1 miesiąc temu
Urząd Ochrony Danych Osobowych przyjął plan kontroli sektorowych na bieżący rok. Kontrolami mogą być objęci:
- wszyscy administratorzy danych – w zakresie dokumentowania naruszeń ochrony danych osobowych;
- podmioty, które przetwarzają dane dzieci – w zakresie przetwarzania wizerunku dzieci, gdy wymagana jest zgoda wyrażona przez rodziców lub opiekunów prawnych;
- podmioty, które przetwarzają dane o stanie zdrowia;
- organy, które przetwarzają dane osobowe w Wielkoskalowych Systemach Unii Europejskiej.
Co to oznacza i jak nie popełnić błędu przetwarzając dane w tych obszarach?
Obowiązek dokumentowania naruszeń ochrony danych
W tym zakresie kontrola może objąć każdego administratora danych osobowych. UODO szczególną uwagę poświęci weryfikacji przestrzegania obowiązków związanych z naruszeniami ochrony danych osobowych. W ramach kontroli sprawdzane może być m.in. prowadzenie wewnętrznego rejestru naruszeń oraz zawartych w nim informacji, takich jak poziom naruszenia praw i wolności osób, których dane dotyczą.
Przypomnijmy – każdy administrator danych ma obowiązek dokumentowania okoliczności zaistniałego naruszenia ochrony danych osobowych, jego skutków oraz podjętych działań zaradczych. Zakres tych informacji powinien umożliwić urzędowi ocenę schematy działań administratora, w tym ewentualnie uzasadniać odstąpienie od zawiadomienia urzędu o naruszeniu lub odstąpienie od zawiadomienia podmiotów danych objętych naruszeniem.
Uwaga! Brak rejestru naruszeń ochrony danych lub pusty rejestr może zwiększyć zainteresowanie urzędu. W przypadku większych podmiotów, może to budzić wątpliwość, jakoby administrator bagatelizował zaistniałe zdarzenia lub nieprawidłowo kwalifikował je jako mało ryzykowne – i w konsekwencji nie realizował obowiązków związanych z wystąpieniem naruszenia ochrony danych.
Przetwarzanie danych dzieci – jakie obszary mogą podlegać kontroli?
Większe szanse na objęcie kontrolą będą miały podmioty przetwarzające dane osobowe dzieci w postaci ich wizerunku, w sytuacjach wymagających wyrażenia na to zgody rodzica lub opiekuna prawnego. Dotyczyć to będzie m.in. podmiotów organizujących konkursy czy inne wydarzenia dla dzieci. Jak zadbać o RODO-compliance w tym obszarze?
UODO może weryfikować:
- Dokumentację wewnętrzną, w tym m.in. analizy ryzyka (oraz DPIA, jeżeli będzie wymagane).
- Informacje i komunikaty zewnętrzne, w tym klauzule informacyjne czy regulaminy.
- Sposób pozyskiwania zgody rodziców lub opiekunów prawnych (uwaga na zapewnienie rozliczalności, czyli możliwości wykazania posiadania zgody pozyskanej zgodnie z obowiązującymi przepisami!).
- Sposób wykorzystania wizerunku dzieci (np. publikacja w mediach społecznościowych).
- Retencję (usunięcie danych po uzasadnionym okresie ich przechowywania).
Niewykluczone, iż wstępną kontrolą zostaną objęte informacje wyświetlane na stronach internetowych lub w mediach społecznościowych (np. ogłoszenie o organizacji konkursu). Negatywne pierwsze wrażenie może zachęcić kontrolujących do dalszych pytań.
Dane o stanie zdrowia – jakie podmioty mogą zostać objęte kontrolą?
Ten sektor kontroli dotyczyć będzie nie tylko placówek medycznych. Do podmiotów przetwarzających dane o stanie zdrowia można zaliczyć w zasadzie każdego pracodawcę – otrzymuje on m.in. informacje o wynikach badań medycyny pracy, L4 czy niepełnosprawności.
Przegląd danych o niepełnosprawności
W zeszłym roku upłynął termin na przeprowadzenie pierwszego obowiązkowego przeglądu przydatności danych o niepełnosprawności przetwarzanych dla realizacji celów ustawy o rehabilitacji zawodowej i społecznej oraz zatrudnianiu osób niepełnosprawnych. To dobry moment dla UODO na sprawdzenie, czy pracodawcy przeprowadzili i prawidłowo udokumentowali przegląd (np. w formie protokołu). Więcej informacji o tym obowiązku można znaleźć na naszym blogu.
Kontrole trzeźwości
Warto również zwrócić uwagę na kontrole trzeźwości. Wiele podmiotów zdecydowało się na jej wprowadzenie po nowelizacji kodeksu pracy w 2023 roku. Bardzo ważne jest zabezpieczenie tego procesu z perspektywy ochrony danych osobowych, w tym opracowanie niezbędnych dokumentów, takich jak klauzule informacyjne czy przeprowadzenie analiz. jeżeli pomimo wprowadzenia kontroli trzeźwości takie działania nie były dotychczas zrealizowane – warto zabezpieczyć ten proces niezwłocznie.
RODO-compliance na bieżąco
Wyznaczony plan kontroli sektorowych określa wyłącznie obszary pozostające w szczególnym zainteresowaniu UODO. Nie można jednak zapominać, iż urząd może niezależnie podejmować kontrole w innych obszarach – z własnej inicjatywy lub np. po otrzymaniu skargi podmiotu danych.
Początek roku to dobry czas na przeanalizowanie RODO-compliance w organizacji. W razie potrzeby wsparcia w tym obszarze – zapraszamy do kontaktu.
