RODO w biznesie – Sprawdź kogo dotyczy, jak przechowywać dane i jakie masz obowiązki jako przedsiębiorca!

RODO to z pewnością najpopularniejsze rozporządzenie unijne wśród wszystkich przedsiębiorców. Oprócz tego, iż budzi szeroki komentarz, budzi również wiele wątpliwości czy niejasności. Po pewnym czasie od wprowadzenia tego rozporządzenia narosło też wiele mitów czy błędnych przekonań. W tym tekście podsumowujemy czym tak właściwie jest RODO, jakie obowiązki nakłada i kto musi przestrzegać prawa unijnego w zakresie ochrony danych osobowych. Podpowiadamy też skuteczne i przydatne porady odnośnie samego przetwarzania danych osobowych, aby było ono efektywne oraz spełniało wymogi rozporządzenia.

RODO — Czym jest?

RODO czyli General Data Protection Regulation to regulacja unijna, która została przyjęta w kwietniu 2016 roku, a w życie weszła 25 maja 2018 roku. Jest to rozporządzenie, które reguluje przetwarzanie danych osobowych klientów oraz osób mających styczność z daną firmą. Ma ono na celu ujednolicenie przepisów we wszystkich krajach unijnych i lepszą ochronę osób, których dane są przetwarzane. Rozporządzenie o ochronie danych osobowych ma zastosowanie przy działalności biznesowej i dotyczy jedynie przedsiębiorców. Nie ma ono zastosowania przy kwestii prywatnej czy domowej na własny użytek. Oznacza to, że rozporządzeniu podlegają przedsiębiorcy, a nie osoby prywatne. Sama regulacja jest obszerna oraz jasno określa kwestie związane z przetwarzaniem danych osobowych. Zawiera też obowiązki i prawa zarówno osób przetwarzających dane, jak i osób, których dane są przetwarzane. Osoby, których dane osobowe są przetwarzane, mają prawo m.in. do wglądu w dane, ograniczania zgody do przetwarzania w zakresie ich przenoszenia oraz sortowania czy do zapomnienia danych. Zapomnienie danych osobowych jest ich całkowitym usunięciem z rejestrów.

RODO ściśle reguluje przetwarzanie danych osobowych. Pod tym terminem kryje się wiele czynności, które często budzą pewne wątpliwości. Są to zbieranie danych osobowych, przechowywanie informacji o klientach, opracowywanie danych, usuwanie informacji, czy udostępnianie danych. Rozporządzenie reguluje też archiwizowanie danych czy zarządzanie nimi przez osoby w danej firmie oraz kwestie związane np. z ich wysyłką kurierem. Bardzo ważnym elementem w RODO jest zbieranie zgód na przetwarzanie naszych danych osobowych. Musi ona zawierać kilka niezbędnych elementów, aby była wiążąca, a przedsiębiorca mógł legalnie przetwarzać dane osobowe klientów. Z pewnością zgoda na przetwarzanie danych musi być jednak czytelna. Musi być w niej zawarty cel, w jakim przetwarzane są dane i niedopuszczalne jest określenie ogólnego — niesprecyzowanego celu. Sama zgoda musi być też dobrowolna i nie być wynikiem przymusu lub wprowadzenia w błąd.

Samą zgodę na przetwarzanie danych osobowych można udzielić też w każdej chwili lub ją cofnąć w zależności od woli klienta. Istotną kwestią, którą również należy doprecyzować, jest definicja danych osobowych, które są przetwarzane. Z pewnością jest to imię i nazwisko danej osoby, numer pesel, dane lokalizacyjne, adres e-mail czy IP komputera.

RODO w biznesie, czyli kto powinien stosować rozporządzenie

Bardzo ważną kwestią, która budzi wiele wątpliwości, jest to, kto musi korzystać z RODO. Rozporządzeniu unijnemu podlega każdy przedsiębiorca, który prowadzi działalność gospodarczą na terenie Unii Europejskiej. Obowiązkowi temu podlegają nawet delegatury czy filie firm spoza Unii. Z RODO korzystać musi zatem osoba prowadząca jednoosobową działalność gospodarczą, spółkę czy dużą firmę. Nie ważna jest również narodowość osób, których dane przetwarzamy oraz miejsce, gdzie znajdują się serwery z danymi o klientach.

Kiedy nie trzeba stosować RODO?

Wbrew pozorom istnieje również kilka sytuacji, w których przedsiębiorcy nie muszą posiadać zgody klienta na przetwarzanie ich danych osobowych oraz kierować się rozporządzeniem. Pierwszym takim wypadkiem jest uzasadniony interes administratora lub osoby trzej. Mowa tu np. o złożeniu pozwu sądowego i w takim wypadku nie jest potrzebna zgoda danego klienta na wykorzystanie jego danych w pozwie. Zgoda nie jest również potrzebna przy przetwarzaniu danych w celach niezbędnych do wypełnienia obowiązku prawnego, który ciąży na administratorze np. obowiązku prowadzenia księgi rachunkowej przy podatkach. Ostatnim przypadkiem, gdy RODO nie ma zastosowania, jest wykonanie umowy między firmą a klientem. Jeśli dana osoba zamówiła np. płytę CD, sklep internetowy nie musi prosić jej o zgodę na wykorzystanie danych teleadresowych w celu jej dostarczenia. Według prawa nadal jest to przetwarzanie danych osobowych, ale niewymagające zgody według RODO.

Jak chronić dane osobowe?

Oprócz wiedzy teoretycznej, która pomaga jasno i pewnie zarządzać danymi klientów, należy również zwrócić uwagę na konieczność zabezpieczenia danych osobowych. Choć samo rozporządzenie nie nakłada konkretnych czynności czy wymogów, istnieje wiele dobrych praktyk, które spełnia definicję ochrony z rozporządzenia oraz zapobiega wyciekowi danych oraz konsekwencjom takiej sytuacji. Pierwszym sposobem na skuteczną ochronę przerwanych danych osobowych jest odpowiednia ochrona informatyczna. Komputer z danymi powinien znajdować się w siedzibie firmy i nie być często przenoszony np. używany w terenie, czyli być narażony na kradzież. Sam komputer musi mieć legalne oprogramowanie oraz program antywirusowy. Winien być też zabezpieczony hasłem, pinem lub odciskiem palca upoważnionych osób. Jeśli przechowujemy dane osobowe w tradycyjnej papierowej formie, należy zabezpieczyć je przed dostępem osób trzecich np. zamykając je w szafce na klucz.

Ważną czynnością jest przeszkolenie pracowników, którzy będą mieli styczność z danymi z zakresu ochrony danych osobowych. Szkolenie takie możemy przeprowadzić samodzielnie lub skorzystać z usług zewnętrznych firm szkoleniowych. Należy również prowadzić ewidencję osób — pracowników, którzy mają dostęp do danych osobowych oraz nimi zarządzają. Elementem, który pomaga chronić dane osobowe naszych klientów, jest podpisanie odpowiedniej umowy z innymi firmami, którym przekazujemy dane np. firmą kurierską, firmą utylizacją dokumenty czy biurem rachunkowym. Przy podpisywaniu takiej umowy należy zwrócić uwagę na kwestie prawne związane z ochroną danych osobowych i odpowiedzialnością firm trzecich czy wymaganym zabezpieczeniem całego procesu ze strony firm trzecich. W takiej sytuacji warto wybrać kancelarię prawną lub prawnika i skonsultować się odnośnie danej umowy. Kancelaria prawna pomoże stworzyć taką umowę, a prawnik podpowie nam, co powinno się w niej znaleźć, aby skutecznie chronić dane naszych klientów, które musimy przekazać innym podmiotom. Środkami ochrony danych osobowych są zatem:

• zabezpieczenie informatyczne
• zabezpieczenie dokumentacji papierowej
• przeszkolenie pracownika
• prowadzenie ewidencji osób mających styczność z danymi
• posiadanie stosownej umowy z firmami, którym przekazujemy dane