Wprowadzenie konkretnych środków bezpieczeństwa dla ochrony danych zawsze musi być poprzedzone przeprowadzeniem analizy ryzyka. Analiza ryzyka powinna dać możliwość sklasyfikowania kategorii zagrożonych wartości, wyboru poziomu bezpieczeństwa, klasy środków ochrony oraz klasy systemu alarmowego zgodnie z Polską Normą PN-93 E-08390/14 oraz normą europejską EN 50131-6:2008. Czy zatem potrzebne jest wdrożenie w placówce normy ISO 27701?

Tak zwana ogólna analiza ryzyka to obowiązek każdego administratora danych osobowych. Jest to wymóg oceny, czy przetwarzanie danych osobowych w konkretnej organizacji generuje ryzyko i jakiego rodzaju. Z kolei obowiązek przeprowadzenia oceny skutków dla ochrony danych (DPIA) powstaje tylko w sytuacjach określonych RODO. Istotne jest to, aby nie dochodziło do naruszeń danych osobowych. To na administratorze ciąży bowiem obowiązek zapewnienia bezpieczeństwa przetwarzania danych osobowych.

Jednym z podstawowych zadań inspektora ochrony danych jest monitorowanie przestrzegania przepisów o ochronie danych oraz polityk biura, w tym podział obowiązków, działania zwiększające świadomość, szkolenia personelu biura uczestniczącego w operacjach przetwarzania oraz powiązane z tym audyty. A zatem obowiązek przeprowadzania szkoleń personelu ADO został wprost przewidziany w przepisach.

W ramach realizacji swoich obowiązków inspektor ochrony danych może mieć dostęp do danych osobowych. Jak rozwiązać tę sytuację, gdy usługi inspektora ochrony danych świadczy podmiot zewnętrzny? Poznaj odpowiedź na to pytanie. Zobacz też, jak mogą wyglądać przykładowe postanowienia dotyczące powierzenia przetwarzania w umowie z zewnętrznym IOD.hj

Skoro umowa powierzenia przetwarzania danych osobowych jest niezbędna do realizacji umowy głównej, nie powinna zostać rozwiązana przed upływem okresu obowiązywania umowy głównej. Jeżeli jednak nie przez cały okres obowiązywania umowy głównej istnieje potrzeba przetwarzania danych osobowych, wówczas umowa powierzenia może być rozwiązana wcześniej. Mówiąc wprost: umowa powierzenia ma obowiązywać tak długo, jak długo istnieje potrzeba przetwarzania danych osobowych w związku z wykonywaniem umowy głównej.

Stworzenie prawidłowej umowy powierzenia przetwarzania danych osobowych nie jest proste. Skorzystanie ze wzoru znalezionego w Internecie i dostosowanie go do własnych potrzeb jest z pewnością jakimś praktycznym wyjściem, ale czyha tu na nas sporo pułapek. Sprawdź, jakich zapisów unikać w umowach powierzenia przetwarzania danych.

Administrator danych osobowych, procesor, audyt, podpowierzenie danych. To definicje i czynności, które szczegółowo powinny być określone w umowie powierzenia przetwarzania danych. Ma to na celu przede wszystkim prawidłowe określenie ról poszczególnych podmiotów. Szczególnie, jeśli są przekazywane kolejnej placówce czy osobie.  

Jeżeli przekazujemy innemu podmiotowi dane osobowe, a podmiot ten przetwarza je wyłącznie w celu przez nas wyznaczonym, mamy wówczas do czynienia z podmiotem przetwarzającym. Z kolei gdy podmiot ten samodzielnie określa cele przetwarzania tych danych, zyskuje on status odrębnego administratora danych, w związku z czym dochodzi do ich udostępnienia, a nie powierzenia przetwarzania. Rozróżnienie tych kwestii w praktyce bywa skomplikowane. Przedstawiamy kolejne przypadki, w których mogą wystąpić wątpliwości, czy dochodzi do udostępnienia, czy też powierzenia przetwarzania danych osobowych.

Pracownik ma prawo do zachowania tajemnicy wynagrodzenia. Natomiast związek zawodowy działający w placówce medycznej ma prawo   dostępu do określonych danych osobowych. Jednak nie jest to prawo nieograniczone. Sprawdź, jak należy postąpić, gdy związek żąda podania pewnych informacji o pracownikach. 

Administratorem danych osobowych pracowników podmiotu medycznego lub gabinetu jest placówka ochrony zdrowia. W przypadku gdy zleca ona badania swojego personelu przez dopuszczeniem do pracy, przekazuje dane jednostce wykonującej badania. A zatem czy właściwie jest udokumentować tych czynności poprzez zawarcie umowy powierzenia?