RODO w małej firmie: minimum, które musisz mieć

RODO obowiązuje każdą firmę, która przetwarza dane osobowe, także jednoosobową działalność z jednym pracownikiem. Nie oznacza to jednak drogiego audytu ani grubego segregatora. Poniżej obowiązki, które mała firma rzeczywiście musi spełnić, z artykułami RODO i Kodeksu pracy, oraz lista bezpłatnych materiałów UODO i Europejskiej Rady Ochrony Danych.

1. Obowiązek informacyjny

Zbierając dane od klienta, pracownika czy kandydata, musisz go poinformować, kto je przetwarza i po co. Art. 13 RODO wymienia, co ma się znaleźć w takiej informacji: twoja nazwa i kontakt, cel i podstawa prawna przetwarzania, odbiorcy danych, okres przechowywania, prawa osoby (dostęp, sprostowanie, usunięcie, sprzeciw) i prawo skargi do Prezesa UODO.

Informację podajesz w chwili zbierania danych, zwięzłym i prostym językiem (art. 12 ust. 1). Gdy dane dostajesz od kogoś innego, na przykład z polecenia, masz na to najwyżej miesiąc albo czas do pierwszego kontaktu z tą osobą (art. 14 ust. 3). W praktyce to klauzula na stronie, w formularzu kontaktowym i w dokumentach dla pracowników.

2. Rejestr czynności i mit zwolnienia do 250 osób

Rejestr czynności przetwarzania to spis tego, jakie dane, po co i jak długo przetwarzasz (art. 30 ust. 1). Popularne przekonanie mówi, że firmy poniżej 250 osób go nie prowadzą. Art. 30 ust. 5 zwalnia je jednak tylko wtedy, gdy przetwarzanie nie może powodować ryzyka, nie ma charakteru sporadycznego i nie obejmuje danych szczególnych kategorii ani danych o wyrokach. Wystarczy jeden z tych warunków, żeby zwolnienie nie działało.

Europejska Rada Ochrony Danych wyjaśnia, że małe organizacje nie muszą ujmować w rejestrze tylko działań czysto sporadycznych, na przykład danych z jednorazowego wydarzenia. Kadry, płace i rekrutacja się do nich nie zaliczają, więc firma zatrudniająca choćby jedną osobę zwykle prowadzi rejestr. UODO udostępnia szablon rejestru i wskazówki do jego wypełnienia.

3. Czy potrzebujesz inspektora ochrony danych

Inspektor ochrony danych (IOD) jest obowiązkowy tylko w trzech przypadkach z art. 37 ust. 1 RODO:

• przetwarzania dokonuje organ lub podmiot publiczny,
• główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę,
• główna działalność polega na przetwarzaniu na dużą skalę danych szczególnych kategorii, na przykład o zdrowiu, albo danych o wyrokach.

Typowa mała firma, sklep czy biuro usługowe nie spełnia żadnego z nich, więc wyznaczenie IOD jest dobrowolne (art. 37 ust. 4). Jeśli go wyznaczysz, może być pracownikiem albo działać na podstawie umowy o świadczenie usług (art. 37 ust. 6).

4. Umowy powierzenia

Biuro rachunkowe prowadzące płace, firma hostingowa, dostawca poczty i firma IT administrująca komputerami przetwarzają dane w twoim imieniu. Art. 28 ust. 3 RODO wymaga wtedy umowy powierzenia. Musi ona określać przedmiot, czas trwania, cel i rodzaj danych oraz zobowiązywać podmiot przetwarzający między innymi do działania tylko na twoje polecenie, zachowania tajemnicy, stosowania zabezpieczeń, pomocy przy naruszeniach i usunięcia lub zwrotu danych po zakończeniu współpracy.

Umowa ma formę pisemną, w tym elektroniczną (art. 28 ust. 9). Więcej o tym, co sprawdzić w umowie z firmą IT, piszemy w tekście o cyfryzacji firmy z partnerem IT.

5. Upoważnienia i zabezpieczenia

Każda osoba, która ma dostęp do danych, przetwarza je wyłącznie na polecenie administratora (art. 29 i art. 32 ust. 4 RODO). Pisemnego upoważnienia wprost wymaga Kodeks pracy w jednym przypadku. Do przetwarzania szczególnych kategorii danych pracownika lub kandydata, przekazanych z jego inicjatywy, mogą być dopuszczone tylko osoby z pisemnym upoważnieniem pracodawcy (art. 22¹b § 3).

Zabezpieczenia mają być dostosowane do ryzyka (art. 32). Dla małej firmy oznacza to w praktyce szyfrowanie laptopów i nośników, kopie zapasowe, osobne konta dla pracowników i drugi składnik logowania do poczty.

6. Naruszenia i 72 godziny

Zgubiony laptop, e-mail wysłany do złej osoby, atak ransomware. Każde z tych zdarzeń może być naruszeniem ochrony danych. Jeśli wiąże się z ryzykiem dla osób, zgłaszasz je Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia (art. 33 ust. 1). UODO przyjmuje zgłoszenia przez formularz na biznes.gov.pl.

Przy wysokim ryzyku trzeba też zawiadomić osoby, których dane dotyczą (art. 34). Każde naruszenie, także niezgłoszone, dokumentujesz (art. 33 ust. 5). Jak kończy się uznanie, że zgłoszenie nie jest potrzebne, pokazują decyzje opisane w tekście o karach UODO dla małych firm.

7. Żądania klientów i pracowników

Na żądanie dostępu do danych, ich sprostowania czy usunięcia odpowiadasz bez zbędnej zwłoki, najpóźniej w ciągu miesiąca (art. 12 ust. 3). Przy skomplikowanych lub licznych żądaniach termin można przedłużyć o 2 miesiące, ale o przedłużeniu i jego powodach informujesz w ciągu pierwszego miesiąca.

Realizacja praw jest bezpłatna (art. 12 ust. 5). Jeśli masz uzasadnione wątpliwości, czy żądanie składa właściwa osoba, możesz poprosić o dodatkowe informacje potwierdzające tożsamość (art. 12 ust. 6).

8. Monitoring w firmie

Kamery w firmie reguluje art. 22² Kodeksu pracy. Monitoring możesz wprowadzić, gdy jest niezbędny do zapewnienia bezpieczeństwa pracowników, ochrony mienia, kontroli produkcji albo ochrony tajemnicy. Nie obejmuje on co do zasady szatni, łazienek, stołówek i palarni. Nagrania przechowujesz najwyżej 3 miesiące od dnia nagrania, chyba że są dowodem w postępowaniu.

Pracowników informujesz o monitoringu najpóźniej 2 tygodnie przed jego uruchomieniem, a nowych przed dopuszczeniem do pracy, na papierze lub elektronicznie. Monitorowany teren oznaczasz widocznie najpóźniej dzień przed uruchomieniem. Oznakowanie nie zwalnia z obowiązku informacyjnego z RODO.

9. Czego nie musisz: certyfikat RODO

Firma nie musi mieć żadnego „certyfikatu RODO”. Art. 42 ust. 3 RODO mówi wprost, że certyfikacja jest dobrowolna, a ust. 4, że nie zwalnia z przestrzegania przepisów. Według wykazu UODO nie ma dotąd podmiotów, którym udzielono certyfikacji według kryteriów zatwierdzonych przez Prezesa UODO.

10. Darmowe materiały

Europejska Rada Ochrony Danych prowadzi przewodnik po ochronie danych dla małych przedsiębiorstw w języku polskim, z filmami, infografikami i interaktywnymi schematami. UODO udostępnia szablon rejestru czynności, formularz zgłoszenia naruszenia i poradnik dla pracodawców z 2018 roku. Poradnik powstał przed częścią zmian w Kodeksie pracy, ale jego zasady dotyczące danych kandydatów nadal odpowiadają RODO, na przykład to, że CV niezatrudnionego kandydata usuwa się po zakończeniu rekrutacji, chyba że wyraził zgodę na udział w przyszłych.

11. Podsumowanie

Minimum RODO dla małej firmy to:

• klauzule informacyjne dla klientów, pracowników i kandydatów,
• rejestr czynności przetwarzania,
• umowy powierzenia z biurem rachunkowym, hostingiem i firmą IT,
• procedura zgłaszania naruszeń w 72 godziny i odpowiadania na żądania w miesiąc,
• zasady monitoringu, jeśli masz kamery.

Nie potrzebujesz certyfikatu, a inspektora ochrony danych zwykle też nie.