RODO w małej firmie — wersja użytkowa, bez żargonu

RODO kojarzy się z grubymi dokumentami i strachem przed karami. W małej firmie sprowadza się jednak do kilku praktycznych rzeczy, które da się zrobić w jeden dzień — i które przy okazji porządkują pracę. Poniżej wersja użytkowa, bez prawniczego żargonu.

Zacznij od jednego pytania

Czyje dane i po co przechowujesz? Wypisz to na kartce: klienci, osoby z formularza kontaktowego, subskrybenci newslettera, pracownicy, kandydaci do pracy, nagrania z monitoringu. Przy każdej grupie dopisz, gdzie te dane leżą.

Ta jedna lista rozwiązuje połowę problemu, bo większość błędów bierze się z tego, że nikt nie wie, co firma w ogóle ma.

Cztery zasady, które porządkują resztę

1. Zbieraj tylko to, czego potrzebujesz. Formularz kontaktowy nie potrzebuje adresu zamieszkania ani daty urodzenia. Każde zbędne pole to dodatkowy obowiązek.
2. Powiedz, po co. Krótka informacja przy formularzu i polityka prywatności na stronie.
3. Nie używaj danych do czegoś innego niż cel, w którym je zebrałeś. Adres z zamówienia nie jest zgodą na newsletter.
4. Usuwaj, gdy nie są już potrzebne. Zgłoszenia rekrutacyjne sprzed trzech lat to ryzyko bez żadnej korzyści.

Rzeczy, o których najczęściej się zapomina

• Firmy, którym przekazujesz dane — hosting, system wysyłki wiadomości, biuro rachunkowe, firma kurierska. Z nimi potrzebne są odpowiednie umowy, a w polityce prywatności informacja, że dane tam trafiają.
• Narzędzia analityczne i reklamowe — uruchamiane dopiero po zgodzie, nie przed.
• Skrzynka pocztowa — tam leżą lata korespondencji z danymi klientów. To też jest zbiór danych.
• Zdjęcia i nagrania z klientami i pracownikami — wymagają zgody na wizerunek.
• Narzędzia AI — wklejanie danych klientów do zewnętrznego narzędzia jest przekazaniem danych i wymaga sprawdzenia zasad.

Bezpieczeństwo to część obowiązku

Ochrona danych to nie tylko papiery. Hasła nieudostępniane w wiadomościach, dwuskładnikowe logowanie w poczcie i panelach, kopie zapasowe, wylogowanie byłego pracownika z kont firmowych. Naruszenie ochrony danych zwykle zaczyna się od przejętej skrzynki, a nie od braku dokumentu.

Co zrobić, gdy dojdzie do wycieku

Nie ukrywać. Ustalić zakres, zabezpieczyć konta i sprawdzić, czy zdarzenie podlega zgłoszeniu — obowiązują tu krótkie terminy, a przy poważniejszych przypadkach trzeba poinformować także osoby, których dane dotyczą. To moment na kontakt z prawnikiem, nie na samodzielne decyzje.

Zastrzeżenie

To lista praktycznych rzeczy do przemyślenia, a nie porada prawna. Zakres obowiązków zależy od skali i rodzaju działalności — przy danych wrażliwych, monitoringu albo dużej liczbie klientów warto to przejść z prawnikiem.

Najczęstsze pytania

Od czego zacząć porządkowanie danych w firmie?

Od spisania, czyje dane firma przechowuje, po co i gdzie one leżą. To rozwiązuje połowę problemu.

Czy adres z zamówienia pozwala wysłać newsletter?

Nie. Dane zebrane w jednym celu nie mogą być używane do innego bez odrębnej zgody.

Czy wolno wklejać dane klientów do narzędzi AI?

To przekazanie danych podmiotowi zewnętrznemu i wymaga sprawdzenia zasad oraz podstawy. Bezpieczniej pracować na danych zanonimizowanych.

Co zrobić przy wycieku danych?

Ustalić zakres, zabezpieczyć konta i sprawdzić obowiązek zgłoszenia — terminy są krótkie, więc warto od razu skonsultować to z prawnikiem.