Czy RODO ma zastosowanie do mojej firmy?
Tak, w zdecydowanej większości przypadków. Ogólne rozporządzenie o ochronie danych nie zawiera progu dla przychodu, liczby pracowników ani sektora. Gdy tylko Twoja firma przetwarza dane osobowe, takie jak imiona i nazwiska, adresy e-mail lub dane dotyczące wynagrodzeń, rozporządzenie ma zastosowanie do tego przetwarzania. Dotyczy to zarówno jednoosobowej działalności gospodarczej z jednym klientem, jak i firmy instalacyjnej z pięćdziesięcioma pracownikami.
Różnica w stosunku do przepisów takich jak NIS2, CSRD czy standard VSME polega na tym, że one rzeczywiście operują progami dla wielkości przedsiębiorstwa lub sektora. RODO działa inaczej: nie wielkość Twojej firmy jest decydująca, ale pytanie, czy dane osobowe są przetwarzane i w jaki sposób. W rezultacie RODO w praktyce obejmuje praktycznie każdą firmę, choć nie zawsze się to tak czuje.
Co rozporządzenie rozumie pod pojęciem danych osobowych
RODO definiuje dane osobowe jako wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Jest to szersze, niż myśli wielu przedsiębiorców. Lista adresowa klientów, osobowa teczka pracownika, list motywacyjny, który wciąż znajduje się w skrzynce mailowej, czy nagrania z kamer przy wejściu: wszystko to podlega RODO. Nawet samozatrudniony, który wysyła wyłącznie faktury z imieniem i nazwiskiem oraz adresem, już przetwarza dane osobowe.
Rozporządzenie rozróżnia między administratorem danych, który określa cel i sposób przetwarzania danych, a przetwarzającym, który to robi na rzecz innego podmiotu. Na przykład firma zajmująca się obsługą płac jest przetwarzającym w odniesieniu do danych wynagrodzeń Twoich pracowników, podczas gdy Ty sami jesteś administratorem danych. Która rola ma zastosowanie do Twojej firmy i jakie obowiązki się z nią wiążą, różni się w zależności od sytuacji i może wyjaśnić organ nadzoru oraz prawnik.
Dlaczego temat pojawia się w ankiecie Twojego klienta
Odbiorcy coraz częściej pytają swoich dostawców nie tylko o zrównoważony rozwój lub bezpieczeństwo cybernetyczne, ale także o postępowanie z danymi osobowymi. Dzieje się tak na przykład wtedy, gdy przetwarzasz dane pracowników klienta lub jego odbiorców końcowych, lub gdy masz dostęp do systemów zawierających tego rodzaju dane. W takim przypadku nabywca chce wiedzieć, czy istnieje umowa przetwarzania, czy prowadzony jest rejestr przetwarzania, i jak zgłaszane są naruszenia danych.
Te pytania często pokrywają się z ankietą bezpieczeństwa cybernetycznego, ponieważ bezpieczeństwo informacji i ochrona danych są w praktyce blisko ze sobą powiązane. Firma dostarczająca klientom oprogramowanie lub usługi administracyjne będzie częściej napotykać te pytania niż firma instalacyjna zajmująca się głównie pracami fizycznymi. Kto te pytania napotyka wielokrotnie w różnych formatach od różnych klientów, może w bazie wiedzy na temat danego zagadnienia przeczytać jaki jest kontekst takiego pytania i gdzie znaleźć oficjalny tekst.
Co to oznacza w praktyce
Czy RODO nakłada konkretne obowiązki, takie jak wyznaczenie inspektora ochrony danych, zawarcie umowy przetwarzania czy prowadzenie rejestru przetwarzania, zależy od charakteru i zakresu przetwarzania w Twojej firmie. To nie jest pytanie, na które można odpowiedzieć w ogólności; samo rozporządzenie i wytyczne krajowego organu nadzoru zawierają kryteria do tego. Dla większości firm MŚP punkt wyjścia jest prosty: zebrać informacje o tym, które dane osobowe są przetwarzane, czyich dotyczą i w jakim celu.
Ten przegląd przydaje się również, gdy odbiorca zapyta o to. Przechowuj dokumenty, takie jak umowa przetwarzania czy oświadczenie o polityce prywatności, w stałym miejscu, aby nie trzeba było ich za każdym razem na nowo szukać. Jak to działa w ramach jednego ketendossier i jak bezpieczne są dane w nim przechowywane, przeczytasz na stronie dotyczącej jak dane i prywatność są chronione.
Czy chciałbyś najpierw zobaczyć, które listy pytań i tematy są istotne dla Twojej firmy, w tym czy ochrona danych odgrywa w tym rolę? Zrób darmowe sprawdzenie w kilka pytań, aby uzyskać pierwszą orientację, lub przeczytaj, jak odpowiedzi na часto zadawane pytania inni przedsiębiorcy to rozwiązują. W przypadku własnej sytuacji wciąż rozsądnie jest skonsultować się w razie wątpliwości z właściwym organem nadzorczym lub prawnikiem.