RODO w firmie — obowiązki przedsiębiorcy

Rozporządzenie o ochronie danych osobowych obowiązuje od maja 2018 roku, a mimo to wielu przedsiębiorców wciąż nie wie, jakie konkretne kroki powinno podjąć, by działać zgodnie z prawem. RODO firma obowiązki — to połączenie słów, które wywołuje stres w niejednym biurze. Tymczasem wdrożenie przepisów da się zaplanować metodycznie, jeśli wiadomo od czego zacząć i czego unikać.

Poniższy poradnik prowadzi przez najważniejsze wymagania: od rejestrowania czynności przetwarzania, przez politykę prywatności, po decyzję o mianowaniu Inspektora Ochrony Danych. Na końcu każdej sekcji znajdziesz pytania kontrolne, które ułatwiają samodzielną ocenę stanu zgodności.

—

Podstawy przetwarzania danych osobowych w przedsiębiorstwie

Każda firma, która zbiera dane klientów, pracowników lub kontrahentów, jest administratorem danych osobowych w rozumieniu RODO. To oznacza, że ponosi pełną odpowiedzialność za to, jak dane są zbierane, przechowywane, udostępniane i usuwane — niezależnie od tego, czy zatrudnia dwie osoby, czy dwieście.

Podstawą prawną przetwarzania jest punkt, od którego zaczyna się analiza każdego procesu w firmie. RODO przewiduje sześć przesłanek, z których najczęściej stosowane to: zgoda osoby, której dane dotyczą, wykonanie umowy, obowiązek prawny oraz prawnie uzasadniony interes administratora. Każde działanie na danych musi opierać się na jednej z tych podstaw — inaczej przetwarzanie jest niezgodne z prawem.

Jak identyfikować dane osobowe w procesach firmowych

Dane osobowe to nie tylko imię i nazwisko czy numer PESEL. Do tej kategorii należą też adres e-mail, numer telefonu przypisany do konkretnej osoby, adres IP, a nawet wizerunek zarejestrowany przez monitoring. W praktyce firma powinna przejść przez wszystkie procesy — sprzedaż, rekrutację, obsługę posprzedażową, newsletter, monitoring wizyjny — i dla każdego z nich zadać pytanie: jakie dane zbieramy i na jakiej podstawie to robimy?

Wynik takiej analizy powinien trafić do rejestru czynności przetwarzania. To dokument, który przedsiębiorca prowadzi we własnym zakresie i który musi być dostępny na żądanie Prezesa UODO. Rejestr nie musi być rozbudowanym dokumentem — wystarczy tabela z kolumnami: nazwa czynności, cel, kategorie danych, podstawa prawna, odbiorcy, czas retencji.

Pytania kontrolne:

• Czy wiesz, w jakich miejscach w firmie przetwarzane są dane osobowe?
• Czy każda czynność ma zidentyfikowaną podstawę prawną?
• Czy rejestr czynności przetwarzania jest prowadzony i aktualny?

—

Polityka prywatności i obowiązek informacyjny wobec klientów

Ochrona danych osobowych nakłada na przedsiębiorcę nie tylko obowiązek poprawnego przetwarzania, lecz także przejrzystego informowania o tym przetwarzaniu. Obowiązek informacyjny to jeden z kamieni węgielnych RODO — i jeden z najczęściej realizowanych pobieżnie.

Polityka prywatności opublikowana na stronie internetowej to często pierwsze, co sprawdza organ nadzorczy. Dokument musi zawierać: dane administratora i jego danych kontaktowych, cel i podstawę prawną przetwarzania, informację o odbiorcach danych, okres retencji, a także wykaz praw przysługujących osobie, której dane dotyczą (prawo dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu). W przypadku stosowania plików cookies — polityka powinna obejmować również tę kwestię.

Zgoda na przetwarzanie danych — jak ją prawidłowo pobrać

Zgoda w rozumieniu RODO musi być dobrowolna, konkretna, świadoma i jednoznaczna. Oznacza to, że checkboxu nie można pre-zaznaczać, zgody na różne cele należy zbierać osobno, a osoba powinna mieć równie łatwą możliwość cofnięcia zgody, jak jej udzielenia.

Przedsiębiorcy często popełniają błąd, łącząc zgodę na przetwarzanie danych z akceptacją regulaminu. Takie rozwiązanie jest nieprawidłowe — jeśli akceptacja warunków usługi jest warunkiem korzystania z serwisu, zgoda na marketing nie może być do niej dołączona jako jedno kliknięcie. Każda zgoda na cel opcjonalny musi być odrębna i opcjonalna.

Pytania kontrolne:

• Czy polityka prywatności zawiera wszystkie wymagane elementy?
• Czy zgody są zbierane oddzielnie według celów?
• Czy użytkownik może łatwo wycofać zgodę?

—

Inspektor Ochrony Danych — kiedy jest obowiązkowy i co robi

IOD, czyli Inspektor Ochrony Danych, to osoba odpowiedzialna za nadzór nad przestrzeganiem przepisów o ochronie danych w organizacji. Jej powołanie nie jest obowiązkowe dla każdej firmy — RODO wskazuje trzy sytuacje, w których wyznaczenie IOD jest konieczne: gdy przetwarzanie jest realizowane przez organ publiczny, gdy główna działalność administratora wymaga regularnego i systematycznego monitorowania osób na dużą skalę (np. branża reklamowa, telekomunikacja), albo gdy firma przetwarza na dużą skalę szczególne kategorie danych (dane zdrowotne, biometryczne, dotyczące wyroków skazujących).

W pozostałych przypadkach wyznaczenie IOD jest dobrowolne — ale często uzasadnione. Mała firma przetwarzająca dane setek klientów może z niego skorzystać nawet bez ustawowego obowiązku, jeśli chce mieć kogoś, kto na bieżąco monitoruje ryzyko i reaguje na incydenty.

IOD może być pracownikiem firmy lub zewnętrznym konsultantem. Musi posiadać wiedzę z zakresu prawa i praktyk ochrony danych, działać niezależnie i mieć bezpośredni dostęp do najwyższego kierownictwa. Dane kontaktowe IOD należy przekazać do rejestru UODO i opublikować (np. w polityce prywatności) — tak by osoby, których dane są przetwarzane, mogły się z nim skontaktować.

• Prowadzenie wewnętrznych audytów i ocen zgodności z RODO
• Szkolenie pracowników w zakresie ochrony danych
• Współpraca z organem nadzorczym (UODO) w razie postępowań
• Monitorowanie wdrożenia i skuteczności środków technicznych i organizacyjnych
• Rejestrowanie i obsługa żądań osób, których dane dotyczą

Brak IOD tam, gdzie jest wymagany, może skutkować karą administracyjną do 10 mln euro lub 2% rocznego obrotu — w zależności od tego, która kwota jest wyższa.

Pytania kontrolne:

• Czy działalność firmy kwalifikuje do obowiązkowego wyznaczenia IOD?
• Jeśli tak — czy IOD jest wyznaczony i zgłoszony do UODO?
• Czy IOD ma realny dostęp do kadry zarządzającej?

—

Umowy powierzenia danych i bezpieczeństwo przetwarzania

Przekazywanie danych osobowych podmiotom zewnętrznym — biurom rachunkowym, firmom IT, platformom e-commerce, dostawcom usług chmurowych — wymaga zawarcia umowy powierzenia przetwarzania danych. Jest to jeden z obowiązków, który przedsiębiorcy najczęściej pomijają, zakładając, że klient lub dostawca „jakoś sobie z tym poradzi”.

Umowa powierzenia powinna określać: przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych i kategorie osób, obowiązki i prawa administratora. Podmiot przetwarzający (procesor) nie może korzystać z usług sub-procesorów bez zgody administratora. Warto też zadbać o zapisy dotyczące postępowania w przypadku incydentów bezpieczeństwa — procesor ma obowiązek niezwłocznego informowania administratora o naruszeniach.

Środki techniczne i organizacyjne chroniące dane

RODO nie narzuca konkretnych technologii, ale wymaga stosowania środków „odpowiednich do ryzyka”. W praktyce oznacza to szyfrowanie danych w transmisji (protokół HTTPS, szyfrowanie poczty), kontrolę dostępu (silne hasła, uwierzytelnianie dwuskładnikowe, zasada minimalnych uprawnień), regularne kopie zapasowe oraz procedury reagowania na incydenty.

Po stronie organizacyjnej liczy się szkolenie pracowników — osoba, która codziennie obsługuje dane klientów, musi wiedzieć, jak zachować się przy próbie phishingu, jak reagować na żądanie osoby dotyczące jej danych i kiedy informować przełożonego o podejrzanym zdarzeniu. Incydent naruszenia danych osobowych należy zgłosić do UODO w ciągu 72 godzin od jego wykrycia, jeśli istnieje ryzyko naruszenia praw lub wolności osób fizycznych.

Pytania kontrolne:

• Czy zawarto umowy powierzenia z wszystkimi podmiotami zewnętrznymi przetwarzającymi dane?
• Czy stosowane są środki szyfrowania i kontroli dostępu?
• Czy pracownicy przeszli szkolenie z ochrony danych?
• Czy firma ma procedurę zgłaszania naruszeń do UODO?

—

Checklista RODO dla przedsiębiorcy — stan zgodności krok po kroku

Poniższa checklista zbiera wszystkie omówione obowiązki w jeden, operacyjny widok. Służy zarówno do wstępnej oceny stanu firmy, jak i do cyklicznych przeglądów — zalecanych co najmniej raz w roku lub po istotnych zmianach procesów.

Wynik poniżej 7 zaznaczonych pozycji wskazuje na luki wymagające pilnych działań. Wynik 8-9 to solidna podstawa z drobnymi do uzupełnienia elementami. Wszystkie 10 to stan, który warto dokumentować i utrzymywać — bo UODO podczas kontroli oczekuje nie tylko deklaracji, lecz dowodów.

Przestrzeganie przepisów o ochronie danych osobowych nie jest jednorazowym projektem — to ciągły proces. Przepisy się aktualizują (kolejne wytyczne EDPB, wyroki TSUE), technologie się zmieniają, procesy w firmie ewoluują. Firmy, które potraktują RODO jako element kultury organizacyjnej, a nie formalność do odfajkowania, rzadziej mierzą się z incydentami i szybciej odzyskują zaufanie klientów po ewentualnych problemach.

Redakcja Konkrety24