Wiedza Wiedza branżowa 40 pytań ok. 20 min 8 obszarów

RODO w praktyce – czy znasz obowiązki administratora danych?

Zgoda klienta, żądanie usunięcia danych, umowa z dostawcą systemu, incydent bezpieczeństwa — czy potrafisz podjąć właściwą decyzję? Sprawdź wiedzę o RODO na 40 praktycznych pytaniach z odpowiedziami i objaśnieniami.

Kategoria: Wiedza branżowa Typ testu: Wiedza

Rozpocznij test Jak działa test?

Po teście otrzymasz

✓

Wynik ogólny

Podsumowanie w skali 0–100.

✓

Profil obszarów

Wyniki dla poszczególnych kompetencji.

✓

Mocne strony i obszary rozwoju

Wskazanie elementów, na których warto się skupić.

RODO w codziennej pracy nie sprowadza się do polityki prywatności i formularza zgody. Administrator danych powinien wiedzieć, dlaczego przetwarza określone informacje, jaką ma do tego podstawę prawną, jak długo może je przechowywać i komu wolno je przekazać. Musi także zadbać o odpowiednie zabezpieczenia, reagować na żądania osób, których dane dotyczą, oraz wykazać, że przestrzega zasad ochrony danych. Właśnie te praktyczne decyzje sprawdza test „RODO w praktyce – czy znasz obowiązki administratora danych?”.

W wielu organizacjach najwięcej wątpliwości nie budzi sam przepis, lecz jego zastosowanie. Czy do wykonania umowy trzeba uzyskać zgodę? Czy klient może zażądać usunięcia każdej informacji o sobie? Kto odpowiada za dane przechowywane u dostawcy systemu informatycznego? Co zrobić, gdy pracownik wyśle wiadomość z danymi osobowymi do niewłaściwej osoby? Test prowadzi przez podobne sytuacje, pokazując różnicę między popularnymi uproszczeniami a rzeczywistymi wymaganiami rozporządzenia.

Przygotowaliśmy 40 pytań opartych na najważniejszych obowiązkach wynikających z rozporządzenia (UE) 2016/679. Każda odpowiedź zawiera wyjaśnienie, dzięki czemu test jest nie tylko sprawdzianem wiedzy, ale również sposobem na jej uporządkowanie. Wynik pozwala zobaczyć, które obszary znasz dobrze, a gdzie warto wrócić do przepisów lub uzupełnić kompetencje.

Co sprawdza test?

Test sprawdza osiem obszarów istotnych dla administratora danych. Pierwszy dotyczy ustalania ról administratora, współadministratora i podmiotu przetwarzającego oraz odpowiedzialności za podejmowane decyzje. Drugi obejmuje zasady przetwarzania z art. 5 RODO, podstawy prawne z art. 6 i szczególne warunki odnoszące się do danych wrażliwych. Dzięki temu sprawdzisz między innymi, kiedy zgoda nie jest potrzebna i dlaczego nie należy zbierać więcej danych, niż wymaga określony cel.

Kolejne obszary obejmują obowiązek informacyjny i prawa osób, w tym prawo dostępu, sprostowania, usunięcia danych, sprzeciwu oraz terminy obsługi wniosków. Pytania dotyczą również powierzenia przetwarzania zewnętrznym usługodawcom, doboru odpowiednich zabezpieczeń, reagowania na naruszenia i warunków zgłaszania ich organowi nadzorczemu. Sprawdzisz znajomość dokumentowania czynności przetwarzania, zasady rozliczalności, oceny skutków dla ochrony danych (DPIA) i roli inspektora ochrony danych (IOD).

Ostatnia część dotyczy przekazywania danych do innych odbiorców i państw trzecich, podstaw takich transferów oraz wybranych uprawnień organu nadzorczego. Pytania wymagają rozpoznania prawidłowego działania w konkretnym scenariuszu, a nie pamięciowego odtwarzania numerów artykułów.

Dla kogo?

Test jest przeznaczony dla osób, które samodzielnie podejmują decyzje o przetwarzaniu danych lub uczestniczą w ich realizacji. Przyda się właścicielom firm, menedżerom, pracownikom administracji publicznej, działów HR i kadr, marketingu, sprzedaży, obsługi klienta oraz księgowości. Zagadnienia dotyczą też osób zarządzających stronami internetowymi, formularzami kontaktowymi, systemami CRM, bazami uczestników wydarzeń czy platformami szkoleniowymi.

Wiedzę mogą sprawdzić również koordynatorzy ochrony danych, osoby wspierające IOD, członkowie zespołów IT i bezpieczeństwa oraz pracownicy współpracujący z zewnętrznymi dostawcami usług. Nie trzeba być prawnikiem: pytania koncentrują się na obowiązkach, z którymi organizacje spotykają się w normalnej pracy. Osoby początkujące mogą potraktować wynik jako punkt wyjścia do nauki, a bardziej doświadczone — jako sposób wychwycenia typowych nieporozumień dotyczących RODO.

Jak działa test?

Test obejmuje 40 pytań podzielonych na osiem obszarów tematycznych — po pięć pytań w każdym. Znajdziesz w nim 24 pytania jednokrotnego wyboru, osiem wielokrotnego wyboru i osiem typu prawda/fałsz. W pytaniach wielokrotnego wyboru należy zaznaczyć wszystkie prawidłowe odpowiedzi. Rozwiązanie całości zajmuje orientacyjnie około 20 minut.

Po ukończeniu otrzymasz wynik ogólny oraz ocenę poszczególnych obszarów. Prawidłowym odpowiedziom towarzyszą objaśnienia, które pozwalają zrozumieć, dlaczego konkretne postępowanie jest zgodne z przepisami lub dlaczego popularne rozwiązanie może być niewłaściwe. Test ma charakter edukacyjny: nie ocenia rzeczywistych procedur Twojej organizacji i nie stanowi audytu zgodności z RODO.

Część testowa

Odpowiedz zgodnie z tym, jak działasz naprawdę

Nie szukaj odpowiedzi „idealnej”. Najbardziej użyteczny wynik otrzymasz wtedy, gdy wybierzesz odpowiedzi najlepiej opisujące Twoje rzeczywiste zachowania i decyzje.

pytań

Twój postęp

Uzupełnij wszystkie wymagane pytania

0 / 40

Instrukcja

Odpowiadaj na podstawie RODO. W pytaniach wielokrotnego wyboru zaznacz wszystkie prawidłowe odpowiedzi. Pytania odnoszą się do zasad ogólnych, jeśli nie wskazano inaczej. Po ukończeniu przeanalizuj objaśnienia i wyniki obszarowe. Wynik ma charakter edukacyjny i nie zastępuje oceny konkretnego procesu ani porady prawnej; przed zastosowaniem wiedzy sprawdź aktualne przepisy i wytyczne organów nadzorczych.

Jedna odpowiedź wymagane

Firma ustala, po co i jak wykorzystuje dane klientów, a dostawca systemu CRM obsługuje je na jej polecenie. Kto co do zasady jest administratorem?

Firma określająca cele i sposoby przetwarzania. Każdy pracownik korzystający z CRM. Inspektor ochrony danych. Dostawca CRM tylko dlatego, że posiada serwery.

Jedna odpowiedź wymagane

Dwie firmy rzeczywiście wspólnie określają cele i zasadnicze sposoby tej samej operacji przetwarzania. Jak należy co do zasady zakwalifikować ich rolę?

Jako dwóch procesorów bez administratora. Jako współadministratorów tej operacji. Zawsze jako administratora i procesora, niezależnie od uzgodnień. Jako dwa podmioty niemające obowiązków wobec osób.

Jedna odpowiedź wymagane

Administrator korzysta z procesora w celu obsługi danych klientów. Które działanie administratora jest zgodne z RODO?

Przyjęcie, że podpisanie dowolnej umowy eliminuje ryzyko naruszeń. Uznanie, że wszystkie obowiązki administratora przechodzą na procesora. Wybór procesora zapewniającego wystarczające gwarancje oraz nadzorowanie zgodności własnego przetwarzania. Rezygnacja z weryfikacji zabezpieczeń, bo procesor używa chmury.

Kilka odpowiedzi wymagane

Które stwierdzenia dotyczące ról i obowiązków w RODO są prawidłowe?

Możesz zaznaczyć więcej niż jedną odpowiedź.

✓ Administrator ustala cele i sposoby przetwarzania. ✓ Procesor działa w imieniu administratora w zakresie powierzonych operacji. ✓ Dwa podmioty mogą być współadministratorami jednej operacji. ✓ Podpisanie umowy z procesorem zawsze zwalnia administratora z odpowiedzialności.

Prawda / fałsz wymagane

Przekazanie przetwarzania danych procesorowi zawsze zwalnia administratora z obowiązku wykazania zgodności z RODO.

Prawda Fałsz

Jedna odpowiedź wymagane

Sklep przetwarza adres klienta, aby wysłać zamówiony produkt. Jaka podstawa prawna może być właściwa dla niezbędnego przetwarzania?

Zawsze interes publiczny. Wyłącznie ochrona żywotnych interesów. Wyłącznie osobna zgoda marketingowa. Niezbędność do wykonania umowy.

Jedna odpowiedź wymagane

Formularz rejestracji na szkolenie żąda numeru PESEL, choć do realizacji usługi wystarczy imię i adres e-mail. Jaka zasada jest zagrożona?

Minimalizacja danych. Integralność i poufność w znaczeniu wyłącznym. Prawo do przenoszenia danych. Obowiązek wyznaczenia IOD.

Jedna odpowiedź wymagane

Administrator opiera wysyłkę dobrowolnego newslettera na zgodzie. O czym musi pamiętać?

Cofnięcie zgody unieważnia z mocą wsteczną wcześniejsze legalne przetwarzanie. Wycofanie zgody powinno być równie łatwe jak jej wyrażenie. Wycofanie zgody wymaga zawsze opłaty. Zgody raz udzielonej nie można cofnąć.

Kilka odpowiedzi wymagane

Które stwierdzenia dotyczące zasad i podstaw przetwarzania są poprawne?

Możesz zaznaczyć więcej niż jedną odpowiedź.

✓ Zgoda jest jedną z możliwych podstaw prawnych, ale nie jedyną. ✓ Minimalizacja wymaga ograniczenia danych do niezbędnych. ✓ Dane o zdrowiu podlegają szczególnej ochronie i wymogom art. 9. ✓ Dane można przetwarzać na dowolny cel, jeśli wcześniej zostały legalnie zebrane.

Prawda / fałsz wymagane

Przetwarzanie danych osobowych na podstawie art. 6 RODO zawsze wymaga uprzedniej zgody osoby.

Prawda Fałsz

Jedna odpowiedź wymagane

Osoba żąda dostępu do swoich danych. W jakim terminie administrator co do zasady informuje ją o działaniach podjętych w związku z żądaniem?

Dopiero podczas corocznego audytu. Zawsze do 90 dni bez wyjaśnienia i wcześniejszej informacji. Bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania żądania, z możliwością przewidzianego prawem przedłużenia. Zawsze w ciągu dokładnie 72 godzin.

Jedna odpowiedź wymagane

Klient żąda usunięcia danych z faktury, którą firma musi nadal przechowywać na podstawie obowiązku prawnego. Co jest właściwą reakcją?

Usunąć całą fakturę bez uwzględnienia obowiązku jej przechowywania. Zignorować żądanie, bo dotyczy faktury. Zawsze zażądać opłaty za rozpatrzenie żądania. Ocenić zakres żądania, nie usuwać danych wymaganych prawem i wyjaśnić osobie podstawę odmowy w tym zakresie.

Jedna odpowiedź wymagane

Administrator zbiera dane bezpośrednio od osoby w formularzu rejestracyjnym. Kiedy co do zasady należy przekazać informacje wymagane przez art. 13 RODO?

Podczas pozyskiwania danych, z uwzględnieniem ustawowych wyjątków, np. gdy osoba ma już te informacje. Wyłącznie po stwierdzeniu incydentu bezpieczeństwa. Dopiero po pierwszym wniosku osoby. Zawsze dopiero po zakończeniu usługi.

Kilka odpowiedzi wymagane

Które działania mogą być wymagane przy obsłudze żądania osoby, której dane dotyczą?

Możesz zaznaczyć więcej niż jedną odpowiedź.

✓ Zweryfikowanie tożsamości, jeśli istnieją uzasadnione wątpliwości. ✓ Odpowiedź co do zasady w ciągu miesiąca. ✓ Wskazanie podstawy odmowy, jeśli administrator zgodnie z RODO nie uwzględnia żądania. ✓ Automatyczne usunięcie każdej dokumentacji bez sprawdzenia obowiązków prawnych.

Prawda / fałsz wymagane

Jeżeli osoba wniesie sprzeciw wobec przetwarzania jej danych na potrzeby marketingu bezpośredniego, administrator może nadal wykorzystywać je w tym celu tylko dlatego, że ma prawnie uzasadniony interes.

Prawda Fałsz

Jedna odpowiedź wymagane

Administrator wybiera usługę chmurową, której operator przetwarza dane wyłącznie na polecenie administratora. Co zasadniczo powinien zapewnić?

Wyłącznie fakturę za usługę. Umowę lub inny akt prawny powierzenia spełniający wymogi art. 28. Zawsze pozwolenie UODO na zawarcie każdej umowy. Wyłącznie ustną zgodę pracownika administratora.

Jedna odpowiedź wymagane

Procesor chce powierzyć dalszemu podmiotowi część operacji na danych. Co jest co do zasady wymagane?

Wyłącznie zgoda dowolnego pracownika procesora. Brak jakichkolwiek formalności, bo chodzi o podwykonawcę. Uprzednia szczegółowa albo ogólna pisemna zgoda administratora, z zachowaniem zasad art. 28. Zawsze osobna zgoda każdej osoby, której dane dotyczą.

Jedna odpowiedź wymagane

Biuro rachunkowe otrzymuje dane od klienta biznesowego. W określonej operacji samodzielnie ustala cel i zasadnicze sposoby przetwarzania w ramach własnych obowiązków prawnych. Jak należy podejść do określenia jego roli?

Uznać, że dane księgowe nigdy nie są danymi osobowymi. Zawsze uznać biuro za procesora jedynie z powodu umowy usługowej. Zawsze uznać biuro za współadministratora wszystkich procesów klienta. Ocenić tę konkretną operację; biuro może działać jako odrębny administrator, a nie automatycznie jako procesor.

Kilka odpowiedzi wymagane

Które postanowienia lub reguły dotyczą relacji z procesorem?

Możesz zaznaczyć więcej niż jedną odpowiedź.

✓ Przetwarzanie na udokumentowane polecenie administratora, chyba że prawo stanowi inaczej. ✓ Wymaganie zapewnienia poufności przez osoby upoważnione. ✓ Warunki korzystania z podprocesorów. ✓ Pełna dowolność wykorzystania powierzonych danych do własnych nowych celów procesora.

Prawda / fałsz wymagane

Każda wymiana danych między dwiema firmami jest powierzeniem przetwarzania.

Prawda Fałsz

Jedna odpowiedź wymagane

Administrator stwierdził naruszenie ochrony danych, w przypadku którego nie jest mało prawdopodobne wystąpienie ryzyka dla praw lub wolności osób. Kiedy co do zasady powinien zgłosić je do organu?

Bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia. Zawsze w ciągu 72 godzin od daty pozyskania danych. Dopiero na żądanie osoby, której dane dotyczą. Dopiero po zakończeniu pełnego postępowania wyjaśniającego, bez względu na czas.

Jedna odpowiedź wymagane

Naruszenie danych prawdopodobnie powoduje wysokie ryzyko naruszenia praw lub wolności osób. Jaki obowiązek ma co do zasady administrator?

Zawsze zawiadomić jedynie dostawcę usług internetowych. Zawiadomić bez zbędnej zwłoki osoby, których dane dotyczą, chyba że występuje odpowiedni wyjątek przewidziany w art. 34. Nigdy nie informować osób, aby uniknąć niepokoju. Zawsze odczekać do zakończenia postępowania sądowego.

Jedna odpowiedź wymagane

Administrator ocenia bezpieczeństwo systemu zawierającego dane klientów. Jak powinien dobrać zabezpieczenia?

Zrezygnować z zabezpieczeń tylko dlatego, że dane są w chmurze. Zawsze zastosować identyczne zabezpieczenia bez względu na ryzyko. Uwzględnić ryzyko, charakter, zakres, kontekst i cele przetwarzania oraz stan wiedzy technicznej i koszt wdrożenia. Uznać, że sama polityka prywatności w pełni zabezpiecza system.

Kilka odpowiedzi wymagane

Które działania są prawidłowe po stwierdzeniu naruszenia ochrony danych?

Możesz zaznaczyć więcej niż jedną odpowiedź.

✓ Udokumentowanie naruszenia, także gdy nie wymaga zgłoszenia. ✓ Ocena ryzyka dla praw lub wolności osób. ✓ Zgłoszenie do organu, jeśli spełnione są przesłanki art. 33. ✓ Przyjęcie, że każde naruszenie trzeba bez wyjątku zgłosić organowi i wszystkim osobom.

Prawda / fałsz wymagane

Każde stwierdzone naruszenie ochrony danych osobowych należy udokumentować, nawet jeżeli nie podlega zgłoszeniu do organu.

Prawda Fałsz

Jedna odpowiedź wymagane

Mała firma regularnie prowadzi bazę klientów i listę pracowników. Czy liczba mniej niż 250 zatrudnionych automatycznie wyłącza obowiązek rejestru czynności przetwarzania?

Tak, jeśli dane są w zewnętrznej chmurze. Tak, jeśli na stronie opublikowano politykę prywatności. Tak, wszystkie podmioty poniżej 250 osób są zwolnione bez wyjątków. Nie; zwolnienie jest ograniczone, m.in. nie dotyczy przetwarzania niemającego sporadycznego charakteru.

Jedna odpowiedź wymagane

W formularzu tworzenia konta pole marketingowe jest zaznaczone domyślnie, choć marketing nie jest niezbędny do usługi. Jaki wymóg warto ocenić w pierwszej kolejności?

Ochronę danych w fazie projektowania i domyślną ochronę danych oraz, jeśli oparto marketing na zgodzie, jej ważność. Wyłącznie kolor formularza. Wyłącznie liczbę kont w serwisie. Obowiązek drukowania wszystkich zgód.

Jedna odpowiedź wymagane

Administrator przechowuje dane przez nieograniczony czas „na wszelki wypadek”, bez ustalenia celu i zasad retencji. Która zasada jest przede wszystkim zagrożona?

Wyłącznie prawo do sprzeciwu. Ograniczenie przechowywania. Wyłącznie przenoszenie danych. Wyłącznie współadministracja.

Kilka odpowiedzi wymagane

Które elementy pomagają realizować zasadę rozliczalności?

Możesz zaznaczyć więcej niż jedną odpowiedź.

✓ Odpowiednie dokumentowanie decyzji o podstawach i celach przetwarzania. ✓ Prowadzenie rejestru czynności tam, gdzie jest wymagany. ✓ Stosowanie i weryfikacja adekwatnych środków bezpieczeństwa. ✓ Brak dokumentowania, jeśli dotychczas nie było skarg.

Prawda / fałsz wymagane

Jeżeli administrator przestał potrzebować danych do pierwotnego celu, może mimo to przechowywać je bezterminowo wyłącznie „na wszelki wypadek”.

Prawda Fałsz

Jedna odpowiedź wymagane

Administrator planuje nową operację przetwarzania, która ze względu na charakter, zakres, kontekst i cele prawdopodobnie powoduje wysokie ryzyko dla praw lub wolności osób. Jaki obowiązek może powstać przed rozpoczęciem przetwarzania?

Wyłącznie zakup nowego programu antywirusowego. Zastąpienie DPIA podpisaniem umowy z dostawcą hostingu. Przeprowadzenie oceny skutków dla ochrony danych (DPIA) zgodnie z art. 35. Zawsze uzyskanie zgody każdej osoby na samo sporządzenie DPIA.

Jedna odpowiedź wymagane

Kto co do zasady odpowiada za zgodność przetwarzania z RODO, jeśli administrator wyznaczył IOD?

Wyłącznie IOD. Każda osoba, której dane dotyczą. Wyłącznie dostawca oprogramowania. Administrator, który może korzystać z doradztwa i monitorowania przez IOD.

Jedna odpowiedź wymagane

Który przypadek jest przesłanką obowiązkowego wyznaczenia inspektora ochrony danych zgodnie z art. 37 RODO?

Główna działalność administratora lub procesora wymaga regularnego i systematycznego monitorowania osób na dużą skalę. Każde jednorazowe wysłanie wiadomości e-mail. Każde prowadzenie strony internetowej. Każde zatrudnienie pierwszego pracownika.

Kilka odpowiedzi wymagane

Które stwierdzenia o DPIA i IOD są prawidłowe?

Możesz zaznaczyć więcej niż jedną odpowiedź.

✓ DPIA bada wpływ planowanego przetwarzania na ochronę danych przy wysokim ryzyku. ✓ IOD m.in. informuje, doradza i monitoruje przestrzeganie przepisów. ✓ IOD musi mieć możliwość wykonywania zadań bez instrukcji dotyczących ich wykonywania. ✓ Wyznaczenie IOD automatycznie zwalnia administratora z odpowiedzialności.

Prawda / fałsz wymagane

IOD może otrzymywać od administratora instrukcje dotyczące tego, jakie wnioski ma sformułować przy wykonywaniu zadań kontrolnych.

Prawda Fałsz

Jedna odpowiedź wymagane

Komisja Europejska przyjęła obowiązującą decyzję o odpowiednim stopniu ochrony dla określonego państwa trzeciego, obejmującą planowany transfer. Co jest prawidłowe?

Decyzja zwalnia administratora z wszystkich zasad RODO. Transfer może opierać się na tej decyzji bez dodatkowego zezwolenia na transfer, z zachowaniem pozostałych obowiązków RODO. Konieczne jest zawsze oddzielne zezwolenie krajowego organu nadzorczego. Każdy transfer do państwa trzeciego jest wówczas zakazany.

Jedna odpowiedź wymagane

Nie ma decyzji o odpowiednim stopniu ochrony dla planowanego transferu danych do państwa trzeciego. Co może być podstawą transferu na podstawie art. 46?

Sam fakt, że dostawca ma dobrą reputację. Dowolny zapis w regulaminie bez oceny skuteczności ochrony. Standardowe klauzule ochrony danych oraz, gdy potrzeba, dodatkowe środki zapewniające skuteczność zabezpieczeń. Sama zapłata za zagraniczną usługę.

Jedna odpowiedź wymagane

UODO stwierdza naruszenie RODO. Które stwierdzenie o uprawnieniach organu jest trafne?

Nie może nakazać dostosowania przetwarzania do przepisów. Może wyłącznie publikować ostrzeżenia prasowe. Zawsze musi nałożyć maksymalną możliwą karę. Może stosować środki naprawcze przewidziane w art. 58, a w odpowiednich przypadkach również kary pieniężne.

Kilka odpowiedzi wymagane

Które stwierdzenia dotyczące transferu danych i nadzoru są prawidłowe?

Możesz zaznaczyć więcej niż jedną odpowiedź.

✓ Transfer do państwa trzeciego może być oparty na decyzji o odpowiednim stopniu ochrony. ✓ W odpowiednich przypadkach mogą być stosowane standardowe klauzule ochrony danych. ✓ Organ nadzorczy może nakazać dostosowanie operacji przetwarzania do RODO. ✓ Sam fakt podpisania dowolnej umowy zawsze legalizuje transfer poza EOG.

Prawda / fałsz wymagane

Osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, jeśli uważa, że przetwarzanie jej danych narusza RODO.

Prawda Fałsz

Ostatni krok

Gotowe? Zobacz swój wynik

Po wysłaniu odpowiedzi otrzymasz wynik ogólny oraz analizę poszczególnych obszarów. Wynik będzie dostępny od razu.

FAQ

Najczęściej zadawane pytania

Czy na każde przetwarzanie danych osobowych trzeba uzyskać zgodę? +

Nie. Zgoda jest jedną z podstaw prawnych wymienionych w art. 6 RODO. W zależności od celu i okoliczności właściwą podstawą może być na przykład wykonanie umowy, obowiązek prawny lub inne przesłanki określone w rozporządzeniu. Nie należy zbierać zgody „na wszelki wypadek”, jeżeli przetwarzanie odbywa się na innej właściwej podstawie.

Kto jest administratorem danych, gdy firma korzysta z zewnętrznego hostingu lub CRM? +

Administrator to podmiot ustalający cele i sposoby przetwarzania danych. Zewnętrzny dostawca może działać jako podmiot przetwarzający, ale zależy to od rzeczywistego zakresu jego działań. Samo przekazanie danych do systemu lub podpisanie umowy nie zwalnia administratora z jego własnych obowiązków.

Ile czasu ma administrator na odpowiedź na żądanie dostępu lub usunięcia danych? +

Administrator powinien zareagować bez zbędnej zwłoki, co do zasady najpóźniej w ciągu miesiąca od otrzymania żądania. W określonych przypadkach możliwe jest przedłużenie o kolejne dwa miesiące, przy czym należy poinformować osobę o przedłużeniu i jego przyczynach w pierwszym miesiącu.

Czy administrator musi usunąć wszystkie dane, gdy klient o to poprosi? +

Nie zawsze. Prawo do usunięcia danych zależy od przesłanek przewidzianych w art. 17 RODO i podlega wyjątkom. Jeżeli dalsze przechowywanie określonych informacji jest wymagane przepisami prawa, administrator może być zobowiązany do ich zachowania, powinien jednak prawidłowo wyjaśnić zakres realizacji wniosku.

Czy każde naruszenie ochrony danych trzeba zgłosić do UODO? +

Każde naruszenie należy udokumentować, ale nie każde wymaga zgłoszenia organowi nadzorczemu. Zgłoszenie jest co do zasady wymagane, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw lub wolności osób fizycznych. Ocena zależy od rodzaju danych, charakteru zdarzenia i możliwych skutków.

Czy termin 72 godzin dotyczy każdego incydentu związanego z danymi? +

Nie. Termin dotyczy zgłoszenia naruszenia ochrony danych organowi nadzorczemu, gdy powstaje taki obowiązek. Liczy się go od stwierdzenia naruszenia, a zgłoszenie powinno nastąpić bez zbędnej zwłoki i w miarę możliwości nie później niż w ciągu 72 godzin. Przekroczenie terminu wymaga uzasadnienia opóźnienia.

Czy firma zatrudniająca mniej niż 250 osób musi prowadzić rejestr czynności przetwarzania? +

Może być do tego zobowiązana. Wyjątek z art. 30 ust. 5 RODO nie działa automatycznie dla każdej małej firmy. Znaczenie mają między innymi charakter i częstotliwość przetwarzania, jego ryzyko oraz przetwarzanie szczególnych kategorii danych lub danych dotyczących wyroków skazujących i naruszeń prawa.

Czy każda firma musi wyznaczyć inspektora ochrony danych (IOD)? +

Nie. Art. 37 RODO wskazuje przypadki, w których wyznaczenie IOD jest obowiązkowe. Należy ocenić rodzaj działalności, charakter operacji przetwarzania i inne przesłanki ustawowe. IOD wspiera i monitoruje zgodność, ale nie przejmuje obowiązków administratora.

Czym jest ocena skutków dla ochrony danych (DPIA)? +

DPIA to ocena planowanych operacji przetwarzania pod kątem ryzyka dla praw i wolności osób. Zgodnie z art. 35 RODO jest wymagana, gdy dany rodzaj przetwarzania może powodować wysokie ryzyko, zwłaszcza przy określonych zastosowaniach nowych technologii i innych przesłankach ustawowych.

Czy test RODO z odpowiedziami zastępuje audyt zgodności firmy z RODO? +

Nie. Jest narzędziem edukacyjnym służącym sprawdzeniu znajomości przepisów i praktycznych zasad. Pełna ocena zgodności wymaga analizy rzeczywistych procesów, podstaw prawnych, dokumentacji, dostawców, zabezpieczeń i ryzyk występujących w konkretnej organizacji.