Dokumentacja jest, procesu nie ma
Typowa firma po wdrożeniu ma politykę ochrony danych, klauzule informacyjne i rejestr czynności przetwarzania. Problem pojawia się przy pytaniu kontrolującego: kto i kiedy ostatnio te dokumenty aktualizował oraz czy odpowiadają one temu, co realnie dzieje się w systemach. Rozliczalność z art. 5 ust. 2 RODO oznacza obowiązek wykazania zgodności, a nie posiadania dokumentu.
Najczęstszy scenariusz: rejestr opisuje trzy systemy, a dział marketingu korzysta w międzyczasie z czwartego narzędzia, wdrożonego bez udziału osoby odpowiedzialnej za ochronę danych. Kontrola ujawnia rozbieżność w kilkanaście minut.
Zgoda tam, gdzie nie jest potrzebna
Zgoda to tylko jedna z sześciu podstaw przetwarzania i zwykle najsłabsza — można ją wycofać w każdej chwili, a wtedy przetwarzanie traci podstawę. Dla realizacji umowy właściwą podstawą jest jej wykonanie, dla dochodzenia roszczeń i bezpieczeństwa — prawnie uzasadniony interes administratora, poprzedzony testem równowagi.
Oparcie obsługi zamówień na zgodzie klienta oznacza, że jej wycofanie teoretycznie blokuje realizację umowy. To błąd konstrukcyjny, a nie kosmetyczny — porządkuje się go przez ponowną analizę podstaw prawnych, nie przez zmianę treści klauzuli.
Powierzenie danych bez umowy
Biuro rachunkowe, dostawca hostingu, system CRM, firma niszcząca dokumenty, agencja marketingowa — każdy z tych podmiotów przetwarza dane w imieniu administratora i wymaga umowy powierzenia zgodnej z art. 28 RODO. Umowa musi określać przedmiot i czas przetwarzania, charakter i cel, rodzaj danych, kategorie osób oraz obowiązki i prawa administratora.
Osobna kwestia to lokalizacja serwerów. Założenie, że dostawca „na pewno ma wszystko zgodne z RODO", bywa weryfikowane dopiero przy incydencie. Transfer do państwa trzeciego wymaga odrębnej podstawy.
Zbyt szeroki dostęp wewnątrz organizacji
Zasada minimalizacji dotyczy nie tylko zakresu zbieranych danych, ale i kręgu osób mających do nich dostęp. Wspólne skrzynki, arkusze kalkulacyjne z danymi kadrowymi na dysku sieciowym dostępnym dla całego działu, konta byłych pracowników pozostawione jako aktywne — to naruszenia poufności, które ujawniają się dopiero po incydencie.
- Przegląd uprawnień co najmniej raz na pół roku, z listą kont i przypisanych ról.
- Natychmiastowe odbieranie dostępów w dniu zakończenia współpracy.
- Upoważnienia do przetwarzania danych nadawane imiennie, z określonym zakresem.
- Szyfrowanie nośników przenośnych i wysyłka masowa wyłącznie w polu UDW.
72 godziny, o których pamięta się za późno
Naruszenie ochrony danych podlega zgłoszeniu organowi nadzorczemu w ciągu 72 godzin od stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem naruszenia praw i wolności osób. Termin biegnie od momentu stwierdzenia naruszenia przez organizację — także wtedy, gdy incydent zgłosił szeregowy pracownik, a informacja utknęła w dziale IT.
Dlatego procedura zgłoszeniowa musi mieć jednego właściciela, znaną wszystkim ścieżkę eskalacji i rejestr naruszeń prowadzony niezależnie od tego, czy incydent ostatecznie zgłoszono. Brak rejestru sam w sobie utrudnia wykazanie rozliczalności.
Ryzyko finansowe i reputacyjne
Kary administracyjne mogą sięgać 20 mln euro albo 4 proc. całkowitego rocznego światowego obrotu — w zależności od tego, która kwota jest wyższa. Dla małych i średnich firm dotkliwsze bywają jednak konsekwencje pośrednie: utrata kontraktu po nieudanym audycie kontrahenta, roszczenia cywilne osób, których dane ujawniono, i koszt odbudowy zaufania klientów.
Najdroższe naruszenia to zwykle te, którym można było zapobiec prostymi działaniami organizacyjnymi: przeglądem uprawnień, aktualizacją rejestru i jedną umową powierzenia.
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO)
- Art. 5 ust. 2 RODO — zasada rozliczalności
- Art. 30 RODO — rejestr czynności przetwarzania
- Art. 33 RODO — zgłaszanie naruszeń w ciągu 72 godzin
