RODO (Rozporządzenie o Ochronie Danych Osobowych) obowiązuje w Polsce od maja 2018 roku, ale wiele firm nadal nie spełnia wszystkich wymagań. Kary za naruszenia sięgają 20 milionów EUR lub 4% rocznego obrotu – to nie jest ryzyko, które warto ignorować. W tym artykule wyjaśniamy, jakie obowiązki ma firma w zakresie ochrony danych osobowych i jak je praktycznie realizować.
Kogo dotyczy RODO
RODO dotyczy każdej firmy, która przetwarza dane osobowe – niezależnie od wielkości. Jeśli masz bazę klientów, wysyłasz newsletter, zatrudniasz pracowników lub prowadzisz monitoring wizyjny – RODO Cię obowiązuje. Dotyczy to zarówno wielkich korporacji, jak i jednoosobowych działalności gospodarczych.
Dane osobowe to nie tylko imię i nazwisko – to też adres e-mail, numer telefonu, adres IP, dane lokalizacyjne, numery identyfikacyjne (PESEL, NIP), a nawet pliki cookies.
Podstawowe obowiązki firmy
Rejestr czynności przetwarzania
Każda firma przetwarzająca dane osobowe powinna prowadzić rejestr czynności przetwarzania. Dokument ten opisuje, jakie dane zbierasz, w jakim celu, na jakiej podstawie prawnej, komu je udostępniasz i jak długo przechowujesz.
Polityka prywatności
Musisz informować osoby, których dane zbierasz, o swoich praktykach – w formie jasnej i zrozumiałej polityki prywatności. Dotyczy to strony internetowej, formularzy, umów i każdego innego punktu zbierania danych.
Zgody na przetwarzanie
Nie zawsze potrzebujesz zgody – RODO przewiduje kilka podstaw prawnych przetwarzania (umowa, obowiązek prawny, uzasadniony interes). Ale gdy zgoda jest wymagana (np. marketing), musi być dobrowolna, konkretna, świadoma i jednoznaczna.
Prawo do dostępu i usunięcia danych
Osoby, których dane przetwarzasz, mają prawo do wglądu w swoje dane, ich poprawienia, usunięcia („prawo do bycia zapomnianym”), przenoszenia i ograniczenia przetwarzania. Musisz być w stanie obsłużyć te żądania w ciągu miesiąca.
Zabezpieczenia techniczne i organizacyjne
RODO wymaga stosowania „odpowiednich środków technicznych i organizacyjnych”. W praktyce oznacza to:
- Szyfrowanie danych – dyski komputerów, nośniki przenośne, komunikacja e-mail
- Kontrola dostępu – silne hasła, dwuskładnikowe uwierzytelnianie, uprawnienia na zasadzie minimum
- Kopie zapasowe – regularne backupy danych z testowaniem odtwarzania
- Aktualizacje oprogramowania – łatanie luk bezpieczeństwa na bieżąco
- Szkolenia pracowników – regularne szkolenia z ochrony danych i cyberbezpieczeństwa
- Fizyczne zabezpieczenia – zamykane szafy na dokumenty, kontrola dostępu do pomieszczeń
Inspektor Ochrony Danych (IOD)
Nie każda firma musi mieć IOD-a. Obowiązek dotyczy:
- Organów publicznych
- Firm, których główna działalność polega na monitorowaniu osób na dużą skalę
- Firm przetwarzających szczególne kategorie danych na dużą skalę (dane medyczne, biometryczne itp.)
Nawet jeśli nie musisz, warto wyznaczyć osobę odpowiedzialną za ochronę danych – to może być pracownik lub zewnętrzny specjalista.
Naruszenia ochrony danych
Jeśli dojdzie do naruszenia (wyciek danych, utrata nośnika, atak hakerski), masz obowiązek:
- W ciągu 72 godzin – zgłosić naruszenie do Prezesa UODO (jeśli może skutkować ryzykiem dla osób)
- Niezwłocznie – poinformować osoby, których dane dotyczą (jeśli ryzyko jest wysokie)
- Udokumentować – każde naruszenie musi być odnotowane w wewnętrznym rejestrze
Kary za naruszenia RODO
Prezes UODO nakłada kary administracyjne, które w Polsce sięgają milionów złotych. Najgłośniejsze kary to m.in. 4,9 mln zł dla Morele.net za niedostateczne zabezpieczenia techniczne i ponad 100 000 zł dla mniejszych firm za brak współpracy z organem nadzorczym. Kara nie jest jedynym ryzykiem – do tego dochodzą roszczenia odszkodowawcze osób poszkodowanych i straty wizerunkowe.
Praktyczny checklist RODO dla firm
- Prowadzisz rejestr czynności przetwarzania?
- Masz aktualną politykę prywatności na stronie?
- Zbierasz zgody na marketing prawidłowo?
- Masz umowy powierzenia z procesorami danych?
- Potrafisz obsłużyć żądania osób (dostęp, usunięcie)?
- Stosujesz szyfrowanie i kontrolę dostępu?
- Robisz regularne backupy?
- Szkolisz pracowników z RODO?
- Masz procedurę obsługi naruszeń?
Jeśli potrzebujesz pomocy we wdrożeniu RODO, znajdź specjalistów w branży prawniczej w naszym katalogu. Możesz też sprawdzić zlecenia dotyczące ochrony danych osobowych lub poszukać firm konsultingowych w swoim regionie.
Podsumowanie
RODO to nie biurokratyczny wymóg, ale realne zabezpieczenie danych Twoich klientów i pracowników. Wdrożenie wymagań nie musi być kosztowne ani skomplikowane – kluczowe jest systematyczne podejście i regularna aktualizacja procedur. Lepiej zainwestować w ochronę danych teraz niż później płacić kary i odbudowywać zaufanie klientów.
Dodaj komentarz