Dane osobowe / RODO

Pomagamy firmom stosować RODO w praktyce: przygotowujemy dokumentację, umowy powierzenia i procedury, szkolimy zespoły i wspieramy po naruszeniach ochrony danych.

Trzy pytania na początek

Zanim zaczniemy mówić o politykach i rejestrach, zadajemy klientom trzy pytania. Jakie dane osobowe firma zbiera i po co? Kto poza firmą ma do nich dostęp? Co się stanie, gdy jutro zginie służbowy laptop?

Jeśli odpowiedzi przychodzą szybko, zwykle wystarczy przegląd i kilka poprawek. Jeśli zapada cisza, warto usiąść do tematu porządnie. Dokumenty kupione w 2018 roku rzadko opisują firmę, która od tamtej pory zmieniła system księgowy, uruchomiła newsletter, zatrudniła ludzi na B2B i przeniosła pocztę do chmury.

Gdzie firmy mają najwięcej luk

Marketing i strona www

Formularze kontaktowe bez właściwej informacji, newsletter bez udokumentowanej zgody, baza kontaktów kupiona „od znajomej firmy”. Marketing bezpośredni przez e-mail i telefon wymaga zgody także na podstawie Prawa komunikacji elektronicznej. Przeglądamy stronę, politykę prywatności i informację o cookies, przygotowujemy treści zgód i pokazujemy, jak legalnie pozyskiwać nowych klientów. Sklepom internetowym pomagamy szerzej w obszarze e-commerce.

Kadry

CV kandydatów przechowywane latami, monitoring bez regulaminu, dostęp do skrzynek pracowników bez jasnych zasad. Kilka punktów odniesienia: CV przechowuje się do końca rekrutacji, chyba że kandydat zgodził się na udział w kolejnych. Nagrania z monitoringu w miejscu pracy co do zasady usuwa się po maksymalnie trzech miesiącach, a pracowników trzeba o monitoringu uprzedzić. Dokumenty kadrowe porządkujemy w pakiecie RODO - umowy z pracownikami, razem z doradztwem w prawie pracy.

Dostawcy

Biuro rachunkowe, firma IT, dostawca CRM czy systemu kadrowego przetwarzają dane w Państwa imieniu. Z każdym z nich potrzebna jest umowa powierzenia. Często okazuje się, że jej nie ma albo została podpisana na wzorze dostawcy, który przerzuca całe ryzyko na klienta. Przygotowujemy i negocjujemy takie umowy z obu stron, także gdy to Państwa firma przetwarza dane dla klientów.

Nowe narzędzia

Nowy system, aplikacja albo narzędzie AI, do którego pracownicy wklejają dane klientów. Każda taka zmiana powinna przejść przez ocenę z perspektywy RODO, a czasem przez pełną ocenę skutków dla ochrony danych (DPIA). O AI piszemy osobno w obszarze sztuczna inteligencja.

Gdy coś pójdzie nie tak

Mail z danymi klientów trafił do złej osoby. Pracownik zgubił niezaszyfrowany pendrive. Ktoś włamał się na skrzynkę. Od chwili, gdy firma się o tym dowie, zaczyna biec czas. Jeśli naruszenie niesie ryzyko dla osób, których dane dotyczą, trzeba je zgłosić Prezesowi UODO w ciągu 72 godzin, a przy wysokim ryzyku zawiadomić także te osoby.

W takiej sytuacji pomagamy ocenić ryzyko, przygotować zgłoszenie i wpis w wewnętrznym rejestrze naruszeń, a jeśli trzeba, napisać wiadomość do klientów. Później reprezentujemy firmę w postępowaniu przed UODO.

Co Państwo otrzymują

Przy wdrożeniu albo porządkowaniu RODO przygotowujemy politykę ochrony danych, rejestr czynności przetwarzania, procedurę na wypadek naruszenia, zasady obsługi żądań osób, których dane dotyczą, upoważnienia i zobowiązania do poufności. Komplet dla spółki obejmuje pakiet RODO dla Firm.

Jeśli dokumentacja już istnieje, zaczynamy od przeglądu i poprawiamy tylko to, co trzeba. Szkolimy też zespoły HR, sprzedaży i marketingu na przykładach z ich pracy. Bieżące pytania, nowe umowy powierzenia i incydenty dobrze obsługuje abonament prawny.

Jak w praktyce wygląda realizacja jednego z praw osób, których dane dotyczą, opisaliśmy we wpisie Praktycznie o RODO: Dostęp do danych.

Kilka częstych pytań

Mamy kilkanaście osób w firmie. Czy RODO nas dotyczy?

Tak, RODO nie ma progu wielkości. Mała firma ma jednak prawo do prostszej dokumentacji, dopasowanej do skali działalności.

Czy potrzebujemy inspektora ochrony danych?

Większość małych i średnich firm nie musi go wyznaczać. Obowiązek pojawia się m.in. wtedy, gdy główna działalność polega na regularnym monitorowaniu osób na dużą skalę albo na przetwarzaniu na dużą skalę danych szczególnych kategorii, np. o zdrowiu.

A rejestr czynności przetwarzania?

Firmy zatrudniające mniej niż 250 osób są z niego formalnie zwolnione, ale wyjątek nie działa, gdy przetwarzanie danych nie jest sporadyczne. Dane pracowników i klientów przetwarza się stale, więc w praktyce rejestr powinna mieć prawie każda firma.

Ile wynosi kara za naruszenie RODO?

Maksymalnie 20 mln euro albo 4% rocznego światowego obrotu. Prezes UODO bierze jednak pod uwagę m.in. charakter naruszenia, jego skutki i to, jak firma współpracowała z urzędem. Niezależnie od kary osoby poszkodowane mogą domagać się odszkodowania.

Ile czasu mamy na odpowiedź klientowi, który pyta o swoje dane?

Co do zasady miesiąc. W uzasadnionych przypadkach termin można przedłużyć, ale trzeba o tym poinformować w ciągu tego pierwszego miesiąca.