Wdrożenie RODO Białystok — audyt i inspektor ochrony danych

Kogo dotyczy RODO i jakie są kary za naruszenia?

RODO obowiązuje każdy podmiot przetwarzający dane osobowe — niezależnie od wielkości. Dane osobowe to każda informacja o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (art. 4 pkt 1 RODO): nie tylko klientów, ale też pracowników, kontrahentów i użytkowników strony.

• Administrator danych — decyduje o celach i sposobach przetwarzania
• Podmiot przetwarzający (procesor) — przetwarza dane na zlecenie administratora (art. 28 RODO)
• Dwa progi kar (art. 83 RODO): do 10 mln EUR / 2% obrotu oraz do 20 mln EUR / 4% rocznego światowego obrotu
• Organ nadzorczy w Polsce — Prezes Urzędu Ochrony Danych Osobowych (UODO)

Wdrożenie RODO w firmie — co musi mieć każde przedsiębiorstwo

Wdrożenie RODO to nie jeden dokument, lecz spójny system zarządzania danymi. Minimalny zestaw, który powinna mieć każda firma:

• Rejestr czynności przetwarzania (art. 30 RODO)
• Polityka ochrony danych i procedury bezpieczeństwa (art. 32 RODO)
• Klauzule informacyjne (art. 13–14 RODO) oraz zgody tam, gdzie są wymagane
• Umowy powierzenia przetwarzania z procesorami (art. 28 RODO)
• Upoważnienia do przetwarzania i ewidencja upoważnień
• Procedura realizacji praw osób oraz procedura zgłaszania naruszeń

Każdy element dopasowujemy do realnych procesów firmy — RODO „z półki” nie chroni przed karą.

Audyt zgodności z RODO — co sprawdzamy?

Audyt RODO odpowiada na pytanie: czy w razie kontroli UODO firma wykaże zgodność — zgodnie z zasadą rozliczalności (art. 5 ust. 2 RODO)? Sprawdzamy m.in.:

• Podstawy prawne każdego procesu przetwarzania (art. 6 i 9 RODO)
• Zakres zbieranych danych — zasadę minimalizacji
• Bezpieczeństwo techniczne i organizacyjne (art. 32 RODO)
• Umowy powierzenia i transfery danych poza Europejski Obszar Gospodarczy
• Realizację obowiązków informacyjnych i praw osób (art. 15–22 RODO)

Audyt kończy się raportem z listą niezgodności i planem naprawczym uszeregowanym według ryzyka.

Inspektor Ochrony Danych (IOD) — kiedy obowiązkowy i co robi

IOD jest obowiązkowy w trzech przypadkach (art. 37 RODO): gdy przetwarzania dokonuje organ publiczny, gdy główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę, lub gdy na dużą skalę przetwarzane są dane szczególnych kategorii.

• Monitorowanie zgodności i doradztwo (art. 39 RODO)
• Punkt kontaktowy dla osób, których dane dotyczą, oraz dla UODO
• Niezależność i brak konfliktu interesów (art. 38 RODO)

DBO Polska pełni funkcję zewnętrznego IOD — bez kosztów etatu, z pełną odpowiedzialnością ekspercką.

Rejestr czynności przetwarzania i polityka prywatności

Rejestr czynności (art. 30 RODO) to inwentaryzacja wszystkich procesów, w których firma przetwarza dane — pierwszy dokument, o który prosi UODO podczas kontroli.

• Cele i podstawy prawne przetwarzania, kategorie osób i danych
• Odbiorcy danych i ewentualne transfery poza EOG
• Planowane terminy usunięcia danych (retencja)
• Polityka prywatności na stronie — zgodna z art. 13 RODO, czytelna dla użytkownika

Powierzenie danych dostawcom (hosting, marketing, księgowość) zabezpieczamy umowami — zob. umowy z procesorami danych.

RODO w zatrudnieniu — dane pracowników i monitoring

Pracodawca jest administratorem danych pracowników. Zakres danych, których może żądać, jest ograniczony (art. 22(1) Kodeksu pracy), a monitoring wymaga spełnienia warunków ustawowych.

• Dane w rekrutacji i zatrudnieniu — tylko niezbędne
• Monitoring wizyjny, poczty i aktywności — cel, zakres, poinformowanie (art. 22(2)–22(3) KP)
• Upoważnienia dla działu kadr i przełożonych
• Przechowywanie akt osobowych a zasada ograniczenia przechowywania

Pełną obsługę kadrową prowadzimy w ramach usługi prawo pracy.

Naruszenie ochrony danych — procedura incydentowa

Naruszenie ochrony danych (wyciek, utrata, nieuprawniony dostęp) trzeba zgłosić do UODO w ciągu 72 godzin od jego stwierdzenia (art. 33 RODO), a w razie wysokiego ryzyka — także zawiadomić osoby, których dane dotyczą (art. 34 RODO).

• Wykrycie naruszenia i ocena ryzyka dla praw osób
• Zgłoszenie do UODO w 72 godziny (chyba że naruszenie jest mało prawdopodobne, by powodowało ryzyko)
• Zawiadomienie osób, których dane dotyczą, przy wysokim ryzyku
• Rejestr naruszeń i działania naprawcze

Pomagamy przejść przez incydent tak, by ograniczyć ryzyko kary — szybka, udokumentowana reakcja bywa okolicznością łagodzącą. Szerszy zakres wsparcia firm opisuje strona obsługa prawna firm.