Biuro Ochrony Danych Osobowych

22/07/2020

Prezes UODO i Rzecznik Praw Pacjenta zacieśniają współpracę

Jan Nowak, Prezes Urzędu Ochrony Danych Osobowych i Bartłomiej Chmielowiec, Rzecznik Praw Pacjenta podpisali porozumienie o wzajemnej współpracy, którego celem jest wzajemne wspieranie się w realizacji ustawowych zadań.

Edukacja, współpraca legislacyjna czy informowanie się o zagrożeniach wymagających wspólnych działań – to obszary, w jakich Prezes UODO i Rzecznik Praw Pacjenta podejmują współpracę. Podpisane pomiędzy nimi porozumienie przewiduje również wzajemne informowanie się w obszarach związanych z realizacją ustawowych zadań obydwu podmiotów, w których obie instytucje przejawiają zainteresowanie bądź posiadają ustawowe kompetencje.

Więcej: https://uodo.gov.pl/pl/138/1606

21/07/2020

Wyrok TSUE ws. Data Protection Commissioner przeciwko Facebook Ireland Ltd. i Maximilian Schrems

Trybunał Sprawiedliwości UE w wydanym 16 lipca 2020 r. wyroku w sprawie C-311/18 Data Protection Commissioner przeciwko Facebook Ireland Ltd. i Maximilian Schrems, potwierdził wysoki standard ochrony danych osobowych w odniesieniu do przekazywania danych osobowych do państw trzecich.

TSUE stwierdził nieważność decyzji wykonawczej Komisji Europejskiej (UE) 2016/1250 w sprawie adekwatności ochrony zapewnianej przez Tarczę Prywatności UE-USA. W konsekwencji, od dnia ogłoszenia wyroku, tj. 16 lipca 2020 r., przekazywanie danych do importerów w Stanach Zjednoczonych Ameryki nie może się już odbywać na tej podstawie.

Jednocześnie TSUE potwierdził dalsze obowiązywanie decyzji Komisji Europejskiej 2010/87 w sprawie standardowych klauzul umownych (SCC) dotyczących przekazywania danych osobowych podmiotom przetwarzającym dane mającym siedzibę w krajach trzecich. Trybunał jednak zastrzegł, że należy zapewnić, aby prawa osób, których dane osobowe są przekazywane do państwa trzeciego na podstawie standardowych klauzul umownych ochrony danych, były chronione w stopniu merytorycznie równoważnym temu gwarantowanemu w UE przez RODO w świetle postanowień Karty Praw Podstawowych UE.

Oznacza to konieczność dokonania przez administratorów indywidualnej oceny stopnia ochrony danych zapewnianego w ramach takiego transgranicznego przekazywania danych, która musi uwzględniać nie tylko same postanowienia umowne uzgodnione między eksporterami i importerami danych, lecz również przepisy prawa w państwie trzecim, w szczególności odnoszące się do ewentualnego dostępu organów władzy publicznej tego państwa do przekazywanych danych. Gdy w świetle dokonanej oceny poziom ochrony danych osobowych nie będzie merytorycznie równoważny z poziomem gwarantowanym w UE, przekazywanie danych może być uzależnione od zapewnienia równoważnego poziomu ich ochrony za pomocą innych środków.

Prezes UODO podkreśla konieczność spójnego podejścia do oceny konsekwencji wyroku TSUE w całej Unii Europejskiej oraz niezbędność wspólnych działań w tym zakresie krajowych organów nadzorczych współpracujących w ramach Europejskiej Rady Ochrony Danych (EROD), w której pracach Prezes UODO uczestniczy.

EROD na swym 34. posiedzeniu plenarnym 17 lipca 2020 r. przedyskutowała najważniejsze kwestie związane z konsekwencjami wyroku TSUE i zapowiedziała opublikowanie dalszych wyjaśnień.

Źródło:https://uodo.gov.pl/pl/138/1603

Statement on the Court of Justice of the European Union Judgment in Case C-311/18 - Data Protection Commissioner v Facebook Ireland and Maximillian Schrems

21/07/2020

Kontrola musi być przeprowadzona w pełnym zakresie

Prezes UODO po przeprowadzeniu wszczętego z urzędu postępowania administracyjnego w sprawie nałożenia administracyjnej kary pieniężnej nałożył na Głównego Geodetę Kraju karę pieniężną w kwocie 100 tys. złotych.

Prezes Urzędu Ochrony Danych Osobowych stwierdził naruszenie przez Głównego Geodetę Kraju przepisów ogólnego rozporządzenia o ochronie danych (RODO), polegające na niezapewnieniu organowi nadzorczemu w trakcie kontroli dostępu do pomieszczeń, sprzętu i środków służących do przetwarzania danych osobowych oraz dostępu do danych osobowych i informacji niezbędnych Prezesowi UODO do realizacji jego zadań. Ponadto GGK nie współpracował z Prezesem UODO w trakcie tej kontroli.

Prezes UODO ma za zadanie monitorować oraz egzekwować stosowanie RODO. W ramach swoich kompetencji m.in. prowadzi postępowania w sprawie stosowania przepisów RODO. Dla umożliwienia realizacji zadań organowi nadzorczemu przysługuje szereg określonych uprawnień, w tym prawo do uzyskania od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich niezbędnych dla niego informacji, czy uprawnienie do uzyskania dostępu do wszystkich pomieszczeń administratora i podmiotu przetwarzającego, w tym do sprzętu i środków służących do przetwarzania danych.

Ponadto administrator i podmiot przetwarzający mają obowiązek współpracować z organem nadzorczym w ramach wykonywania przez niego zadań, o czym stanowi art. 31 RODO.

Naruszenie przepisów ogólnego rozporządzenia o ochronie danych, polegające na niezapewnieniu przez administratora lub podmiot przetwarzający dostępu do danych i informacji, skutkuje naruszeniem uprawnień organu nadzorczego określonych w art. 58 ust. 1 RODO. Dlatego też, Prezes UODO uznał za uzasadnione nałożenie administracyjnej kary pieniężnej.

Więcej:

21/07/2020

Brak współpracy z organem nadzorczym

Prezes UODO nałożył 5 tys. zł kary na indywidualnego przedsiębiorcę prowadzącego niepubliczny żłobek i przedszkole.

Przedsiębiorca prowadzący placówki nie zapewnił Prezesowi UODO dostępu do danych osobowych i innych informacji niezbędnych do realizacji jego zadań – w tym przypadku do oceny czy administrator w sposób zgodny z przepisami RODO zawiadomił osoby, których dane dotyczą, o naruszeniu (czym naruszył art. 58 ust. 1 lit. e RODO).

Przedsiębiorca zgłosił do Prezesa UODO naruszenia ochrony danych osobowych, polegające na utracie dostępu do danych osobowych przechowywanych w prowadzonym niepublicznym żłobku i przedszkolu.

W związku z brakiem w ww. zgłoszeniu informacji niezbędnych do oceny tego naruszenia, organ nadzorczy trzykrotnie skierował do przedsiębiorcy wezwania do złożenia stosownych wyjaśnień. Dwa wezwania nie zostały podjęte w terminie, natomiast jedno ukarany podmiot odebrał osobiście. Przedsiębiorca nie udzielił Prezesowi UODO żadnej odpowiedzi na wezwania.

Więcej:

16/07/2020

Twitter doświadczył dziś w nocy bezprecedensowego włamania! Oszuści wysłali tysiące tweetów z oficjalnych kont m.in. Apple, Ubera, Joe Bidena, Elona Muska i zwykłych użytkowników, zyskując ponad 100 tys. dolarów w kilka minut! Namawiano do darowizny na portfel Bitcoinowy.

Tweety, pojawiające się na wielu kontach w ciągu około półtorej godziny, obiecywały użytkownikom, że jeśli wpłacą darowiznę na wskazany portfel bitcoinowy, otrzymają zwrot podwojonej kwoty. Przy niektórych wpisach pojawiały się zwykłe zachęty do przelania pieniędzy, z kolei na koncie w części tweetów „oferta” adresowana była „w związku z epidemią Covid-19”.

Po incydencie akcje Twittera błyskawicznie w kilka minut spadły o ponad 4 procent!!

To pokazuje, jak wielkim zaufaniem jako ludzie cały czas darzymy osoby publiczne. Jesteśmy w stanie bez pogłębionej weryfikacji przekazywać im oszczędności życia! To też pokazuje, jak wielka odpowiedzialność ciąży dziś nie tylko na nich ale też platformach internetowych. Z prawnego punktu widzenia ciekawy byłby też pozew np. Elona Muska względem Twittera w tej sprawie.

15/07/2020

Pracodawca administratorem danych w dokumentacji pracowniczej

Administrator, przechowując dane w dokumentacji pracowniczej nie musi prosić pracownika o zgodę na przetwarzanie jego danych. W tym przypadku to nie zgoda pracowników, a obowiązek prawny administratora będzie właściwą podstawą przetwarzania danych zgromadzonych w aktach osobowych pracowników.

Prowadzenie dokumentacji pracowniczej odbywa się na podstawie odrębnych przepisów prawa pracy. W rozporządzeniu Ministra Rodziny Pracy i Polityki Społecznej z 10 grudnia 2018 r. w sprawie dokumentacji pracowniczej został określony m.in. zakres, sposób i warunki prowadzenia oraz przechowywania pracowniczych akt osobowych.

Więcej:

15/07/2020

ABC rekrutacji

Przygotowując się do rekrutacji, pracodawca powinien gruntownie przeanalizować, jakie dane będzie mógł pozyskać od kandydata do pracy, aby na ich podstawie była możliwa ocena, czy dana osoba spełnia kryteria niezbędne do objęcia stanowiska, o które się ubiega.

Pracodawca musi pamiętać, że proces rekrutacyjny będzie wiązał się z pozyskiwaniem przez niego danych osobowych zawartych w dokumentach rekrutacyjnych. Warto podkreślić, że pracodawca nie może żądać od kandydata danych nadmiarowych, które są niepotrzebne do przeprowadzenia rekrutacji. Ponadto dane osobowe nie mogą być zbierane na zapas, tj. bez wykazania przez administratora zgodnego z prawem celu ich pozyskania i niezbędności do realizacji tego celu.

Więcej:

10/07/2020

Prezes UODO nakłada karę w transgranicznym postępowaniu

Prezes UODO nałożył 15 tys. zł. kary na spółkę East Power z Jeleniej Góry za niezapewnienie organowi nadzoru dostępu do danych osobowych i innych informacji niezbędnych do realizacji jego zadań.

Ukarana spółka zajmuje się na terenie Polski i Niemiec pośrednictwem pracy, a skargę na jej działania złożył obywatel Niemiec, gdyż przetwarzała ona jego dane osobowe w celach marketingowych. Skargę złożył w niemieckim organie ochrony danych osobowych właściwym dla Nadrenii-Palatynatu, ale została ona przejęta do rozpoznania przez Prezesa UODO, który był w tej sprawie tzw. organem wiodącym z uwagi na to, że spółka ma siedzibę w Polsce.

Więcej:

10/07/2020

Potrzebne przepisy dotyczące postępowania z danymi osobowymi utrwalonymi na zagubionych nośnikach

Prezes UODO zwrócił się do Ministra Spraw Wewnętrznych i Administracji z wnioskiem o rozważenie uregulowania w ustawie o rzeczach znalezionych kwestii dotyczących postępowania z danymi osobowymi, utrwalonymi na zagubionych nośnikach danych.

To reakcja na wpływającą do Prezesa UODO korespondencję od starostów, którzy wskazują na problemy pojawiające się w związku z przechowywaniem przez nich znalezionych rzeczy, takich jak laptopy, telefony komórkowe, pendrive’y, dyski, aparaty fotograficzne czy tablety.

Więcej:

10/07/2020

WSA: Postanowienie Prezesa UODO wydane wobec GGK podlega wykonaniu

Wojewódzki Sąd Administracyjny w Warszawie odmówił wstrzymania wykonania zaskarżonego przez Głównego Geodetę Kraju postanowienia Prezesa Urzędu Ochrony Danych Osobowych ograniczającego przetwarzanie danych osobowych w zakresie numerów ksiąg wieczystych w serwisie internetowym GEOPORTAL2.

Postanowienie Prezesa UODO wydane na podstawie art. 70 ust. 1 ustawy o ochronie danych osobowych nie może być wstrzymane w trybie przewidzianym w art. 61 § 3 ustawy Prawo o postępowaniu przed sądami administracyjnymi – uznał Wojewódzki Sąd Administracyjny w Warszawie. Tym samym postanowienie Prezesa UODO z 6 kwietnia 2020 r., zobowiązujące GGK do zaprzestania publikowania numerów ksiąg wieczystych na portalu internetowym GEOPORTAL2 (geoportal.gov.pl) do czasu wydania decyzji administracyjnej kończącej postępowanie w tej sprawie wciąż podlega wykonaniu.

Więcej: https://uodo.gov.pl/pl/138/1593

06/07/2020

Drony a prywatność

Zapraszamy do śledzenia transmisji Ogólnopolskiej Konferencji Naukowej „Drony a prywatność”, która odbędzie się w środę 8 lipca 2020 r. o godzinie 9:00. Organizatorem wydarzenia jest Urząd Ochrony Danych Osobowych.

Drony, bezzałogowe statki powietrzne, jeszcze do niedawna były wykorzystywane przez siły zbrojne. Rozwój technologii sprawił, że dzisiaj są one dostępne dla przeciętnego użytkownika. Stały się tak powszechne, że można je nabyć praktycznie w każdym większym sklepie z elektroniką.

Jednym z zagrożeń związanych z zastosowaniem takich nowych technologii może być mimowolne lub celowe pozyskiwanie danych, niejednokrotnie stanowiących dane osobowe, co z kolei może prowadzić do utraty prywatności. Doskonałą okazją do przyjrzenia się prawnym aspektom funkcjonowania dronów będzie konferencja przygotowana przez UODO. Omówione zostaną tematy związane z wykorzystywaniem bezzałogowych statków powietrznych w kwestii regulacji o ochronie danych osobowych oraz koniecznością certyfikacji i bezpiecznej integracji w przestrzeni. Poruszona zostanie również tematyka z obszaru informatyki śledczej w dronach.

Transmisja będzie dostępna pod adresem: https://youtu.be/lVOaRhyUCj0.

Źródło: https://uodo.gov.pl/pl/138/1582

Ogólnopolska Konferencja Naukowa "Drony a prywatność" będzie okazją do przyjrzenia się prawnym aspektom funkcjonowania dronów. Omówione zostaną tematy związa...

06/07/2020

Prezes UODO zwrócił się do Gemini Apss Sp. z o.o. o złożenie wyjaśnień w związku z przetwarzaniem danych osobowych w ramach usługi polegającej na wyszukiwaniu informacji w zakresie dostępności i orientacyjnej ceny produktów leczniczych i wyrobów medycznych wskazanych w e-receptach w aplikacji dostępnej na stronie: receptagemini.pl

Na problem ten zwróciła uwagę Naczelna Izba Aptekarska w piśmie do Prezesa UODO z 19 czerwca 2020 r. Zdaniem NIA, Spółka Gemini Apss mogła naruszyć przepisy o ochronie danych osobowych, w szczególności wynikające z przepisów RODO. Izba zwróciła uwagę, że spółka zbiera i przetwarza dane osobowe użytkowników portalu, w tym dane osobowe szczególnych kategorii (dane dotyczące zdrowia) z naruszeniem zasad przetwarzania danych osobowych oraz nie zapewniając im odpowiedniego stopnia bezpieczeństwa. Jednocześnie Urząd analizuje pisma innych podmiotów zainteresowanych tą sprawą.

Ewentualne dalsze działania Urzędu będą uzależnione od poczynionych ustaleń.

Źródło: https://uodo.gov.pl/pl/138/1581