Jakie obowiązki z RODO ma mała firma?
RODO dotyczy każdej firmy, która przetwarza dane osobowe klientów, pracowników lub kontrahentów, bez względu na wielkość. Mała firma musi mieć podstawę prawną przetwarzania, informować ludzi, zawierać umowy powierzenia, zabezpieczać dane i zgłaszać naruszenia w 72 godziny. Jedyna ulga dla firm poniżej 250 osób dotyczy rejestru czynności i jest wąska, więc rejestr prowadzi prawie każdy pracodawca.
Które przepisy RODO stosuje mała firma na co dzień?
Te same co duża, w skali swojego przetwarzania. RODO, czyli rozporządzenie (UE) 2016/679, nie ma ogólnego zwolnienia dla małych firm. Jedyna ulga dotyczy rejestru czynności przetwarzania i jest obwarowana warunkami (art. 30 ust. 5).
| Obowiązek | Przepis | Co to znaczy w praktyce |
|---|---|---|
| Podstawa prawna | art. 6 | Umowa, obowiązek prawny, zgoda albo prawnie uzasadniony interes dla każdego celu |
| Informowanie | art. 13 | Klauzula informacyjna przy zbieraniu danych: formularz, rekrutacja, umowa |
| Rejestr czynności | art. 30 | Spis celów, kategorii osób i danych oraz odbiorców |
| Umowy powierzenia | art. 28 | Z biurem rachunkowym, dostawcą chmury, firmą kadrową |
| Zabezpieczenia | art. 32 | Środki techniczne i organizacyjne dobrane do ryzyka, na przykład kontrola dostępu, szyfrowanie, kopie zapasowe |
| Naruszenia | art. 33 | Zgłoszenie do Prezesa UODO w miarę możliwości nie później niż 72 godziny po stwierdzeniu naruszenia |
| Prawa osób | art. 15-21 | Dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw |
Jaka dokumentacja RODO jest potrzebna w małej firmie?
RODO wprost wymaga rejestru czynności przetwarzania (art. 30), dokumentowania naruszeń (art. 33 ust. 5) i umów powierzenia (art. 28 ust. 3). Resztę dokumentów firma przygotowuje, żeby umieć wykazać przestrzeganie przepisów.
- Rejestr czynności przetwarzania, w formie pisemnej, w tym elektronicznej (art. 30 ust. 3).
- Klauzule informacyjne: dla klientów, pracowników, kandydatów do pracy i kontrahentów.
- Umowy powierzenia z każdym podmiotem przetwarzającym, z elementami z art. 28 ust. 3.
- Polityka ochrony danych z zasadami dostępu, haseł, kopii i postępowania z naruszeniem.
- Dokumentacja naruszeń: okoliczności, skutki i podjęte działania, także gdy naruszenia nie trzeba było zgłaszać.
- Upoważnienia do przetwarzania danych dla osób, które mają do nich dostęp.
Jak wdrożyć RODO w małej firmie krok po kroku?
Od spisu tego, jakie dane firma ma i po co. Reszta dokumentów wynika z tej listy.
- 1
Zrób spis danych
Klienci, pracownicy, kandydaci, kontrahenci, monitoring. Przy każdej grupie: jakie dane, w jakim celu, gdzie leżą.
- 2
Przypisz podstawy prawne
Dla każdego celu podstawa z art. 6. Zgodę zbieraj tylko tam, gdzie nie ma innej podstawy.
- 3
Spisz dostawców
Kto przetwarza dane w Twoim imieniu: księgowość, hosting, system kadrowy, poczta. Z każdym umowa powierzenia.
- 4
Przygotuj klauzule
Informacje z art. 13 w formularzach, ogłoszeniach o pracę i umowach.
- 5
Zabezpiecz dostęp
Indywidualne konta, weryfikacja dwuetapowa, odbieranie dostępów odchodzącym, kopie zapasowe.
- 6
Ustal ścieżkę naruszenia
Kto ocenia incydent, kto zgłasza do UODO w 72 godziny i kto zawiadamia osoby, gdy naruszenie może powodować wysokie ryzyko (art. 34).
Przykład: biuro z ośmioma osobami ma dane pracowników, kandydatów i osób kontaktowych u klientów. Rejestr ma u niego kilka wierszy, klauzule są trzy, a umowy powierzenia dwie: z biurem rachunkowym i dostawcą poczty. To wystarcza, jeśli dokumenty opisują to, co firma naprawdę robi.
Co musi zawierać klauzula informacyjna?
Informacje z art. 13 RODO, podane podczas pozyskiwania danych od osoby. Klauzula ma być zwięzła i zrozumiała, a nie przepisaną treścią rozporządzenia.
- Kto jest administratorem i jak się z nim skontaktować, a jeśli jest inspektor ochrony danych, także jego dane kontaktowe.
- Cele przetwarzania i podstawa prawna, a przy prawnie uzasadnionym interesie jego opis.
- Odbiorcy danych lub ich kategorie i zamiar przekazania danych do państwa trzeciego.
- Okres przechowywania albo kryteria jego ustalenia.
- Prawa osoby: dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw, przenoszenie i cofnięcie zgody.
- Prawo do skargi do organu nadzorczego oraz informacja, czy podanie danych jest wymogiem ustawowym lub umownym.
- Informacja o zautomatyzowanym podejmowaniu decyzji, w tym profilowaniu, jeśli firma je stosuje.
Czy mała firma musi powołać inspektora ochrony danych?
Zwykle nie. Inspektor jest obowiązkowy, gdy przetwarzania dokonuje organ lub podmiot publiczny, gdy główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę albo na przetwarzaniu na dużą skalę danych szczególnych kategorii lub danych o wyrokach (art. 37 ust. 1).
Jakie kary grożą za naruszenie RODO?
Do 10 mln euro albo 2% światowego obrotu za naruszenie obowiązków administratora z art. 25-39, w tym art. 30 i 33, oraz do 20 mln euro albo 4% za naruszenie podstawowych zasad przetwarzania i praw osób. Dla przedsiębiorstwa stosuje się kwotę wyższą (art. 83 ust. 4 i 5).
Jak prowadzić RODO w EXCORE?
Politykę ochrony danych publikujesz w Politykach firmowych w kategorii „Polityka RODO / ochrona danych” i zbierasz potwierdzenia zapoznania z datą, wersją i adresem IP. Sprawy dotyczące danych osobowych prowadzisz w Sprawach prawnych z typem RODO.
- Systemy i narzędzia: gdzie leżą dane, kto odpowiada za system i kto jest dostawcą. To gotowy materiał do rejestru czynności i listy podmiotów przetwarzających.
- Audyty i kontrole: kontrola UODO jako organ na liście, z zakresem, wynikiem i terminem odwołania.
- Ryzyka: ryzyko naruszenia danych z oceną przed i po zabezpieczeniach.
- Kadry: dokument typu Zgoda RODO jest na liście dokumentów pracownika.
- Weryfikacja dwuetapowa, której firma może wymagać od wszystkich użytkowników.
EXCORE nie ma osobnego modułu rejestru czynności ani rejestru naruszeń. Tekst ma charakter informacyjny i nie zastępuje porady, więc w konkretnej sprawie warto skonsultować się z prawnikiem albo inspektorem ochrony danych.
Pytania
Czy jednoosobowa firma musi stosować RODO?
Tak, jeśli w działalności przetwarza dane osobowe innych osób, na przykład klientów będących osobami fizycznymi. Skala obowiązków jest mniejsza, ale informacja dla osób i zabezpieczenie danych są potrzebne zawsze.
Czy mała firma musi prowadzić rejestr czynności przetwarzania?
Prawie zawsze tak. Zwolnienie dla firm poniżej 250 osób nie działa, gdy przetwarzanie nie jest sporadyczne, a UODO przytacza stanowisko Grupy Roboczej Art. 29, że przetwarzanie danych pracowników zwykle nie jest sporadyczne.
W jakim terminie zgłasza się naruszenie danych?
Organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny po stwierdzeniu naruszenia, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw lub wolności osób (art. 33 ust. 1). Do zgłoszenia po 72 godzinach dołącza się wyjaśnienie opóźnienia.
Czy wzór polityki RODO z internetu wystarczy?
Jako punkt wyjścia tak, ale dokument musi opisywać rzeczywiste przetwarzanie w Twojej firmie. Polityka niezgodna z praktyką nie pomaga przy kontroli.
Źródła
- RODO, rozporządzenie (UE) 2016/679, tekst polski (EUR-Lex)
- UODO: rejestrowanie czynności przetwarzania, szablony i wyjaśnienia
- UODO: przewodnik EROD dla MŚP
- Ustawa z 10 maja 2018 r. o ochronie danych osobowych (ISAP)
- UODO: zgłaszanie naruszeń ochrony danych
- biznes.gov.pl: zgłoś naruszenie ochrony danych osobowych
EXCORE jest otwierany dla pierwszych firm.
Zobaczmy, czy pasuje do Twojej organizacji. Zostaw kontakt, a umówimy prezentację.
Umów prezentację