Co przedsiębiorca powinien wiedzieć o ochronie danych osobowych?

Prowadzenie działalności gospodarczej zwykle wiąże się z przetwarzaniem danych klientów, pracowników, kandydatów do pracy, kontrahentów lub użytkowników strony internetowej. Mogą to być nie tylko imię, nazwisko i adres, ale również numer telefonu, adres e-mail, numer rachunku bankowego, dane dotyczące zatrudnienia, adres IP czy informacje zawarte w korespondencji.

Ochrona danych osobowych nie sprowadza się wyłącznie do przygotowania polityki prywatności lub uzyskania zgód. Przedsiębiorca powinien przede wszystkim wiedzieć, jakie dane przetwarza, w jakim celu je wykorzystuje, na jakiej podstawie to robi oraz komu je udostępnia. Znaczenie ma również sposób zabezpieczenia danych i czas ich przechowywania.

Czym są dane osobowe?

Dane osobowe to informacje dotyczące osoby fizycznej, którą można zidentyfikować bezpośrednio albo pośrednio. Najbardziej oczywistymi przykładami są imię, nazwisko, adres zamieszkania i numer identyfikacyjny. Danymi osobowymi mogą być jednak również informacje, które dopiero po połączeniu z innymi danymi pozwalają ustalić tożsamość konkretnej osoby.

W działalności przedsiębiorcy dane osobowe mogą pojawiać się między innymi w umowach, fakturach, wiadomościach e-mail, dokumentach pracowniczych, systemach sprzedażowych, formularzach kontaktowych i bazach marketingowych. Ochroną mogą być objęte także dane osób reprezentujących kontrahentów, pełnomocników oraz pracowników innych przedsiębiorstw.

Przepisy dotyczą danych osób fizycznych, a nie samej spółki lub innej jednostki organizacyjnej. Informacje służbowe, takie jak imienny adres e-mail pracownika, mogą jednak wskazywać na konkretną osobę i z tego powodu również podlegać ochronie.

Kiedy przedsiębiorca jest administratorem danych?

Administratorem danych jest podmiot, który decyduje, po co i w jaki sposób dane osobowe są przetwarzane. Przedsiębiorca najczęściej pełni tę funkcję wobec danych swoich klientów, pracowników, kandydatów do pracy oraz osób zapisujących się na newsletter.

Nie oznacza to jednak, że przedsiębiorca zawsze samodzielnie wykonuje wszystkie czynności związane z danymi. Może korzystać z usług biura rachunkowego, firmy informatycznej, dostawcy hostingu, systemu sprzedażowego albo platformy do wysyłania wiadomości. W zależności od charakteru współpracy zewnętrzny podmiot może być odrębnym administratorem albo podmiotem przetwarzającym dane w imieniu przedsiębiorcy.

Jeżeli usługodawca przetwarza dane na polecenie przedsiębiorcy, zasady współpracy powinny zostać odpowiednio określone, zwykle w umowie powierzenia przetwarzania danych. Administrator powinien korzystać z podmiotów zapewniających odpowiednie gwarancje ochrony danych i mieć możliwość zweryfikowania sposobu wykonywania powierzonych czynności.

Jakie podstawowe zasady należy stosować?

Przetwarzanie danych powinno odbywać się zgodnie z zasadami określonymi w przepisach. W praktyce oznacza to, że przedsiębiorca nie powinien zbierać danych bez ustalonego celu ani przechowywać ich bezterminowo tylko dlatego, że mogą kiedyś okazać się przydatne.

Do najważniejszych zasad ochrony danych należą:

• zgodność z prawem i przejrzystość – osoba powinna wiedzieć, kto i w jakim celu wykorzystuje jej dane;
• ograniczenie celu – dane powinny być wykorzystywane w konkretnych i określonych celach;
• minimalizacja danych – należy zbierać tylko informacje rzeczywiście potrzebne;
• prawidłowość – dane powinny być poprawne i w razie potrzeby aktualizowane;
• ograniczenie przechowywania – dane nie powinny być przechowywane dłużej, niż jest to uzasadnione;
• bezpieczeństwo – dane powinny być chronione przed utratą, zniszczeniem i dostępem osób nieuprawnionych;
• rozliczalność – przedsiębiorca powinien umieć wykazać, że przestrzega przyjętych zasad.

Zakres działań potrzebnych do realizacji tych zasad może zależeć od wielkości firmy, rodzaju danych, liczby osób objętych przetwarzaniem oraz możliwych konsekwencji naruszenia. Innych zabezpieczeń może wymagać niewielka baza adresów e-mail, a innych system zawierający informacje finansowe, zdrowotne lub szczegółowe dane pracowników.

Czy zawsze potrzebna jest zgoda?

Zgoda jest tylko jedną z możliwych podstaw przetwarzania danych. Nie każde wykorzystanie danych wymaga uzyskania zgody. W wielu sytuacjach podstawą może być wykonanie umowy, realizacja obowiązku wynikającego z przepisów albo uzasadniony interes administratora.

Przykładowo dane klienta mogą być potrzebne do realizacji zamówienia, dane pracownika do wykonania obowiązków związanych z zatrudnieniem, a informacje znajdujące się na dokumentach księgowych do realizacji obowiązków podatkowych i rachunkowych. W takich przypadkach uzyskiwanie dodatkowej zgody może nie być właściwe.

Jeżeli przedsiębiorca opiera przetwarzanie na zgodzie, powinna ona być dobrowolna, świadoma, jednoznaczna i dotycząca określonego celu. Osoba powinna także mieć możliwość jej wycofania. Wycofanie zgody nie zawsze oznacza jednak konieczność natychmiastowego usunięcia wszystkich danych, jeżeli istnieje inna podstawa ich dalszego przechowywania.

Na czym polega obowiązek informacyjny?

Osoba, której dane są zbierane, powinna otrzymać jasne informacje dotyczące ich wykorzystywania. Obowiązek informacyjny może być realizowany między innymi poprzez klauzulę zamieszczoną przy formularzu, w dokumentach rekrutacyjnych, w umowie albo w polityce prywatności.

Informacja powinna wskazywać między innymi administratora danych, cele i podstawy przetwarzania, przewidywany okres przechowywania, kategorie odbiorców oraz prawa przysługujące osobie. Jeżeli został wyznaczony inspektor ochrony danych, należy również podać jego dane kontaktowe.

Treść informacji powinna być zrozumiała, przejrzysta i dostosowana do odbiorcy. Samo przytoczenie rozbudowanych przepisów lub zastosowanie skomplikowanego języka może nie wystarczyć, jeżeli osoba nie jest w stanie zrozumieć, co faktycznie dzieje się z jej danymi.

Jak długo można przechowywać dane?

Nie istnieje jeden okres przechowywania odpowiedni dla wszystkich danych. Czas ten może zależeć od celu przetwarzania, rodzaju dokumentacji, obowiązków wynikających z przepisów oraz możliwości dochodzenia lub obrony roszczeń.

Dane potrzebne do obsługi zamówienia mogą być wykorzystywane przez inny okres niż dokumentacja pracownicza, dane kandydatów do pracy czy informacje z formularza kontaktowego. Przedsiębiorca powinien zatem określić zasady retencji, czyli przechowywania i późniejszego usuwania danych w poszczególnych procesach.

Co do zasady dane nie powinny pozostawać w systemach bezterminowo. Po ustaniu celu przetwarzania mogą wymagać usunięcia, anonimizacji albo ograniczenia dostępu. Jednocześnie wcześniejsze usunięcie danych nie zawsze będzie możliwe, jeśli obowiązek ich dalszego przechowywania wynika z przepisów.

Jak zabezpieczać dane osobowe?

Przepisy nie wskazują jednego zestawu zabezpieczeń właściwego dla każdej firmy. Przedsiębiorca powinien dobrać środki techniczne i organizacyjne odpowiednio do rodzaju działalności oraz ryzyka związanego z przetwarzaniem.

Znaczenie mogą mieć między innymi kontrola dostępu do systemów, stosowanie indywidualnych kont użytkowników, bezpieczne hasła, tworzenie kopii zapasowych, aktualizowanie oprogramowania, zabezpieczenie urządzeń przenośnych oraz właściwe niszczenie dokumentacji papierowej. Ważne jest także określenie, które osoby mogą korzystać z danych i w jakim zakresie.

Bezpieczeństwo danych zależy również od organizacji pracy. Nawet rozbudowane zabezpieczenia informatyczne mogą okazać się niewystarczające, gdy dokumenty są pozostawiane w miejscach dostępnych dla osób postronnych, wiadomości trafiają do niewłaściwych odbiorców albo pracownicy korzystają ze wspólnych haseł. Środki bezpieczeństwa powinny być okresowo oceniane i dostosowywane do pojawiających się zagrożeń.

Jakie prawa mają osoby, których dane są przetwarzane?

Osobom fizycznym mogą przysługiwać między innymi prawa do uzyskania informacji, dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz wniesienia sprzeciwu. Zakres poszczególnych praw zależy jednak od podstawy i celu przetwarzania.

Przykładowo żądanie usunięcia danych nie zawsze będzie mogło zostać zrealizowane, jeżeli przedsiębiorca jest zobowiązany do przechowywania określonej dokumentacji. Podobnie sprzeciw wobec przetwarzania nie w każdej sytuacji oznacza automatyczne zakończenie wykorzystywania danych.

Przedsiębiorca powinien dysponować rozwiązaniem pozwalającym na rozpoznawanie i terminową obsługę otrzymywanych żądań. Istotne jest także upewnienie się, że informacje są przekazywane osobie uprawnionej, a nie komuś, kto jedynie podaje się za właściciela danych.

Co zrobić w przypadku naruszenia ochrony danych?

Naruszeniem może być nie tylko atak hakerski. Może nim być również zgubienie laptopa, wysłanie dokumentów do niewłaściwej osoby, utrata dostępu do danych, przypadkowe opublikowanie listy klientów albo zniszczenie dokumentacji bez możliwości jej odtworzenia.

Po stwierdzeniu zdarzenia należy ustalić jego charakter, zakres oraz możliwe skutki dla osób fizycznych. Nie każde naruszenie podlega zgłoszeniu organowi nadzorczemu, jednak każde powinno zostać przeanalizowane i odpowiednio udokumentowane.

Jeżeli naruszenie może powodować ryzyko dla praw lub wolności osób, administrator co do zasady powinien zgłosić je Prezesowi Urzędu Ochrony Danych Osobowych bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia. W przypadkach mogących powodować wysokie ryzyko konieczne może być również poinformowanie osób, których dane dotyczą. Dlatego znaczenie ma wcześniejsze przygotowanie procedury reagowania na takie zdarzenia.

Czy każda firma musi prowadzić dokumentację i wyznaczyć IOD?

Zakres dokumentacji powinien odpowiadać rzeczywistym procesom prowadzonym w przedsiębiorstwie. W wielu przypadkach przydatnym lub wymaganym dokumentem jest rejestr czynności przetwarzania, który pozwala uporządkować informacje o celach, kategoriach danych, odbiorcach, okresach przechowywania i stosowanych zabezpieczeniach.

Przepisy przewidują pewne wyjątki dotyczące najmniejszych podmiotów, jednak nie zawsze można z nich skorzystać. Znaczenie ma między innymi regularność przetwarzania, jego zakres oraz rodzaj wykorzystywanych danych. Z tego powodu sama liczba pracowników nie przesądza jeszcze o braku obowiązku prowadzenia rejestru.

Nie każdy przedsiębiorca musi natomiast wyznaczyć inspektora ochrony danych. Obowiązek ten dotyczy przede wszystkim określonych rodzajów działalności, w szczególności związanych z regularnym i systematycznym monitorowaniem osób na dużą skalę albo przetwarzaniem na dużą skalę szczególnych kategorii danych. Dobrowolne wyznaczenie inspektora również powoduje konieczność przestrzegania zasad dotyczących jego pozycji i zadań.

Ochrona danych jako stały element działalności

Ochrona danych osobowych nie jest jednorazowym działaniem wykonywanym przy zakładaniu firmy. Zakres przetwarzania może zmieniać się wraz z zatrudnieniem pracowników, uruchomieniem sklepu internetowego, rozpoczęciem działań marketingowych, wdrożeniem nowego oprogramowania lub nawiązaniem współpracy z kolejnymi usługodawcami.

Przed wprowadzeniem nowego procesu warto ustalić, jakie dane będą w nim wykorzystywane, czy są one rzeczywiście potrzebne oraz jakie zagrożenia mogą się pojawić. W określonych przypadkach, zwłaszcza gdy planowane przetwarzanie może powodować wysokie ryzyko dla osób, konieczne może być przeprowadzenie formalnej oceny jego skutków.

Regularne przeglądanie procesów, uprawnień pracowników, umów z usługodawcami oraz stosowanych zabezpieczeń pomaga utrzymać zgodność działań z rzeczywistym sposobem funkcjonowania przedsiębiorstwa.

Podsumowanie

Przedsiębiorca przetwarzający dane osobowe powinien znać cele ich wykorzystywania, właściwe podstawy przetwarzania, okresy przechowywania oraz zasady udostępniania danych innym podmiotom. Istotne są również przejrzyste informowanie osób, odpowiednie zabezpieczenia, realizacja przysługujących im praw i przygotowanie na ewentualne naruszenia.

Zakres obowiązków może różnić się w zależności od rodzaju działalności, wykorzystywanych technologii i kategorii danych. Ochrona danych powinna więc odpowiadać rzeczywistym procesom przedsiębiorstwa i być aktualizowana wraz ze zmianami zachodzącymi w firmie.

Więcej praktycznych porad prawnych można znaleźć na stroniewww.plazaglab.pl.