Każda firma, która zbiera imiona, adresy e-mail czy numery telefonów klientów, przetwarza dane osobowe i podlega RODO, niezależnie od swojej wielkości. Dla właściciela małego biznesu to często powód do obaw, ale większość obowiązków sprowadza się do kilku konkretnych działań. Poniżej znajdziesz osiem z nich, w kolejności, w jakiej najłatwiej je wdrożyć.
Najpierw uporządkuj, jakie dane masz i po co
1. Ustal, jakie dane zbierasz i na jakiej podstawie
Zrób listę danych, które trafiają do firmy: z formularzy, faktur, rozmów telefonicznych, zamówień czy newslettera. Dla każdej grupy danych określ cel i podstawę prawną. Może to być na przykład wykonanie umowy, obowiązek wynikający z przepisów (choćby podatkowych) albo zgoda klienta. Pamiętaj o zasadzie minimalizacji: zbieraj tylko to, co naprawdę potrzebne. Jeśli do wysłania paczki nie potrzebujesz daty urodzenia, nie pytaj o nią.
2. Prowadź rejestr czynności przetwarzania
RODO przewiduje wyjątki od tego obowiązku dla mniejszych firm, ale są one wąskie. Nie obejmują przetwarzania, które odbywa się regularnie, a obsługa klientów zwykle taka właśnie jest. Najbezpieczniej założyć, że rejestr jest potrzebny. W praktyce to prosty dokument, np. tabela: jakie dane, w jakim celu, komu je przekazujesz, jak długo je przechowujesz i jak je chronisz. Warto sprawdzić aktualne wytyczne organu nadzorczego, czyli Prezesa Urzędu Ochrony Danych Osobowych.
Poinformuj klientów i szanuj ich prawa
3. Przekaż klauzulę informacyjną
Klient ma prawo wiedzieć, kto jest administratorem jego danych, w jakim celu je przetwarzasz, jak długo je przechowujesz i jakie ma prawa. Informację podaj w momencie zbierania danych: w formularzu, w regulaminie sklepu, przy umowie albo w widocznym miejscu w punkcie obsługi. Pisz prostym językiem, bez prawniczego żargonu.
4. Realizuj prawa osób, których dane dotyczą
Klient może poprosić o dostęp do swoich danych, ich poprawienie, w określonych sytuacjach usunięcie lub ograniczenie przetwarzania, a także sprzeciwić się przetwarzaniu. Ustal w firmie, kto przyjmuje takie wnioski i jak je rozpoznaje. Na odpowiedź masz ograniczony czas, więc nie odkładaj sprawy. Dokładne terminy i wyjątki sprawdź w aktualnych przepisach. Warto też zadbać o to, żeby przed wydaniem danych zweryfikować tożsamość osoby, która o nie prosi.
Zabezpiecz dane w praktyce
5. Wdróż zabezpieczenia techniczne i organizacyjne
RODO nie narzuca jednej listy zabezpieczeń. Wymaga środków dostosowanych do ryzyka. W małej firmie podstawą są zwykle:
- silne, unikalne hasła i uwierzytelnianie dwuskładnikowe tam, gdzie jest dostępne,
- regularne aktualizacje systemu i programów,
- oprogramowanie zabezpieczające przed złośliwym kodem,
- kopie zapasowe przechowywane osobno i sprawdzane pod kątem możliwości odtworzenia,
- szyfrowanie laptopów, telefonów i nośników z danymi,
- zamykane szafy na dokumenty papierowe i zasada czystego biurka,
- dostęp do danych tylko dla osób, które go potrzebują.
Zabezpieczenia warto okresowo przeglądać i zapisywać, co zostało zrobione. To pomoże wykazać, że działasz zgodnie z przepisami.
6. Uporządkuj relacje z dostawcami
Jeśli korzystasz z zewnętrznej księgowości, hostingu, systemu do wysyłki e-maili czy firmy kurierskiej, często powierzasz im dane klientów. W takim przypadku potrzebna jest umowa powierzenia przetwarzania danych albo odpowiednie postanowienia w istniejącej umowie. Wybieraj dostawców, którzy dają rzetelne gwarancje ochrony danych, i sprawdzaj, czy dane nie trafiają poza Europejski Obszar Gospodarczy. Jeśli tak, obowiązują dodatkowe wymogi.
7. Upoważnij i przeszkol pracowników
Nawet najlepsze zabezpieczenia nie pomogą, jeśli pracownik prześle listę klientów na prywatną skrzynkę albo da się nabrać na fałszywy e-mail. Osoby mające dostęp do danych powinny mieć nadane upoważnienia i zobowiązanie do zachowania poufności. Krótkie szkolenie na starcie i przypomnienie raz na jakiś czas w zupełności wystarczą. Dotyczy to także współpracowników na umowach cywilnoprawnych i praktykantów.
Wiedz, co zrobić, gdy dojdzie do wycieku
8. Reaguj na naruszenia i je dokumentuj
Naruszeniem ochrony danych jest nie tylko włamanie. Może nim być zgubiony telefon, e-mail wysłany do niewłaściwej osoby czy awaria, która uniemożliwia dostęp do danych. Każde takie zdarzenie zapisz w wewnętrznym rejestrze i oceń ryzyko dla osób, których dotyczy. Jeśli naruszenie może skutkować ryzykiem dla ich praw i wolności, trzeba zgłosić je do Prezesa UODO, i to w krótkim terminie liczonym od stwierdzenia naruszenia. Gdy ryzyko jest wysokie, o sprawie należy zawiadomić także poszkodowanych. Dokładne warunki i terminy sprawdź w aktualnych przepisach i wytycznych organu nadzorczego. Dobrze mieć przygotowany prosty plan: kto decyduje, kogo informować i jak ograniczyć skutki.
Wdrożenie tych ośmiu kroków nie wymaga rozbudowanego działu prawnego, tylko systematyczności. Zacznij od inwentaryzacji danych, a potem wprowadzaj kolejne elementy stopniowo. W bardziej złożonych sytuacjach, na przykład przy dużej skali przetwarzania lub danych szczególnych kategorii, warto skonsultować się z prawnikiem lub inspektorem ochrony danych.