firmy marketingowej. Niestety firma uparła się, że nie przetwarza żadnych danych, a jedynie wykorzystuje automatyczny system wybierania numerów operujący na bazie zewnętrznego dostawcy. Na moje prośby o wskazanie administratora danych lub Inspektora Ochrony Danych, otrzymuję odmowy. Zastrzegają sobie udzielenia takich informacji jedynie poprzez pisemne żądanie wysłane na adres firmy łącznie z dokumentem poświadczającym że jestem użytkownikiem tego numeru telefonu (jako przykład wskazali umowę z operatorem).
    W sieci można znaleźć wiele informacji na temat obowiązków Inspektora danych , ale czy firma może warunkować podanie informacji kontaktowych zależnie od formy zapytania i dodatkowych dokumentów, a także czy ma rację pisząc że nie przetwarza danych?
    Pozdrawiam serdecznie!

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Naszym zdaniem jest to próba Pana zbycia. Żądanie może być złożone w formie dowolnej i administrator danych ma obowiązek na nie odpowiedzieć. Z kolei jeśli chodzi o dodatkowe dane identyfikacyjne – zgodnie z art. 12 ust. 6 RODO „jeżeli administrator ma uzasadnione wątpliwości co do tożsamości osoby fizycznej składającej żądanie, o którym mowa w art. 15–21, może zażądać dodatkowych informacji niezbędnych do potwierdzenia tożsamości osoby, której dane dotyczą”. Jednak w naszej ocenie, żądanie umowy abonenckiej jest zbyt daleko idące. Posiadacza nr telefonu można dziś dużo łatwiej zidentyfikować. Pozdrawiamy!

      1. K.
        Reply

        Dziękuję za odpowiedź. Również mam wrażenie, że to wszystko jest jedynie próbą zniechęcenia mnie.
        Chciałem jednak zwrócić uwagę, że rzeczona firma uważa iż nie przetwarza żadnych danych osobowych, nie ma administratora i nie dotyczy jej obowiązek informacyjny.
        Wydaje mi się, że kluczową kwestią tutaj jest stwierdzenie, czy obdzwanianie numerów (wykorzystywanie danych osobowych dostarczonych z zewnątrz) za pomocą automatycznego systemu, kiedy telemarketer tego numeru nawet nie widzi, podlega definicji przetwarzania danych, która z tego co wiem jest dosyć szeroka.
        Jeżeli by tak nie było, stanowiłoby to furtkę dla tego typu działalności, gdzie numery mogły zostać pozyskane nielegalnie, a administrator pozostaje nieznany.

        1. Kancelaria Lex Artist
          Reply

          Oczywiście, że wykonywanie telefonów w celu zaoferowania produktów/usług jest przetwarzaniem danych osobowych. Próba twierdzenia, że jest inaczej, to błąd. Pozdrawiamy!

          1. Roman

            Ale czy na pewno? Przecież ten kto dzwoni może mieć jedynie numer telefonu (bez imienia i nazwiska). Czy nie jest to właśnie wykorzystanie takiej furtki?

          2. Kancelaria Lex Artist

            W dzisiejszych czasach często numer telefonu jest wystarczającą informacją pozwalającą zidentyfikować daną osobę fizyczną. Dodatkowo wchodzą jeszcze regulacje Prawa telekomunikacyjnego. Pozdrawiamy!

  117. anna
    Reply

    Witam, a co w przypadku jeśli osoba dobrowolnie wysyła do firmy swoje CV i list motywacyjny do ogólnego zapoznania się z jej danymi i z prośbą o przyjęcie na staż? Czy można te dane rozesłać na maila firmowego?
    pozdrawiam

  118. Marcin
    Reply

    Witam serdecznie pracuje w PCPR gdzie praktycznie zawsze pracujemy na podstawie przepisów prawa. Benef. składa do nas wniosek o dofin. do remontu łazienki gdzie zgodnie z przepisami prawa w dokumentach przedłozonych przez niego widnieja osoby trzecie (przedkłada orzeczenia o st. niepeł. członków rodziny) czy w tej sytuacji wobec tych osób trzecich powinniśmy spełnić również obowiązek informacyjny?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. W tym zakresie proponujemy przyjąć pewną fikcję prawną i traktować te osoby trzecie jakby były wnioskodawcą, zatem obowiązek informacyjny spełniamy wyłącznie wobec wnioskodawcy. Pozdrawiamy!

      1. Marcin
        Reply

        Witam serdecznie na początek bardzo dziękuję za poprzednią odpowiedź.
        Mam jeszcze jedno pytanie, jeżeli chodzi o obowiązek informacyjny mógłby on wyglądać w ten sposób że w każdym wniosku które wydajemy w treści widniałby zapis np. Zostałam/Zostałem zapoznany z klauzulą informacyjną w tym z informacją o celu i sposobie przetwarzania danych osobowych zgodnie z art. 13 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016r. (Dz.Urz. UE L 119 z 04.05.2016r.) Każdy z pracowników posiada na biurku do zapoznania się treść takiej klauzuli inf. Dodawanie odrębnej kolejnej kartki o obowiązku inf. generuje za sobą duże koszta.

        1. Marcin
          Reply

          Wracając do poprzedniej odpowiedzi na temat obowiązku inf. wobec osób trzecich przy wnioskach napisał Pan/Pani ze te osoby należy traktować jak wnioskodawcy i obowiązek inf. należy spełnić wobec wnioskodawcy, a zatem wobec tych trzecich osób należy również spełnić ten obowiązek czy nie. Zgłupiałem już powiem szczerze.

        2. Kancelaria Lex Artist
          Reply

          Po konkretne wskazówki dotyczące konstrukcji zindywidualizowanej klauzuli informacyjnej zapraszamy do skorzystania z usługi konsultacji. 🙂 Pozdrawiamy!

  119. Marianna
    Reply

    Marianna
    Dzień Dobry,
    czy zbierając, od rodziców przedszkolaków, upoważnienia do odbioru ich dzieci przez dziadków, ciocie itp. należy odebrać zgody na przetwarzanie (przechowywanie przez przedszkole) danych osobowych tych osób odbierających? Czy raczej inna będzie podstawa prawna przetwarzania ich danych?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Rekomendujemy pozyskać od tych osób zgody na przetwarzanie ich danych osobowych w celu wystawienia upoważnienia. Pozdrawiamy!

  120. Emilia
    Reply

    Witam,
    czy IOD powinien być zatrudniony na pełny etat, a jeżeli już jest, to czy powinno mu się zwiększyć etat do 1,5 etatu?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Nie ma wymogu zatrudniania IOD-a na pełen etat. Jednak jeśli IOD ma łączyć swoje obowiązki z innymi zadaniami, należy wówczas pamiętać o art. 38 ust. 6 RODO, który nakłada na administratora danych osobowych (lub na podmiot przetwarzający), aby takie zadania i obowiązki nie powodowały konfliktu interesów. Pozdrawiamy!

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. W zależności od rozłożenia obowiązków – odpowiedzialny za spełnienie obowiązku informacyjnego jest Administrator Danych, ale czy zrobi to sam, czy zleci przygotowanie klauzul komuś innemu – jest tutaj dowolność. 🙂 Pozdrawiamy!

  122. Marcin
    Reply

    Witam serdecznie super sprawa ten blog.
    1. W naszej jednostce (PCPR) zatrudniony jest radca prawny, BHPowiec i psycholog na umowę zlecenie czy powinniśmy zawrzeć z nimi umowę powierzenia? na chwilę obecną mamy podpisane z tymi specjalistami upoważnienia do przetwarzania danych osobowych oraz oświadczenia o zachowaniu poufności. Nadmieniam że wszyscy specjaliści przetwarzają dane osobowe tylko w naszej jednostce nigdzie je nie wynoszą poza urząd.
    2. Jeżeli chodzi o obowiązek informacyjny mógłby on wyglądać w ten sposób że w każdym wniosku które wydajemy w treści widniałby zapis np. Zostałam/Zostałem zapoznany z klauzulą informacyjną w tym z informacją o celu i sposobie przetwarzania danych osobowych zgodnie z art. 13 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016r. (Dz.Urz. UE L 119 z 04.05.2016r.) Każdy z pracowników posiada na biurku do zapoznania się treść takiej klauzuli inf. Dodawanie odrębnej kolejnej kartki o obowiązku inf. generuje za sobą duże koszta.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry i na początek podziękowania za miłe słowa. 🙂

      1) Przyjęty model jest w porządku – wystarczą upoważnienia.
      2) Tak, jeśli wnioskodawca ma możliwość łatwego zapoznania się z tą klauzulą, to nie widzimy problemu w tak przedstawionym spełnianiu obowiązku informacyjnego.

      Pozdrawiamy!

  123. Marcin
    Reply

    Witam serdecznie bardzo dziękuje za odpowiedź.
    Jeszcze jedno pytanie będziemy zawierać umowy zlecenia z dwa specjalistami dot. prowadzenia programu korekcyjno-edukacyjnego dla sprawców przemocy w rodzinie będą oni przetwarzać dane uczestników owego programu, czy wystarczy samo upoważnienie do przetwarzania danych dla tych specjalistów, czy lepiej zawrzeć umowę powierzenia?

  124. Marcin
    Reply

    Bardzo dziękuje za odpowiedz jesteście bardzo pomocni.
    Dlatego postanowiłem zadać jeszcze jedno pytanie, a mianowicie w naszej jednostce funkcjonuje poradnictwo specjalistyczne ( darmowe wizyty o psychologa zgodnie z art. 46 ustawy o pomocy społecznej.
    1. Poradnictwo specjalistyczne, w szczególności prawne, psychologiczne i rodzinne, jest świadczone osobom i rodzinom, które mają trudności lub wykazują potrzebę wsparcia w rozwiązywaniu swoich problemów życiowych, bez względu na posiadany dochód.
    2. Poradnictwo prawne realizuje się przez udzielanie informacji o obowiązujących przepisach z zakresu prawa rodzinnego i opiekuńczego, zabezpieczenia społecznego, ochrony praw lokatorów.
    3. Poradnictwo psychologiczne realizuje się przez procesy diagnozowania, profilaktyki i terapii.
    4. Poradnictwo rodzinne obejmuje problemy funkcjonowania rodziny, w tym problemy opieki nad osobą niepełnosprawną, a także terapię rodzinną.
    W chwili obecnej zawieszona jest w gabinecie u specjalisty klauzula informacyjna ale dodatkowo zbieramy równie podpisy pod wydrukowana dla każdego klienta klauzulą, tylko że taka praktyka wiąże za sobą koszta w postaci dodatkowej kartki oraz dodatkowe miejsce w archiwum. Czy sama wywieszona klauzula nie wystarczyłaby?

    1. Kancelaria Lex Artist
      Reply

      Sama klauzula wystarczy, byle byłaby dostępna w miejscu, w którym pacjenci mogą się łatwo z nią zapoznać. Pozdrawiamy!

  125. Marcin
    Reply

    Witam bardzo dziękuję za bardzo konkretną i szybką odpowiedź.
    Jeszcze jedno pytanie mianowicie, czy powinniśmy pobierać zgody na przetwarzanie numeru tel i adres e-mail.

  127. Anna
    Reply

    Dzień dobry,
    Mam pytanie dotyczące obowiązku informacyjnego dla osób a dokładnie PI, który zawiera z nami umowę na przygotowanie dla nas planu ochrony przeciwpożarowej. Dane osobowe jakie są zawarte w tej umowie to imię, nazwisko, nazwa firmy, NIP, REGON oraz adres firmy. Czy w umowie trzeba zamieszczać klauzulę informacyjną czy można zastosować jakieś inne rozwiązanie?

  128. Marcin
    Reply

    Witam serdecznie mam pytanie dotyczące następującej kwestii.
    Wnioskodawcy mogą złożyć wniosek o dofinansowanie do remontu łazienki, gdzie wnioskodawca podpisuje umowę z firma na wykonanie tych prac. Przedkłada kosztorys i po jego akceptacji przez pracownika PCPR rozpoczynają się prace związane z remontem. Po zakończeniu prac pracownik PCPR oraz z oddelegowanym pracownikiem przez Starostę (zazwyczaj pracownik od spraw budowlanych) udają się na kontrole zgodności wykonanych prac z kosztorysem. Czy powinienem upoważnić pracownika Starostwa do przetwarzania danych osobowych względem tej osoby. Nadmieniam, że PCPR podlega Starostwu Powiatowemu.

  129. Paweł
    Reply

    Dzień dobry 🙂
    Pracownica nie pojechała na konferencję naukową, ponieważ przebywa na miesięcznym zwolnieniu lekarskim.
    Jednakże wcześniej Pracodawca poniósł wydatki związane z jej wyjazdem (opłata konferencyjna, koszt zarezerwowanych noclegów).
    W celu zaksięgowania tych wydatków, na druku delegacji została naniesiona informacja, że Pracownica nie pojechała na konferencję, gdyż przebywa właśnie na zwolnieniu lekarskim (są też daty tego zwolneinia).
    Dokumentacja wyjazdu, który się nie odbył zostaje przechowywana w księgowości, nie mają do niej dostępu osoby postronne. Czy taka praktyka jest dopuszczalna?
    Pozdrawiam!

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Naszym zdaniem nie jest to problemem. 😉 Byleby dostępu do takich dokumentów nie miały osoby nieupoważnione. Pozdrawiamy!

  131. Monika
    Reply

    Dzień dobry,
    jednym z zadań gminy czy powiatu jest udzielanie nieodpłatnej pomocy prawnej na podstawie ustawy z dnia 5 sierpnia 2015 r. o nieodpłatnej pomocy prawnej oraz edukacji prawnej (t.j. Dz. U. z 2017 r. poz. 2030). W związku z realizacją tego zadania jednostka ( gmina/powiat) otrzymuję od Okręgowej Rady Adwokackiej imienny wykaz adwokatów oraz ich zastępców na podstawie porozumienia, następnie z adwokatami podpisywana jest umowa. Rozumiem, że wobec adwokatów należy spełnić obowiązek informacyjny w momencie pierwszego kontaktu ( wysłanie projektu umowy) ale czy należy ich również upoważnić do przetwarzania danych osobowych potencjalnych klientów czy nie jest konieczne? Proszę o odpowiedź. Pozdrawiam serdecznie:)

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Jeśli dobrze rozumiemy, z adwokatami zawierana jest umowa cywilnoprawna (o świadczenie usług lub inna) – wówczas należy adwokatów upoważnić do przetwarzania danych osobowych osób korzystających z punktu nieodpłatnej pomocy prawnej. Pozdrawiamy!

  132. Justyna
    Reply

    Dzień dobry,

    Czy zakład diagnostyki laboratoryjnej, do którego trafiają próbki materiałów z innych placówek (pacjencie sami się nie zgłaszają) jest administratorem danych osobowych tych pacjentów i czy musi spełnić wobec nich obowiązek informacyjny czy jest to rola placówki, która zleca nam wykonanie badania a zakład diagnostyki laboratoryjnej jest tylko podmiotem przetwarzającym dane?

  133. Marcin
    Reply

    Witam serdecznie na początek bardzo dziękuję za to, że powstał taki blog super przydatne rzeczy można przeczytać.
    Proszę o rozwianie następujących wątpliwości a mianowicie, czy powinniśmy pobierać zgody na nr telefonu jeżeli beneficjent składa do Urzędu wniosek, a jest on niezbędny do kontaktu w razie uzupełnienia informacji w nim zawartych?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Dziękujemy za miłe słowa! 🙂 Nie ma potrzeby zbierania zgody w tym przypadku. Pozdrawiamy!

  134. Marcin
    Reply

    Witam serdecznie nurtuje mnie jedno pytanie dotyczące ustawy z pieczy zastępczej gdzie zgodnie z ww. ustawa mamy prawo pozyskiwania danych dotyczących dziecka przebywającego w rodzinie z takich jednostek jak np. szkoły, Mops, Gops. Czy w takich sytuacjach powinniśmy zastosować art. 14 RODO (pozyskiwanie danych z innych źródeł niż od osoby której dane dotyczą). Moim zdanie chyba jest to awykonalne.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Jeżeli pozyskują Państwo dane osobowe do przetwarzania z innego źródła niż osoba, której dane dotyczą i nie ma zastosowania któreś z wyłączeń z art. 14 RODO, to muszą Państwo spełnić obowiązek informacyjny. Sposób na jego wykonanie jest bardzo wiele, nie zawsze musi być to klauzula na piśmie. Pozdrawiamy!

  135. marcin
    Reply

    Witam serdecznie w sprawie powyższej informacji, jeżeli mamy na stronie internetowej jednostki wywieszone informacje o przetwarzaniu danych osobowych to czy jeżeli nie ma wyłączeń z art. 14 RODO to czy w takim przypadku wystarczy tylko zamieszczona informacja na tablicy ogłoszeń i stronie internetowej?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Sposób dopełnienia tzw. wtórnego obowiązku informacyjnego (art. 14 RODO) zależy od procesu przetwarzania danych osobowych, w którym jest spełniany. Wywieszenie na tablicy ogłoszeń lub np. przy okienku urzędu jest dobrym rozwiązaniem wtedy, jeżeli gromadzimy dane osobowe składane na wnioskach i jest to działanie masowe (np. wnioski o rejestrację pojazdu w urzędzie gminy). Pozdrawiamy!

  136. Marcin
    Reply

    Witam serdecznie bardzo dziękuję za odpowiedzi nie ma to jak fachowa obsługa.
    Pozwolę sobie pisać jeszcze do Państwa w razie wątpliwości.
    Pozdrawiam serdecznie i Życzę Państwu Zdrowych i Wesołych Świąt oraz Szczęśliwego Nowego Roku.

  137. Marcin
    Reply

    Przepraszam, że tak przed Świętami jeszcze przeszkadzam, ale dzisiaj wpadł mi dokument z MOPS gdzie na samym końcu wywiadu środowiskowego była zgoda na przetwarzanie numeru tel i adresu e-mail. Myślę że raczej jest taka praktyka niepotrzebna jak Państwo podchodzicie do tej kwestii? (nr tel. tylko w razie kontaktu ww sprawie jest jeszcze dopisane)

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Nie ma konieczności zbierania zgody na przetwarzanie danych osobowych w tym przypadku. Pozdrawiamy i Wesołych Świąt! 🙂

  138. Joanna
    Reply

    Dzień dobry, mam dwa pytania:
    1) Jak długo powinnam przetrzymywać dowód przekazania klientom obowiązku informacyjnego (np. drogą mailowa) aby wykazać je w przypadku ewentualnych roszczeń lub kontroli
    2) Jak długo powinnam przetrzymywać dowód wniosku (dot. jego praw) klienta i odpowiedź do niego

    Pozdrawiam serdecznie,
    Joanna

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Jeśli chodzi o pytanie nr 1 – tak długo, dopóki dane klienta nie zostaną usunięte (czy to na skutek wykonania retencji, czy na skutek realizacji praw osoby, której dane dotyczą). Co do pytania nr 2 – to zależy, czego dotyczy wniosek. Przykładowo w zakresie usunięcia danych rekomendujemy zachowanie wyłącznie logu systemowego świadczącego o tym, że dane zostały usunięte. Pozdrawiamy!

  139. Marcin
    Reply

    Witam serdecznie zawarliśmy umowę o świadczenie usług z lekarzem medycyny pracy (będzie przeprowadzał badania dla nowych i obecnych pracowników) czy oprócz umowy powinienem upoważnić lekarza do przetwarzania danych pracowników?

      1. Irek
        Reply

        Raczej należy zawrzeć z medycyną pracy umowę powierzenia, a firma zajmująca się medycyną pracy wystawia swojemu lekarzowi upoważnienie.

        1. Kancelaria Lex Artist
          Reply

          Opisany wyżej stan faktyczny dotyczy sytuacji, kiedy z lekarzem została zawarta umowa bezpośrednio przez placówkę medyczną. Pozdrawiamy!

  140. Emilia
    Reply

    Witam, w ilu egzemplarzach powinno być wystawione upoważnienie do przetwarzania danych (np. jeden egz. dla zainteresowanego, drugi dla działu kadr zaś trzeci dla IOD)?
    Pozdrawiam

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Najlepiej w dwóch – jeden dla zainteresowanego, drugi do dokumentacji ochrony danych osobowych (którą nadzoruje IOD – jeśli jest wyznaczony). Pozdrawiamy!

  141. Gabriela
    Reply

    Dzień dobry,

    czy politykę prywatności dotyczącą projektu realizowanego w instytucji, o którą prosi zagraniczny partner tego projektu, powinien napisać IOD tej instytucji, który nie ma zbyt wielu informacji na temat tego projektu?
    Pozdrawiam

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Najlepiej, aby politykę pisał przedstawiciel organizacji, która najlepiej zna uwarunkowania projektu. 🙂 Pozdrawiamy!

  142. Gabriela
    Reply

    Dziękuję 🙂 ja właśnie czegoś tutaj nie rozumiem… lider z Litwy prosi o wersję polską polityki prywatności do umieszczenia na stronie wspólnej projektu (będzie też polityka po litewsku i angielsku). To wychodzi na to, że będą 3 wersje polityki… chyba, że chodzi o to, żeby umieścić odnośnik do polityki prywatności Instytucji, w której jest realizowany ten projekt? Czy w ogóle mogą czegoś takiego żądać?
    Pozdrawiam

  143. Marcin
    Reply

    Witam serdecznie wracam do poprzedniego pytania dotyczącego lekarza medycyny pracy, otóż czy Powiatowe Centrum Pomocy Rodzinie powinno z lekarzem zawrzeć umowę powierzenia? na chwilę obecną mamy podpisaną umowę o świadczenie usług, upoważnienie do przetwarzania danych osobowych oraz oświadczenie poufności.

  144. Marcin
    Reply

    Witam serdecznie nurtuje mnie pytanie dotyczące następującej kwestii czy jeśli kontrahent jest osobą fizyczną wpisaną do Ewidencji działalności gospodarczej to czy obowiązuje również RODO? ( zgoda na przetwarzanie danych – danych firmowych oraz obowiązek informacyjny)

  145. Krzysztof
    Reply

    Dzień dobry,
    co należy zrobić w przypadku gdy podmiot, który wykonywał usługi informatyczne i po zakończeniu współpracy zgodnie z umową powierzenia danych osobowych powinien usunąć dane osobowe ze swoich zbiorów zarówno informatycznych jak i papierowych w ciągu 10 dni od dnia zakończenia umowy, jednak nie ma zamiaru tego wykonać.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Na początek warto byłoby sprawę załatwić polubownie, jeśli nie – należy sprawdzić zapisy umowy powierzenia, czy nie jest to naruszenie warunków umowy, które skutkować będzie nałożeniem kary umownej. Pozdrawiamy!

  146. marcin
    Reply

    Witam serdecznie.
    Wnioskodawca upoważnia na piśmie osobę do odbioru jego środków pieniężnych w placówce. Upoważnienie zostaje w naszej jednostce, czy wobec tej sytuacji powinniśmy spełnić obowiązek informacyjny wobec tej osoby upoważnionej?

  147. ewa
    Reply

    Dzień dobry, proszę o informację czy w przypadku informowania firm/działalności z którymi podpisujemy umowę lub którym wystawiamy faktury (jako działalność gospodarcza) może być w tej informacji zapis,że mogą żądać usunięcia swoich danych?dane potrzebne są do realizacji umowy,późniejszej wysyłki zamówionych części czy napraw serwisowych.
    Proszę też o pomoc, gdyż nie wiem co robić w sytuacji jeśli do tej pory taka informacja o przetwarzaniu nie była w firmie wysyłana do osób,których dane przetwarzaliśmy w powyższych sytuacjach.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Należy poinformować osobę, której dane dotyczą o prawie do usunięcia danych. To nie oznacza jednak, że każdy wniosek o usunięcie danych równać się będzie automatycznie obowiązkowi ich usunięcia. Usunąć dane należy wtedy, gdy spełniona jest jedna z przesłanek wymienionych w art. 17 ust. 1 RODO oraz nie zachodzi wyłączenie z art. 17 ust. 3 RODO. Pozdrawiamy!

  148. ewaz
    Reply

    Witam
    Co w sytuacji jeśli czasem moja firma przekazuje dane klientów innej firmie w celu realizacji umowy,a czasem ta firma przekazuje dane swoich klientów nam,czy wtedy spisać dwie umowy powierzania, gdzie raz jesteśmy administratorem,a raz przetwarzającym?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Relacja nie jest opisana na tyle precyzyjnie, aby stwierdzić jednoznacznie, czy mamy do czynienia z udostępnieniem, czy z powierzeniem danych. Pozdrawiamy!

      1. ewaz
        Reply

        powierzanie, mają umowę z klientem,a nam przekazują dane ich klienta do montażu sprzętu, późniejszej obsługi serwisowej

        1. Kancelaria Lex Artist
          Reply

          W takim razie najkorzystniej byłoby zawrzeć jedną umowę powierzenia przewidującą tzw. wzajemne powierzenie sobie danych. Pozdrawiamy!

  149. marcin
    Reply

    Witam serdecznie już nie raz Państwo mi pomogliście wyjść z trudnej sytuacji, wiec chciałbym jeszcze prosić o wyjaśnienie następującej kwestii.
    Wnioskodawca upoważnia na piśmie osobę do odbioru jego środków pieniężnych czy np. orzeczenia o niepełnosprawności. Upoważnienie zostaje wpięte w teczkę wnioskodawcy, czy wobec tej sytuacji powinniśmy spełnić obowiązek informacyjny wobec tej osoby upoważnionej?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Po wielorazową pomoc zapraszamy do skorzystania z usługi konsultacji. Serdecznie pozdrawiamy! 🙂

  150. Paweł
    Reply

    Witam serdecznie, czy potrzebna jest zgoda na przetwarzanie danych osobowych jeżeli przetwarzamy dane osoby upoważnionej przez wnioskodawce?

  151. Marta
    Reply

    Witam,
    Czy przy prowadzonej księdze gości w firmie trzeba spełniać obowiązek informacyjny? I jak chronić dane gości (imię, nazwisko) skoro są wioczne dla każdego kolejnego wpisującego się gościa?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Tak, należy dopełnić obowiązku informacyjnego. Dane można chronić np. zasłaniając je manualnie chociażby kartką. Pozdrawiamy!

  153. Paweł
    Reply

    Jeżeli mogę chciałbym zadać jedno pytanie.
    Czy jeżeli w aktach sprawy benef. posiadamy upoważnienia innych osób to, czy obowiązek informacyjny powinien być przez nas spełniony wobec tych osób upoważnionych?
    Będę bardzo wdzięczny za informacje.

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Posiadamy trochę zbyt mało informacji, aby móc odpowiedzieć na to pytanie. Generalnie wobec (niemal) każdego, kogo dane osobowe przetwarzamy, powinien być spełniony obowiązek informacyjny. „Niemal” w nawiasie oznacza wyłączenia stosowania obowiązku informacyjnego. Pozdrawiamy!

  154. Paweł
    Reply

    Witam serdecznie.
    Sprawa wygląda tak.
    Beneficjent upoważnia na piśmie np. sąsiada do odbioru jakiegoś dokumentu, my jako jednostka takowe upoważnienie wpinamy do akt sprawy beneficjenta, zastanawiam się czy takowy obowiązek powinien być spełniony? jeżeli tak to czy powinniśmy spełnić obowiązek informacyjny w przypadku gdy we wniosku, który składa beneficjent widnieją osoby trzecie?
    Moim zdaniem jest to awykonalne.
    Jakie jest państwa stanowisko w tej sprawie.
    Z góry bardzo dziękuje.

  155. Paweł
    Reply

    Witam serdecznie mam następujący przypadek
    Osoba niepełnosprawna jest ubezwłasnowolniona składa za ta osobę wniosek o dofinansowanie z PFRON prawny opiekun. We wniosku widnieją dane osobowe przedstawiciela prawnego jak również dane osobowe ubezwłano. Pytanie, czy należy spełnić obowiązek wobec tych dwóch osób?

    1. Kancelaria Lex Artist
      Reply

      Dzień dobry. Pojawiło się już w komentarzach pod tym postem podobne pytanie dotyczące beneficjenta, także uwagi będą identyczne. 🙂 Pozdrawiamy!

  156. Paweł
    Reply

    Witam serdecznie planujemy zatrudnić koordynatorów do pracy z rodzinami na umowę zlecenie. Praca osób również w terenie (wywiady z rodzinami i podopiecznymi). Przygotowywanie opinii o tych rodzinach pracownicy będą również tworzyć na swoich komputerach prywatnych i służbowych. Czy wystarczy upoważnienie do przetwarzania danych osobowych czy powinna być tu umowa powierzenia?

    1. Lex Artist
      Reply

      Witamy 🙂 W opisanym przez Pana przypadku najłatwiejszym rozwiązaniem byłoby upoważnienie do przetwarzania danych + oświadczenie o zachowaniu w tajemnicy pozyskanych w czasie współpracy danych. Dodatkowo osobom tym należałoby przed wydaniem upoważnienia zorganizować szkolenie z zakresu ochrony danych osobowych. Niepokojące jest używanie przez koordynatorów komputerów prywatnych- tu mamy duże ryzyko wystąpienia naruszenia. Zalecalibyśmy wykorzystanie urządzeń służbowych wyposażonych w odpowiednie zabezpieczenia. pozdrawiamy

  157. Justyna
    Reply

    Witam, bardzo zrozumiały i przydatny artykuł. Tylko mam pewną zagwozdkę. Jesteśmy wykonawcą przyłączy energetycznych wygranych w przetargach z Rejonem Energetycznym. Uzyskujemy ze starostwa dane właścicieli działek i podpisujemy z nimi umowy użyczenia na wejście w działkę w celu wykonania przyłącza, gdzie jesteśmy pełnomocnikiem inwestora. Po wykonaniu zlecenia wystawiamy faktury na podstawie protokołu odbioru z rejonu, gdzie również znajdują się dane właścicieli tych działek. Czy klauzule informacyjną dla właścicieli działek z którymi zawieramy umowy użyczenia wystarczy, jeżeli umieścimy w umowie użyczenia czy wymagana jest osobna kartka z klauzulą i podpisem właściciela działki? Z góry dziękuję. Pozdrawiam

      1. Marysia
        Reply

        Dzień dobry!

        Mój ulubiony blog 🙂
        Nurtuje mnie pytanie związane z podpisywaniem umów przez pełnomocników, czy wobec nich odrębnie musimy spełnić obowiązek informacyjny czy wystarczy klauzula w umowie, którą podpisują w imieniu mocodawcy. Cele przetwarzania są te same czyli zawarcie umowy, ale mam jednak wątpliwości.

        1. Lex Artist
          Reply

          Dzień dobry, dziękujemy za miłe słowa 🙂
          Z przedstawionych przez Panią informacji nie wynika potrzeba spełniania odrębnego obowiązku wobec pełnomocników, wystarczająca jest klauzula w umowie. pozdrawiamy

    2. Paweł
      Reply

      Witam serdecznie jeżeli nie ma możliwości aby ci koordynatorzy pracowali na służbowych laptopach to czy w takiej sytuacji najlepiej będzie podpisać taka umowę powierzenia?

      1. Lex Artist
        Reply

        Dzień dobry 🙂 w tej sytuacji można zastosować różne rozwiązania. Sprawa wymaga głębszej analizy. W razie dalszych pytań zapraszamy na indywidualne konsultacje: Telefon: 48 535 400 091, e-mail: pozdrawiamy

  158. Paweł
    Reply

    Dzień dobry,

    w świetle nowego stanowiska UODO odnośnie ewidencjonowania wejść i wyjść do budynku, jeśli posiadamy monitoring i przygotowaliśmy w widocznym miejscu klauzulę informacyjną (art. 6 ust. 1 lit. e), a oprócz tego osoby ” z zewnątrz” wpisują się na listę wejść i wyjść (imię, nazwisko, godzina wejścia i wyjścia), to czy powinniśmy mieć dodatkową klauzulę informacyjną związaną z podawaniem danych osobowych przez te osoby czy wystarczy ta klauzula odnośnie monitoringu?
    pozdrawiam

    1. Lex Artist
      Reply

      Dzień dobry 🙂 bez wglądu w Państwa klauzulę monitoringu trudno nam zając stanowisko w opisanej sytuacji. W naszej ocenie w przypadku podmiotów publicznych nie ma konieczności tworzenia oddzielnej klauzuli informacyjnej dla listy wejść i wyjść, ewentualnie należałoby dokonać weryfikacji treści obecnej. Zapraszamy na indywidualne konsultacje Telefon: + 48 535 400 091, e-mail: pozdrawiamy

  159. Barbara
    Reply

    Dzień dobry, mam możliwość pobrania darmowego e-booka, jednak wymagane jest ode mnie zaznaczenie pola pt. 'zgoda na otrzymywanie drogą mailową/telefoniczną informacji o promocjach i produktach danej firmy’. Czy jest ona konieczna? Przecież zgoda na otrzymywanie ofert nie jest niezbędna do wykonania umowy wysłania/udostępnienia samego e-booka.

    1. Lex Artist
      Reply

      Dzień dobry, faktycznie taka zgoda nie jest konieczna-dotyczy wysyłki materiałów o charakterze marketingowym, co więcej jest wymuszona czyli niezgodna z obowiązującymi przepisami prawa. pozdrawiamy

      1. Jerzy
        Reply

        Witam,
        chyba się nie zgodzę
        Podejrzewam, że mamy do czynienia z taką sytuacją:
        Jeśli udzielisz nam zgody na otrzymywanie drogą mailową/telefoniczną informacji o promocjach i produktach naszej firmy’ otrzymasz od nas e-booka za darmo.
        NIe widzę tu złamania prawa. Nasze dane są swoistego rodzaju walutą i to od nas zależy czy i za co chcemy nią zapłacić. Nie ma przymusu posiadania tego e-booka. Możemy więc dobrowolnie zgodzić się na taki układ lub nie. Ciekaw jestem czy przekonałem Państwa?

        1. Lex Artist
          Reply

          Dzień dobry, w opisanej sytuacji należałoby jeszcze przeanalizować warunki pobierania e-booka, jeśli zostały one jasno opisane i jest możliwość łatwego zapoznania się z nimi – to przychylamy się do Pana stanowiska. Pozdrawiamy!

  160. Paweł
    Reply

    Dzień dobry,
    organizujemy wydarzenie naukowo-kulturalne wspólnie z inną instytucją.
    Założyliśmy skrzynkę pocztową, na którą będą napływać zgłoszenia osób fizycznych na to wydarzenie (na naszym serwerze), a dostęp do niej będzie mieć pracownik naszej instytucji, jak i tej drugiej. W związku z tym, że będziemy zbierać dane osobowe osób, które zgłaszają się na to wydarzenie, chcemy spełnić obowiązek informacyjny. Czy w takiej sytuacji nasze instytucje są współadministratorami danych? Czy w takiej sytuacji należy w klauzuli podać kontakt zarówno do naszego IODa, jak i tej drugiej instytucji?
    pozdrawiam serdecznie

    1. Lex Artist
      Reply

      Dzień dobry:) Współadministrator to szczególna forma administratora – wraz z innym podmiotem, wspólnie ustala cele i sposoby przetwarzania danych osobowych. Z Pana opisu wynika, że można byłoby zastosować tą konstrukcję. Przy czym należy pamiętać o tym aby obaj administratorzy przed przetwarzaniem danych uzgodnili m.in zakres odpowiedzialności, relacje pomiędzy nimi a podmiotami danych, punkt kontaktowy, np. w formie porozumienia. Kolejnym krokiem powinno być przygotowanie klauzuli informacyjnej oraz wskazanie w Rejestrze Czynności Przetwarzania danych współadministratora. pozdrawiamy

  161. Lex Artist
    Reply

    Dzień dobry 🙂 w naszej opinii w tej kwestii powinien wypowiedzieć się Regulator czyli Urząd Ochrony Danych Osobowych. Sugerujemy w pierwszej kolejności zasięgnąć informacji u źródła i ewentualnie złożyć skargę do UODO. Pozdrawiamy

  162. W obawie o moje bezpieczeńśtwo
    Reply

    Mam uprzejmą prośbę o poradę dotyczącą MOJEGO, tj. autora bloga bezpieczeństwa.

    Czy w obowiązku informacyjnym wystarczy, że podam swoje imię i nazwisko oraz adres email do siebie jako administratora danych? O ile się orientuje, art. 13 NIE precyzuje, co dokładnie mam podać (adres, telefon, email)? W końcu email pozwala na kontakt ze mną, nie mniej skuteczny, niż podanie adresu zamieszkania, czy telefonu.

    Pytam z konkretnego powodu – w internecie pełno jest osób niebezpiecznych. Chcę publikować ciekawe moim zdaniem informacje, ale nie chcę narażać się na próbę kradzieży tożsamości, nie mówić o mojej rodzinie! Wszędzie ostrzega się “nie podawaj swego nazwiska, a tym bardziej adresu, bo różni bandyci mogą to wykorzystać”. A jeśli już nazwisko i imię jest konieczne, to czy można chociaż nie podawać adresu zamieszkania?

    Dodam, że jestem osobą fizyczną, blog hobbistyczny. Chcę być zgodny z RODO, ale nie chcę podawać swego adresu domowego, gdzie mieszka moja rodzina, dzieci, tylko po to, żeby prowadzić bloga! Czy RODO pod tym względem chroni mnie, jako administratora? Czy jedyną możliwością ochrony jest po prostu zrezygnowanie z prowadzenia swojego bloga (nawet w wersji bez wtyczek, komentarzy, trackerów, itp)? Najchętniej – nie gromadząc cudzego nazwiska, ani nawet maila (zakładając, że nie daję opcji komentowania), nie chciałbym dawać swojego, a jedynie mail kontaktowy, ale rozumiem, że to niemożliwe. Żeby chociaż obejść ten adres.

    1. Lex Artist
      Reply

      Dzień dobry 🙂 w przypadku prowadzenia prywatnej strony internetowej, bloga hobbistycznego, RODO nie będzie miało zastosowania, ponieważ mamy do czynienia z przetwarzaniem danych osobowych „przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze” (art. 2 ust. 2 lit. c RODO). Sytuacja zmienia się w momencie zastosowania funkcji reklamowo-śledzących, które wykluczają charakter „osobisty lub „domowy”, pozdrawiamy

  163. Zatroskana
    Reply

    Dzień dobry. Jak sprostać wymogom informacyjnym wobec współmałżonków pracowników, których zgłaszamy do ZUS i do prywatnej opieki medycznej? Czy trzeba się „cofnąć” z taką informacją do wszystkich zgłoszonych?

    1. Lex Artist
      Reply

      Dzień dobry 🙂 Jeżeli konieczność pozyskania przez przez pracodawcę określonych danych osobowych członków rodziny pracownika wynika z konkretnego przepisu, a w opisanym przypadku przetwarzane są dane wymagane treścią formularzy ZUS, wówczas, z mocy art. 14 ust. 5 lit. c RODO, pracodawca nie wykonuje obowiązku informacyjnego z art. 14 ust. 1 i 2 RODO względem członków rodziny pracownika. Kwestia informowania w przypadku prywatnej opieki zdrowotnej wymaga analizy-zapraszamy na konsultacje. Pozdrawiamy

  164. Agata
    Reply

    Dzień dobry. Chcialabym zapytać o sytuację w ktorej pracownik podmiotu wysyła na adres ogólny urzędu pytanie i otrzymuje odpowiedź ze skrzynki pracownika urzędu z w mejlu pracownik urzędu zamieszcza imię i nazwisko i stanowisko. Czy temu pracownikowi urzędu od którego wplynela odpowiedz należy dostarczyc klauzulę informacyjną. Z gory dziękuję za odpowiedź

  165. Paulina
    Reply

    Witam Czy rodzic podając imię i nazwisko oraz telefon osoby upoważnionej do odbioru dziecka z przedszkola musi mieć podpisaną zgodę od tej osoby na przetwarzanie danych osobowych?

  167. Kamil
    Reply

    Dzień dobry .
    Proszę o odpowiedź na następujące pytania :
    1.W jaki sposób sklep stacjonarny ( właściciel) na terenie którego zainstalowany jest monitoring wizyjny musi spełnić obowiązek informacyjny w stosunku do klientów ?
    2. Czy UODO podejmie działania w stosunku do właściciela sklepu
    ( sieci sklepów stacjonarnych ) w chwili złożenia zawiadomienia o braku spełnienia obowiązku informacyjnego ( monitoring wizyjny) przez
    klienta tegoż sklepu ? i czy ewentualne kary nakładane przez UODO
    zawsze kończą się karami finansowymi za takie łamanie przepisów ?
    Dziękuję za odpowiedź .

    1. Lex Artist
      Reply

      Dzień dobry 🙂
      1. W naszej ocenie w widocznym miejscu w sklepie powinna być umieszczona infografika z informacją, kto jest administratorem danych i gdzie można uzyskać więcej informacji na temat przetwarzania przez niego danych osobowych.
      2. Obowiązkiem Prezesa UODO jest zareagowanie na każdą złożoną do niego skargę. Ewentualne kary nie zawsze kończą się nałożeniem kary finansowej- zależy to od wyjaśnień złożonych przez administratora. Więcej informacji na temat skarg dostępna jest pod adresem https://uodo.gov.pl/pl/83/155 Pozdrawiamy!

  168. Kasia
    Reply

    Dzień dobry,
    czy jeśli firma (spółka z o.o.) podpisuje z osobą fizyczną prowadzącą działalność gospodarczą umowę na wykonanie usług remontowych to do umowy należy dołączyć klauzulę informacyjną?

    1. Lex Artist
      Reply

      Dzień dobry 🙂 według naszej opinii w opisanej sytuacji należy dołączyć klauzulę informacyjną zgodnie z wytycznymi opisanymi w art. 13 RODO. Pozdrawiamy!

  169. Piotr
    Reply

    Dzień dobry, cz na pewno należny dołączać klauzulę do umowy? Może wystarczy umieścić informacje np. na tablicy ogłoszeń, stronie internetowej oraz przekazać informacje ustnie podczas podpisywania umowy.

    1. Lex Artist
      Reply

      Dzień dobry, w naszej ocenie każdy z wskazanych przez Pana sposobów umieszczenia klauzuli informacyjnej jest właściwy, przy czym umieszczenie klauzuli w umowie daje administratorowi danych pełną rozliczność. pozdrawiamy!

  170. Agnieszka
    Reply

    Dzień dobry,

    Czy jeśli wypełniliśmy obowiązek informacyjny na stronie internetowej (polityka prywatności), w stopce e-mail (informacja o poufności wiadomości i możliwość przejścia do polityki prywatności na stronie internetowej), powinniśmy umieścić także wiadomość głosową, kiedy osoba kontaktuje się z instytucją telefonicznie? Mogą zdarzyć się takie sytuacje, że podaje dane osobowe np. imię i nazwisko, adres, nr tel itd. Dziękuję za odpowiedź.

    1. Lex Artist
      Reply

      Dzień dobry 🙂 w opisanej sytuacji należy rozważyć wszystkie za i przeciw zapisowi wiadomości głosowej. Warto też rozeznać jak działają inne organizacje w tej samej branży.

  171. " class="url" rel="ugc external nofollow">Paweł
    Reply

    Dzień dobry.

    Proszę o odpowiedź na dwa zagadnienia:

    1. Czy wykonawca ma obowiązek informacyjny względem pracownika, którego dane, jako osoby do kontaktu, podaje w ofercie? Czy musi w związku z tym złożyć w ofercie oświadczenie wobec zamawiającego o dopełnieniu obowiązku informacyjnego?

    2. Czy wykonawca, przekazując zamawiającemu dokumenty potwierdzające jego zdolność do wykonania zamówienia (informację z urzędu skarbowego, ZUS, KRK etc.) ma obowiązek informacyjny względem osób, którzy podpisali dany dokument? Czy musi składać stosowne oświadczenie o wypełnieniu obowiązku informacyjnego, czy zachodzi w tym przypadku wyłączenie?

    Dziękuję i pozdrawiam.

  172. Agnieszka
    Reply

    Dzień dobry,
    Organizacja pozarządowa zawiera umowę z osobami chcącymi wypożyczyć sprzęt rehabilitacyjny. Osoby te dostarczają dokumenty o stanie zdrowia potwierdzającym konieczność korzystania ze sprzętu. Jaka podstawa prawna będzie obowiązywała przy dołączeniu dokumentów art. 9 ust. 2 lit. a czy f? Zgoda czy uzasadniony interes Administratora jako właściwe wydatkowanie posiadanego sprzętu?
    A jaka przy kwestionariuszu zbierającym dane osobowe tych osób i umowie art. 6 ust. 1 lit b? ponieważ dane zawarte w kwestionariuszu są wykorzystywane do zawarcia umowy i nie potrzeba zamieszczać w kwestionariuszu oświadczenia o wyrażaniu zgody na przetwarzanie tych danych? Czy można także zamieścić podstawę art. 6 ust. 1 lit. f jako dochodzenie roszczeń w sytuacji gdy sprzęt zostanie zniszczony?

    1. Lex Artist
      Reply

      Dzień dobry 🙂 W przypadku pozyskiwania danych o stanie zdrowia, to w przedstawionej sytuacji wydawałoby się najwłaściwszych zastosowanie jako przesłanki legalizującej art. 9 ust. 2 lit. a RODO. Jeśli chodzi o dane pozyskiwane w celu zawarcia umowy to sugerujemy zastosować przesłankę z art. 6 ust. 1 lit b i wskazanie w klauzuli informacyjnych wszystkich przesłanek legalizujących. Jeśli podanie danych o stanie zdrowia jest obligatoryjne to należałoby zgodę pozyskiwać przed zawarciem umowy. Art. 6 ust. 1 lit. f jak najbardziej może być postawą do przetwarzania danych w przypadku ewentualnych roszczeń. Pozdrawiamy!

  173. Iwona
    Reply

    Dzień dobry,
    Będę bardzo wdzięczna za informację, czy jeżeli przetwarzam dane osobowe przez dłuższy okres czasu, 10, 20 lat, czy jestem zobowiązana do corocznego przesyłania klientowi informacji o przetwarzaniu jego danych osobowych? Wyjaśnię tylko, że klient otrzymał ode mnie informację o przetwarzaniu przy podpisywaniu umowy ze mną, a cele przetwarzania się nie zmieniły.
    Będę bardzo wdzięczna za informację.
    Pozdrawiam

    1. Lex Artist
      Reply

      Dzień dobry, w naszej ocenie, jeśli przy zawarciu umowy został spełniony obowiązek informacyjny, m.in. został podany okres przechowywania danych, nie ma konieczności corocznego przesyłania klientowi informacji o przetwarzaniu jego danych osobowych. Pozdrawiamy!

  174. Stefan N.
    Reply

    Dzień dobry,
    Pracuje w Inspekcji Sanitarnej. Podczas należącej do moich obowiązków kontroli w protokole wpisuję swoje dane osobowe. W lutym po kontroli przekazane zostały bez mojej zgody moje dane osobowe do firmy współpracującej z kontrolowaną, (być może mającej jakieś udziały/układy). Firma ta przysłała dwa pisma skierowane do mnie, w którym mnie straszy. Nie wyrażałem zgody na przetwarzanie moich danych. Co powinienem zrobić? Zgłosić naruszenie do UODO? A może najpierw zastosować jakieś środki ostrzegawcze?
    Bardzo proszę o odpowiedź i z góry dziękuję.

    1. Lex Artist
      Reply

      Dzień dobry, sugerujemy w pierwszej kolejności ustalić na jakiej podstawie zostały udostępnione dane do firmy współpracującej z kontrolowaną. Pozdrawiamy

  175. Ewa
    Reply

    Dzień dobry,

    mam kazus dotyczący RODO w geodezji, a dokładniej o spełnianie obowiązku informacyjnego wobec właścicieli gruntów których dane pozyskiwane są z ewidencji gruntów i budynków.

    Dla zobrazowania: firma X w ramach realizacji umowy z firmą Y musi pozyskać dane z rejestru gruntów i budynków. Urząd udostępnia dane na podstawie interesu prawnego.

    Jako, że firma X pozyskuje dane w imieniu firmy Y – Pomiędzy firmami podpisana została umowa powierzenia przetwarzania danych osobowych która obejmuje swoim zakresem dane pozyskane z ewidencji gruntów. Z zapisów tej umowy wynika konieczność przedstawienia klauzuli informacyjnej firmy Y jako administratora danych.

    W jaki sposób firma X powinna realizować taki obowiązek informacyjny osobom których dane pozyskała. Czy jest w ogóle taka konieczność ? a może zawarcie umowy powierzenia było błędem ?

    1. Lex Artist
      Reply

      Dzień dobry 🙂
      Geodeci często pracują na danych osobowych pochodzących z państwowych rejestrów, w ich przypadku spełnienie obowiązku informacyjnego przysparza sporo problemów. W związku z tym najefektywniejszym rozwiązaniem byłoby umieszczenie przez administratora firmę Y (który zgodnie z zapisami RODO ma spełnić ten obowiązek) klauzuli informacyjnej na swojej stronie internetowej.
      Sugerujemy kontakt z firmą Y w celu ustalenia sposobu realizacji obowiązku informacyjnego.
      Pozdrawiamy!

  176. falken
    Reply

    Dzień dobry!
    Nasz pracownik odchodzi na emeryturę – jako konsultant obsługiwał wielu klientów, którzy będą o niego pytali w ramach nie zakończonych tematów, które przejmie inny pracownik. Czy możemy im udzielić informacji, że pracownik odszedł na emeryturę? Z jakim przepisem to ewentualnie koliduje? Bo z kolei udzielanie informacji „zakończyliśmy współpracę z tym pracownikiem” niepotrzebnie może sugerować negatywne powody rozwiązania umowy itp.
    W przypadku wątpliwości, czy pisemna zgoda pracownika na powyższe (udzielenie „jego” klientom) tej informacji rozwiązuje sprawę pod względem formalnym?

    1. Lex Artist
      Reply

      Dzień dobry! W naszej opinii najlepszym rozwiązaniem byłoby przekazanie tej informacji przez samego pracownika. Pozdrawiamy 🙂

  177. Jan Kowalski
    Reply

    Czy w przypadku zamiaru przekazania danych osobowych abonentów innej firmie w celu realizacji outsourcingu w zakresie telefonicznej obsługi abonentów, należy dokonać obowiązku informacyjnego czy też wystarczy zawarcie umowy o udostępnienie danych osobowych z w/w firmą ?

    1. Lex Artist
      Reply

      w naszej opinii administrator jest zobowiązany do poinformowania osoby, której dane dotyczą o odbiorcach jej danych osobowych, zatem jak najbardziej należy spełnić wobec niej obowiązek informacyjny.

  178. Anna
    Reply

    Dzień dobry
    Jesteśmy firmą, która naprawia urządzanie w wyniku umów z producentami, którzy to przekazują nam dane klientów lub klienci, wchodząc na nasz portal w ramach gwarancji producenta , klienci zgłaszają naprawę i pozostawiają swoje dane osobowe. Dla tego przypadku to nie my jesteśmy administratorem danych, lecz procesorem. Prawda?
    Co w przypadku gdy naprawa nie mieści się w ramach umowy gwarancji? Po wykonaniu naprawy pozagwarancyjnej klienci często proszą o fakturę na swoje dane osobowe. Czy nadal jesteśmy tylko procesorem, czy już stajemy się administratorem danych osobowych i wówczas powinniśmy zastosować obowiązek informacyjny?

    1. Lex Artist
      Reply

      Dzień dobry, jeśli dane osób, do których należy naprawiane urządzenie są przekazywane przez producentów, będziemy mieli powierzenie-Państwa firma będzie procesorem. Jeśli klient sam się zgłosi,sytuacja się zmienia-Państwa firma jest administratorem. Podobnie ma się rzecz przy wystawianiu faktur-Państwa firma również będzie administratorem (dane będą przetwarzane w celach rozliczeniowych). Pozdrawiamy!

  179. Kora
    Reply

    Sytuacja szkolna. Przez cały rok dwóch chłopców uczestniczy w sporach. Jeden z nich na koniec roku z zachowania otrzymuje ocenę dobrą. Na jakiej podstawie prawnej, oficjalnie, mogę się dowiedzieć w szkole jaką ocenę otrzymał drugi chłopiec? Bo jestem pewna, że otrzymał wyższą ocenę.

    1. Łukasz Zegarek
      Reply

      Dostęp do danych ucznia ma wyłącznie nauczyciel oraz jego opiekunowie prawni, którzy mogą otrzymać od nauczyciela szczegółowe uzasadnienie oceny dziecka. Nie ma w tym przypadku podstawy prawnej, by wnioskować o udostępnienie danych innych uczniów, a do takich należą właśnie wyniki nauczania.

  180. Klara
    Reply

    Dzień dobry, w firmie robię ankietę, gdzie odpowiadajacy udziela mi informacji o Imieniu i nazwisku i numerze klucza do biura, ankieta jest wewnętrzna. Czy powinnam dodać klauzule RODO?

    1. Łukasz Zegarek
      Reply

      Dzień dobry,

      Pracownik powinien zostać poinformowany o celach i podstawach prawnych przetwarzania jego danych osobowych w klauzuli informacyjnej przekazywanej mu w momencie podejmowania zatrudnienia. Nie ma konieczności tworzenia oddzielnej klauzuli informacyjnej na potrzeby ankiet. Wystarczy zatem zaktualizować klauzulę dla pracownika o nowy cel przetwarzania – przeprowadzanie ankiet wewnętrznych w oparciu o prawnie uzasadniony interes Administratora.

      Pozdrawiamy!

  181. Dorota
    Reply

    Dzień dobry

    czy trzeba zawierać umowę powierzenia w przypadku udostępniania kontrahentowi danych (biznesowych) pracowników klienta, u którego kontrahent wykonuje nasze zlecenie, przy czym te dane są konieczne dla tego zlecenia? I w drugą stronę : gdy takie dane klienta udostępniamy temu kontrahentowi w ramiach tego zlecenia?

    1. Łukasz Zegarek
      Reply

      Dzień dobry,

      Odpowiemy po prawniczemu – to zależy :). Czasem przekazanie tego typu danych odbywa się na mocy powierzenia przetwarzania danych osobowych, a czasem udostępnienia (w takim przypadku nie jest konieczne zawieranie umowy powierzenia). Wszystko zależy od charakteru takiej współpracy. Musielibyśmy przeanalizować nieco bardziej stan faktyczny. Potrzebowalibyśmy na to ok 30 – 60 minut. Zapraszamy do skorzystania z naszej oferty konsultacji: https://blog-daneosobowe.pl/produkt/konsultacje-rodo/

  182. Piotrek
    Reply

    Dzień dobry,
    jeśli chodzi o klauzulę informacyjną dot. formularza zgłoszenia naruszenia (sygnaliści) czy poprawne jest użycie w niej informacji o przetwarzaniu danych w oparciu o dobrowolnie wyrażoną zgodę na postawie art. 6 ust. 1 lit. a RODO? Pytam, bo spotkałem się z takimi zapisami w klauzulach. Czy jedynie art. 6 ust. 1 lit. c RODO (obowiązek prawny) oraz art. 9 ust. 2 lit. g RODO (ważny interes publiczny) jest wystarczający?

    Z wyrazami szacunku
    Piotrek

    1. Łukasz Zegarek
      Reply

      Dzień dobry, Piotrze,

      Dziękuję za pytanie dotyczące klauzuli informacyjnej w kontekście formularza zgłoszenia naruszenia (sygnalistów).

      W przypadku przetwarzania danych osobowych w związku z systemem zgłaszania naruszeń, bazowanie wyłącznie na zgodzie, zgodnie z art. 6 ust. 1 lit. a RODO, jest zazwyczaj nieodpowiednie. Zgoda musi być dobrowolna, świadoma i wycofywalna w każdym momencie, co może być problematyczne w tego rodzaju procedurach. W praktyce w przypadku zgłoszeń naruszeń przez sygnalistów odpowiedniejszymi podstawami prawnymi są:

      – Art. 6 ust. 1 lit. c RODO– przetwarzanie danych na podstawie obowiązku prawnego ciążącego na administratorze, np. w związku z obowiązkami wynikającymi z przepisów o ochronie sygnalistów.
      – Art. 9 ust. 2 lit. g RODO – przetwarzanie szczególnych kategorii danych w interesie publicznym, co może mieć zastosowanie, jeśli zgłoszenie naruszenia dotyczy poważnych przestępstw lub nadużyć, które mają wpływ na interes publiczny.

      Bazowanie na tych przepisach jest bardziej zgodne z naturą zgłoszeń sygnalistów, gdzie istotne jest zapewnienie ochrony prawnej zarówno dla zgłaszającego, jak i dla organizacji.

      Zgoda, jako podstawa przetwarzania, byłaby mało adekwatna w tego typu sytuacjach, ponieważ mogłaby podważyć obowiązek prawny organizacji do przetwarzania zgłoszeń naruszeń.

      Zgodnie ze stanowiskiem UODO prezentowanym podczas seminarium, które odbyło się 7 sierpnia 2024 r., przetwarzanie danych w celu przyjęcia zgłoszenia informacji o naruszeniach prawa i podjęcia działań następczych (w szczególności oceny prawdziwości informacji zawartych w zgłoszeniu oraz przeciwdziałania naruszeniu prawa będącemu przedmiotem zgłoszenia) powinno odbywać się w oparciu o podstawę prawną z art. 6 ust. 1 lit. c RODO – tj. obowiązek prawny administratora wynikający z Ustawy o ochronie sygnalistów.

      Mam nadzieję, że wyjaśniłem Twoje wątpliwości. Jeśli masz dodatkowe pytania, jestem do dyspozycji.

      Pozdrawiam!
      Łukasz Zegarek

Leave a Reply

* pola obowiązkowe

Administratorem danych osobowych jest Lex Artist sp. z o.o., ul. Szańcowa 74/1, 01-458 Warszawa. Dane osobowe będą przetwarzane w celu umieszczenia i obsługi komentarza na blogu. Przysługują Panu/Pani następujące prawa: prawo dostępu do treści danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania danych, prawo do wniesienia sprzeciwu, prawo do wniesienia skargi do organu nadzorczego. Pełna treść klauzuli informacyjnej znajduje się tutaj.

Zanonimizowany ciąg znaków stworzony na podstawie Pani/Pana adresu email (tak zwany hash) może zostać przesłany do usługi Gravatar w celu sprawdzenia czy jej Pan/Pani używa. Polityka prywatności usługi Gravatar jest dostępna tutaj. Po zatwierdzeniu komentarza obrazek profilowy jest widoczny publicznie w kontekście twojego komentarza.

TOP 5 najpopularniejsze artykuły

zgoda RODO
Zgoda na przetwarzanie danych osobowych według RODO
159 Comments
19 maj 2017
ochrona danych osobowych
Czym są dane osobowe wg RODO?
146 Comments
27 mar 2017
dane osobowe rodo
Umowa powierzenia przetwarzania danych osobowych według RODO
130 Comments
24 paź 2016
monitoring RODO
Monitoring wizyjny a ochrona danych osobowych
55 Comments
30 gru 2016
Jak nadawać upoważnienia do przetwarzania danych osobowych. Wzory dokumentów i dobre praktyki
53 Comments
10 paź 2016

Najnowsze komentarze

Cattani43
28 wrz 2024
Tyle szumu jest o ten przepis, ale nikt nie wyjaśnił jasno czego on dotyczy. Co jest i l...
Tomasz
26 wrz 2024
Dzień dobry. Ostatnio dostałem maila od jednej z mam odnośnie jednej sytuacji, któr...
Łukasz Zegarek
25 wrz 2024
Dzień dobry, Piotrze, Dziękuję za pytanie dotyczące klauzuli informacyjnej w konte...
Czas na rodo

Czy wiesz że?

Prowadzimy najpopularniejszy w Polsce kanał na YouTube poświęcony RODO.

Oglądaj czas na RODO

lex artist

Ochrona danych osobowych jest naszą specjalizacją od 16 lat.
Zaczęliśmy pomagać firmom na długo zanim biznes poznał RODO.
Wieloletnie doświadczenie to nasz atut, tak jak i zgrany zespół ekspertów.

  • Szczegółowe audyty RODO
  • Interesujące e-learningi
  • Szkolenia dla IOD
  • Outsourcing IOD
  • i wiele więcej

Zobacz, co jeszcze możemy dla Ciebie zrobić!