RODO w małej firmie – to musisz wiedzieć!

Od 2018 roku w Polsce formalnie obowiązuje rozporządzenie, dotyczące ochrony przetwarzania danych osobowych, powszechnie znane jako RODO. Regulowane nim przepisy w takim samym zakresie dotyczą dużych, średnich oraz małych przedsiębiorstw. O czym powinny wiedzieć osoby prowadzące mikroprzedsiębiorstwo?

Pod skrótem RODO kryje się Rozporządzenie Parlamentu Europejskiego i Rady UE, dotyczące ochrony osób fizycznych w związku z przetwarzaniem danych osobowych. Formalnie obowiązuje ono od 25 maja 2018 roku.

Przepisów RODO muszą przestrzegać wszystkie firmy, niezależnie od ilości zatrudnianego personelu, czy liczby Klientów, korzystających z ich usług. W momencie, w którym przedsiębiorstwo dysponuje jakimikolwiek informacjami, pozwalającymi na identyfikację tożsamości, bezwzględnie musi wprowadzić działania, mające na celu ochronę danych osobowych.

Jakie dane podlegają ochronie RODO?

Ochronie RODO podlega każda informacja, która w jakikolwiek sposób mogłaby przyczynić się do identyfikacji tożsamości osoby fizycznej. Typowe dane to:

• imię i nazwisko osoby fizycznej,
• adres,
• numer PESEL,
• numer dowodu osobistego,
• adres poczty mailowej.

W przypadku firmy dane osobowe dotyczą: imienia i nazwiska konkretnej osoby, listy pracowników firmy, a także adresów mailowych, zawierających w nazwie dane personalne. Do nieosobowych danych z kolei zalicza się informacje kontaktowe firmy, czy jej dane finansowe.

Wdrażanie RODO  – najważniejsze zasady

Obecnie nie istnieje konkretna instrukcja, dotycząca wdrażania RODO w działaniach firmy. Zazwyczaj, przedsiębiorca jest zobligowany do samodzielnego zabezpieczenia danych osobowych, przepływających przez jego działalność. Podjęte kroki w dużej mierze są determinowane przez rodzaj oraz specyfikę prowadzonego biznesu.

Wdrażając RODO, warto pamiętać o kilku obowiązkach, jakie musi spełnić przedsiębiorca:

1. Obowiązek poinformowania osób fizycznych o przetwarzaniu danych oraz o ich właścicielu (art. 13 i 14 RODO),
2. Obowiązek dotyczący realizacji praw osoby, jak chociażby dostarczenie jej informacji na temat sposobu oraz celu pozyskania danych (art. 15-22 RODO),
3. Obowiązek upoważnienia osób, które mają dostęp do danych i jego przetwarzania (art. 29 RODO),
4. Obowiązek rejestrowania czynności, związanych z przetwarzaniem danych osobowych. W rejestrze powinny znaleźć się dane dotyczące tego, czyje dane posiada firma, czy są one szczegółowe, kto ma do nich dostęp, gdzie zostały one przekazane oraz w jaki sposób są zabezpieczane (art. 30 RODO),
5. Obowiązek zastosowania odpowiednich środków bezpieczeństwa, które należy poddać ocenie skuteczności (art. 32 RODO),
6. Obowiązek zgłaszania wszelkich naruszeń i nieprawidłowości, związanych z wyciekiem danych osobowych (art. 33 RODO),
7. Obowiązek wyznaczenia inspektora danych osobowych, który pomoże wdrożyć RODO, będzie nadzorował działania firmy, a także pośredniczył między nią, a Urzędem Ochrony Danych Osobowych. Inspektor jest powoływany przez właściciela firmy – czyli administratora danych osobowych (art. 37 RODO).

RODO w małej firmie – wdrażanie

Wdrożenie RODO w firmach, które zatrudniają kilku pracowników, warto rozpocząć od przeprowadzenia audytu. Dzięki niemu właściciel otrzyma informacje na temat tego, jakie dane przetwarza firma, w jakim celu to robi oraz czy klienci, których dane znajdują się w bazie firmy, zostali o tym należycie poinformowani. Ponadto, audyt wskaże do jakich danych mają dostęp zatrudnieni pracownicy.

Każda mała firma powinna prowadzić rejestr, uwzględniający wszelkie posiadane oraz przetwarzane dane – zarówno te należące do pracowników, jak i Klientów. Zawierające je dokumenty należy odpowiednio zabezpieczyć przed osobami trzecimi, a także przed ewentualną kradzieżą, czy zniszczeniem. Dostęp do danych mogą mieć wyłącznie osoby posiadające specjalne upoważnienie pisemne.

Kontrolą danych osobowych zazwyczaj zajmuje się wyznaczony przez właściciela inspektor. Trzeba jednak pamiętać, że za ochronę danych odpowiada ich administrator, czyli właściciel firmy. Zadaniem inspektora jest wyłącznie pomoc we wdrażaniu RODO.

Ułatwienia dla małych firm

Konieczność stosowania RODO w firmie wiąże się z szeregiem nowych obowiązków. Największe obciążenie stanowi to dla właścicieli małych przedsiębiorstw. W związku z tym ustawa przewiduje pewne uproszczenia, z których mogą skorzystać mikroprzedsiębiorcy. Dotyczą one sposobu informowania o ochronie danych osobowych.

W celu spełnienia obowiązku informacyjnego wystarczy, że w lokalu firmy lub na stronie internetowej znajdzie się adnotacja, odnosząca się do polityki prywatności. Ułatwienie to obowiązuje przedsiębiorców, którzy spełniają szereg warunków, m.in. z zatrudniają mniej niż 10 pracowników i osiągają dochód netto nieprzekraczający 2 milionów euro (równowartość w złotych).

uproszczenia nie dotyczą sytuacji, w której usługobiorca nie ma możliwości zapoznania się z informacją administratora. Wiąże się to z niemożnością zawarcia umowy osobiście lub za pośrednictwem Internetu. Uproszczenia nie obejmują także administratorów przetwarzających dane poufne oraz tych udostępniających je innym podmiotom.