Ochrona danych osobowych – RODO w małej firmie

Od 2018 roku w Polsce formalnie obowiązuje rozporządzenie, dotyczące ochrony danych osobowych, znane jako RODO. Regulowane nim przepisy w takim samym zakresie dotyczą dużych, średnich oraz małych przedsiębiorstw. RODO oznacza Rozporządzenie Parlamentu Europejskiego i Rady UE, dotyczące ochrony osób fizycznych w związku z przetwarzaniem danych osobowych. Formalnie obowiązuje ono od 25 maja 2018 roku.

Przepisów RODO muszą przestrzegać wszystkie firmy, niezależnie od ilości pracowników, czy liczby klientów. W momencie, w którym przedsiębiorstwo dysponuje jakimikolwiek informacjami, pozwalającymi na identyfikację tożsamości, bezwzględnie musi wprowadzić działania, mające na celu ochronę danych osobowych.

Które dane podlegają ochronie RODO?

Ochronie RODO podlega każda informacja, która w jakikolwiek sposób mogłaby przyczynić się do identyfikacji tożsamości osoby fizycznej. Typowe dane to:

• imię i nazwisko osoby fizycznej,
• adres,
• numer PESEL,
• numer dowodu osobistego,
• adres poczty mailowej,
• numer telefonu.

Wdrażanie RODO w małej firmie  – najważniejsze zasady

W chwili obecnej nie istnieje sformalizowana i prawnie określona procedura dotycząca wdrażania RODO w firmie. Przedsiębiorca jest zobligowany do samodzielnego zabezpieczenia danych osobowych. Podjęte kroki w dużej mierze są determinowane przez rodzaj oraz specyfikę prowadzonego biznesu.

Wdrażając RODO w małej firmie, warto pamiętać o kilku obowiązkach:

• Obowiązek poinformowania osób fizycznych o przetwarzaniu danych oraz o ich właścicielu (art. 13 i 14 RODO),
• Obowiązek dotyczący realizacji praw osoby, jak chociażby dostarczenie jej informacji na temat sposobu oraz celu pozyskania danych (art. 15-22 RODO),
• Obowiązek upoważnienia osób, które mają dostęp do danych i jego przetwarzania (art. 29 RODO),
• Obowiązek rejestrowania czynności, związanych z przetwarzaniem danych osobowych. W rejestrze powinny znaleźć się dane dotyczące tego, czyje dane posiada firma, czy są one szczegółowe, kto ma do nich dostęp, gdzie zostały one przekazane oraz w jaki sposób są zabezpieczane (art. 30 RODO),
• Obowiązek zastosowania odpowiednich środków bezpieczeństwa, które należy poddać ocenie skuteczności (art. 32 RODO),
• Obowiązek zgłaszania wszelkich naruszeń i nieprawidłowości, związanych z wyciekiem danych osobowych (art. 33 RODO),

RODO w małej firmie – wdrażanie

Wdrożenie RODO w firmach, które zatrudniają kilku pracowników, warto rozpocząć od przeprowadzenia prostego audytu. Dzięki niemu uzyskamy informacje na temat tego, jakie dane przetwarzamy, w jakim celu są one przetwarzane oraz czy klienci, których dane znajdują się w bazie danych przedsiębiorstwa, zostali o tym należycie poinformowani. Ponadto, audyt wskaże do jakich danych mają dostęp zatrudnieni pracownicy.

Każda mała firma powinna prowadzić rejestr, uwzględniający wszelkie posiadane oraz przetwarzane dane – zarówno te należące do pracowników, jak i klientów. Zawierające je dokumenty należy odpowiednio zabezpieczyć przed osobami trzecimi, a także przed ewentualną kradzieżą, czy zniszczeniem. Dostęp do danych mogą mieć wyłącznie osoby posiadające specjalne upoważnienie pisemne.

Konieczność stosowania przepisów o ochronie danych osobowych w małej firmie wiąże się z szeregiem obowiązków. W związku z tym ustawa przewiduje pewne uproszczenia, z których mogą skorzystać mikroprzedsiębiorcy. Dotyczą one sposobu informowania o ochronie danych osobowych.

W celu spełnienia obowiązku informacyjnego wystarczy, że w lokalu firmy lub na stronie internetowej znajdzie się adnotacja, odnosząca się do polityki prywatności. Ułatwienie to obowiązuje przedsiębiorców, którzy spełniają szereg warunków, m.in. z zatrudniają mniej niż 10 pracowników i osiągają dochód netto nieprzekraczający 2 milionów euro (równowartość w złotych). Uproszczenia nie dotyczą sytuacji, w której usługobiorca nie ma możliwości zapoznania się z informacją administratora. Wiąże się to z niemożnością zawarcia umowy osobiście lub za pośrednictwem Internetu. Uproszczenia nie obejmują także administratorów przetwarzających dane poufne oraz tych udostępniających je innym podmiotom.