W celu wsparcia tych grup Europejska Rada Ochrony Danych (dalej: EROD) stworzyła poradnik dedykowany dla małych i średnich przedsiębiorstw – jego celem jest przedstawienie podstawowych reguł przetwarzania danych osobowych oraz wskazanie generalnych kierunków postępowania m.in. w celu odpowiadania na zapytania osób, których dane dotyczą, lub zabezpieczania danych.
W przygotowanym przewodniku EROD stara się w pierwszej kolejności wyjaśnić, jak należy prawidłowo rozumieć pojęcie danych osobowych – jest to wszak jeden z elementarnych aspektów stosowania RODO. Niektórzy przedsiębiorcy uważają, że ich brak zainteresowania identyfikacją osoby lub brak natychmiastowej możliwości przypisania danych do osoby (np. numeru telefonu) zwalnia ich z obowiązku działania zgodnie z przepisami dot. ochrony danych osobowych. Takie stanowisko jest jednak nieprawidłowe. EROD wskazuje na różnego rodzaju kategorie danych osobowych – od oczywistych kwestii, jak adres e-mail czy imię i nazwisko, do danych dotyczących nawyków i preferencji danej osoby.
Uwaga
Z perspektywy przedsiębiorcy ważne jest również rozróżnienie na dane osobowe „zwykłe” (np. adres zamieszkania) oraz dane osobowe szczególnych kategorii (np. dane dotyczące zdrowia), które to podlegają ściślejszej ochronie. Przetwarzanie tych drugich generalnie jest zakazane, chyba że istnieje odpowiednia przesłanka legalizująca, w praktyce zazwyczaj przyjmująca formę wyraźnej zgody.
EROD zwraca też uwagę na dodatkową kategorię danych osobowych, to znaczy informacje dotyczące wyroków skazujących i czynów zabronionych – generalnie ich przetwarzanie również jest zabronione, chyba że konkretne przepisy to dopuszczają.
Podstawowe kwestie
Nie bez znaczenia jest również wyjaśnienie przez EROD dwóch aspektów stosowania RODO – po pierwsze, co kryje się pod pojęciem „przetwarzanie danych osobowych”. Rada wskazuje tutaj, że niezależnie od tego, czy miałoby się to odbywać automatycznie, czy manualnie, to pojęcie przetwarzania obejmuje sobą wiele różnych czynności – w tym nawet samo przechowywanie. Taka klaryfikacja jest bardzo istotna, bo w praktyce możliwe było spotkanie się z argumentami jakoby administrator w swojej ocenie nie przetwarzał w ogóle danych, jako że je jedynie przechowuje.
Następnie EROD zakreśla ramy terytorialne i organizacyjne związane z obowiązkiem stosowania RODO. Podleganie pod omawianą regulację istnieje, gdy:
Uwaga
Przydatną praktyczną wskazówką jest wskazanie w poradniku, że obowiązek stosowania RODO dotyczyć będzie firm informatycznych, które znajdują się poza EOG, ale działają jako podwykonawca biznesu znajdującego się na terenie EOG i w związku z tym zarządzają ich bazami danych.
Zasady przetwarzania danych
Poradnik nie pomija też kwestii podstawowych zasad przetwarzania danych osobowych, które uregulowano w RODO. Chodzi tu o zasady:
1) zgodności z prawem, rzetelności i przejrzystości – EROD słusznie zwraca tu szczególną uwagę na posiadanie odpowiedniej podstawy przetwarzania danych osobowych. Wyjaśnia też poszczególne cechy, które musi posiadać jedna z częściej spotykanych podstaw, czyli zgoda. To wytłumaczenie jest bardzo istotne – w praktyce niektórzy przedsiębiorcy starają się wymusić zgodę, w pewien sposób wiążąc ją ze świadczeniem danej usługi. Podkreślono też charakter zgody na przetwarzanie danych osobowych jako ostateczny środek legalizacji przetwarzania. Oznacza to, że w sytuacji, gdy istnieje inna przesłanka legalizująca dokonywanie operacji na danych – to do niej powinien odnosić się administrator;
2) ograniczenia celu – musi istnieć ścisła korelacja pomiędzy celem przetwarzania (np. umożliwienie składania zamówień przez formularz na stronie internetowej) a zbieranymi danymi,
3) minimalizacji danych – zbierane dane osobowe powinny być ograniczone do tych, które są niezbędne do osiągnięcia zamierzonego zadania. Innymi słowy, zbieranie danych na zapas będzie stało w sprzeczności z RODO, a postawione sobie cele muszą też mieć odpowiednie podstawy przetwarzania;
Przykład
Przedsiębiorca prowadzi sprzedaż za pomocą swojego sklepu internetowego. Zamieścił w ramach formularza zamówienia wymóg podania podstawowych danych, jak imię i nazwisko oraz adres zamieszkania, a także numer dowodu osobistego. Jako że numer dowodu osobistego nie jest daną niezbędną do prowadzenia sprzedaży, to nie ma tutaj korelacji pomiędzy celem przetwarzania (sprzedażą) a tym rodzajem zbieranych danych.
4) integralności – poradnik wskazuje na konieczność posiadania aktualnych i prawdziwych danych osobowych przez administratora. W praktyce taki obowiązek raczej nie dotyczy ciągłego weryfikowania poprawności danych (np. poprzez wysyłanie wiadomości e-mail do klientów z prośbą o potwierdzenie aktualnych danych), a raczej odpowiadanie na wnioski osób, których dane są przetwarzane, co do dokonania ewentualnych korekt lub uzupełnień;
5) ograniczenia przechowywania – kolejną istotną regułą, o której wspomina poradnik, jest konieczność przechowywania danych przez limitowany okres. Głównym kryterium jest tu niezbędność przetwarzanych danych do danego celu. Innymi słowy, dalsze przechowywanie danych „na wszelki wypadek” będzie błędne;
Przykład
Przedsiębiorca organizuje rekrutacje do pracy. Niektórzy kandydaci, gdy wysyłają swoje zgłoszenia, jednocześnie wyrażają zgodę na przetwarzanie danych osobowych w celach przyszłych rekrutacji. W takiej sytuacji administrator danych powinien ustalić pewien limit czasowy, przez jaki takie dane będą przechowywane – niedopuszczalne byłoby przetwarzanie danych „w nieskończoność”. Zazwyczaj w tej sytuacji odpowiednim okresem przechowywania będzie czas nie dłuższy niż rok, gdyż należy brać pod uwagę możliwość dezaktualizacji wysyłanych zgłoszeń. Na marginesie wspomnieć należy, że w sytuacji, gdy wyżej przywołana zgoda nie zostanie wyrażona, to dane osobowe powinny być usuwane po zakończeniu rekrutacji.
6) bezpieczeństwa – EROD w tym miejscu wspomina dosyć ogólnikowo o konieczności odpowiedniego zabezpieczania danych, jednakże materia ta jest rozwinięta w dalszej części poradnika.
Prawa osób, których dane dotyczą
Kolejną istotną sferą objętą uregulowaniami RODO jest tematyka praw osób, których dane miałyby być przetwarzane. EROD przedstawia ogólne wytyczne co do sposobu reagowania na żądania zgłaszane przez osoby, których dane przetwarza administrator – między innymi wskazuje, że konieczne jest wdrożenie odpowiednich procedur oraz narzędzi umożliwiających sprawne reagowanie na zapytania oraz odpowiedniego dokumentowania udzielanych informacji i realizowania zgłaszanych żądań.
W poradniku podkreślono, że podstawowym celem jest zachowanie transparentności reagowania na zgłaszane żądania. Ułatwić ma to stosowanie zrozumiałego języka oraz korzystanie z odpowiednich mechanizmów – w szczególności elektronicznych – chociażby takich jak formularze dostępne na stronie internetowej.
Uwaga
Zgodnie z zasadą rozliczalności administrator powinien móc wykazać, że odpowiednio realizuje swoje obowiązki, w tym wypadku będzie to reagowanie na zgłoszenia osób, których dane dotyczą. Z tego powodu zasadne będzie utrwalanie komunikacji i przeprowadzanie jej w formie pisemnej lub elektronicznej.
Jednocześnie, zgodnie z RODO, odpowiedzi na żądania muszą być udzielane w odpowiednim czasie – standardowo jest to miesiąc, aczkolwiek czas ten może być odpowiednio wydłużony, przy bardziej skomplikowanych lub czasochłonnych żądaniach. Co również istotne, odpowiedzi na zgłoszenia nie mogą być związane z koniecznością uiszczenia opłaty za podjęcie działań przez administratora. Wyjątkiem jest tutaj sytuacja, gdyby to prawo do zgłaszania żądań było nadużywane – przykładowo, osoba, której dane dotyczą, prosiłaby o kopię swoich danych w tygodniowych odstępach.
Obowiązek informacyjny
Jednym z istotnych aspektów w relacji na linii administrator i osoba, której dane są przetwarzane, jest realizacja obowiązku informacyjnego. Poradnik w formie tabelki przedstawia informacje, które powinny być podawane, w zależności od tego, czy dane te zostały pozyskane bezpośrednio od osoby lub z innego źródła. Przypomniano też moment podania tych informacji – jeżeli dane są użyte do komunikacji z osobą, to wtedy wymagane prawem informacje muszą zostać podane przy pierwszej komunikacji (np. wysyłając ofertę potencjalnemu klientowi, należy spełnić obowiązek informacyjny w pierwszej kierowanej do niego wiadomości). Z kolei w sytuacji, gdy dane te przekazywane są jakiemuś odbiorcy, odpowiednie informacje powinny być przekazane najpóźniej w momencie samego transferu.
EROD, opisując regulacje funkcjonujące na gruncie RODO, wspomina też o przypadkach, które uzasadniają pominięcie realizacji obowiązku informacyjnego. Chodzi zwłaszcza o sytuację, gdy udzielenie informacji wymagałoby niewspółmiernie dużego wysiłku. Jest to jednak wyjątek, który w praktyce stosowany może być rzadko – powszechnie przyjmuje się, że przepisy należy interpretować bardzo rygorystycznie.
Uwaga
EROD przypomina, że spełnienie obowiązku informacyjnego może przyjąć formę warstwową. Oznacza to, że prawidłowe będzie wykorzystanie dwóch dokumentów – w pierwszym podajemy tylko podstawowe i najistotniejsze informacje (m.in. kto jest administratorem, jaka jest podstawa prawna przetwarzania danych), a szczegółowy opis dotyczący procesu przetwarzania znajduje się pod oddzielnym linkiem lub w innym dokumencie. W praktyce jest to spore ułatwienie, chociażby w związku ze stosowaniem stopek wiadomości e-mail, gdzie zamieszczenie całości wymaganych przez RODO informacji czyniłoby komunikat długim i nieczytelnym.
Zgodność przetwarzania danych
Poradnik nie pomija też istotności stosowania dwóch reguł wyrażonych w RODO – zasad privacy by design oraz privacy by default. Chodzi tu oczywiście o dbanie o prywatność w fazie projektowania (np. opracowywania nowego narzędzia dotyczącego zarządzania zespołem) oraz stałego dbania o odpowiednie przetwarzanie danych osobowych, w szczególności w kwestii zakresu zbieranych danych, czasu przetwarzania czy analizowania podstaw przetwarzania. Realizacja tych zasad powinna odbywać się wraz ze sporządzeniem odpowiedniej dokumentacji, która służyłaby też jako punkt odniesienia w ramach bieżącej działalności administratora – pozwoli to też skuteczniej realizować zasadę rozliczalności – administrator w ten sposób może wykazać, że faktycznie odpowiednio rozważył swój sposób funkcjonowania.
Uwaga
Elementem, który może w praktyce sprawiać problemy, jest sporządzenie rejestru czynności przetwarzania – najczęściej przyjmuje on formę rozbudowanej tabeli, w której wskazane są poszczególne czynności przetwarzania wraz z odpowiednim ich opisaniem. Przepisy co prawda przepisują pewne wyjątki od obowiązku sporządzania tego dokumentu, jednakże w praktyce nieczęsto zdarza się możliwość odstąpienia od tworzenia rejestru.
Poszczególne uprawnienia osób, których dane dotyczą
Opis
prawo dostępu
możliwość żądania uzyskania potwierdzenia od administratora co do tego, czy przetwarza on nasze dane osobowe oraz jakie jest nasze prawo do bezpłatnego pozyskania kopii przetwarzanych danych. Oczywiście, samo przekazanie kopii danych nie powinno odbywać się z naruszeniem praw innych osób – tym samym administrator musi dopilnować, aby przypadkowo nie przekazać zgłaszającemu żądanie danych dotyczących osób trzecich. Na marginesie warto wspomnieć tu o wyroku Trybunału Sprawiedliwości Unii Europejskiej (sygn. C-487/21), w którym podniesiono, że pozyskanie kopii danych nie powinno ograniczać się do przedstawienia przetwarzanych informacji bez odpowiedniego kontekstu – co oznacza, że prawo dostępu obejmuje też prawo uzyskania kopii całych lub odpowiednich fragmentów dokumentów,w których znajdują się dane osobowe;
prawo do sprostowania
osoba, której dane dotyczą, ma prawo żądania uzupełnienia lub poprawienia przetwarzanych danych osobowych, gdy są one niekompletne lub błędne;
prawo do usunięcia danych (prawo do bycia zapomnianym)
przepisy przewidują kilka sytuacji, które uzasadniałyby takie żądanie, np. dane osobowe nie są już potrzebne lub osoba, której dane dotyczą, wycofała zgodę na przetwarzanie. Oczywiście, wystosowywanie takiego żądania podlega ograniczeniom. W praktyce najistotniejsza będzie sytuacja, gdy dane te będą niezbędne do ustalenia, dochodzenia lub obrony roszczeń lub realizacji konkretnych obowiązków przewidzianych prawem (np. przechowywanie dokumentacji pracowniczej);
prawo do ograniczenia przetwarzania
zgodnie z regulacjami zawartymi w RODO istnieją sytuacje, gdy osoba, której dane dotyczą, może żądać, aby pomimo dalszego posiadania danych przez administratora zaprzestał on dokonywania jakichkolwiek operacji na tych danych. Przepisy przewidują tutaj chociażby takie scenariusze jak sytuacja, w której dane nie są potrzebne dla administratora, lecz podmiot danych może dochodzić roszczeń, lub sytuacja, w której zgłaszający żądanie kwestionuje prawidłowość danych;
prawo do przenoszenia danych
osoba, której dane dotyczą, ma prawo do otrzymania jej danych osobowych w powszechnie używanym formacie w celu ponownego wykorzystania tych danych przez innego administratora. Jako ciekawy przykład EROD podaje tutaj możliwość uzyskania listy zapisanych piosenek w ramach jednej muzycznej platformy streamingowej w celu wykorzystania jej w innym serwisie;
prawo do sprzeciwu
najczęściej prawo to będzie realizowane w sytuacji, gdy dane przetwarzane są na podstawie uzasadnionego interesu administratora danych, gdzie w takiej sytuacji, po odpowiednim wyważeniu interesu administratora oraz praw i wolności osoby fizycznej, nadanie prymatu temu drugiemu powinno prowadzić do zaprzestania przetwarzania. Specyficznymi zasadami rządzi się tu przetwarzanie danych na podstawie uzasadnionego interesu w celach marketingu bezpośredniego – sprzeciw musi prowadzić do natychmiastowego zaprzestania wykorzystania tych danych, pomijając analizę wyższości interesu administratora nad interesem podmiotu danych;
prawo niepodlegania automatycznej decyzji, która wywołuje skutki prawne lub w inny istotny sposób wpływa na osobę, której dane dotyczą
przykładem takiej decyzji o istotnym wpływie na osobę jest chociażby udzielenie lub nieudzielenie kredytu.
DPIA dla MŚP
Jednym z dokumentów, które niekiedy muszą być stworzone w zależności od charakteru działalności administratora, jest ocena skutków dla ochrony danych (Data Protection Impact Assessment – DPIA). Poradnik pokrótce przedstawia najistotniejsze elementy, które w takim dokumencie musiałyby się znaleźć, oraz wskazuje sytuacje, które sprawiają, że sporządzenie go jest obligatoryjne. Przykładami sytuacji, gdzie sporządzenie DPIA mogłoby być obowiązkowe, jak podaje EROD, byłoby przetwarzanie danych biometrycznych w celu identyfikacji pacjentów, korzystanie z danych osobowych osób narażonych na dyskryminację w celach marketingowych, wykorzystywanie narzędzi badających lokalizację w ramach aplikacji mobilnej. Rada przygotowała w ramach poradnika prosty quiz, który ma udzielić odpowiedzi na pytanie, czy stworzenie oceny skutków jest obowiązkowe – niestety, jest on na tyle ogólny i uproszczony, że trudno byłoby go z sukcesem wykorzystywać w każdym przypadku.
Uwaga
Jedną ze wskazówek jest również zwrócenie uwagi na możliwość korzystania z odpowiednich kodeksów postępowania. Na ten moment w Polsce zatwierdzony został tylko jeden, czyli „Kodeks postępowania dotyczącego ochrony danych osobowych przetwarzanych w małych placówkach medycznych”. EROD wspomina też o istnieniu mechanizmów certyfikacji RODO, jednakże w Polsce istnieją one jedynie na papierze, gdyż na ten moment nie weszły do praktyki.
Bezpieczeństwo danych osobowych
Aspektem kluczowym dla zapewnienia zgodności przetwarzania danych z RODO jest wdrożenie odpowiednich zabezpieczeń organizacyjnych oraz technicznych – tej materii dotyczy ostatni z „rozdziałów” poradnika. Naruszenia zasady bezpieczeństwa danych należą do głównych mechanizmów, które uruchamiają różnego rodzaju kontrole urzędów, a także negatywnie wpływają na obraz przedsiębiorcy. Przypadki te mogą przyjąć różną formę – np. naruszenie poufności (osoba nieautoryzowana uzyskuje dostęp do danych), naruszenie integralności danych (dane zostają zmodyfikowane w sposób, który utrudnia lub uniemożliwia skuteczne korzystanie z nich) oraz utrata danych lub dostępu do danych.
Wszelkie te niebezpieczeństwa muszą być traktowane jako realne zagrożenia, gdzie odpowiednie metody zapobiegawcze oraz sposoby reakcji na ich wystąpienie powinny być przez administratora odpowiednio przeanalizowane.
W działaniu zapobiegawczym bardzo przydatne mogą się okazać różnego rodzaju dokumenty, które pozwolą w łatwy sposób wyodrębnić obszary największych zagrożeń i umożliwią administratorowi skupienie się na nich. Całościowa analiza prowadzonej działalności pomoże też wybrać odpowiednie narzędzia do ochrony – zgodnie z RODO celem administratora nie musi być wykorzystywanie rozwiązań najdroższych i najbardziej zaawansowanych technologicznie – istotne jest tu kryterium proporcjonalności wdrożonych zabezpieczeń. Poradnik przedstawia listę poszczególnych działań, w szczególności w sferze informatycznej, które mogą być punktem odniesienia dla przedsiębiorcy zapoznającego się z dokumentem. Poza bezpieczeństwem technicznym i organizacyjnym EROD nie pomija bezpieczeństwa fizycznego, to znaczy ograniczenia dostępu do pomieszczeń, miejsc, gdzie są przechowywane nośniki danych, czy też instalowania kamer lub systemów bezpieczeństwa.
Reakcja i informowanie o naruszeniach ochrony danych
Poradnik nie pomija też kwestii reagowania na wszelkiego rodzaju incydenty i naruszenia ochrony danych. Przedstawione są kryteria pozwalające ocenić, czy dany incydent powinien zostać zgłoszony do odpowiednich organów nadzorczych – jak wskazuje RODO, istotne jest tutaj rozważenie zaistnienia ryzyka naruszenia praw lub wolności osób fizycznych. Takim naruszeniem może być chociażby upublicznienie informacji co do zdolności finansowej jakiejś grupy osób.
Z drugiej strony najprawdopodobniej takiego zagrożenia nie będzie, gdy udostępniona jest lista imion i nazwisk osób, które korzystają z standardowych usług – np. lista osób umówionych danego dnia na wizytę hydraulika. Oczywiście, administratorzy, którzy doświadczyli incydentów, powinni, w niektórych sytuacjach, powziąć dodatkowe działania – jeżeli ryzyko naruszenia praw i wolności osób, których dane dotyczą, jest wysokie, odpowiednie będzie również poinformowanie samych osób dotkniętych naruszeniem.
Końcowe uwagi co do poradnika
Poradnik może służyć jako przydatne narzędzie w rozpoczęciu stosowania RODO, jednakże raczej nie rozwieje wątpliwości osób mających pierwszy kontakt z tą regulacją. Jednym z wniosków, które nasuwają się podczas analizy poradnika, jest to, że RODO jest dosyć słabo przystosowane do wdrażania go na małą skalę – w tym wypadku w mniejszych przedsiębiorstwach.
Ze względu na to, że poradnik ma mieć zastosowanie do całego obszaru Unii Europejskiej, nie są brane pod uwagę aspekty lokalnej praktyki poszczególnych urzędów dot. ochrony danych osobowych – w Polsce rozdźwięk pomiędzy tym, jak rozumiane są przepisy przez praktyków, sądownictwo oraz Urząd Ochrony Danych Osobowych, jest łatwo zauważalny. Przykładowo, może to dotyczyć bardzo rygorystycznego podejścia przez prezesa UODO do ochrony numerów PESEL, które jest krytykowane przez inne środowiska. Z drugiej strony takie ujednolicone podejście EROD w tworzeniu poradnika jest też uzasadnione.
Uwaga
Wskazując na braki w całym poradniku, nie można pominąć tego, że na próżno poszukiwać jakichkolwiek wzorów dokumentów, które mogłyby przydać się małym przedsiębiorcom. Mimo wszystko – zgodnie z zasadą rozliczalności funkcjonującą w reżimie RODO – administrator danych osobowych powinien móc wykazać (w praktyce – odpowiednimi dokumentami), że odpowiednio zbadał wewnętrzne procesy przetwarzania oraz dostosował swoje procedury do istniejących zagrożeń oraz konieczności realizacji praw osób. Takiego rodzaju wsparcie ze strony EROD byłoby nad wyraz przydatne również ze względu na to, że rozporządzenie samo reguluje wyraźnie tylko kilka dokumentów, które dany administrator powinien sporządzić.
Źródło: https://odo.wip.pl
