Pytanie:  Zgodnie z rozporządzeniem ministra spraw wewnętrznych i administracji w sprawie dokumentacji i warunków, jakie muszą spełniać systemy informatyczne (punkt A VII załącznika) „administrator danych monitoruje wdrożone zabezpieczenia systemu informatycznego”. Kto w praktyce powinien realizować ten obowiązek? W jaki sposób to monitorowanie powinno się odbywać? Czy osoba, która prowadzi monitorowanie, powinna prowadzić notatki, by rozliczyć się z wykonywania tego zadania lub odnotować to w sprawozdaniu ze sprawdzenia?

Pytanie:  Pełnomocnik właściciela mieszkania zwrócił się do wspólnoty mieszkaniowej z prośbą o udostępnienie, w postaci kserokopii bądź skanów, zatwierdzonych uchwał wraz z wynikami głosowania nad nimi (chodzi także o informacje o udziałach właścicieli) oraz protokół z rocznego zebrania ogółu właścicieli. Zawierają one jedynie dane osobowe wnioskodawcy. Wszystkie dokumenty są dostępne do wglądu w siedzibie wspólnoty, jednak pełnomocnik żąda kopii lub skanów. Czy należy wydać mu te dokumenty?

Pytanie, gdzie przechowywać upoważnienia dla pracowników do przetwarzania danych osobowych, wydaje się trywialne, jednak odpowiedź nie jest już taka oczywista. Zanim jej poszukasz, zastanów się, co wynika z posiadania upoważnienia do przetwarzania danych osobowych oraz kto je wystawia, a co za tym idzie, kto powinien mieć do nich dostęp. Analiza tego zagadnienia pomoże ustalić, gdzie powinieneś przechowywać upoważnienia do przetwarzania danych.

Pytanie:  Czy należy zgłosić do rejestracji u Generalnego Inspektora Ochrony Danych Osobowych zbiór zawierający dane emerytów, rencistów i ich rodzin korzystających z zakładowego funduszu świadczeń socjalnych? Wśród gromadzonych informacji są dane wrażliwe np. o stanie zdrowia.

Pytanie:  W naszej firmie jest tworzony zakładowy fundusz świadczeń socjalnych. Zgodnie z regulaminem ZFŚS osobami uprawnionymi do korzystania z funduszu oprócz pracowników i ich rodzin są uprawnieni emeryci i renciści oraz ich rodziny. Czy od emerytów (rencistów) należy domagać się zgody na przetwarzanie danych osobowych? Czy taką zgodę należy brać także od członków ich rodzin? Do rozpatrzenia wniosku takiej osoby jest przedstawiana bieżąca sytuacja socjalna: dochody samego wnioskodawcy oraz członków jego rodziny, sytuacja życiowa i rodzinna, np. niepełnosprawność w rodzinie, stan zdrowia, faktury za zakupione lekarstwa, warunki mieszkaniowe.

Podzlecanie usług związanych z przetwarzaniem danych osobowych to dość częsta praktyka wśród przedsiębiorców. W takiej sytuacji mówimy o podpowierzeniu przetwarzania danych osobowych. Jeśli, jako dostawca usługi, zamierzasz jej część zlecić innemu wykonawcy, to powinieneś pamiętać, że będzie to miało skutki w zakresie ochrony danych osobowych.

Do opracowania i wdrożenia instrukcji zarządzania zobowiązani są wszyscy administratorzy danych osobowych, którzy przetwarzają dane z wykorzystaniem systemu informatycznego. W praktyce jest to niemal każdy administrator danych. Wymagania określone w rozporządzeniu są minimalne. Administrator danych powinien dobrać zabezpieczenia adekwatne do zagrożeń i kategorii danych, jakie występują. Nie może ograniczyć się jedynie do wdrożenia zabezpieczeń wymienionych w rozporządzeniu.

Obowiązkiem administratora danych osobowych jest przygotowanie polityki bezpieczeństwa danych osobowych. Powinien opisać w niej zabezpieczenia, jakie stosuje wobec danych osobowych. Sprawdź, jak w pięciu prostych krokach przygotować ten dokument lub pobierz jego gotowy wzór.

Czy pracodawca może udostępnić dane z akt osobowych pracownika jako informację publiczną? Sprawdź, czy dotyczy to każdego pracownika i jak do tej kwestii odnoszą się przepisy ustawy o ochronie danych osobowych.

Pytanie:  Nasze wydawnictwo współpracuje z wieloma dziennikarzami. Na potrzeby współpracy mamy utworzony w odrębnym pliku zbiór zawierający dane osobowe dziennikarzy, które pozyskaliśmy ze źródeł ogólnie dostępnych lub bezpośrednio od dziennikarzy (najczęściej w formie wręczonej lub przesłanej wizytówki). Zbiór ten został ujęty w wykazie przetwarzanych w firmie zbiorów danych osobowych (jest to załącznik do polityki bezpieczeństwa). Zbiór nie został jednak ujęty w jawnym rejestrze zbiorów prowadzonym przez zarejestrowanego w GIODO administratora bezpieczeństwa informacji. Jest bowiem prowadzony poza systemem informatycznym. Dokument jest przygotowywany na komputerze, a następnie drukowany. Czy takie działanie jest prawidłowe?