Firmy i umowy

RODO w firmie - obowiązki, dokumentacja i kary

RODO w firmie sprowadza się do prostego pytania: czy panujesz nad danymi osobowymi, które przetwarzasz, i czy potrafisz to wykazać. Jeśli masz klientów, pracowników albo współpracowników, przetwarzasz dane osobowe - a to oznacza konkretne obowiązki wynikające z ogólnego rozporządzenia o ochronie danych (RODO).

Dobra wiadomość jest taka, że RODO nie wymaga od małej firmy tego samego, co od korporacji. Zakres obowiązków dopasowujesz do skali i ryzyka. Zła wiadomość: nie da się go zupełnie pominąć, a kontrola lub skarga klienta potrafi ujawnić braki, których nikt wcześniej nie porządkował.

Kogo dotyczy RODO

RODO dotyczy każdego, kto przetwarza dane osobowe w związku z działalnością - niezależnie od formy prawnej i wielkości. Jednoosobowa działalność, spółka, fundacja czy stowarzyszenie: jeśli zbierasz imiona, adresy, numery telefonu, adresy e-mail, dane do faktur czy dane pracowników, jesteś administratorem danych i odpowiadasz za zgodność przetwarzania z przepisami.

Nie ma znaczenia, czy dane trzymasz w systemie informatycznym, czy w papierowym segregatorze. Liczy się to, że na ich podstawie można zidentyfikować konkretną osobę. Dane firm (sama nazwa, NIP spółki) co do zasady nie są danymi osobowymi, ale dane osób prowadzących jednoosobową działalność już tak.

Podstawowe obowiązki firmy

Przepisy można sprowadzić do kilku filarów, które powinna ogarnąć każda firma:

Podstawa przetwarzania - dla każdego celu musisz mieć podstawę prawną z art. 6 RODO: najczęściej wykonanie umowy, obowiązek prawny (np. podatkowy), uzasadniony interes albo zgoda. Przetwarzanie bez podstawy jest niezgodne z prawem.
Obowiązek informacyjny - w momencie zbierania danych musisz poinformować osobę, kto jest administratorem, w jakim celu i na jakiej podstawie przetwarzasz dane, jak długo je przechowujesz i jakie ma prawa (art. 13 i 14 RODO). Służy temu klauzula informacyjna.
Rejestr czynności przetwarzania - spis tego, jakie dane, w jakich celach i jak długo przetwarzasz (art. 30 RODO). Najmniejsze podmioty bywają z niego zwolnione, ale w praktyce warto go prowadzić, bo porządkuje całość.
Bezpieczeństwo danych - musisz wdrożyć odpowiednie środki techniczne i organizacyjne chroniące dane przed utratą, wyciekiem i nieuprawnionym dostępem (art. 32 RODO): kontrola dostępu, kopie zapasowe, szyfrowanie tam, gdzie to zasadne, oraz zasady dla pracowników.
Umowy powierzenia - jeśli dane przetwarza w Twoim imieniu zewnętrzny podmiot (biuro rachunkowe, hosting, dostawca systemu, firma wysyłkowa), potrzebujesz z nim umowy powierzenia przetwarzania (art. 28 RODO).

Zgłaszanie naruszeń ochrony danych

Jeśli dojdzie do naruszenia - wycieku, utraty, kradzieży laptopa z danymi, wysłania pliku do niewłaściwej osoby - masz obowiązek ocenić ryzyko dla osób, których dane dotyczą. Jeżeli naruszenie może powodować ryzyko dla ich praw i wolności, zgłaszasz je do Prezesa Urzędu Ochrony Danych Osobowych bez zbędnej zwłoki, nie później niż w ciągu 72 godzin (art. 33 RODO). Gdy ryzyko jest wysokie, informujesz również same osoby (art. 34 RODO).

Każde naruszenie - nawet to niezgłaszane do organu - trzeba odnotować w wewnętrznej ewidencji. To jeden z pierwszych dokumentów, o które pyta organ nadzorczy podczas kontroli.

Prawa osób, których dane przetwarzasz

Klient lub pracownik może zwrócić się do Ciebie z żądaniem dotyczącym swoich danych. RODO daje m.in. prawo dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz sprzeciwu. Co do zasady masz miesiąc na odpowiedź. Warto mieć z góry ustalony sposób przyjmowania i obsługi takich wniosków, żeby nie reagować chaotycznie i w terminie.

Kary za naruszenie RODO

RODO przewiduje administracyjne kary pieniężne (art. 83). W najpoważniejszych przypadkach sięgają one do 20 milionów euro albo do 4% rocznego światowego obrotu przedsiębiorstwa - zależnie od tego, która kwota jest wyższa. W praktyce kary dla mniejszych podmiotów bywają znacznie niższe, a ich wysokość zależy od wagi naruszenia, jego skutków i tego, czy firma współpracowała z organem.

Dla małej firmy realnym zagrożeniem bywa nie tyle rekordowa kara, co koszt i stres związany z kontrolą, skargą klienta albo utratą zaufania po wycieku. Uporządkowanie dokumentacji z wyprzedzeniem jest tańsze niż gaszenie pożaru po fakcie.

RODO a strona internetowa i marketing

Osobny obszar to Twoja strona i działania marketingowe. Jeśli korzystasz z analityki (np. Google Analytics), plików cookie w celach statystycznych lub reklamowych, prowadzisz newsletter albo formularz kontaktowy - potrzebujesz polityki prywatności, poprawnie zbudowanego banera zgody na cookies oraz podstawy do wysyłki informacji handlowych. To miejsce, w którym najłatwiej o błąd, bo dotyczy każdego odwiedzającego.

Od czego zacząć

Najrozsądniej zacząć od krótkiego przeglądu: jakie dane zbierasz, w jakich celach, gdzie je trzymasz i komu je przekazujesz. Na tej podstawie przygotowujesz klauzule informacyjne, rejestr czynności, umowy powierzenia z dostawcami oraz proste zasady bezpieczeństwa i reagowania na naruszenia. Dla większości firm to kilka dokumentów i garść procedur - ważne, żeby były dopasowane do realnej działalności, a nie pobrane na ślepo z internetu.

Masz podobną sprawę?

Pierwsza analiza sprawy jest bezpłatna. Opisz krótko sytuację, a podpowiem, jakie masz możliwości i co warto zrobić w pierwszej kolejności.

Umów konsultację lub zadzwoń: 693 70 70 78

Najczęstsze pytania

Czy jednoosobowa działalność musi stosować RODO?

Tak. Obowiązki z RODO zależą nie od formy prawnej, lecz od tego, czy przetwarzasz dane osobowe. Jeśli masz klientów, podwykonawców lub pracowników, przetwarzasz dane i jesteś administratorem. Zakres obowiązków jest jednak dopasowany do skali - mała działalność nie musi wdrażać tego samego, co duża firma.

Czy w firmie trzeba powołać inspektora ochrony danych (IOD)?

Nie zawsze. Powołanie inspektora jest obowiązkowe tylko w określonych przypadkach, m.in. gdy główna działalność polega na przetwarzaniu danych na dużą skalę lub na regularnym, systematycznym monitorowaniu osób. Większość małych i średnich firm nie ma takiego obowiązku, choć może powołać IOD dobrowolnie.

Czy potrzebuję zgody na przetwarzanie danych klienta?

Nie zawsze. Zgoda to tylko jedna z podstaw przetwarzania. Do wykonania umowy, wystawienia faktury czy dochodzenia należności zgoda nie jest potrzebna - wystarczą inne podstawy z art. 6 RODO. Zgodę stosuje się przede wszystkim tam, gdzie nie ma innej podstawy, na przykład przy marketingu czy newsletterze.

Co zrobić, gdy dojdzie do wycieku danych?

Trzeba ocenić ryzyko dla osób, których dane dotyczą. Jeśli naruszenie może powodować ryzyko dla ich praw i wolności, zgłasza się je do Prezesa UODO w ciągu 72 godzin, a przy wysokim ryzyku informuje także same osoby. Każde naruszenie należy ponadto odnotować w wewnętrznej ewidencji.

Czy umowa z biurem rachunkowym lub firmą hostingową wymaga czegoś dodatkowego?

Tak. Jeśli taki podmiot przetwarza dane w Twoim imieniu, potrzebujesz umowy powierzenia przetwarzania danych (art. 28 RODO). Określa ona m.in. zakres, cel i zasady bezpieczeństwa. Jej brak jest częstym uchybieniem wychwytywanym podczas kontroli.

Ile kosztuje wdrożenie RODO w małej firmie?

Zależy od tego, ile danych i w ilu procesach przetwarzasz oraz od stanu wyjściowego dokumentacji. W wielu małych firmach sprowadza się to do kilku dokumentów i prostych procedur. Kluczowe jest dopasowanie ich do rzeczywistej działalności - gotowe wzory z sieci często nie pasują i dają złudne poczucie bezpieczeństwa.

Radca prawny Robert Staszewski, Wrocław

Prowadzę sprawy rozwodowe i rodzinne, o odszkodowania i zadośćuczynienia, windykacyjne oraz obsługę prawną firm. Jeśli potrzebujesz pomocy, napisz na kancelaria@robertstaszewski.pl lub zadzwoń 693 70 70 78.

Ten artykuł ma charakter ogólny i informacyjny i nie stanowi porady prawnej ani opinii prawnej. Każda sprawa jest inna, dlatego w swojej sprawie skonsultuj się z radcą prawnym.