Jak wdrożyć RODO w małej firmie?
Wdrożenie RODO w małej firmie nie wymaga korporacyjnych procedur ani zakupu specjalnego sprzętu. Potrzebujesz uporządkować dane, ocenić ryzyko, wdrożyć adekwatne zabezpieczenia i przygotować dokumenty odzwierciedlające rzeczywistą pracę firmy. Obowiązek dotyczy także jednoosobowej działalności bez pracowników.
RODO w małej firmie – co jest mitem, a co faktem?
RODO, czyli rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, obowiązuje od 25 maja 2018 roku. Nie wskazuje jednego wymaganego modelu zabezpieczeń ani konkretnego producenta mebli, programów czy systemów. Liczy się rezultat, czyli ochrona danych przed nieuprawnionym dostępem, utratą lub ujawnieniem.
| Mit | Fakt |
|---|---|
| Muszę kupić pancerną szafę lub specjalne meble RODO. | Musisz ograniczyć dostęp do dokumentów. W małej firmie może wystarczyć zamykana szafa, kontrola kluczy i zasada czystego biurka. |
| Muszę zatrudnić zewnętrzną firmę albo inspektora ochrony danych. | Możesz wdrożyć podstawowe zasady samodzielnie. IOD jest obowiązkowy tylko w przypadkach wskazanych w RODO, między innymi przy regularnym monitorowaniu osób na dużą skalę lub przetwarzaniu szczególnych kategorii danych na dużą skalę. |
| RODO to jednorazowy zakup dokumentów. | To stały proces. Dokumentację trzeba aktualizować po zmianie usług, dostawców, systemów lub sposobu przetwarzania danych. |
| Brak pracowników zwalnia z RODO. | Nie. Jednoosobowa działalność także podlega przepisom, jeśli przetwarza dane klientów, kontrahentów, subskrybentów lub innych osób fizycznych. |
Jak wdrożyć RODO w małej firmie krok po kroku?
Punktem wyjścia jest zasada proporcjonalności. Sklep internetowy, gabinet usługowy i firma obsługująca dane zdrowotne nie mają takiego samego ryzyka, dlatego nie powinny korzystać z identycznego zestawu procedur. Administrator Danych Osobowych, czyli w jednoosobowej działalności najczęściej przedsiębiorca, sam odpowiada za dobór rozwiązań i możliwość wykazania, że działał rozsądnie.
- Zrób audyt danych – spisz, jakie dane przetwarzasz, skąd je pozyskujesz, w jakim celu, jak długo je przechowujesz i komu je przekazujesz. Uwzględnij formularz kontaktowy, pocztę elektroniczną, faktury, umowy, newsletter, media społecznościowe, pliki papierowe i kopie zapasowe.
- Przygotuj Rejestr czynności przetwarzania – opisz w nim cele przetwarzania, kategorie osób i danych, podstawy prawne, odbiorców, okresy przechowywania oraz zabezpieczenia. Rejestr może mieć formę elektroniczną i powinien odpowiadać realnym procesom, a nie ogólnemu wzorowi znalezionemu w internecie.
- Przeprowadź analizę ryzyka – zastanów się, co może zagrozić danym. Ryzykiem może być zgubiony laptop, wysłanie wiadomości do niewłaściwego odbiorcy, włamanie do poczty, pożar, zalanie dokumentów albo dostęp osoby postronnej do biura. Następnie oceń, które zagrożenia są najbardziej prawdopodobne i jakie mogą mieć skutki.
- Wprowadź zabezpieczenia techniczne i organizacyjne – stosuj unikalne hasła i uwierzytelnianie wieloskładnikowe, aktualizuj programy, ograniczaj dostęp, wykonuj kopie zapasowe, szyfruj urządzenia lub nośniki, gdy jest to uzasadnione, a dokumenty papierowe przechowuj w zamykanym miejscu. Zabezpieczenia powinny wynikać z analizy ryzyka.
- Sprawdź dostawców i zawrzyj umowy powierzenia – przeanalizuj współpracę z biurem rachunkowym, hostingiem, dostawcą programu do faktur, systemem CRM, firmą mailingową czy usługą chmurową. Jeżeli podmiot przetwarza dane w Twoim imieniu, potrzebna jest umowa powierzenia albo odpowiednie postanowienia w regulaminie usługi. Samo przekazanie danych nie zwalnia administratora z odpowiedzialności.
- Spełnij obowiązek informacyjny – przygotuj klauzule dla strony internetowej, formularzy, umów, korespondencji i newslettera. Osoba powinna wiedzieć między innymi, kto jest administratorem, w jakim celu i na jakiej podstawie przetwarzasz dane, komu możesz je przekazać, jak długo je przechowujesz oraz jakie ma prawa. Zgoda jest potrzebna tylko w sytuacjach, w których właściwą podstawą nie jest na przykład umowa lub obowiązek prawny.
- Ustal sposób obsługi żądań i naruszeń – przygotuj procedurę reagowania na wnioski o dostęp, sprostowanie, ograniczenie lub usunięcie danych. Nie każde żądanie trzeba spełnić, na przykład obowiązek przechowywania dokumentów może ograniczać usunięcie danych. Incydenty wpisuj do rejestru naruszeń. Jeżeli naruszenie może powodować ryzyko dla praw lub wolności osób, zgłoszenie do Prezesa UODO trzeba rozważyć w terminie 72 godzin od stwierdzenia naruszenia.
Jeżeli przetwarzasz dane w imieniu innej firmy, a nie tylko własne dane klientów, możesz być także podmiotem przetwarzającym. Wtedy zakres obowiązków jest inny i może obejmować rejestr kategorii czynności przetwarzania. W typowej małej firmie IOD zwykle nie jest konieczny, ale ocena zależy od rodzaju, skali i regularności przetwarzania.
Jakie dokumenty są absolutnym minimum?
Nie istnieje jeden urzędowy pakiet dokumentów pasujący do każdej działalności. Minimum powinno wynikać z audytu i obejmować dokumenty, które da się zastosować w codziennej pracy:
- Rejestr czynności przetwarzania.
- Analiza ryzyka i opis zastosowanych zabezpieczeń.
- Polityka ochrony danych lub zestaw wewnętrznych zasad.
- Klauzule informacyjne i polityka prywatności strony internetowej.
- Umowy powierzenia z podmiotami przetwarzającymi dane w Twoim imieniu.
- Upoważnienia dla pracowników lub współpracowników, jeżeli mają dostęp do danych.
- Procedura obsługi praw osób oraz procedura reagowania na naruszenia.
- Rejestr naruszeń, nawet jeśli na początku pozostaje pusty.
Polityka ochrony danych nie musi mieć kilkudziesięciu stron. Powinna opisywać to, co faktycznie dzieje się w firmie, wskazywać osoby odpowiedzialne i określać sposób postępowania z dokumentami, systemami oraz incydentami. Dokumentacja może być papierowa, elektroniczna albo łączona. Forma nie ma znaczenia tak długo, jak dane są właściwie zabezpieczone.
Na co uważać?
Najczęstsze problemy nie wynikają z braku drogich narzędzi, lecz z rozbieżności między dokumentami a praktyką. Przedsiębiorca powinien sprawdzić zwłaszcza następujące obszary:
- Brak umowy powierzenia z księgowością, hostingiem lub dostawcą systemu, który ma dostęp do danych.
- Brak klauzul informacyjnych przy formularzach, newsletterze i innych kanałach zbierania danych.
- Przechowywanie danych bez określenia celu i okresu retencji.
- Wspólne konta, proste hasła, brak aktualizacji i brak kopii zapasowych.
- Dokumentacja skopiowana z innej firmy i niedopasowana do rzeczywistych procesów.
- Brak reakcji na incydent albo przekonanie, że niewysłana jeszcze wiadomość nie stanowi problemu.
Przed ewentualną kontrolą UODO sprawdź, czy potrafisz szybko odpowiedzieć, jakie dane przechowujesz, kto ma do nich dostęp, na jakiej podstawie je przetwarzasz i co zrobisz po naruszeniu. To prostszy test niż samo sprawdzenie, czy dokumenty znajdują się w segregatorze.
Co dalej?
Wdrożenie RODO w małej firmie można przeprowadzić samodzielnie, etapami, korzystając z materiałów UODO, albo z pomocą specjalisty, gdy działalność obejmuje dane szczególnych kategorii, duże zbiory lub skomplikowane narzędzia. Najważniejsze jest nie stworzenie obszernego pakietu papierów, lecz utrzymanie porządku, aktualizowanie dokumentacji i stosowanie opisanych zasad. Dzięki temu RODO staje się elementem zarządzania firmą, a nie jednorazowym projektem.
Artykuł ma charakter informacyjny i nie zastępuje indywidualnej porady prawnej. Zakres obowiązków zależy od rodzaju, skali i sposobu przetwarzania danych w konkretnej firmie.
