Joanna Łukaszyk

Stosowanie monitoringu (w tym w szczególności monitoringu wizyjnego) stało się dla wielu podmiotów koniecznością podyktowaną potrzebą ochrony osób lub mienia. Ponieważ monitoring wizyjny wiąże się z przetwarzaniem danych osobowych (wizerunek osoby fizycznej), pracodawca – administrator jest zobowiązany do wypełnienia licznych obowiązków wynikających z przepisów o ochronie danych osobowych. Czy do tych obowiązków należy również przeprowadzenie oceny skutków dla ochrony danych (DPIA)?

Pracodawca jest uprawniony do przetwarzania dość szerokiego zakresu danych osobowych pracowników (i nieco węższego zakresu danych osobowych kandydatów). Oczywiste jest, że organizacja pracy zespołu wymaga współpracy między pracownikami i rozwiązywania bieżących problemów oraz komunikacji z i między pracownikami. Czy w tym celu pracodawca może ujawniać dane osobowe innych pracowników? Czy może podać dane osobowe pracownika nieobecnego w pracy, np. z powodu choroby?

Niezależnie od obowiązku zgłaszania naruszeń w rozumieniu RODO, część pracodawców jest także zobowiązana do właściwego postępowania z incydentami w rozumieniu dyrektywy NIS 2 (dyrektywa ws. cyberbezpieczeństwa). Których pracodawców dotyczy tego rodzaju obowiązek i jak powinno wyglądać informowanie o takim zdarzeniu?

Pytanie: Czy pracodawca może wykorzystywać profil zaufany pracownika do potwierdzania tożsamości podczas obsługi systemu e-doręczeń? Mamy od kwietnia obowiązek wdrożyć usługę e-doręczenia. Osoba, która ma to obsługiwać nie zgadza się na korzystanie z jej profilu zaufanego w celu potwierdzenia swoich danych osobowych poprzez m-obywatel lub bank. Czy może odmówić powyższych czynności pracodawcy, jeżeli nie chce użyć swojego profilu zaufanego? Ma w zakresie obowiązków obsługę e-doręczeń. Jakie są granice prawne takiego żądania ze strony pracodawcy i co mówią na ten temat przepisy?

Pracodawca pozyskuje dane osobowe pracownika, przede wszystkim w oparciu o przepisy prawa pracy i w celu w nich określonym. Kto jest (lub może być) źródłem danych osobowych pracownika, pozyskiwanych przez pracodawcę? Czy pracodawca jest uprawniony do pozyskania danych o pracowniku z innych źródeł niż sam pracownik?

Podczas zatrudnienia pracodawca udostępnia pracownikowi narzędzia do wykonywania pracy, w tym np. indywidualne konto poczty elektronicznej – służbowy adres e-mail. Czy po zakończeniu stosunku pracy pracodawca może w jakikolwiek sposób z niej korzystać? Czy też prawidłowe przetwarzanie danych osobowych po zakończeniu stosunku pracy wymaga automatycznego zaprzestania przetwarzania?

Ustawa o ochronie sygnalistów, stosowana przede wszystkim w zakresie zgłoszeń wewnętrznych, zaadresowała część postanowień do organów przyjmujących tzw. zgłoszenia zewnętrzne. Obowiązki w zakresie funkcjonowania procedury zgłoszeń zewnętrznych funkcjonują od 25 grudnia 2024 r. Czy każdy pracodawca (np. taki, który przyjął procedurę zgłoszeń wewnętrznych) musi przyjąć procedury zgłoszeń zewnętrznych i je procedować?

Prowadzenie korespondencji przy użyciu usługi e-doręczeń staje się powoli rzeczywistością pracodawców mających status podmiotów publicznych. Jak traktować te działania w procesach przetwarzania danych osobowych?

Pytanie: Czy w umowie o dzieło, gdzie stroną jest zespół składający się z 3 osób, można wpisać adres zamieszkania każdej z tych osób? Czy jednak RODO tego zabrania? Każda z tych osób otrzyma taką samą, jednakową umowę.

Zgłaszanie naruszeń ochrony danych osobowych wymaga na pewno aktywnej współpracy administratora i osób przetwarzających pod jego nadzorem dane osobowe w organizacji (personel). W proces oceny naruszenia zaangażowany jest także inspektor ochrony danych. Jak daleko sięga wsparcie IOD? Czy powinien zgłaszać naruszenia ochrony danych w imieniu administratora, dokumentować je i podejmować działania zaradcze?