Jakie dane osobowe powinny znaleźć się w zgłoszeniu naruszenia prawa dokonanym przez sygnalistę? Podmiot prawny jako administrator danych powinien kierować się w tym zakresie zasadą minimalizacji.

Obowiązek wprowadzenia dokumentacji związanej z sygnalistami tj. procedury zgłoszeń wewnętrznych oraz rejestru zgłoszeń wewnętrznych mają co do zasady wyłącznie organizacje, w których pracę zarobkową wykonuje co najmniej 50 osób. Nie oznacza to jednak, że podmioty z mniejszą liczbą zatrudnionych są zwolnione z obowiązku ochrony danych osobowych sygnalisty zgodnie z wymogami RODO.

Pytanie:  U dostawcy, z którym współpracuje administrator, doszło do naruszenia ochrony danych. Obydwie firmy są odrębnymi administratorami danych osobowych, ale naruszenie dotyczy danych, które jeden administrator udostępnił drugiego. Czy administrator ma obowiązek zgłoszenia naruszenia ochrony danych u kontrahenta będącego odrębnym administratorem udostępnionych danych osobowych?

Pytanie:  Przyjęta w firmie polityka bezpieczeństwa nakazuje pracownikom szyfrować wszelkie e-maile zawierające dane osobowe? Czy nieprzestrzeganie takiej polityki przez pracownika należy uznać za naruszenie prawa?

Wyobraźmy sobie sytuację, w której do urzędu wpłynęła skarga podpisana przez osobę skarżącego, wskutek czego możliwa stała się jego identyfikacja. Urząd ujawnił pismo ze skargą osobom, których ta skarga dotyczyła. Sprawdzamy, czy takie działanie stanowi naruszenie ochrony danych w świetle RODO i może skończyć się karą nałożoną przez Prezesa Urzędu Ochrony Danych Osobowych.

Tzw. ustawa Kamilka, wprowadzając nowe zasady ochrony dzieci rozszerzyła zakres weryfikacji niekaralności osób pracujących z małoletnimi. Poszerzony obowiązek weryfikacyjny wszedł w życie 15 lutego 2024 r. Wiąże się on oczywiście z przetwarzaniem danych osobowych dotyczących niekaralności i nie tylko. Skorzystaj z praktycznych wskazówek i sprawdź, jakie wymogi RODO spełnić w związku z weryfikacją niekaralności.

Sygnaliści mogą dokonywać również zgłoszeń zewnętrznych do organów publicznych i Rzecznika Praw Obywatelskich. W związku z tym zarówno RPO jak i organy publiczne muszą przyjąć odrębną procedurę zgłoszeń zewnętrznych. Sprawdź, kto konkretnie musi wdrożyć procedurę zgłoszeń zewnętrznych w ramach ochrony sygnalistów.

Przyjęcie zgłoszenia naruszenia prawa od sygnalisty nie zawsze musi wiązać się z przetwarzaniem danych osobowych. Administrator może bowiem przyjmować zgłoszenia anonimowe. W jakich przypadkach? To zależy od regulaminu zgłoszeń wewnętrznych.

Prowadzenie rejestru zgłoszeń wewnętrznych to jeden z obowiązków w ramach ochrony sygnalistów. Wiąże się ono z przetwarzaniem danych osobowych sygnalisty oraz osoby, której dotyczy zgłoszenie naruszenia prawa w organizacji. Rejestr zgłoszeń wewnętrznych należy prowadzić od 25 września 2024 r. Sprawdź, jak przetwarzać dane osobowe w tym rejestrze zgodnie z RODO.

Pytanie:  Uchwała rady nadzorczej spółdzielni mieszkaniowej została zaskarżona do sądu przez członka spółdzielni. Sąd zwrócił się do spółdzielni o przedstawienie stanowiska (wyjaśnienie sytuacji), do pisma załączył treść pozwu. Rada nadzorcza zapoznała się z pozwem, w tym z podstawowymi danymi adresowymi członka, który zaskarżył uchwałę. Rada nadzorcza wystosowała pismo do członka spółdzielni z zaproszeniem na posiedzenie rady. Członek spółdzielni uznał, że rada nieuprawnienie przetwarzała jego dane osobowe. Czy rada mogła przetwarzać dane osobowe wymienionego członka spółdzielni, a w szczególności użyć je do skierowania korespondencji?