Wdrożenie RODO w firmie to dopiero początek drogi. Dokumentacja ochrony danych osobowych - polityki, procedury, rejestry, klauzule, umowy - nie jest dokumentem stworzonym raz na zawsze. Wymaga regularnych przeglądów i aktualizacji za każdym razem, gdy zmienia się rzeczywistość organizacyjna lub prawna firmy. Poniżej opisuję sytuacje, które bezwzględnie powinny uruchomić proces aktualizacji.
1. Zmiana celów lub sposobu przetwarzania danych
Jeśli firma zaczyna zbierać dane w nowym celu - np. wdraża program lojalnościowy, uruchamia newsletter, wprowadza monitoring wizyjny lub rozpoczyna profilowanie klientów - konieczne jest wprowadzenie nowych wpisów do Rejestru Czynności Przetwarzania oraz zaktualizowanie klauzul informacyjnych. Dane nie mogą być przetwarzane w celu, o którym osoba zainteresowana nie była poinformowana w momencie ich zbierania.
2. Wdrożenie nowego oprogramowania lub systemu
Każde nowe narzędzie, do którego trafiają dane osobowe - system CRM, platforma e-commerce, aplikacja HR, narzędzie do e-mail marketingu czy chmura obliczeniowa - musi zostać uwzględnione w dokumentacji. Należy sprawdzić, czy dostawca oprogramowania pełni rolę podmiotu przetwarzającego, a jeśli tak, podpisać z nim umowę powierzenia danych. Nowe systemy powinny też być objęte analizą ryzyka.
3. Nawiązanie współpracy z nowym podwykonawcą lub dostawcą
Każdy podmiot zewnętrzny, który przetwarza dane osobowe w imieniu firmy (np. biuro rachunkowe, agencja PR, firma kurierska, call center), musi być objęty umową powierzenia przetwarzania. Jeśli zmienił się dostawca lub doszedł nowy, dokumentacja wymaga uzupełnienia. Szczególną uwagę należy zwrócić na dostawców spoza Europejskiego Obszaru Gospodarczego - transfer danych do krajów trzecich wymaga dodatkowych zabezpieczeń prawnych.
4. Zmiany organizacyjne w firmie
Reorganizacja firmy, fuzja, przejęcie innego podmiotu, otwarcie nowego oddziału lub rozszerzenie działalności o nowy rynek - każda z tych sytuacji może wpłynąć na zakres i charakter przetwarzania danych. Dokumentacja powinna odzwierciedlać aktualną strukturę organizacyjną, w tym zakres upoważnień pracowników do dostępu do danych.
5. Zmiany w przepisach
RODO jest uzupełniane i modyfikowane przez krajowe i europejskie akty prawne, wytyczne Europejskiej Rady Ochrony Danych (EROD) oraz decyzje Prezesa UODO. Przedsiębiorcy powinni śledzić zmiany w prawie i weryfikować, czy ich dokumentacja jest zgodna z aktualnym stanem prawnym. Przykładem może być wdrożenie dyrektywy NIS2, zmiana zasad transferu danych do USA (Privacy Shield → Standard Contractual Clauses) czy nowe wytyczne dotyczące plików cookies.
6. Incydent bezpieczeństwa lub naruszenie ochrony danych
Każde naruszenie ochrony danych osobowych - nawet jeśli nie zostało zgłoszone do UODO - powinno skłonić firmę do weryfikacji dokumentacji. Incydent wskazuje bowiem na lukę w procesach lub zabezpieczeniach, które należy usunąć. Po jego zakończeniu warto przeprowadzić analizę post-incydentową i zaktualizować procedury reagowania.
7. Upływ czasu - przegląd roczny
Nawet jeśli w firmie nie zaszły żadne radykalne zmiany, eksperci ds. ochrony danych rekomendują przeprowadzanie corocznego przeglądu dokumentacji RODO. Pozwala on wychwycić drobne rozbieżności, przeterminowane wpisy w rejestrach, nieaktualne dane kontaktowe czy zdezaktualizowane procedury retencji danych.
Praktyczna wskazówka
Warto wyznaczyć w organizacji osobę odpowiedzialną za monitorowanie zmian wymagających aktualizacji dokumentacji RODO. Może to być Inspektor Ochrony Danych (jeśli firma jest zobowiązana do jego powołania) lub wyznaczony pracownik. Dobrą praktyką jest prowadzenie „dziennika zmian” dokumentacji, który ułatwia wykazanie rozliczalności w przypadku kontroli. Należy pamiętać, że nieaktualna dokumentacja to tak samo poważne uchybienie jak jej całkowity brak. UODO podczas kontroli weryfikuje nie tylko to, czy dokumenty istnieją, ale czy są zgodne z rzeczywistością. Pomoc w tym aspekcie zapewnia w szczególności zewnętrzny inspektor ochrony danych osobowych.