RODO w małej firmie: proporcjonalny system, nie „małe RODO”

Mała firma nie potrzebuje osobnej, złagodzonej wersji RODO. Potrzebuje systemu, który jest proporcjonalny do skali, a jednocześnie da się go udowodnić przed UODO. Rozporządzenie nie zwalnia mikroprzedsiębiorcy z obowiązków, tylko pozwala dobrać sposób ich realizacji do ryzyka. Największym problemem zwykle nie jest brak polityki prywatności, lecz rozdźwięk między dokumentacją a codzienną praktyką: pocztą elektroniczną, Excelami, prywatnymi telefonami, księgowością w chmurze, monitoringiem i narzędziami AI.

Poniżej pokazuję, gdzie ten rozdźwięk powstaje najczęściej i jak go domknąć bez kopiowania procedur korporacji.

Nie ma ogólnego zwolnienia dla małej firmy

Zacznę od najczęstszego mitu. Wielu przedsiębiorców wierzy, że firma poniżej 250 osób jest automatycznie zwolniona z prowadzenia rejestru czynności przetwarzania. To nieprawda. Art. 30 ust. 5 RODO faktycznie zawiera wyjątek dla podmiotów zatrudniających mniej niż 250 osób, ale ten wyjątek odpada, gdy przetwarzanie nie ma charakteru sporadycznego, może powodować ryzyko dla osób albo obejmuje dane szczególnych kategorii.

Kadry, płace, fakturowanie i obsługa klientów to procesy regularne, a nie okazjonalne. W praktyce oznacza to, że wiele działających firm prowadzi przetwarzanie stałe i wyjątek ich nie obejmuje. Europejska Rada Ochrony Danych zaleca zresztą, żeby traktować rejestr nie jako biurokratyczny obowiązek, lecz jako podstawową mapę przepływu danych. I to jest właściwa perspektywa: rejestr to pierwszy dokument, od którego zaczynam każde wdrożenie, bo bez niego nie da się przypisać podstaw prawnych ani ustalić retencji.

Wniosek praktyczny: jeśli zatrudniasz ludzi i obsługujesz klientów, załóż, że rejestr czynności prowadzisz, i zacznij od spisania, gdzie naprawdę trzymasz dane.

Podstawa prawna to rzadko zgoda

Drugi rozpowszechniony błąd to odruch zbierania zgody na wszystko. Zgoda wygląda bezpiecznie, a bywa najsłabszą z podstaw. Można ją wycofać w każdej chwili, w relacji zatrudnienia rzadko jest naprawdę dobrowolna, a jej odwołanie potrafi zablokować proces, który i tak musisz realizować.

Dla większości typowych sytuacji właściwa podstawa jest inna i wynika z art. 6 ust. 1 RODO. Umowa (lit. b) uzasadnia przetwarzanie danych niezbędne do wykonania umowy, której osoba jest stroną, albo działania przedumowne podejmowane na jej żądanie; nie legalizuje automatycznie wszystkich operacji na danych klienta. Obowiązek prawny (lit. c) stoi za przechowywaniem faktur i dokumentacji pracowniczej. Prawnie uzasadniony interes (lit. f) może obejmować dochodzenie roszczeń czy podstawowy marketing do własnych klientów. Zgodę zostawiam tam, gdzie nie ma innej podstawy, na przykład przy pozyskiwaniu do newslettera osób, które nie są jeszcze klientami.

Przy newsletterze trzeba jednak rozdzielić dwie rzeczy. Samo przetwarzanie danych do wysyłki potrzebuje podstawy z art. 6 RODO, którą bywa zgoda albo prawnie uzasadniony interes. Odrębną kwestią jest zgoda na samo kierowanie komunikacji marketingowej środkami elektronicznymi, której w Polsce wymaga art. 398 Prawa komunikacji elektronicznej. RODO nie ustanawia automatycznie wymogu zgody na każdy newsletter, więc te dwa porządki analizuje się osobno.

Jest przy tym reguła, której łamać nie wolno: podstawę wybiera się przed rozpoczęciem przetwarzania, a nie dopiero wtedy, gdy ktoś je zakwestionuje. Dobranie podstawy po fakcie jest jednym z pierwszych sygnałów, które osłabiają pozycję administratora w postępowaniu.

Umowy powierzenia: policz, gdzie naprawdę są dane

Mała firma prawie nigdy nie przetwarza danych wyłącznie u siebie. Hosting, CRM, biuro rachunkowe, dysk w chmurze, system do fakturowania, zewnętrzne wsparcie IT, narzędzie do wysyłki maili - każdy z tych dostawców może mieć styczność z Twoimi danymi, ale nie każdy jest procesorem. Ustal rolę każdego dostawcy: umowę powierzenia z art. 28 RODO zawierasz wtedy, gdy dostawca działa jako procesor, czyli przetwarza dane w Twoim imieniu i według Twoich poleceń.

Tu pojawiają się dwa typowe niedopatrzenia. Pierwsze to przekonanie, że skoro biuro rachunkowe albo dostawca SaaS „ma RODO”, to odpowiada za całość. Nie odpowiada. Administratorem pozostajesz Ty, a procesor odpowiada za to, co ustalicie w umowie, oraz bezpośrednio za obowiązki, które RODO nakłada wprost na podmiot przetwarzający. Drugie to pominięcie podwykonawców i transferów poza Europejski Obszar Gospodarczy. Wiele usług chmurowych korzysta z dalszych dostawców i serwerów spoza EOG, co poza podstawą przetwarzania z art. 6 wymaga dodatkowo mechanizmu z rozdziału V RODO: decyzji stwierdzającej odpowiedni stopień ochrony, standardowych klauzul umownych (SCC) albo wyjątku z art. 44-49.

Uwaga dla prawników i osób od compliance: nie każda relacja B2B to powierzenie. Kontrahent, w tym czasem biuro rachunkowe, bywa niezależnym administratorem, który przetwarza dane we własnym celu i na własną odpowiedzialność, a ten sam dostawca może występować w różnych rolach dla różnych operacji. Automatyczne podpisywanie umowy powierzenia z każdym partnerem tworzy fikcyjne konstrukcje, które trudno później obronić.

Wniosek praktyczny: zrób listę wszystkich dostawców, przy każdym ustal na podstawie rzeczywistych celów i sposobów przetwarzania, czy jest procesorem, czy odrębnym administratorem, i dopiero wtedy dobieraj umowę.

Retencja i dostęp: dwa miejsca, gdzie małe firmy przegrywają

Najwięcej realnego ryzyka widzę nie w treści polityk, lecz w retencji i w dostępach.

Retencja, czyli okresy przechowywania, w małych firmach zwykle nie istnieje. CV kandydatów leżą latami, skrzynki byłych pracowników działają po ich odejściu, skany dokumentów mnożą się na dyskach. Dane przechowywane ponad ustalony i uzasadniony okres mogą naruszać zasadę ograniczenia przechowywania z art. 5 ust. 1 lit. e RODO, a w razie wycieku dodatkowo zwiększają skalę naruszenia. Ustal terminy dla każdej kategorii i realnie usuwaj.

Dostęp to drugi front. Wspólne konta, brak uwierzytelniania wieloskładnikowego, pozostawione loginy po zakończeniu współpracy - to codzienność, którą łatwo naprawić i której zaniedbanie trudno wytłumaczyć kontroli. Ogranicz dostęp do tego, co konieczne, włącz MFA i odbieraj uprawnienia w dniu odejścia pracownika. To nie jest dowolna checklista, tylko realizacja zasady integralności i poufności z art. 5 ust. 1 lit. f RODO oraz obowiązku doboru środków adekwatnych do ryzyka z art. 32 RODO.

Do retencji i dostępu dochodzi trzeci, powiązany obowiązek: prawo dostępu osoby, której dane dotyczą (art. 15 ust. 1 lit. c RODO). TSUE przyjął, że co do zasady taka osoba może żądać wskazania konkretnych odbiorców danych, a nie tylko ich kategorii. Wskazanie samych kategorii wystarcza wyjątkowo: gdy identyfikacja konkretnych odbiorców nie jest jeszcze możliwa albo gdy administrator wykaże, że wniosek jest oczywiście bezzasadny lub nadmierny w rozumieniu art. 12 ust. 5 RODO. Ta druga przesłanka dotyczy sposobu obsługi wniosku, a nie tego, że kategorie odbiorców są równorzędną alternatywą wobec informacji o konkretnych odbiorcach. Praktycznie oznacza to, że musisz wiedzieć, którym usługodawcom i kontrahentom naprawdę przekazałeś dane. Jeśli nie panujesz nad listą dostawców, nie odpowiesz rzetelnie na taki wniosek.

Incydent i zasada 72 godzin

Naruszenie ochrony danych nie zawsze oznacza wielki wyciek. Praktyka UODO pokazuje, że postępowanie potrafi zacząć się od przejęcia skrzynki pocztowej albo od omyłkowej wiadomości. W jednej ze spraw skan polisy z numerem PESEL trafił na błędny adres e-mail, ale to nie samo wysłanie przesądziło o sankcji - decyzja organu dotyczyła przede wszystkim braku współpracy przedsiębiorcy z UODO i zakończyła się upomnieniem.

RODO daje na zgłoszenie naruszenia do organu nadzorczego zasadniczo 72 godziny od stwierdzenia (art. 33 ust. 1). To bardzo mało, jeśli pierwszą dobę tracisz na ustalanie, kto w firmie w ogóle podejmuje decyzję o zgłoszeniu. Dlatego procedurę reakcji przygotowuje się wcześniej: kto zbiera fakty, kto ocenia ryzyko, kto kontaktuje się z UODO i osobami, których dane dotyczą.

Ważne dla zespołu: najgorsze, co może zrobić pracownik, to ukryć pomyłkę z obawy przed odpowiedzialnością. Każda ukryta godzina skraca firmie czas na reakcję. Warto to jasno zakomunikować - zgłoszenie błędu jest oczekiwane, a nie karane.

Narzędzia AI to też przetwarzanie danych osobowych

Chatboty, transkrypcja spotkań i generatory dokumentów wchodzą do małych firm szybciej, niż powstają zasady ich używania. Z perspektywy RODO dostawca takiego narzędzia to kolejny zewnętrzny podmiot, który może przetwarzać dane osobowe, ale jego rola nie jest z góry przesądzona: bywa procesorem działającym na Twoje polecenie, odrębnym administratorem przetwarzającym dane we własnym celu, a niekiedy występuje w różnych rolach dla różnych operacji. Zanim wpiszesz do takiego narzędzia dane klienta lub pracownika, ustal tę rolę i sprawdź komplet kwestii: cele przetwarzania, czy dane służą trenowaniu modelu, okres retencji, podprocesorów, zabezpieczenia, fizyczne położenie danych oraz mechanizm transferu poza EOG, a przy powierzeniu - umowę z art. 28 RODO.

Osobno zaznaczę, żeby nie mylić porządków. AI Act reguluje systemy sztucznej inteligencji, ale nie zastępuje analizy na gruncie RODO. Zgodność z jednym reżimem nie oznacza zgodności z drugim. Wpisywanie danych klientów do publicznych narzędzi generatywnej AI bez ustalenia tych kwestii to częsty sposób, w jaki dane wyciekają z małej firmy poza jej kontrolę.

Co naprawdę mówi orzecznictwo TSUE

Ostatnie lata orzecznictwa przesuwają punkt ciężkości z posiadania dokumentu na zdolność uzasadnienia konkretnej decyzji. Kilka wyroków warto znać, bo zmieniają praktykę także w małej firmie.

W sprawie C-340/21 Trybunał uznał, że sam cyberatak nie dowodzi, iż zabezpieczenia były nieadekwatne, ale administrator musi wykazać, że dobrał środki do konkretnego ryzyka. To argument za krótką, aktualną analizą ryzyka zamiast grubego katalogu deklaracji, których nikt nie czyta.

W sprawie C-300/21 Trybunał orzekł, że samo naruszenie RODO nie daje automatycznie odszkodowania, bo potrzebne są szkoda i związek przyczynowy. Jednocześnie nie wolno ustanawiać progu „poważnej” szkody niemajątkowej. Drobny incydent może więc zrodzić realne roszczenie.

W sprawie C-154/21 Trybunał potwierdził prawo do poznania konkretnych odbiorców danych, o czym pisałem wyżej. A w sprawie C-621/22 przyjął, że prawnie uzasadniony interes może mieć charakter komercyjny i nie musi wynikać wprost z ustawy, ale każdy przypadek przechodzi test celu, konieczności i równowagi interesów.

Wspólny wniosek jest praktyczny: liczy się nie to, że masz papier, lecz to, czy potrafisz odtworzyć i uzasadnić, dlaczego przetwarzasz dane właśnie tak.

Kontrowersje i odmienne interpretacje

Kilka twierdzeń krąży jako oczywistości, choć wymagają korekty.

„Skala działalności powinna ograniczać obowiązki”. Częściowo tak. Art. 24 i 32 RODO każą uwzględniać charakter, zakres, ryzyko, stan wiedzy technicznej i koszt wdrożenia. Proporcjonalność dotyczy jednak sposobu realizacji obowiązków, a nie ich całkowitego wyłączenia.

„Każdy interes handlowy uzasadnia przetwarzanie”. TSUE dopuszcza interes komercyjny jako prawnie uzasadniony, ale nadal trzeba wykazać konieczność przetwarzania, rozsądne oczekiwania osoby i pozytywny wynik testu równowagi. Sam zamiar zwiększenia sprzedaży nie wystarcza.

„Wyciek dowodzi naruszenia RODO”. Nie automatycznie. Rozporządzenie nie gwarantuje bezpieczeństwa absolutnego. Administrator musi jednak wykazać, że środki były adekwatne do ryzyka, a brak udokumentowanej analizy i kontroli dostępów tę pozycję znacząco osłabia.

„Mała firma musi powołać inspektora ochrony danych”. Nie z powodu samego zatrudniania pracowników czy prowadzenia sklepu internetowego. Obowiązek z art. 37 ust. 1 RODO zależy od charakteru działalności: powstaje wtedy, gdy główna działalność administratora polega na operacjach wymagających regularnego i systematycznego monitorowania osób na dużą skalę albo na przetwarzaniu na dużą skalę szczególnych kategorii danych. Decyduje więc powiązanie z główną działalnością i systematyczny charakter monitorowania, a nie sam fakt korzystania z danych.

Praktyczne pułapki według ról

Dla przedsiębiorców

Najczęstsze potknięcia to kupienie pakietu dokumentów bez ustalenia, gdzie faktycznie są dane; brak umów powierzenia z dostawcami, którzy są procesorami; założenie, że księgowość odpowiada za całe RODO; wspólne konta i brak MFA; dostępy pozostawione po odejściu ludzi; bezterminowe trzymanie CV i skrzynek byłych pracowników; wysyłka dokumentów z numerem PESEL w otwartych załącznikach; brak procedury na 72 godziny; pomijanie podwykonawców i transferów poza EOG; wreszcie mylenie obowiązku informacyjnego z uzyskaniem zgody.

Dla prawników i compliance

Tu ryzyko bierze się głównie z formy odklejonej od praktyki: wielostronicowe procedury bez dowodów stosowania; automatyczne powoływanie prawnie uzasadnionego interesu bez testu równowagi; pominięcie art. 9 RODO przy zwolnieniach lekarskich i informacjach o zdrowiu; klauzule informacyjne niedopasowane do realnych odbiorców i okresów retencji; traktowanie każdej relacji B2B jako powierzenia; brak ewidencji, dlaczego incydent zgłoszono albo go nie zgłoszono; pomijanie prawa dostępu przy projektowaniu archiwów i poczty.

Dla pracowników

Najwięcej naruszeń zaczyna się od drobiazgów: prywatne skrzynki, komunikatory i dyski poza wiedzą pracodawcy; przekazywanie na zewnątrz całych wątków mailowych; wpisywanie danych do publicznych narzędzi AI; ukrywanie pomyłki, które skraca firmie czas na reakcję; przekonanie, że podpisane upoważnienie zdejmuje odpowiedzialność z pracodawcy; wysyłka masowa w polu „Do” zamiast w ukrytej kopii.

RODO jako element wartości firmy

Na koniec argument, który przekonuje przedsiębiorców częściej niż groźba kary. Uporządkowane dostępy, ustalona retencja, umowy z dostawcami i przejrzysta historia incydentów mają wartość przy sprzedaży firmy, wejściu inwestora i audycie kontrahenta. Braki w ochronie danych potrafią stać się problemem transakcyjnym, nawet jeśli nigdy nie doszło do kontroli UODO. Innymi słowy, porządek w danych to nie tylko unikanie ryzyka, ale też realny składnik wyceny.

Wdrożenie RODO w małej firmie

Jeśli chcesz uporządkować RODO w firmie bez przepłacania za niepotrzebne procedury, pracuję dokładnie na tych obszarach: mapa przepływu danych i rejestr czynności, dobór podstaw prawnych, umowy powierzenia z dostawcami, polityka retencji i dostępów, procedura reakcji na incydent oraz ocena narzędzi AI pod kątem RODO i AI Act. Robię to tak, żeby dokumentacja pokrywała się z tym, co realnie dzieje się w firmie, bo to właśnie ten rozdźwięk kosztuje najwięcej w razie kontroli.

Tekst ma charakter informacyjny i nie zastepuje indywidualnej porady prawnej.

Jeśli chcesz to przełożyć na swoją sytuację, zobacz compliance i RODO albo napisz do mnie.

Źródła

• Europejska Rada Ochrony Danych (EROD), sekcja dla małych i średnich firm, rejestr czynności jako podstawowa mapa przetwarzania. link.

• Rozporządzenie (UE) 2016/679 (RODO), tekst oficjalny. link.

• Ustawa z 12 lipca 2024 r. - Prawo komunikacji elektronicznej (Dz.U. 2024 poz. 1221), tekst oficjalny; art. 398 o zgodzie na komunikację marketingową środkami elektronicznymi. link.

• Rozporządzenie (UE) 2024/1689 (AI Act), tekst oficjalny; nie zastępuje analizy na gruncie RODO. link.

• Wyrok TSUE C-154/21 (Österreichische Post) z 12 stycznia 2023 r., ECLI:EU:C:2023:3, prawo dostępu obejmujące wskazanie konkretnych odbiorców danych. link.

• Wyrok TSUE C-300/21 (Österreichische Post) z 4 maja 2023 r., ECLI:EU:C:2023:370, kumulatywne przesłanki odszkodowania bez progu minimalnej wagi szkody. link.

• Wyrok TSUE C-340/21 (Natsionalna agentsia za prihodite) z 14 grudnia 2023 r., ECLI:EU:C:2023:986, cyberatak a wykazanie adekwatności zabezpieczeń przez administratora. link.

• Wyrok TSUE C-621/22 z 4 października 2024 r., ECLI:EU:C:2024:858, prawnie uzasadniony interes o charakterze komercyjnym i test celu, konieczności oraz równowagi. link.

• Decyzja UODO DOKE.561.8.2024 z 18 lutego 2025 r., sprawa dotycząca przede wszystkim braku współpracy przedsiębiorcy z organem po wysłaniu skanu polisy z numerem PESEL na błędny adres e-mail, zakończona upomnieniem. link.