Szkolenie ma na celu powtórzenie i przypomnienie informacji na temat podstaw przetwarzania danych osobowych, w tym wizerunku oraz oceny i zgłaszania naruszeń ochrony danych osobowych. Prosimy o udzielenie odpowiedzi na kolejne pytania, niektóre z nich wymagają zaznaczenia więcej niż jednej prawidłowej odpowiedzi. W odniesieniu do każdego pytania pojawi się komentarz przybliżający dane zagadnienie.

Po uzyskaniu pozytywnego wyniku zostanie wygenerowany certyfikat, który należy pobrać i przekazać Administratorowi.

Na jakiej podstawie są przetwarzane dane osobowe, jeżeli dokładny tryb postępowania jest uregulowany przepisami prawa?

Prawidłowe odpowiedzi:
zgody osoby, której dotyczy postępowanie – art. 6 ust. 1 lit. a) RODO
obowiązku prawnego ciążącego na administratorze – art. 6 ust. 1 lit. c) RODO
działania w interesie publicznym – art. 6 ust. 1 lit. e) RODO

Komentarz:

Czynności podejmowane na podstawie i w granicach określonych przepisami prawa są co do zasady realizowane na podstawie przepisu art. 6 ust. 1 lit. c) RODO, tj. gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Działania takie nie wymagają uzyskania zgody na przetwarzanie danych osobowych.

W przypadku, gdy w ramach podejmowanych czynności pozyskiwane są dane osobowe inne niż przewidziane przepisami, ich przetwarzanie powinno być oparte na innej przesłance. Mogą nimi być m.in. pozostałe dwie odpowiedzi, tj.:

• 6 ust. 1 lit. a) RODO – gdy osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub w większej liczbie określonych celów;
• 6 ust. 1 lit. e) RODO – gdy przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi.

W takich przypadkach należy jednak zachować ostrożność i kierować się zasadą minimalizacji danych osobowych, a więc decydując o zakresie pozyskiwanych danych dążyć do uzyskania najmniejszej ich ilości, która pozwoli na realizację zadania.

Prawidłowe odpowiedzi:
dobrowolna
konkretna
świadoma
jednoznaczna

Komentarz:

Zgodnie z RODO zgoda na przetwarzanie danych osobowych powinna być:

• dobrowolna – nie można wymuszać wyrażenia zgody;
• konkretna – zgoda powinna dotyczyć konkretnego celu;
• świadoma – osoba uprawniona powinna zdawać sobie sprawę na co zgodę wyraża i jakie mogą być tego konsekwencje;
• jednoznaczna – zgoda nie może budzić wątpliwości.

Na temat warunków wyrażenia zgody wypowiedział się Prezes UODO:

Prawidłowe odpowiedzi:
przepisów RODO
zgody na przetwarzanie danych osobowych wyrażonej przez osobę, której dotyczy wizerunek
przepisów ustawy o prawie autorskim i prawach pokrewnych

Komentarz:

Możliwość rozpowszechnienia wizerunku osoby powszechnie znanej wynika z przepisów ustawy o prawie autorskim i prawach pokrewnych.

Art. 81 [Wizerunek]

1. Rozpowszechnianie wizerunku wymaga zezwolenia osoby na nim przedstawionej. W braku wyraźnego zastrzeżenia zezwolenie nie jest wymagane, jeżeli osoba ta otrzymała umówioną zapłatę za pozowanie.
2. Zezwolenia nie wymaga rozpowszechnianie wizerunku:

1) osoby powszechnie znanej, jeżeli wizerunek wykonano w związku z pełnieniem przez nią funkcji publicznych, w szczególności politycznych, społecznych, zawodowych;

2) osoby stanowiącej jedynie szczegół całości takiej jak zgromadzenie, krajobraz, publiczna impreza.

Prawidłowe odpowiedzi:
tak
nie
to zależy od konkretnej sytuacji i tego, kim są te osoby

Komentarz:

Podstawa uprawniająca do rozpowszechnienia wizerunku osoby fizycznej zależy od tego co przedstawia fotografia i w jakiej sytuacji oraz kontekście została wykonana. Co do zasady rozpowszechnienie wizerunku wymaga zezwolenia osoby, której on dotyczy. Wyjątki od tej zasady przewiduje ustawa o prawie autorskim i prawach pokrewnych.

Rozpowszechnienie wizerunku stanowi jedną z czynności przetwarzania danych osobowych. Zgoda na przetwarzanie danych osobowych wyrażana w związku z publikacją fotografii np. na stronie internetowej, obejmuje więcej czynności, takich jak choćby utrwalenie wizerunku, przesłanie fotografii i jej rozpowszechnienie przez opublikowanie w miejscu docelowym.

Prawidłowe odpowiedzi:
wysłanie mailem zaszyfrowanego pliku wraz z hasłem do jego odczytania
zgubienie pendrive’a
utrata maili ze skrzynki poczty elektronicznej
wysłanie maila zawierającego dane osobowe do niewłaściwego adresata
nieprawidłowe zabezpieczenie laptopa, na którym są przechowywane dane osobowe

Komentarz:

Wszystkie wskazane sytuacje stanowiąc co najmniej incydent mogący stanowić naruszenie ochrony danych osobowych. Każde niepożądane zdarzenie, które jest związane z przetwarzaniem danych osobowych, powinno zostać zgłoszone kierownictwu i rozpatrzone jako potencjalne naruszenie ochrony danych osobowych.

Wiele zależy od konkretnych okoliczności. Ocena zależeć będzie między innymi od ilości danych osobowych i osób, których one dotyczą, zastosowanych środków zabezpieczeń, jak np. szyfrowanie. Konkretne kryteria powinny zostać dobrane odpowiednio do sytuacji. Oceniając zdarzenie należy skonsultować się z wyznaczonym Inspektorem Ochrony Danych.

Prawidłowe odpowiedzi:
każde naruszenie
naruszenie, które w wyniku oceny administratora zostało uznane za naruszenie wysokiej wagi
naruszenie, które powoduje wysokie ryzyko naruszenia praw lub wolności osoby fizycznej

Komentarz:

Nie każde naruszenie ochrony danych osobowych wiąże się z koniecznością jego zgłoszenia do UODO. Decyzja o zgłoszeniu naruszenia do UODO powinna być podjęta w wyniku rzetelnej oceny wagi naruszenia, w ramach której oceniony zostanie szereg czynników wpływających na ewentualne negatywne skutki tego naruszenia. W przypadku, gdy naruszenie może powodować wysokie ryzyko poniesienia negatywnych skutków, np. finansowych, przez osoby dotknięte naruszeniem, powinno być ono zgłoszone do UODO. Poza tym zgłoszeniem należy również poinformować osoby dotknięte naruszeniem o tym, że doszło do takiego zdarzenia, a także wskazać potencjalne negatywne konsekwencje oraz sposoby na ograniczenie ryzyka ich wystąpienia.

Prawidłowe odpowiedzi:
24 godzin
48 godzin
72 godzin

Komentarz:

Czas na dokonanie zawiadomienia UODO o naruszeniu ochrony danych osobowych wynosi 72 godziny od stwierdzenia naruszenia. W tym czasie należy zebrać materiał w sprawie oraz przeprowadzić ocenę wagi naruszenia, w wyniku której administrator podejmie decyzję o tym, czy konieczne jest dokonanie zgłoszenia do UODO. Termin 72 godzin biegnie niezależnie od dni wolnych od pracy i świąt.