RODO w małej firmie — co musisz mieć, żeby nie ryzykować kary
RODO istnieje od 2018 roku, ale wiele małych firm nadal traktuje je jak coś, co dotyczy tylko dużych korporacji. Tymczasem każda firma, która gromadzi dane osobowe klientów, pracowników czy kontrahentów – a gromadzi je praktycznie każda – ma obowiązki wynikające z RODO. Kary za naruszenia sięgają 20 milionów euro lub 4% rocznego obrotu. Ten artykuł wyjaśnia, co minimum musisz wdrożyć.
Kogo dotyczy RODO
RODO (Rozporządzenie o Ochronie Danych Osobowych) obowiązuje każdy podmiot – firmę, organizację, samozatrudnionego – który przetwarza dane osobowe osób fizycznych na terenie UE. Dane osobowe to wszelkie informacje, które pozwalają zidentyfikować osobę: imię, e-mail, numer telefonu, adres IP, ale też dane dotyczące zdrowia, przekonań religijnych czy orientacji seksualnej.
Jeśli przechowujesz bazę klientów z e-mailami, zatrudniasz pracowników, zbierasz dane przez formularz na stronie – RODO dotyczy Cię bezpośrednio.
Administrator danych – Twoja rola i odpowiedzialność
Jako przedsiębiorca jesteś Administratorem Danych Osobowych (ADO). To oznacza, że odpowiadasz za to, jak dane są zbierane, przechowywane, przetwarzane i usuwane. ADO decyduje o celach i sposobach przetwarzania – i ponosi odpowiedzialność za naruszenia.
Rejestr czynności przetwarzania – obowiązkowy dokument
Każdy administrator musi prowadzić Rejestr Czynności Przetwarzania (RCP). To wewnętrzny dokument opisujący, jakie dane zbierasz, w jakim celu, przez jaki czas i kto ma do nich dostęp. Nie ma jednego obowiązującego wzoru – ważne, żeby rejestr zawierał:
- nazwy i kategorie przetwarzanych danych (np. dane klientów: imię, e-mail, historia zakupów),
- cel przetwarzania (np. realizacja zamówienia, marketing za zgodą),
- podstawę prawną przetwarzania (zgoda, umowa, prawnie uzasadniony interes),
- okres przechowywania danych,
- kategorie odbiorców danych (np. firma kurierska, system CRM w chmurze).
Podstawy prawne przetwarzania danych
Każde przetwarzanie musi mieć podstawę prawną. Najczęściej stosowane w małych firmach:
| Podstawa | Kiedy stosować |
|---|---|
| Zgoda | Newsletter, marketing mailingowy, pliki cookie |
| Umowa | Dane konieczne do realizacji zamówienia lub usługi |
| Obowiązek prawny | Dane pracownicze, faktury, księgowość |
| Prawnie uzasadniony interes | Kontakt z potencjalnym klientem B2B, bezpieczeństwo sieci |
Polityka prywatności i klauzule informacyjne
Polityka prywatności na stronie www to obowiązek, nie opcja. Musi wyjaśniać: kto jest administratorem, jakie dane zbierasz, w jakim celu, przez jak długo i jakie prawa ma użytkownik. Powinna być napisana zrozumiale – nie żargonem prawniczym.
Klauzula informacyjna to krótszy dokument wręczany lub przesyłany przy zbieraniu danych – np. w umowie z pracownikiem, przy zapisie do newslettera, przy rejestracji klienta. Musi zawierać: tożsamość ADO, cel i podstawę przetwarzania, okres przechowywania, prawa osoby.
Zgody marketingowe i newsletter
Zbieranie adresów e-mail i wysyłanie newslettera wymaga:
- wyraźnej, oddzielnej zgody na marketing (checkbox niezaznaczony domyślnie),
- informacji, kto jest administratorem i w jakim celu zbiera e-mail,
- łatwego sposobu na cofnięcie zgody (link wypisania w każdej wiadomości).
Ważne: zgoda na regulamin sklepu ≠ zgoda na marketing. To dwie oddzielne sprawy.
Umowy powierzenia danych
Gdy korzystasz z zewnętrznych usługodawców, którzy mają dostęp do danych Twoich klientów (platforma e-mail, CRM, firma księgowa, serwer hostingowy), jesteś zobowiązany podpisać z nimi umowę powierzenia przetwarzania danych. Większość dużych dostawców (Google, Mailchimp, Fakturownia itp.) ma gotowe wzory – wystarczy je zaakceptować.
Co zrobić przy naruszeniu danych
Wyciek danych (włamanie, zgubiony laptop z danymi klientów, e-mail wysłany do złego odbiorcy) to naruszenie ochrony danych. Procedura:
- Oceń ryzyko dla osób, których dane dotyczą.
- Jeśli ryzyko jest wysokie – zgłoś do UODO w ciągu 72 godzin od wykrycia.
- Jeśli ryzyko jest bardzo wysokie – poinformuj też same osoby, których dane dotyczą.
- Udokumentuj naruszenie i podjęte działania.
FAQ
Czy mała firma musi mieć Inspektora Ochrony Danych (IOD)?
Nie zawsze. IOD jest obowiązkowy głównie dla podmiotów publicznych oraz firm przetwarzających dane wrażliwe na dużą skalę lub monitorujących osoby systematycznie (np. monitoring CCTV). Typowa mała firma handlowa lub usługowa nie ma obowiązku wyznaczenia IOD.
Jak długo mogę przechowywać dane klientów?
Dane niezbędne do realizacji umowy przechowujesz przez czas jej trwania i następnie przez okres wymagany przepisami (faktury: 5 lat, roszczenia: 6 lat). Dane marketingowe przechowujesz do czasu cofnięcia zgody lub sprzeciwu.
Czy RODO dotyczy danych pracowników?
Tak. Dane pracownicze (imię, PESEL, wynagrodzenie, historia zatrudnienia) podlegają RODO. Pracownicy mają prawo dostępu do swoich danych, sprostowania i usunięcia (w zakresie, w jakim nie blokuje tego prawo pracy).
W pigułce
- Prowadź Rejestr Czynności Przetwarzania – to podstawowy dokument każdego ADO.
- Zadbaj o Politykę Prywatności na stronie i klauzule informacyjne przy zbieraniu danych.
- Zbieraj zgody marketingowe oddzielnie i w sposób dobrowolny – bez domyślnie zaznaczonych checkboxów.
- Podpisz umowy powierzenia z każdym dostawcą, który przetwarza dane Twoich klientów.
- Przy naruszeniu danych: 72h na zgłoszenie do UODO, jeśli ryzyko jest wysokie.
