Dział HR wysyła do wszystkich kandydatów na dane stanowisko wspólny mail z załączonymi CV widocznymi dla każdego odbiorcy, a nikt w firmie nie zauważa problemu, dopóki jeden z kandydatów nie zgłasza sprawy do Prezesa UODO. Tego rodzaju pomyłki zdarzają się w firmach każdej wielkości, ponieważ przepisy o ochronie danych osobowych dotyczą praktycznie każdego procesu, w którym pojawiają się dane pracownika, klienta czy kontrahenta. Z tego powodu ochrona danych osobowych przestaje być tematem zarezerwowanym wyłącznie dla działu IT czy prawnego, a staje się elementem codziennej pracy niemal całej organizacji. W dalszej części artykułu pokazujemy, gdzie najczęściej dochodzi do naruszeń oraz jak budować w firmie nawyki ograniczające ryzyko związane z przetwarzaniem danych.
Dlaczego RODO dotyczy każdego działu firmy, nie tylko IT?
Przepisy o ochronie danych osobowych obejmują każdy proces, w którym firma zbiera, przechowuje lub przetwarza informacje o osobach fizycznych, niezależnie od tego, czy chodzi o dane klientów, pracowników, czy kontrahentów. Dział marketingu przetwarza dane w kampaniach mailingowych, dział HR w procesach rekrutacyjnych, a dział sprzedaży w systemie CRM, przez co odpowiedzialność za zgodność z RODO rozkłada się na całą organizację, a nie tylko na osoby zajmujące się technologią.
Obszary szczególnie narażone na błędy
Niektóre procesy generują ryzyko naruszeń częściej niż inne, ponieważ angażują dużą liczbę danych osobowych przetwarzanych w krótkim czasie. Do sytuacji wymagających szczególnej uwagi należą:
- wysyłka masowej korespondencji e-mail bez ukrycia adresatów w polu DW zamiast UDW;
- przechowywanie danych kandydatów do pracy dłużej, niż wynika to z celu rekrutacji;
- udostępnianie danych osobowych podwykonawcom bez odpowiedniej umowy powierzenia przetwarzania;
- wykorzystywanie danych z systemów monitoringu w celach niezgodnych z pierwotnym przeznaczeniem;
- transfer danych do krajów spoza Europejskiego Obszaru Gospodarczego bez odpowiednich zabezpieczeń prawnych.
Co zrobić, gdy w firmie dojdzie do naruszenia ochrony danych?
Naruszenie ochrony danych osobowych, czyli sytuacja, w której dane trafiają do niepowołanych osób albo zostają utracone, wymaga szybkiej reakcji ze strony firmy. Przepisy RODO nakładają obowiązek zgłoszenia poważniejszych naruszeń do Prezesa UODO w ciągu siedemdziesięciu dwóch godzin od ich wykrycia, co w praktyce oznacza, że firma musi mieć gotową procedurę reagowania jeszcze zanim taka sytuacja się wydarzy.
Kiedy trzeba poinformować także osoby, których dane dotyczą?
Obowiązek zawiadomienia osób fizycznych o naruszeniu pojawia się wtedy, gdy zdarzenie może powodować dla nich wysokie ryzyko, na przykład w przypadku wycieku danych finansowych albo dokumentów tożsamości, a nie każde drobne uchybienie techniczne wymaga takiego kroku. Ocena, czy dane naruszenie kwalifikuje się do zgłoszenia, wymaga przeanalizowania konkretnych okoliczności sprawy, dlatego pochopne decyzje w tym zakresie bywają równie ryzykowne jak brak reakcji.
Jak wygląda wdrożenie RODO w praktyce?
Wdrożenie zgodności z RODO w firmie, która dotąd nie miała uporządkowanej dokumentacji, przypomina raczej proces niż jednorazowy projekt zamykany w kilka dni. Kancelaria prawna ochrona danych osobowych zajmuje się zwykle koordynacją tego procesu, łącząc wiedzę prawną z praktycznym zrozumieniem procesów biznesowych klienta.
| Etap wdrożenia | Co obejmuje |
|---|---|
| Mapowanie procesów przetwarzania | identyfikacja miejsc, w których firma zbiera i wykorzystuje dane osobowe |
| Dokumentacja | przygotowanie polityk prywatności, klauzul informacyjnych, umów powierzenia |
| Procedury wewnętrzne | zasady postępowania na wypadek naruszenia oraz obsługi żądań osób, których dane dotyczą |
| Szkolenia | przygotowanie pracowników do rozpoznawania sytuacji ryzykownych w codziennej pracy |
Rola inspektora ochrony danych osobowych
Firmy, które ze względu na skalę działalności powołują inspektora ochrony danych osobowych, zyskują osobę odpowiedzialną za bieżący nadzór nad zgodnością z przepisami, ale sama funkcja IOD nie zdejmuje odpowiedzialności z zarządu firmy. Wielu inspektorów korzysta ze wsparcia zewnętrznych prawników przy bardziej złożonych sprawach, na przykład przy ocenie transferów danych do krajów spoza Unii Europejskiej czy przy odpowiedzi na kontrolę Prezesa UODO.
Kto pomaga firmom poruszać się w przepisach o ochronie danych?
Tematyka RODO zmienia się razem z rozwojem nowych technologii, w tym systemów wykorzystujących sztuczną inteligencję czy rozwiązań typu connected cars, które przetwarzają dane w sposób trudny do przewidzenia jeszcze kilka lat temu. Kancelaria prawna RODO, która na bieżąco śledzi praktykę decyzyjną Prezesa UODO oraz orzecznictwo europejskie, pomaga firmom dostosować swoje procesy do zmieniającego się otoczenia prawnego.
Na polskim rynku tego rodzaju wsparcie oferuje między innymi zespół kancelarii JDP Drapała Chomiuk & Partners, gdzie tematyką ochrony danych osobowych https://jdp-law.pl/ochrona-danych-osobowych/ zajmuje się między innymi Krzysztof Brant, radca prawny i senior associate. Podobne kompetencje można znaleźć również w innych kancelariach specjalizujących się w tym obszarze, dlatego przy wyborze doradcy warto sprawdzić jego doświadczenie w branży, w której działa firma, oraz dostępność w sytuacjach wymagających szybkiej reakcji.
Jak ograniczyć ryzyko naruszeń w codziennej pracy zespołów?
Największym źródłem naruszeń bywają nie zaawansowane ataki hakerskie, ale zwykłe pomyłki popełniane w codziennej pracy, na przykład wysłanie dokumentu do niewłaściwego adresata czy pozostawienie niezablokowanego komputera z dostępem do danych klientów. Regularne przypominanie pracownikom o podstawowych zasadach bezpieczeństwa danych, połączone z prostymi procedurami weryfikacji przed wysyłką wrażliwych informacji, ogranicza znaczną część takich incydentów.
- Weryfikacja adresata przed wysłaniem wiadomości zawierającej dane osobowe większej grupy osób.
- Stosowanie pola UDW przy mailingach kierowanych do wielu odbiorców jednocześnie.
- Ograniczenie dostępu do systemów zawierających dane osobowe wyłącznie do pracowników, którzy tego faktycznie potrzebują.
- Regularne szkolenia przypominające o podstawowych zasadach postępowania z danymi osobowymi.
Firmy, które traktują szkolenia z ochrony danych jako powtarzalny element pracy zespołów, a nie jednorazowy obowiązek przy wdrożeniu RODO, znacznie rzadziej mierzą się z naruszeniami wynikającymi z ludzkiego błędu. Krótkie, cykliczne przypomnienia bywają skuteczniejsze niż jedno obszerne szkolenie przeprowadzone raz na kilka lat.
Ochrona danych osobowych rozwija się razem z nowymi technologiami i rosnącą świadomością prawną klientów, którzy coraz częściej pytają firmy, w jaki sposób wykorzystywane są ich dane. Organizacje, które podchodzą do tego tematu systematycznie, a nie wyłącznie reaktywnie po zgłoszonym naruszeniu, budują nie tylko zgodność z przepisami, ale też realne zaufanie swoich klientów i pracowników.
