L'autorité polonaise de protection des données (UODO) a publié des clarifications sur plusieurs questions récurrentes relatives à l'application du RGPD.

Concernant la vidéosurveillance dans les écoles publiques, la base légale pour le traitement des données des élèves est l'article 6, paragraphe 1, point e du RGPD, relatif à l'exécution d'une mission d'intérêt public, combiné avec la loi polonaise sur l'éducation. Ce dispositif ne peut être utilisé que pour assurer la sécurité des élèves et du personnel ou pour protéger les biens. La loi nationale impose également que les zones surveillées soient clairement signalées par des panneaux ou des annonces sonores visibles et lisibles avant l'activation du système, une obligation qui s'ajoute aux exigences d'information du RGPD et pour laquelle l'autorité renvoie aux lignes directrices 3/2019 du Comité Européen de la Protection des Données (CEPD).

La police est autorisée à vérifier l'identité des personnes en consultant leurs documents, conformément à la loi polonaise sur la police. Cette prérogative s'applique notamment en cas de suspicion d'infraction, de menace pour la sécurité publique ou dans le cadre de l'accomplissement de ses missions légales. L'agent doit agir avec le plus grand respect de la vie privée, indiquer la base légale de son action et présenter sa carte professionnelle sur demande.

La perte d'un téléphone contenant des données personnelles à l'étranger constitue une violation de données au sens de l'article 4, point 12 du RGPD si un accès non autorisé est possible. Le responsable du traitement, qui peut être une personne physique agissant à des fins professionnelles, doit notifier la violation à l'autorité de contrôle compétente dans les 72 heures suivant sa découverte, conformément à l'article 33 du RGPD. Pour un incident transfrontalier, il convient de déterminer si l'autorité compétente est celle du pays où la violation a eu lieu ou l'autorité chef de file, notamment si les données concernent des personnes de cet État membre.

Toute personne concernée a le droit d'obtenir du responsable du traitement une copie des données personnelles la concernant, en vertu de l'article 15 du RGPD. La première copie est gratuite et doit être fournie dans un format électronique d'usage courant si la demande est faite par ce moyen. Ce droit, qui ne doit pas porter atteinte aux droits et libertés d'autrui, concerne la copie des données elles-mêmes et non celle des documents ou supports qui les contiennent.

Un visiophone électronique qui enregistre et archive des images est considéré comme un système de vidéosurveillance soumis au RGPD. L'installateur, en tant que responsable du traitement, doit respecter les obligations d'information, de limitation des finalités, de minimisation des données et disposer d'une base légale pour le traitement. L'UODO recommande de justifier l'usage d'un tel dispositif par une analyse démontrant l'inefficacité de solutions alternatives moins intrusives.