W skrócie: RODO w firmie nie polega na posiadaniu jednego dokumentu pod nazwą „polityka prywatności”. Przedsiębiorca musi wiedzieć, jakie dane przetwarza, w jakim celu, na jakiej podstawie, komu je przekazuje, jak długo je przechowuje i co zrobi, gdy dojdzie do naruszenia. Najczęstsze braki to nieaktualne klauzule informacyjne, brak umów powierzenia, chaotyczne upoważnienia i brak procedury 72 godzin.
Mapa danych w firmie
Pierwszy krok to ustalenie, gdzie w firmie są dane osobowe. Zwykle chodzi o klientów, pracowników, kandydatów do pracy, kontrahentów, użytkowników strony, newsletter, monitoring, system CRM, pocztę e-mail, księgowość i archiwum. Bez tej mapy nie da się rozsądnie przygotować dokumentacji.
W praktyce mała firma nie potrzebuje nadmiarowego formalizmu, ale potrzebuje porządku. Dokumenty powinny odpowiadać realnym procesom, a nie być kopiami z internetu.
Podstawa przetwarzania i cel
Dla każdego procesu trzeba wskazać cel i podstawę przetwarzania. Inna podstawa dotyczy realizacji umowy z klientem, inna obowiązków księgowych, inna rekrutacji, marketingu albo dochodzenia roszczeń. Błędem jest wpisywanie zgody wszędzie. Zgoda jest tylko jedną z podstaw i często nie jest właściwa, zwłaszcza gdy przetwarzanie wynika z umowy lub przepisu prawa.
Rejestr czynności przetwarzania
Rejestr czynności przetwarzania porządkuje procesy w firmie: kategorie osób, dane, cele, podstawy, odbiorców, terminy usuwania i zabezpieczenia. Nie każda mała firma musi prowadzić rozbudowany rejestr w takim samym zakresie jak duża organizacja, ale w praktyce nawet uproszczony rejestr pomaga wykazać rozliczalność i szybko odpowiedzieć na pytania klientów lub organu.
Klauzule informacyjne
Klauzula informacyjna powinna być zrozumiała i dopasowana do sytuacji: klient, kandydat do pracy, pracownik, kontrahent, użytkownik formularza kontaktowego. Musi wskazywać administratora, cele, podstawy, odbiorców, okres przechowywania i prawa osoby. Zbyt ogólna klauzula „na wszelki wypadek” bywa gorsza niż krótka, ale konkretna.
Jeżeli firma korzysta z formularzy kontaktowych, systemów mailingowych albo zewnętrznych platform, trzeba sprawdzić także powierzenie danych i transfery poza EOG.
Umowy powierzenia danych
Umowa powierzenia jest potrzebna, gdy zewnętrzny podmiot przetwarza dane w imieniu firmy, np. biuro rachunkowe, dostawca hostingu, system CRM, firma IT albo agencja marketingowa. Umowa powinna wskazywać przedmiot i czas trwania przetwarzania, charakter i cel, kategorie danych, kategorie osób, których dane dotyczą, obowiązki procesora, bezpieczeństwo, podprocesorów i zasady zakończenia współpracy.
W relacjach B2B warto połączyć umowę powierzenia z głównym kontraktem oraz NDA. Temat poufności omawia tekst umowa NDA.
Naruszenie ochrony danych i termin 72 godzin
Jeżeli dojdzie do naruszenia ochrony danych, administrator powinien ocenić ryzyko i w razie potrzeby zgłosić naruszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin od stwierdzenia naruszenia. Nie każde naruszenie wymaga zgłoszenia, ale każde wymaga oceny i udokumentowania decyzji.
Najgorsza reakcja to milczenie i brak notatki. Firma powinna mieć prostą procedurę: kto przyjmuje zgłoszenie, kto ocenia ryzyko, kto decyduje o zawiadomieniu UODO, kto komunikuje się z osobami, których dane dotyczą.
RODO w rekrutacji i HR
W rekrutacji firma powinna zbierać tylko dane potrzebne do procesu. Dodatkowe dane, np. wizerunek, zainteresowania albo szersza historia zawodowa, wymagają ostrożności. Trzeba też pamiętać o retencji CV. Jeżeli firma chce zachować CV na przyszłe rekrutacje, potrzebuje osobnej podstawy i jasnej informacji dla kandydata.
Monitoring i narzędzia cyfrowe
Monitoring wizyjny, kontrola poczty, systemy czasu pracy i narzędzia analityczne wymagają szczególnej ostrożności. Pracownik lub współpracownik powinien wiedzieć, co jest monitorowane, w jakim celu i przez jaki czas. Przy B2B monitoring nie może tworzyć pozornego podporządkowania jak na etacie; wątki te łączą się z tekstem o pozornej umowie B2B.
Przykłady spraw
Klient K., firma handlowa. Firma miała politykę prywatności, ale brakowało umów powierzenia z dostawcami IT i biurem rachunkowym. Po audycie przygotowano listę procesorów, uproszczony rejestr i klauzule dla klientów.
Klient K., usługodawca z Mazowsza. Po omyłkowej wysyłce wiadomości do wielu odbiorców oceniono ryzyko, opisano incydent i przygotowano procedurę reakcji na naruszenia, aby kolejne przypadki były obsługiwane w ciągu godzin, a nie dni.
RODO na stronie internetowej firmy
Strona internetowa zwykle zbiera dane przez formularz kontaktowy, pliki cookies, narzędzia analityczne, mapę, widget opinii albo newsletter. Każdy z tych elementów wymaga sprawdzenia: kto jest dostawcą, jakie dane są przekazywane, czy działa zgoda cookies, czy polityka prywatności jest aktualna i czy formularz nie zbiera nadmiarowych danych.
Jeżeli firma prowadzi działania marketingowe, trzeba rozdzielić zgodę na kontakt handlowy, zgodę na newsletter i podstawę obsługi zapytania. W praktyce wiele stron miesza te cele w jednym checkboxie, co utrudnia późniejsze wykazanie zgodności.
RODO wobec pracowników i współpracowników B2B
Dane pracowników i współpracowników obejmują nie tylko imię, nazwisko i PESEL. To także dane kadrowe, ewidencja czasu, numery kont, oceny, korespondencja, monitoring, dane dostępowe i czasem dane zdrowotne. Firma powinna ograniczać dostęp do tych danych i jasno określić, kto może je przetwarzać.
Przy B2B trzeba dodatkowo zadbać, aby uprawnienia w systemach odpowiadały zakresowi usług. Osoba zewnętrzna nie powinna mieć szerszego dostępu niż potrzebuje do wykonania zadania. Łączy się to z umową B2B, NDA i procedurą zakończenia współpracy.
Mini-checklista RODO dla przedsiębiorcy
- czy wiadomo, jakie dane firma przetwarza i gdzie;
- czy klauzule informacyjne są dopasowane do procesów;
- czy istnieje lista procesorów i umów powierzenia;
- czy pracownicy mają upoważnienia i wiedzą, co robić przy incydencie;
- czy formularze na stronie zbierają tylko potrzebne dane;
- czy firma potrafi usunąć albo odnaleźć dane na żądanie osoby;
- czy naruszenie można obsłużyć w czasie liczonym w godzinach, nie tygodniach.
RODO nie powinno być oddzielone od umów. Przy nowych kontraktach warto od razu sprawdzać klauzule B2B, NDA i powierzenie danych.
FAQ
Czy każda firma musi mieć rejestr czynności przetwarzania?
Zakres obowiązku zależy od rodzaju firmy i procesów, ale w praktyce nawet uproszczony rejestr bardzo pomaga w wykazaniu rozliczalności i uporządkowaniu danych.
Czy każde naruszenie trzeba zgłaszać do UODO?
Nie każde. Trzeba ocenić, czy naruszenie może skutkować ryzykiem naruszenia praw lub wolności osób fizycznych. Decyzję warto udokumentować, nawet jeśli zgłoszenia nie dokonano.
Czy zgoda jest zawsze najlepszą podstawą przetwarzania?
Nie. Często właściwsza jest umowa, obowiązek prawny albo prawnie uzasadniony interes. Nadużywanie zgód prowadzi do problemów, bo zgodę można wycofać.
Jak Kancelaria może pomóc
Teresa Senderowska, radca prawny, pomaga firmom uporządkować dokumentację RODO, przygotować klauzule informacyjne, umowy powierzenia, procedury naruszeń i zapisy w umowach B2B. Zakres prac i wycena są ustalane indywidualnie po analizie realnych procesów w firmie, liczby systemów i rodzaju danych.