10 wskazówek dla administratorów - jak stosować RODO – doświadczenia z pierwszego półrocza

Stan prawny na: 23.11.2018

Po analizie skarg, pytań i wpływających sygnałów Urząd Ochrony Danych Osobowych przygotował 10 wskazówek dla administratorów pomocnych w stosowaniu RODO na co dzień.

Ustal właściwą podstawę zbierania i wykorzystywania danych osobowych

Pamiętaj, że zgoda nie jest jedyną podstawą uprawniającą do przetwarzania danych osobowych. Nie pozyskuj jej, gdy do zbierania i wykorzystywania danych   osobowych, uprawnia Cię przepis prawa, lub gdy dane są niezbędne do zawarcia umowy. Takie działanie wprowadza Twoich klientów w błąd, bo przecież w takich przypadkach zgody nie mogą wycofać.

Dopełniaj obowiązku informacyjnego zgodnie z nowymi zasadami

Pamiętaj, że RODO wprowadziło istotne zmiany dotyczące dopełniania tzw. obowiązku informacyjnego. Teraz musisz podać osobom, których dane przetwarzasz, więcej informacji. Jeśli wyznaczyłeś inspektora ochrony danych (IOD), musisz podać jego dane kontaktowe. Twoim obowiązkiem jest również wskazanie okresu, przez który będziesz przechowywał dane. Musisz też przekazać więcej informacji o prawach osób – m.in. o możliwości wycofania zgody oraz prawie wniesienia skargi do Prezesa UODO. Nie zapominaj też, że gdy zbierasz czyjeś dane od osób trzecich lub ze źródeł powszechnie dostępnych albo je kupujesz, stajesz się ich administratorem i również musisz dopełnić obowiązku informacyjnego. Nawet gdy jest to tylko numer telefonu lub adres e-mail.

 Komunikuj się w sposób przejrzysty

Pamiętaj, że wprowadzona przez RODO zasada przejrzystości ma być stosowana na wszystkich etapach komunikowania się z osobą, której dane są przetwarzane. Przesądza ona, żewszelkie informacje i wszelkie komunikaty związane z przetwarzaniem danych osobowych mają być zwięzłe, przejrzyste i zrozumiałe oraz sformułowane jasnym i prostym językiem. Chodzi o to, żeby nie były to noty pisane przez prawników dla prawników – jak to często bywało dotąd. Mają też być łatwo dostępne. Zatem odpowiednio zorganizuj proces komunikacji z osobami, których dane przetwarzasz, i zadbaj o właściwe formułowanie kierowanych do nich przekazów i informacji. Kiedy to uzasadnione, korzystaj z możliwości warstwowego informowania – najpierw podaj podstawowe informacje i poinformuj, gdzie można zapoznać się z pozostałymi.

W każdej sytuacji dbaj o respektowanie praw osób

Pamiętaj o realizacji praw osób, których dane przetwarzasz. Zadbaj o to także wówczas, gdy w Twoim imieniu działa podmiot zewnętrzny, z którym zawierasz umowę powierzenia przetwarzania danych osobowych swoich klientów. Jeśli np. prowadzi dla Ciebie działania marketingowe, zadbaj o to, by informował Cię o wnoszonych sprzeciwach lub wnioskach o sprostowanie danych. Warto, by odpowiednie postanowienia w tej sprawie znalazły się w umowie, którą z nim zawierasz. Twoi klienci na pewno to docenią.

Pamiętaj, że zgoda może być wycofana w każdym momencie

RODO wprost wskazuje, że osoba, której dane przetwarzasz na podstawie zgody, może w dowolnym momencie ją cofnąć i nie powinno to rodzić dla niej żadnych negatywnych konsekwencji (np. podwyższenia opłaty za usługi). O tym prawie musisz ją poinformować. Dopilnuj, aby cofnięcie zgody było równie łatwe jak jej udzielenie.

Naruszenia ochrony danych zgłaszaj do Prezesa UODO, a gdy trzeba informuj o nich również osoby, których dane zostały naruszone

W przypadku naruszenia ochrony danych osobowych (np. ich wycieku, zagubienia czy przypadkowego udostępnienia osobie nieuprawnionej) jako administrator musisz bez zbędnej zwłoki –  w miarę możliwości, nie później niż w ciągu 72 godzin po stwierdzeniu naruszenia – zgłosić je Prezesowi Urzędu Ochrony Danych Osobowych. Wyjątek to sytuacja, gdy jest mało prawdopodobne, by zdarzenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Gdy ryzyko naruszenia tych praw i wolności jest wysokie, musisz również powiadomić osoby, których dane zostały naruszone. Udziel im wskazówek co do dalszego postępowania, pomocnych w podjęciu przez nich działań zapobiegających lub ograniczających negatywne konsekwencje naruszenia, np. ryzyko kradzieży tożsamości.

Nie twórz niepotrzebnej dokumentacji

Zasada rozliczalności zobowiązuje Cię do wprowadzenia wewnętrznych procedur, które mają zapewnić przestrzeganie RODO oraz to, abyś był w stanie wykazać, że prawidłowo przetwarzasz dane osobowe. Pamiętaj, że dla udowodnienia różnych działań, np. pozyskania zgody, nie zawsze musisz gromadzić dokumentację w formie papierowej i zbierać podpisy osób, które Ci jej udzieliły. Może też być ona nagrana lub zapisana w systemie informatycznym. Także przyjęte przez Ciebie i wdrożone procedury potwierdzone oświadczeniami pracowników mogą stanowić wystarczający dowód.

Masz prawo profilować, ale pamiętaj o ograniczeniach

RODO nie wprowadza zakazu profilowania. Pamiętaj jednak, że jeśli tego dokonujesz, musisz poinformować o tym osobę, której dane dotyczą, i wskazać konsekwencje takiego działania.Gdy jednak na podstawie profilowania podejmujesz zautomatyzowane decyzje (bez udziału człowieka), wywołujące skutki prawne lub istotnie wpływające na osobę, musisz mieć na to jej zgodę, chyba że działanie to legalizuje niezbędność do zawarcia lub wykonania umowy albo fakt, że jest to dozwolone prawem UE lub państwa członkowskiego.

 Zainwestuj w fachowego IOD

Nawet jeśli nie masz takiego obowiązku, to rozważ wyznaczenie inspektora ochrony danych (IOD). Jako fachowiec wesprze Cię w prawidłowym zorganizowaniu procesów przetwarzania danych osobowych, chroniąc przed roszczeniami klientów czy sankcjami ze strony organu nadzoru. Jeśli już to zrobiłeś, zadbaj, aby jego dane kontaktowe były łatwo dostępne.

Uważaj na oszustów

Straszenie wysokimi karami lub wzywanie do wniesienia opłaty to popularne metody działania oszustów, którzy w łatwy sposób chcą zarobić na RODO! Bądź czujny i nie daj się nabrać! Czytaj uważniej korespondencję przychodzącą. Sprawdź, przez kogo została przesłana i czego dotyczy. Jeśli miałaby pochodzić od Urzędu Ochrony Danych Osobowych, zweryfikuj, czy zawiera wymagane elementy, np.: właściwą nazwę urzędu, poprawne adresy, autentyczne podpisy, a urzędowa pieczęć jest oryginalna. Od kontrolera żądaj okazania upoważnienia do kontroli i legitymacji służbowej. Jeśli chcesz skorzystać ze wsparcia działających na rynku firm, sprawdzaj ich wiarygodność i doświadczenie, a szkolenia i kursy na temat ochrony danych osobowych wybieraj z rozwagą.