Poradnik Przedsiębiorcy

RODO, rozporządzenie o ochronie danych osobowych a wpływ na małe firmy

RODO jest adresowane do każdego  przedsiębiorstwa, któremu udostępnione będą dane osobowe. Reforma jest oddaniem kontroli nad danymi obywatelom UE. Obywatel unijny  ma mieć pewność, m.in. poprzez drakońskie kary, że jego dane będą chronione. RODO będzie stosowane we wszystkich krajach UE od 25 maja 2018 r. Tekst można znaleźć w Dzienniku Urzędowym Unii Europejskiej L z 2016 r. nr 119, str. 1.

RODO - nowe przepisy

W związku ze zbliżającym się dniem wejścia w życie RODO, wśród właścicieli małych i średnich firm pojawiają się liczne pytania oraz wątpliwości co do zakresu obowiązywania ich nowych przepisów. Przepisy RODO wprowadzają wiele zmian w podejściu do ochrony danych osobowych, m.in.: konieczność uwzględnienia ochrony danych osobowych już w fazie projektowania rozwiązań informatycznych, obowiązek prowadzenia rejestru czynności przetwarzania danych osobowych, obowiązek przeprowadzania analizy skutków działań przedsiębiorcy pod kątem ochrony danych osobowych, obowiązek zawiadamiania organu nadzoru o naruszeniu zasad ochrony danych osobowych.

Przepisy RODO będą obowiązywały wszystkich przedsiębiorców, którzy w ramach swojej działalności gospodarczej w jakikolwiek sposób przetwarzają (czyli również zapisują) dane osobowe (m.in. imię i nazwisko, NIP, adres e-mail itp.) osób fizycznych (np. swoich klientów), bez względu na to, czy zatrudniają pracowników, czy nie. Przykładowo przedsiębiorca prowadzący jednoosobowe biuro księgowe, w ramach którego rozlicza innych jednoosobowych przedsiębiorców, będzie zobligowany do zastosowania przepisów RODO, ponieważ biuro księgowe przetwarza dane osobowe swoich klientów (przedsiębiorców, których rozlicza), ale również dane osobowe kontrahentów swoich klientów (dane osobowe zawarte na fakturach klientów). Może to być działalność w jakiejkolwiek formie prawnej: spółka, jednoosobowa działalność gospodarcza czy nawet oddział w UE przedsiębiorcy mającego siedzibę poza Unią, przy czym bez znaczenia pozostaje narodowość osób, których dane osobowe są przetwarzane oraz fakt, gdzie znajdują się serwery.

Czynności podlegające RODO

Czynności podlegające RODO to przetwarzanie danych osobowych polegające na zbieraniu, przechowywaniu, usuwaniu, opracowywaniu i udostępnianiu danych. Administratorem danych jest X prowadzący jednoosobową działalność gospodarczą, spółka z o.o., a nie jej prezes zarządu czy dyrektor marketingu. Rejestr czynności nie musi być prowadzony przez przedsiębiorców zatrudniających mniej niż 250 osób, chyba że: przetwarzanie może naruszać prawa lub wolności osób, których dane dotyczą, obejmuje ono  szczególne kategorie danych lub dane dotyczące wyroków skazujących, nie ma ono charakteru sporadycznego.

RODO nie narzuca żadnych konkretnych wytycznych odnośnie do procedur, które ma zastosować firma dla ochrony danych. Ochrona może być zapewniona poprzez różne środki, dobrane odpowiednio do profilu prowadzonej działalności. Zadaniem przedsiębiorcy będzie opracowanie całościowego modelu ochrony danych odpowiadającego sytuacji na rynku oraz profilowi ich działalności. Weryfikacja, czy zastosowano właściwe procedury i należycie zabezpieczono interes konsumenta, następuje w toku realizacji tych założeń. Zgodnie z wymogami RODO firmy będą musiały przekazywać klientom bardzo szczegółowe informacje o przetworzeniu ich danych osobowych i prosić o zgodę na ich wykorzystanie w kontekście konkretnego procesu biznesowego. Każda zgoda na przetwarzanie danych powinna charakteryzować się następującymi cechami:

  • dobrowolność,

  • konkretność,

  • świadomość,

  • jednoznaczność.

W świetle RODO zgoda może mieć formę nie tylko oświadczenia, lecz także wyraźnego działania potwierdzającego. Formy wyrażenia zgody to pisemne, elektroniczne lub ustne oświadczenie. Bardzo ważne jest to, iż wprost wskazano, że milczenie, okienka domyślnie zaznaczone lub niepodjęcie działania nie powinny być interpretowane jako zgoda. Osobie wyrażającej zgodę należy przekazać dane, tj. tożsamość administratora, jego dane kontaktowe i zamierzone cele przetwarzania, planowany okres ich przechowywania. Należy również poinformować o prawie do żądania od administratora dostępu do swoich danych osobowych, ich sprostowania, usunięcia, ograniczenia przetwarzania, wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych. Jeżeli przetwarzanie odbywa się na podstawie zgody - należy poinformować o prawie do cofnięcia zgody w dowolnym czasie oraz prawie wniesienia skargi do organu nadzorczego (te rozbudowane obowiązki informacyjne mają zostać wyłączone w stosunku do przedsiębiorców zatrudniających mniej niż 250 osób, przetwarzających dane osobowe niezbędne do wykorzystywania działalności gospodarczej, w szczególności w celu zawierania umów i prowadzenia rachunkowości). Dzięki temu zgoda nie ma charakteru abstrakcyjnego. Jak wynika z nowych przepisów, możliwe będzie odbieranie jednej zgody na przetwarzanie danych osobowych w kilku różnych celach. Obowiązki  informacyjne w przypadku zgody na przetwarzanie danych osobowych przybierają postać tzw. klauzuli zgody na przetwarzanie danych. Nie jest ona wymagana np. gdy przetwarzanie danych jest niezbędne do wykonania umowy (wysyłkowa sprzedaż książek przez internet - przetwarzanie danych będzie zgodne z RODO jako niezbędne do wykonania umowy sprzedaży), gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (np. prowadzenie ksiąg rachunkowych nie wymaga zgody) lub gdy przetwarzanie jest niezbędne do realizacji prawnie uzasadnionego interesu administratora danych lub osoby trzeciej (np. skierowanie do sądu pozwu o zapłatę przeciwko nieuczciwemu klientowi nie wymaga jego zgody na przetwarzanie danych).

Uwaga!

Wymagana jest zgoda w przypadku przesyłania informacji handlowej za pomocą środków komunikacji elektronicznej (reklam) czy też wykorzystania telekomunikacyjnych urządzeń końcowych w celu marketingu bezpośredniego (np. SMS o treści reklamowej). Profilowanie zawsze wymaga poinformowania o tym osób, których ten proces dotyczy,  np. osób wybranych automatycznie poprzez aktywność na danej stronie internetowej.

Jednym z największych wyzwań będzie tzw. prawo do bycia zapomnianym, które oznacza, że dane osób, które sobie tego zażyczą, przy spełnieniu jednej z przesłanek (m.in. dane osobowe nie są już niezbędne do celów, w których zostały zebrane, zgłoszenia sprzeciwu, cofnięcia zgody, naruszenia prawa) muszą zostać w całości usunięte z systemów administratora. Dotyczy to także kopii, linków, odniesień i dokumentacji papierowej, na przykład wydruków czy skanów dokumentów. Jeżeli wcześniej te dane zostały udostępnione albo trafiły do internetu, administrator musi się upewnić, że wszystkie ich kopie i linki zostały skasowane i usunięte, nawet jeżeli są już w posiadaniu innych podmiotów. RODO zapewnia również prawo do przenoszenia danych. Może ono być wykonane tylko w przypadku gdy: przetwarzanie danych odbywa się na podstawie zgody lub w celu wykonania umowy oraz gdy odbywa się to w sposób zautomatyzowany, nie obejmuje tradycyjnych, papierowych zbiorów danych.

Ważne!

W działalności większości przedsiębiorców dochodzi do powierzenia przetwarzania danych osobowych (np. korzystanie z  usług biura księgowego, korzystanie z usług serwisu zapewniającego usługi poczty elektronicznej). Podmiot przetwarzający dane osobowe na zlecenie powinien zawrzeć z administratorem danych odpowiednią umowę  powierzenia (w formie pisemnej lub elektronicznej), w której określone zostaną zasady przetwarzania danych. Należy wybrać podmiot posiadający certyfikat. Certyfikaty wydawane będą w celu zaświadczenia o zgodności przetwarzania danych przez certyfikowany podmiot.