Rozporządzenie o Ochronie Danych Osobowych obowiązuje w Polsce od maja 2018 roku. Mimo upływu kilku lat wielu przedsiębiorców nadal popełnia te same, dobrze znane błędy -często nieświadomie narażając się na wysokie kary finansowe i utratę zaufania klientów. Poniżej przedstawiam pięć najczęstszych uchybień, które Urząd Ochrony Danych Osobowych wykrywa podczas kontroli.
gdzie zgoda jest faktycznie potrzebna, pozyskują ją nieprawidłowo (np. jako element regulaminu, bez możliwości odwołania). Co należy zrobić? Dla każdej czynności przetwarzania wskazać i udokumentować odpowiednią podstawę prawną. Pamiętać, że zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna.
BŁĄD 1. Brak lub nieaktualna dokumentacja RODO
Jednym z fundamentów RODO jest zasada rozliczalności - przedsiębiorca musi nie tylko przestrzegać przepisów, ale potrafić to udowodnić. Tymczasem wiele firm posiada dokumentację stworzoną „na start” w 2018 roku, która od tamtej pory nie była ani razu aktualizowana. Zmieniły się procesy, zmieniło się oprogramowanie, dołączyli nowi dostawcy - a dokumentacja wciąż opisuje rzeczywistość sprzed kilku lat. Co należy zrobić? Regularnie (przynajmniej raz w roku) przeglądać Rejestr Czynności Przetwarzania, polityki prywatności, procedury oraz umowy powierzenia danych i aktualizować je zgodnie z bieżącym stanem faktycznym.
BŁĄD 2. Powierzenie danych bez umowy lub na podstawie wadliwej umowy
Każde przekazanie danych osobowych podmiotowi zewnętrznemu - firmie księgowej, dostawcy oprogramowania CRM, agencji marketingowej, hostingodawcy - wymaga zawarcia pisemnej umowy powierzenia przetwarzania danych. W praktyce wiele firm korzysta z usług dziesiątek podwykonawców bez żadnych stosownych umów lub z dokumentami pobranymi „z internetu”, które nie spełniają wymogów art. 28 RODO. Co należy zrobić? Sporządzić listę wszystkich podmiotów przetwarzających dane w imieniu firmy i upewnić się, że każdy z nich jest związany prawidłową umową powierzenia zawierającą wszystkie wymagane elementy.
BŁĄD 3. Nieskuteczne lub nieistniejące klauzule informacyjne
Obowiązek informacyjny wynikający z art. 13 i 14 RODO to jeden z najszerzej egzekwowanych wymogów rozporządzenia. Tymczasem przedsiębiorcy nagminnie zamieszczają klauzule, które są niekompletne (brakuje np. okresu przechowywania danych lub informacji o prawach podmiotów), napisane prawniczym żargonem niezrozumiałym dla przeciętnego odbiorcy albo ukryte w miejscu, do którego użytkownik nigdy nie dotrze. Co należy zrobić? Klauzula informacyjna powinna być widoczna, napisana prostym językiem i zawierać wszystkie elementy wymienione w art. 13 RODO - w tym podstawę prawną przetwarzania, cel, okres retencji, dane kontaktowe administratora oraz informację o prawach przysługujących osobie, której dane dotyczą.
BŁĄD 4. Brak weryfikacji podstawy prawnej przetwarzania
Przetwarzanie danych osobowych jest dozwolone wyłącznie na jednej z sześciu podstaw prawnych wymienionych w art. 6 RODO (m.in. zgoda, wykonanie umowy, obowiązek prawny, prawnie uzasadniony interes). Przedsiębiorcy często przetwarzają dane „bo zawsze tak robili” albo zbierają zgody marketingowe w miejscach, gdzie wystarczyłaby inna podstawa - a tam,
gdzie zgoda jest faktycznie potrzebna, pozyskują ją nieprawidłowo (np. jako element regulaminu, bez możliwości odwołania). Co należy zrobić? Dla każdej czynności przetwarzania wskazać i udokumentować odpowiednią podstawę prawną. Pamiętać, że zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna.
BŁĄD 5. Zaniedbania w zakresie bezpieczeństwa technicznego i organizacyjnego
RODO nakłada obowiązek wdrożenia środków bezpieczeństwa „odpowiednich do ryzyka”. W praktyce oznacza to m.in. szyfrowanie danych, kontrolę dostępu, regularne kopie zapasowe, procedury reagowania na incydenty oraz szkolenia pracowników. Tymczasem wiele firm ogranicza się do instalacji programu antywirusowego i uznaje sprawę za zamkniętą. Szczególnie niepokojące jest stosowanie słabych haseł, brak polityki czystego ekranu/biurka, przesyłanie danych osobowych przez niezabezpieczone kanały (np. zwykły e-mail bez szyfrowania) oraz brak szkoleń dla pracowników mających dostęp do danych. Co należy zrobić? Przeprowadzić analizę ryzyka, wdrożyć adekwatne środki techniczne i organizacyjne oraz regularnie szkolić personel.
Podsumowanie
Zgodność z RODO to nie jednorazowy projekt, lecz ciągły proces. Przedsiębiorcy, którzy podchodzą do ochrony danych poważnie, nie tylko unikają kar - budują też przewagę konkurencyjną opartą na zaufaniu klientów. Jeśli nie jesteś pewien, czy Twoja firma spełnia wszystkie wymogi, warto zlecić audyt RODO specjaliście, który wskaże luki i pomoże je usunąć. Warto też skorzystać z pomocy zewnętrznego inspektora ochrony danych, który skutecznie poprowadzi przez zawiłości przepisów dotyczących ochrony danych osobowych.