Na wstępie przypominamy, że w czasie kontroli ocenie pod kątem zgodności z przepisami o ochronie danych osobowych mogą zostać wyłącznie aspekty ujęte w granicach upoważnienia, które kontroler ma obowiązek przedstawić przed rozpoczęciem kontroli (!).

więcej na ten temat

Wprawdzie upoważnienie może dotyczyć całej działalności organizacji, ale bardziej prawdopodobnym jest, że będzie oscylowało wokół konkretnej jej części, powiązanej z przedmiotem skargi lub zgłoszenia naruszenia ochrony danych, które wpłynęły do Urzędu.

Wskazówka: Nie musisz odpowiadać na pytania kontrolerów nie związane z treścią upoważnienia lub wykraczające poza jego granice.

Przykładowe upoważnienie do kontroli może obejmować ustalenie:

Jak już wiesz z naszego poprzedniego artykułu poświęconego kontroli UODO praca kontrolera w terenie skupia się na zbieraniu materiału dowodowego w oparciu dwa podstawowe narzędzia: oględziny i wywiad osobowy.

Zgodnie z tym, co zostało wskazane wywiad osobowy może zostać przeprowadzony z dowolnym (czytaj każdym) członkiem załogi, a oględziny mogą polegać na wezwaniu do okazania określonego przedmiotu, którym może być segregator, pendrive, dysk twardy ale także system teleinformatyczny zawierający poufne dane.

Wskazówka:  Masz prawo odmówić przekazania informacji w ramach prowadzonych czynności, gdyby naruszyło to tajemnicę zawodową.

Ograniczenie kompetencji kontrolnych Prezesa UODO w stosunku do osób, które obowiązuje tajemnica zawodowa dotyczy wyłącznie tych danych osobowych, które zostały zgromadzone w wyniku lub w ramach działania objętego obowiązkiem zachowania tajemnicy (art. 90 ust. 1 zd. drugie RODO). Oznacza to, że np. adwokat lub radca prawny, będący administratorem, będzie podlegał czynnościom kontrolnym Prezesa UODO wyłącznie w zakresie, w którym przetwarza dane osobowe nie objęte tajemnicą zawodową (np. dane pracowników, aplikantów, itp.) lub też objętych tajemnicą zawodową, ale bez naruszania tego obowiązku, tj. kontrola np. procedur funkcjonujących w kancelarii w zakresie ochrony danych osobowych, zasad zabezpieczania danych osobowych objętych tajemnicą itp. W pozostałych przypadkach może on odmówić kontrolującemu okazania przedmiotu lub udzielenia informacji powołując się na obowiązek dochowania tajemnicy zawodowej.

Wskazówka: Zadbaj o to, aby wszelkie ustalenia udokumentować przez załączenie do protokołu oryginałów lub poświadczonych kopii żądanych dokumentów, o które kontrolujący mogą zwracać się np. w trakcie oględzin.

Brak przedstawienia dowodów na zgodność z RODO może zostać uznany za naruszenie obowiązku zapewnienia rozliczalności, o którym mowa w art. 5 ust. 2 i art. 24 ust. 1 RODO, czyli obowiązku należytego udokumentowania sposobu spełniania obowiązków w zakresie ochrony danych osobowych.

Wskazówka: Przygotuj kserokopie dokumentów RODO z wyprzedzeniem.

Aby uniknąć przygotowywania dokumentów tuż przed kontrolą, najlepszym rozwiązaniem jest opracowanie i wdrożenie polityk, procedur i rejestrów, obejmujących te aspekty RODO, które odnoszą się do typowego upoważnienia do kontroli (zob. lista powyżej). Posiadanie takich procedur, a także dowodu, że pracownicy się z nimi zapoznali (a najlepiej – że zostali z nich przeszkoleni), będzie wskazywać na zgodność z RODO.

link do naszej oferty

W trakcie kontroli będą sporządzane tzw. protokoły cząstkowe – z wyjaśnień poszczególnych osób, oględzin itp.

Następnie na ich podstawie zostanie przygotowany protokół końcowy. Może się zdarzyć, że kontrolujący, którzy otrzymują wiele informacji i wyjaśnień, zapomną zawrzeć w protokole korzystnych z punktu widzenia Twojego ustaleń lub błędnie zinterpretować wyjaśnienia – dlatego Wskazówka: uważnie i dokładnie wczytaj się w treść dokumentu przed jego podpisaniem! Nawet jeśli protokół końcowy stanowi powtórzenie ustaleń z protokołów cząstkowych, zapoznaj się z nim na spokojnie aby upewnić się, że żaden z istotnych  faktów nie został pominięty.

Wskazówka: Miej świadomość, że w razie zawarcia w protokole ustaleń, z którymi się nie zgadzasz, możesz skorzystać z art. 88 ust. 4 ustawy o ochronie danych osobowych, który pozwala kontrolowanemu na wniesienie pisemnych zastrzeżeń co do treści protokołu, w terminie 7 dni od dnia przedstawienia go do podpisu.

Artykuł Kulisy kontroli RODO – praktyczne wskazówki pochodzi z serwisu .

1. Czy kontrole są zapowiadane?

Co do zasady, tak. Hmm, wiemy, że odpowiedzi w stylu „to zależy”, „w zasadzie tak, ale..” nie należą do Waszych ulubionych i od razu przynoszą na myśl prawniczy bełkot, ale niestety i w tym przypadku tak jest, z uwagi na brak artykułu w ustawie o ochronie danych osobowych, który by przesądzał o tym wprost.

Wprawdzie zgodnie z przepisami regulującymi prawa przedsiębiorców, wszelkie kontrole winny zostać zapowiedziane z odpowiednim wyprzedzeniem czasu, co jednak nie wyklucza tzw. kontroli ad hoc.

Dlatego też należy przyjąć, że organ nadzorczy co do zasady przyjmuje praktykę zawiadamiania o kontroli. Zawiadomienie najczęściej ma formę pisemną, a jak pokazuje praktyka dodatkowo poprzedzone jest połączeniem telefonicznym informującym o planowanej kontroli.
Także spokojnie. Będzie czas by uszyć ten garnitur na miarę.

2. Kto przeprowadza kontrolę?

Kontrolę przeprowadzają pracownicy Urzędu Ochrony Danych Osobowych w składzie 2-osobowym.

3. W jaki sposób typowane są firmy do kontroli?

Z naszych ustaleń wynika, że firmy najczęściej wyłaniane są spośród napływających skarg lub zgłoszenia naruszenia ochrony danych, które wpłynęły do UODO. I nie ma co się łudzić, że będzie inaczej. To przecież takie polskie.

Jeżeli chodzi o sektory, to Prezes UODO publikuje roczny plan kontroli sektorowych. Aktualny – na 2019 rok – można znaleźć pod tym adresem. W sektorze prywatnym, w 2019 roku, kontrole RODO skupią się na następujących branżach:

I. Telemarketing

II. Brokerzy danych w zakresie podstaw prawnych przetwarzania danych osobowych

III. Profilowanie w sektorze bankowym i ubezpieczeniowym.

4. Jakie dokumenty winien okazać kontrolujący?

Pracownik Urzędu, wyznaczony do kontroli w terenie jest obowiązany okazać imienne upoważnienie oraz legitymację służbową.
Imienne upoważnienie winno zawierać podstawowe informacje na temat Twojej kontroli takie jak podstawę prawną, oznaczenie organu, oznaczenie kontrolowanego, przewidywany czas trwania kontroli itp.
Szczególną uwagę zwróć na punkt dotyczący zakresu przedmiotowego kontroli – tam będzie napisane, jaki obszar podlega kontroli. Kontrolującemu nie wolno wykraczać poza wskazany zakres.

5. Czy jako właściciel firmy muszę być obecny w czasie kontroli?

Nie. Do udziału w czynnościach kontrolowany może upoważnić inną osobę do reprezentowania go podczas kontroli.
Niemniej wskazane jest aby była to osoba pełniąca w przedsiębiorstwie funkcję Inspektora Danych Osobowych.

6. Co wolno kontrolującemu w czasie kontroli?

Kontrolujący ma prawo:

wstępu w godz. od 6:00 do 22:00 na grunt oraz do budynków, lokali i innych pomieszczeń;

może on przeprowadzać oględziny miejsc, przedmiotów, urządzeń, nośników, systemów informatycznych;

zlecać sporządzanie ekspertyz i opinii; przesłuchać w charakterze świadka pracownika kontrolowanego;

żądać złożenia pisemnych lub ustnych wyjaśnień;

a nawet zwrócić się o pomoc w wykonaniu czynności do właściwego miejscowo komendanta Policji.

7. Jakie obowiązki ma kontrolowany?

Do Twoich obowiązków jako gospodarza należy zapewnienie warunków i środków niezbędnych do sprawnego przeprowadzenia kontroli, jak również sporządzenia kopii lub wydruków dokumentów.

8. Jakie dokumenty dostane po zakończeniu kontroli?

Po przeprowadzeniu kontroli kontrolujący sporządza protokół kontroli.

Protokół kontroli powinien zawierać:

nazwę lub imię i nazwisko oraz adres kontrolowanego;
imię i nazwisko osoby reprezentującej kontrolowanego oraz nazwę organu reprezentującego kontrolowanego;
dane kontrolującego, który jest pracownikiem Urzędu, tj.: imię i nazwisko, stanowisko służbowe, numer legitymacji służbowej, numer imiennego upoważnienia kontrolującego;
datę rozpoczęcia i zakończenia czynności kontrolnych;
określenie zakresu przedmiotowego kontroli;
opis stanu faktycznego ustalonego w toku kontroli oraz inne informacje mające istotne znaczenie dla oceny zgodności przetwarzania danych z przepisami o ochronie danych osobowych;
wyszczególnienie załączników;
omówienie poprawek, skreśleń i uzupełnień, dokonanych w protokole kontroli;
pouczenie kontrolowanego o prawie zgłaszania zastrzeżeń do protokołu kontroli oraz o prawie odmowy podpisania protokołu kontroli;
datę i miejsce podpisania protokołu kontroli przez kontrolującego i kontrolowanego;

9. Czy można odmówić podpisania protokołu?

Tak, wówczas pracownik Urzędu uczyni o tym wzmiankę w protokole. Podpisany protokół można doręczyć do Urzędu w terminie 7 dni od jego sporządzenia, wraz z pisemnymi zastrzeżeniami co do jego treści.

10. Co w przypadku, kiedy kontrolujący stwierdzi jakieś naruszenia?

No cóż.. jeżeli na podstawie informacji zgromadzonych w postępowaniu kontrolnym Prezes Urzędu uzna, że mogło dojść do naruszenia przepisów o ochronie danych osobowych, obowiązany jest do niezwłocznego wszczęcia postępowania administracyjnego w sprawie naruszenia przepisów o ochronie danych osobowych.

W naszej ocenie w takim przypadku należy podjąć współpracę z organem, wykazując koncyliacyjną postawę. Tylko bowiem dostosowanie swojego przedsiębiorstwa do RODO może uchronić od ewentualnych konsekwencji.

Artykuł Jak wygląda kontrola RODO ? Odpowiadamy na pytania pochodzi z serwisu .