RODO i compliance dla firm

Cztery obszary zgodności z RODO

Ochronę danych porządkuję według czterech obszarów. Pierwszy to zgodność samego przetwarzania: dla każdej operacji na danych musi istnieć podstawa prawna, a cele i zakres danych powinny być ograniczone do niezbędnych. Drugi to bezpieczeństwo danych, czyli środki organizacyjne i techniczne odpowiednie do ryzyka. Trzeci to rozliczalność, czyli umiejętność wykazania zgodności dokumentacją. Czwarty to realizacja praw osób, których dane dotyczą: dostępu, sprostowania, usunięcia i pozostałych.

Zakres dokumentacji dobieram proporcjonalnie: jednoosobowa działalność z newsletterem wymaga czego innego niż spółka z działem kadr i sklepem internetowym.

Audyt RODO i kontrola organu

Audyt to punkt wyjścia. Sprawdzam, jakie dane firma przetwarza i w jakich procesach, czy ma na to podstawę prawną i czy potrafi to udokumentować, a następnie wskazuję luki i sposób ich uzupełnienia. Audyt warto przeprowadzić przy wdrożeniu, przy istotnej zmianie działalności oraz przed spodziewaną kontrolą.

Kontrolę prowadzi Prezes Urzędu Ochrony Danych Osobowych. Przygotowanie do niej polega na uporządkowaniu dokumentacji, procedur i dowodów należytej staranności, tak aby firma potrafiła wykazać zgodność, a nie dopiero jej szukać. Kara za naruszenie przepisów może sięgnąć 20 milionów euro lub 4 procent całkowitego rocznego światowego obrotu z poprzedniego roku, w zależności od tego, która kwota jest wyższa, ale udokumentowana staranność ją ogranicza.

Powierzenie danych i współadministrowanie

Większość firm przekazuje dane innym podmiotom: dostawcom oprogramowania, biuru rachunkowemu, agencji. Taki przepływ wymaga umowy powierzenia przetwarzania, która określa zakres, cele i obowiązki przetwarzającego, a przy udziale podmiotów spoza Europejskiego Obszaru Gospodarczego także podstawy transferu.

Gdy dwa podmioty wspólnie decydują o celach i sposobach przetwarzania, prawo przewiduje współadministrowanie i wymaga uzgodnienia zakresów odpowiedzialności. Przygotowuję i opiniuję te umowy oraz ustalam, w której z tych ról występuje firma, bo od tego zależą jej obowiązki.

Naruszenie danych i funkcja IOD

Naruszenie ochrony danych nie zawsze wynika z ataku. Częściej jest to zgubiony nośnik, wiadomość wysłana do niewłaściwego odbiorcy albo błędnie ustawiony dostęp. Zgłoszenie naruszenia Prezesowi Urzędu Ochrony Danych Osobowych następuje co do zasady w ciągu 72 godzin od jego stwierdzenia, a w poważniejszych przypadkach zawiadamia się również osoby, których dane dotyczą.

Pomagam przygotować firmę na taki moment, a gdy naruszenie już nastąpiło, ocenić ryzyko i przeprowadzić zgłoszenie.

Tam gdzie firma potrzebuje stałego nadzoru nad ochroną danych, pełnię lub wspieram funkcję inspektora ochrony danych. Obejmuje to bieżące doradztwo, szkolenia, ocenę nowych procesów i kontakt z organem. Szczególnej staranności wymaga przetwarzanie danych wrażliwych.

Compliance jako system, nie pojedynczy dokument

Compliance wykracza poza ochronę danych. To system, w którym firma rozpoznaje ryzyka naruszenia przepisów, przypisuje odpowiedzialności i utrzymuje procedury na wypadek nieprawidłowości. Pomagam zbudować go proporcjonalnie do skali działalności: od oceny obszarów ryzyka, przez procedury wewnętrzne, po zasady reagowania.

Elementem zgodności jest dziś ochrona sygnalistów, czyli wewnętrzny kanał zgłaszania nieprawidłowości i zakaz działań odwetowych, który obejmuje określone kategorie podmiotów. Ochrona danych łączy się także z sąsiednimi obowiązkami, jak wymogi cyberbezpieczeństwa czy elektroniczne fakturowanie. Pomagam ustalić, które z nich dotyczą firmy, i ująć je w spójny system, zamiast traktować każdy z osobna.