Realizacja praw osób fizycznych

Niniejsze szkolenie ma na celu przybliżenie tematyki praw przysługujących na podstawie RODO osobom fizycznym, a także ich realizacji w przypadku zgłoszenia takiego żądania przez osobę uprawnioną.
Szkolenie skierowane jest do wszystkich pracowników przetwarzających dane osobowe w ramach organizacji Administratora.

Prosimy o zapoznanie się z treścią załącznika, a następnie o udzielenie odpowiedzi na pytania testowe. W każdym przypadku istnieje jedna prawidłowa odpowiedź.

Szkolenie do pobrania tutaj.

„Zwracam się z zapytaniem, czy przetwarzane są przez Państwa moje dane?” Z jakim prawem mamy do czynienia w tym przypadku?

Prawidłowa odpowiedź:

prawo do sprostowania danych

prawo do ograniczenia przetwarzania danych

prawo dostępu do danych

Komentarz:

W przedstawionej sytuacji chodzi o prawo dostępu do danych.

Każda osoba fizyczna ma prawo do uzyskania informacji czy, a jeżeli tak, to w jaki sposób są przetwarzane jej dane osobowe. Odpowiadając na takie żądanie należy pamiętać o prawidłowej weryfikacji tożsamości osoby jej składającej, aby zapobiec przekazaniu informacji osobie nieuprawnionej.

„W zeszłym tygodniu przewróciłam się obok budynku. Proszę o wydanie nagrania z monitoringu.” Co należy uczynić w takiej sytuacji?

Prawidłowa odpowiedź:

odmówić, bo dostęp do nagrań z monitoringu jest ściśle ograniczony i możliwość udostępnienia obejmuje tylko organy ścigania

zainicjować działania mające na celu zweryfikowanie tożsamości osoby zgłaszającej żądanie, określenie czasu zdarzenia i zabezpieczenie nagrania, którego ono dotyczy

wydać nagranie, którego dotyczy żądanie

Komentarz:

W przedmiotowej sytuacji należy w pierwszej kolejności ustalić tożsamość osoby składającej żądanie. Zasadne jest uzyskanie dodatkowych informacji, jak choćby miejsca i zakresu czasowego, w którym doszło do zdarzenia, czy tego jak wyglądała lub w co ubrana w tym czasie osoba zgłaszająca żądanie. Następnym krokiem powinno być przejrzenie zapisu z monitoringu, celem ustalenia, czy objęta nim została sytuacja, której dotyczy żądanie. Należy zaznaczyć, że możliwość skorzystania z prawa dostępu jest ograniczona okresem przechowywania nagrań z monitoringu. Może więc zdarzyć się, że w chwili zgłoszenia żądania jego realizacja będzie niemożliwa, ponieważ nagranie uległo nadpisowi.

Konieczne może być przeprowadzenie działań dla zanonimizowania osób będących na nagraniu, a nie będących osobą zgłaszającą żądanie, ponieważ to jej danych ono dotyczy.

W przedstawionym przypadku mamy do czynienia z prawem dostępu do danych, którego nie należy mylić z udostępnieniem danych (a więc przekazaniem danych odrębnemu administratorowi), które odbywa się na podstawie przepisów obowiązującego prawa. Prawo to powinno być realizowane przez podmiot danych, tj. bezpośrednio przez osobę, której dane dotyczą.

Po przeprowadzeniu wszelkich wymaganych działań, pozostaje podjęcie decyzji o udzieleniu lub odmowie udzielenia dostępu do danych. W przypadku odmowy konieczne będzie jej uzasadnienie.

„Proszę usunąć wszystkie moje dane, bo przeprowadzam się do innego miasta.” Czy jest możliwe usunięcie danych na podstawie tego wniosku?

Prawidłowa odpowiedź:

to zależy od tego, czy nie istnieje obowiązek lub inna podstawa dalszego ich przetwarzania

tak, każda osoba fizyczna ma prawo do usunięcia jej danych

nie, w tej sytuacji nie przysługuje prawo do usunięcia danych

Komentarz:

W przedstawionej sytuacji mamy do czynienia z żądaniem realizacji prawa do bycia zapomnianym, a więc do usunięcia danych. Dalsze postępowanie uzależnione będzie od tego, czy dane są jeszcze potrzebne administratorowi, czy dysponuje podstawą prawną przetwarzania, w szczególności czy jest on zobowiązany na podstawie odrębnych przepisów do dalszego przetwarzania tych danych. Należy zwrócić uwagę przede wszystkim na wynikające z przepisów obowiązującego prawa oraz instrukcji kancelaryjnych okresów przechowywania danych, jak również obowiązku archiwizacji.

Proszę natychmiast usunąć moje dane, które podałam podczas naboru do pracy.” Czy należy  w tej sytuacji usunąć dane?

Prawidłowa odpowiedź:

nie, są jeszcze potrzebne

tak, w dokumentach aplikacyjnych widniała zgoda na przetwarzanie, która właśnie została cofnięta

to zależy od rodzaju danych, podstawy ich przetwarzania oraz etapu rekrutacji

Komentarz:

W przedmiotowej sytuacji należy rozważyć podstawy przetwarzania poszczególnych danych osobowych, z których te, których przetwarzanie odbywało się na podstawie udzielonej zgody, należy usunąć w wyniku jej cofnięcia. W dokumentach aplikacyjnych będą znajdować się jednak dane wymagane przepisami prawa.

Dane należy usunąć, jeżeli administrator już ich nie potrzebuje, a to należy oceniać przez pryzmat celów i podstaw przetwarzania. Należy pamiętać o obowiązku przechowywania dokumentacji, archiwizacji, przepisach dotyczących naboru pracowników samorządowych. Odmówić usunięcia danych można również w przypadku dalszego ich przechowywania w celu dochodzenia roszczeń lub obrony przed nimi.

„Nie wyrażałem zgody na publikację zdjęć z moim wizerunkiem. Proszę je natychmiast usunąć!” Co należy zrobić?

Prawidłowa odpowiedź:

odmówić usunięcia, ponieważ w aktach znajduje się zgoda na publikację zawierająca podpis osoby zgłaszającej żądanie

usunąć zdjęcie, jeżeli zgoda była podstawą do jego publikacji

odmówić, wskazując jako podstawę publikacji ustawę o prawie autorskim i prawach pokrewnych

Komentarz:

W pierwszej kolejności ustaleniu powinno podlegać o jakie zdjęcie chodzi, czy i gdzie zostało opublikowane, a także na jakiej podstawie. Oświadczenie takie należy traktować jako cofnięcie zgody, w związku z czym zdjęcie należy co do zasady usunąć, chyba że zastosowanie znajdzie inna podstawa przetwarzania. Cofnięcie zgody nie wpływa na legalność publikacji fotografii do momentu złożenia oświadczenia w tym przedmiocie.

„Kolejny raz otrzymałem decyzję z błędem w nazwisku! Proszę to zmienić!” Co należy zrobić?

Prawidłowa odpowiedź:

poprawić dane w tym zakresie na podstawie oświadczenia osoby zgłaszającej żądanie

odmówić poprawienia danych, ponieważ dane w decyzji są zgodne z figurującymi w bazie danych

ustalić tożsamość osoby zgłaszającej żądanie, prawidłowość danych i dokonać ich ewentualnego sprostowania

Komentarz:

Reagując na takie wezwanie, należy zweryfikować tożsamość osoby je zgłaszającej, aby uniknąć omyłkowej modyfikacji danych innej osoby. W następnej kolejności konieczne byłoby ustalenie przyczyny błędu, tj. czy był wynikiem posiadania danych nieprawidłowych, czy też była to omyłka pisarska. Zależeć od tego będą następne kroki zmierzające do naprawienia błędu, tj. dokonanie sprostowania danych osobowych.