RODO w małej firmie — co naprawdę musisz wiedzieć

Wokół RODO narosło wiele mitów: że trzeba mieć grube segregatory procedur, zatrudnić inspektora ochrony danych i wydać fortunę na audyty. W małej firmie rzeczywistość jest dużo prostsza, ale „prostsza” nie znaczy „można zignorować”. Jeśli masz klientów, pracowników albo newsletter — przetwarzasz dane osobowe i RODO Cię dotyczy. Pokażę, co naprawdę trzeba zrobić.

Czym są dane osobowe i kiedy je przetwarzasz

Dane osobowe to każda informacja pozwalająca zidentyfikować osobę: imię i nazwisko, e-mail, telefon, adres, NIP osoby fizycznej, a nawet adres IP w pewnych sytuacjach. „Przetwarzanie” to praktycznie każda operacja na danych — zbieranie, przechowywanie, wysyłka oferty, fakturowanie, prowadzenie bazy klientów.

W swojej firmie jesteś administratorem danych — to Ty decydujesz, po co i jak je wykorzystujesz, więc to Ty odpowiadasz za ich bezpieczeństwo i zgodność przetwarzania z prawem.

Podstawa prawna — nie każde przetwarzanie wymaga zgody

Najczęstszy mit RODO brzmi: „na wszystko potrzebuję zgody”. Nieprawda. Zgoda to tylko jedna z kilku podstaw, a często nawet nie najlepsza. Zanim poprosisz o zgodę, sprawdź, czy nie działasz na innej, mocniejszej podstawie.

• Wykonanie umowy — przetwarzasz dane klienta, bo realizujesz dla niego zamówienie lub usługę.
• Obowiązek prawny — np. dane na fakturze przechowujesz, bo wymagają tego przepisy podatkowe.
• Prawnie uzasadniony interes — np. dochodzenie roszczeń, podstawowy marketing własnych usług.
• Zgoda — gdy nie ma innej podstawy, np. newsletter marketingowy do osoby, która nie jest klientem.

Minimalny zestaw dokumentów małej firmy

Nie potrzebujesz biblioteki procedur. W większości mikrofirm wystarczy spójny, realnie stosowany komplet podstaw.

1. Klauzula informacyjna — mówisz osobom, kto przetwarza ich dane, po co, jak długo i jakie mają prawa.
2. Polityka prywatności na stronie — zwłaszcza jeśli masz formularz kontaktowy lub sklep.
3. Zgody marketingowe — odrębne, jasne, z możliwością wycofania.
4. Umowy powierzenia — z firmami, które przetwarzają dane w Twoim imieniu (hosting, biuro rachunkowe, system do newslettera).
5. Rejestr czynności przetwarzania — prosta tabela, co i po co przetwarzasz (dla wielu małych firm zalecana, choć nie zawsze obowiązkowa).

Czy mała firma potrzebuje inspektora ochrony danych

Najczęściej nie. Obowiązek powołania inspektora ochrony danych (IOD) dotyczy m.in. podmiotów, których główna działalność polega na przetwarzaniu danych na dużą skalę lub przetwarzaniu szczególnych kategorii danych. Typowa mała firma usługowa czy handlowa nie ma takiego obowiązku — wystarczy, że sama dba o zgodność.

Bezpieczeństwo danych w praktyce

RODO nie narzuca konkretnych technologii, ale wymaga „odpowiednich środków”. W małej firmie to przede wszystkim zdrowy rozsądek i podstawowa higiena cyfrowa.

• Silne, unikalne hasła i włączona weryfikacja dwuetapowa.
• Dostęp do danych tylko dla osób, które go potrzebują.
• Szyfrowanie laptopów i kopie zapasowe ważnych baz.
• Ostrożność z e-mailami do wielu odbiorców (ukryta kopia zamiast jawnej listy adresów).
• Niszczenie dokumentów papierowych zamiast wyrzucania do kosza.

Naruszenie ochrony danych — masz 72 godziny

Jeśli dojdzie do naruszenia (wyciek bazy, zgubiony laptop, wysłanie danych do złego odbiorcy), zasadą jest zgłoszenie tego do Prezesa UODO bez zbędnej zwłoki, nie później niż w 72 godziny od stwierdzenia — chyba że naruszenie nie powoduje ryzyka dla osób. Gdy ryzyko jest wysokie, trzeba też powiadomić same osoby. Dlatego warto z góry wiedzieć, kto w firmie reaguje na incydent.

Prawa klientów, które musisz obsłużyć

Osoby, których dane przetwarzasz, mają prawo m.in. dostępu do nich, sprostowania, usunięcia (w określonych przypadkach), ograniczenia przetwarzania i sprzeciwu wobec marketingu. W praktyce musisz umieć takie żądanie przyjąć i obsłużyć w rozsądnym terminie — zwykle do miesiąca.

Od czego zacząć już dziś

1. Wypisz, jakie dane i po co przetwarzasz (klienci, pracownicy, newsletter).
2. Przypisz każdej kategorii podstawę prawną.
3. Uzupełnij klauzule informacyjne i politykę prywatności.
4. Podpisz umowy powierzenia z dostawcami narzędzi.
5. Ustal prostą procedurę na wypadek naruszenia.

RODO w małej firmie to kwestia uporządkowania, nie rewolucji. Jeśli chcesz mieć pewność, że Twoje klauzule, zgody i umowy powierzenia są poprawne i dopasowane do branży, w Legalify przygotujemy komplet dokumentów RODO i compliance. Działamy z Wrocławia i zdalnie — zadzwoń: +48 690 676 629.