Ochrona danych osobowych w firmie – o czym należy pamiętać?

Ochrona danych osobowych w firmie (RODO) to kluczowy akt prawny regulujący zagadnienia związane z przetwarzaniem i bezpieczeństwem informacji identyfikowalnych w firmie. Przedsiębiorca, który nie spełni wszelkich obowiązków nałożonych przez wspomnianą regulację, powinien spodziewać się surowych konsekwencji. W poniższym tekście wyjaśnimy te i wiele innych zagadnień, ważnych dla wszystkich przedsiębiorców.

Ochrona danych osobowych w firmie – to musisz wiedzieć: 

• RODO wymaga, aby wszelkie dane osobowe (imię, nazwisko, e-mail, PESEL, a nawet adres IP) były przetwarzane w sposób legalny, bezpieczny i tylko w konkretnym, uzasadnionym celu, by uniknąć wysokich kar finansowych.
• Ochrona danych polega przede wszystkim na zapewnieniu, że dostęp do nich mają wyłącznie upoważnione osoby; wymaga to wdrożenia odpowiednich procedur oraz zabezpieczeń technicznych i organizacyjnych, zarówno dla dokumentów papierowych, jak i danych w systemach informatycznych.
• Każda firma musi respektować prawa osób, których dane przetwarza (np. prawo do dostępu, sprostowania czy usunięcia danych) i powinna opracować wewnętrzną politykę ochrony danych, która jasno określa zasady, cele i osoby odpowiedzialne za ten proces.

Spis treści

• Co to są dane osobowe?
• Ochrona danych osobowych – co to oznacza dla firmy?
• Zasady ochrony danych osobowych w świetle RODO
• Polityka ochrony danych osobowych – jak ją stworzyć?
• Przechowywanie danych osobowych – jak zapewnić bezpieczeństwo?
• Audyt ochrony danych osobowych – dlaczego jest ważny?
• Ochrona danych osobowych i informacji niejawnych – co musisz wiedzieć?

Problematyka związana z RODO od kilku lat nie tylko nie traci na znaczeniu, ale wręcz stale rośnie. Wynika to z wielu czynników, ale najważniejszy ma znaczenie czysto praktyczne – coraz trudniej prowadzić własną działalność gospodarczą, nie przetwarzając informacji identyfikujących swoich klientów. 

Lekceważenie przepisów RODO może prowadzić więc do naprawdę poważnych konsekwencji dla przedsiębiorcy. Dlatego w każdej firmie należy wdrożyć odpowiednią politykę przetwarzania danych. Poniżej wyjaśnimy, jak to zrobić.

Co to są dane osobowe?

Dane osobowe to pojęcie zdefiniowane szczegółowo przez Ogólne rozporządzenie o ochronie danych (RODO). Zgodnie z jego treścią są to wszelkie informacje, które pozwalają na zidentyfikowanie osoby fizycznej – zarówno bezpośrednio, jak i pośrednio. Mogą to być takie dane jak: 

• imię i nazwisko, 
• adres e-mail, 
• numer PESEL, 
• numer telefonu, 
• dane o lokalizacji, 
• identyfikator internetowy (np. adres IP), 
• dane genetyczne, 
• dane biometryczne,
• dane dotyczące zdrowia.

W praktyce oznacza to, że dane osobowe obejmują znacznie szerszy zakres informacji, niż mogłoby się wydawać. W dobie cyfrowej transformacji nie trzeba nawet znać imienia i nazwiska, aby kogoś zidentyfikować – wystarczy kombinacja kilku danych technicznych lub behawioralnych. Dlatego tak ważne jest, aby każda firma znała zasady przetwarzania danych i potrafiła zadbać o ich bezpieczeństwo.

Warto podkreślić, że dane osobowe dzielą się na dwie główne kategorie:

• zwykłe dane osobowe – np. imię, nazwisko, adres zamieszkania, numer telefonu, adres IP;
• dane szczególnej kategorii (tzw. dane wrażliwe) – obejmują informacje o stanie zdrowia, przekonaniach religijnych, orientacji seksualnej, przynależności związkowej oraz pochodzeniu rasowym.

Przedsiębiorcy przetwarzający jakiekolwiek dane osobowe muszą znać nie tylko ich definicję, ale też obowiązki wynikające z przepisów. Dotyczy to m.in.: 

• wdrożenia odpowiednich zabezpieczeń, 
• ustalenia podstawy prawnej przetwarzania,
• umożliwienia osobom fizycznym realizacji ich praw, takich jak: 
  • do ograniczenia przetwarzania,
  • dostępu do informacji.

Sprawdź także: Kary RODO: jak i gdzie zgłosić naruszenie danych osobowych, by ich uniknąć?

Ochrona danych osobowych – co to oznacza dla firmy?

W obecnych warunkach związanych z prowadzeniem biznesu dla większości przedsiębiorców ochrona danych osobowych stanowi istotne wyzwanie. Podczas procedur związanych z przetwarzaniem danych osobowych powinni oni: 

• sprawdzić, czy w ramach prowadzonej działalności gospodarczej dochodzi do przetwarzania danych osobowych;
• opracować procedury przetwarzania danych;
• zadbać o to, aby dane osobowe klientów były bezpieczne, tzn. aby osoby nieuprawnione nie miały do nich dostępu.

Ochrona danych osobowych zawsze rozpoczyna się od ich definicji. Zgodnie z przepisami RODO dane osobowe to: 

• wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej;
• możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak: 
  • imię i nazwisko, 
  • numer identyfikacyjny, 
  • dane o lokalizacji, 
  • identyfikator internetowy,
  • jeden lub kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

Prawa osób, których dane są przetwarzane: 

Zgodnie z Ogólnym rozporządzeniem o ochronie danych (RODO), każda osoba fizyczna, której dane osobowe są przetwarzane przez przedsiębiorstwo, ma szereg praw umożliwiających kontrolę nad tym procesem. Ich zrozumienie jest kluczowe zarówno dla administratora danych, jak i samych osób, których dane dotyczą. Ich respektowanie nie tylko wpływa na bezpieczeństwo informacji, ale pozwala także uniknąć ryzyka sankcji ze strony Urzędu Ochrony Danych Osobowych.

Prawo do dostępu do danych 

Każdy, kogo dane osobowe są gromadzone i przetwarzane, ma prawo wiedzieć: 

• jakie informacje są przechowywane, 
• w jakim celu są wykorzystywane, 
• komu zostały ujawnione, 
• jak długo będą przetwarzane. 

Przedsiębiorca musi umożliwić dostęp do tych informacji bez zbędnej zwłoki, maksymalnie w terminie 30 dni od złożenia wniosku. Forma odpowiedzi powinna być zrozumiała i przejrzysta, a dane udostępnione w możliwie najwygodniejszy dla osoby sposób – również elektronicznie.

Prawo do sprostowania danych 

Osoby, których dane są błędne lub niekompletne, mają prawo zażądać ich poprawienia. Administrator powinien niezwłocznie zaktualizować informacje – nie później niż w ciągu miesiąca. Warto zadbać o przejrzysty proces składania takiego żądania, np. poprzez udostępnienie formularza kontaktowego lub dedykowanego adresu e-mail.

Prawo do ograniczenia przetwarzania 

Prawo do ograniczenia przetwarzania pozwala czasowo „zamrozić” operacje na danych – np. w przypadku sporu co do ich prawidłowości, sprzeciwu lub braku podstawy prawnej przetwarzania. 

W tym czasie przedsiębiorstwo może dane jedynie przechowywać, bez dalszego wykorzystywania – chyba że osoba wyrazi na to zgodę lub będzie to konieczne z uwagi na interes publiczny. Przestrzeganie tej zasady to jeden z ważnych aspektów, na które zwraca uwagę Urząd Ochrony Danych Osobowych podczas kontroli.

Prawo do sprzeciwu wobec przetwarzania danych 

Osoba, której dane są przetwarzane, może w każdej chwili wyrazić sprzeciw – zwłaszcza jeśli przetwarzanie odbywa się na podstawie uzasadnionego interesu administratora lub do celów marketingu bezpośredniego. W przypadku skutecznego sprzeciwu przedsiębiorca ma obowiązek zaprzestania dalszego przetwarzania danych tej osoby. Dlatego już na etapie tworzenia zasad przetwarzania warto przygotować odpowiednie procedury reagowania na sprzeciw.

Zasady ochrony danych osobowych w świetle RODO

RODO – ochrona danych osobowych opiera się aktualnie przede wszystkim na tym akcie prawa unijnego. Szeroko określa definicję danych osobowych oraz ich przetwarzania. 

Według wskazanego aktu przetwarzanie danych osobowych oznacza: operację lub zestaw operacji wykonywanych na danych osobowych, lub zestawach danych osobowych w sposób zautomatyzowany, lub niezautomatyzowany, takie jak:

• zbieranie, 
• utrwalanie, 
• organizowanie, 
• porządkowanie, 
• przechowywanie, 
• adaptowanie,
• modyfikowanie, 
• pobieranie, 
• przeglądanie, 
• wykorzystywanie, 
• ujawnianie poprzez przesłanie, 
• rozpowszechnianie,
• innego rodzaju udostępnianie, 
• dopasowywanie,
• łączenie, 
• ograniczanie, 
• usuwanie,
• niszczenie.

Przetwarzanie to musi opierać się przede wszystkim na następujących zasadach:

• legalności,
• celowości,
• prawidłowości,
• poufności,
• integralności,
• rozliczalności.

Ochrona danych osobowych oznacza w pierwszej kolejności zbieranie jedynie tych danych klientów, które są niezbędne do realizacji celów działalności. Zawsze muszą być one zabezpieczone. Ich bezpieczeństwo to jeden z podstawowych problemów unormowanych w RODO. Poza tym nie wolno zapominać, że ci, których dane dotyczą, mają prawo dostępu do nich, a także wycofania swojej zgody na przetwarzanie danych.

Sprawdź także: Sprawdź, kim jest sygnalista i jaka jest jego rola w biznesie

Polityka ochrony danych osobowych – jak ją stworzyć?

W praktyce, aby sprostać wyzwaniom, jakie niesie ze sobą ochrona danych osobowych, najlepiej jest opracować politykę ochrony danych osobowych w przedsiębiorstwie. 

Do poprawnego opracowania polityki ochrony danych osobowych trzeba odpowiedzieć sobie na trzy niezwykle istotne pytania:

• w jakim celu chcę gromadzić dane osobowe;
• jaka jest podstawa przetwarzania przeze mnie danych osobowych;
• w jakim zakresie będę przetwarzał dane osobowe.

Polityka, czy też regulamin ochrony danych osobowych, powinien regulować takie kwestie, jak m.in.:

• osoby odpowiedzialne za przetwarzanie danych;
• podstawy przetwarzania danych (przepisy prawa lub dobrowolna zgoda dysponenta);
• zasady dostępu do danych osobowych;
• kontrola poprawności przetwarzania;
• sposób zabezpieczenia danych;
• postępowanie na wypadek naruszenia zasad przetwarzania.

Przechowywanie danych osobowych – jak zapewnić bezpieczeństwo?

W działalności przedsiębiorstwa – w zdecydowanej większości przypadków – przetwarzanie danych osobowych wiąże się z ich przechowywaniem. Może do tego dochodzić w sposób tradycyjny, gdy gromadzimy „papierową” dokumentację, lub w sposób cyfrowy. Zawsze jednak liczy się tutaj bezpieczeństwo danych osobowych. Jak je zapewnić?

Wiele zależy od okoliczności konkretnego przypadku, ale ogólnie rzecz ujmując, ochrona danych osobowych, zawsze wymaga, aby dostęp do nich miały jedynie osoby uprawnione. Najlepiej wskazać imiennie, którzy pracownicy firmy będą mogli uzyskać dostęp do określonych danych osobowych. Wówczas nikt, kto nie posiada takiego upoważnienia, nie może mieć do nich dostępu. 

Ochrona danych osobowych w internecie – na co zwrócić uwagę?

Nowoczesne technologie, z których korzysta już większość przedsiębiorstw, otwierają pytanie o bezpieczeństwo danych w internecie. Reguła jest tutaj taka sama jak przy tradycyjnym przetwarzaniu danych: nikt nieuprawniony nie może mieć do nich dostępu. 

W przypadku przetwarzania danych osobowych w świecie wirtualnym ważne jest korzystanie z oprogramowania gwarantującego bezpieczeństwo oraz integralność danych.

Wszelkie „wycieki” danych, ich kradzież czy inny nieuprawniony dostęp należy niezwłocznie zgłosić ich właścicielowi. Uniknięcie tego rodzaju problemów jest możliwe dzięki okresowym audytom ochrony danych.

Zobacz też: Na czym polega umowa zlecenia – rozwiewamy wątpliwości!

Audyt ochrony danych osobowych – dlaczego jest ważny?

Audyt ochrony danych osobowych pozwala na ustalenie, czy stosowane przez Ciebie środki ochrony danych są adekwatne i rzeczywiście gwarantują bezpieczeństwo. Cele stawiane przed takim audytem, to:

• zidentyfikowanie zagrożeń związanych z bezpieczeństwem danych osobowych;
• doskonalenie funkcjonowania procedur dotyczących przetwarzania danych;
• opracowanie rekomendacji dla administratora danych.

Standardowo audyt ochrony danych osobowych powinien być przeprowadzany co najmniej raz do roku.

Zobacz też: Outsourcing – czym jest i jak wpływa na firmę?

Ochrona danych osobowych i informacji niejawnych – co musisz wiedzieć?

Kiedy w Kancelarii KPR spotykamy się ze sprawami dotyczącymi przetwarzania danych osobowych, zawsze uświadamiamy naszych klientów, że jest to niezwykle istotne zagadnienie. 

Błędy w zakresie ochrony danych osobowych przynoszą przedsiębiorcom znaczne straty: wizerunkowe oraz finansowe, wynikające m.in. z kar nakładanych za przekroczenie reguł ochrony danych. 

W ochronie danych osobowych kluczową kwestią pozostaje zapewnienie ich bezpieczeństwa. Nie mogą mieć do nich dostępu osoby nieuprawnione, zarówno osoby postronne, jak i pracownicy przedsiębiorstwa niemający uprawnienia do przetwarzania danych klientów. 

Źródła:

https://uodo.gov.pl/pl/131/224