Co decyduje o współpracy z ARROWS w zakresie RODO

• RODO to nie tylko sprawa IT: To kompleksowe ramy prawne, które dotyczą marketingu, HR, sprzedaży, realizacji zamówień i wielu innych procesów. Zignorowanie któregokolwiek z nich może Cię kosztować wysoką karę i szkodę wizerunkową.
• Kara do 20 milionów EUR lub 4 % rocznego obrotu nie jest teoretycznym zagrożeniem: Najpoważniejsze naruszenia RODO są karane właśnie takimi kwotami. Praktyka europejskich organów nadzorczych, w tym czeskiego Urzędu Ochrony Danych Osobowych (ÚOOÚ), z ostatnich lat pokazuje, że kary nie są wyjątkiem, lecz zwykłym elementem nadzoru.
• Praktyczne wdrożenie RODO eliminuje ryzyko skuteczniej niż papierowe dokumenty: Audyt bezpieczeństwa, przegląd umów z podmiotami przetwarzającymi, właściwe narzędzia do uzyskiwania zgód i śledzenia danych zapewnią, że gdy przyjdzie kontrola, nie będziesz w defensywie.
• Prawnicy ARROWS znają zarówno teorię, jak i rzeczywiste błędy przedsiębiorców: Nie stworzysz ochrony, która dobrze wygląda na papierze, ale nie działa w praktyce, ani takiej, która krępuje Cię do tego stopnia, że nie możesz normalnie prowadzić działalności.

Dlaczego firmy mylą RODO z papierowymi procedurami

Najczęściej spotykamy się z tym, że firmy uważają się za przygotowane na RODO, ponieważ mają:

• Baner cookies na stronie (często ustawiony nieprawidłowo)
• Ogólne warunki handlowe z odesłaniem do przetwarzania danych
• Jakiś plik RODO w wewnętrznej dokumentacji
• Słowo „RODO” w regulaminie dla odwiedzających

W rzeczywistości to tak, jakby myśleć, że jest się zdrowym, bo ma się książeczkę zdrowia, choć nie chodzi się na badania profilaktyczne i prowadzi niezdrowy tryb życia.

RODO w praktyce oznacza:

Świadome mapowanie tego, jakie dane przetwarzasz, od kiedy, w jakim celu i jak długo je przechowujesz. Firmy często odkrywają, że:

• Mają w archiwach stare e-maile od klientów bez podstawy prawnej do ich przechowywania.
• Handlowcy prowadzą tabele kontaktów przez prywatne skrzynki e-mail bez odpowiedniej ochrony.
• Dział HR przetwarza dane dotyczące zdrowia bez widocznej podstawy prawnej i wystarczającego poziomu ochrony.
• Strony internetowe śledzą zachowanie odwiedzających za pomocą narzędzi, które nie są należycie udokumentowane i na które nie mają ważnej zgody zgodnie z czeską ustawą o łączności elektronicznej.

Łańcuch odpowiedzialności. RODO nie nakłada obowiązków wyłącznie na firmę. W przypadku poważnego naruszenia odpowiedzialność mogą ponieść także konkretne osoby fizyczne, które decydowały o przetwarzaniu, na przykład w postępowaniu w sprawie wykroczenia administracyjnego, a nawet w postępowaniu karnym na podstawie czeskich przepisów (np. czeski Kodeks karny (ustawa nr 40/2009 Sb.), § 180a Naruszenie tajemnicy dokumentów i innych materiałów przechowywanych prywatnie, § 180 Naruszenie poufności danych indywidualnych).

Rzeczywiste środki bezpieczeństwa, nie tylko papier. Gdy ÚOOÚ przychodzi na kontrolę, nie interesują go wyłącznie formalne dokumenty. Pyta, jak w praktyce zapewniasz bezpieczeństwo danych, jak zarządzany jest dostęp do danych, kto ma dostęp do systemów, jak długo przechowywane są kopie zapasowe i jak są one chronione.

Gdzie realia RODO zwykle podważają rozwiązania nieprawnicze

Podmiot przetwarzający to inna osoba prawna lub fizyczna, która przetwarza dane osobowe w Twoim imieniu i na podstawie Twoich poleceń (np. dostawca chmury, firma obsługująca płace, platforma e-mail marketingowa, biuro rachunkowe). Bez ważnej umowy powierzenia przetwarzania danych osobowych (DPA – Data Processing Agreement) naruszasz art. 28 RODO. Jeśli z powodu braku lub niewystarczającej DPA dojdzie do sporu z podmiotem przetwarzającym (np. dostawcą chmury czy firmą obsługującą płace), przydatne może być wsparcie w zakresie sporów handlowych i sądowych. Nie jest to jednak tylko formalność. Praktycznym skutkom niewystarczających umów i procesów wewnętrznych (w tym komunikacji z klientami) poświęcony jest także artykuł Papierowe oferty handlowe w firmach: kiedy komunikacja marketingowa może stanowić ryzyko prawne.

Prawnicy ARROWS regularnie spotykają się z sytuacjami, w których firma ma umowę z dostawcą chmury, ale DPA w ogóle nie jest jej częścią lub jest całkowicie niewystarczająca.

• DPA istnieje, ale nie zawiera obowiązku podmiotu przetwarzającego wdrożenia odpowiednich technicznych i organizacyjnych środków bezpieczeństwa, w tym możliwości przeprowadzenia audytu bezpieczeństwa.
• Procesy między spółką a podmiotem przetwarzającym uległy zmianie, ale umowy powierzenia nie zaktualizowano.
• W DPA brakuje jasnych zasad na wypadek naruszenia ochrony danych osobowych (tzw. data breach).

Brak lub niekompletna DPA stanowi poważne naruszenie RODO, za które może zostać nałożona kara do 20 milionów EUR lub 4 % całkowitego rocznego obrotu, i to niezależnie od tego, czy doszło do bezpośredniego naruszenia praw osób, których dane dotyczą. ÚOOÚ przykłada dużą wagę do prawidłowej DPA. W praktyce opłaca się zlecić weryfikację umów z podmiotami przetwarzającymi i zasad wewnętrznych w ramach usługi RODO.

Podstawy prawne i zgoda – słaby punkt

Wiele firm uważa, że wystarczy ogólna zgoda („Wyrażam zgodę na przetwarzanie danych osobowych”).

RODO rozróżnia sześć różnych podstaw prawnych przetwarzania danych osobowych (art. 6 i 9 RODO):

• Zgoda – musi być wyraźna, świadoma, konkretna, dobrowolna i jednoznaczna. Może zostać w każdej chwili wycofana.
• Wykonanie umowy – przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą.
• Obowiązek prawny – przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (np. deklaracje podatkowe, obowiązki z zakresu prawa pracy).
• Ochrona żywotnych interesów – przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej (przypadki wyjątkowe, np. sytuacje nadzwyczajne).
• Interes publiczny lub sprawowanie władzy publicznej – przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (tylko dla organów władzy publicznej).
• Prawnie uzasadnione interesy – przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów administratora lub strony trzeciej, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Ta podstawa wymaga przeprowadzenia tzw. testu równowagi.

Jeśli wybierzesz niewłaściwą podstawę prawną, jest to naruszenie – nawet jeśli masz zgodę, a w rzeczywistości należało zastosować np. podstawę „wykonanie umowy”. Wydaje się to niuansem, ale ÚOOÚ go pilnuje, a właściwy wybór podstawy prawnej jest kluczowy dla zgodności z RODO.

Prawa osób, których dane dotyczą – co jeśli odezwą się Twoi klienci?

RODO przyznaje osobom fizycznym szereg praw (art. 12-22 RODO), które administrator musi być w stanie skutecznie zrealizować:

• Prawo dostępu do swoich danych osobowych i informacji o ich przetwarzaniu.
• Prawo do sprostowania nieprawidłowych lub niekompletnych danych.
• Prawo do usunięcia danych („prawo do bycia zapomnianym”) pod określonymi warunkami.
• Prawo do ograniczenia przetwarzania.
• Prawo do przenoszenia danych do innego administratora.
• Prawo do wniesienia sprzeciwu wobec przetwarzania.
• Prawo do niepodlegania zautomatyzowanemu podejmowaniu decyzji w indywidualnych przypadkach, w tym profilowaniu, które wywołuje skutki prawne lub w istotny sposób wpływa na osobę.

Firmy nieprzygotowane na takie żądanie często znajdują się w sytuacji, w której nie wiedzą, gdzie wszędzie przechowywane są dane (w tym w kopiach zapasowych, archiwach, usługach zewnętrznych).

• Nie mogą zagwarantować dotrzymania ustawowego terminu na odpowiedź (jeden miesiąc, z możliwością przedłużenia o kolejne dwa miesiące w zależności od stopnia skomplikowania i liczby żądań, czyli maksymalnie 90 dni).
• Nie mogą bezpiecznie wydać danych bez ryzyka ujawnienia danych innych osób.
• Usuwają dane z głównego systemu, ale zapominają o kopiach zapasowych, w których dane nadal istnieją.

Każde opóźnienie lub odmowa bez należytego uzasadnienia stanowi naruszenie.

Środki bezpieczeństwa i pracownicy – gdzie coś może pójść nie tak

Jednym z najczęstszych naruszeń jest niewystarczające zarządzanie dostępem do danych wewnątrz firmy, co podlega zasadzie integralności i poufności zgodnie z art. 5 ust. 1 lit. f) RODO.

Typowa sytuacja:

• Recepcjonistka ma dostęp do systemu ze wszystkimi danymi klientów, choć potrzebuje znać tylko dane z konkretnego zamówienia.
• Pracownica HR ma dostęp do chmury z danymi płacowymi wszystkich pracowników tylko po to, by przechowywać tam swoje prywatne pliki.
• Byli pracownicy, którzy odeszli z firmy, nadal mają aktywne dostępy do niektórych systemów.
• Księgowa loguje się hasłem, które udostępnia asystentce.

RODO wymaga (art. 32 RODO) minimalizacji danych i dostępu, audytowania i utrzymywania oraz szyfrowania danych wrażliwych.

• Minimalizacja danych – przetwarzaj tylko te dane osobowe, które są niezbędne dla danego celu.
• Minimalizacja dostępu – każdy użytkownik powinien mieć dostęp tylko do tych danych i systemów, których niezbędnie potrzebuje do wykonywania swojej pracy (zasada „need-to-know”).
• Audytowanie i utrzymywanie – prowadzenie ewidencji, kto ma dostęp do czego, oraz regularna kontrola i aktualizacja tych dostępów (zwłaszcza przy odejściu pracowników).
• Szyfrowanie danych wrażliwych – zapewnienie odpowiedniego szyfrowania wrażliwych danych osobowych (np. danych o zdrowiu) oraz pseudonimizacji lub anonimizacji pozostałych danych, zwłaszcza przy przesyłaniu czy archiwizacji, tam gdzie jest to właściwe i technicznie wykonalne.

Bez tych środków spółka jest narażona na:

• Nieostrożność wewnętrzną (ktoś przez pomyłkę wyniesie dane poza firmę lub je opublikuje).
• Pracowników o nieuczciwych zamiarach.
• Cyberataki – jeśli atakujący znajdą niewystarczające środki bezpieczeństwa, odpowiadasz za naruszenie RODO tak samo, jakby dopuścił się go nieuczciwy pracownik.

Audyt i wdrożenie – gdzie rozstrzyga się o rzeczywistej ochronie

Wiele firm poznajemy w sytuacji, gdy właśnie rozpoczęła się u nich kontrola ÚOOÚ.

Wtedy odkrywają, że nie wiedzą, gdzie wszędzie przechowywane są ich dane osobowe.

• Nie mogą wykazać wdrożenia odpowiednich technicznych i organizacyjnych środków bezpieczeństwa.
• Nie potrafią znaleźć oparcia prawnego dla tego, co robią (brak podstawy prawnej przetwarzania).
• Ich umowy ze stronami trzecimi (podmiotami przetwarzającymi) nie są zgodne z RODO.

Właściwe postępowanie w celu osiągnięcia i utrzymania zgodności z RODO obejmuje:

• Mapowanie – gruntowną inwentaryzację i mapowanie wszystkich procesów przetwarzania danych osobowych (jakie dane posiadasz, gdzie się znajdują, jak długo je przechowujesz, do czego ich używasz).
• Analizę prawną – ustalenie właściwych podstaw prawnych dla każdego rodzaju przetwarzania i ocenę zgodności z pozostałymi zasadami RODO.
• Umowy – przegląd i dostosowanie umów z podmiotami przetwarzającymi i stronami trzecimi tak, aby odpowiadały wymogom art. 28 RODO.
• Bezpieczeństwo – audyt istniejących technicznych i organizacyjnych środków bezpieczeństwa, identyfikację słabych punktów i wdrożenie zalecanych zmian, w tym należytą dokumentację.
• Procesy – ustanowienie wewnętrznych procesów obsługi żądań osób, których dane dotyczą, zgłaszania naruszeń ochrony danych osobowych (data breach) oraz audytu wewnętrznego.
• Szkolenia – regularne i ukierunkowane szkolenia pracowników, aby wiedzieli, co robić, jakie są ich obowiązki i jak prawidłowo postępować z danymi osobowymi.

Prawnicy ARROWS wykonują tę pracę metodycznie, w oparciu o najnowsze doświadczenia z praktyki ÚOOÚ i Europejskiej Rady Ochrony Danych (EDPB). Różnica między „papierowym” RODO a rzeczywiście funkcjonującym RODO ujawnia się właśnie podczas kontroli.

Podsumowanie końcowe

RODO nie jest ćwiczeniem prawniczym – to namacalny i codziennie obowiązujący wymóg, który musisz spełniać i który organ nadzorczy rzeczywiście weryfikuje. Firmy, które uważają, że RODO to tylko baner na stronie i papiery, zwykle uświadamiają to sobie dopiero wtedy, gdy otrzymają wezwanie do inspekcji lub gdy dojdzie do naruszenia bezpieczeństwa.

Rzeczywista ochrona danych oznacza świadome zmapowanie tego, co i dlaczego przetwarzasz, posiadanie podstawy prawnej dla każdej czynności przetwarzania i zapewnienie bezpieczeństwa w praktyce, a nie tylko na papierze.

Nie jest to skomplikowane – ale nie jest też trywialne. Różnica między firmą, która mówi „kupimy szablon RODO”, a firmą, która zleca praktyczne wdrożenie RODO prawnikowi, ujawnia się właśnie podczas kontroli. Pierwsza będzie w defensywie, druga będzie mogła z czystym sumieniem powiedzieć, że jest przygotowana.

Jeśli nie masz pewności, czy Twoje przygotowanie jest wystarczające, lub nie chcesz ryzykować kar, przeniesienia danych, szkody wizerunkowej czy sporu prawnego z klientami, najbezpieczniejszym rozwiązaniem jest powierzenie RODO prawnikom kancelarii adwokackiej ARROWS. Chętnie pomogą Ci zrozumieć, co naprawdę musisz zrobić – a co jest już w porządku. Skontaktuj się z nami pod adresem konsultacja@arws.cz i umówmy się na analizę wstępną.