Klęski żywiołowe takie jak niedawna powódź i inne zdarzenia losowe typu pożary zawalenia budynków, mogą uszkodzić zarówno same nośniki danych osobowych jak i infrastrukturę służącą do przetwarzania tych danych. To oczywiście rodzi ryzyko wycieku danych osobowych lub ich utraty. Ogólne rozporządzenie o ochronie danych nie przewiduje w takich okolicznościach żadnych zwolnień. Jak zatem spełnić wymogi RODO w przypadku utraty danych osobowych w wyniku zdarzenia losowego lub innej klęski żywiołowej?

Stany Zjednoczone mają status państwa trzeciego w rozumieniu RODO w związku z czym transfer danych osobowych do tego kraju zasadniczo musi być oparty na decyzji Komisji Europejskiej stwierdzającej zapewnienie odpowiedniego stopnia ochrony danych osobowych przez niektóre organizacje w USA. W związku z tym amerykańskie władze przyjęły mechanizm dochodzenia roszczeń w związku z ewentualnymi naruszeniami ochrony danych, które miały miejsce w USA. Sprawdź, jak w oparciu o ten mechanizm dochodzić roszczeń z tytułu naruszenia ochrony w USA i co to oznacza dla administratora danych osobowych.

Osoba, która dokona zgłoszenia naruszenia prawa w organizacji m.in. w zakresie ochrony danych osobowych lub cyberbezpieczeństwa staje się sygnalistą. Status ten może uzyskać nie tylko pracownik. Wyjaśniamy, kto może zostać sygnalistą w organizacji w związku ze zgłoszeniem lub ujawnieniem publicznym informacji na temat naruszenia prawa.

Zgromadzone dokumenty w podajniku drukarki, wnioski klientów zawierające dane osobowe porzucone na biurku czy lista płac pracowników leżąca obok - takie przypadki to gotowa recepta na utratę lub wyciek danych osobowych. Jak tego uniknąć? Praktycznym rozwiązaniem jest stosowanie zasady czystego biurka, która pomoże zapewnić adekwatny poziom bezpieczeństwa danych osobowych w papierowej dokumentacji. W tym pomóc może dokument nazywany polityką czystego biurka.

Podstawowym obowiązkiem administratora jest zgłoszenie naruszenia ochrony danych osobowych organowi nadzorczemu. Czy za zgłoszenia te może odpowiadać inspektor ochrony danych? Jaka jest rola IOD w dokonywaniu zgłoszeń naruszenia ochrony danych?

Zarządzając zgłoszeniami naruszenia prawa od sygnalistów podmiot prawny może skorzystać ze wsparcia w postaci dedykowanej aplikacji dla sygnalistów. Program ten musi jednak spełniać wymogi wynikające z RODO i krajowej ustawy o ochronie sygnalistów. Jednym z najważniejszych jest warunek poufności. Sprawdź, jakie wymogi w zakresie ochrony danych osobowych musi spełniać platforma do obsługi zgłoszeń naruszenia prawa.

Jakie dane osobowe powinny znaleźć się w zgłoszeniu naruszenia prawa dokonanym przez sygnalistę? Podmiot prawny jako administrator danych powinien kierować się w tym zakresie zasadą minimalizacji.

Obowiązek wprowadzenia dokumentacji związanej z sygnalistami tj. procedury zgłoszeń wewnętrznych oraz rejestru zgłoszeń wewnętrznych mają co do zasady wyłącznie organizacje, w których pracę zarobkową wykonuje co najmniej 50 osób. Nie oznacza to jednak, że podmioty z mniejszą liczbą zatrudnionych są zwolnione z obowiązku ochrony danych osobowych sygnalisty zgodnie z wymogami RODO.

Pytanie:  U dostawcy, z którym współpracuje administrator, doszło do naruszenia ochrony danych. Obydwie firmy są odrębnymi administratorami danych osobowych, ale naruszenie dotyczy danych, które jeden administrator udostępnił drugiego. Czy administrator ma obowiązek zgłoszenia naruszenia ochrony danych u kontrahenta będącego odrębnym administratorem udostępnionych danych osobowych?

Pytanie:  Przyjęta w firmie polityka bezpieczeństwa nakazuje pracownikom szyfrować wszelkie e-maile zawierające dane osobowe? Czy nieprzestrzeganie takiej polityki przez pracownika należy uznać za naruszenie prawa?