RODO w dokumentach firmowych: co wolno skanowac, wysylac i trzymac w chmurze

Które dokumenty w firmie RODO uznaje za obowiązkowe, a które są „na wszelki wypadek”?

Największy błąd, jaki widzę w firmach, to traktowanie RODO jak wyścigu o to, kto uzbiera więcej dokumentów. Tymczasem rozporządzenie wcale nie narzuca jednej, zamkniętej listy papierów, które musisz mieć na półce. Jest aktem elastycznym i nie wskazuje wprost, że konkretna polityka ochrony danych to dokument obowiązkowy. Zamiast tego wymaga, żebyś udowodnił, że faktycznie chronisz dane, które zbierasz.

Z tego powodu fundamentem są trzy rzeczy, o których istnieniu nie ma dyskusji. Jako administrator danych masz obowiązek prowadzić rejestr czynności przetwarzania, czyli spis tego, jakie dane i w jakim celu przetwarzasz. Do tego dochodzi ewidencja osób upoważnionych oraz samo upoważnienie, które nadajesz każdemu pracownikowi mającemu styczność z danymi. Podpisany dokument ląduje w aktach osobowych i stanowi dowód, że wiesz, kto w twojej firmie dotyka jakich informacji.

Drugi filar to obieg dokumentów na zewnątrz. Jeśli przekazujesz dane podmiotowi zewnętrznemu, np. firmie księgowej albo hostingowej, musisz to zrobić dopiero po zawarciu umowy powierzenia przetwarzania danych. Ten obowiązek nie zależy od tego, jak wygląda wasza współpraca: czy to jednorazowa usługa, czy stały kontrakt. Dopóki nie ma podpisanej umowy powierzenia, dane nie powinny w ogóle opuścić twojej organizacji.

Trzeci element to komunikacja z ludźmi, od których dane zbierasz. W każdej sytuacji, gdy pozyskujesz dane od osoby fizycznej, musisz podać jej wszystkie informacje z art. 13 RODO, czyli wypełnić obowiązek informacyjny. To ten dokument, który widzisz przy ogłoszeniu o pracę na stronie internetowej albo w formularzu zapisu do newslettera. Bez niego nawet najprostsza zbiórka danych stoi na chwiejnych podstawach.

Reszta, czyli polityka bezpieczeństwa, polityka haseł czy polityka czystego biurka, to dokumenty, które RODO traktuje jako narzędzia, a nie cel sam w sobie. Najmniejsze podmioty mogą z nich zrezygnować, ale duża organizacja potrzebuje ich do wykazania zgodności. Traktuj je jak ubezpieczenie: nie musisz go mieć, dopóki coś się nie wydarzy, ale wtedy bez niego jesteś bezbronny.

Jak bezpiecznie skanować dokumenty pracowników i klientów, żeby nie złamać RODO?

Skanowanie dokumentów pracowników i klientów to codzienność w każdym biurze. Problem zaczyna się, gdy zeskanowany plik ma trafić do chmury albo zostać wysłany mailem. Zanim klikniesz "wyślij", sprawdź, czy w Twojej firmie obowiązuje upoważnienie do przetwarzania danych dla osoby, która ten skan obsługuje. Jako administrator danych masz obowiązek nadać je każdemu, kto ma dostęp do danych osobowych, i przechowywać podpisany dokument w aktach pracownika.

Kluczowe jest też rozróżnienie, co dokładnie skanujesz. Dane o stanie zdrowia to szczególna kategoria, która wymaga podwyższonej ochrony prawnej i większej ostrożności niż zwykłe dokumenty kadrowe. W takiej sytuacji samo zeskanowanie i wrzucenie pliku do firmowego folderu nie wystarczy. Musisz zadbać, żeby plik był odpowiednio zabezpieczony, a dostęp do niego miały tylko osoby z ważnym upoważnieniem.

Jeśli wysyłasz skany do zewnętrznej firmy, np. do biura rachunkowego, pamiętaj o umowie powierzenia przetwarzania danych. Przekazanie danych podmiotowi przetwarzającemu jest możliwe dopiero po jej zawarciu, niezależnie od tego, jaką formę współpracy wybierzesz. Samo wysłanie maila z załącznikiem bez takiej umowy to naruszenie obowiązków administratora.

Na koniec zadbaj o dokumentację. Prowadzenie rejestru czynności przetwarzania to obowiązek administratora, ale nie musisz od razu tworzyć rozbudowanej polityki ochrony danych. RODO nie wymaga zakupu żadnego specjalnego sprzętu, a w najmniejszych firmach wystarczą podstawowe procedury. Najważniejsze, żebyś potrafił wykazać, że kontrolujesz obieg dokumentacji i wiesz, kto i w jakim celu przetwarza dane w Twojej organizacji.

Czy mogę trzymać firmowe akta w chmurze, czy muszę wrócić do szafy pancernej?

RODO nie każe ci wybierać między chmurą a szafą pancerną. Rozporządzenie w ogóle nie narzuca konkretnego sprzętu ani mebli, więc nikt nie zmusi cię do powrotu do papierowych segregatorów, jeśli wolisz cyfrowy obieg dokumentów. Najważniejsze jest co innego: prawidłowy obieg dokumentacji zawierającej dane wrażliwe klientów i pracowników. Innymi słowy, musisz wiedzieć, kto, kiedy i w jakim celu otwiera plik, niezależnie od tego, czy leży on na serwerze, czy w biurku. Chmura to tylko narzędzie, a RODO ocenia twoje procedury, nie półkę na dysku. Zanim przeniesiesz akta do chmury, sprawdź dwie rzeczy. Po pierwsze, czy dostawca usługi to podmiot przetwarzający, z którym podpisałeś umowę powierzenia przetwarzania danych. Bez takiej umowy przekazanie danych do zewnętrznej firmy jest naruszeniem, nawet jeśli to tylko hosting na faktury. Po drugie, czy Twoi pracownicy mają nadane upoważnienia do przetwarzania danych i czy wiesz, kto ma dostęp do których folderów. Jeśli te dokumenty masz w porządku, chmura nie różni się dla RODO od biurowej szafy. Jeśli ich nie masz, to nie chmura jest problemem, tylko brak ewidencji osób upoważnionych i rejestru czynności przetwarzania. Wdrożenie obowiązków wynikających z RODO to powinność każdej zarejestrowanej działalności gospodarczej, więc warto traktować to jako standard, a nie wyjątek.

Komu i na jakich zasadach mogę wysłać dokument z danymi osobowymi?

Najpierw ustal, kim jest odbiorca dokumentu. Jeśli to twój pracownik, który dostaje dostęp do danych w ramach obowiązków służbowych, musi podpisać upoważnienie. Ten dokument to dowód, że wiesz, kto i w jakim zakresie operuje danymi, a podpisany egzemplarz ląduje w aktach osobowych, jak podaje LexDigital. Sytuacja zmienia się, gdy dane wysyłasz na zewnątrz, na przykład do firmy księgowej albo dostawcy oprogramowania. Zanim cokolwiek przekażesz, musi powstać umowa powierzenia przetwarzania danych. Bez niej nie masz prawa wysłać ani jednego pliku, niezależnie od tego, czy współpracę zaczynasz od maila, czy od wielostronicowego kontraktu. To obowiązek, który ciąży na tobie jako administratorze danych. Zanim w ogóle zaczniesz wysyłać, sprawdź, czy twoja dokumentacja RODO jest kompletna. Podstawą jest rejestr czynności przetwarzania, czyli spis tego, jakie dane trzymasz i po co. Do tego dochodzi polityka bezpieczeństwa, która opisuje, jak chronisz te informacje przed osobami nieupoważnionymi. RODO nie narzuca konkretnego sprzętu ani producentów, więc nie musisz niczego kupować, ale musisz mieć opisane procedury i się do nich stosować.

Co musi znaleźć się w umowie z firmą, która skanuje lub przechowuje moje dokumenty?

Umowa powierzenia to dokument, bez którego nie oddasz żadnych dokumentów firmie zewnętrznej. RODO wymaga, żebyś zawarł ją zanim podmiot przetwarzający w ogóle dotknie Twoich danych, i to niezależnie od tego, czy współpracujecie na podstawie umowy cywilnoprawnej, czy zwykłego zlecenia. Chodzi o to, żeby wprost określić, komu, jakie dane i w jakim celu przekazujesz. W umowie musi być jasno napisane, jakie konkretnie czynności wykonuje firma skanująca lub przechowująca dokumenty. Czy tylko skanuje, czy też indeksuje i przechowuje? To Ty, jako administrator danych, wyznaczasz zakres i cel przetwarzania, a firma zewnętrzna nie może wyjść poza Twoje polecenie. Bez takiego zapisu nie masz kontroli nad tym, co dzieje się z danymi Twoich klientów i pracowników. Pamiętaj też o upoważnieniach. Każda osoba, która fizycznie obsługuje Twoje dokumenty, musi mieć udokumentowane upoważnienie do przetwarzania danych. To działa w obie strony: Ty musisz mieć ewidencję osób upoważnionych u siebie, a firma zewnętrzna powinna mieć podobne dokumenty dla swoich pracowników. W praktyce warto poprosić o potwierdzenie, że takie upoważnienia istnieją, zanim podpiszesz umowę. Na koniec sprawdź, czy umowa zawiera obowiązek informacyjny i procedury na wypadek naruszenia. Chodzi o to, żeby firma zewnętrzna miała obowiązek poinformować Cię o każdym incydencie, a Ty, jako administrator, mógł zareagować zgodnie z procedurami. To nie jest martwy przepis, tylko realna ochrona: jeśli coś się stanie, Ty odpowiadasz przed klientem, więc musisz wiedzieć o problemie pierwszy.

Od czego zacząć porządki z dokumentacją RODO, żeby nie utonąć w papierach?

Zacznij od jednego dokumentu, nie od całej biblioteczki. Najlepszym punktem wyjścia jest rejestr czynności przetwarzania, bo wymaga go art. 30 RODO, a przy okazji zmusza cię do spisania, jakie dane w ogóle trzymasz. Bez tej listy nie wiesz, co masz chronić, komu nadać upoważnienia i jakich umów potrzebujesz.

1. Spisz wszystkie miejsca, w których przechowujesz dane osobowe: skrzynka mailowa, dysk, segregator, system kadrowy.
2. Do każdego miejsca dopisz, jakie dane tam trafiają i w jakim celu, np. dane klientów do fakturowania albo dane pracowników do list płac.
3. Na tej podstawie ustal, które dokumenty musisz przygotować w pierwszej kolejności, np. politykę bezpieczeństwa, klauzule informacyjne i wzory upoważnień.
4. Nadaj upoważnienia do przetwarzania danych każdej osobie, która ma dostęp do tych zbiorów, i przechowuj podpisane dokumenty w aktach pracownika.
5. Sprawdź, z którymi podmiotami zewnętrznymi dzielisz się danymi, i podpisz z nimi umowy powierzenia przetwarzania.
6. Ustal procedurę na wypadek naruszenia, żeby wiedzieć, jak działać, zanim coś się wydarzy.

Nie musisz od razu kupować żadnego specjalnego sprzętu. RODO nie narzuca konkretnych producentów ani rozwiązań, więc spokojnie wykorzystasz to, co już masz. Najważniejsze jest co innego: prawidłowy obieg dokumentacji z danymi wrażliwymi klientów i pracowników. Chodzi o to, żeby wiadomo było, kto, kiedy i po co sięga po konkretny dokument.

Pamiętaj też o obowiązku informacyjnym. Za każdym razem, gdy zbierasz dane od osoby fizycznej, musisz jej powiedzieć, co z nimi robisz. Ten obowiązek dotyczy nawet ogłoszeń o pracę na twojej stronie. Wzory dokumentów RODO znajdziesz gotowe, ale dopasuj je do swojej firmy, bo samo wklejenie szablonu nie pokaże urzędowi, że faktycznie wdrożyłaś odpowiednie środki bezpieczeństwa.