Jak przeszkolić pracowników z RODO?

Szkolenie pracowników z RODO ma sens dopiero wtedy, gdy firma wie, jakie dane przetwarza i kto ma do nich dostęp. Bez tego punktu wyjścia trudno ustalić zakres materiału i grupę osób, które faktycznie muszą przejść przez proces szkoleniowy.

Czym są dane osobowe i dlaczego szkolenie jest konieczne

Dane osobowe to każda informacja pozwalająca zidentyfikować osobę fizyczną - numer identyfikacyjny, ale też cechy fizyczne, ekonomiczne lub umysłowe, które w połączeniu ze sobą wskazują na konkretną osobę. Samo imię i nazwisko nie zawsze podlega ochronie (Jan Kowalski jest zbyt popularny, by kogoś jednoznacznie wskazać), ale rzadsze kombinacje połączone z zawodem czy miejscowością już tak.

Dane szczególnych kategorii - informacje o zdrowiu, pochodzeniu etnicznym, poglądach religijnych czy dane biometryczne - wymagają dodatkowych zabezpieczeń: zaostrzonej kontroli dostępu i szyfrowania zarówno przy przechowywaniu, jak i transmisji. Administrator musi przeprowadzić ocenę skutków dla ochrony danych (DPIA) przed rozpoczęciem przetwarzania szczególnych kategorii danych osobowych na dużą skalę.

Obowiązek szkolenia dotyczy każdej firmy przetwarzającej dane osobowe, niezależnie od modelu współpracy z klientami. Nawet działalność wyłącznie B2B nie zwalnia z tego obowiązku, bo pracodawca przetwarza dane zatrudnionych osób.

Zakres danych w poszczególnych działach firmy

Zakres danych w każdym dziale wyznacza inny profil ryzyka, dlatego szkolenie nie powinno być jednym uniwersalnym wykładem, tylko materiałem dopasowanym do stanowiska.

Kiedy szkolenie z RODO jest obowiązkowe

Szkolenie jest konieczne dla każdego, kto ma dostęp do danych osobowych - ale zakres wiedzy różni się w zależności od stanowiska:

• Pracownicy z dostępem do danych osobowych muszą znać procedury przetwarzania i obowiązujące zakazy
• Osoby obsługujące systemy IT powinny rozumieć zagrożenia cybernetyczne i metody zabezpieczania danych
• Kierownicy działów reagują na incydenty i egzekwują procedury w zespole
• Kadry i księgowość przetwarzają dane wrażliwe, więc wymagają wiedzy specjalistycznej
• Call center i obsługa klienta mają bezpośredni kontakt z danymi w rozmowach i korespondencji
• Marketing i sprzedaż korzystają z baz klientów, co wymaga znajomości zasad pozyskiwania zgód

Co powinno obejmować szkolenie merytoryczne

Szkolenie dla osób bezpośrednio pracujących z danymi powinno wychodzić poza ogólne zasady rozporządzenia i uwzględniać konkretne scenariusze z danego stanowiska:

• Procedury dostępu do systemów - kto, kiedy i na jakiej podstawie może przeglądać dane, jakie logi są zapisywane
• Zasady przekazywania danych podmiotom trzecim - kiedy jest to dozwolone i jaka dokumentacja jest wymagana (umowy powierzenia, klauzule standardowe)
• Postępowanie przy wycieku danych - kogo powiadomić, jak zabezpieczyć ślady, co zawrzeć w raporcie
• Odpowiedzialność karna i cywilna za naruszenie przepisów, z uwzględnieniem kar do 20 mln euro lub 4% rocznego obrotu
• Analiza realnych naruszeń w branży, w której działa firma, i kar nałożonych przez UODO na inne podmioty
• Obsługa żądań osób, których dane dotyczą - prawo dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych

Wskazówka: szkolenie warto przeprowadzić we współpracy z prawnikiem specjalizującym się w ochronie danych. Rozporządzenie zostawia pole do interpretacji przy ustalaniu podstawy prawnej przetwarzania, okresu przechowywania danych czy zasad zgłaszania naruszeń w ciągu 72 godzin - a błędna interpretacja kosztuje więcej niż konsultacja.

Prawnik pomaga też opracować wewnętrzne regulaminy i instrukcje, które pracownicy otrzymują po szkoleniu - konkretne schematy postępowania, od obsługi zgłoszenia wycieku po sposób archiwizacji dokumentów. Dzięki temu wiedza przekłada się na codzienną pracę, a nie zostaje na poziomie teorii z wdrożenia RODO w firmie.

Szkolenie informacyjne dla pozostałych pracowników

Osoby bez bezpośredniego dostępu do systemów z danymi osobowymi też powinny przejść szkolenie, choć krótsze i bardziej praktyczne. Chodzi o uświadomienie ryzyk:

• Udostępnianie haseł lub uprawnień, nawet w pozornie niewinnych sytuacjach jak pożyczenie loginu koledze
• Korzystanie z niezabezpieczonych sieci Wi-Fi przy pracy zdalnej, gdzie transmisja może zostać przechwycona
• Otwieranie podejrzanych załączników (phishing, ransomware), nawet jeśli wiadomość wygląda na wiarygodną
• Rozmowy o klientach lub pracownikach w miejscach publicznych - kawiarniach, komunikacji miejskiej, poczekalniach
• Wyrzucanie dokumentów z danymi osobowymi do zwykłego kosza zamiast niszczarki lub archiwum

Taką formę można przeprowadzić jako webinar lub e-learning, ale z elementem weryfikacji wiedzy - krótkim testem końcowym, którego wynik trafia do dokumentacji pracowniczej jako potwierdzenie odbycia szkolenia.

Jak często powtarzać szkolenia

Szkolenie z RODO nie jest jednorazowe. Firma powinna je powtarzać:

• Co najmniej raz w roku, żeby odświeżyć wiedzę i omówić nowe zagrożenia technologiczne
• Przy zmianach w przepisach lub nowych wytycznych UODO albo Europejskiej Rady Ochrony Danych
• Przy wdrażaniu nowych systemów informatycznych, bo zmiana środowiska pracy wymaga aktualizacji procedur
• Dla nowych pracowników, jeszcze przed uzyskaniem dostępu do systemów z danymi osobowymi
• Po wykryciu naruszenia, jako szkolenie doraźne dla osób odpowiedzialnych za obszar, w którym doszło do incydentu

Każde szkolenie wymaga dokumentacji: lista obecności, program, materiały szkoleniowe i podpisane oświadczenia pracowników o zapoznaniu się z procedurami. To dowód staranności administratora danych przy ewentualnej kontroli lub postępowaniu po naruszeniu. Rejestr szkoleń prowadzony elektronicznie ułatwia sprawdzenie, którzy pracownicy wymagają szkolenia uzupełniającego.