Wiesz jak prowadzić dokumentację zgodną z RODO?

Prowadzisz własny biznes i zdajesz sobie sprawę, że musisz dostosować się do obowiązujących przepisów w zakresie ochrony danych osobowych? Rozporządzenie RODO uchwalone przez Parlament Europejski oraz Radę Unii Europejskiej zrewolucjonizowało dotychczasowe standardy, jeśli chodzi o przetwarzanie i przechowywanie informacji o konsumentach. Każdy przedsiębiorca musi uporać się z szeregiem obowiązków oraz przygotowaniem stosownej dokumentacji.

Nowa dokumentacja RODO – prawa i udogodnienia dla kupujących

Klient zawsze powinien być w centrum naszej działalności – tworzymy oferty oraz produkty, które w pełni wpisują się w jego potrzeby, stawiamy na profesjonalną obsługę i dostosowujemy przekazy marketingowe do charakteru naszych odbiorców. Z RODO jest podobnie – rozporządzenie wychodzi naprzeciw wszystkim konsumentom, aby ich dane osobowe były maksymalnie chronione oraz wykorzystywane wyłącznie do ściśle i jasno określonych celów. Do najważniejszych praw klientów, jakie wprowadziło RODO, zaliczamy:

• dostęp do wiedzy o miejscu przechowywania danych osobowych;
• prawo do bycia zapomnianym – kupujący może zażądać od firmy całkowitego usunięcia swoich danych z bazy;
• możliwość przenoszenia swoich danych między usługodawcami;
• prawo do ograniczenia przetwarzania danych;
• opcję niewyrażenia zgody na profilowanie, o którym klient musi zostać poinformowany;
• powiększenie katalogu informacji poufnych o dane biometryczne i genetyczne.

Dokumentacja przetwarzania danych osobowych RODO

Prowadzenie dokumentacji ochrony danych to obowiązek każdego przedsiębiorcy. Do jej głównych zadań zalicza się uświadamianie pracowników, jak powinni postępować ze zgromadzonymi danymi, żeby nie naruszyć praw konsumentów. W jaki sposób jednak osiągnąć ten cel? Czym dokładnie jest dokumentacja ochrony danych osobowych? Zgodność z rozporządzeniem RODO powinniśmy udowodnić poprzez:

• wdrożenie wymaganych polityk i procedur;
• prowadzenie koniecznych rejestrów i ewidencji;
• stosowanie odpowiednich klauzul w formularzach, umowach, oraz na firmowej stronie internetowej (lub w innych miejscach pozyskiwania danych osobowych);
• przeprowadzanie regularnych analiz zgodności, wraz z oceną skutków dla ochrony danych (DPIA) oraz analizą zgodności.

Ważna informacja: przepisy RODO nie przewidują jednolitej, obowiązkowej polityki ochrony danych, co oznacza, że nie ma ściśle określonych wymagań dotyczących wewnętrznej dokumentacji. Każdy właściciel firmy może więc dostosować dokumenty do rodzaju swojej działalności. RODO narzuca jedynie należyte dbanie o wszystkie procesy przetwarzania danych oraz konieczność wykazania zgodności operacji przetwarzania informacji o kupujących z przepisami zawartymi w RODO.

Dokumentacja przetwarzania danych osobowych powinna zawierać:

• opracowaną procedurę działania w sytuacji naruszenia ochrony danych;
• szacowanie ryzyka dla ochrony danych;
• umowy powierzenia przechowywania informacji o konsumentach;
• zasady realizacji obowiązków związanych z RODO.

Opracowując dokumentację wymaganą przez RODO, możemy zadać sobie następujące pytania:

• jak w najlepszy sposób przekazać pracownikom wiedzę dotyczącą naruszenia danych osobowych?
• komu lub gdzie zgłosić ewentualne naruszenie?
• jak ma się zachować osoba, która wykryła naruszenie? Ma poinformować o tym właściciela firmy?
• co zrobimy ze sprawą w dalszych krokach?
• jakie działania podejmiemy, żeby zapobiec kolejnym incydentom w przyszłości?

Dokumentacja przetwarzania danych osobowych zgodnie z RODO – co należy przygotować?

Choć w rozporządzeniu RODO nie znajdziemy konkretnej listy z wymienionymi dokumentami, które musimy przygotować, z przepisów można wywnioskować, jakiego rodzaju pisma będą potrzebne. 

• polityka danych osobowych – tu umieszczamy wszystkie procedury związane z RODO;
• zasady retencji danych – określamy, jak i kiedy usuwamy niepotrzebne informacje o konsumentach;
• zasady privacy by design i privacy by default – dokument powinien tłumaczyć, w jaki sposób zapewniamy odpowiedni poziom bezpieczeństwa danych, a także przestrzeganie prawa prywatności;
• procedura nadawania upoważnień – odnosi się do osób otrzymujących upoważnienia do przetwarzania danych osobowych;
• struktura organizacyjna w zakresie ochrony danych – kto odpowiada za funkcjonowanie przepisów RODO w firmie oraz jakie są obowiązki tej osoby;
• procedura szkoleń – jak przedsiębiorstwo szkoli pracowników, jeśli chodzi o przetwarzanie danych osobowych;
• ocena skutków dla ochrony danych osobowych (DPIA) – kiedy i jak będziemy oceniać skutki dla ochrony danych;
• dokładny opis środków bezpieczeństwa – ten dokument powinien dotyczyć wszystkich środków bezpieczeństwa, jakie stosujemy w celu ochrony danych pod kątem technicznym, organizacyjnym, oraz informatycznym;
• procedura wewnętrznego audytu – jakie osoby będą odpowiedzialne za system ochrony danych w firmie;
• materiały informacyjno-edukacyjne dla pracowników – w jaki sposób będziemy podnosić zakres wiedzy zatrudnionego zespołu w kwestii prawidłowej ochrony danych osobowych.