Ochrona danych osobowych w małej firmie nie sprowadza się do uzyskania kilku zgód i umieszczenia polityki prywatności na stronie. Przedsiębiorca powinien wiedzieć, jakie dane gromadzi, po co je wykorzystuje, komu je udostępnia, jak długo je przechowuje oraz jak reaguje na żądania osób i incydenty bezpieczeństwa.
Po lekturze zrozumiesz, kiedy firma podlega RODO, jakie dokumenty i procedury są potrzebne, kiedy zawrzeć umowę powierzenia, czy trzeba powołać inspektora ochrony danych oraz jak zgodnie z prawem prowadzić marketing, rekrutację i obsługę klientów.
Czym jest ochrona danych osobowych w małej firmie?
Ochrona danych osobowych to zbiór zasad prawnych, organizacyjnych i technicznych, które mają zapewnić zgodne z prawem oraz bezpieczne przetwarzanie informacji o zidentyfikowanych lub możliwych do zidentyfikowania osobach fizycznych.
Dane osobowe to nie tylko imię, nazwisko, PESEL czy adres. Mogą nimi być również:
- służbowy adres e-mail zawierający imię i nazwisko,
- numer telefonu klienta lub pracownika,
- adres IP i identyfikator internetowy,
- nagranie rozmowy lub monitoringu,
- numer rachunku bankowego,
- historia zakupów i reklamacji,
- lokalizacja urządzenia,
- dane kontrahenta prowadzącego jednoosobową działalność,
- informacje o zdrowiu, niepełnosprawności lub zwolnieniach lekarskich,
- oceny pracownika i informacje z procesu rekrutacji.
RODO obejmuje dane osób fizycznych. Nie chroni natomiast informacji dotyczących wyłącznie osoby prawnej, takich jak ogólny adres spółki czy numer KRS. Dane pracownika spółki, jej reprezentanta lub osoby kontaktowej nadal mogą być jednak danymi osobowymi.
Kiedy mała firma podlega RODO?
RODO ma zastosowanie, gdy firma przetwarza dane osobowe w sposób zautomatyzowany albo przechowuje je w uporządkowanych zbiorach. W praktyce dotyczy to niemal każdego przedsiębiorcy, który:
- wystawia faktury osobom fizycznym,
- zatrudnia pracowników lub współpracowników,
- prowadzi rekrutację,
- posiada bazę klientów,
- przyjmuje zamówienia internetowe,
- prowadzi newsletter,
- korzysta z systemu CRM,
- zapisuje numery telefonów klientów,
- używa monitoringu,
- prowadzi profile w mediach społecznościowych,
- rozpatruje reklamacje,
- korzysta z usług księgowych, hostingowych lub chmurowych.
Nie ma ogólnego zwolnienia z RODO dla mikrofirm, jednoosobowych działalności ani firm zatrudniających mniej niż 250 osób. Skala działalności wpływa na zakres wymaganych zabezpieczeń i dokumentacji, ale nie usuwa podstawowych obowiązków.
Jakie przepisy mogą mieć zastosowanie oprócz RODO?
W zależności od działalności przedsiębiorca powinien uwzględnić również między innymi:
- polską ustawę o ochronie danych osobowych,
- Prawo komunikacji elektronicznej,
- Kodeks pracy,
- przepisy podatkowe i rachunkowe,
- przepisy dotyczące dokumentacji pracowniczej,
- przepisy konsumenckie,
- regulacje branżowe, na przykład medyczne, finansowe lub telekomunikacyjne.
Samo spełnienie wymagań RODO nie zawsze oznacza, że działania marketingowe, monitoring albo przechowywanie dokumentacji są zgodne ze wszystkimi pozostałymi przepisami.
Jak ustalić rolę firmy: administrator czy podmiot przetwarzający?
Jednym z pierwszych kroków jest określenie roli firmy wobec danych.
Administrator danych
Administratorem jest podmiot, który decyduje o celach i sposobach przetwarzania danych. Mała firma jest administratorem między innymi wobec danych:
- klientów,
- potencjalnych klientów,
- pracowników i kandydatów,
- osób składających reklamacje,
- użytkowników swojej strony internetowej,
- dostawców prowadzących jednoosobową działalność,
- reprezentantów i osób kontaktowych kontrahentów.
Administrator odpowiada za wybór podstawy prawnej, realizację obowiązku informacyjnego, bezpieczeństwo danych i obsługę praw osób.
Podmiot przetwarzający
Podmiot przetwarzający, nazywany także procesorem, wykorzystuje dane w imieniu administratora i zgodnie z jego instrukcjami.
Przykłady procesorów to:
- biuro rachunkowe obsługujące kadry i płace,
- dostawca hostingu,
- firma zapewniająca system CRM,
- operator platformy mailingowej,
- zewnętrzne call center,
- firma informatyczna mająca dostęp do baz danych,
- dostawca chmurowego systemu rekrutacyjnego.
Procesor nie powinien samodzielnie wykorzystywać powierzonych danych do własnych celów.
Współadministratorzy i niezależni administratorzy
Dwa podmioty mogą wspólnie ustalać cele i sposoby przetwarzania. Wówczas mogą być współadministratorami i powinny przejrzyście podzielić między sobą obowiązki.
Nie każdy odbiorca danych jest jednak procesorem. Bank, operator płatności, kancelaria prawna, firma kurierska lub organ publiczny mogą działać jako odrębni administratorzy, jeżeli samodzielnie określają cele przetwarzania wynikające z prawa albo charakteru swoich usług.
Od czego zacząć wdrożenie RODO w małej firmie?
Najlepszym punktem wyjścia nie jest kupienie gotowego pakietu dokumentów, lecz przeprowadzenie inwentaryzacji danych.
Krok 1: zinwentaryzuj dane i procesy
Należy ustalić:
- czyje dane firma posiada,
- jakie kategorie danych przetwarza,
- z jakich źródeł je pozyskuje,
- w jakich celach je wykorzystuje,
- na jakiej podstawie prawnej działa,
- gdzie dane są przechowywane,
- kto ma do nich dostęp,
- komu są przekazywane,
- czy trafiają poza Europejski Obszar Gospodarczy,
- jak długo są przechowywane,
- jakie zabezpieczenia zostały zastosowane.
Analiza powinna obejmować nie tylko systemy informatyczne, ale także pocztę elektroniczną, telefony, dokumenty papierowe, arkusze kalkulacyjne, komunikatory i kopie zapasowe.
Krok 2: przygotuj mapę przepływu danych
Mapa przepływu pokazuje, co dzieje się z informacją od chwili jej zebrania do usunięcia. Przykładowy proces realizacji zamówienia może obejmować:
- zebranie danych przez formularz,
- zapisanie ich w sklepie internetowym,
- przekazanie płatności operatorowi,
- przesłanie danych adresowych firmie kurierskiej,
- wystawienie faktury w programie księgowym,
- przekazanie dokumentów biuru rachunkowemu,
- archiwizację zgodnie z przepisami,
- usunięcie danych po zakończeniu retencji.
Taka mapa ułatwia wykrycie zbędnych danych, niekontrolowanych kopii oraz dostawców, z którymi należy uregulować współpracę.
Krok 3: przypisz odpowiedzialność
Nawet w kilkuosobowej firmie warto określić, kto:
- odpowiada za dokumentację,
- nadaje i odbiera uprawnienia,
- obsługuje żądania klientów,
- ocenia incydenty,
- kontaktuje się z dostawcami IT,
- aktualizuje klauzule informacyjne,
- nadzoruje działania marketingowe.
Odpowiedzialność może pozostać przy właścicielu firmy, ale zadania powinny być jasno przydzielone i możliwe do wykonania w wymaganych terminach.
Jak wybrać właściwą podstawę prawną?
Każdy cel przetwarzania powinien mieć własną podstawę prawną. Jedna podstawa nie musi obejmować całej relacji z klientem.
Wykonanie umowy lub działania przed jej zawarciem
Ta podstawa może obejmować dane niezbędne do:
- przygotowania oferty na żądanie klienta,
- przyjęcia i realizacji zamówienia,
- dostarczenia produktu,
- obsługi płatności,
- wykonania usługi,
- kontaktu bezpośrednio związanego z umową.
Nie należy rozszerzać tej podstawy na działania, które nie są konieczne do realizacji umowy, na przykład na newsletter reklamowy.
Obowiązek prawny
Przedsiębiorca może przetwarzać dane, gdy wymagają tego przepisy, na przykład w związku z:
- wystawianiem i przechowywaniem dokumentów księgowych,
- rozliczeniami podatkowymi,
- zatrudnianiem pracowników,
- prowadzeniem dokumentacji pracowniczej,
- obowiązkami dotyczącymi bezpieczeństwa i higieny pracy.
Prawnie uzasadniony interes
Podstawa ta może znaleźć zastosowanie między innymi przy:
- dochodzeniu i obronie roszczeń,
- zapewnianiu bezpieczeństwa systemów,
- zapobieganiu nadużyciom,
- prowadzeniu niektórych form marketingu własnych produktów,
- analizie jakości obsługi,
- kontakcie z przedstawicielami kontrahentów.
Przed jej zastosowaniem należy ocenić:
- jaki konkretny interes realizuje firma,
- czy przetwarzanie jest do tego niezbędne,
- czy prawa i wolności osoby nie mają pierwszeństwa.
W praktyce warto udokumentować tę ocenę w formie testu równowagi.
Zgoda
Zgoda musi być:
- dobrowolna,
- konkretna,
- świadoma,
- jednoznaczna,
- możliwa do wykazania,
- możliwa do wycofania równie łatwo, jak została udzielona.
Nie należy żądać zgody na działania niezbędne do wykonania umowy. Zgoda nie może być ukryta w regulaminie ani domyślnie zaznaczona.
Wycofanie zgody nie powoduje, że wcześniejsze przetwarzanie staje się bezprawne. Oznacza natomiast, że firma nie może dalej opierać danego działania na tej zgodzie.
Dane szczególnych kategorii
Informacje o zdrowiu, niepełnosprawności, pochodzeniu rasowym lub etnicznym, poglądach politycznych, religii, przynależności związkowej, seksualności oraz dane biometryczne używane do jednoznacznej identyfikacji podlegają szczególnej ochronie.
Do ich przetwarzania potrzebna jest nie tylko ogólna podstawa prawna, ale również odpowiedni wyjątek pozwalający na przetwarzanie szczególnych kategorii danych. Firma nie powinna zbierać takich informacji „na zapas”.
Jak prawidłowo spełnić obowiązek informacyjny?
Osoba, której dane dotyczą, powinna otrzymać jasną informację o przetwarzaniu. Klauzula informacyjna powinna wyjaśniać między innymi:
- kto jest administratorem,
- jak skontaktować się z administratorem lub inspektorem ochrony danych,
- w jakich celach dane są przetwarzane,
- jakie są podstawy prawne,
- kto może otrzymać dane,
- czy dane są przekazywane poza EOG,
- jak długo będą przechowywane,
- jakie prawa przysługują osobie,
- czy podanie danych jest obowiązkowe,
- czy występuje zautomatyzowane podejmowanie decyzji, w tym profilowanie,
- gdzie można złożyć skargę.
Klauzulę należy dopasować do konkretnego procesu. Firma może potrzebować osobnych informacji dla:
- klientów,
- osób kontaktowych u kontrahentów,
- kandydatów do pracy,
- pracowników,
- użytkowników strony,
- odbiorców newslettera,
- osób objętych monitoringiem,
- osób zgłaszających naruszenia.
Dane zebrane bezpośrednio i pośrednio
Jeżeli firma zbiera dane bezpośrednio od osoby, informację należy przekazać w momencie pozyskiwania danych.
Jeżeli dane pochodzą z innego źródła, obowiązek informacyjny realizuje się co do zasady w rozsądnym terminie, najpóźniej w ciągu miesiąca, a niekiedy przy pierwszym kontakcie z osobą lub pierwszym ujawnieniu danych innemu odbiorcy.
Istnieją wyjątki, ale należy interpretować je ostrożnie i dokumentować powód ich zastosowania.
Warstwowa klauzula informacyjna
Na małym ekranie lub w krótkim formularzu można zastosować model warstwowy. Pierwsza warstwa zawiera najważniejsze informacje, a druga prowadzi do pełnej treści. Nie wolno jednak ukrywać istotnych informacji ani zmuszać użytkownika do ich poszukiwania.
Jakie dokumenty RODO powinna mieć mała firma?
RODO nie wskazuje jednego obowiązkowego segregatora dokumentów dla każdego przedsiębiorcy. Administrator musi jednak umieć wykazać zgodność działań z przepisami.
W zależności od skali i ryzyka potrzebne mogą być:
- rejestr czynności przetwarzania,
- rejestr kategorii czynności wykonywanych jako procesor,
- polityka ochrony danych,
- polityka bezpieczeństwa informacji,
- procedura obsługi praw osób,
- procedura zarządzania naruszeniami,
- rejestr naruszeń,
- polityka retencji i usuwania danych,
- procedura nadawania i odbierania dostępów,
- upoważnienia do przetwarzania danych,
- zobowiązania do poufności,
- testy równowagi,
- oceny ryzyka,
- oceny skutków dla ochrony danych,
- umowy powierzenia,
- wykaz dostawców i odbiorców danych,
- dokumentacja transferów poza EOG,
- klauzule informacyjne,
- formularze i rejestry zgód.
Dokumentacja powinna odzwierciedlać rzeczywiste działania firmy. Gotowe wzory wymagają dostosowania do procesów, systemów, dostawców i okresów przechowywania.
Czy firma poniżej 250 pracowników musi prowadzić rejestr czynności?
Zwolnienie dla organizacji zatrudniających mniej niż 250 osób jest ograniczone. Nie działa między innymi wtedy, gdy przetwarzanie nie ma charakteru sporadycznego, może powodować ryzyko albo obejmuje szczególne kategorie danych.
Obsługa klientów, księgowość, kadry, sprzedaż i marketing zwykle mają charakter regularny. Dlatego w praktyce nawet mikrofirmie opłaca się prowadzić uproszczony rejestr czynności. Jest on podstawową mapą zgodności i pomaga odpowiadać na pytania dotyczące celów, podstaw, odbiorców, retencji oraz zabezpieczeń.
Umowy powierzenia i kontrola dostawców
Umowa powierzenia jest potrzebna, gdy zewnętrzny podmiot przetwarza dane osobowe w imieniu firmy.
Powinna regulować między innymi:
- przedmiot i czas przetwarzania,
- charakter i cel operacji,
- rodzaje danych,
- kategorie osób,
- obowiązki administratora,
- poufność personelu procesora,
- zabezpieczenia,
- korzystanie z podwykonawców,
- pomoc w realizacji praw osób,
- zgłaszanie incydentów,
- usunięcie lub zwrot danych po zakończeniu usługi,
- możliwość uzyskania informacji potrzebnych do oceny zgodności.
Samo podpisanie umowy nie wystarcza. Przedsiębiorca powinien ocenić dostawcę, zwłaszcza gdy przekazuje mu dużą bazę klientów, dokumentację pracowniczą, dane zdrowotne lub dostęp administracyjny do systemów.
Pytania, które warto zadać dostawcy
- Gdzie fizycznie i prawnie są przechowywane dane?
- Kto może uzyskać do nich dostęp?
- Czy dane trafiają poza EOG?
- Z jakich podwykonawców korzysta dostawca?
- Jak szybko zgłasza incydenty?
- Czy zapewnia szyfrowanie i uwierzytelnianie wieloskładnikowe?
- Jak usuwa dane i kopie zapasowe?
- Czy umożliwia eksport danych po zakończeniu umowy?
- Jak często testuje zabezpieczenia?
Jak długo można przechowywać dane?
Danych nie wolno przechowywać bezterminowo tylko dlatego, że mogą kiedyś się przydać. Okres retencji powinien wynikać z:
- celu przetwarzania,
- przepisów prawa,
- czasu trwania umowy,
- terminów przedawnienia roszczeń,
- potrzeby wykazania udzielonej zgody,
- ryzyka sporu lub reklamacji.
Dla każdego procesu warto określić:
- podstawowy okres przechowywania,
- zdarzenie rozpoczynające jego liczenie,
- zasady przedłużenia ze względu na spór lub obowiązek prawny,
- sposób usunięcia albo anonimizacji danych,
- postępowanie z kopiami zapasowymi.
Przykładowo dokumenty księgowe mogą podlegać ustawowym okresom przechowywania, a dane kandydata niewybranego w rekrutacji nie powinny pozostawać w bazie bez określonego celu i podstawy.
Anonimizacja musi być nieodwracalna. Zastąpienie nazwiska numerem klienta jest zazwyczaj jedynie pseudonimizacją, ponieważ nadal istnieje możliwość ponownego powiązania danych z osobą.
Jak zabezpieczyć dane w małej firmie?
RODO nie narzuca jednej listy zabezpieczeń dla wszystkich przedsiębiorców. Środki należy dobrać do ryzyka, charakteru danych, skali działalności, kosztów wdrożenia i aktualnego stanu wiedzy technicznej.
Podstawowe zabezpieczenia techniczne
W małej firmie szczególne znaczenie mają:
- unikalne konta użytkowników,
- silne hasła i menedżer haseł,
- uwierzytelnianie wieloskładnikowe,
- aktualizacje systemów i aplikacji,
- szyfrowanie komputerów oraz urządzeń mobilnych,
- regularne kopie zapasowe,
- testowanie możliwości odtworzenia danych,
- ochrona antywirusowa i antyphishingowa,
- ograniczenie uprawnień administracyjnych,
- automatyczne blokowanie ekranów,
- bezpieczna konfiguracja poczty,
- rejestrowanie istotnych operacji,
- bezpieczne usuwanie danych z urządzeń.
Kopia zapasowa podłączona na stałe do komputera może zostać zaszyfrowana razem z nim podczas ataku ransomware. Dlatego warto stosować zasadę oddzielenia części kopii i regularnie sprawdzać możliwość odtworzenia danych.
Zabezpieczenia organizacyjne
Potrzebne są również:
- nadawanie dostępu według rzeczywistej potrzeby,
- szybkie odbieranie uprawnień po zakończeniu współpracy,
- szkolenia pracowników,
- zasada czystego biurka,
- bezpieczne niszczenie dokumentów,
- zakaz korzystania z prywatnych kont bez kontroli firmy,
- procedura pracy zdalnej,
- weryfikacja odbiorcy przed wysłaniem wiadomości,
- zasady korzystania z pendrive’ów i urządzeń prywatnych,
- plan reagowania na incydenty.
Najczęstsze problemy nie wynikają z braku rozbudowanych narzędzi, lecz z niewłaściwych uprawnień, nieaktualnego oprogramowania, słabych haseł i błędnie zaadresowanych wiadomości.
Naruszenie ochrony danych – co powinna zrobić firma?
Naruszenie ochrony danych to zdarzenie prowadzące do przypadkowego lub niezgodnego z prawem:
- zniszczenia danych,
- utraty danych,
- zmiany danych,
- nieuprawnionego ujawnienia,
- uzyskania nieuprawnionego dostępu.
Naruszeniem może być wysłanie faktury niewłaściwej osobie, utrata laptopa, włamanie na skrzynkę pocztową, publikacja listy adresów w polu „DW”, zaszyfrowanie bazy przez ransomware albo utrata dostępu do danych potrzebnych do obsługi klientów.
Procedura reakcji na incydent
Firma powinna:
- zatrzymać lub ograniczyć skutki zdarzenia,
- zabezpieczyć dowody i logi,
- ustalić zakres danych oraz liczbę osób,
- ocenić możliwe konsekwencje,
- ustalić poziom ryzyka dla osób,
- zdecydować o zgłoszeniu do organu nadzorczego,
- rozważyć zawiadomienie osób,
- udokumentować zdarzenie i decyzję,
- wdrożyć działania zapobiegające powtórzeniu.
Jeżeli naruszenie może powodować ryzyko naruszenia praw lub wolności osób, administrator co do zasady zgłasza je organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia.
Jeżeli ryzyko jest wysokie, może być konieczne także poinformowanie osób, których dane dotyczą. Zawiadomienie powinno być zrozumiałe i wskazywać możliwe konsekwencje oraz zalecane działania ochronne.
Każde naruszenie należy udokumentować, również wtedy, gdy firma uzna, że zgłoszenie nie jest wymagane.
Jak realizować prawa klientów, pracowników i innych osób?
Osoba może mieć prawo do:
- dostępu do danych,
- uzyskania kopii danych,
- sprostowania danych,
- usunięcia danych,
- ograniczenia przetwarzania,
- przenoszenia danych,
- sprzeciwu,
- wycofania zgody,
- zakwestionowania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu,
- złożenia skargi do organu nadzorczego.
Nie każde prawo działa w każdej sytuacji. Przykładowo prawo do usunięcia danych nie oznacza obowiązku skasowania dokumentów, które firma musi zachować na podstawie prawa lub w celu ustalenia, dochodzenia albo obrony roszczeń.
Jak obsłużyć żądanie?
Firma powinna:
- zarejestrować datę wpływu,
- ustalić zakres żądania,
- rozsądnie zweryfikować tożsamość,
- sprawdzić systemy, pocztę i dokumentację,
- ocenić wyjątki i prawa innych osób,
- przygotować odpowiedź w bezpiecznej formie,
- udokumentować podjęte działania.
Na odpowiedź przysługuje co do zasady miesiąc. W przypadku skomplikowanego żądania lub większej liczby wniosków termin może zostać przedłużony o kolejne dwa miesiące, ale osobę trzeba poinformować o przedłużeniu i jego przyczynach w ciągu pierwszego miesiąca.
Weryfikacja tożsamości powinna być proporcjonalna. Nie należy automatycznie żądać skanu dowodu osobistego, jeżeli wystarczy zalogowanie do konta, potwierdzenie z używanego adresu e-mail albo podanie znanych obu stronom informacji.
Dane pracowników i kandydatów do pracy
Pracodawca nie powinien opierać całego przetwarzania danych personelu na zgodzie. Znaczna część operacji wynika z przepisów prawa pracy, obowiązków prawnych i wykonania umowy.
Rekrutacja
W procesie rekrutacji należy:
- zbierać tylko dane adekwatne do stanowiska i dopuszczone przez prawo,
- przekazać kandydatowi klauzulę informacyjną,
- ograniczyć dostęp do aplikacji,
- ustalić okres przechowywania dokumentów,
- osobno ocenić udział w przyszłych rekrutacjach,
- kontrolować dane pozyskiwane z portali zawodowych i innych źródeł.
Publiczna dostępność informacji w internecie nie oznacza, że pracodawca może wykorzystywać je w dowolnym celu.
Monitoring
Monitoring wizyjny lub monitoring poczty pracowniczej wymaga konkretnego celu, proporcjonalności, poinformowania pracowników i spełnienia wymagań wynikających z prawa pracy. Kamery nie powinny być instalowane w miejscach, w których naruszałyby prywatność w sposób niedopuszczalny.
Nagrania nie powinny być przechowywane dłużej, niż jest to potrzebne. Dłuższa retencja może być uzasadniona, gdy materiał stanowi dowód w postępowaniu.
Praca zdalna
Przy pracy zdalnej warto określić:
- zasady korzystania ze sprzętu,
- wymagania dotyczące sieci i haseł,
- sposób przechowywania dokumentów papierowych,
- zakaz udostępniania urządzeń domownikom,
- procedurę zgłaszania utraty sprzętu,
- zasady prowadzenia rozmów i wideokonferencji,
- sposób bezpiecznego niszczenia dokumentów.
Marketing, newsletter, telefony i pliki cookies
Marketing wymaga jednoczesnej analizy RODO oraz przepisów regulujących komunikację elektroniczną.
Newsletter i wiadomości handlowe
Przed wysłaniem komunikacji marketingowej należy ustalić:
- skąd pochodzi adres,
- jaka jest podstawa przetwarzania danych,
- czy wymagane są dodatkowe zgody na kanał komunikacji,
- czego dokładnie dotyczy udzielona zgoda,
- jak osoba może się wypisać,
- jak firma udowodni pozyskanie zgody.
Zgoda na regulamin sklepu nie jest automatycznie zgodą na newsletter. Zgody na różne cele nie powinny być łączone w jednym niejasnym oświadczeniu.
Sprzeciw wobec marketingu bezpośredniego należy respektować. Firma powinna zachować minimalną informację pozwalającą nie wysłać wiadomości ponownie, zamiast usuwać każdy ślad sprzeciwu i przypadkowo ponownie dodać osobę do kampanii.
Pliki cookies i narzędzia analityczne
Cookies niezbędne do działania usługi mogą być wykorzystywane bez zgody w zakresie dopuszczonym przez prawo. Narzędzia reklamowe, śledzące i część rozwiązań analitycznych zwykle wymagają wcześniejszej zgody.
Baner cookies nie powinien:
- instalować opcjonalnych plików przed wyborem użytkownika,
- ukrywać przycisku odmowy,
- wymuszać zgody na wszystkie cele,
- stosować domyślnie zaznaczonych opcji,
- utrudniać późniejszego wycofania zgody.
Samo umieszczenie informacji, że „korzystanie ze strony oznacza zgodę”, nie jest wystarczające.
Przekazywanie danych poza Europejski Obszar Gospodarczy
Transfer może wystąpić nie tylko wtedy, gdy firma wysyła plik za granicę. Może do niego dojść również przez:
- hosting lub chmurę,
- system mailingowy,
- narzędzie analityczne,
- platformę do wideokonferencji,
- zdalny dostęp pomocy technicznej,
- podwykonawców dostawcy,
- globalny system CRM.
Przedsiębiorca powinien sprawdzić lokalizację danych, warunki umowy, listę podwykonawców i mechanizm legalizujący transfer. Może nim być między innymi decyzja stwierdzająca odpowiedni stopień ochrony albo standardowe klauzule umowne połączone z oceną warunków transferu.
Samo stwierdzenie dostawcy, że „jest zgodny z RODO”, nie zastępuje tej analizy.
Czy mała firma musi powołać inspektora ochrony danych?
Nie każda firma musi wyznaczyć inspektora ochrony danych. Obowiązek może wystąpić, gdy główna działalność polega na:
- regularnym i systematycznym monitorowaniu osób na dużą skalę,
- przetwarzaniu na dużą skalę szczególnych kategorii danych,
- przetwarzaniu na dużą skalę danych dotyczących wyroków skazujących i naruszeń prawa.
Zwykłe prowadzenie listy klientów, księgowości czy akt pracowniczych przez niewielką firmę zazwyczaj nie oznacza automatycznego obowiązku powołania IOD.
Przedsiębiorca może wyznaczyć inspektora dobrowolnie, ale wtedy powinien zapewnić mu niezależność, zasoby, dostęp do najwyższego kierownictwa i brak konfliktu interesów. Nie warto używać formalnego tytułu IOD dla osoby, której rola nie spełnia wymogów tej funkcji.
Kiedy potrzebna jest ocena skutków dla ochrony danych?
Ocena skutków, nazywana DPIA, jest wymagana, gdy planowane przetwarzanie może powodować wysokie ryzyko dla praw i wolności osób.
Sygnałami ostrzegawczymi mogą być:
- systematyczne profilowanie,
- podejmowanie decyzji o istotnych skutkach,
- szeroko zakrojony monitoring,
- dane szczególnych kategorii na dużą skalę,
- łączenie wielu zbiorów,
- śledzenie lokalizacji,
- innowacyjne technologie,
- przetwarzanie danych osób szczególnie narażonych,
- rozwiązania biometryczne.
DPIA powinna opisywać proces, oceniać jego niezbędność i proporcjonalność, analizować ryzyko oraz wskazywać środki ograniczające zagrożenia. Należy wykonać ją przed uruchomieniem procesu, a nie dopiero po wystąpieniu incydentu.
Tabela decyzyjna dla przedsiębiorcy
| Sytuacja | Co należy sprawdzić? | Najczęstsza decyzja lub działanie |
|---|---|---|
| Firma zbiera dane do realizacji zamówienia | Czy dane są niezbędne do umowy? | Oparcie niezbędnego zakresu na wykonaniu umowy |
| Klient zapisuje się na newsletter | Czy zgoda jest dobrowolna, rozliczalna i przypisana do kanału? | Zebranie odrębnej zgody i zapisanie dowodu |
| Biuro rachunkowe otrzymuje dane pracowników | Czy działa w imieniu firmy? | Weryfikacja dostawcy i zawarcie umowy powierzenia |
| Kurier otrzymuje adres odbiorcy | Jaką rolę pełni operator? | Ocena, czy jest procesorem, czy odrębnym administratorem |
| Firma chce zachować CV do przyszłych rekrutacji | Czy istnieje odrębny cel i podstawa? | Ustalenie okresu retencji i odpowiedniej podstawy |
| Pracownik wysłał dane złemu odbiorcy | Czy doszło do naruszenia poufności i jakie jest ryzyko? | Ograniczenie skutków, analiza, dokumentacja i ewentualne zgłoszenie |
| Klient żąda usunięcia wszystkich danych | Czy istnieją obowiązki prawne lub potrzeba obrony roszczeń? | Usunięcie danych zbędnych i zachowanie tylko uzasadnionego zakresu |
| Firma uruchamia monitoring | Czy cel jest konkretny, a rozwiązanie proporcjonalne? | Ocena podstawy, zakresu, oznaczeń, retencji i obowiązków pracowniczych |
| Dostawca chmury ma siedzibę poza EOG | Czy występuje transfer i jaki jest jego mechanizm? | Weryfikacja lokalizacji, umowy, podwykonawców i zabezpieczeń |
| Firma używa analitycznych i reklamowych cookies | Czy są niezbędne do działania strony? | Blokowanie opcjonalnych narzędzi do czasu zgody |
| Firma wdraża biometrię lub rozbudowane profilowanie | Czy występuje wysokie ryzyko? | Analiza potrzeby przeprowadzenia DPIA |
| Pracownik odchodzi z firmy | Do jakich systemów miał dostęp? | Natychmiastowe odebranie kont, kluczy, tokenów i uprawnień |
Najważniejsze liczby i statystyki regulacyjne
W ochronie danych szczególne znaczenie mają konkretne terminy i progi:
- 72 godziny – czas na zgłoszenie naruszenia organowi nadzorczemu, liczony od stwierdzenia naruszenia, jeżeli zgłoszenie jest wymagane;
- 1 miesiąc – podstawowy termin odpowiedzi na żądanie osoby;
- 2 dodatkowe miesiące – możliwe przedłużenie terminu przy skomplikowanych lub licznych żądaniach;
- 1 miesiąc – zasadniczy maksymalny termin przekazania informacji przy pośrednim pozyskaniu danych, z uwzględnieniem szczególnych sytuacji i wyjątków;
- 16 lat – wiek przyjęty w Polsce dla samodzielnego wyrażenia przez dziecko zgody na przetwarzanie danych w związku z usługami społeczeństwa informacyjnego opartymi na zgodzie;
- 250 pracowników – próg związany z ograniczonym wyjątkiem od prowadzenia rejestru czynności, który nie stanowi ogólnego zwolnienia małych firm;
- do 20 mln euro lub 4% całkowitego rocznego światowego obrotu – górny pułap administracyjnej kary za najpoważniejsze kategorie naruszeń, zależnie od tego, która wartość jest wyższa;
- do 10 mln euro lub 2% obrotu – górny pułap przewidziany dla innych kategorii naruszeń objętych niższym poziomem kar.
Kara nie jest naliczana automatycznie według cennika. Przy jej ustalaniu bierze się pod uwagę między innymi charakter naruszenia, czas trwania, skalę, winę, podjęte działania naprawcze, wcześniejsze naruszenia i współpracę z organem.
Dla małej firmy równie istotne jak kara administracyjna mogą być koszty przestoju, odtworzenia danych, obsługi prawnej, zawiadomienia klientów, utraty reputacji i roszczeń cywilnych.
Najczęstsze błędy małych firm
Zbieranie zgody na wszystko
Zgoda nie jest uniwersalną podstawą. Jeżeli dane są potrzebne do umowy albo ich przetwarzanie wynika z prawa, proszenie o zgodę może wprowadzać klienta w błąd.
Kopiowanie dokumentacji z innej firmy
Dokument opisujący nieistniejące systemy, podstawy prawne lub procedury nie potwierdza zgodności. Może wręcz wykazać, że firma nie kontroluje własnych procesów.
Brak kontroli nad pocztą elektroniczną
Dane często pozostają przez lata w skrzynkach obecnych i byłych pracowników. Należy uwzględnić pocztę w retencji, obsłudze żądań, kopiach zapasowych oraz procedurze odbierania dostępów.
Wysyłanie wiadomości do wielu odbiorców w polu „DW”
Ujawnienie adresów e-mail innym odbiorcom może być naruszeniem ochrony danych. Przy masowej korespondencji należy korzystać z pola „UDW” albo profesjonalnego systemu wysyłkowego.
Przechowywanie danych bez terminu
Formuła „przechowujemy dane do czasu wycofania zgody” nie jest odpowiednia dla każdego procesu. Trzeba także uwzględnić cel, obowiązki prawne, sprzeciw, nieaktywność użytkownika i terminy roszczeń.
Automatyczne żądanie skanu dowodu
Firma powinna potwierdzić tożsamość, ale nie może zbierać nadmiarowych danych bez potrzeby. Skan dokumentu może zwiększyć ryzyko kradzieży tożsamości.
Ignorowanie dostawców chmurowych
Niewielka firma może korzystać z kilkunastu podmiotów mających dostęp do danych. Brak ich wykazu utrudnia realizację żądań, ocenę transferów i reakcję na incydent.
Traktowanie cyberbezpieczeństwa jako zadania wyłącznie informatyka
Ochrona danych wymaga decyzji biznesowych dotyczących zakresu zbieranych informacji, uprawnień, dostawców, retencji i ryzyka. Odpowiedzialności administratora nie można całkowicie przenieść na firmę IT.
Mity dotyczące RODO w małej firmie
„Jednoosobowa działalność nie podlega RODO”
Nieprawda. Forma prawna ani liczba pracowników nie przesądzają o stosowaniu przepisów.
„Dane firmowe nie są danymi osobowymi”
To zależy od rodzaju informacji. Ogólny adres spółki może nie być daną osobową, ale dane osoby kontaktowej albo przedsiębiorcy prowadzącego działalność jednoosobową zazwyczaj pozwalają zidentyfikować osobę fizyczną.
„Każde naruszenie trzeba zgłosić”
Każde naruszenie należy udokumentować, ale obowiązek zgłoszenia zależy od poziomu ryzyka dla praw i wolności osób.
„Polityka prywatności załatwia całe RODO”
Polityka prywatności jest tylko jednym z elementów. Nie zastępuje podstaw prawnych, zabezpieczeń, retencji, umów, procedur i faktycznego zarządzania dostępem.
„RODO zabrania wysyłania faktur e-mailem”
RODO nie wprowadza takiego zakazu. Należy natomiast ocenić zakres danych, ryzyko, adres odbiorcy oraz adekwatne zabezpieczenia.
„Firma musi zawsze usuwać dane na żądanie”
Prawo do usunięcia nie jest bezwzględne. Dane mogą być nadal potrzebne z powodu obowiązku prawnego lub obrony roszczeń.
„Mała firma nie może korzystać z chmury”
Może, jeżeli odpowiednio oceni dostawcę, role stron, umowę, zabezpieczenia, podwykonawców i ewentualne transfery międzynarodowe.
Minimalny plan wdrożenia RODO w małej firmie
Praktyczny plan może obejmować następujące działania:
- Wyznacz osobę koordynującą ochronę danych.
- Sporządź wykaz procesów, danych, systemów i dokumentów papierowych.
- Określ cele i podstawy prawne.
- Przygotuj rejestr czynności przetwarzania.
- Zaktualizuj klauzule informacyjne i formularze zgód.
- Sporządź listę odbiorców, procesorów i podwykonawców.
- Zweryfikuj i zawrzyj umowy powierzenia.
- Sprawdź transfery poza EOG.
- Ustal okresy przechowywania i sposób usuwania danych.
- Ogranicz uprawnienia zgodnie z zakresem obowiązków.
- Włącz uwierzytelnianie wieloskładnikowe w kluczowych usługach.
- Zabezpiecz urządzenia i wykonuj testowane kopie zapasowe.
- Wprowadź procedurę obsługi żądań i naruszeń.
- Przeszkol pracowników.
- Regularnie przeglądaj zgodność po zmianie systemu, dostawcy lub procesu.
Wdrożenie nie jest jednorazowym projektem. Dokumentację i zabezpieczenia należy aktualizować po zmianie narzędzi, rozpoczęciu nowej kampanii, zatrudnieniu pracowników, wdrożeniu monitoringu lub pojawieniu się nowego rodzaju danych.
Powiązane obszary do dalszego rozwinięcia
Strona dotycząca ochrony danych może stanowić centrum dla bardziej szczegółowych poradników, takich jak:
- rejestr czynności przetwarzania krok po kroku,
- umowa powierzenia danych z biurem rachunkowym,
- klauzula informacyjna dla klientów,
- RODO w rekrutacji,
- retencja dokumentów pracowniczych i księgowych,
- procedura zgłaszania naruszeń,
- test równowagi dla prawnie uzasadnionego interesu,
- RODO w sklepie internetowym,
- newsletter i zgody marketingowe,
- polityka cookies i platforma zarządzania zgodami,
- transfer danych poza EOG,
- ocena skutków dla ochrony danych,
- bezpieczeństwo danych podczas pracy zdalnej.
FAQ – ochrona danych osobowych w małej firmie
Czy każda mała firma musi mieć politykę prywatności?
Firma prowadząca stronę, sklep internetowy lub formularze kontaktowe zwykle potrzebuje odpowiednich informacji dla użytkowników. Sama nazwa dokumentu nie jest najważniejsza. Liczy się to, czy przekazuje on wymagane informacje i odpowiada rzeczywistym procesom.
Czy trzeba rejestrować bazę klientów w urzędzie?
RODO nie przewiduje ogólnego obowiązku rejestrowania zbiorów danych klientów w organie nadzorczym. Administrator powinien natomiast prowadzić wymaganą dokumentację i być w stanie wykazać zgodność.
Czy pracownicy muszą mieć upoważnienia?
Administrator powinien kontrolować, kto ma dostęp do danych i w jakim zakresie. Pisemne lub elektroniczne upoważnienia są praktycznym sposobem dokumentowania dostępów, choć samo podpisanie dokumentu nie zastępuje konfiguracji kont i uprawnień.
Czy potrzebna jest zgoda klienta na wystawienie faktury?
Jeżeli przetwarzanie danych wynika z realizacji umowy i obowiązków podatkowych, zgoda nie jest właściwą podstawą.
Czy numer telefonu jest daną osobową?
Tak, jeżeli bezpośrednio lub po połączeniu z innymi informacjami pozwala zidentyfikować konkretną osobę.
Czy adres e-mail typu biuro@firma.pl jest daną osobową?
Nie zawsze. Jeżeli odnosi się wyłącznie do funkcji lub działu i nie identyfikuje osoby, może nie być daną osobową. Adres w rodzaju imie.nazwisko@firma.pl zazwyczaj jest daną osobową.
Czy można przechowywać dane byłych klientów?
Tak, jeżeli nadal istnieje uzasadniony cel i podstawa, na przykład obowiązek podatkowy lub potrzeba obrony roszczeń. Nie należy jednak zachowywać całej historii klienta bez ograniczeń.
Czy firma może nagrywać rozmowy?
Może to wymagać odpowiedniej podstawy, konkretnego celu, poinformowania rozmówcy, ograniczenia zakresu i ustalenia retencji. Nagrywanie wszystkich rozmów „na wszelki wypadek” może być nieproporcjonalne.
Czy trzeba szyfrować każdą wiadomość e-mail?
Nie istnieje ogólny obowiązek szyfrowania każdej wiadomości. Zabezpieczenie powinno odpowiadać ryzyku. Przy danych wrażliwych, finansowych lub obszernych zestawach danych szyfrowanie załącznika albo użycie bezpiecznego portalu może być uzasadnione.
Co zrobić, gdy klient podał błędny adres e-mail?
Jeżeli wiadomość z danymi została wysłana do nieuprawnionej osoby, należy potraktować sytuację jako potencjalne naruszenie, ograniczyć skutki, skontaktować się z odbiorcą i przeprowadzić ocenę ryzyka.
Czy firma musi zatrudnić inspektora ochrony danych?
Nie zawsze. Obowiązek zależy przede wszystkim od charakteru głównej działalności, skali przetwarzania i rodzaju danych, a nie wyłącznie od wielkości firmy.
Jak często wykonywać audyt RODO?
Nie ma jednego ustawowego terminu dla wszystkich firm. Przegląd warto wykonywać regularnie oraz po istotnej zmianie, takiej jak wdrożenie nowego systemu, rozpoczęcie monitoringu, zmiana dostawcy chmury lub wystąpienie incydentu.
Kto odpowiada za RODO: właściciel czy firma IT?
Za zgodność przetwarzania odpowiada administrator, czyli najczęściej przedsiębiorca lub spółka. Firma IT może odpowiadać za swoje obowiązki i zabezpieczenia, ale nie przejmuje całej odpowiedzialności administratora.
Czy usunięcie pliku oznacza usunięcie danych?
Nie zawsze. Dane mogą nadal znajdować się w koszu, poczcie, kopiach zapasowych, archiwach lub systemach dostawców. Procedura usuwania powinna uwzględniać cały cykl życia informacji.
Podsumowanie
Ochrona danych w małej firmie powinna opierać się na znajomości własnych procesów, minimalizacji danych i świadomym zarządzaniu ryzykiem. Najważniejsze jest nie to, ile dokumentów znajduje się w segregatorze, lecz czy firma potrafi wyjaśnić, po co przetwarza dane, na jakiej podstawie, komu je przekazuje, jak je zabezpiecza i kiedy je usuwa.
Dobrze wdrożone zasady RODO ograniczają ryzyko incydentów, ułatwiają współpracę z kontrahentami i pozwalają szybciej reagować na żądania klientów. Zakres wdrożenia powinien być proporcjonalny do działalności, ale podstawowe obowiązki dotyczą również mikroprzedsiębiorców.
Treść ma charakter informacyjny. W przypadku procesów wysokiego ryzyka, danych szczególnych kategorii, monitoringu, biometrii lub rozbudowanych transferów międzynarodowych warto przeprowadzić indywidualną analizę prawną i techniczną.
2 comments