Ochrona danych osobowych w firmie opiera się na unijnym rozporządzeniu RODO, które nakłada na przedsiębiorców obowiązek wdrożenia konkretnych procedur i zabezpieczeń technicznych. Poniżej wyjaśniamy, czym są dane osobowe, jakie obowiązki ciążą na administratorze, kiedy trzeba powołać inspektora ochrony danych i jakie kary grożą za naruszenia.
Dane osobowe to wszystkie informacje pozwalające zidentyfikować osobę fizyczną. Ustawa o ochronie danych osobowych nie precyzuje ich zamkniętego katalogu, dlatego każdy przypadek wymaga indywidualnej oceny. Ochrona danych osobowych ma zabezpieczyć takie informacje przed utratą, wyciekiem oraz dostępem osób nieuprawnionych. Nawet pozornie neutralne dane mogą w połączeniu z innymi doprowadzić do identyfikacji konkretnej osoby, co poszerza zakres stosowania przepisów.
Do katalogu danych osobowych zalicza się imię i nazwisko, numer PESEL, adres zamieszkania, numer telefonu i adres e-mail. W szerszym ujęciu należą tu również numery IP, dane geolokalizacyjne i identyfikatory plików cookies. Pseudonim czy nick w mediach społecznościowych staje się daną osobową, jeśli umożliwia powiązanie aktywności cyfrowej z konkretną osobą.
Obowiązek przestrzegania zasad ochrony danych osobowych dotyczy każdego przedsiębiorcy, niezależnie od formy działalności, także jednoosobowej. Dobór rozwiązań technicznych i organizacyjnych zależy od specyfiki działalności oraz poziomu ryzyka dla osób, których dane dotyczą.
Administrator musi wdrożyć systemy, które domyślnie przetwarzają wyłącznie dane niezbędne do konkretnego procesu, zgodnie z zasadą minimalizacji: nie więcej informacji, niż wymaga cel przetwarzania. Klient ma prawo do informacji o celu przetwarzania jego danych, wglądu w historię ich zmiany oraz żądania usunięcia lub sprostowania nieprawidłowości.
Przetwarzanie musi opierać się na jednej z sześciu przesłanek wskazanych w RODO. Najczęściej stosowane to zgoda osoby, wykonanie umowy, obowiązek prawny administratora oraz jego prawnie uzasadniony interes. Wybór podstawy prawnej ma znaczenie praktyczne: cofnięcie zgody nie jest możliwe, jeśli przetwarzanie odbywa się na podstawie umowy.
Szczególnej ochronie podlegają dane wrażliwe, na przykład dotyczące stanu zdrowia, przekonań religijnych czy pochodzenia rasowego. Ich przetwarzanie jest dopuszczalne tylko w ściśle określonych przypadkach. Ochrona danych w internecie nakłada na firmy obowiązek notyfikacyjny: prowadzenie rejestru naruszeń i zgłaszanie każdego incydentu do organu nadzorczego w ciągu 72 godzin od stwierdzenia.
Do szczególnych kategorii zalicza się także poglądy polityczne, przynależność związkową, dane genetyczne, biometryczne służące jednoznacznej identyfikacji oraz dane o życiu seksualnym lub orientacji. Ich przetwarzanie wymaga dodatkowych przesłanek, na przykład wyraźnej zgody lub konieczności wypełnienia obowiązków w prawie pracy. Podmioty z sektora medycznego, ubezpieczeniowego czy HR muszą szczególnie pilnować zasad przetwarzania danych tej kategorii.
Administrator prowadzi rejestr czynności przetwarzania z opisem kategorii danych, celów przetwarzania i odbiorców danych. Rejestr ułatwia wykazanie zgodności z przepisami podczas kontroli organu nadzorczego. Dokumentacja obejmuje też politykę prywatności, instrukcje zarządzania incydentami i regulaminy dostępu do systemów informatycznych.
Firma powinna opracować politykę bezpieczeństwa informacji określającą role i odpowiedzialności w organizacji, zasady nadawania uprawnień dostępu, procedury tworzenia kopii zapasowych oraz scenariusze reakcji na incydenty. Regularne audyty wewnętrzne, testy penetracyjne i szkolenia pracowników są tu niezbędne. Przy przetwarzaniu danych na dużą skalę lub podejmowaniu działań wysokiego ryzyka konieczna bywa ocena skutków dla ochrony danych (DPIA), pozwalająca zidentyfikować zagrożenia przed uruchomieniem nowego procesu.
RODO wprowadziło funkcję inspektora ochrony danych osobowych. Osoba na tym stanowisku powinna mieć wiedzę odpowiadającą ilości i rodzajowi danych przetwarzanych przez firmę. Inspektor staje się podmiotem doradczym i weryfikującym przetwarzanie danych osobowych w przedsiębiorstwie.
Inspektor działa niezależnie od kierownictwa i nie otrzymuje poleceń dotyczących wykonywania swoich zadań. Monitoruje zgodność z przepisami, prowadzi szkolenia dla pracowników i pełni funkcję punktu kontaktowego dla organu nadzorczego. Przeprowadza audyty wewnętrzne, opiniuje projekty nowych systemów przetwarzania oraz doradza w zakresie DPIA.
Do inspektora powinni kierować zapytania klienci, pracownicy i kontrahenci, którzy chcą skorzystać z przysługujących im praw: dostępu do danych, sprostowania, usunięcia czy przeniesienia. Współpracuje z organem nadzorczym podczas kontroli, dostarczając dokumentację i wyjaśniając przyjęte rozwiązania. Przepisy zabezpieczają jego niezależność: nie wolno go zwolnić ani ukarać za wykonywanie powierzonych zadań.
Obowiązek powołania inspektora dotyczy organów publicznych, podmiotów wymagających regularnego i systematycznego monitorowania osób na dużą skalę oraz podmiotów przetwarzających na dużą skalę szczególne kategorie danych. W pozostałych przypadkach powołanie jest dobrowolne, choć zalecane ze względu na rosnącą złożoność wymogów prawnych.
Obowiązek ten obejmuje na przykład szpitale, kliniki, firmy ubezpieczeniowe, operatorów telekomunikacyjnych oraz przedsiębiorstwa prowadzące monitoring wizyjny w miejscach publicznych lub profilowanie na szeroką skalę. Firma działająca lokalnie i przetwarzająca wyłącznie podstawowe dane kontaktowe klientów może nie mieć takiego obowiązku, ale zatrudnienie konsultanta zewnętrznego do spraw zgodności bywa uzasadnione.
Nad ochroną danych osobowych czuwa Urząd Ochrony Danych Osobowych, organ nadzorujący i egzekwujący przestrzeganie przepisów. Przedsiębiorca naruszający zasady musi liczyć się z surowymi konsekwencjami.
Za najpoważniejsze naruszenia grozi kara do 20 milionów euro lub 4% rocznego, światowego obrotu firmy, w zależności od tego, która kwota jest wyższa. Za mniej poważne naruszenia, na przykład brak rejestru czynności przetwarzania, przewidziano kary do 10 milionów euro lub 2% obrotu.
W polskiej praktyce UODO nałożył ponad 2,8 miliona złotych kary na bank, który nie zabezpieczył odpowiednio danych klientów, co doprowadziło do ich wycieku. Inny operator telekomunikacyjny został ukarany za niewystarczające zabezpieczenie baz danych i brak właściwej weryfikacji tożsamości osób wnioskujących o duplikat karty SIM. Organ ocenia nie tylko sam fakt naruszenia, ale też skalę potencjalnych szkód i stopień zaniedbania administratora.
Poza karą finansową organ nadzorczy może nakazać zaprzestanie przetwarzania danych, sprostowanie lub usunięcie danych, a także ograniczyć lub zakazać ich przekazywania do państw trzecich. Przedsiębiorca może ponieść odpowiedzialność cywilną wobec poszkodowanych, którzy dochodzą odszkodowania za szkody majątkowe i niemajątkowe. Przy celowym naruszeniu przepisów możliwa jest też odpowiedzialność karna.
Publikacja decyzji UODO na stronie urzędu i jej nagłośnienie w mediach często prowadzi do utraty zaufania klientów, odwrócenia się kontrahentów oraz spadku wartości akcji spółek giełdowych. Firmy, które nie potrafiły skutecznie zareagować na naruszenie, tracą konkurencyjność i muszą wydawać znaczne środki na odbudowę reputacji. Zarządzanie ryzykiem w obszarze ochrony danych warto więc traktować jako element strategii biznesowej, nie tylko obowiązek prawny.
Organ nadzorczy bierze pod uwagę charakter naruszenia, czas jego trwania, stopień zawinienia, działania naprawcze administratora oraz wcześniejsze naruszenia. Firma, która szybko zareagowała i wykazała dobrą wolę, może liczyć na złagodzenie sankcji, a powtarzające się naruszenia lub brak współpracy z organem skutkują ich zaostrzeniem.
Wskazówka: do okoliczności łagodzących zalicza się natychmiastowe zgłoszenie naruszenia, minimalizowanie szkody dla osób poszkodowanych oraz współpracę z organem w trakcie postępowania. Okolicznościami obciążającymi są celowe działanie, próba zatajenia incydentu, brak reakcji na wcześniejsze ostrzeżenia oraz naruszenie danych szczególnie chronionych.
Komentarze
Brak odpowiedzi do “Zasady ochrony danych osobowych dla firm - co musisz wiedzieć?”
brak komentarzy