Zanim dane wyciekną – co każda firma powinna wiedzieć
Pewna agencja reklamowa przez trzy lata wysyłała newsletter do kilku tysięcy odbiorców, opierając się na zgodach zebranych w formularzu, który nie spełniał wymogów RODO – brakowało informacji o możliwości wycofania zgody oraz danych administratora. Nikt w firmie nie zdawał sobie z tego sprawy, dopóki jeden z subskrybentów nie złożył skargi do organu nadzorczego. Sytuacja ta pokazuje, że ochrona danych osobowych nie jest tematem wyłącznie dla prawników ani wyłącznie dla dużych korporacji – dotyczy każdego podmiotu, który zbiera, przetwarza lub przechowuje informacje o ludziach. Ten artykuł przybliża, gdzie najczęściej pojawiają się luki w zgodności i na co warto zwrócić uwagę, zanim problem przyjdzie z zewnątrz.
Czym właściwie jest przetwarzanie danych i gdzie się zaczyna?
Wiele firm wyobraża sobie przetwarzanie danych jako coś, co dzieje się w serwerowniach dużych korporacji. Tymczasem wystarczy arkusz Excel z listą kontaktów do klientów, skrzynka mailowa z historią korespondencji albo system rezerwacji wizyt online, by być administratorem danych osobowych w pełnym tego słowa znaczeniu. Przetwarzanie obejmuje niemal każdą operację na danych – ich zbieranie, przechowywanie, modyfikowanie, przeglądanie, udostępnianie czy usuwanie. Administrator danych to podmiot, który decyduje o celach i sposobach przetwarzania, co oznacza, że odpowiedzialność za zgodność z przepisami spoczywa bezpośrednio na nim – nie na dostawcy narzędzia ani na zewnętrznej firmie IT.
Rozróżnienie między administratorem a podmiotem przetwarzającym (procesorem) ma bardzo praktyczne znaczenie. Gdy firma korzysta z zewnętrznego systemu CRM, hostingu czy usług księgowych, jej dane trafiają do podmiotów trzecich. Każda taka relacja powinna być uregulowana umową powierzenia przetwarzania danych – bez niej cała odpowiedzialność pozostaje po stronie administratora, a brak umowy sam w sobie stanowi naruszenie przepisów.
Podstawy prawne, które decydują o legalności działania
Zgoda to nie jedyna podstawa, na której wolno oprzeć przetwarzanie danych, choć bywa nadużywana i stosowana tam, gdzie jest zbędna lub wręcz nieodpowiednia. RODO przewiduje sześć podstaw prawnych, przy czym dobór właściwej wpływa bezpośrednio na prawa osób fizycznych i na to, jakie obowiązki spoczywają na administratorze. Zestawienie najważniejszych podstaw wraz z ich specyfiką wygląda następująco:
| Podstawa prawna | Typowe zastosowanie | Uwaga praktyczna |
|---|---|---|
| Zgoda osoby | Marketing, newsletter, profilowanie | Musi być dobrowolna i odwoływalna w każdej chwili |
| Wykonanie umowy | Realizacja zamówienia, usługi | Nie wymaga osobnej zgody, wystarczy zawarcie umowy |
| Obowiązek prawny | Księgowość, kadry, ZUS | Przepis prawa zastępuje zgodę – nie można jej odebrać |
| Uzasadniony interes | Marketing B2B, bezpieczeństwo IT | Wymaga testu równowagi – interes firmy vs. prawa osoby |
Błąd polegający na zbieraniu zgód tam, gdzie podstawą powinna być umowa, niesie ze sobą konkretne konsekwencje: osoba może wycofać zgodę i zażądać zaprzestania przetwarzania, nawet jeśli trwa realizacja zamówienia. Precyzyjny dobór podstawy to nie formalność, lecz element, który może zaważyć na ciągłości operacyjnej firmy.
Obowiązek informacyjny – co i komu należy powiedzieć?
Przepisy nakładają na administratora obowiązek poinformowania każdej osoby, której dane są zbierane, o szeregu kwestii – i to w momencie pozyskania danych lub możliwie szybko po tym fakcie. Zakres wymaganych informacji określa art. 13 i 14 RODO, przy czym oba artykuły różnią się w zależności od tego, czy dane pozyskano bezpośrednio od osoby, czy z innego źródła. Klauzula informacyjna powinna być napisana językiem zrozumiałym dla przeciętnego odbiorcy, a nie wyłącznie zgodnym z literą prawa – nadmiernie rozbudowane dokumenty prawnicze, których nikt nie czyta, trudno uznać za spełnienie wymogu przejrzystości.
W praktyce klauzula powinna zawierać dane administratora i jego danych kontaktowych, cel i podstawę prawną przetwarzania, okres przechowywania danych, informację o prawach przysługujących osobie oraz – gdy ma to zastosowanie – informację o przekazywaniu danych do podmiotów trzecich lub poza Europejski Obszar Gospodarczy.
Rejestr czynności przetwarzania – po co go prowadzić na bieżąco?
Rejestr czynności przetwarzania to dokument, który wielu administratorów stworzyło raz, przy okazji wdrożenia RODO w 2018 roku, i od tamtej pory nie ruszało. Problem w tym, że firma przez pięć lat zdążyła wdrożyć nowe systemy, zmienić procesy kadrowe, uruchomić sklep internetowy i zacząć korzystać z zewnętrznej obsługi IT – a rejestr nadal opisuje rzeczywistość sprzed tych zmian. Organ nadzorczy może zażądać wglądu w ten dokument w każdej chwili, a rozbieżność między rejestrem a faktycznym stanem przetwarzania to sygnał, że organizacja nie panuje nad swoimi procesami. Aktualizacja rejestru powinna być częścią każdego wdrożenia nowego narzędzia lub zmiany procesu biznesowego.
Naruszenia danych – 72 godziny to mniej, niż się wydaje
Scenariusz, w którym pracownik wysyła zestawienie danych klientów na niewłaściwy adres e-mail, zdarza się częściej, niż wynikałoby z oficjalnych statystyk. Wiele takich incydentów nigdy nie trafia do świadomości zarządu, bo nikt nie ma procedury, która by nakazywała ich zgłaszanie wewnątrz organizacji. Tymczasem RODO nakłada na administratora obowiązek zgłoszenia naruszenia do Prezesa UODO w ciągu 72 godzin od jego stwierdzenia – jeżeli naruszenie może powodować ryzyko dla praw lub wolności osób fizycznych. Przy wysokim ryzyku dochodzi jeszcze obowiązek poinformowania samych zainteresowanych. Firmy, które nie mają wdrożonej wewnętrznej procedury obsługi incydentów, tracą pierwsze godziny na ustalanie, do kogo należy decyzja o zgłoszeniu – a nie na samą analizę zdarzenia.
Warto pamiętać, że nie każde naruszenie wymaga zgłoszenia do organu – decyduje ocena ryzyka. Jednak brak tej oceny, czyli brak dokumentacji wskazującej, że administrator rozważył konsekwencje zdarzenia, może być traktowany jak naruszenie samego obowiązku zgłoszeniowego.
Kiedy wsparcie prawne staje się potrzebne?
Część organizacji radzi sobie z podstawową dokumentacją samodzielnie, jednak pewne sytuacje wyraźnie przekraczają zakres wiedzy ogólnej. Kancelaria prawna RODO jest przydatna szczególnie przy projektowaniu nowych procesów zbierania danych, analizie umów z podmiotami przetwarzającymi z krajów spoza UE, przeprowadzeniu oceny skutków dla ochrony danych (DPIA) czy w odpowiedzi na wezwanie organu nadzorczego. Kancelaria prawna ochrona danych osobowych specjalizująca się w tej dziedzinie może też pełnić funkcję zewnętrznego inspektora ochrony danych, co bywa rozwiązaniem dla firm, które nie mają uzasadnienia dla etatu dedykowanego wyłącznie temu obszarowi. Warto szukać podmiotów, które łączą kompetencje prawne z praktyczną wiedzą o tym, jak działają systemy informatyczne i procesy biznesowe – samo wykształcenie prawnicze bez znajomości realiów operacyjnych rzadko wystarcza.
Prawa osób fizycznych – od teorii do obsługi wniosków
RODO przyznało osobom fizycznym szereg uprawnień, z których coraz chętniej korzystają. Organizacja powinna być gotowa na obsługę takich żądań w określonych terminach – co do zasady jest to miesiąc od otrzymania wniosku. Do praw, które w praktyce pojawiają się najczęściej, należą:
- prawo dostępu do danych – osoba może zapytać, jakie jej dane są przetwarzane, w jakim celu i komu były udostępniane;
- prawo do sprostowania – gdy dane są błędne lub niekompletne, administrator ma obowiązek je poprawić;
- prawo do usunięcia – przysługuje w określonych przypadkach, m.in. gdy dane nie są już potrzebne do celu, w którym je zebrano;
- prawo sprzeciwu – szczególnie istotne przy przetwarzaniu opartym na uzasadnionym interesie administratora lub w celach marketingowych;
- prawo do przenoszenia danych – osoba może zażądać wydania swoich danych w ustrukturyzowanym formacie nadającym się do odczytu maszynowego.
Sprawna obsługa tych żądań wymaga wiedzy o tym, gdzie w organizacji dane są przechowywane. Firmy, które nie potrafią szybko zlokalizować danych konkretnej osoby w różnych systemach, ryzykują przekroczenie terminów – co z kolei może stać się podstawą skargi do organu nadzorczego.
Od dokumentów do realnej kultury ochrony prywatności
Posiadanie polityki prywatności, rejestru czynności przetwarzania i podpisanych umów powierzenia to punkt wyjścia, ale nie gwarancja rzeczywistej zgodności. Organizacje, które podchodzą do tematu dojrzale, włączają myślenie o prywatności w cykl życia każdego nowego projektu – produktu cyfrowego, kampanii marketingowej czy zmiany systemu kadrowego. Takie podejście, określane jako privacy by design, nie wymaga wielkich zasobów, lecz zmiany nawyku: pytania o dane osobowe padają na etapie planowania, nie tuż przed wdrożeniem. Regularne przeglądy dokumentacji, szkolenia dla pracowników i jasna ścieżka zgłaszania incydentów wewnątrz organizacji to elementy, które budują odporność na naruszenia lepiej niż jednorazowe projekty compliance przeprowadzone pod presją terminu.