RODO w małej firmie – praktyczna checklista

Rejestr czynności przetwarzania – punkt wyjścia do zgodności

Zanim zaczniesz wdrażać jakiekolwiek zabezpieczenia, musisz wiedzieć, jakie dane osobowe faktycznie przetwarzasz i po co. Rejestr czynności przetwarzania to podstawowy dokument, który porządkuje ten obraz – bez niego trudno ocenić, czego w firmie brakuje.

• Wypisz wszystkie procesy, w których pojawiają się dane osobowe: kadry i płace, sprzedaż i CRM, marketing, obsługa reklamacji, monitoring wizyjny, rekrutacja.
• Dla każdego procesu zapisz: jakie dane przetwarzasz, w jakim celu, na jakiej podstawie prawnej, komu je udostępniasz i jak długo je przechowujesz.
• Wskaż podstawę prawną każdego procesu – najczęściej będzie to wykonanie umowy, obowiązek prawny, prawnie uzasadniony interes administratora lub zgoda osoby, której dane dotyczą.
• Aktualizuj rejestr przy każdej istotnej zmianie – nowym systemie, nowym dostawcy, nowej kampanii marketingowej.

W praktyce najwięcej problemów sprawia dobór właściwej podstawy prawnej – zwłaszcza rozróżnienie zgody od prawnie uzasadnionego interesu. To obszar, w którym warto skonsultować się z prawnikiem lub inspektorem ochrony danych (IOD), zanim ustalicie finalne zapisy w rejestrze.

Umowy powierzenia przetwarzania z dostawcami IT i chmurą

Każdy dostawca, który w Twoim imieniu przetwarza dane osobowe – firma hostingowa, dostawca poczty firmowej, biuro rachunkowe korzystające z Twojego systemu, dostawca oprogramowania CRM czy chmury – powinien mieć podpisaną umowę powierzenia przetwarzania danych, potocznie nazywaną umową powierzenia lub DPA.

• Sprawdź, czy masz podpisane umowy powierzenia ze wszystkimi dostawcami IT, którzy mają dostęp do danych osobowych Twoich klientów lub pracowników.
• Zwróć uwagę na miejsce przetwarzania danych – jeśli dostawca korzysta z serwerów poza Europejskim Obszarem Gospodarczym, umowa powinna to odpowiednio adresować.
• Zweryfikuj, jakie zabezpieczenia techniczne i organizacyjne deklaruje dostawca – szyfrowanie, kopie zapasowe, kontrolę dostępu.
• Poproś o listę wszystkich podwykonawców (subprocesorów), z których korzysta Twój dostawca chmury – umowa powinna dawać Ci wgląd w tę listę i informować o jej zmianach.

Przy wyborze i weryfikacji dostawców pomaga audyt IT – sprawdzamy, gdzie faktycznie trafiają dane firmowe i czy stosowane przez dostawców zabezpieczenia są adekwatne do ryzyka związanego z danym procesem.

Prawa osób, których dane dotyczą – jak obsługiwać żądania

Klienci i pracownicy mają prawo m.in. do dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania czy przeniesienia danych do innego administratora. Mała firma rzadko dostaje takie żądania, ale gdy już się pojawią, trzeba mieć gotową procedurę reakcji.

• Ustal jeden kanał, przez który wpływają takie żądania (np. dedykowany adres e-mail), oraz osobę odpowiedzialną za ich obsługę.
• Przygotuj wzór odpowiedzi i checklistę weryfikacji tożsamości wnioskodawcy – to zabezpiecza przed wydaniem danych osobie nieuprawnionej.
• Zaplanuj z wyprzedzeniem, jak technicznie wyszukasz i usuniesz dane danej osoby ze wszystkich systemów – CRM, poczty, backupów, arkuszy Excel.
• Prowadź rejestr obsłużonych żądań – to przydatny dowód na wypadek ewentualnej kontroli.

Zgłaszanie naruszeń ochrony danych w 72 godziny

Wyciek bazy klientów, zgubiony laptop firmowy, błędnie wysłany e-mail z danymi osobowymi do niewłaściwego adresata – to wszystko potencjalne naruszenia ochrony danych. Jeśli naruszenie może powodować ryzyko dla praw i wolności osób, których dane dotyczą, zasadniczo trzeba zgłosić je do organu nadzorczego w ciągu 72 godzin od wykrycia.

• Przygotuj wewnętrzną procedurę: kto ocenia, czy doszło do naruszenia, kto podejmuje decyzję o zgłoszeniu i kto faktycznie je składa.
• Prowadź rejestr wszystkich incydentów – również tych, które nie wymagały zgłoszenia do organu, wraz z uzasadnieniem takiej decyzji.
• Zadbaj o techniczne możliwości szybkiego wykrycia incydentu – monitoring logów, alerty o nietypowej aktywności, kontrolę dostępu do systemów z danymi osobowymi.
• Przygotuj wzór komunikatu do osób, których dane dotyczą, na wypadek gdy naruszenie niesie wysokie ryzyko i wymaga również ich poinformowania.

Skrócenie czasu wykrycia incydentu to często kwestia dobrze skonfigurowanego monitoringu i ochrony przed wyciekiem danych – więcej o tym, jak to zorganizować, piszemy w artykule o systemach DLP chroniących przed wyciekiem danych.

Szkolenia pracowników i polityka retencji danych

Nawet najlepsza dokumentacja nie pomoże, jeśli pracownicy nie wiedzą, jak postępować z danymi na co dzień. Krótkie, cykliczne szkolenia są tańsze i skuteczniejsze niż rozbudowane szkolenie raz na kilka lat, o którym nikt nie pamięta po miesiącu.

• Omów z zespołem podstawowe zasady: nie przesyłamy danych osobowych na prywatną pocztę, nie zostawiamy dokumentów z danymi na biurku, weryfikujemy odbiorcę przed wysyłką maila z załącznikiem.
• Przeszkol osoby obsługujące klientów z rozpoznawania prób phishingu i socjotechniki – to jedna z najczęstszych dróg wycieku danych w małych firmach.
• Ustal, jak długo faktycznie potrzebujesz poszczególnych kategorii danych, i spisz to jako politykę retencji – dane nie mogą być przechowywane bezterminowo „na wszelki wypadek”.
• Zaplanuj cykliczny przegląd i usuwanie danych, których termin przechowywania minął – również w backupach i archiwach.

Jeśli nie macie jeszcze spisanych zasad przechowywania i usuwania danych, dobrym punktem wyjścia jest nasz artykuł o polityce retencji danych w firmie – opisujemy tam, jak podejść do tego tematu krok po kroku.

Kiedy potrzebna jest ocena skutków dla ochrony danych (DPIA)

DPIA, czyli ocena skutków dla ochrony danych, to pogłębiona analiza ryzyka wymagana, gdy planowane przetwarzanie danych może powodować wysokie ryzyko dla praw i wolności osób. Nie każda mała firma będzie musiała ją robić, ale warto wiedzieć, kiedy taki obowiązek się pojawia.

• DPIA warto rozważyć m.in. przy wdrażaniu monitoringu wizyjnego obejmującego pracowników lub klientów, systemów oceniających klientów (np. scoringu) czy przetwarzaniu na dużą skalę danych szczególnych kategorii, np. zdrowotnych lub biometrycznych.
• Jeśli nie masz pewności, czy dany projekt wymaga DPIA, potraktuj tę wątpliwość jako sygnał, że temat warto skonsultować z inspektorem ochrony danych lub prawnikiem – lepiej sprawdzić to wcześniej, niż wdrożyć system i poprawiać go pod presją czasu.
• Dla małej firmy DPIA nie musi być rozbudowanym dokumentem – wystarczy rzetelny opis: jakie dane, po co, jakie ryzyko i jakie zabezpieczenia je ograniczają.

Ten artykuł ma charakter praktycznego przewodnika, a nie porady prawnej – w konkretnych, granicznych przypadkach (zwłaszcza przy DPIA i doborze podstaw prawnych) zawsze warto skonsultować się z prawnikiem lub inspektorem ochrony danych. My w NovaSys zajmujemy się stroną techniczną zgodności: zabezpieczeniem systemów, konfiguracją kopii zapasowych i monitoringiem dostępu do danych.