„To dotyczy banków, nie mnie" - najczęstszy błąd przy nowych przepisach o cyberbezpieczeństwie
czytaj więcej
Rozmowa, którą prowadzę kilka razy w miesiącu, wygląda mniej więcej tak. Klient pisze, że potrzebuje regulaminu do sklepu, koniecznie „zgodnego z RODO". Przygotowuję komplet, klient go wgrywa na stronę i uznaje temat za zamknięty. Kilka miesięcy później dzwoni z pytaniem, co zrobić, bo kontrahent zażądał umowy powierzenia przetwarzania danych, albo dlatego, że pracownik wysłał plik z zamówieniami do niewłaściwej osoby i ktoś podpowiedział mu, że ma na coś 72 godziny.
I wtedy pada zdanie: „jak to? Przecież ja mam RODO, kupiłem u Pani dokumenty".
To nie jest niczyja wina. Rynek sprzedaje dokumenty pod hasłem „zgodne z RODO" i trudno się dziwić, że klient rozumie to jako załatwienie całego tematu. Chciałabym w tym tekście rozłożyć to na czynniki pierwsze - bez straszenia, za to konkretnie: co dostajesz w komplecie dokumentów na stronę, co to naprawdę załatwia, a co zostaje po Twojej stronie.
Dwa różne światy, które noszą tę samą nazwę
Kiedy mówimy „RODO", mamy na myśli dwie rzeczy naraz, a one dzieją się w innych miejscach.
Pierwsza to warstwa widoczna. Polityka prywatności i polityka cookies na Twojej stronie. Ich adresatem jest odwiedzający - klient, subskrybent newslettera, osoba wypełniająca formularz kontaktowy. Te dokumenty informują. Ich zadaniem jest powiedzieć człowiekowi, co robisz z jego danymi, zanim je poda.
Druga to warstwa niewidoczna. Dokumentacja wewnętrzna: rejestr czynności przetwarzania, procedury, umowy z podmiotami, którym przekazujesz dane, upoważnienia dla pracowników, zasady bezpieczeństwa. Nikt z zewnątrz tego nie widzi. Adresatem jesteś Ty i Twoi ludzie - a w razie potrzeby Prezes Urzędu Ochrony Danych Osobowych.
Sam regulamin sklepu, dla porządku, nie należy do żadnej z tych warstw. Regulamin dotyczy umowy sprzedaży: zamówień, dostawy, reklamacji, odstąpienia od umowy. Z danymi osobowymi ma wspólnego tyle, że zwykle odsyła do polityki prywatności. Hasło „regulamin zgodny z RODO" w praktyce znaczy: „do regulaminu dołączamy politykę prywatności i politykę cookies".
Dlaczego polityka prywatności nie może powstać jako pierwsza
Polityka prywatności to nie jest dokument twórczy. To streszczenie stanu faktycznego. Wynika z art. 13 i 14 RODO, które nakazują poinformować osobę m.in. o celach przetwarzania, podstawach prawnych, odbiorcach danych, okresie przechowywania i przysługujących jej prawach.
Każda z tych informacji to odpowiedź na pytanie o Twoją firmę. Nie da się jej wymyślić - trzeba ją najpierw ustalić. Dlatego mówię klientom, że polityka prywatności jest wypadkową dokumentacji, a nie odwrotnie. Poniżej najbardziej praktyczne ujęcie, jakie znam: bierzemy typowe zdania z polityki prywatności i sprawdzamy, co musi istnieć w firmie, żeby były prawdziwe.
| Zdanie z polityki prywatności | Co musi za nim stać w firmie |
|---|---|
| „Przetwarzamy dane w celu realizacji zamówienia, wysyłki newslettera i obsługi reklamacji" | Rejestr czynności przetwarzania, w którym te cele są wypisane - razem z podstawą prawną i kategoriami danych dla każdego z nich osobno |
| „Dane przechowujemy przez okres niezbędny do..." | Ustalone i zapisane okresy retencji - oraz ktoś, kto faktycznie usuwa dane po ich upływie. To najczęściej pomijany element |
| „Dane mogą być przekazywane podmiotom świadczącym usługi hostingu, wysyłki i księgowości" | Umowy powierzenia przetwarzania z tymi podmiotami (art. 28 RODO) - sama informacja o przekazywaniu nie tworzy podstawy do przekazania |
| „Stosujemy odpowiednie środki techniczne i organizacyjne" | Analiza ryzyka i realne zabezpieczenia: kontrola dostępu, hasła, kopie zapasowe, aktualizacje. Bez analizy słowo „odpowiednie" nic nie znaczy |
| „Masz prawo żądać dostępu do danych, ich sprostowania i usunięcia" | Procedura realizacji praw: kto odbiera takie żądanie, jak weryfikuje tożsamość, w jakim terminie odpowiada (co do zasady miesiąc) |
| „Dostęp do danych mają wyłącznie upoważnieni pracownicy" | Pisemne upoważnienia i ich ewidencja (art. 29 RODO) oraz zobowiązania do poufności |
| „W przypadku naruszenia ochrony danych poinformujemy Cię o tym" | Procedura postępowania przy naruszeniu, rejestr naruszeń i wiedza, że na zgłoszenie do UODO są 72 godziny od stwierdzenia |
Jeżeli w prawej kolumnie brakuje choćby połowy pozycji, polityka prywatności na stronie opisuje firmę, która nie istnieje. Nie dlatego, że ktoś chciał wprowadzić kogoś w błąd - po prostu dokument powstał przed ustaleniem faktów.
Co jeszcze wchodzi w skład dokumentacji
RODO nie zawiera listy dokumentów do odhaczenia. Zawiera zasadę rozliczalności (art. 5 ust. 2): masz umieć wykazać, że przestrzegasz przepisów. Wykazać czymś namacalnym. W praktyce, w firmie prowadzącej sprzedaż online, oznacza to najczęściej:
- rejestr czynności przetwarzania - punkt wyjścia dla wszystkiego pozostałego,
- politykę ochrony danych, czyli zasady, których trzymają się ludzie w firmie,
- analizę ryzyka, a przy niektórych rodzajach przetwarzania także ocenę skutków (DPIA),
- umowy powierzenia przetwarzania z firmą hostingową, informatykiem, systemem mailingowym, biurem rachunkowym, agencją marketingową,
- procedurę zgłaszania naruszeń i rejestr naruszeń,
- procedurę realizacji praw osób, których dane dotyczą,
- upoważnienia do przetwarzania danych i ich ewidencję,
- klauzule informacyjne dla pracowników, kandydatów do pracy i kontrahentów - bo polityka prywatności na stronie dotyczy klientów, a nie tych osób.
Zwróć uwagę, że tylko jedna pozycja z tej listy jest publikowana na stronie - i akurat jej na tej liście nie ma. To dobrze pokazuje proporcje.
„Ale ja mam małą firmę"
To pytanie pada zawsze i zasługuje na uczciwą odpowiedź: tak, rozmiar firmy ma znaczenie, ale rzadziej, niż się wydaje.
Art. 30 ust. 5 RODO zwalnia z prowadzenia rejestru czynności podmioty zatrudniające mniej niż 250 osób. Ale zwolnienie odpada, gdy przetwarzanie nie jest sporadyczne, może powodować ryzyko naruszenia praw i wolności albo dotyczy danych szczególnych kategorii. Sklep internetowy przyjmuje zamówienia codziennie - to przetwarzanie regularne, nie sporadyczne. W praktyce w e-commerce ten wyjątek prawie nigdy nie działa, także w jednoosobowej działalności.
Za to zakres dokumentacji naprawdę zależy od skali. Rejestr czynności sklepu z ręcznie robioną biżuterią zmieści się na dwóch stronach i nie ma nic wspólnego z opasłym segregatorem, który kojarzy się z RODO. Podobnie inspektor ochrony danych (IOD) - w zwykłym sklepie internetowym najczęściej nie jest obowiązkowy. Obowiązek pojawia się m.in. przy monitorowaniu osób na dużą skalę albo przetwarzaniu danych szczególnych kategorii na dużą skalę.
Kolejność, którą polecam
Z mojego doświadczenia najlepiej działa taka kolejność - odwrotna do tej, w której zwykle rzeczy się dzieją:
- Spis tego, co naprawdę robisz z danymi. Zamówienia, konta, newsletter, formularz kontaktowy, opinie, reklamacje, rekrutacja. To godzina rozmowy, nie tydzień pracy.
- Lista systemów i firm z dostępem do danych. Hosting, poczta, program do faktur, narzędzie do wysyłki, księgowa, informatyk, agencja. Przy każdej pozycji sprawdzamy, czy jest umowa powierzenia i czy podmiot w ogóle jest przetwarzającym, a nie odrębnym administratorem.
- Okresy przechowywania i to, czy ktokolwiek dane po tym czasie kasuje.
- Dokumenty wewnętrzne - rejestr, polityka, procedury, upoważnienia - napisane pod ustalenia z punktów 1-3.
- Dopiero teraz polityka prywatności i polityka cookies na stronie, jako streszczenie tego wszystkiego dla klienta. Albo, jeśli już je masz, weryfikacja, czy mówią prawdę.
Jeśli komplet dokumentów na stronę kupiłaś lub kupiłeś wcześniej - nic straconego. Punkt piąty robimy wtedy jako sprawdzenie i korektę, nie jako pisanie od zera.
Jak mogę pomóc
Przygotowuję dokumentację RODO dopasowaną do tego, jak firma naprawdę działa - zaczynam od rozmowy o procesach, a nie od wysłania szablonu do wypełnienia. Osobno przygotowuję dokumenty na stronę: regulamin sklepu, politykę prywatności i politykę cookies. Firmom, które wolą oddać temat na dłużej, oferuję stałą opiekę w roli inspektora ochrony danych, a stawki znajdziesz w cenniku RODO.
Jeśli nie wiesz, na czym stoisz, zacznij od najprostszego kroku: bezpłatnego sprawdzenia strony. Zobaczysz, czego brakuje w warstwie widocznej - a to zwykle dobrze pokazuje, jak wygląda ta niewidoczna. Napisz do mnie, ustalimy zakres bez zobowiązań.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej w indywidualnej sprawie. Zakres obowiązków zależy od tego, jak działa konkretna firma.
