RODO w firmie — co faktycznie musisz mieć, a co jest zbędną papierologią

Większość firm, które pytają mnie o RODO, ma albo za mało (brak umów powierzenia z podwykonawcami), albo za dużo (stosy zgód na coś, na co zgoda nie jest potrzebna). Obie sytuacje są błędem.

Co jest absolutnym minimum prawnym?

Rejestr czynności przetwarzania

Co do zasady obowiązkowy dla firm zatrudniających powyżej 250 osób, ale w praktyce wymagany w większości MŚP, ponieważ wyjątki z art. 30 ust. 5 RODO mają bardzo wąski zakres zastosowania, a w razie kontroli UODO to pierwszy dokument, o który pyta inspektor. Opisuje: jakie dane zbierasz, w jakim celu, na jakiej podstawie prawnej, jak długo przechowujesz, komu przekazujesz.

Klauzule informacyjne

Każda osoba, od której zbierasz dane osobowe, musi dostać informację o tym kto jest administratorem, w jakim celu zbierane są jej dane, jak długo, jakie ma prawa. Dotyczy to pracowników (przy zatrudnieniu), klientów (przy zawieraniu umowy), uczestników rekrutacji. Klauzula informacyjna to nie to samo co zgoda — i to jedna z najczęstszych pomyłek.

Umowy powierzenia przetwarzania danych

Jeśli korzystasz z zewnętrznych usług, w ramach których Twoi podwykonawcy mają dostęp do danych osobowych Twoich klientów lub pracowników — musisz mieć z nimi umowę powierzenia (art. 28 RODO). Dotyczy to: systemów CRM w chmurze, firm kadrowo-płacowych, hostingu poczty elektronicznej, systemów do fakturowania. To jest obszar, w którym brakuje dokumentacji najczęściej.

Polityka bezpieczeństwa i ochrony danych

Wewnętrzny dokument opisujący jak firma chroni dane — dostęp do systemów, hasła, szyfrowanie, co dzieje się z danymi po zakończeniu współpracy.

Co jest najczęściej robione niepotrzebnie lub źle?

Zgody na przetwarzanie danych przy rekrutacji

Bardzo powszechny błąd: zbieranie zgody od kandydatów na przetwarzanie danych w CV. W przypadku rekrutacji na konkretne stanowisko podstawą prawną przetwarzania danych jest obowiązek prawny wynikający z Kodeksu pracy i uzasadniony interes pracodawcy — zgoda nie jest właściwą podstawą prawną w tym zakresie. Zgoda jest wymagana tylko jeśli chcesz przetwarzać CV na potrzeby przyszłych rekrutacji.

Zbieranie zgód od klientów na wszystko

Zgoda jest jedną z sześciu podstaw prawnych przetwarzania danych (art. 6 RODO) — i nie jest najsilniejszą. W relacji B2B podstawą przetwarzania danych jest zazwyczaj umowa lub uzasadniony interes administratora. Zbieranie zgód tam, gdzie są zbędne, komplikuje sytuację prawną — bo zgoda może być cofnięta w każdej chwili.

Trzy najczęstsze naruszenia w MŚP

1. Brak umów powierzenia z dostawcami oprogramowania i usług chmurowych — ryzyko przy transferze danych do podmiotów poza UE.
2. Nieaktualne polityki — napisane w 2018 roku, niezmieniane mimo zmiany systemów, procesów i dostawców usług.
3. Brak procedury na wypadek naruszenia bezpieczeństwa — RODO wymaga zgłoszenia wycieku danych do UODO w ciągu 72 godzin (art. 33 RODO). Jeśli nie ma procedury, czas jest tracony na ustalanie kto odpowiada za decyzję.

RODO nie jest problemem. Problemem jest niewiedza gdzie są Twoje dane — i kto ma do nich dostęp. Odpowiedzi na te dwa pytania to fundament, od którego zaczyna się sensowne wdrożenie.