RODO jest obecne w niemal każdym obszarze funkcjonowania współczesnej firmy. Dane osobowe pojawiają się przy rekrutacji pracowników, obsłudze klientów, realizacji zamówień, prowadzeniu działań marketingowych, monitoringu, korzystaniu z systemów informatycznych czy współpracy z zewnętrznymi dostawcami. Problem zaczyna się wtedy, gdy przedsiębiorstwo traktuje ochronę danych jako jednorazowe wdrożenie, zamiast jako proces, który powinien zmieniać się razem z organizacją.
Właśnie na takim praktycznym podejściu do ochrony danych opiera swoją działalność Biuro Porad Prawnych Zacharski. Firma wspiera organizacje między innymi w zakresie audytów RODO i wdrażania RODO, bieżącego doradztwa, outsourcingu funkcji Inspektora Ochrony Danych, szkoleń RODO oraz obsługi naruszeń. Istotne jest tu spojrzenie na RODO nie jako zbiór dokumentów, lecz element zarządzania firmą, jej procesami i ryzykiem.
RODO nie kończy się na przygotowaniu dokumentacji
Jednym z najczęstszych błędów jest założenie, że firma może "wdrożyć RODO" raz, przygotować wymagane dokumenty i przez kolejne lata do nich nie wracać.
W praktyce przedsiębiorstwo nieustannie się zmienia. Może wdrożyć nowy system CRM, rozpocząć sprzedaż internetową, zmienić dostawcę usług IT, uruchomić newsletter, rozpocząć monitoring obiektu albo zacząć korzystać z narzędzi wykorzystujących sztuczną inteligencję.
Każda z takich zmian powinna prowadzić do prostego pytania: czy zmienił się również sposób wykorzystywania danych osobowych?
Jeżeli odpowiedź brzmi "tak", warto sprawdzić m.in. podstawę przetwarzania danych, zakres gromadzonych informacji, sposób informowania osób, czas przechowywania danych, dostęp pracowników oraz zasady współpracy z dostawcami zewnętrznymi.
System ochrony danych powinien więc nadążać za działalnością przedsiębiorstwa.
Gdzie w firmie najczęściej pojawiają się dane osobowe?
Ochrona danych często kojarzona jest przede wszystkim z klientami. Tymczasem zakres informacji przetwarzanych przez przedsiębiorstwo jest zazwyczaj znacznie szerszy.
Dane pojawiają się między innymi w działach:
- kadr i HR - przy rekrutacji, zatrudnieniu i prowadzeniu dokumentacji pracowniczej,
- sprzedaży - w bazach klientów, CRM-ach, zapytaniach ofertowych i umowach,
- marketingu - przy newsletterach, formularzach, kampaniach i analizie zachowania użytkowników,
- księgowości - w dokumentach rozliczeniowych, fakturach i danych kontrahentów,
- administracji - w korespondencji, monitoringach czy rejestrach wejść,
- IT - przy zarządzaniu kontami, dostępami, kopiami zapasowymi i systemami firmowymi.
RODO nie jest więc zadaniem jednego działu. W większej lub bardziej złożonej organizacji staje się zagadnieniem przekrojowym.
Największym ryzykiem nie zawsze jest brak dokumentu
Dokumentacja jest potrzebna, ale nawet bardzo dobrze opracowane procedury nie wystarczą, jeśli pracownicy nie wiedzą, jak zachować się w konkretnej sytuacji.
Typowym problemem może być wiadomość wysłana do niewłaściwego adresata, dokument pozostawiony w miejscu dostępnym dla osób postronnych, błędnie ustawione uprawnienia w systemie czy przesłanie informacji przez niezatwierdzone narzędzie.
Coraz częściej pojawiają się również pytania związane z wykorzystaniem narzędzi AI. Pracownik może przykładowo wkleić do zewnętrznego systemu dokument zawierający dane klienta, nie zastanawiając się wcześniej, czy takie działanie jest zgodne z zasadami obowiązującymi w organizacji.
Dlatego bezpieczeństwo informacji zależy w dużym stopniu od codziennych zachowań osób, które pracują z danymi.
Szkolenia RODO powinny odpowiadać na realne sytuacje
W tym miejscu znaczenia nabierają szkolenia. Nie powinny jednak ograniczać się do przedstawienia definicji danych osobowych czy kolejnych artykułów rozporządzenia.
Pracownik powinien przede wszystkim wiedzieć, co zrobić, gdy otrzyma prośbę o udostępnienie danych, zauważy potencjalny incydent, prześle dokument niewłaściwej osobie albo ma wątpliwości dotyczące wykorzystania informacji w konkretnym procesie.
Dlatego zakres szkolenia warto dopasowywać do stanowisk i odpowiedzialności uczestników. Innych przykładów potrzebuje dział HR, innych sprzedaż lub marketing, a jeszcze innych administratorzy systemów informatycznych czy kadra zarządzająca.
Takie podejście stosuje również Biuro Porad Prawnych Zacharski, gdzie szkolenia RODO mogą być dopasowane do branży, procesów występujących w organizacji oraz obowiązków konkretnej grupy pracowników. Oferta obejmuje m.in. szkolenia dla zarządów, kadry kierowniczej, HR, księgowości, sprzedaży, marketingu i IT.
Ma to znaczenie również z punktu widzenia roli Inspektora Ochrony Danych. UODO wskazuje, że zwiększanie świadomości oraz szkolenie personelu uczestniczącego w operacjach przetwarzania należą do obszarów związanych z monitorowaniem przestrzegania przepisów, a edukacja w zakresie ochrony danych powinna mieć charakter ciągły, a nie jednorazowy.
Kiedy w firmie potrzebny jest Inspektor Ochrony Danych?
Nie każda firma ma obowiązek wyznaczenia Inspektora Ochrony Danych. Przesłanki określa art. 37 RODO i dotyczą one między innymi określonych przypadków regularnego i systematycznego monitorowania osób na dużą skalę czy przetwarzania na dużą skalę szczególnych kategorii danych.
Jeżeli IOD jest wyznaczony, jego rola nie powinna jednak ograniczać się do figurowania w dokumentacji i pełnienia funkcji adresata korespondencji.
Zgodnie z RODO inspektor ma m.in. informować i doradzać w sprawach dotyczących ochrony danych, monitorować przestrzeganie przepisów, uczestniczyć w działaniach związanych ze zwiększaniem świadomości pracowników oraz współpracować z organem nadzorczym. Powinien być również właściwie i odpowiednio wcześnie włączany we wszystkie kwestie związane z ochroną danych osobowych.
To oznacza, że warto angażować go np. przed wdrożeniem nowego systemu informatycznego, rozpoczęciem nowej kampanii wykorzystującej dane klientów czy zmianą sposobu gromadzenia informacji.
IOD nie przejmuje odpowiedzialności przedsiębiorcy
Warto jednocześnie pamiętać o ważnym rozróżnieniu. Wyznaczenie Inspektora Ochrony Danych nie oznacza przeniesienia na niego wszystkich obowiązków związanych z RODO.
UODO wskazuje, że rolą IOD jest wspieranie administratora, monitorowanie zgodności oraz doradztwo. Inspektor nie powinien wyręczać administratora w wykonywaniu należących do niego obowiązków, ponieważ mogłoby to prowadzić między innymi do konfliktu interesów.
Dlatego skuteczny model ochrony danych wymaga zaangażowania również osób zarządzających przedsiębiorstwem i właścicieli poszczególnych procesów.
Wewnętrzny czy zewnętrzny Inspektor Ochrony Danych?
RODO pozwala, aby funkcję IOD wykonywał zarówno pracownik organizacji, jak i osoba realizująca ją na podstawie umowy o świadczenie usług.
W praktyce outsourcing może być rozwiązaniem szczególnie dla przedsiębiorstw, które potrzebują specjalistycznej wiedzy, ale nie chcą tworzyć odrębnego stanowiska we własnej strukturze.
W modelu stosowanym przez Biuro Porad Prawnych Zacharski zewnętrzny IOD uczestniczy m.in. w ocenie procesów biznesowych, projektów technologicznych, współpracy z dostawcami, działań marketingowych, HR, incydentów i decyzji wymagających analizy ryzyka. Założeniem jest więc włączenie ochrony danych w rzeczywisty proces podejmowania decyzji w organizacji.
Nie chodzi zatem wyłącznie o formalne "posiadanie IOD", ale o dostęp do osoby, którą można zaangażować zanim firma podejmie decyzję wpływającą na sposób przetwarzania danych.
Co daje firmie stała obsługa RODO?
Nie każda organizacja potrzebuje IOD, ale praktycznie każda może od czasu do czasu potrzebować konsultacji dotyczącej ochrony danych.
Problem może pojawić się przy podpisywaniu umowy z nowym dostawcą, zmianie systemu IT, przygotowaniu formularza internetowego, żądaniu klienta dotyczącym jego danych czy podejrzeniu naruszenia.
Przy jednorazowym wdrożeniu każde takie zagadnienie trzeba rozwiązywać osobno. Alternatywą jest stała obsługa RODO, w ramach której przedsiębiorstwo ma dostęp do bieżącego wsparcia specjalistów.
Zakres takiej współpracy może obejmować m.in. aktualizację dokumentacji, konsultacje, analizę umów, wsparcie przy obsłudze praw osób, szkolenia, ocenę nowych projektów czy pomoc w przypadku incydentów. W BPPZ dokładny zakres stałej współpracy jest ustalany po rozpoznaniu procesów, systemów, struktury oraz potrzeb konkretnej organizacji.
Takie rozwiązanie może być szczególnie istotne w firmach, które szybko się rozwijają, wdrażają nowe technologie albo przetwarzają dane w wielu różnych procesach.
Co zrobić, gdy dojdzie do incydentu?
System ochrony danych jest sprawdzany nie tylko podczas audytu, ale przede wszystkim wtedy, gdy wydarzy się coś nieprzewidzianego.
Incydentem może być utrata laptopa, omyłkowo wysłany załącznik, dostęp nieuprawnionej osoby do systemu, ujawnienie listy adresatów wiadomości czy cyberatak.
W takiej sytuacji niezbędna jest procedura pozwalająca szybko ustalić:
- jakie dane mogły zostać ujawnione lub utracone,
- ilu osób dotyczy zdarzenie,
- jakie mogą być jego konsekwencje,
- jakie działania ograniczające ryzyko można podjąć,
- czy zdarzenie stanowi naruszenie ochrony danych,
- czy konieczne są dalsze działania wynikające z RODO.
Kluczowe jest również to, aby pracownik wiedział, komu i w jaki sposób zgłosić zdarzenie. Procedura, której nikt nie zna, ma niewielką wartość praktyczną.
Jak powinien wyglądać dojrzały system RODO w firmie?
Dobrze zorganizowana ochrona danych powinna działać na kilku poziomach jednocześnie.
Firma musi wiedzieć, jakie dane posiada i dlaczego je przetwarza. Powinna mieć procedury odpowiadające rzeczywistym procesom oraz jasno określoną odpowiedzialność. Pracownicy muszą znać podstawowe zasady bezpieczeństwa, a bardziej złożone decyzje powinny mieć możliwość konsultacji ze specjalistą.
Jeżeli organizacja ma Inspektora Ochrony Danych, powinien on być odpowiednio wcześnie angażowany w sprawy dotyczące danych. Jeżeli natomiast firma nie posiada własnego zaplecza w tym zakresie, rozwiązaniem może być zewnętrzne doradztwo i stała obsługa.
Najważniejsza pozostaje jednak regularność. RODO powinno zmieniać się razem z firmą.
RODO jako element zarządzania firmą
Ochrona danych coraz trudniej funkcjonuje jako odrębny, czysto prawny obszar działalności. Łączy się z IT, cyberbezpieczeństwem, HR, marketingiem, obsługą klientów, wykorzystywaniem AI oraz zarządzaniem dostawcami.
Dlatego przedsiębiorstwo nie powinno pytać wyłącznie: "czy mamy dokumentację RODO?". Znacznie bardziej praktyczne pytanie brzmi: czy sposób, w jaki faktycznie pracujemy z danymi, odpowiada zasadom zapisanym w naszych procedurach?
Dopiero połączenie aktualnej dokumentacji, świadomości pracowników, odpowiednio zorganizowanej funkcji IOD - jeżeli jest wymagana lub została dobrowolnie ustanowiona - oraz możliwości korzystania z bieżącego wsparcia pozwala stworzyć system ochrony danych, który funkcjonuje również poza dokumentami.
