Wdrożenie RODO i ochrona danych osobowych w firmie

Kancelaria Adwokacka Michał Ciupa i Partnerzy w Katowicach wspiera przedsiębiorców i inne organizacje w projektowaniu, wdrażaniu i utrzymaniu systemu ochrony danych osobowych zgodnego z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), dalej: RODO, oraz przepisami krajowymi.
Wdrożenie RODO to uporządkowanie rzeczywistych procesów przetwarzania danych, ocena ryzyka oraz wprowadzenie procedur, dokumentacji i zabezpieczeń pozwalających wykazać zgodność z prawem (art. 5 ust. 2 i art. 24 RODO). Pomoc obejmuje audyt, analizę ryzyka, dokumentację, ocenę skutków dla ochrony danych (DPIA), szkolenia, obsługę naruszeń oraz pełnienie funkcji inspektora ochrony danych (IOD).

Kiedy nie warto czekać

Po podejrzeniu naruszenia trzeba niezwłocznie ustalić fakty, ograniczyć skutki i zabezpieczyć dowody. Nie należy czekać na zakończenie pełnego audytu. Pilnego ustalenia zakresu działania wymaga także pismo organu z terminem odpowiedzi lub plan uruchomienia przetwarzania mogącego powodować wysokie ryzyko.

Audyt ochrony danych osobowych

Audyt zgodności z RODO polega na zbadaniu, jakie dane osobowe organizacja rzeczywiście przetwarza, w jakich celach i na jakich podstawach prawnych, komu je udostępnia lub powierza, jak długo je przechowuje oraz jakimi środkami technicznymi i organizacyjnymi je zabezpiecza. Wynikiem audytu jest raport wskazujący rozbieżności między stanem faktycznym a wymaganiami prawa, ocenę ryzyka poszczególnych uchybień oraz uporządkowaną listę działań naprawczych.
Zakres audytu dobieramy do działalności. Obejmuje on w szczególności zasady i podstawy przetwarzania, w tym retencję, prawa osób, role stron, powierzenie i współadministrowanie, rejestry, ochronę danych w fazie projektowania, zabezpieczenia, naruszenia, potrzebę DPIA, status IOD oraz transfery poza Europejski Obszar Gospodarczy (art. 5–6, 9–10, 12–22, 24–30, 32–39 i 44–49 RODO). Audyt przeprowadzamy przy wdrożeniu, przed kontrolą, przed transakcją albo istotną zmianą organizacyjną, a także cyklicznie. Przy transakcji ocenę ochrony danych łączymy z audytem prawnym i due diligence, w tym z zasadami udostępniania dokumentów do badania.

Analiza ryzyka i ocena skutków dla ochrony danych (DPIA)

Administrator ma obowiązek wdrożyć środki techniczne i organizacyjne odpowiednie do ryzyka, jakie przetwarzanie stwarza dla praw i wolności osób fizycznych (art. 24 ust. 1 i art. 32 ust. 1 RODO). Ocena ryzyka powinna zostać przeprowadzona i utrwalona w sposób
pozwalający wykazać, jakie zagrożenia zidentyfikowano i dlaczego zastosowane środki uznano za adekwatne. Pomagamy przeprowadzić i udokumentować analizę ryzyka dostosowaną do skali oraz charakteru działalności, a następnie przełożyć jej wyniki na konkretne środki bezpieczeństwa i działania organizacyjne. Ocena skutków dla ochrony danych jest pogłębioną oceną planowanego przetwarzania mogącego powodować wysokie ryzyko dla praw i wolności osób. Pomagamy ustalić, czy jest wymagana, przeprowadzić DPIA oraz przygotować uprzednie konsultacje z organem nadzorczym, jeżeli mimo planowanych zabezpieczeń wysokiego ryzyka nie można dostatecznie ograniczyć (art. 35–36 RODO).

Wdrożenie procedur zgodnych z RODO

Opracowujemy zasady realizacji praw osób, zarządzania uprawnieniami i dostępem, retencji i usuwania danych, współpracy z usługodawcami, obsługi naruszeń oraz ochrony danych w fazie projektowania i domyślnej ochrony danych. Przy obsłudze żądań uwzględniamy zarówno podstawowy termin miesięczny, jak i dopuszczalne przedłużenie z uwagi na skomplikowany charakter lub liczbę żądań (art. 12 ust. 3 RODO). Osoby działające z upoważnienia administratora lub podmiotu przetwarzającego przetwarzają dane zgodnie z jego poleceniem, z zastrzeżeniem obowiązków wynikających z prawa (art. 29 i art. 32 ust. 4 RODO). RODO nie ustanawia powszechnego wymogu pisemnego upoważnienia; może on wynikać z przepisów szczególnych, np. art. 22¹b § 3 ustawy z dnia 26 czerwca 1974 r. – Kodeks pracy. Procedury projektujemy w formie użytecznej dla pracowników: krótkie, jednoznaczne, z przypisaną odpowiedzialnością i terminami. Wdrożenie obejmuje wskazanie osób odpowiedzialnych, przeszkolenie zespołu i sprawdzenie, czy procedury rzeczywiście działają.

Dokumentacja RODO

Opracowujemy, weryfikujemy i aktualizujemy dokumentację odpowiadającą rzeczywistym
procesom. Zależnie od zakresu obowiązków obejmuje ona:

• politykę ochrony danych, rejestr czynności przetwarzania (RCP) administratora i rejestr kategorii czynności podmiotu przetwarzającego (art. 30 RODO);
• klauzule informacyjne dla klientów, pacjentów, pracowników i kontrahentów, w tym informacje publikowane w polityce prywatności serwisu (art. 13–14 RODO);
• umowy powierzenia, gdy usługodawca przetwarza dane w imieniu klienta, oraz uzgodnienia współadministratorów (art. 26 i art. 28 RODO);
• zasady uprawnień i poufności, retencji oraz dokumentowania naruszeń (art. 33 ust. 5 RODO);
• informacje i mechanizmy zgód dotyczące marketingu oraz cookies, w zakresie, w jakim zgoda jest wymagana przez art. 398–400 ustawy z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej;
• dokumentację transferów do państw trzecich, z doborem właściwej podstawy z rozdziału V RODO.

O roli dostawcy decydują rzeczywiste zadania i wpływ na przetwarzanie, a nie sama nazwa umowy lub branży. Biuro rachunkowe, laboratorium czy dostawca systemu nie zawsze występują jako podmioty przetwarzające.

Obsługa naruszeń ochrony danych osobowych

Naruszeniem ochrony danych osobowych jest każde naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych (art. 4 pkt 12 RODO). Zdarzeniem tego rodzaju może być zarówno atak na system informatyczny, jak i wysłanie korespondencji do niewłaściwego adresata, zagubienie nośnika albo utrata dokumentów w formie papierowej. Pomagamy w kwalifikacji zdarzenia, ocenie ryzyka, przygotowaniu zgłoszenia i zawiadomień, zabezpieczeniu materiału dowodowego, komunikacji z organem nadzorczym oraz w postępowaniach kontrolnych, administracyjnych i sądowoadministracyjnych. Ustalamy również właściwy organ: przy przetwarzaniu transgranicznym nie zawsze jest nim Prezes UODO. Każde naruszenie, także niezgłaszane organowi, trzeba udokumentować zgodnie z art. 33 ust. 5 RODO.

Szkolenia z zakresu ochrony danych osobowych

Prowadzimy szkolenia dla pracowników oraz osób odpowiedzialnych za przetwarzanie danych osobowych. Programy dostosowujemy do specyfiki działalności klienta, kategorii danych i ról uczestników. Szkolenie obejmuje zasady przetwarzania, rozpoznawanie i zgłaszanie naruszeń oraz obsługę żądań osób. Dokumentujemy przeprowadzenie szkolenia jako element wykazywania wdrożonych środków organizacyjnych. IOD monitoruje przestrzeganie przepisów, w tym działania zwiększające świadomość i szkolenia personelu; nie oznacza to obowiązku osobistego prowadzenia każdego szkolenia (art. 24, art. 32 i art. 39 ust. 1 lit. b RODO).

Inspektor ochrony danych — pełnienie funkcji i wsparcie

Kancelaria świadczy usługę pełnienia funkcji inspektora ochrony danych na podstawie umowy o świadczenie usług (outsourcing IOD). Funkcję wykonuje oznaczona osoba fizyczna dysponująca odpowiednią wiedzą i zdolnością wykonywania zadań. Podmiot wyznaczający inspektora zgłasza jego imię, nazwisko i dane kontaktowe Prezesowi UODO oraz udostępnia te dane zgodnie z art. 10–11 ustawy o ochronie danych osobowych.
Możliwe jest także wyznaczenie osoby zastępującej inspektora na zasadach art. 11a tej ustawy. W ramach tej usługi realizujemy zadania określone w art. 39 RODO: informujemy i doradzamy, monitorujemy przestrzeganie przepisów i polityk, wspieramy szkolenia i audyty, udzielamy zaleceń dotyczących DPIA, współpracujemy z organem nadzorczym i pełnimy funkcję punktu kontaktowego. Podmiotom, które wyznaczyły własnego inspektora, oferujemy wsparcie merytoryczne. IOD musi być właściwie i niezwłocznie włączany w sprawy ochrony danych, mieć odpowiednie zasoby i bezpośrednio podlegać najwyższemu kierownictwu. Nie może otrzymywać instrukcji dotyczących wykonywania swoich zadań ani być za ich wykonywanie odwoływany lub karany (art. 38 RODO). IOD doradza i monitoruje; nie przejmuje decyzji administratora o celach i zasadniczych sposobach przetwarzania. Powierzenie IOD dodatkowych zadań wymaga oceny konfliktu interesów. Dotyczy to zwłaszcza reprezentowania klienta w sporze o ochronę danych. Samo wyznaczenie innego prawnika z tej samej kancelarii nie przesądza o usunięciu konfliktu. Zakres usług i zasady reprezentacji wymagają takiego ustalenia, aby zachować niezależność IOD; funkcja inspektora nie przenosi na niego odpowiedzialności administratora za zgodność przetwarzania.

Bieżące doradztwo i stała obsługa w zakresie ochrony danych

Po wdrożeniu zgodność z przepisami wymaga utrzymania: pojawiają się nowe systemy, dostawcy, kanały marketingu i żądania osób. Opiniujemy umowy, weryfikujemy dostawców i pomagamy obsługiwać żądania. Doradzamy w sprawach danych kandydatów i pracowników, monitoringu wizyjnego oraz kontroli poczty elektronicznej na zasadach art. 22¹–22³ Kodeksu pracy. Właściwe reguły przetwarzania danych trzeba uwzględniać również przy kontroli trzeźwości i obsłudze zgłoszeń sygnalistów.
W marketingu odróżniamy podstawę przetwarzania danych z art. 6 RODO od wymagań dotyczących kanału komunikacji z art. 398 Prawa komunikacji elektronicznej. Przy cookies i podobnych technologiach uwzględniamy art. 399–400 tej ustawy, w tym wyjątki dotyczące rozwiązań niezbędnych do transmisji lub świadczenia usługi żądanej przez użytkownika. Przy transferach poza Europejski Obszar Gospodarczy sprawdzamy m.in. decyzje stwierdzające odpowiedni stopień ochrony oraz zabezpieczenia z art. 46 RODO, w tym standardowe klauzule umowne. Ramy ochrony danych UE–USA mogą mieć zastosowanie do odbiorcy objętego właściwym wpisem na liście Data Privacy Framework; sama siedziba dostawcy w USA nie wystarcza. Wykorzystanie narzędzi sztucznej inteligencji oceniamy w zakresie ochrony danych: ustalamy rolę dostawcy, podstawę i zakres udostępniania danych, warunki umowne, ewentualny transfer, potrzebę DPIA oraz zasady korzystania przez pracowników. Terminy stosowania przepisów o sztucznej inteligencji nie zwalniają z obowiązków RODO dotyczących danych wprowadzanych do narzędzia.

Ochrona danych w sektorze zdrowia

Dane dotyczące zdrowia należą do szczególnych kategorii danych osobowych. Przetwarzanie wymaga zarówno podstawy z art. 6 RODO, jak i spełnienia odpowiedniego warunku z art. 9 ust. 2 RODO. W przypadku art. 9 ust. 2 lit. h znaczenie mają również warunki tajemnicy z ust. 3. Zgoda pacjenta na leczenie nie zastępuje analizy podstaw przetwarzania danych. Podmiotom leczniczym, praktykom zawodowym, laboratoriom, aptekom i spółkom medycznym pomagamy ustalić podstawy przetwarzania i udostępniania danych, role dostawców, zasady dostępu, retencji, monitoringu oraz obsługi naruszeń. Uwzględniamy ustawę z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta, w tym art. 29 o przechowywaniu dokumentacji, ustawę z dnia 15 kwietnia 2011 r. o działalności leczniczej, w tym art. 23a o monitoringu, oraz ustawę z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia. Naruszenie ochrony danych i incydent cyberbezpieczeństwa mogą uruchamiać odrębne obowiązki. Jeżeli do organizacji stosuje się ustawę z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, zgłoszenie na gruncie RODO nie zastępuje wykonania obowiązków wynikających z tej ustawy. Szczegółowe zagadnienia dokumentacji medycznej, incydentów i cyberbezpieczeństwa opisujemy w dziale „Sektor zdrowia”, na podstronie „Dane medyczne, RODO i cyberbezpieczeństwo”.

Dla kogo i gdzie pracujemy

Pomoc kierujemy do przedsiębiorców oraz innych organizacji: osób prowadzących jednoosobową działalność gospodarczą, spółek, podmiotów leczniczych i praktyk zawodowych, biur rachunkowych, sklepów internetowych i firm usługowych, a także podmiotów publicznych, jednostek oświatowych, stowarzyszeń i fundacji. Kancelaria ma siedzibę w Katowicach i pracuje przede wszystkim dla klientów z Katowic, aglomeracji śląskiej i województwa śląskiego; ponieważ pomoc w zakresie ochrony danych może być w znacznej części świadczona zdalnie, prowadzimy sprawy na terenie całej Polski.

Jak przebiega wdrożenie i co otrzymuje klient

Zakres i rezultaty ustalamy dla konkretnego zlecenia. Harmonogram zależy od liczby i złożoności procesów, dostępności informacji oraz stanu zabezpieczeń; ustalamy go po rozpoznaniu zakresu prac i doprecyzowujemy na podstawie audytu.

Modele współpracy i zasady wynagrodzenia

Współpracujemy w trzech modelach: jednorazowego zlecenia, kompleksowego projektu wdrożeniowego oraz stałej obsługi w ramach miesięcznego wynagrodzenia ryczałtowego. Usługa IOD wymaga odrębnego ustalenia zakresu zadań i oceny konfliktu interesów.
Wynagrodzenie ustalamy indywidualnie przed rozpoczęciem pracy, w zależności od skali działalności, liczby procesów i przewidywanego nakładu pracy. O zasadach rozliczenia informujemy przed podjęciem współpracy.

Konsekwencje naruszenia przepisów o ochronie danych

Konsekwencje zależą od rodzaju uchybienia i okoliczności sprawy. Organ nadzorczy może zastosować środki naprawcze z art. 58 ust. 2 RODO, w tym ograniczenie przetwarzania. Kara pieniężna wymaga oceny przesłanek i okoliczności z art. 83 RODO; nie jest automatyczną konsekwencją każdego incydentu. Odrębne limity dla podmiotów wskazanych w art. 102 ustawy o ochronie danych osobowych wymagają sprawdzenia ich statusu prawnego.
Niezależnie od odpowiedzialności administracyjnej mogą powstać roszczenia o naprawienie szkody majątkowej lub niemajątkowej na zasadach art. 82 RODO. Sprawy o roszczenia z art. 79 i art. 82 RODO rozpoznają sądy okręgowe (art. 93 ustawy o ochronie danych osobowych). Art. 107–108 tej ustawy przewidują również odpowiedzialność karną za określone zachowania, m.in. niedopuszczalne lub nieuprawnione przetwarzanie danych oraz udaremnianie lub utrudnianie kontroli. Nie każde uchybienie RODO stanowi przestępstwo.

Zabezpieczenia rzeczowe i zastrzeżenie własności

Hipoteka i zastaw wiążą ochronę z określonym składnikiem majątku. Mogą zapewniać pierwszeństwo zaspokojenia przed wierzycielami osobistymi, ale wymagają oceny wartości przedmiotu, wcześniejszych obciążeń, skuteczności ustanowienia i właściwego trybu realizacji. Hipoteka wymaga wpisu w księdze wieczystej, a zastaw rejestrowy – umowy i wpisu do rejestru. Zaspokojenie następuje w trybie przewidzianym dla danego zabezpieczenia; nie każdy instrument uprawnia do samodzielnego przejęcia rzeczy. Przy sprzedaży rzeczy ruchomej można zastrzec własność do czasu zapłaty ceny. Jeżeli rzecz zostaje wydana kupującemu, zastrzeżenie powinno być stwierdzone pismem, a jego skuteczność wobec wierzycieli kupującego wymaga daty pewnej (art. 589 i art. 590 § 1 Kodeksu cywilnego). Zastrzeżenie własności nie daje samo przez się prawa do dowolnego odebrania rzeczy; sprawdzamy podstawę jej zwrotu i sposób realizacji uprawnień.