środa, 24 września 2025

Social Media Checklista zgodności z RODO

 


👌 Zrobiłem Ci prostą checklistę – coś w rodzaju schematu decyzyjnego „czy mogę użyć danych z posta w social media”:


Checklist: Czy mogę przetwarzać dane z posta w social media?

  1. Czy post jest prywatny (np. widoczny tylko dla znajomych)?
    • ✔️ Tak → To sfera osobista, RODO zwykle nie ma zastosowania (dla samego autora).
    • Nie (publiczny) → Idź dalej.
  2. Czy przetwarzam te dane tylko dla własnych, osobistych celów (np. zapisuję sobie do notatek)?
    • ✔️ Tak → Możesz, o ile nie udostępniasz dalej.
    • Nie (np. w firmie, w pracy, w działalności publicznej) → Idź dalej.
  3. Czy dane to zwykłe informacje (np. imię, miejsce pracy, zdjęcie)?
    • ✔️ Tak → Możesz je przetwarzać, jeśli masz podstawę prawną (np. uzasadniony interes, zgoda).
    • Nie (to dane szczególnych kategorii: poglądy polityczne, religijne, światopoglądowe, zdrowotne, seksualność itd.) → Idź dalej.
  4. Czy osoba sama wyraźnie upubliczniła te dane?
    • ✔️ Tak → Możesz je przetwarzać tylko w granicach zgodnych z RODO (np. nie wolno ich użyć do rekrutacji).
    • Nie → Nie wolno przetwarzać, bo brak podstawy prawnej (art. 9 RODO).
  5. Czy mam jasny cel i podstawę prawną (np. zgoda, dziennikarstwo, uzasadniony interes)?
    • ✔️ Tak → OK, ale pamiętaj o zasadach: minimalizacja, informowanie osoby, bezpieczeństwo.
    • Nie → Przetwarzanie nielegalne.

📌 Złota zasada:
To, że coś jest publiczne, nie oznacza, że jest wolne do użytku. Zawsze trzeba sprawdzić:

  • kto opublikował,
  • jaki to rodzaj danych,
  • jaki mam cel i podstawę prawną.






Social Media przykłady z życia i zobaczmy, jak RODO działa w praktyce

 



🙂 To weźmy przykłady z życia i zobaczmy, jak RODO działa w praktyce:


🔹 Przykład 1: Rekruter i social media

  • Sytuacja: Kandydat aplikuje na stanowisko. Rekruter wchodzi na jego publiczny profil i widzi posty z poglądami politycznymi i religijnymi.
  • Co wolno: Rekruter może spojrzeć na ogólne dane publiczne (np. doświadczenie zawodowe, informacje z LinkedIn).
  • Czego nie wolno: Nie może zbierać i przetwarzać danych o światopoglądzie, nawet jeśli kandydat sam je upublicznił. Te informacje są szczególną kategorią danych (art. 9 RODO), a pracodawca nie ma podstawy prawnej do ich przetwarzania.

🔹 Przykład 2: Firma marketingowa

  • Sytuacja: Agencja chce targetować reklamy na osoby, które w publicznych postach piszą np. o byciu wegetarianinem.
  • Co wolno: Mogą targetować na podstawie zainteresowań ogólnych, jeśli ktoś sam je oznaczył (np. polubił fanpage).
  • Czego nie wolno: Nie mogą „wyciągać” z treści postów danych o poglądach czy światopoglądzie i tworzyć profili, bo to przetwarzanie szczególnych kategorii danych bez podstawy prawnej.

🔹 Przykład 3: Dziennikarz i post publiczny

  • Sytuacja: Publiczny post polityka zawiera jego poglądy i światopogląd. Dziennikarz cytuje ten post w artykule.
  • Co wolno: Dziennikarz może przetwarzać takie dane w ramach działalności dziennikarskiej, bo RODO przewiduje wyjątki dla wolności słowa i prasy (art. 85).
  • Czego nie wolno: Nie wolno mu przypisywać dodatkowych danych, których polityk sam nie ujawnił publicznie.

🔹 Przykład 4: Zwykły użytkownik

  • Sytuacja: Kowalski robi zrzut ekranu cudzego publicznego posta z wyznaniem światopoglądowym i publikuje go u siebie „dla beki”.
  • Co wolno: Nic – bo takie działanie nie mieści się w „celach osobistych” i stanowi przetwarzanie danych szczególnej kategorii bez podstawy.
  • Czego nie wolno: Nie wolno mu udostępniać czy wykorzystywać dalej tych danych – może naruszyć RODO, a także dobra osobiste tej osoby.

Podsumowanie:

  • Publiczny post nie oznacza, że dane są „wolne do użytku”.
  • Firmy i instytucje muszą zawsze mieć podstawę prawną, a w przypadku danych o światopoglądzie – dodatkowe przesłanki (art. 9).
  • Tylko sam fakt, że ktoś coś „wrzucił publicznie”, nie zwalnia innych z obowiązków RODO.






Post w social mediach a RODO

 

Post w social mediach, nawet jeśli zawiera dane osobowe (w tym informacje o światopoglądzie, poglądach politycznych, religijnych itp.), nie staje się automatycznie „materiałem publicznym” w rozumieniu RODO.

Uzasadnienie:

  1. RODO (art. 2 ust. 2 lit. c) wyłącza ze swojego zakresu przetwarzanie danych osobowych „przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze”.
    • Jeśli ktoś publikuje coś na swoim prywatnym profilu dla znajomych, to mieści się to w tym wyłączeniu.
    • Jeśli jednak treść jest udostępniona publicznie (np. profil/postać jest otwarta dla wszystkich w internecie), to przetwarzanie przez samego administratora serwisu (np. Facebooka) albo osoby trzecie, które wykorzystują te dane, podlega RODO.
  2. Dane ujawnione publicznie ≠ dane publiczne
    • Fakt, że ktoś sam zdecydował się opublikować dane osobowe (np. o poglądach politycznych), nie oznacza, że tracą one ochronę.
    • Zgodnie z art. 9 ust. 1 RODO, dane dotyczące przekonań religijnych, światopoglądowych czy politycznych to szczególne kategorie danych.
    • Ich przetwarzanie co do zasady jest zakazane, chyba że spełniona jest jedna z przesłanek z art. 9 ust. 2 RODO – m.in. lit. e): gdy „dane zostały wyraźnie upublicznione przez osobę, której dotyczą”.
    • Ale „wyraźne upublicznienie” oznacza, że osoba świadomie udostępnia te dane publicznie (np. pisząc post z pełną świadomością, że każdy może go zobaczyć).
  3. Praktyka w Polsce i stanowisko UODO
    • Urząd Ochrony Danych Osobowych podkreśla, że nawet publicznie dostępne dane osobowe są chronione przez RODO.
    • Administrator (np. firma, instytucja, ale też inny użytkownik, jeśli używa danych w sposób wykraczający poza osobiste cele) musi mieć podstawę prawną do ich dalszego przetwarzania.

Wniosek:
Post w social mediach z danymi osobowymi, także dotyczącymi światopoglądu, nie jest „materiałem publicznym” w sensie zwolnienia z RODO. Jest to co najwyżej „dane wyraźnie upublicznione przez osobę, której dotyczą” (art. 9 ust. 2 lit. e RODO), co pozwala innym na ich przetwarzanie, ale tylko w zgodzie z zasadami RODO (np. minimalizacja, celowość, legalna podstawa).


poniedziałek, 22 września 2025

Co zrobić po wycieku danych osobowych z banku

 

Porada dla osoby, której dane osobowe wyciekły z banku:


Co zrobić po wycieku danych osobowych z banku?

  1. Skontaktuj się natychmiast z bankiem
    • Zażądaj pisemnej informacji, jakie dokładnie dane wyciekły (np. imię, nazwisko, PESEL, numer dowodu osobistego, adres, dane logowania, numery rachunków).
    • Poproś o wskazanie działań naprawczych, jakie bank podjął (np. blokada starych danych logowania, monitoring transakcji, dodatkowe zabezpieczenia).
  2. Zabezpiecz swoje konto bankowe
    • Zmień hasło do bankowości elektronicznej i ustaw silne, unikalne dane logowania.
    • Włącz dwuskładnikowe uwierzytelnianie (np. autoryzację w aplikacji mobilnej).
    • Rozważ zmianę numeru telefonu używanego do autoryzacji, jeśli mógł zostać ujawniony.
  3. Zastrzeż dokumenty tożsamości
    • Jeśli wyciekł numer dowodu osobistego, paszportu lub prawa jazdy, niezwłocznie je zastrzeż w systemie Dokumenty Zastrzeżone.
    • Zgłoś się do urzędu gminy/miasta po nowy dokument.
  4. Zastrzeż PESEL
  5. Monitoruj swoją tożsamość i finanse
    • Regularnie sprawdzaj historię transakcji na koncie bankowym i ustaw powiadomienia SMS/aplikacyjne o operacjach.
    • Rozważ włączenie monitoringu BIK (Biuro Informacji Kredytowej) – otrzymasz alert, jeśli ktoś spróbuje zaciągnąć zobowiązanie na Twoje dane.
  6. Prawo do informacji i skargi
    • Masz prawo żądać pełnej informacji od banku o skali wycieku (zgodnie z RODO – art. 34).
    • Jeżeli uznasz, że bank nie zapewnił należytej ochrony Twoich danych, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (UODO).
  7. Dokumentuj wszystkie działania
    • Zachowuj korespondencję z bankiem, potwierdzenia blokad, zastrzeżeń i monitów.
    • Mogą być przydatne w przypadku dochodzenia roszczeń.
  8. Możliwość dochodzenia odszkodowania
    • Jeżeli w wyniku wycieku poniesiesz straty finansowe albo szkody niematerialne (np. stres, utrata reputacji), możesz rozważyć dochodzenie odszkodowania od banku w drodze postępowania cywilnego.


czwartek, 18 września 2025

Przykłady procesów przetwarzania danych osobowych u manikiurzystki


 

🙂 W pracy manikiurzystki również występuje przetwarzanie danych osobowych klientów, choć w mniejszym zakresie niż np. w medycynie.


📌 Przykłady procesów przetwarzania danych osobowych u manikiurzystki w Polsce:

  1. Rejestracja klienta / zapis na wizytę
    • Dane: imię, nazwisko, numer telefonu, e-mail.
    • Cel: identyfikacja klienta, rezerwacja terminu, potwierdzenie lub odwołanie wizyty.
  2. Prowadzenie terminarza usług
    • Dane: dane kontaktowe + historia wizyt (rodzaj usług, daty).
    • Cel: organizacja pracy, planowanie dostępności, personalizacja usług.
  3. Rozliczenia i fakturowanie (jeśli klient tego wymaga)
    • Dane: imię i nazwisko/nazwa firmy, adres, NIP.
    • Cel: wystawianie faktur, prowadzenie księgowości.
  4. Płatności elektroniczne / terminal płatniczy
    • Dane: informacje o płatnościach powiązane z klientem.
    • Cel: realizacja transakcji bezgotówkowych, rozliczenia.
  5. Komunikacja marketingowa (za zgodą klienta)
    • Dane: numer telefonu, adres e-mail, czasami profil w social media.
    • Cel: wysyłanie przypomnień o wizytach, informacji o promocjach, nowych usługach.
  6. Monitoring w salonie (jeśli stosowany)
    • Dane: wizerunek klientów.
    • Cel: bezpieczeństwo mienia i osób w salonie.
  7. Obsługa reklamacji
    • Dane: dane klienta + informacje o wykonanej usłudze.
    • Cel: rozpatrzenie reklamacji, dochodzenie roszczeń.
  8. Zatrudnienie pracowników (jeśli salon nie jest jednoosobowy)
    • Dane: CV, dane kadrowe, dokumenty do ZUS/US.
    • Cel: rekrutacja, prowadzenie spraw pracowniczych.

👉 W przeciwieństwie do stomatologii czy weterynarii, manikiurzystka nie przetwarza danych szczególnych kategorii (takich jak dane medyczne), chyba że prowadzi dodatkowo dokumentację dotyczącą np. przeciwwskazań zdrowotnych do zabiegu – wtedy mogą pojawić się dane o stanie zdrowia.

wtorek, 16 września 2025

Procesy przetwarzania danych osobowych w warsztacie samochodowym


 

Warsztat samochodowy przetwarza całkiem sporo danych osobowych – często nawet nie zdając sobie z tego sprawy. Poniżej lista typowych procesów przetwarzania danych w warsztacie samochodowym (może być przydatna np. do rejestru czynności przetwarzania RODO):


🔧 Procesy przetwarzania danych osobowych w warsztacie samochodowym

1. Obsługa klienta i przyjmowanie zleceń

  • dane: imię, nazwisko, nr telefonu, e-mail, adres, dane pojazdu (nr rejestracyjny, VIN, historia napraw),
  • cel: realizacja usługi serwisowej / naprawy, kontakt z klientem, informowanie o zakończonej naprawie.

2. Wystawianie faktur i rozliczenia finansowe

  • dane: imię i nazwisko / nazwa firmy, adres, NIP,
  • cel: wypełnienie obowiązków księgowych i podatkowych.

3. Archiwizacja dokumentacji

  • dane: te same co powyżej (np. faktury, zlecenia serwisowe, protokoły napraw),
  • cel: spełnienie wymogów prawa podatkowego i rachunkowego.

4. Marketing i kontakt z klientem

  • dane: numer telefonu, e-mail,
  • cel: przypomnienia o przeglądach, promocje, oferty (wymaga zgody klienta!).

5. Monitoring wizyjny (CCTV)

  • dane: wizerunek klientów, pracowników, dostawców,
  • cel: bezpieczeństwo mienia, zapobieganie kradzieżom.

6. Rekrutacja i zatrudnienie pracowników

  • dane: CV, dane kontaktowe, dane kadrowo-płacowe,
  • cel: prowadzenie procesów rekrutacyjnych i obsługa pracowników zgodnie z Kodeksem pracy.

7. Współpraca z dostawcami / podwykonawcami

  • dane: kontaktowe osób reprezentujących firmy,
  • cel: realizacja dostaw części, usług transportowych itp.

8. Ubezpieczenia i zgłoszenia szkód (jeśli warsztat współpracuje z ubezpieczycielami)

  • dane: dane osobowe właściciela pojazdu, dane z dokumentów ubezpieczeniowych, nr polisy,
  • cel: rozliczenie szkody i naprawy w ramach OC/AC.

Podsumowanie:
W warsztacie samochodowym dane osobowe pojawiają się głównie w kontekście klientów, pracowników i kontrahentów. Najważniejsze procesy to: obsługa klienta, rozliczenia, marketing, monitoring, kadry i współpraca z ubezpieczycielami.


Dlaczego dokumenty RODO powinien opracować człowiek, a nie AI?


 

Oto kluczowe powody, dlaczego dokumenty związane z RODO powinien opracować człowiek, a nie AI:


1. Odpowiedzialność prawna

  • RODO nakłada konkretne obowiązki na administratora danych i przewiduje sankcje za błędy (nawet milionowe kary).
  • AI nie ponosi odpowiedzialności prawnej, a więc to człowiek (np. Inspektor Ochrony Danych, prawnik, zarząd) musi finalnie ocenić i podpisać dokumenty.

2. Kontekst organizacyjny

  • Dokumenty RODO (np. polityka bezpieczeństwa, rejestr czynności przetwarzania, procedury naruszeń) muszą być dostosowane do realiów konkretnej firmy — jej struktury, procesów biznesowych, narzędzi IT.
  • AI może wygenerować szablon, ale nie zna faktycznych praktyk firmy ani kultury organizacyjnej.

3. Interpretacja przepisów

  • RODO jest sformułowane ogólnie, a wiele kwestii wymaga interpretacji (np. jakie środki techniczne są „odpowiednie”, jak ocenić ryzyko).
  • Tego typu interpretacja wymaga doświadczenia prawniczego i praktyki, których AI nie zastąpi.

4. Zmieniające się regulacje i wytyczne

  • Oprócz samego RODO obowiązują także krajowe przepisy, stanowiska organów nadzorczych (np. UODO, EROD) i orzecznictwo.
  • Tylko człowiek-ekspert jest w stanie ocenić, czy dane rozwiązanie jest zgodne z aktualną praktyką.

5. Ryzyko niekompletności lub błędów

  • AI może wygenerować treść brzmiącą profesjonalnie, ale zawierającą luki prawne lub błędy merytoryczne, które w razie kontroli mogą skutkować odpowiedzialnością.
  • Człowiek może zweryfikować dokument pod kątem spójności i adekwatności.

6. Potrzeba realnego wdrożenia

  • Dokumenty RODO to nie tylko „papier” — one muszą być wdrożone w życie (np. procedura zgłaszania naruszeń musi działać praktycznie).
  • To wymaga szkoleń, dostosowania systemów IT i procesów — a tego nie zrobi sama AI.

Podsumowanie:
AI może być narzędziem pomocniczym (np. do przygotowania wstępnych szablonów czy checklist), ale ostateczna treść i wdrożenie muszą być opracowane i zatwierdzone przez człowieka, bo tylko on rozumie specyfikę organizacji, przepisy i ponosi odpowiedzialność.


poniedziałek, 15 września 2025

Co zrobić po wycieku danych osobowych i medycznych?


 

Co zrobić po wycieku danych osobowych i medycznych?

  1. Skontaktuj się z przychodnią
    • Zażądaj oficjalnej informacji o zakresie wycieku (jakie dane dokładnie zostały ujawnione: imię, nazwisko, PESEL, wyniki badań, historia leczenia).
    • Poproś o pisemne potwierdzenie zdarzenia oraz wskazanie działań naprawczych, jakie placówka podjęła.
  2. Monitoruj swoją tożsamość
  3. Zabezpiecz inne dane powiązane
    • Jeśli wyciek objął także adres e-mail lub numer telefonu, spodziewaj się zwiększonego ryzyka phishingu i prób wyłudzeń.
    • Bądź szczególnie czujny wobec SMS-ów i e-maili, które mogą podszywać się pod bank, NFZ czy inne instytucje.
  4. Prawo do informacji i skargi
    • Masz prawo żądać od przychodni pełnej informacji o incydencie (zgodnie z RODO – art. 34).
    • Jeśli uznasz, że przychodnia niewłaściwie chroni Twoje dane, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (UODO).
  5. Ostrożność w kontaktach medycznych
    • Jeżeli wyciekły dane dotyczące historii chorób, leków czy wyników badań, mogą być wykorzystywane w próbach szantażu lub podszywania się pod Ciebie (np. w kontaktach z lekarzami czy ubezpieczycielami).
    • Zachowaj szczególną ostrożność przy rozmowach telefonicznych i korespondencji, w której ktoś powołuje się na Twoje dane medyczne.
  6. Dokumentuj wszystkie działania
    • Zachowuj pisma i wiadomości wymieniane z przychodnią.
    • W razie potrzeby mogą być podstawą do roszczeń odszkodowawczych lub skargi do UODO.
  7. Możliwość dochodzenia odszkodowania
    • Jeżeli poniesiesz szkodę materialną lub niematerialną (np. stres, naruszenie dobrego imienia) w wyniku wycieku danych, możesz rozważyć dochodzenie odszkodowania od placówki medycznej na drodze cywilnej.

niedziela, 14 września 2025

Mapa przepływu danych osobowych w spedycji


 

Poniżej przygotowałem mapę przepływu danych osobowych w procesie spedycji (od momentu przyjęcia zlecenia aż do zakończenia dostawy).


📌 Mapa przepływu danych osobowych w spedycji

1. Przyjęcie zlecenia transportowego

  • Źródło danych: klient (osoba fizyczna / firma / JDG)
  • Zakres danych osobowych:
    • imię, nazwisko, adres, e-mail, telefon (nadawcy/odbiorcy, jeśli są osobami fizycznymi)
    • dane kontaktowe pracowników kontrahenta
  • Cel przetwarzania: zawarcie i realizacja umowy spedycji

2. Planowanie i organizacja transportu

  • Źródło danych: wewnętrzny system TMS/CRM
  • Zakres danych:
    • dane kierowcy (imię, nazwisko, telefon, nr prawa jazdy)
    • numer rejestracyjny pojazdu (powiązany z osobą fizyczną)
    • dane zlecającego transport
  • Cel: przypisanie przewoźnika/kierowcy do zlecenia

3. Dokumentacja transportowa

  • Dokumenty: list przewozowy (CMR), zlecenie transportowe, faktury
  • Zakres danych:
    • nadawca, odbiorca (jeśli osoby fizyczne/JDG)
    • dane kontaktowe osób odpowiedzialnych za odbiór/dostawę
  • Cel: prawidłowa realizacja przewozu i obowiązki prawne (np. fakturowanie, podatki)

4. Realizacja przewozu

  • Źródła danych: GPS, telematyka, kontakt telefoniczny
  • Zakres danych:
    • lokalizacja pojazdu (powiązana z kierowcą)
    • numery telefonów kierowców i klientów
    • ewentualne nagrania z monitoringu (np. z terminali/magazynów)
  • Cel: monitorowanie realizacji usługi, zapewnienie bezpieczeństwa

5. Odprawa celna (jeśli dotyczy)

  • Dokumenty: SAD, faktury, dokumenty tożsamości
  • Zakres danych:
    • dane osoby zgłaszającej (imię, nazwisko, nr dowodu/paszportu)
    • dane odbiorcy/nadawcy (osoba fizyczna/JDG)
  • Cel: spełnienie obowiązków prawnych w handlu międzynarodowym

6. Rozliczenia i archiwizacja

  • Źródła danych: system finansowo-księgowy, dokumentacja papierowa/elektroniczna
  • Zakres danych:
    • dane kontrahenta (osoba fizyczna/JDG)
    • dane na fakturach (adres, NIP, imię i nazwisko)
  • Cel: księgowość, archiwizacja zgodnie z wymogami prawnymi

7. Obsługa reklamacji i roszczeń

  • Źródła danych: klient, ubezpieczyciel, dokumentacja transportowa
  • Zakres danych:
    • dane klienta (imię, nazwisko, adres, kontakt)
    • dane kierowcy (jeśli wymagane przy wyjaśnieniach szkód)
  • Cel: realizacja praw i obowiązków z umowy przewozu

🔹 Dzięki tej mapie można łatwiej zidentyfikować gdzie i po co są przetwarzane dane osobowe, a także wdrożyć odpowiednie środki RODO (m.in. rejestr czynności przetwarzania, polityka retencji, zabezpieczenia IT).


sobota, 13 września 2025

W spedycji dane osobowe pojawiają się w wielu miejscach i sytuacjach


 

W spedycji dane osobowe pojawiają się w wielu miejscach i sytuacjach – zarówno w dokumentacji transportowej, jak i w systemach informatycznych czy kontaktach biznesowych. Oto lista punktowa, gdzie zazwyczaj występują dane osobowe podlegające pod RODO:

  • Dane kierowców
    • imię, nazwisko
    • numer telefonu
    • numer prawa jazdy
    • numer dowodu osobistego lub paszportu (np. przy odprawach celnych)
    • numer rejestracyjny pojazdu (jeśli powiązany z osobą fizyczną)
  • Dane klientów (nadawców i odbiorców przesyłek)
    • imię, nazwisko osoby fizycznej prowadzącej działalność gospodarczą (B2B jednoosobowe)
    • adres zamieszkania / prowadzenia działalności
    • numer telefonu, adres e-mail
    • NIP (jeśli należy do osoby fizycznej prowadzącej JDG)
  • Dane kontaktowe pracowników kontrahentów
    • imię, nazwisko
    • stanowisko
    • służbowy numer telefonu, e-mail (jeśli pozwalają na identyfikację konkretnej osoby)
  • Dane w dokumentach transportowych
    • listy przewozowe (CMR, listy krajowe)
    • faktury i dokumenty księgowe (dane osób fizycznych/JDG)
    • zlecenia transportowe
  • Dane przy odprawie celnej
    • dane zgłaszającego (osoba fizyczna / JDG)
    • dane odbiorcy i nadawcy towaru
    • numery dokumentów tożsamości
  • Dane w systemach IT i telematyce
    • dane logowania pracowników/kierowców
    • lokalizacja GPS pojazdu powiązana z kierowcą
    • zapisy monitoringu (np. z magazynów lub terminali)
  • Dane w korespondencji
    • adresy e-mail, numery telefonów w komunikacji z klientami, kierowcami i partnerami

piątek, 12 września 2025

Checklista RODO – Oceny pracownicze




 

Praktyczna checklista dla działu HR, którą można wykorzystać podczas audytu lub bieżącej weryfikacji zgodności ocen pracowniczych z RODO.


Checklista RODO – Oceny pracownicze

I. Podstawa prawna

  • Czy proces oceny ma jasno określoną podstawę prawną (art. 6 ust. 1 lit. b, c lub f RODO oraz pozytywny wynik testu równowagi)?
  • Czy nie stosujemy zgody pracownika jako podstawy oceny?

II. Zakres danych

  • Czy zbierane dane dotyczą wyłącznie pracy i kompetencji zawodowych?
  • Czy eliminujemy informacje nadmiarowe (np. o życiu prywatnym, wyglądzie, poglądach)?

III. Przejrzystość

  • Czy pracownik otrzymał klauzulę informacyjną o zasadach oceny (cel, okres przechowywania, odbiorcy danych)?
  • Czy kryteria oceny są jasne i dostępne dla pracowników?

IV. Dostęp i prawa pracownika

  • Czy pracownik ma dostęp do swojej oceny?
  • Czy istnieje procedura sprostowania danych, jeśli ocena zawiera nieprawidłowości?
  • Czy pracownik może zgłosić sprzeciw, jeśli podstawa oceny to uzasadniony interes?

V. Poufność i bezpieczeństwo

  • Czy dostęp do ocen mają tylko osoby uprawnione (przełożony, HR)?
  • Czy dokumenty/plik z ocenami są odpowiednio zabezpieczone (hasła, zamknięte szafy, kontrola dostępu)?
  • Czy oceny nie są przekazywane w formie publicznej (np. grupowe e-maile, tablice ogłoszeń)?

VI. Okres przechowywania

  • Czy czas przechowywania wyników oceny jest ograniczony (np. do kolejnej oceny lub okresu przedawnienia roszczeń)?
  • Czy mamy procedurę regularnego usuwania lub anonimizacji starych ocen?

VII. Profilowanie i decyzje automatyczne

  • Czy ocena nie opiera się wyłącznie na automatycznym profilowaniu bez udziału człowieka?
  • Jeśli korzystamy z systemów HR – czy zapewniono możliwość odwołania się od decyzji?

VIII. Dokumentacja

  • Czy oceny pracownicze są ujęte w rejestrze czynności przetwarzania danych?
  • Czy proces jest opisany w polityce ochrony danych osobowych?
  • Czy test równowagi ma wynik pozytywny i jest zatwierdzony przez Administratora oraz jego kopia jest udostępniona osobom zarządzającym procesem Oceny Pracowniczej?

Uwaga praktyczna: Taka checklista może być załącznikiem do procedury ocen okresowych albo stanowić narzędzie dla Inspektora Ochrony Danych (IOD) do regularnych przeglądów.


Typowe błędy pracodawcy w zakresie ocen pracowniczych a RODO


 

Najczęstsze błędy pracodawców przy ocenach pracowniczych powodują problemy z RODO.
Oto lista wraz z krótkim komentarzem:


Typowe błędy pracodawcy w zakresie ocen pracowniczych a RODO

  1. Brak podstawy prawnej lub oparcie oceny na zgodzie pracownika
    • Pracodawcy czasem proszą o „zgodę na ocenę okresową”. To błąd, bo zgoda w stosunku pracy nie jest dobrowolna. Prawidłową podstawą jest uzasadniony interes, obowiązek prawny lub niezbędność do wykonania umowy.
  2. Zbieranie danych nadmiarowych i nieadekwatnych
    • W ocenach pojawiają się komentarze dotyczące życia prywatnego, wyglądu czy przekonań pracownika. To narusza zasadę minimalizacji (art. 5 RODO).
  3. Brak przejrzystości wobec pracownika
    • Nieraz pracownik nie wie, jakie kryteria są stosowane i jakie informacje są gromadzone. Brak klauzuli informacyjnej lub niejasne kryteria narusza art. 13 RODO.
  4. Udostępnianie ocen nieuprawnionym osobom
    • Błąd to wysyłanie ocen e-mailem w kopii do szerokiego grona, omawianie ich publicznie czy pozostawianie dokumentacji dostępnej dla całego działu. To złamanie zasady poufności.
  5. Zbyt długi okres przechowywania danych
    • Pracodawcy często archiwizują oceny „na zawsze”. Tymczasem przechowywanie powinno być ograniczone do okresu potrzebnego (np. cykl ocen okresowych, czas rozliczeń kadrowych, przedawnienie roszczeń).
  6. Brak możliwości wglądu i sprostowania
    • Pracownik ma prawo do wglądu do danych i korekty, jeśli zawierają nieprawdziwe informacje. Odmowa lub brak procedury narusza art. 15 i 16 RODO.
  7. Profilowanie automatyczne bez podstawy
    • Niektóre systemy HR generują oceny w pełni automatycznie, np. poprzez algorytmy KPI. Jeśli decyzja kadrowa (np. brak awansu) opiera się wyłącznie na takim profilowaniu – to naruszenie art. 22 RODO.
  8. Niewystarczające zabezpieczenia techniczne i organizacyjne
    • Przechowywanie ocen w arkuszach Excel bez haseł, w otwartych szafach lub przesyłanie przez niezabezpieczoną pocztę – to naruszenie art. 32 RODO.
  9. Brak dokumentacji przetwarzania (rejestr czynności)
    • Często pracodawcy nie wpisują ocen okresowych do rejestru czynności przetwarzania. To uchybienie formalne, które wychodzi podczas kontroli UODO.

Podsumowanie:
Najczęstsze błędy pracodawców to: brak prawidłowej podstawy prawnej, nadmiarowe dane, brak przejrzystości, nadmierne udostępnianie i przechowywanie ocen, brak respektowania praw pracownika oraz niewłaściwe zabezpieczenia. Każdy z tych błędów nie tylko rodzi ryzyko naruszenia RODO, ale też pogarsza atmosferę i zaufanie w miejscu pracy.


wtorek, 9 września 2025

Test równowagi – ocena pracownicza


 

Test równowagi (ang. balancing test), który stosuje się, gdy pracodawca powołuje się na prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) jako podstawę przetwarzania danych, np. przy ocenie pracowniczej.

Poniżej przygotowałem treść takiego testu równowagi:


Test równowagi – ocena pracownicza

1. Interes administratora (pracodawcy)

Pracodawca ma uzasadniony interes w dokonywaniu ocen pracowniczych. Służy to:

  • monitorowaniu jakości i efektywności pracy,
  • podejmowaniu decyzji kadrowych (awans, wynagrodzenie zmienne, premie),
  • planowaniu rozwoju pracowników (szkolenia, coaching),
  • zapewnieniu prawidłowej organizacji pracy i realizacji celów biznesowych.

2. Wpływ na prawa i wolności osoby, której dane dotyczą (pracownika)

Ocena pracownicza dotyczy aspektów zawodowych, takich jak: jakość wykonywanych zadań, terminowość, zaangażowanie, współpraca z zespołem. Nie obejmuje danych wrażliwych ani informacji z życia prywatnego. Może jednak wywoływać u pracownika poczucie oceny i stres, dlatego musi być przeprowadzana w sposób przejrzysty i obiektywny.

3. Środki ochronne minimalizujące ryzyko dla pracownika

Aby zrównoważyć interes pracodawcy i prawa pracownika, należy:

  • informować pracownika o celach i zasadach oceny (obowiązek informacyjny – art. 13 RODO),
  • stosować jasne i proporcjonalne kryteria oceny,
  • zapewnić pracownikowi dostęp do treści oceny i możliwość zgłoszenia uwag,
  • ograniczyć dostęp do ocen tylko do osób uprawnionych (przełożony, HR),
  • przechowywać wyniki ocen tylko przez czas niezbędny (np. do kolejnej oceny okresowej lub do przedawnienia roszczeń pracowniczych).

4. Wynik testu równowagi

Uwzględniając powyższe, interes pracodawcy w dokonywaniu ocen pracowniczych nie narusza w sposób nadmierny praw i wolności pracownika. Przetwarzanie danych w ramach oceny pracowniczej można zatem oprzeć na art. 6 ust. 1 lit. f RODO, przy zapewnieniu odpowiednich zabezpieczeń organizacyjnych i technicznych.


Podsumowanie:
Test równowagi wykazuje, że korzyści dla pracodawcy (efektywne zarządzanie personelem, rozwój organizacji) przewyższają potencjalne ryzyka dla pracownika, o ile proces oceny jest przejrzysty, proporcjonalny i odpowiednio zabezpieczony.


PS

Test Równowagi jest bardziej skomplikowany i raczej musi go przeprowadzić ekspert z obszaru RODO. To będzie pierwszy dokument, który wyślesz do UODO jak ktoś zgłosi proces do weryfikacji.

poniedziałek, 8 września 2025

Czy oceny pracownicze są zgodne z RODO?


 

Oceny okresowe pracowników stanowią istotny element zarządzania zasobami ludzkimi. Pozwalają one pracodawcy monitorować jakość pracy, planować rozwój kompetencji i podejmować decyzje o awansach czy szkoleniach. Wątpliwości może jednak budzić zgodność tego procesu z przepisami o ochronie danych osobowych. Analiza regulacji RODO wskazuje jednoznacznie, że oceny pracownicze mogą być zgodne z RODO, pod warunkiem spełnienia określonych zasad.

Argument 1: Istnieje wyraźna podstawa prawna

RODO wymaga, aby każde przetwarzanie danych osobowych miało oparcie w prawie. W przypadku ocen pracowniczych taką podstawą może być m.in. art. 6 ust. 1 lit. b RODO – niezbędność do wykonania umowy o pracę, art. 6 ust. 1 lit. c – obowiązki wynikające z prawa pracy, a także art. 6 ust. 1 lit. f – prawnie uzasadniony interes pracodawcy. Oznacza to, że pracodawca nie potrzebuje zgody pracownika, aby przeprowadzić ocenę jego pracy, gdyż obowiązek i interes organizacyjny wynikają z samej relacji zatrudnienia.

Argument 2: Zgodność z zasadami ochrony danych

Ocena pracownicza może dotyczyć wyłącznie aspektów zawodowych, takich jak jakość wykonywanych zadań, terminowość, współpraca w zespole czy poziom kompetencji. W ten sposób realizowana jest zasada minimalizacji danych (art. 5 ust. 1 lit. c RODO). Ponadto, oceny muszą być rzetelne, adekwatne i przechowywane jedynie przez czas niezbędny, np. do momentu kolejnej oceny lub zakończenia okresu rozliczeniowego. Przekroczenie tych ram – np. gromadzenie subiektywnych opinii niezwiązanych z pracą czy przechowywanie ich bezterminowo – prowadziłoby do naruszenia RODO.

Argument 3: Przejrzystość i prawa pracownika

Zgodnie z art. 13 RODO, pracownik powinien być poinformowany, jakie dane są o nim zbierane w ramach oceny, w jakim celu i przez kogo będą przetwarzane. Ma również prawo dostępu do treści swojej oceny, a w razie nieprawidłowości – prawo do sprostowania danych. Pracodawca, zapewniając pracownikowi wgląd w dokumentację oraz uzasadniając kryteria oceny, wzmacnia nie tylko zgodność z RODO, lecz także zaufanie w relacjach pracowniczych.

Argument 4: Bezpieczeństwo informacji

RODO nakłada obowiązek zapewnienia odpowiedniego poziomu ochrony danych. Oznacza to, że wyniki ocen nie mogą być powszechnie dostępne, np. rozsyłane w wiadomościach grupowych czy omawiane publicznie. Powinny być przechowywane w systemach kadrowych z ograniczonym dostępem, a jedynie osoby upoważnione (dział HR, bezpośredni przełożeni) mogą się z nimi zapoznawać. Takie zabezpieczenia gwarantują, że ocena pracownika nie stanie się źródłem naruszenia prywatności.


Konkluzja

Oceny pracownicze są zgodne z RODO, ponieważ ich przeprowadzanie znajduje podstawę prawną, służy uzasadnionym celom organizacyjnym, a przy odpowiednim zaplanowaniu może być realizowane w sposób respektujący prawa pracownika i zasady minimalizacji danych. Niezgodność z RODO pojawia się dopiero wówczas, gdy pracodawca wykracza poza ramy oceny zawodowej, np. gromadzi dane nieadekwatne, przechowuje je zbyt długo lub nie zapewnia im należytej ochrony. Odpowiednio zaprojektowany proces ocen okresowych nie tylko nie narusza RODO, lecz wręcz wpisuje się w jego założenia – zapewnia przejrzystość, rzetelność i ochronę pracownika w relacji służbowej.


Procedura usuwania danych osobowych kandydatów


 


📄 Procedura usuwania danych osobowych kandydatów

1. Cel procedury

Celem procedury jest uregulowanie zasad i trybu usuwania danych osobowych kandydatów do pracy w [Nazwa Firmy], zgodnie z RODO oraz wewnętrzną Polityką Ochrony Danych.

2. Zakres

Procedura dotyczy wszystkich danych osobowych kandydatów zebranych w trakcie procesów rekrutacyjnych:

  • dokumentów aplikacyjnych (CV, listy motywacyjne, portfolio),
  • danych wprowadzonych do systemów rekrutacyjnych (ATS),
  • wiadomości e-mail i innych form komunikacji,
  • notatek rekruterów.

3. Zasady ogólne

  1. Dane kandydatów przetwarzane są wyłącznie przez okres niezbędny do realizacji celu rekrutacji:
    • bieżąca rekrutacja – do jej zakończenia + 3 miesiące w celu weryfikacji wybranego kandydata w okresie próbnym,
    • przyszłe rekrutacje – maksymalnie do 24 miesięcy na podstawie zgody kandydata.
  2. Po upływie powyższych okresów dane muszą zostać usunięte lub zanonimizowane.
  3. Kandydat może w dowolnym momencie złożyć żądanie usunięcia danych – wtedy procedura realizowana jest niezwłocznie (maks. 3 dni robocze).

4. Etapy usuwania danych

  1. Weryfikacja okresu przechowywania
    • Rekruter lub administrator systemu sprawdza, czy upłynął okres retencji danych określony w polityce rekrutacyjnej.
  2. Usunięcie danych elektronicznych
    • usunięcie profilu kandydata z systemu ATS,
    • skasowanie CV i dokumentów z dysków lokalnych, folderów współdzielonych i chmury,
    • usunięcie wiadomości e-mail związanych z rekrutacją (jeśli nie ma podstaw do ich dalszego przechowywania).
  3. Usunięcie danych papierowych
    • dokumenty papierowe niszczy się w niszczarce klasy P-4 lub wyższej,
    • zabronione jest przechowywanie kopii papierowych poza okresem retencji.
  4. Aktualizacja rejestrów
    • odnotowanie w rejestrze czynności przetwarzania, że dane zostały usunięte,
    • w przypadku żądania usunięcia przez kandydata – potwierdzenie usunięcia przekazywane kandydatowi (np. mailowo).

5. Odpowiedzialność

  • Za prawidłowe wykonanie procedury odpowiada rekruter prowadzący proces,
  • Nadzór nad realizacją – Inspektor Ochrony Danych (IOD) oraz kierownik/dyrektor działu HR,
  • IT wspiera w usuwaniu danych z systemów i kopii zapasowych (zgodnie z harmonogramem retencji).

6. Kopie zapasowe (backupy)

  • Jeśli dane kandydatów znajdują się w kopiach zapasowych, usuwane są przy pierwszym możliwym nadpisaniu backupu zgodnie z polityką bezpieczeństwa IT.

7. Audyt

  • Proces usuwania danych podlega corocznemu audytowi,
  • W przypadku stwierdzenia uchybień wdrażane są niezwłocznie środki naprawcze.

📌 Dzięki tej procedurze rekruterzy mają jasne instrukcje, a firma może udowodnić zgodność z RODO w razie kontroli.

Procedura korzystania rekrutera z AI w procesie rekrutacji

 



👌 — korzystanie przez rekrutera z AI (np. do selekcji CV, tworzenia opisów stanowisk, analizy profili kandydatów) wymaga szczególnej ostrożności, bo w grę wchodzi RODO, etyka i transparentność.
Poniżej przedstawiam przykładową procedurę korzystania rekrutera z narzędzi AI:


📄 Procedura korzystania rekrutera z AI w procesie rekrutacji

1. Cel procedury

Celem procedury jest określenie zasad bezpiecznego i zgodnego z RODO korzystania z narzędzi sztucznej inteligencji (AI) w procesach rekrutacyjnych w [Nazwa Firmy].

2. Zakres

Procedura dotyczy wszystkich osób prowadzących rekrutację w firmie i korzystających z narzędzi AI, zarówno wewnętrznych, jak i zewnętrznych (np. systemy ATS z modułem AI, generatory ogłoszeń, chatboty rekrutacyjne).

3. Dozwolone zastosowania AI

Rekruter może korzystać z narzędzi AI wyłącznie w następujących celach:

  • przygotowanie ogłoszeń o pracę (opis stanowiska, wymagania),
  • analiza językowa i techniczna treści CV (np. wykrywanie słów kluczowych),
  • automatyzacja komunikacji z kandydatem (np. chatbot z pytaniami kwalifikacyjnymi),
  • wsparcie w planowaniu procesu rekrutacji i raportowaniu.

4. Niedozwolone zastosowania AI

Zabrania się wykorzystywania AI do:

  • podejmowania ostatecznych decyzji o zatrudnieniu (AI może wspierać, ale decyzję zawsze podejmuje człowiek),
  • przetwarzania danych wrażliwych (np. dotyczących zdrowia, poglądów, orientacji),
  • profilowania kandydatów bez poinformowania ich o tym i bez odpowiedniej podstawy prawnej,
  • wprowadzania danych osobowych kandydatów do narzędzi AI działających w otwartych modelach (np. darmowe chatboty online), jeśli nie gwarantują zgodności z RODO.

5. Ochrona danych osobowych

  • Dane kandydatów mogą być przetwarzane przez AI wyłącznie w systemach zapewniających bezpieczeństwo i zgodność z RODO (np. narzędzia z podpisaną umową powierzenia danych).
  • Rekruter nie wprowadza do narzędzi AI żadnych danych osobowych kandydatów, jeśli system nie jest zweryfikowany i zatwierdzony przez Administratora Danych/Inspektora Ochrony Danych.
  • AI może korzystać jedynie z pseudonimizowanych danych (np. analiza treści CV bez nazwiska i danych kontaktowych).

6. Transparentność wobec kandydatów

  • Kandydaci powinni zostać poinformowani, że w procesie rekrutacji mogą być wykorzystywane narzędzia AI.
  • Informacja ta powinna znaleźć się w klauzuli informacyjnej (RODO) lub w ogłoszeniu o pracę.

7. Odpowiedzialność

  • AI może wspierać proces, ale za wszystkie decyzje rekrutacyjne odpowiada rekruter.
  • Rekruter jest zobowiązany do weryfikacji wyników generowanych przez AI pod kątem poprawności, obiektywizmu i zgodności z prawem pracy.
  • W przypadku stwierdzenia błędów lub przejawów dyskryminacji, rekruter niezwłocznie zgłasza problem przełożonemu oraz Inspektorowi Ochrony Danych.

8. Audyt i aktualizacja

  • Procedura korzystania z AI podlega regularnemu audytowi co najmniej raz na 3 miesiące.
  • Wszelkie nowe narzędzia AI muszą zostać zatwierdzone przez dział IT i IOD przed wdrożeniem do rekrutacji.

📌 Dzięki takiej procedurze firma ma jasne zasady: AI wspiera rekrutera, ale nie zastępuje go, a dane kandydatów są bezpieczne.


niedziela, 7 września 2025

RODO dla Jednoosobowych Działalności Gospodarczych

 


🚀 RODO dla Jednoosobowych Działalności Gospodarczych – prosto i praktycznie!

👉 Prowadzisz JDG i zastanawiasz się, jak zgodnie z przepisami chronić dane swoich klientów?
👉 Chcesz uniknąć błędów i kar, a jednocześnie nie tracić czasu na zawiłe przepisy?

Mamy coś dla Ciebie! 🎯

Kurs online „RODO dla JDG” to praktyczny przewodnik, który krok po kroku pokaże Ci:
jak wdrożyć RODO w jednoosobowej działalności,
jakie dokumenty są niezbędne,
jak bezpiecznie przechowywać dane klientów,
jak przygotować się na ewentualną kontrolę.

📌 PROMOCJA!
Cena regularna: 250 zł
🔥 Teraz tylko 119 zł – oszczędzasz 52%!

Oferta ważna do wyczerpania miejsc!

👉 Zapisz się już dziś i zyskaj pewność, że Twoja firma działa zgodnie z prawem.

🔒 RODO nie musi być skomplikowane – z nami wdrożysz je prosto i szybko!

Link do "Kurs RODO dla JDG"

https://eduj.pl/produkt/kurs_rodo_dla_jdg?ref=yYWSTdjOHEPVgvjw



Post Polecany

Narzędzia do RODO

  Kurs RODO dla JDG Prowadzisz jednoosobową działalność gospodarczą i zastanawiasz się, czy RODO dotyczy także Ciebie? Tak – nawet JDG musi ...

Popularne Posty