1. Na czym polega tzw. profilowanie?
a) Jest to niezautomatyzowane przetwarzanie danych osobowych, polegające
na ich wyszukiwaniu i wykorzystywaniu do przewidywania dalszych preferencji
osoby fizycznej.
b) Na tworzeniu profili administratorów według wskaźników: przetwarzający/
nieprzetwarzający dane osobowe, przestrzegający/nieprzestrzegający RODO
itd.
c) Jest to zautomatyzowane przetwarzanie danych osobowych, polegające na ich
wykorzystaniu do oceny niektórych czynników osobowych, w szczególności
do analizy lub prognozy preferencji osoby fizycznej.
d) Na tworzeniu profili podmiotów przetwarzających dane według wskaźników:
przetwarzający/nieprzetwarzający dane osobowe, przestrzegający/nieprzestrzegający
RODO itd.
2. RODO nie ma zastosowania do przetwarzania danych osobowych:
a) przez osobę fizyczną w związku z jej działalnością zawodową lub handlową.
b) stanowiących kategorię danych wrażliwych.
c) przez podmioty spoza UE, które przetwarzają dane osób fizycznych przebywających
na terenie UE.
d) przez właściwe organy do celów zapobiegania przestępczości, prowadzenia
postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych
lub wykonywania kar.
3. Jakie dane osobowe są zwolnione z ochrony gwarantowanej przez RODO?
a) Informacje anonimowe, dane osobowe osób zmarłych oraz dane wrażliwe.
b) Informacje anonimowe, dane osobowe osób zmarłych oraz informacje objęte
pseudonimizacją.
c) Informacje anonimowe, dane osobowe osób zmarłych, dane wrażliwe oraz
informacje objęte pseudonimizacją.
d) Informacje anonimowe, dane osobowe osób zmarłych oraz dane osobowe
zanonimizowane w nieodwracalny sposób.
4. Kiedy przetwarzanie danych osobowych przez firmę mającą siedzibę poza UE
objęte jest ochroną gwarantowaną przez RODO?
a) Jeżeli przetwarzane są dane osobowe osób przebywających w UE — bez
wyjątków.
b) Jeżeli przetwarzane są dane osobowe osób przebywających w UE i wiąże się
to z oferowaniem im towarów lub usług — niezależnie od tego, czy wymaga
się od tych osób zapłaty.
c) Jeżeli przetwarzane są dane osobowe osób przebywających w UE i wiąże się
to z oferowaniem im odpłatnych towarów lub usług.
d) Jeżeli przetwarzane są dane osobowe osób z poza UE, ale czynności przetwarzania
wiążą się z monitorowaniem ich zachowania bez względu na miejsce,
w którym przebywają.
5. Przetwarzanie danych osobowych do celów tworzenia materiałów prasowych,
wypowiedzi akademickiej oraz artystycznej:
a) jest chronione przez RODO, ale państwa członkowskie mogą ustanowić
odstępstwa od stosowania niektórych przepisów RODO.
b) jest chronione przez RODO, ale z wyłączeniami w nim wskazanymi.
c) jest bezwzględnie chronione przez RODO.
d) nie jest chronione przez RODO.
6. Jaka zgoda musi zostać wyrażona, by przetwarzanie danych osobowych było
zgodne z prawem według RODO?
a) Zgoda wyraźna.
b) Zgoda pisemna.
c) Zgoda jednoznaczna.
d) Zgoda zwerbalizowana.
7. Wycofanie zgody na przetwarzanie danych osobowych:
a) jest możliwe. Osoba fizyczna, której dane osobowe są przetwarzane nie musi
być o tym informowana.
b) jest możliwe. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania,
którego dokonano na podstawie zgody przed jej wycofaniem.
c) jest możliwe. Wycofanie zgody może być trudniejsze jak jej wyrażenie.
d) nie jest możliwe.
8. Kto ma obowiązek prowadzenia rejestru czynności przetwarzania danych osobowych?
a) Spoczywa on tylko na określonych administratorach danych osobowych.
b) Spoczywa on zarówno na określonych administratorach danych,
jak i na podmiotach przetwarzających.
c) Spoczywa on tylko na określonych administratorach danych oraz ich przedstawicielach.
d) Spoczywa on na określonych administratorach danych oraz ich przedstawicielach,
jak i na podmiotach przetwarzających.
9. Jakie informacje zawiera się w rejestrze czynności przetwarzania danych osobowych?
a) Dane administratora wraz z danymi kontaktowymi oraz cele przetwarzania.
b) Kategorie osób, kategorie danych osobowych, kategorie odbiorców.
c) Jeśli to możliwe — planowane terminy usunięcia poszczególnych kategorii
danych.
d) Wszystkie powyższe odpowiedzi są prawidłowe.
10. Czego nie umieszcza się w rejestrze czynności przetwarzania danych osobowych?
a) Danych kontaktowych administratora danych osobowych.
b) Informacji o liczbie znaków składających się na wyrażenia stanowiące dane
osobowe, w sytuacji przetwarzania w systemie informatycznym.
c) Kategorii osób, kategorii danych osobowych, kategorii odbiorców.
d) Jeśli to możliwe — planowanych terminów usunięcia poszczególnych kategorii
danych.
11. Jakie elementy zawiera zgłoszenie o naruszeniu ochrony danych osobowych?
a) Między innymi opis charakteru naruszenia, możliwych konsekwencji naruszenia
oraz środków podjętych w celu zaradzenia naruszeniu.
b) Między innymi imiona i nazwiska oraz adresy, których dane osobowe zostały
zagrożone.
c) Między innymi dane osobowe osób odpowiedzialnych za naruszenie ochrony
danych osobowych w danej jednostce oraz numer telefonu do nich.
d) Między innymi wysokość wynagrodzenia inspektora ochrony danych osobowych
(do celów ewentualnego naliczenia procentowej od wynagrodzenia kary
za dopuszczenie do naruszenia ochrony danych osobowych).
12. Kiedy administrator nie ma obowiązku zawiadamiania osób fizycznych, których
dane dotyczą, o naruszeniu ochrony danych osobowych?
a) Administrator wdrożył odpowiednie techniczne i organizacyjne środki ochrony,
np. szyfrowanie.
b) Administrator przestrzega RODO i było to jego pierwsze naruszenie ochrony
danych osobowych.
c) Zawiadomienie wymagałoby niewspółmiernie dużego wysiłku.
d) Prawidłowe odpowiedzi a) i c).
13. Czy administrator może odmówić udzielenia informacji dotyczącej przetwarzania
danych osobowych na żądanie osoby, której dane dotyczą?
a) Tak, może z uwagi na zbyt duży koszt ich wytworzenia.
b) Tak, może z uwagi na nadmierne lub ewidentnie nieuzasadnione żądania.
c) Tak, może w sytuacji, gdy nie powołał inspektora ochrony danych osobowych.
d) Nie, nigdy nie może.
14. Swoiste minimum informacji, które zgodnie z RODO muszą zostać przekazane
przez administratora w każdym przypadku pozyskiwania danych osobowych
od osoby fizycznej to:
a) tożsamość administratora, jego dane kontaktowe, cele przetwarzania danych
osobowych oraz podstawa prawna przetwarzania.
b) tożsamość administratora oraz podstawa prawna przetwarzania.
c) tożsamość administratora, jego dane kontaktowe oraz podstawa prawna przetwarzania.
d) tożsamość administratora, jego dane kontaktowe, cele przetwarzania danych
osobowych, podstawa prawna przetwarzania, koszt przetwarzania danych
osobowych.
15. W przypadku sprostowania lub usunięcia danych osobowych przez administratora:
a) musi on poinformować o tym organ nadzoru.
b) musi on poinformować o tym społeczeństwo poprzez obwieszczenie w stosowny sposób.
c) musi on poinformować o tym każdego odbiorcę, któremu ujawniono dane
osobowe, chyba że okaże się to niemożliwe lub będzie wymagać niewspółmiernie
dużego wysiłku.
d) nie ma on żadnego obowiązku informacyjnego z tym związanego.
16. Szacowanie ryzyka naruszenia praw lub wolności osób jest:
a) konieczne u każdego podmiotu będącego administratorem danych.
b) konieczne jedynie u podmiotów powołujących inspektora ochrony danych
osobowych.
c) konieczne jedynie u podmiotów zatrudniających więcej niż 250 osób.
d) dobrowolne u każdego podmiotu będącego administratorem danych.
17. Jaką należy przyjąć — zgodnie z RODO — skalę ryzyka przy szacowaniu
ryzyka naruszenia praw lub wolności osób?
a) Brak ryzyka, ryzyko minimalne, ryzyko środkowe, wysokie ryzyko.
b) Brak ryzyka, ryzyko, wysokie ryzyko.
c) Brak ryzyka, małe ryzyko, wysokie ryzyko.
d) Ryzyko, wysokie ryzyko.
18. Co powinien zrobić podmiot przetwarzający z posiadanymi danymi osobowymi
po zakończeniu przetwarzania w imieniu administratora, jeżeli prawo
nie wymaga przechowywania przez niego danych?
a) Zwrócić lub usunąć dane — decyzja należy do podmiotu przetwarzającego.
b) Zwrócić lub usunąć dane — decyzja należy do administratora.
c) Zawsze zwrócić dane.
d) Zawsze usunąć dane.
19. Zgodnie z RODO za naruszenie ochrony danych osobowych:
a) zawsze musi zostać nałożona kara finansowa.
b) nie musi zostać nałożona kara finansowa, jeżeli jest to pierwsze naruszenie
podmiotu.
c) nie musi zostać nałożona kara finansowa, jeżeli naruszenie jest niewielkie
lub grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne
obciążenie.
d) prawidłowe odpowiedzi to b) i c).
20. Co decyduje o charakterze kary za naruszenie ochrony danych osobowych
według RODO?
a) Charakter, waga oraz czas trwania naruszenia.
b) Zakres lub cel danego przetwarzania, liczba poszkodowanych osób, których
dane dotyczą, oraz rozmiar poniesionej przez nie szkody.
c) To, czy naruszenie nie było umyślne.
d) Wszystkie powyższe odpowiedzi są prawidłowe.
21. Administrator nie ma obowiązku informacyjnego wobec osoby, której dane
osobowe dotyczą, w przypadku pozyskiwania danych osobowych z innych
źródeł w sytuacji, gdy:
a) osoba, której dane dotyczą, dysponuje już tymi informacjami.
b) udzielenie takich informacji okazuje się niemożliwe lub wymagałoby niewspółmiernie
dużego wysiłku.
c) w szczególności w przypadku przetwarzania do celów archiwalnych w interesie
publicznym, do celów badań naukowych lub historycznych lub do celów
statystycznych.
d) wszystkie powyższe odpowiedzi są prawidłowe.
22. Osoba, której dane dotyczą, nie jest uprawniona do:
a) uzyskania dostępu do nich.
b) uzyskania informacji o kosztach ponoszonych w związku z przetwarzaniem
jej danych osobowych.
c) uzyskania informacji o kategoriach odnośnie do danych osobowych.
d) uzyskania informacji o odbiorcach lub kategoriach odbiorców, którym dane
osobowe zostały lub zostaną ujawnione.
23. Czy administrator może pobierać opłaty za przekazane kopie danych osobowych
osobie, której dane dotyczą?
a) Nie, w żadnym przypadku.
b) Tak, w każdym przypadku.
c) Tak, ale tylko za drugą i kolejne przekazane kopie.
d) Tak, ale tylko za natarczywe domaganie się kopii przez osobę, której dane
dotyczą.
24. Przetworzenie danych osobowych w taki sposób, by nie można ich było już
przypisać konkretnej osobie, której dotyczą, bez użycia dodatkowych informacji,
które z kolei są przechowywane osobno i są objęte środkami technicznymi i organizacyjnymi uniemożliwiającymi ich przypisanie zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej to inaczej:
a) profilowanie.
b) pseudonimizacja.
c) anonimizacja.
d) przetwarzanie chroniące.
25. RODO znajduje zastosowanie do przetwarzania danych osobowych:
a) jedynie w sposób całkowicie zautomatyzowany.
b) jedynie w sposób całkowicie lub częściowo zautomatyzowany.
c) w sposób całkowicie lub częściowo zautomatyzowany oraz niezautomatyzowany.
d) jedynie w sposób niezautomatyzowany.
26. Czy do sporządzenia przez osobę fizyczną folderu na prywatnym komputerze
„dane kontaktowe znajomych z liceum” będzie miało zastosowanie RODO?
a) Tak, zawsze znajdzie zastosowanie.
b) Tak, jeżeli dane te będą przetwarzane przez osobę fizyczną w związku z jej
działalnością zawodową lub handlową.
c) Nie, zawsze nie znajdzie zastosowania.
d) Nie, jeżeli dane te będą przetwarzane przez osobę fizyczną w związku z jej
działalnością zawodową lub handlową.
27. Wskaż zdanie fałszywe.
a) Inspektor ochrony danych jest podmiotem niezależnym, nawet jeżeli jest
zatrudniony w wewnętrznych strukturach organizacyjnych jednostki.
b) DPO może być odwołany lub ukarany za wypełnianie swoich zadań.
c) DPO bezpośrednio podlega najwyższemu kierownictwu administratora
lub podmiotu przetwarzającego.
d) Administrator oraz podmiot przetwarzający zapewniają, by inspektor ochrony
danych nie otrzymywał instrukcji dotyczących wykonywania zadań inspektora.
28. Jakie obowiązki nałożone zostały na inspektora ochrony danych osobowych
przez RODO?
a) Informuje administratora, podmiot przetwarzający oraz pracowników,
którzy przetwarzają dane osobowe, o obowiązkach wynikających z RODO
oraz innych przepisów i doradza im w tej sprawie.
b) Informuje administratora, podmiot przetwarzający oraz pracowników,
którzy przetwarzają dane osobowe, o obowiązkach wynikających z RODO
oraz innych przepisów, bez obowiązku doradzania im w tej sprawie.
c) Obowiązek sporządzenia oceny skutków dla ochrony danych osobowych.
d) Obowiązek aktualizacji rejestru przetwarzania danych osobowych.
29. Kto ma za zadanie monitorować przestrzeganie RODO w danej jednostce
oraz pełnienie funkcji punktu kontaktowego z organem nadzorczym?
a) Administrator danych.
b) Inspektor ochrony danych osobowych.
c) GIODO.
d) Podmiot przetwarzający.
30. Kto może być podmiotem przetwarzającym?
a) Tylko osoba fizyczna.
b) Tylko osoba prawna.
c) Tylko organ publiczny.
d) Zarówno osoba fizyczna, prawna, jak i organ publiczny.
Czas trwania egzaminu – 60 minut
Maksymalna liczba punktów do zdobycia – 30 pkt
Prowadzisz działalność gospodarczą, wykonujesz usługi remontowo-budowlane na rzecz osób fizycznych. Zatrudniasz trzech pracowników. Polecenia do wykonania:
1. Wskaż jak najwięcej obowiązków związanych z ochroną danych osobowych,które musisz zrealizować, w oparciu o przepisy RODO.
2. Dokonaj analizy ryzyka dla trzech wybranych przez siebie potencjalnych ryzyk. Identyfikację ryzyka oraz wyniki analizy ryzyka przedstaw za pomocą tabel.
3. Zaprojektuj prostą umowę powierzenia przetwarzania danych osobowych związanych z czynnościami księgowymi oraz kadrowymi w Twojej firmie.
W dniu 25 maja 2018 roku zacznie być stosowane Rozporządzenie Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych, zwane potocznie ogólnym rozporządzeniem o ochronie danych osobowych. Zmiana lub budowa systemu ochrony danych dla wielu firm jest dużym wyzwaniem, ale również szansą na podniesienie swojej konkurencyjności na rynku. Podstawowym celem szkolenia jest zdobycie wiedzy na temat obowiązków spoczywających na administratorach danych osobowych oraz nabycie umiejętności i kompetencji niezbędnych do wykonywania zadań Inspektora Ochrony Danych (Data Protection Officer), zgodnie z przepisami Ustawy o ochronie danych osobowych oraz aktów wykonawczych do niej, jak również przygotowanie do pełnienia tej roli w nowych ramach prawnych po wprowadzeniu reformy Unii Europejskiej w obszarze ochrony danych osobowych.