Baza wiedzy

Fotografowanie pracowników w pracy podlega jednocześnie przepisom RODO, prawa cywilnego, prawa autorskiego i prawa pracy. Co do zasady pracodawca nie może swobodnie fotografować i publikować zdjęć, jeżeli wizerunek pozwala zidentyfikować, kim jest pracownik, a legalność zależy od celu, podstawy prawnej i zakresu wykorzystania. Nagrania wolno przetwarzać jedynie do celów, dla których je zebrano, i co do zasady nie dłużej niż 3 miesiące.

Nielegalne odzyskiwanie długów to każde dochodzenie należności z naruszeniem prawa, prywatności lub dóbr osobistych dłużnika. Legalna windykacja jest dopuszczalna, ale firma windykacyjna nie może nękać, grozić, podszywać się pod sąd lub komornika ani przetwarzać danych osobowych bez podstawy prawnej. Ochrona przed nieuczciwą windykacją zabezpiecza konsumentów oraz przedsiębiorców znajdujących się w trudnej sytuacji finansowej przed bezprawnymi naciskami, a przepisy o ochronie konkurencji i konsumentów dają Prezesowi UOKiK narzędzia do zwalczania agresywnych działań windykacyjnych.

Wdrożenie RODO polega na audycie przepływu danych osobowych oraz dostosowaniu procesów, dokumentów i zabezpieczeń do wymogów prawa. Prawidłowe wdrożenie RODO w przedsiębiorstwie obejmuje inwentaryzację, analizę ryzyka, przygotowanie dokumentacji i wdrożenie procedur, które pozwalają legalnie przetwarzać dane oraz wykazać zgodność z RODO.

Co to jest urządzenie mobilne? To przenośny sprzęt z własnym zasilaniem, systemem operacyjnym i łącznością bezprzewodową, używany do komunikacji, pracy i dostępu do usług cyfrowych. W realiach firmowych takie urządzenie mobilne ma znaczenie nie tylko techniczne, ale też prawne, bo często służy do przetwarzania danych osobowych pracowników, klientów i kontrahentów.

Upoważnienie do przetwarzania danych osobowych to instrument organizacyjny wymagany przez RODO, który pozwala legalnie i bezpiecznie przetwarzać dane w imieniu administratora przez osoby działające z jego upoważnienia. Z art. 29 RODO oraz art. 32 ust. 4 RODO wynika, że osoby działające z upoważnienia administratora lub podmiotu przetwarzającego mogą przetwarzać dane wyłącznie na polecenie i w granicach nadanego zakresu. W praktyce oznacza to, że upoważnienia trzeba nadać tam, gdzie pracownik lub współpracownik realnie ma dostęp do danych i ma je przetwarzać.

Prezes UODO stoi dziś przed dwoma równoległymi wyzwaniami: wzrostem spraw dotyczących naruszeń prywatności oraz potrzebą reakcji na deepfake i cyberzagrożenia. W praktyce prezesa uodo interesuje nie tylko klasyczna skarga na naruszenie RODO, ale też to, czy obowiązujące przepisy realnie chronią jednostkę w środowisku cyfrowym. W zeszłym roku dziesięciokrotnie wzrosła suma kwot nałożonych kar, a dodatkowym problemem pozostaje brak pełnego wdrożenia regulacji o usługach cyfrowych do polskiego porządku prawnego.

Umowa powierzenia jest wymagana na podstawie art. 28 RODO zawsze wtedy, gdy zewnętrzny podmiot ma przetwarzać dane osobowe w imieniu administratora. Prawidłowa umowa powierzenia przetwarzania danych osobowych musi określać co najmniej przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych oraz kategorie osób, których dane dotyczą, a także obowiązki procesora i administratora.

Za bezprawne przetwarzanie i ujawnienie danych osobowych grozi grzywna, kara ograniczenia wolności albo pozbawienia wolności do 2 lat (art. 107 UODO), a dodatkowo możliwe są roszczenia o odszkodowanie i zadośćuczynienie na podstawie art. 82 roda oraz przepisów cywilnych o dobrach osobistych. Ujawnienie danych osobowych przez osobę prywatną nie zawsze wymaga zgody, ale aby legalnie przetwarzać i udostępniać informacje o innej osobie, trzeba mieć wyraźną podstawę z roda, a po jej braku łatwo naruszyć ochrona danych osobowych i prywatność.

Jeżeli odbiorca danych znajduje się poza obszarem, który obejmują eog kraje, sam transfer nie jest zakazany, ale wymaga spełnienia warunków z rozdziału V RODO. W praktyce trzeba ustalić, czy państwo docelowe zapewnia odpowiedni poziom ochrony albo wdrożyć właściwe zabezpieczenia, a w określonych przypadkach oprzeć przekazanie na wyjątku z art. 49 RODO.

Testy penetracyjne to kontrolowany audyt odporności, w którym uprawniony specjalista sprawdza, czy system, aplikacja lub infrastruktura mają luk i czy da się wykorzystać konkretną podatność. Aby legalnie wejść w ten obszar, trzeba rozumieć metodykę techniczną, mieć formalną zgodę właściciela oraz znać zasady RODO, bo test penetracyjny bardzo często dotyka danych osobowych i realnego bezpieczeństwo środowiska produkcyjnego.