Prawnie RODO jest to dyrektywa unijna – Ogólne Rozporządzenie o Ochronie Danych Osobowych 2016/679, obowiązująca w Polsce od 25 maja 2018 roku. Jej zakres, w skrócie, dotyczy zbierania i przetwarzania danych osobowych.

Na początek pierwszy krok

Zacznijmy w najprostszy sposób – od wyciągnięcia nowego segregatora, który opiszemy dużymi literami RODO i włożymy do niego na początek:

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016_679 z dnia 27 kwietnia
• Politykę Bezpieczeństwa firmy

Politykę Bezpieczeństwa firmy tworzymy sami, definiując podstawowe pojęcia lub prosimy o to Kancelarię Prawną – polecamy Kancelarię Dyja. W Polityce powinny znaleźć się m.in. takie informacje jak:

• kto jest administratorem danych,
• gdzie będą przechowywane i przetwarzane dane (określić urządzenia i miejsca w sieci)
• jakie są prawa osób powierzających dane, w tym:
  • prawo dostępu,
  • prawo sprostowania oraz usunięcia swoich danych,
  • prawo ograniczenia ich przetwarzania,
  • prawo do ich przenoszenia,
  • prawo niepodlegania zautomatyzowanemu podejmowaniu decyzji, w tym profilowaniu,
  • prawo do wyrażenia sprzeciwu wobec przetwarzania swoich danych osobowych
• oraz jaka jest sytuacja prawna, jakie mamy podpisane umowy z podmiotami, które mają dostęp do naszych danych (firmy hostingowe, producenci oprogramowania …)

Politykę bezpieczeństwa, w części, która mówi o prawach osób,  warto zamieścić również na firmowej stronie internetowej.

Pozostałe dokumenty

Umowy powierzenia danych będą potrzebne w przypadku, gdy np. przekazujemy rozliczanie swojej działalności do biura rachunkowego. Ten i pozostałe przypadki tworzenia umów polećmy kancelarii.

Polityka Bezpieczeństwa a informatyka

W praktyce okazuje się, że o bezpieczeństwo danych w firmie w dużej mierze może zadbać informatyk. W tym miejscu się polecamy :-). Informatyk może i powinien:

• opisać konfigurację każdego komputera, końcowego urządzenia w firmie
• wskazać miejsca przechowywania baz danych wraz z nadaniem uprawnień tylko dla osób uprawnionych do przetwarzania danych
• wyeliminować powierzanie danych korporacjom poza unijnym (chmury Google Drive, Dropbox czy MS One Drive)
• zdefiniować odpowiednio kopie zabezpieczające dane (w tym używając szyfrowania)
• uporządkować przenośne nośniki danych typu PenDrive nadając im hasła dostępu i szyfrując np. BitLockerem
• wgrać najnowsze aktualizacje oprogramowania, które będą zawierać możliwość anonimizacji danych
• i wiele, wiele innych czynności wynikających z dążenia do poprawy bezpieczeństwa

Wszystkie powyższe działania warto również opisać i dołożyć do wspomnianego segregatora RODO.

Gdy zdarzy się incydent lub będziemy mieli styczność z kontrolą

Potrzeby będzie prawnik. Kancelaria Dyja najlepiej nas obroni i wskaże najlepsze rozwiązania. Zagmatwane definicje danych osobowych, profesjonalna linia obrony to jej specjalność. A że ma duże pole do popisu, to może świadczyć fakt, że przepisy są zdefiniowane nieostro, np.:

Nie ma ściśle ustalonej definicji, czym są dane osobowe. Z art. 4 ust. 1 RODO „informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej”. Osobą zidentyfikowaną jest osoba, której tożsamość można bezpośrednio ustalić. Osobą fizyczną możliwą do zidentyfikowania jest natomiast osoba, którą można pośrednio zidentyfikować, w szczególności na podstawie: imię i nazwisko, numer identyfikacyjny, nr PESEL w RP, dane o lokalizacji, identyfikator internetowy, jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Dane, które należy uważać zawsze za dane osobowe to imię i nazwisko, PESEL i nr i seria dokumentu tożsamości.

Przygotujmy się na RODO w wersji mini. Umowa z kancelarią prawną i informatykiem, ustalmy najwygodniejszy tryb wdrożenia wprowadzając dokumenty i mechanizmy chroniące dane. Jeżeli to zrobimy, to z pewnością zminimalizujemy możliwość  utraty danych i zminimalizujemy zagrożenia z tym związane dla funkcjonowania firmy.