Przygotuj firmę na RODO

Rozporządzenie o Ochronie Danych Osobowych (RODO) zacznie obowiązywać w Polsce od 25 maja 2018 r.

Znajdziesz tutaj kluczowe informacje o RODO, które pomogą Ci we wdrożeniu nowych przepisów w Twojej firmie. Choć przetwarzanie danych osobowych zawsze wygląda inaczej - w zależności od specyfiki Twojej branży czy od wielkości przedsiębiorstwa - rozporządzenie będzie stosowane wobec wszystkich firm zbierających i przetwarzających dane klientów (zarówno obecnych, jak i potencjalnych), kontrahentów oraz pracowników. 

Zapraszamy do lektury lub do pobrania e-booka w formacie PDF: "Przygotuj firmę na RODO"!

Definicja RODO

,,RODO”, zwane także „GDPR” lub „Ogólnym Rozporządzeniem o Ochronie Danych”, to Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE.

Rozporządzenie zacznie obowiązywać bezpośrednio w krajowych porządkach prawnych od 25 maja 2018 r. Niniejsze Rozporządzenie ma zastosowanie do przetwarzania danych osobowych osób, których dane dotyczą przebywających w Unii przez Administratora lub podmiot przetwarzający , jeżeli czynności przetwarzania wiążą się z oferowaniem towarów lub usług takim osobom, których dane dotyczą lub monitorowaniem ich zachowań.

W przepisach RODO sformułowanych zostało siedem zasad przetwarzania danych osobowych. Są nimi:

1. Zasada zgodności z prawem, rzetelności i przejrzystości - art. 5 ust. 1 a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą („zgodność z prawem, rzetelność i przejrzystość”)
2. Zasada ograniczenia celu przetwarzania danych - art. 5 ust. 1 b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; („ograniczenie celu”)
3. Zasada minimalizacji danych - art. 5 ust. 1 c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane („minimalizacja danych”)
4. Zasada prawidłowości danych - art. 5 ust. 1 d) prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane („prawidłowość”)
5. Zasada ograniczenia przechowania danych - art. 5 ust. e) przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1, z zastrzeżeniem że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą („ograniczenie przechowywania”)
6. Zasada integralności i poufności danych - art. 5 ust.1 f) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych („integralność i poufność”)
7. Zasada rozliczalności oznacza, że administrator musi być w stanie wykazać, że podejmowane przez niego działania są zgodne z w/w zasadami

Ważne pojęcia związane z RODO

Dane osobowe

• wg art. 4 ust. 1 RODO – informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. 
• wg art. 4 ust. 1 –możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak: 
• imię i nazwisko,
• numer identyfikacyjny,
• dane o lokalizacji, 
• identyfikator internetowy 
• jeden bądź kilka szczególnych czynników określających: fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
• dane osobowe dzielą się na zwykłe oraz „zaliczające się do szczególnej kategorii danych” (dawniej nazywało się je „danymi wrażliwymi), czyli np. te dotyczące pochodzenia, religii, światopoglądu, zdrowia, seksualności itp.

Dla lepszego zrozumienia definicji danych osobowych, zerknijmy do dokumentu źródłowego i zacytujmy treść RODO:

• motyw 30 preambuły – „osobom fizycznym mogą zostać przypisane identyfikatory internetowe – takie jak adresy IP, identyfikatory plików cookie – generowane przez ich urządzenia, aplikacje, narzędzia i protokoły, czy też inne identyfikatory, generowane na przykład przez etykiety RFID. Może to skutkować zostawieniem śladów, które w szczególności w połączeniu z unikatowymi identyfikatorami i innymi informacjami uzyskiwanymi przez serwery mogą być wykorzystywane do tworzenia profili i identyfikowania tych osób”
• motyw 26 preambuły – „Aby stwierdzić, czy dana osoba jest możliwa do zidentyfikowania, należy wziąć pod uwagę wszelkie rozsądnie prawdopodobne sposoby (w tym wyodrębnienie wpisów dotyczących tej samej osoby), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej. Aby stwierdzić, czy dany sposób identyfikacji może być z uzasadnionym prawdopodobieństwem wykorzystany do identyfikacji danej osoby, należy wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebny do jej zidentyfikowania, oraz uwzględnić technologię dostępną w momencie przetwarzania danych, jak i postęp technologiczny”

Zbiór danych (art. 4 pkt. 6) - oznacza uporządkowany zestaw danych osobowych dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest scentralizowany, zdecentralizowany czy rozproszony funkcjonalnie lub geograficznie

Przetwarzanie (art. 4 pkt. 2) – operacja lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, takich jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie

Administrator (art.4 pkt.7) - oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania

Podmiot przetwarzający (art.4 pkt.8) - oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu administratora

Zgoda osoby, której dane dotyczą (art.4 pkt.11) -  oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych

Naruszenie ochrony danych osobowych (art.4 pkt.12) - oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych

Po przeprowadzonym audycie – w zależności od jego wyników – wprowadź w życie konieczne zmiany.

• działaniach w zakresie legalności przetwarzania danych osobowych;
• działaniach w zakresie wymaganej dokumentacji;
• analizie ryzyka;
• powołaniu Inspektora Ochrony Danych Osobowych czy Administratora Bezpieczeństwa Informacji;
• poinformowaniu i przeszkoleniu pracowników w zakresie bezpieczeństwa i zasad przetwarzania danych oraz obowiązku zgłoszenia naruszeń ochrony danych w ciągu 72 godzin.

Wdrożenie RODO w Twojej firmie

Legalność przetwarzania danych

Aby móc powiedzieć, że dane osobowe są w Twojej firmie przetwarzane legalnie, musisz:

• posiadać właściwe zgody na przetwarzanie danych osobowych, dostosowane do wymogów rozporządzenia oraz specyfiki Twojej firmy – sprawdź art. 6, 12, 13 RODO
• ustalić i wprowadzić zgodną z nowym rozporządzeniem klauzulę informacyjną, podawaną każdorazowo, kiedy pozyskujesz nowe dane osobowe – sprawdź art. 13 RODO
• ustalić, czy posiadasz obowiązujące umowy powierzenia przetwarzania danych oraz zawrzeć takowe w przypadkach obowiązkowego ich posiadania
• przygotować upoważnienia do przetwarzania danych dla pracowników czy współpracowników, którzy mają z nimi styczność

Rejestr czynności przetwarzania

Art. 30 rozporządzenia RODO wprowadza obowiązek prowadzenia przez administratora danych „rejestru czynności przetwarzania”.

Obowiązek prowadzenia rejestru czynności przetwarzania mają:

• przedsiębiorcy lub podmioty zatrudniające powyżej 250 osób
• przedsiębiorcy lub podmioty zatrudniające mniej niż 250 osób, jeżeli:
• przetwarzanie, którego dokonują, mogą powodować ryzyko naruszenia praw lub wolności osób, których dane dotyczą
• przetwarzanie nie ma charakteru sporadycznego
• obejmują szczególną kategorie danych osobowych, o których mowa w art. 9 ust 1 rozporządzenia RODO

Zaleca się jednak prowadzenie rejestru czynności przetwarzania nawet, jeśli według oceny Administratora jego prowadzenie nie jest obligatoryjne. Należy zaznaczyć, iż za nieprowadzenie rejestru będzie groziła kara pieniężna w wysokości do 10.000.000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego.

Analiza ryzka

Zgodnie z przewidzianym w RODO podejściem opartym na analizie ryzyka, przeprowadzenie oceny skutków dla ochrony danych jest procesem budowania i wskazywania zgodności z RODO. Analiza ryzyka i zagrożeń to dokument będący wynikiem procesu szacowania ryzyka związanego z bezpieczeństwem przetwarzania danych. Oznacza to, że powinna być ona tworzona indywidualnie dla każdego podmiotu. Szacowanie ryzyka to proces, który wymaga:

• ustalenia zasobów, które mają być chronione (obszary przetwarzania danych, sprzęt komputerowy, bazy danych)
• ustalenia rodzajów i poziomów zagrożeń (zagrożenia ze strony działań ludzi, zagrożenia losowe, zagrożenia teleinformatyczne itd.)
• ustalenia zasad postępowania z ryzykiem, tzn. działań, które mają je zmniejszyć (np. wprowadzenie procedur niszczenia dokumentów)
• ustalenia zasad monitorowania ryzyka (kiedy powinna być prowadzona kolejna analiza)

Przeprowadzenie tego procesu stanowi wstęp do opracowania dokumentacji bezpieczeństwa i ochrony danych osobowych. 

Dokumentacja ochrony danych osobowych

Przedsiębiorcy zobowiązani byli prowadzić dokumentację ochrony danych osobowych również dotychczas, RODO wprowadza jednak istotne zmiany w jej kształcie. Według zaleceń rozporządzenia dokumentacja ochrony danych powinna zawierać:

Powołanie Inspektora Ochrony Danych Osobowych

Powołanie IOD jest obligatoryjne we wskazanych w RODO przypadkach, podczas gdy powołanie ABI (Administratora Bezpieczeństwa Informacji) ma zawsze charakter fakultatywny. Inspektor ochrony danych jest wyznaczany na podstawie kwalifikacji zawodowych, a w szczególności wiedzy fachowej na temat prawa i praktyk w dziedzinie ochrony danych, a Administrator musi dbać o zachowanie jego niezależności.

Obowiązek nominowania IOD powstanie, gdy:

• przetwarzania dokonują organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości, przy czym Grupa Robocza Artykułu 29 ds. Ochrony Danych („Grupa art. 29") wskazuje, że dobrą praktyką byłoby powoływanie inspektora także przez podmioty prywatne, które prowadzą działalność z zakresu zadań publicznych tj. transport publiczny, dostawa wody, energii, czy infrastruktura drogowa
• główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą na dużą skalę
• główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych, czyli danych wrażliwych oraz danych dotyczących wyroków skazujących i naruszeń prawa

Zadania Inspektora Ochrony Danych wskazuje art.39 RODO:

• informowanie administratora, podmiotu przetwarzającego oraz pracowników, którzy przetwarzają dane osobowe, o obowiązkach spoczywających na nich na mocy niniejszego rozporządzenia oraz innych przepisów Unii lub państw członkowskich o ochronie danych i doradzanie im w tej sprawie

• monitorowanie przestrzegania niniejszego rozporządzenia, innych przepisów Unii lub państw członkowskich o ochronie danych oraz polityk administratora lub podmiotu przetwarzającego w dziedzinie

• ochrony danych osobowych, w tym podział obowiązków, działania zwiększające świadomość, szkolenia personelu uczestniczącego w operacjach przetwarzania oraz powiązane z tym audyty

• udzielanie na żądanie zaleceń co do oceny skutków dla ochrony danych oraz monitorowanie jej wykonania zgodnie z art. 35 

• współpraca z organem nadzorczym

• pełnienie funkcji punktu kontaktowego dla organu nadzorczego w kwestiach związanych z przetwarzaniem, w tym z uprzednimi konsultacjami, o których mowa w art. 36, oraz w stosownych przypadkach prowadzenie konsultacji we wszelkich innych sprawach

RODO w praktyce – wybrane zagadnienia

Obowiązek zgłaszania naruszeń

W przypadku naruszenia ochrony danych osobowych w swoim przedsiębiorstwie, administrator danych bez zbędnej zwłoki, w terminie 72 godzin po stwierdzeniu naruszenia, będzie zobowiązany zgłosić takie naruszenie organowi nadzorczemu, tj. GIODO, chyba że jest mało prawdopodobne, by takie naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.

 Naruszeniem praw lub wolności osób fizycznych zgodnie z RODO będzie m.in. powstanie uszczerbku fizycznego, szkód majątkowych lub niemajątkowych u osób fizycznych – takich jak utrata kontroli nad własnymi danymi osobowymi lub ograniczenie praw, dyskryminacja, kradzież lub sfałszowanie tożsamości, strata finansowa, nieuprawnione odwrócenie pseudonimizacji, naruszenie dobrego imienia, naruszenie poufności danych osobowych chronionych tajemnicą zawodową lub wszelkie inne znaczne szkody gospodarcze lub społeczne.

Naruszenia, za które zgodnie z RODO możesz dostać karę:

• Brak uwzględnienia ochrony danych w fazie projektowania
• Brak umowy powierzenia przetwarzania danych osobowych
• Brak rejestru czynności przetwarzania danych osobowych
• Niezgłoszenie incydentu godzącego w bezpieczeństwo przetwarzania danych osobowych
• Naruszenie zasady bezpieczeństwa
• Naruszenie statusu inspektora ochrony danych osobowych
• Naruszenie zasady celowości
• Łączenie zgód na przetwarzanie danych osobowych
• Brak podstawy prawnej do przetwarzania danych osobowych

Możliwość profilowania zgodnie z RODO

RODO wprowadza definicję legalną profilowania, zgodnie z którą oznacza ono „dowolną formę zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się”.

Możesz przeprowadzić audyt procesów przetwarzania danych osobowych w Twojej firmie, aby określić, czy te procesy stanowią profilowanie w rozumieniu definicji zawartej w RODO i dalej: ustalić cele i kryteria profilowania, wprowadzić mechanizmy wyrażania zgody na profilowanie przez konsumentów oraz dostosować ewentualne procesy decyzyjne oparte na zautomatyzowanym przetwarzaniu danych osobowych do nowych przepisów.

Systemy Comarch ERP gotowe na RODO!

We wszystkich systemach Comarch ERP znajdziesz 7 nowych funkcjonalności, umożliwiających realizację wymagań RODO w firmie. Dla Klientów systemów Comarch ERP pracujących w chmurze lub na aktualnej wersji oprogramowania funkcjonalności te udostępniamy bez żadnych dopłat.