RODO dla pracowników
Szkolenie RODO dla pracowników bez wiedzy technicznej: rozpoznawanie danych osobowych, codzienna higiena danych i szybkie reagowanie na naruszenia.
RODO dla pracowników
Szkolenie RODO dla pracowników bez wiedzy technicznej: rozpoznawanie danych osobowych, codzienna higiena danych i szybkie reagowanie na naruszenia.
RODO w codziennej pracy: podstawy i stawka
na egzaminieRODO to nie dokument, który podpisujesz raz i zapominasz. To zestaw reguł, które stosujesz codziennie: gdy wysyłasz maila do klienta, otwierasz arkusz z danymi kontaktowymi albo rozmawiasz o sprawie pracownika na open space. Nieznajomość tych reguł nie chroni firmy ani ciebie przed konsekwencjami błędu.
Ogólne rozporządzenie o ochronie danych osobowych (RODO, ang. GDPR) to unijne prawo obowiązujące bezpośrednio we wszystkich krajach UE od 25 maja 2018 roku. Reguluje, jak wolno zbierać, przechowywać i wykorzystywać dane osobowe.
Administrator danych: Podmiot, który decyduje, po co i w jaki sposób przetwarza się dane osobowe, najczęściej twoja firma jako pracodawca lub usługodawca.
Podmiot przetwarzający: Firma lub osoba, która przetwarza dane w imieniu administratora, na jego polecenie, na podstawie umowy (np. zewnętrzny dostawca płac, firma hostingowa).
- Zgodność z prawem, rzetelność i przejrzystość wobec osoby, której dane dotyczą
- Ograniczenie celu: dane zbierasz w konkretnym, jasno określonym celu
- Minimalizacja danych: zbierasz tylko to, co niezbędne
- Prawidłowość: dane muszą być poprawne i aktualizowane
- Ograniczenie przechowywania: dane trzymasz tylko tak długo, jak to konieczne
- Integralność i poufność: chronisz dane przed utratą i nieuprawnionym dostępem
- Rozliczalność: musisz umieć wykazać, że przestrzegasz powyższych zasad
Skojarz zasady z myśleniem gospodarza: bierz tylko o co prosisz (minimalizacja), trzymaj tylko jak długo musisz (ograniczenie przechowywania), pilnuj jakby to były twoje własne dane (integralność i poufność), i zawsze potrafisz się z tego wytłumaczyć (rozliczalność).
Za najpoważniejsze naruszenia podstawowych zasad RODO organ nadzorczy może nałożyć karę do 20 mln euro lub 4% globalnego rocznego obrotu firmy, w zależności od tego, która wartość jest wyższa. Mniej poważne naruszenia zagrożone są karą do 10 mln euro lub 2% obrotu.
| Rola | Kto to zwykle w firmie | Przykład |
|---|---|---|
| Administrator danych | Twoja firma jako pracodawca/usługodawca | Decyduje, że zbiera dane kandydatów do rekrutacji |
| Podmiot przetwarzający | Zewnętrzny dostawca usługi | Firma obsługująca listy płac na zlecenie |
| Inspektor Ochrony Danych (IOD) | Wyznaczona osoba w firmie lub zewnętrzny konsultant | Doradza, monitoruje zgodność, jest punktem kontaktowym |
| UODO | Krajowy organ nadzorczy | Przyjmuje zgłoszenia naruszeń i skargi osób |
Częste błędne przekonanie: 'RODO to sprawa działu prawnego albo IT'. W praktyce to każdy pracownik na co dzień decyduje, komu wysłać maila, co zostawić na drukarce i co powiedzieć głośno w open space, dlatego odpowiedzialność zaczyna się od twojego biurka.
- Wysyłanie maili do klientów i kandydatów
- Prowadzenie arkuszy z danymi kontaktowymi
- Rozmowy telefoniczne i wideokonferencje z klientami
- Dokumentacja HR i rekrutacyjna
- Monitoring wizyjny w biurze
- Zdjęcia i nagrania z eventów firmowych
Dane osobowe i dane szczególnej kategorii
na egzaminieZanim ocenisz, czy coś 'jest RODO', musisz umieć rozpoznać dane osobowe, a wśród nich te, które wymagają szczególnej ostrożności. Nie każda informacja o osobie niesie takie samo ryzyko.
Dane osobowe: Każda informacja pozwalająca zidentyfikować konkretną osobę fizyczną, bezpośrednio (imię i nazwisko) lub pośrednio (np. przez numer, adres IP, cechę fizyczną).
- Imię i nazwisko
- Adres e-mail i numer telefonu
- Adres zamieszkania
- Numer PESEL, NIP, numer dowodu
- Adres IP przypisany do konkretnej osoby
- Wizerunek na zdjęciu lub nagraniu
- Dane lokalizacyjne z telefonu służbowego
Dane szczególnej kategorii (dawniej 'dane wrażliwe'): Dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność związkową, a także dane genetyczne, biometryczne (do jednoznacznej identyfikacji), dotyczące zdrowia lub życia seksualnego i orientacji seksualnej. Wymagają wyższego poziomu ochrony niż dane zwykłe.
Dane o wyrokach skazujących i naruszeniach prawa (art. 10 RODO) traktuje się z podobną ostrożnością co dane szczególnej kategorii, choć formalnie stanowią odrębną grupę.
Dane zwykłe
- Imię, nazwisko, e-mail służbowy
- Stanowisko, dział
- Numer telefonu firmowego
- Zwykła ochrona zgodna z zasadami art. 5
Dane szczególnej kategorii
- Informacja o chorobie lub L4
- Przynależność do związku zawodowego
- Wyznanie ujawnione np. przez dietę na firmowym cateringu
- Dodatkowe warunki przetwarzania i wyższy standard zabezpieczeń
Łatwo przeoczyć, że dane szczególnej kategorii pojawiają się w zwykłych, biurowych sytuacjach: lista alergii i diet na firmowe spotkanie może ujawniać religię, zwolnienie lekarskie przekazane e-mailem ujawnia stan zdrowia, zdjęcie z eventu może być daną biometryczną, jeśli służy do jednoznacznej identyfikacji.
| Sytuacja biurowa | Jaką kategorię danych ujawnia |
|---|---|
| Lista diet/alergii na firmowe wigilie | Może ujawniać przekonania religijne lub stan zdrowia |
| Zwolnienie lekarskie przekazane HR | Dane o zdrowiu |
| Zdjęcie grupowe z eventu firmowego | Wizerunek, ewentualnie dane biometryczne przy technologii rozpoznawania twarzy |
| Informacja o urlopie związkowym | Przynależność związkowa |
Zapytaj: 'czy ta informacja mogłaby zaszkodzić komuś bardziej niż samo imię i nazwisko, np. przez dyskryminację albo napiętnowanie?'. Jeśli tak, prawdopodobnie masz do czynienia z daną szczególnej kategorii.
Pseudonimizacja (np. zastąpienie imienia numerem klienta w bazie) nadal pozwala odtworzyć tożsamość przy dostępie do klucza, więc to nadal dane osobowe. Pełna anonimizacja, bez możliwości odwrócenia, wyłącza dane spod RODO.
Podstawy prawne: zgoda czy uzasadniony interes
na egzaminieKażde przetwarzanie danych osobowych musi mieć podstawę prawną. W pracy biurowej najczęściej spotkasz zgodę i uzasadniony interes, ale to nie jedyne opcje i nie zawsze najlepszy wybór.
- Zgoda osoby, której dane dotyczą
- Wykonanie umowy z tą osobą (lub działania przed jej zawarciem)
- Obowiązek prawny ciążący na administratorze
- Ochrona żywotnych interesów (np. zagrożenie życia)
- Wykonanie zadania realizowanego w interesie publicznym
- Uzasadniony interes administratora lub strony trzeciej
Zgoda: Dobrowolna, świadoma, konkretna i jednoznaczna decyzja osoby. Musi być tak samo łatwa do wycofania, jak do wyrażenia, w każdej chwili, bez podawania powodu.
Uzasadniony interes: Podstawa pozwalająca przetwarzać dane bez zgody, gdy interes administratora (np. bezpieczeństwo, marketing bezpośredni do istniejących klientów) przeważa nad prawami i wolnościami osoby, po przeprowadzeniu testu równowagi.
Zgoda pracownika na przetwarzanie jego danych w sprawach kadrowych bywa prawnie wątpliwa: relacja pracodawca-pracownik jest nierówna, więc trudno uznać zgodę za w pełni dobrowolną. Dlatego w HR podstawą jest zwykle umowa o pracę lub obowiązek prawny, nie zgoda.
- Rozpoznaj cel przetwarzania Po co w ogóle potrzebujesz tych danych?
- Sprawdź, czy to obowiązek prawny lub element umowy Np. wypłata wynagrodzenia, rozliczenia podatkowe, dostawa zamówionej usługi.
- Jeśli nie, rozważ uzasadniony interes Wymaga udokumentowanego testu równowagi wobec praw osoby, w razie wątpliwości pytaj IOD.
- Zgodę traktuj jako ostateczność Stosuj ją tam, gdzie nie ma innej podstawy, np. newsletter marketingowy do osoby spoza bazy klientów.
| Scenariusz | Właściwa podstawa prawna |
|---|---|
| Wypłata wynagrodzenia i rozliczenia ZUS/US | Obowiązek prawny i wykonanie umowy o pracę |
| Newsletter marketingowy do osoby prywatnej spoza klientów | Zgoda |
| Monitoring wizyjny w biurze dla bezpieczeństwa | Uzasadniony interes administratora |
| Przekazanie danych do sądu na żądanie | Obowiązek prawny |
Pytanie kontrolne: 'czy mogę to zrobić bez pytania o zgodę, bo wynika to z umowy albo przepisu?'. Jeśli tak, nie sięgaj po zgodę bez potrzeby, ona nakłada dodatkowy obowiązek (możliwość wycofania w każdej chwili).
Osoba może wycofać zgodę w dowolnym momencie, a wycofanie musi być tak samo proste jak jej wyrażenie, np. jednym kliknięciem w link, a nie przez wypełnianie formularza czy dzwonienie na infolinię.
- Prawo dostępu do swoich danych
- Prawo do sprostowania nieprawidłowych danych
- Prawo do usunięcia danych ("prawo do bycia zapomnianym")
- Prawo do ograniczenia przetwarzania
- Prawo do przenoszenia danych
- Prawo do sprzeciwu wobec przetwarzania
Codzienna higiena danych: e-mail, arkusze, wydruki, wideokonferencje
na egzaminieWiększość naruszeń danych w firmach to nie efekt ataku hakerskiego, tylko codziennej rutyny wykonanej odrobinę zbyt szybko: kliknięcia w złe pole, zostawionego wydruku, otwartego ekranu.
- Sprawdź pole odbiorców Do, DW i UDW mają różne skutki, wybierz świadomie.
- Użyj UDW dla grupy odbiorców zewnętrznych Żeby nie ujawnić im nawzajem swoich adresów i kontekstu.
- Zweryfikuj podpowiedzi autouzupełniania Program pocztowy często podpowiada podobne nazwisko, nie klikaj bezrefleksyjnie.
- Zabezpiecz załącznik z danymi wrażliwymi Hasło do pliku przekaż innym kanałem niż sam plik, np. SMS-em zamiast tym samym mailem.
Programy pocztowe podpowiadają adresy na podstawie kilku wpisanych liter, to jeden z najczęstszych powodów wysyłki maila z danymi osobowymi do zupełnie obcej osoby o podobnym nazwisku.
- Ogranicz dostęp do arkusza tylko do osób, które go faktycznie potrzebują
- Usuń zbędne kolumny (np. PESEL, adres) przed udostępnieniem komuś, kto ich nie potrzebuje
- Nie trzymaj kopii roboczych na prywatnym laptopie ani telefonie
- Pracuj na współdzielonym dysku firmowym z kontrolą dostępu, nie na lokalnym pulpicie
Zapomniany wydruk na drukarce ogólnodostępnej to jeden z najczęstszych, najbardziej banalnych sposobów ujawnienia danych osobowych, każdy przechodzący może go przeczytać albo zabrać.
- Drukuj tylko to, co naprawdę konieczne
- Odbieraj wydruk od razu, nie zostawiaj go na tacy drukarki
- Niszcz nieaktualne dokumenty w niszczarce, nie wyrzucaj do zwykłego kosza
- Stosuj zasadę czystego biurka: nic z danymi osobowymi nie leży na widoku po zakończeniu pracy
- Sprawdź listę uczestników zanim udostępnisz ekran z danymi klienta
- Zamknij powiadomienia e-mail/komunikatora przed udostępnieniem ekranu
- Nie nagrywaj spotkania bez poinformowania uczestników
- Usuwaj nagrania po ustalonym w firmie okresie, nie trzymaj ich bezterminowo na dysku
Skrót Windows+L (lub Cmd+Ctrl+Q na macOS) blokuje ekran w sekundę. To najprostsze zabezpieczenie przy każdym, nawet krótkim odejściu od biurka.
| Kanał | Typowe ryzyko | Zabezpieczenie |
|---|---|---|
| E-mail do wielu odbiorców | Ujawnienie adresów przez CC/DW | Użyj UDW/BCC |
| Arkusz współdzielony | Zbyt szerokie uprawnienia dostępu | Ogranicz dostęp, usuń zbędne kolumny |
| Wydruk | Pozostawiony na drukarce | Odbieraj od razu, niszcz po użyciu |
| Wideokonferencja | Udostępnienie ekranu niewłaściwej grupie | Sprawdź uczestników przed udostępnieniem |
Praca zdalna w pociągu czy kawiarni to realne ryzyko: ktoś obok może zobaczyć ekran (tzw. shoulder surfing) albo usłyszeć, jak omawiasz przez telefon dane konkretnego klienta.
Najczęstsze błędy pracowników (i jak ich unikać)
na egzaminiePoniższe błędy powtarzają się w każdej organizacji, niezależnie od branży. Znajomość ich nie chroni automatycznie, ale świadomość ryzyka to pierwszy krok do tego, by zwolnić na sekundę przed kliknięciem 'wyślij'.
CC (DW) zamiast BCC (UDW) przy wysyłce do wielu odbiorców zewnętrznych. Każdy widzi adresy e-mail (a czasem nazwiska i kontekst) wszystkich pozostałych.
W Wielkiej Brytanii (2016) klinika zdrowia seksualnego wysłała newsletter do grupy pacjentów w polu 'Do' zamiast 'UDW', ujawniając im nawzajem, że korzystają z usług związanych z HIV. Kara: 180 000 funtów. Mechanizm błędu jest identyczny w każdej dzisiejszej skrzynce pocztowej.
Wysyłka do niewłaściwego odbiorcy, najczęściej przez autouzupełnianie podobnego nazwiska albo skopiowanie złego adresu z historii korespondencji.
Zapomniany wydruk z danymi osobowymi na drukarce sieciowej, dostępny dla każdego, kto przechodzi obok.
Niezablokowany ekran komputera przy odejściu od biurka, nawet na chwilę, w otwartej przestrzeni biurowej lub w miejscu publicznym.
Oversharing w spotkaniach: omawianie szczegółowych danych osobowych klienta lub pracownika przy osobach postronnych, na open space, w windzie, w restauracji czy pociągu.
Korzystanie z prywatnej poczty, prywatnego pendrive'a lub chmury osobistej do przenoszenia danych firmowych, poza kontrolą i zabezpieczeniami firmy.
Nadawanie zbyt szerokich uprawnień do folderu czy arkusza 'dla wygody', zamiast dawać dostęp tylko osobom, które go faktycznie potrzebują.
| Błąd | Potencjalny skutek | Jak zapobiec |
|---|---|---|
| CC zamiast UDW | Ujawnienie adresów i kontekstu wszystkim odbiorcom | Zawsze UDW dla grupy zewnętrznej |
| Zły odbiorca maila | Wyciek danych do obcej osoby | Sprawdź adres przed wysłaniem, wyłącz ryzykowne autouzupełnianie |
| Wydruk na drukarce | Odczytanie/zabranie danych przez osoby trzecie | Odbieraj od razu, niszcz po użyciu |
| Niezablokowany ekran | Dostęp osoby nieuprawnionej do systemu | Blokuj ekran przy każdym odejściu |
| Oversharing w rozmowie | Ujawnienie danych osobom postronnym | Omawiaj szczegóły tylko w bezpiecznym miejscu |
Przed każdym kliknięciem 'wyślij' zadaj sobie pytanie: 'gdyby ten e-mail trafił do złej osoby, co by się stało?'. Jeśli odpowiedź cię niepokoi, sprawdź adresata jeszcze raz.
Naruszenie ochrony danych: pierwsze minuty się liczą
na egzaminieNaruszenie ochrony danych może przydarzyć się każdemu, nawet najbardziej uważnej osobie. To, co dzieje się w pierwszych minutach po jego zauważeniu, decyduje o skali szkody i o tym, czy firma zdąży wywiązać się z obowiązków prawnych.
Naruszenie ochrony danych osobowych: Zdarzenie prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych.
- Wysłanie e-maila z danymi do złego odbiorcy
- Zgubienie lub kradzież laptopa albo telefonu służbowego
- Kradzież lub zgubienie dokumentów papierowych
- Atak ransomware lub włamanie do systemu
- Przypadkowe upublicznienie pliku lub folderu (np. udostępnienie linku 'dla każdego')
- Nie usuwaj śladów ani dowodów Nie kasuj maila, nie formatuj dysku, nie próbuj 'zatrzeć' sytuacji.
- Zgłoś natychmiast przełożonemu i IOD Zgodnie z wewnętrzną procedurą firmy, nawet jeśli nie masz pewności, czy to na pewno naruszenie.
- Opisz fakty Co się stało, kiedy, jakich danych i ilu osób dotyczy, w miarę możliwości.
- Nie naprawiaj tego na własną rękę Np. nie proś sam odbiorcy o skasowanie maila zamiast zgłoszenia sprawy.
- Zachowaj poufność zdarzenia Nie nagłaśniaj sprawy na czacie ogólnym firmy, to nie plotka do rozpowszechnienia.
Administrator zgłasza naruszenie organowi nadzorczemu (w Polsce UODO) bez zbędnej zwłoki, co do zasady w ciągu 72 godzin od stwierdzenia naruszenia. Obowiązek nie powstaje tylko wtedy, gdy jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób (art. 33 ust. 1 RODO). Zgłoszenie jest więc regułą, a brak zgłoszenia wyjątkiem, który firma musi uzasadnić. Im później zgłosisz sprawę wewnątrz firmy, tym mniej czasu zostaje na analizę ryzyka i reakcję.
Jeśli naruszenie może powodować wysokie ryzyko naruszenia praw i wolności osoby (np. wyciek danych finansowych czy zdrowotnych), administrator zawiadamia tę osobę bez zbędnej zwłoki, a nie tylko organ nadzorczy (art. 34 ust. 1 RODO). Zawiadomienia nie wysyła się wyjątkowo, m.in. gdy dane były zaszyfrowane na tyle skutecznie, że ryzyko się nie zmaterializuje (art. 34 ust. 3).
Częsty błąd: pracownik próbuje 'po cichu' naprawić sytuację, np. dzwoni do przypadkowego odbiorcy z prośbą o skasowanie maila, zamiast zgłosić sprawę. To uniemożliwia firmie rzetelną ocenę ryzyka i dopełnienie obowiązków prawnych.
| Zdarzenie | Czy to naruszenie | Co zrobić |
|---|---|---|
| Mail z danymi klienta wysłany do złej osoby | Tak | Zgłoś natychmiast przełożonemu/IOD |
| Zgubiony telefon służbowy z dostępem do poczty | Tak | Zgłoś natychmiast, poproś IT o zdalne zablokowanie |
| Literówka we własnym imieniu w podpisie maila | Nie | Popraw, to nie dotyczy danych osobowych innej osoby |
| Podejrzany link w mailu phishingowym, w który kliknąłeś | Tak, potencjalnie | Zgłoś natychmiast do IT/IOD, nie czekaj na potwierdzenie szkody |
Zapamiętaj kolejność: ZATRZYMAJ się (nie zacieraj śladów), ZGŁOŚ od razu, ZANOTUJ fakty, nie naprawiaj SAM.
Zwykle to przełożony oraz IOD lub dedykowany adres (np. rodo@firma.pl / iod@firma.pl) wskazany w wewnętrznej procedurze zgłaszania incydentów. Jeśli nie znasz procedury, zapytaj HR lub dział bezpieczeństwa, zanim zdarzenie się przytrafi, nie w trakcie kryzysu.
Retencja danych: po co usuwać to, co już niepotrzebne
na egzaminieWiele osób myśli, że więcej zachowanych danych to więcej bezpieczeństwa. W rzeczywistości każda dodatkowa kopia i każdy rok ponad potrzebę to dodatkowe ryzyko i koszt, nie zabezpieczenie.
Zasada ograniczenia przechowywania: Dane osobowe można przechowywać w formie umożliwiającej identyfikację osoby tylko tak długo, jak jest to niezbędne do celów, dla których są przetwarzane (art. 5 ust. 1 lit. e RODO).
'Trzymajmy to na wszelki wypadek' to jedno z najczęstszych uzasadnień gromadzenia zbędnych danych, w praktyce zwiększa tylko zakres szkody w razie wycieku i utrudnia realizację praw osób (np. żądania usunięcia danych).
Standardowo firma przechowuje akta osobowe pracownika przez 10 lat, licząc od końca roku kalendarzowego, w którym ustał stosunek pracy (dla osób zatrudnionych po 1 stycznia 2019 r.). Dla starszych umów bywa to nawet 50 lat, chyba że pracodawca skrócił ten okres poprzez odpowiednie zgłoszenie do ZUS.
- Większy zakres szkody, jeśli dojdzie do naruszenia (więcej danych do wycieku)
- Trudniej spełnić żądanie usunięcia danych, gdy jest ich za dużo i są rozproszone
- Wyższe koszty przechowywania i zarządzania danymi
- Trudniej ustalić, który dokument jest aktualny, a który już nieaktualny
- Sprawdź, czy firma ma politykę retencji Jeśli nie wiesz, jak długo trzymać dany typ dokumentu, zapytaj IOD lub przełożonego.
- Oznaczaj dokumenty datą i celem Ułatwia to później ocenę, czy dana informacja jest jeszcze potrzebna.
- Usuwaj lub anonimizuj po zakończeniu celu Gdy cel przetwarzania (np. rekrutacja) się zakończył, a nie ma podstawy do dalszego przechowywania.
- Nie twórz prywatnych kopii 'na zapas' Dane trzymane poza systemem firmowym omijają kontrolę dostępu i harmonogram czyszczenia.
| Typ danych | Orientacyjny moment usunięcia |
|---|---|
| CV kandydatów, którzy nie zostali zatrudnieni | Zwykle krótko po zakończeniu rekrutacji, chyba że wyrazili zgodę na przyszłe rekrutacje |
| Faktury i dokumenty księgowe | Zgodnie z ustawowym okresem przechowywania dokumentacji podatkowo-księgowej |
| Akta osobowe pracownika | 10 lat po ustaniu zatrudnienia (dla zatrudnionych po 2019 r.) |
| Nagrania z monitoringu wizyjnego | Zwykle kilka tygodni, jeśli nie posłużyły do wyjaśnienia incydentu |
Pytanie kontrolne przy każdym folderze i arkuszu: 'czy nadal potrzebuję tych danych do celu, dla którego je zebrałem? Jeśli nie, czas je usunąć lub zanonimizować.'
Minimalizacja danych dotyczy tego, ile danych zbierasz na starcie. Ograniczenie przechowywania dotyczy tego, jak długo je trzymasz później. Obie zasady działają razem, ale to dwie różne decyzje.
Chomikowanie kopii danych w prywatnej skrzynce mailowej albo na pulpicie 'bo tak szybciej znajdę', zamiast w systemie firmowym z kontrolą dostępu i regulaminem czyszczenia, to częsty, niepozorny sposób łamania zasady ograniczenia przechowywania.
Inspektor Ochrony Danych (IOD) i gdzie szukać pomocy
na egzaminieNie musisz znać RODO na pamięć, musisz wiedzieć, do kogo pójść z wątpliwością, zanim błąd się wydarzy, a nie dopiero po fakcie.
Inspektor Ochrony Danych (IOD, ang. DPO): Osoba wyznaczona w organizacji do monitorowania zgodności z RODO, doradzania administratorowi i pracownikom oraz pełnienia funkcji punktu kontaktowego dla organu nadzorczego i osób, których dane dotyczą.
- Gdy jest organem lub podmiotem publicznym (poza sądami w zakresie ich działalności orzeczniczej)
- Gdy podstawowa działalność wymaga regularnego i systematycznego monitorowania osób na dużą skalę
- Gdy podstawowa działalność polega na przetwarzaniu na dużą skalę danych szczególnej kategorii lub danych o wyrokach karnych
IOD raportuje bezpośrednio do najwyższego kierownictwa firmy, nie może otrzymywać poleceń co do sposobu wykonywania swoich zadań, nie może być karany ani zwalniany za ich wykonywanie, i nie powinien mieć konfliktu interesów (np. jednocześnie decydować o celach przetwarzania danych).
- Informowanie i doradzanie administratorowi oraz pracownikom w zakresie obowiązków RODO
- Monitorowanie przestrzegania przepisów i wewnętrznych polityk
- Bycie punktem kontaktowym dla UODO
- Bycie punktem kontaktowym dla pracowników, klientów i kandydatów w sprawach ich danych
- Doradztwo przy ocenie skutków dla ochrony danych (DPIA) dla ryzykownych procesów
- Masz wątpliwość co do zgodności działania z RODO Np. czy możesz przekazać dane klienta partnerowi biznesowemu.
- Podejrzewasz naruszenie Nawet drobne, lepiej zgłosić niepotrzebnie niż przemilczeć realne ryzyko.
- Ktoś zgłasza żądanie dotyczące swoich danych Np. prośbę o wgląd, poprawienie lub usunięcie danych.
- Planujesz nowy proces lub narzędzie na dużą skalę Np. nowy system CRM, nowe narzędzie do monitorowania pracy.
Urząd Ochrony Danych Osobowych (UODO) to krajowy organ, do którego administrator zgłasza poważne naruszenia, a osoby fizyczne mogą kierować skargi dotyczące przetwarzania ich danych.
| Sytuacja | Kto pomaga w pierwszej kolejności |
|---|---|
| Podejrzenie wycieku danych | Przełożony i IOD/zespół bezpieczeństwa, natychmiast |
| Pytanie, czy mogę wysłać dane do zewnętrznego partnera | IOD lub dział prawny |
| Awaria systemu z danymi osobowymi | Dział IT, następnie IOD jeśli doszło do naruszenia |
| Klient pyta, jakie dane firma o nim ma | Zgłoś do IOD lub wyznaczonego kanału obsługi żądań |
Zasada kciuka: 'w razie wątpliwości, pytaj zanim klikniesz, nie tłumacz się później'. IOD woli dziesięć niepotrzebnych pytań niż jedno przemilczane naruszenie.
Bardzo częsty problem: pracownicy nie wiedzą, kto jest IOD w ich firmie ani jak się z nim skontaktować, więc w razie wątpliwości nikogo nie pytają i podejmują decyzję na własną rękę. Sprawdź dziś, zanim będzie to pilne.
Sprawdź się
20 z 24 pytań, losowo, z wyjaśnieniem po każdym. Wynik zostaje na tym urządzeniu.
Rozpocznij quiz