W jaki sposób należy oceniać kwalifikacje osoby kandydującej do pełnienia funkcji IOD?

 UODO jasno określiło te wymagania w swojej publikacji:

Cyt "IOD jest wyznaczany na podstawie kwalifikacji zawodowych, a w szczególności wiedzy fachowej na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętności wypełnienia zadań, o których mowa w art. 39 RODO.

Wymagany od inspektora poziom wiedzy fachowej nie jest jednoznacznie określony, ale zgodnie z Wytycznymi dotyczącymi IOD musi być on współmierny do charakteru, skomplikowania i ilości danych przetwarzanych w ramach jednostki. Wyższy poziom wiedzy powinien być wymagany np. w przypadku:

• wyjątkowo skomplikowanych procesów przetwarzania,
• przetwarzania dużej ilości danych szczególnych kategorii,
• podmiotów regularnie przekazujących dane do państw trzecich.

IOD powinien mieć odpowiednią wiedzę z zakresu krajowych, europejskich oraz sektorowych przepisów i praktyk w zakresie ochrony danych osobowych, a także dogłębną znajomość RODO. Jednocześnie powinien posiadać odpowiednią wiedzę na temat:

• procesów przetwarzania, systemów informatycznych oraz zabezpieczeń stosowanych u administratora,
• sektora, w którym działa administrator,
• procedur administracyjnych i funkcjonowania jednostki.

Jeśli chodzi o osobiste cechy IOD kwalifikujące go do wykonywania funkcji, to są to: rzetelne podejście i wysoki poziom etyki zawodowej.

Ocena kompetencji osoby do wykonywania zadań wymaga uwzględnienia charakteru i zakresu zadań inspektora. Zgodnie z przepisami RODO, inspektor będzie miał m.in. obowiązek identyfikowania poszczególnych obowiązków ciążących na mocy RODO na administratorze (w tym kierownictwie i wszystkich osobach przetwarzających dane) oraz podmiocie przetwarzającym (w tym kierownictwie i wszystkich osobach przetwarzających dane osobowe), informowania o nich oraz doradzania w zakresie tych obowiązków. Specjalnego merytorycznego przygotowania wymaga udzielanie administratorowi i podmiotowi przetwarzającemu zaleceń co do oceny skutków dla ochrony danych (więcej na temat roli inspektora w ocenie skutków dla ochrony danych w Wytycznych Grupy Roboczej Art. 29 dotyczących inspektorów ochrony danych (DPO) oraz w Wytycznych Grupy Roboczej Art. 29 dotyczących oceny skutków dla ochrony danych). Ważnym zadaniem IOD jest obowiązek pełnienia roli punktu kontaktowego dla organu nadzorczego i punktu kontaktowego dla osób, których dane dotyczą (art. 38 ust. 4 RODO).

Grupa Robocza Art. 29 w Wytycznych dotyczących inspektorów ochrony danych (DPO)w odniesieniu do umiejętności wykonywania zadań inspektora wskazuje, że priorytetem dla niego powinno być zapewnienie przestrzegania RODO. IOD ma zatem odgrywać kluczową rolę w zakresie wspierania „kultury ochrony danych” oraz pomagać w implementacji niezbędnych elementów RODO, tj.:

• zasad przetwarzania danych osobowych,
• praw osób, których dane dotyczą,
• ochrony danych w fazie projektowania oraz domyślnej ochrony danych,
• rejestru czynności przetwarzania,
• wymogów bezpieczeństwa przetwarzania,
• zgłaszania naruszeń.

Znaczenie fachowej wiedzy w zakresie prawa i praktyki zostało dodatkowo podkreślone przez zobowiązanie administratorów i podmiotów przetwarzających do zapewnienia IOD zasobów niezbędnych do utrzymania wysokiego i aktualnego poziomu wiedzy (art. 38 ust. 2 RODO). Wymóg uaktualniania wiedzy i zapewnienia na to środków finansowych jest uzasadniony wobec zmieniającego się stale stanu wiedzy technicznej, rozwoju technologicznego i postępu wielkoskalowych metod przetwarzania danych.

IOD powinien kształcić się, rozwijać swoje doświadczenia i umiejętności w różnych formach edukacyjnych, a możliwość powołania się na wskazany art. 38 ust. 2 RODO może być mu bardzo pomocny w uzyskaniu niezbędnych na to środków finansowych.

Mimo, iż RODO bardzo mocno akcentuje wymóg wiedzy i fachowości IOD, nie reguluje zasad czy trybu weryfikacji spełnienia tego wymogu. Niemniej certyfikaty, dyplomy oraz inne dokumenty poświadczające wiedzę i doświadczenie inspektora niewątpliwie w większości przypadków będą ważnym kryterium kwalifikacyjnym i argumentem przemawiającym na korzyść osoby wyznaczanej do pełnienia tej funkcji."

Dlatego warto sprawdzać jego kwalifikacje przed zleceniem a nawet jak mamy IODę u siebie na pokładzie to można zlecić zewnętrznemu fachowcowi monitoring interesującego nas procesu i tym samym spełnić wymogi art 32 ust 1 lit d) RODO- "regularne testowanie". 

Realizacji swoich praw żądaj najpierw od administratora

Jeżeli uważasz, że ktoś nieprawidłowo postępuje z Twoimi danymi, to z nim (lub z wyznaczonym przez niego IOD) skontaktuj się w pierwszej kolejności i zażądaj wyjaśnień lub spełnienia Twojego żądania, np. sprostowania danych, odnotowania sprzeciwu, usunięcia danych. Całą czynność dokumentuj w postaci maili (w pdf), zrzutów ekranu czy nagrań rozmów.  Większość firm podaje na stronie internetowej dane do Inspektora Ochrony Danych (IOD) tu przykład Orlenu:

oraz dane IOD (zanonimizowane, ponieważ jest inny cel przetwarzania niż cel opublikowania):

Jeżeli nie ma IODy to piszemy na główny maile kontaktowy firmy w zakładce KONTAKTY

jak przeprowadzić kontrolę trzeźwości pracowników?

ChatGPT odpowiedział na pytanie: jak przeprowadzić taką kontrolę trzeźwości pracowników?

Aby przeprowadzić kontrolę trzeźwości pracowników, pracodawca powinien przestrzegać następujących kroków:
1. Uzasadnienie potrzeby przeprowadzenia kontroli: Pracodawca musi mieć uzasadniony interes do przeprowadzenia kontroli trzeźwości pracownika, na przykład w przypadku, gdy pracownik wykonuje prace związane z bezpieczeństwem lub wykonuje prace w warunkach szczególnego zagrożenia.
2. Informowanie pracowników: Pracodawca powinien poinformować pracowników o celu, zakresie i podstawie prawnej przeprowadzania kontroli trzeźwości oraz o ich prawach związanych z ochroną danych osobowych.
3. Przeprowadzanie kontroli: Kontrola powinna być przeprowadzana przez odpowiedni personel, taki jak lekarz lub pielęgniarka, w sposób nienaruszający godności pracownika i przestrzegający jego prywatności. Wynik kontroli powinien być protokółowany.
4. Podejmowanie działań: Jeśli wynik kontroli jest pozytywny, pracodawca może podjąć działania dyscyplinarne zgodnie z przepisami Kodeksu Pracy.
5. Ochrona danych osobowych: Pracodawca powinien zapewnić odpowiednie zabezpieczenie danych osobowych związanych z kontrolą trzeźwości, aby zapewnić przestrzeganie przepisów RODO.

Związek Zawodowy w komisji zakładowej.

 

Pracownik zakładu, który został wyznaczony z ramienia związków zawodowych do komisji do spraw płac reprezentuje w niej interesy związku zawodowego a z punktu widzenia RODO reprezentuje samodzielnego administratora danych osobowych (ADO) czyli związek zawodowy. 

Mamy tutaj sytuację, w której w komisji występuje dwóch niezależnych administratorów, czyli pracodawca i związek zawodowy i każdy z nich musi zadbać od zgodność z RODO. 

Ponieważ w komisji będą przetwarzane informacje o zarobkach pracowników to jedyną podstawą przetwarzania jest zgoda i tą zgodę ma uzyskać każdy z administratorów. 

Pracownik działający z ramienia związków musi pamiętać, że grozi mu nie tylko RODO ale również odpowiedzialność karna z artykułu 107 ustawy o ochronie danych osobowych. Grozi mu grzywna, kara ograniczenia wolności albo pozbawienie wolności do lat 2.

Adres pracownika a organizacja przewozów pracowniczych.

 

Czy przełożony może przetwarzać adres pracownika w celu zorganizowania przewozu pracowniczego?

Nie.

Ponieważ adres pracownika podawany przy zatrudnianiu ma inny cel przetwarzania niż organizacja przewozu pracowniczego a dalsze przetwarzanie niezgodnie z tymi celami jest zabronione. Pracodawca powinien tak zorganizować system aby pracownik mógł zapoznać się z trasami przewozów i sam wybrać przystanek z którego będzie odbierany lub złożyć propozycję takiego przystanku na trasie.

Priorytety działania

 

Wykonując analizę ryzyka otrzymamy rożne poziomy współczynnika ryzyka, od 0 do 25 (5*5=25). Jednak należy ustalić priorytety działania na zagrożenie. Widomo, że im wyższy tym szybsza reakcja. Dlatego warto określić priorytety i przyporządkować im czas reakcji (rys). Przykładowo A3 to priorytet „czerwony”, ale z realizacją do 7 dni lub reakcją, co 7 dni, jeżeli zagadnienia nie da się szybko rozwiązać. Dla „żółtych” pól mamy B2 czyli czas reakcji do 30 dni. Co w przypadku, kiedy wiemy, że zagadnienie potrwa 6 miesięcy? Ustalamy w kalendarzu powrót do tematu, co 30 dni, aby zapytać, na jakim etapie działań jesteśmy.

RODO A OSOBA ZMARŁA

 

Zgodnie z motywem (27) "Niniejsze rozporządzenie nie ma zastosowania do danych osobowych osób zmarłych. Państwa członkowskie mogą przyjąć przepisy o przetwarzaniu danych osobowych osób zmarłych. " Czyli RODO nie stosujemy do osób zmarłych ale należy pamiętać, że informacje o osobach zmarłych chronione są na gruncie przepisów szczególnych. - Osobom bliskim przysługuje bowiem prawo do ochrony ich dobra osobistego, jakim jest kult pamięci osoby zmarłej.

Prawo to podlega ochronie prawnej na podstawie art. 24 k.c. (por. wyrok SN z dnia 12.07.1968 r., sygn. akt I CR 252/68, publik. OSNC 1970/1/18) 

KC:
Art. 23.
Dobra osobiste człowieka, jak w szczególności zdrowie, wolność, cześć, swoboda sumienia, nazwisko lub pseudonim, wizerunek, tajemnica korespondencji, nietykalność mieszkania, twórczość naukowa, artystyczna, wynalazcza i racjonalizatorska, pozostają pod ochroną prawa cywilnego niezależnie od ochrony przewidzianej w innych przepisach.
Art. 24.
§ 1. Ten, czyje dobro osobiste zostaje zagrożone cudzym działaniem, może żądać zaniechania tego działania, chyba że nie jest ono bezprawne. W razie dokonanego naruszenia może on także żądać, ażeby osoba, która dopuściła się naruszenia, dopełniła czynności potrzebnych do usunięcia jego skutków, w szczególności ażeby złożyła oświadczenie odpowiedniej treści i w odpowiedniej formie. Na zasadach przewidzianych w kodeksie może on również żądać zadośćuczynienia pieniężnego lub zapłaty odpowiedniej sumy pieniężnej na wskazany cel społeczny.
§ 2. Jeżeli wskutek naruszenia dobra osobistego została wyrządzona szkoda majątkowa, poszkodowany może żądać jej naprawienia na zasadach ogólnych.
§ 3. Przepisy powyższe nie uchybiają uprawnieniom przewidzianym w innych przepisach, w szczególności w prawie autorskim oraz w prawie wynalazczym.
Art. 448.
W razie naruszenia dobra osobistego sąd może przyznać temu, czyje dobro osobiste zostało naruszone, odpowiednią sumę tytułem zadośćuczynienia pieniężnego za doznaną krzywdę lub na jego żądanie zasądzić odpowiednią sumę pieniężną na wskazany przez niego cel społeczny, niezależnie od innych środków potrzebnych do usunięcia skutków naruszenia. Przepis art. 445 § 3 stosuje się.