Obsługa prawna RODO służy uporządkowaniu sposobu, w jaki firma zbiera, wykorzystuje i zabezpiecza dane osobowe. W Krakowie oferujemy w tym zakresie praktyczne wsparcie, a nie gotowe szablony. RODO obowiązuje od 25 maja 2018 roku, a zgodność ocenia się na podstawie rzeczywistych procesów w firmie, zakresu danych oraz podstaw prawnych wskazanych w art. 6 ust. 1 lit. a, b, c lub f.
Wsparcie bywa potrzebne tam, gdzie przetwarzane są dane klientów, kandydatów lub kontrahentów. Dotyczy to zwłaszcza firm korzystających z formularzy kontaktowych, biuletynu e-mailowego, kont klientów, monitoringu lub sprzedaży przez internet albo prowadzących rekrutację. Spójna dokumentacja skraca czas reakcji na pytania klientów i kontrahentów oraz daje zespołowi jasne zasady pracy z danymi.
Co obejmuje oferta RODO?
Oferta RODO zwykle obejmuje audyt, wdrożenie oraz wsparcie inspektora danych osobowych. Każdy z tych etapów ma inny cel. Audyt pokazuje stan obecny, wdrożenie porządkuje dokumenty i procedury, a bieżąca obsługa pomaga utrzymać zgodność w codziennej pracy.
Planowana obsługa zaczyna się od ustalenia źródeł danych, celów przetwarzania i czasu przechowywania. Firmy z Krakowa często łączą sprzedaż stacjonarną ze sprzedażą przez internet, dlatego analiza powinna objąć zarówno stronę internetową, jak i działania wewnątrz organizacji.
Audyt RODO
Audyt RODO sprawdza, czy firma wie, jakie dane posiada, po co je przetwarza i komu je przekazuje. W praktyce weryfikacja obejmuje formularze, narzędzia sprzedażowe, systemy do wysyłki biuletynu e-mailowego, umowy z dostawcami usług oraz sposób nadawania uprawnień pracownikom.
Punktem wyjścia jest rejestr czynności przetwarzania (art. 30 RODO). Sprawdzane są także okresy przechowywania, sposób realizacji obowiązku informacyjnego oraz relacje między administratorem danych, czyli firmą decydującą o celach przetwarzania, a podmiotami przetwarzającymi, takimi jak biuro księgowe lub dostawca hostingu. Efektem jest mapa procesów i lista działań do wykonania w ustalonej kolejności.
Wdrożenie RODO w firmie
Wdrożenie RODO porządkuje dokumentację i zasady pracy. Na tym etapie powstają lub są poprawiane polityki prywatności, polityki plików cookie, zgody marketingowe, klauzule informacyjne oraz rejestry czynności przetwarzania.
Na tym etapie ustala się również procedury reagowania na naruszenia ochrony danych, w tym ocenę, czy sprawa wymaga zgłoszenia Prezesowi UODO w terminie 72 godzin (art. 33 ust. 1 RODO) oraz zasady usuwania danych po ustaniu celu przetwarzania. Każdy dokument powinien odpowiadać temu, jak firma działa naprawdę, bo sama klauzula informacyjna RODO nie zastąpi prawidłowej podstawy prawnej ani ustalonych okresów przechowywania.
Inspektor danych osobowych w stałej obsłudze
Inspektor danych osobowych, określany w przepisach jako inspektor ochrony danych, w skrócie IOD, jest potrzebny tam, gdzie skala lub charakter przetwarzania tego wymaga. Taka obsługa obejmuje informowanie i doradzanie, monitorowanie przestrzegania procedur, szkolenia zespołu oraz wsparcie przy kontaktach w sprawach ochrony danych. Stała współpraca jest uzasadniona w organizacjach, które regularnie uruchamiają nowe usługi, kampanie lub kanały sprzedaży.
Zadania inspektora określa art. 39 RODO, a jego status i pozycję w organizacji — art. 38 RODO. Inspektor nie przejmuje odpowiedzialności administratora: informuje, doradza i monitoruje przestrzeganie przepisów, a także pełni funkcję punktu kontaktowego dla organu nadzorczego oraz osób, których dane dotyczą.
Obsługa naruszeń ochrony danych osobowych
Na zgłoszenie naruszenia Prezesowi UODO administrator ma 72 godziny od jego stwierdzenia (art. 33 ust. 1 RODO). W tym czasie trzeba ustalić okoliczności zdarzenia, ocenić jego wagę i rozstrzygnąć, czy konieczne jest również zawiadomienie osób, których dane dotyczą (art. 34 RODO). Wagę naruszenia oceniamy w oparciu o metodykę ENISA, co pozwala udokumentować sposób rozumowania na wypadek późniejszej kontroli.
Przygotowujemy i składamy zgłoszenia do organu nadzorczego, redagujemy zawiadomienia dla osób, których dane dotyczą, oraz reprezentujemy klientów w postępowaniach przed Prezesem UODO. Po zakończeniu sprawy przeprowadzamy audyt i wdrażamy działania zaradcze.
Międzynarodowe transfery danych osobowych
Przekazanie danych poza Europejski Obszar Gospodarczy wymaga podstawy z rozdziału V RODO. Jeżeli państwo trzecie nie jest objęte decyzją stwierdzającą odpowiedni stopień ochrony, konieczne są standardowe klauzule umowne oraz ocena skutków przekazania, czyli transfer impact assessment.
Do transferu dochodzi częściej, niż się wydaje. Obejmuje on także pracę zdalną wykonywaną z państwa trzeciego, tak zwane workation oraz korzystanie z oprogramowania i usług chmurowych, w których dane są hostowane poza Europejskim Obszarem Gospodarczym.
Szkolenia RODO
Szkolenia prowadzimy w odniesieniu do czynności wykonywanych na konkretnych stanowiskach, z wykorzystaniem decyzji organów nadzorczych oraz przykładów naruszeń z własnej praktyki. Inaczej wygląda szkolenie dla zespołu programistów, inaczej dla działu marketingu, a jeszcze inaczej dla rekrutacji.
Jak przebiega współpraca przy obsłudze RODO?
Obsługa RODO przebiega sprawniej, gdy od początku wiadomo, co ma powstać i kto po stronie firmy odpowiada za wdrożenie ustaleń. Nie chodzi o tworzenie dokumentów do segregatora, lecz o takie ułożenie procesów, aby przedsiębiorca i zespół wiedzieli, kto zbiera dane, na jakiej podstawie i jak odpowiadać na żądania osób, których dane dotyczą.
W praktyce współpraca z firmami w Krakowie najczęściej przebiega w trzech krokach:
- analiza procesów przetwarzania danych
- opracowanie lub korekta dokumentacji
- omówienie zasad wdrożenia i codziennej pracy
Opisane trzy kroki łączą wymagania prawne z narzędziami używanymi przez firmę. Dzięki temu procedura obsługi wniosków dotyczących dostępu do danych, ich usunięcia, wniesienia sprzeciwu lub przeniesienia danych nie powstaje w oderwaniu od systemu sprzedaży, poczty elektronicznej i formularzy.
Dokumenty i sytuacje, które najczęściej wymagają uporządkowania
Najwięcej pytań dotyczy dokumentów udostępnianych klientom oraz tych, które regulują współpracę z dostawcami. Właśnie w tych miejscach najłatwiej o rozbieżność między treścią dokumentu a rzeczywistym przepływem danych. Oferta RODO zwykle obejmuje uporządkowanie takich obszarów:
- polityki prywatności i polityki plików cookie
- umowy powierzenia przetwarzania danych
- rejestry czynności i upoważnienia personelu
- zgody marketingowe i klauzule informacyjne
Porządek w tych dokumentach jest ważny przy uruchamianiu sklepu internetowego, kampanii e-mailowej, rekrutacji lub nowego formularza na stronie. W przypadku sprzedaży przez internet znaczenie ma także zgodność pól zgód, treści zamieszczanych przy formularzach i ustawień analitycznych z rzeczywistym zakresem zbieranych danych. Jeżeli firma w Krakowie potrzebuje obsługi, która łączy audyt, wdrożenie i stałe wsparcie, punktem wyjścia jest krótka analiza procesów oraz zakresu danych przetwarzanych w działalności.
RODO według branży
Obowiązki administratora są wspólne, ale ich praktyczne zastosowanie różni się między branżami. W firmach informatycznych rozstrzygające jest ustalenie roli — administratora czy podmiotu przetwarzającego — oraz treść umów powierzenia. W podmiotach leczniczych przetwarzane są dane dotyczące zdrowia, czyli dane szczególnych kategorii w rozumieniu art. 9 ust. 1 RODO, a obok RODO stosuje się przepisy o dokumentacji medycznej. W agencjach rekrutacyjnych i agencjach pracy tymczasowej znaczenie ma podstawa przetwarzania danych kandydata oraz zakres danych dopuszczalny na podstawie art. 22(1) Kodeksu pracy.
W hotelarstwie i branży HoReCa dochodzą dane zbierane przy usługach gastronomicznych, kosmetycznych i SPA, które mogą obejmować informacje o zdrowiu, a także zasady udzielania informacji organom i służbom. W firmach telekomunikacyjnych obok RODO obowiązuje tajemnica komunikacji elektronicznej. W marketingu konieczne jest rozdzielenie podstawy przetwarzania danych osobowych od zgody na komunikację elektroniczną wymaganej przez Prawo komunikacji elektronicznej.
RODO dla firm IT
Punktem wyjścia jest ustalenie roli: czy firma występuje jako administrator, czy jako podmiot przetwarzający w rozumieniu art. 4 pkt 8 RODO. Software house i dostawca SaaS najczęściej przetwarzają dane użytkowników końcowych w imieniu swoich klientów, co przesądza o treści umowy powierzenia (art. 28 ust. 3 RODO) i o tym, kto zgłasza naruszenie organowi nadzorczemu. Poza standardową dokumentacją szczególne znaczenie mają polityka haseł, instrukcja zarządzania systemem informatycznym oraz rejestr kategorii czynności przetwarzania (art. 30 ust. 2 RODO).
Odrębnie oceniamy sam produkt. Tworzone oprogramowanie lub aplikacja często wymagają własnej analizy ryzyka, a niekiedy oceny skutków dla ochrony danych. Osobnym zagadnieniem jest praca zdalna wykonywana spoza Europejskiego Obszaru Gospodarczego, w tym tak zwane workation — dopuszczalność takiego rozwiązania zależy od państwa docelowego i od zabezpieczeń zastosowanych po stronie pracownika.
RODO dla hoteli i branży HoReCa
Obiekty hotelowe przetwarzają dane w zakresie znacznie szerszym niż sama rezerwacja. Przy usługach gastronomicznych pojawiają się informacje o alergiach, a przy usługach SPA i kosmetycznych dane dotyczące zdrowia — w obu przypadkach są to dane szczególnych kategorii z art. 9 ust. 1 RODO, wymagające odrębnej podstawy przetwarzania. Do tego dochodzą dane zbierane na potrzeby marketingu i programów lojalnościowych.
W praktyce ustalamy, jaki zakres danych jest rzeczywiście niezbędny i jak długo może być przechowywany, porządkujemy relacje z podmiotami zewnętrznymi oraz przygotowujemy procedurę udzielania informacji organom i służbom. Zapytania kierowane do recepcji przez policję lub inne służby są częstym źródłem błędów, bo personel zwykle nie wie, w jakim trybie i w jakim zakresie wolno udzielić odpowiedzi.
RODO dla podmiotów medycznych
Podmioty lecznicze przetwarzają dane dotyczące zdrowia, czyli dane szczególnych kategorii w rozumieniu art. 9 ust. 1 RODO. Obok RODO stosuje się przepisy o prawach pacjenta i dokumentacji medycznej, które samodzielnie regulują zakres oraz okresy przechowywania — dokumentacja RODO musi być z nimi spójna, a nie tworzona obok nich.
W przychodniach, gabinetach stomatologicznych i placówkach diagnostycznych porządkujemy klauzule informacyjne i zgody dla pacjentów, zasady prowadzenia monitoringu wizyjnego, relacje między placówką a lekarzami przyjmującymi w jej ramach, w tym rozstrzygnięcie między upoważnieniem a powierzeniem przetwarzania, oraz upoważnienia i oświadczenia o poufności dla personelu.
RODO dla firm telekomunikacyjnych
W tej branży obok RODO obowiązuje tajemnica komunikacji elektronicznej wynikająca z Prawa komunikacji elektronicznej, którą trzeba uwzględnić już przy projektowaniu dokumentacji. Zalecamy audyt pogłębiony, obejmujący relacje z pracownikami i współpracownikami, umowy powierzenia zawierane z kontrahentami oraz analizę ryzyka i ocenę skutków dla ochrony danych. W ramach audytu weryfikujemy również, czy przedsiębiorca ma obowiązek wyznaczenia inspektora ochrony danych.
RODO dla agencji rekrutacyjnych i agencji pracy tymczasowej
Rozstrzygające znaczenie ma podstawa przetwarzania danych kandydata oraz zakres danych dopuszczalny na podstawie art. 22(1) Kodeksu pracy. Agencje przetwarzają dane kandydatów, pracowników i współpracowników klienta, a także własnego personelu, dlatego wymagają odrębnego uregulowania każdej z tych relacji.
Najczęstszym problemem jest ustalenie zależności między agencją a klientem, która nie zawsze prowadzi do zawarcia umowy powierzenia — w części modeli obie strony pozostają niezależnymi administratorami. Osobno analizujemy rekrutacje prowadzone bez ujawniania pracodawcy, pozyskiwanie kandydatów z mediów społecznościowych i wyszukiwarek oraz zasady nawiązywania pierwszego kontaktu z kandydatem.
RODO w marketingu
Konieczne jest rozdzielenie dwóch reżimów: podstawy przetwarzania danych osobowych na gruncie RODO oraz zgody na komunikację elektroniczną wymaganej przez Prawo komunikacji elektronicznej. Są to odrębne wymogi i spełnienie jednego nie zastępuje drugiego. Jeżeli podstawą jest prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO), przygotowujemy test równowagi dokumentujący dokonaną ocenę.
Analizujemy konstrukcję zgód i pól wyboru, treść polityki prywatności oraz poszczególne działania: kontakt telefoniczny i mailowy z bazy pozyskanej samodzielnie, pozyskiwanie kontaktów z serwisów zewnętrznych, konkursy oraz programy lojalnościowe.
RODO w HR
Dokumentacja kadrowa musi uwzględniać zakres danych określony w art. 22(1) i art. 22(1a) Kodeksu pracy, zasady prowadzenia monitoringu z art. 22(2) i art. 22(3) Kodeksu pracy oraz obowiązek określenia procedury ochrony danych osobowych na potrzeby pracy zdalnej (art. 67(26) Kodeksu pracy).
Przygotowujemy upoważnienia do przetwarzania danych i oświadczenia o zachowaniu poufności, klauzule informacyjne oraz zgody, w tym zgodę na rozpowszechnianie wizerunku, a także dokumenty wewnątrzzakładowe: regulamin pracy, regulamin pracy zdalnej i procedury przypisane do konkretnych stanowisk.