Jeżeli w firmie dane klientów, pracowników i kontrahentów krążą między skrzynkami poczty elektronicznej, arkuszami i systemami bez jasnych zasad, ryzyko pojawia się szybciej niż może się wydawać. Najczęściej problem nie wynika ze złej woli, lecz z braku uporządkowanych procedur, upoważnień i spójnych dokumentów. Właśnie wtedy RODO, czyli ogólne rozporządzenie o ochronie danych, przestaje być formalnością, a ochrona danych osobowych zaczyna wpływać na bezpieczeństwo biznesu, obsługę klienta i pracę zarządu.
Problem z RODO w przedsiębiorstwie najczęściej nie polega na braku jednego dokumentu, lecz na niespójności procesów. Adres e-mail, CV kandydata, numer PESEL czy zapis z monitoringu podlegają tym samym zasadom. Firma musi wiedzieć, po co je zbiera, kto ma do nich dostęp i jak długo je przechowuje. Gdy dane trafiają bez porządku do formularza kontaktowego, skrzynki poczty elektronicznej, systemu kadrowego i do zewnętrznych dostawców, pojawiają się błędy przy zgodach, upoważnieniach i obsłudze wniosków o dostęp do danych, na które co do zasady trzeba odpowiedzieć w ciągu miesiąca.
Najczęstsze obszary ryzyka obejmują:
Polityka prywatności to tylko jeden element. Ochrona danych osobowych działa dopiero wtedy, gdy dokumenty odpowiadają codziennej praktyce.
Wdrażanie wymogów RODO w firmie zaczyna się od ustalenia, jakie dane są zbierane, w jakim celu i na jakiej podstawie prawnej. Bez tego łatwo tworzyć dokumenty oderwane od praktyki. Częstym błędem jest opieranie całego procesu na zgodzie, choć często właściwą podstawą jest umowa, obowiązek prawny albo uzasadniony interes firmy.
W ramach wdrożenia porządkujemy:
Dokumentacja ma sens tylko wtedy, gdy odpowiada rzeczywistym uprawnieniom w systemach. Rejestr pozwala przypisać odpowiedzialność, retencja ogranicza zbędne dane, a procedura naruszeń pozwala działać bez improwizacji. Jeżeli trzeba sprawdzić, czy procedury wystarczają, możliwa jest konsultacja i audyt zgodności z RODO.
Szkolenia z RODO są potrzebne wtedy, gdy dokumenty mają zacząć działać w praktyce. Większość naruszeń wynika z błędów rutynowych, takich jak wysłanie wiadomości do niewłaściwego adresata, zbyt szeroki dostęp do danych albo brak weryfikacji tożsamości osoby pytającej o informacje. Jedno szkolenie ogólne dla całej firmy rzadko rozwiązuje problem.
Szkolenie powinno uwzględniać role uczestników. Innych zasad potrzebuje dział kadr, innych obsługa klienta, a jeszcze innych zarząd podejmujący decyzje o nowych systemach, monitoringu czy marketingu. Taki model może budować nawyki, skracać czas wdrożenia nowych pracowników i ograniczać liczbę pomyłek.
Takie wsparcie jest potrzebne wtedy, gdy organizacja wymaga stałego nadzoru, a nie tylko jednorazowego wdrożenia. Nie każda firma musi powołać inspektora ochrony danych, czyli IOD, jednak każda musi umieć wykazać zgodne przetwarzanie danych. Obowiązek powołania pojawia się zwłaszcza przy regularnym monitorowaniu osób na dużą skalę lub przy przetwarzaniu na dużą skalę danych o zdrowiu oraz innych danych należących do szczególnych kategorii.
Zewnętrzne pełnienie funkcji IOD może dawać niezależny ogląd procesów, wsparcie przy ocenie incydentów, kontaktach z organem nadzorczym i przeglądach zabezpieczeń. Dla klienta może to oznaczać stały nadzór bez tworzenia etatu oraz ograniczenie ryzyka, że ciągłość nadzoru zostanie przerwana wskutek urlopu lub zmiany pracownika.
Uporządkowana ochrona danych osobowych nie służy wyłącznie spełnieniu przepisów. Ustalone procedury porządkują obieg informacji i poprawiają jakość obsługi klienta. Ma to znaczenie szczególnie tam, gdzie firma działa w kilku kanałach, prowadzi sprzedaż internetową albo korzysta z wielu podwykonawców.
Możliwe efekty obejmują:
Wsparcie w obszarze RODO powinno być proporcjonalne do skali działalności. Innych rozwiązań potrzebuje jednoosobowa firma usługowa, innych sklep internetowy, pracodawca z działem kadr czy spółka korzystająca z wielu systemów i dostawców. Dlatego pracę zaczynamy od ustalenia, jakie dane są przetwarzane, gdzie trafiają i kto ma do nich dostęp.
Najczęściej proces obejmuje:
W sprawie wdrożenia RODO, szkolenia zespołu albo wsparcia inspektora ochrony danych możliwy jest kontakt przez formularz konsultacji lub telefon.
Uporządkowanie ochrony danych osobowych ma znaczenie, ponieważ istotne ryzyko nie wynika z braku jednego dokumentu, lecz z niespójnych procesów, uprawnień i zasad przechowywania danych. Wdrażanie RODO zacznij od ustalenia, jakie dane firma zbiera, w jakim celu je przetwarza i na jakiej podstawie prawnej działa. Następnie dopasuj rejestry, klauzule, umowy powierzenia, upoważnienia i zasady retencji do codziennej praktyki. Szkolenia z RODO można kierować do konkretnych ról w organizacji, ponieważ może to ograniczać rutynowe błędy, usprawniać wdrożenie pracowników i porządkować zasady bezpieczeństwa. Stały nadzór inspektora ochrony danych oraz regularny audyt zgodności z RODO mogą pomagać w reagowaniu na incydenty, przygotowaniu do kontroli i budowaniu wiarygodności wobec klientów oraz kontrahentów.
Najwięcej naruszeń powodują rozproszone dane przechowywane w wiadomościach e-mail, formularzach i różnych systemach, niespójne procedury, brak upoważnień oraz jasno określonych okresów przechowywania. Prowadzi to do błędów przy obsłudze zgód, żądań dostępu do danych i incydentów.
Wdrożenie należy rozpocząć od inwentaryzacji danych, czyli ustalenia, jakie dane są zbierane, w jakim celu i na jakiej podstawie prawnej. Następnie należy przygotować rejestry, klauzule informacyjne, umowy powierzenia, upoważnienia, zasady retencji danych oraz odpowiednie procedury.
Inspektora ochrony danych warto powołać lub zlecić jego obsługę, gdy potrzebny jest stały nadzór, prowadzony jest regularny monitoring lub na dużą skalę przetwarzane są dane szczególnych kategorii. Jest to również dobre rozwiązanie, gdy firma potrzebuje niezależnego wsparcia przy incydentach i kontaktach z organem nadzorczym.
SKONTAKTUJ SIĘ
Zapraszamy do pierwszego kontaktu, pomocy udzielamy na miejscu, online lub telefonicznie.
