RODO w praktyce – najczęstsze błędy przedsiębiorców

Dokumentacja jest, procesu nie ma

Typowa firma po wdrożeniu ma politykę ochrony danych, klauzule informacyjne i rejestr czynności przetwarzania. Problem pojawia się przy pytaniu kontrolującego: kto i kiedy ostatnio te dokumenty aktualizował oraz czy odpowiadają one temu, co realnie dzieje się w systemach. Rozliczalność z art. 5 ust. 2 RODO oznacza obowiązek wykazania zgodności, a nie posiadania dokumentu.

Najczęstszy scenariusz: rejestr opisuje trzy systemy, a dział marketingu korzysta w międzyczasie z czwartego narzędzia, wdrożonego bez udziału osoby odpowiedzialnej za ochronę danych. Kontrola ujawnia rozbieżność w kilkanaście minut.

Zgoda tam, gdzie nie jest potrzebna

Zgoda to tylko jedna z sześciu podstaw przetwarzania i zwykle najsłabsza — można ją wycofać w każdej chwili, a wtedy przetwarzanie traci podstawę. Dla realizacji umowy właściwą podstawą jest jej wykonanie, dla dochodzenia roszczeń i bezpieczeństwa — prawnie uzasadniony interes administratora, poprzedzony testem równowagi.

Powierzenie danych bez umowy

Biuro rachunkowe, dostawca hostingu, system CRM, firma niszcząca dokumenty, agencja marketingowa — każdy z tych podmiotów przetwarza dane w imieniu administratora i wymaga umowy powierzenia zgodnej z art. 28 RODO. Umowa musi określać przedmiot i czas przetwarzania, charakter i cel, rodzaj danych, kategorie osób oraz obowiązki i prawa administratora.

Osobna kwestia to lokalizacja serwerów. Założenie, że dostawca „na pewno ma wszystko zgodne z RODO", bywa weryfikowane dopiero przy incydencie. Transfer do państwa trzeciego wymaga odrębnej podstawy.

Zbyt szeroki dostęp wewnątrz organizacji

Zasada minimalizacji dotyczy nie tylko zakresu zbieranych danych, ale i kręgu osób mających do nich dostęp. Wspólne skrzynki, arkusze kalkulacyjne z danymi kadrowymi na dysku sieciowym dostępnym dla całego działu, konta byłych pracowników pozostawione jako aktywne — to naruszenia poufności, które ujawniają się dopiero po incydencie.

• Przegląd uprawnień co najmniej raz na pół roku, z listą kont i przypisanych ról.
• Natychmiastowe odbieranie dostępów w dniu zakończenia współpracy.
• Upoważnienia do przetwarzania danych nadawane imiennie, z określonym zakresem.
• Szyfrowanie nośników przenośnych i wysyłka masowa wyłącznie w polu UDW.

72 godziny, o których pamięta się za późno

Naruszenie ochrony danych podlega zgłoszeniu organowi nadzorczemu w ciągu 72 godzin od stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem naruszenia praw i wolności osób. Termin biegnie od momentu stwierdzenia naruszenia przez organizację — także wtedy, gdy incydent zgłosił szeregowy pracownik, a informacja utknęła w dziale IT.

Dlatego procedura zgłoszeniowa musi mieć jednego właściciela, znaną wszystkim ścieżkę eskalacji i rejestr naruszeń prowadzony niezależnie od tego, czy incydent ostatecznie zgłoszono. Brak rejestru sam w sobie utrudnia wykazanie rozliczalności.

Ryzyko finansowe i reputacyjne

Kary administracyjne mogą sięgać 20 mln euro albo 4 proc. całkowitego rocznego światowego obrotu — w zależności od tego, która kwota jest wyższa. Dla małych i średnich firm dotkliwsze bywają jednak konsekwencje pośrednie: utrata kontraktu po nieudanym audycie kontrahenta, roszczenia cywilne osób, których dane ujawniono, i koszt odbudowy zaufania klientów.

Najdroższe naruszenia to zwykle te, którym można było zapobiec prostymi działaniami organizacyjnymi: przeglądem uprawnień, aktualizacją rejestru i jedną umową powierzenia.