W wielu firmach wdrożenie RODO zaczyna się od skopiowania polityki prywatności, a kończy na przekonaniu, że temat został zamknięty. Problem pojawia się dopiero wtedy, gdy klient żąda dostępu do danych, pracownik wysyła bazę odbiorców niewłaściwemu adresatowi albo sklep internetowy nie potrafi wyjaśnić, na jakiej podstawie przekazuje dane firmie kurierskiej czy operatorowi płatności. RODO nie jest zestawem dokumentów do szuflady. To sposób, w jaki firma faktycznie zarządza informacjami o klientach, pracownikach, kontrahentach i użytkownikach serwisu.
Dla przedsiębiorcy stawką nie jest wyłącznie administracyjna kara finansowa. Równie realne są utrata zaufania klientów, koszt obsługi naruszenia, paraliż operacyjny oraz spór z osobą, której dane zostały wykorzystane nieprawidłowo. Dobrze przeprowadzone wdrożenie porządkuje procesy i pozwala podejmować decyzje biznesowe bez zgadywania, czy kolejna kampania, integracja lub rekrutacja tworzy nowe ryzyko.
Wdrożenie RODO zaczyna się od procesów, nie od wzorów
Punktem wyjścia powinno być ustalenie, jakie dane firma przetwarza, skąd je otrzymuje, komu je ujawnia i jak długo ich potrzebuje. W organizacji e-commerce będą to zwykle dane kupujących, adresy dostaw, numery telefonów, historia zamówień, reklamacje, korespondencja, dane użytkowników newslettera oraz dane osób kontaktujących się przez formularze i media społecznościowe. W spółce zatrudniającej pracowników dochodzą dane kadrowe, rekrutacyjne, dane współpracowników B2B i informacje przetwarzane w ramach monitoringu.
Sama lista kategorii danych nie wystarczy. Trzeba opisać konkretny cel każdego procesu. Dane nabywcy są potrzebne do zawarcia i wykonania umowy sprzedaży, lecz wykorzystanie jego adresu e-mail do marketingu własnego wymaga odrębnej analizy. Dane z faktury należy przechowywać zgodnie z obowiązkami podatkowymi, ale nie oznacza to automatycznie, że przez taki sam okres można bez ograniczeń zachowywać całą historię zachowania klienta w serwisie.
Taka analiza prowadzi do rejestru czynności przetwarzania. Nie powinien on być technicznym formularzem wypełnionym dla pozoru, lecz mapą operacji wykonywanych w firmie. To właśnie na niej można później oprzeć właściwe klauzule informacyjne, upoważnienia, umowy powierzenia i zasady retencji danych.
Podstawa prawna musi odpowiadać rzeczywistemu celowi
Jednym z najczęstszych błędów jest wpisywanie zgody jako uniwersalnej podstawy przetwarzania. Zgoda ma znaczenie tam, gdzie osoba rzeczywiście może swobodnie ją wyrazić albo odmówić, na przykład przy określonych działaniach marketingowych. Nie jest jednak właściwą podstawą do realizacji zamówienia, wystawienia faktury, rozpatrzenia reklamacji czy wykonania obowiązku ustawowego.
W praktyce firma korzysta z kilku podstaw prawnych, zależnie od procesu. Będzie to wykonanie umowy, obowiązek prawny, prawnie uzasadniony interes administratora, a w określonych sytuacjach zgoda. Każda z nich ma inne konsekwencje. Jeżeli przedsiębiorca opiera działanie na uzasadnionym interesie, powinien umieć wykazać, na czym ten interes polega i dlaczego nie przeważają nad nim prawa osoby, której dane dotyczą.
Szczególnej ostrożności wymaga marketing. W e-commerce nie wolno mieszać obowiązków RODO z zasadami dotyczącymi komunikacji elektronicznej. To, że przedsiębiorca ma podstawę do przetwarzania danych kontaktowych, nie przesądza jeszcze o możliwości wysłania wiadomości handlowej. Mechanizmy zgód, checkboxy oraz ustawienia systemów mailingowych muszą odzwierciedlać rzeczywisty zakres komunikacji.
Dokumentacja ma potwierdzać działanie firmy
Prawidłowa dokumentacja RODO odpowiada na proste pytanie: czy firma potrafi wykazać, że działa zgodnie z przepisami? Obejmuje ona między innymi polityki wewnętrzne, rejestr czynności przetwarzania, procedury realizacji praw osób, zasady reagowania na naruszenia, upoważnienia dla personelu oraz dokumenty regulujące współpracę z podmiotami zewnętrznymi.
Warto odróżnić dokumenty wymagające publikacji od tych, które mają funkcjonować wewnątrz organizacji. Polityka prywatności sklepu lub serwisu informuje użytkownika o przetwarzaniu jego danych. Nie zastępuje natomiast procedury, według której pracownik ma obsłużyć żądanie usunięcia danych albo zgłosić omyłkowe wysłanie dokumentu do niewłaściwej osoby.
Dokumentacja powinna też uwzględniać specyfikę kanałów sprzedaży. Sprzedawca działający na Allegro, we własnym sklepie, przez platformy marketplace i zewnętrzne systemy fulfillmentu nie obsługuje jednego prostego obiegu danych. Dane mogą przechodzić przez system zamówień, księgowość, magazyn, narzędzia do obsługi klienta, integratory i operatorów płatności. Każdy taki element należy prawidłowo zakwalifikować prawnie.
Umowy z dostawcami: kto przetwarza dane w czyim imieniu?
Nie każda firma, która otrzymuje dane osobowe od przedsiębiorcy, jest podmiotem przetwarzającym. Kurier realizujący własne obowiązki, bank, operator płatności czy biuro rachunkowe mogą występować w różnych rolach, zależnie od zakresu usługi i celu przetwarzania. Błędne automatyczne zawieranie umów powierzenia ze wszystkimi partnerami nie zwiększa bezpieczeństwa. Czasem wręcz zaciemnia odpowiedzialność stron.
Umowa powierzenia jest potrzebna wtedy, gdy usługodawca przetwarza dane wyłącznie w imieniu i na udokumentowane polecenie administratora. Dotyczy to często dostawców hostingu, systemów CRM, narzędzi do wysyłki newsletterów, firm IT czy podmiotów obsługujących określone procesy kadrowe. Umowa powinna precyzować zakres danych, cel, czas przetwarzania, obowiązki bezpieczeństwa i zasady korzystania z dalszych podwykonawców.
Warto sprawdzić także transfery danych poza Europejski Obszar Gospodarczy. Wystarczy korzystanie z popularnej aplikacji analitycznej, komunikatora lub narzędzia chmurowego, aby dane były przetwarzane w modelu wymagającym dodatkowej weryfikacji. Nie każdy transfer jest zakazany, ale każdy powinien mieć prawidłową podstawę i zabezpieczenia.
Bezpieczeństwo to decyzje organizacyjne i techniczne
RODO nie nakazuje jednego programu antywirusowego, konkretnego szyfrowania ani jednego modelu haseł. Wymaga środków adekwatnych do ryzyka. Innego poziomu zabezpieczeń potrzebuje niewielki sklep z ograniczoną bazą klientów, a innego spółka przetwarzająca duże wolumeny danych, prowadząca profilowanie lub korzystająca z rozbudowanej infrastruktury informatycznej.
W praktyce należy ustalić, kto ma dostęp do poszczególnych systemów, czy uprawnienia są nadawane zgodnie z rolą pracownika, jak długo pozostają aktywne po zakończeniu współpracy i czy firma posiada kopie zapasowe. Znaczenie mają również aktualizacje, wieloskładnikowe uwierzytelnianie, zasady używania prywatnych urządzeń i kontrola nad eksportem baz danych.
Nie należy pomijać ludzi. Nawet najlepsza polityka nie ochroni przedsiębiorcy, jeśli pracownik nie wie, jak rozpoznać próbę wyłudzenia danych, komu zgłosić podejrzaną wiadomość albo jak postąpić z dokumentem zawierającym dane klienta. Szkolenie powinno dotyczyć rzeczywistych sytuacji z danej firmy, a nie wyłącznie definicji z rozporządzenia.
Naruszenie danych wymaga planu działania
Naruszeniem może być atak ransomware, ale też zgubiony laptop, błędnie zaadresowana wiadomość e-mail, publicznie udostępniony plik czy dostęp byłego pracownika do panelu sklepu. Pierwsze godziny po wykryciu zdarzenia mają decydujące znaczenie. Firma musi zabezpieczyć sytuację, ustalić skalę zdarzenia, ocenić ryzyko dla osób i podjąć decyzję o ewentualnym zgłoszeniu do Prezesa Urzędu Ochrony Danych Osobowych.
Nie każde naruszenie podlega zgłoszeniu, lecz każde powinno zostać udokumentowane i ocenione. Jeżeli istnieje ryzyko naruszenia praw lub wolności osób, zgłoszenie co do zasady trzeba przekazać w ciągu 72 godzin od stwierdzenia naruszenia. Gdy ryzyko jest wysokie, może być konieczne także poinformowanie osób, których dane dotyczą. Procedura nie może kończyć się na wskazaniu terminu. Powinna określać osoby odpowiedzialne, obieg informacji i sposób zabezpieczenia dowodów.
Kiedy potrzebny jest audyt i inspektor ochrony danych?
Audyt RODO jest uzasadniony nie tylko przed formalnym wdrożeniem. Warto go przeprowadzić po uruchomieniu nowego sklepu, aplikacji, systemu CRM, programu lojalnościowego, monitoringu, zmianie modelu zatrudnienia lub przejęciu innej firmy. Również przedsiębiorstwo posiadające dokumenty sprzed kilku lat powinno zweryfikować, czy nadal odpowiadają one faktycznym procesom.
Powołanie inspektora ochrony danych nie jest obowiązkowe dla każdej spółki. Obowiązek zależy od charakteru działalności oraz skali i rodzaju przetwarzania, w szczególności przy regularnym monitorowaniu osób na dużą skalę lub przetwarzaniu szczególnych kategorii danych na dużą skalę. Nawet bez ustawowego obowiązku firma może korzystać ze stałego wsparcia eksperckiego. Nie należy jednak powoływać IOD wyłącznie dla nazwy – taka funkcja wiąże się z konkretną pozycją, niezależnością i zadaniami.
Dobre wdrożenie RODO nie polega na tym, że przedsiębiorca przestaje korzystać z danych. Polega na tym, że wie, po co je ma, kto może z nich korzystać i jak reagować, gdy proces przestaje działać prawidłowo. Przed rozpoczęciem kolejnej kampanii, integracji sprzedażowej lub projektu HR warto zadać te pytania wcześniej, gdy odpowiedzi można jeszcze spokojnie zaprojektować, a nie wtedy, gdy trzeba już usuwać skutki błędu.