RODO w małej firmie: jakie obowiązki masz NAPRAWDĘ spełnić

Jeśli prowadzisz jednoosobową działalność albo małą firmę i na samą myśl o RODO masz gęsią skórkę — mam dla Ciebie dobrą wiadomość. Nie musisz zatrudniać prawnika ani inspektora ochrony danych, żeby działać zgodnie z przepisami. W większości małych firm realne obowiązki RODO da się ogarnąć w jeden, dwa dni pracy. Problem w tym, że internet straszy karami sięgającymi 20 mln euro, a rzeczywistość wygląda zupełnie inaczej.

W tym wpisie pokażę Ci konkretnie, co musisz zrobić, czego robić nie musisz (mimo że ktoś Ci to wmawiał) i jak wyglądają realne przypadki kontroli oraz kar. Bez prawniczego żargonu, za to z przykładami.

RODO w firmie — od czego naprawdę zależą Twoje obowiązki

Pierwszy mit, który warto obalić: RODO nie traktuje jednakowo sklepu spożywczego na rogu i międzynarodowej korporacji. Skala obowiązków zależy od tego, ile danych przetwarzasz, jak wrażliwe są to dane i jakie ryzyko niesie ich przetwarzanie.

Jeśli prowadzisz np. zakład fryzjerski i masz dane kontaktowe klientów w kalendarzu rezerwacji — Twoje obowiązki są minimalne. Jeśli prowadzisz przychodnię i przetwarzasz dane o stanie zdrowia (tzw. dane wrażliwe), poprzeczka jest wyżej.

Czy w ogóle podlegasz pod RODO?

Tak — jeśli przetwarzasz jakiekolwiek dane osobowe osób fizycznych. A robisz to praktycznie zawsze, gdy:

• masz bazę klientów lub kontrahentów (imię, nazwisko, e-mail, telefon, NIP osoby fizycznej),
• zatrudniasz pracowników lub współpracowników,
• prowadzisz newsletter albo zbierasz zapisy przez formularz,
• nagrywasz monitoring w lokalu.

Pod RODO nie podlega przetwarzanie danych wyłącznie w celach osobistych lub domowych — ale to nie dotyczy działalności gospodarczej.

Obowiązki RODO, które musisz spełnić naprawdę

Przejdźmy do konkretów. Oto lista realnych zadań dla typowej małej firmy.

1. Ustal podstawę prawną przetwarzania

Każde przetwarzanie danych musi mieć podstawę. Najczęstsze w małej firmie to:

• wykonanie umowy — np. realizacja zamówienia klienta,
• obowiązek prawny — np. wystawienie faktury i przechowywanie jej 5 lat,
• uzasadniony interes — np. dochodzenie roszczeń,
• zgoda — np. zapis na newsletter marketingowy.

Nie musisz zbierać zgody na wszystko. To częsty błąd — przedsiębiorcy proszą o zgodę nawet tam, gdzie podstawą jest umowa. Klient kupujący Twój produkt nie musi wyrażać zgody na przetwarzanie jego adresu do wysyłki.

2. Przygotuj klauzulę informacyjną (obowiązek informacyjny)

To jeden z niewielu obowiązków, którego naprawdę nie da się pominąć. Musisz poinformować osobę, której dane zbierasz, m.in. o tym:

• kto jest administratorem danych (Ty / Twoja firma),
• w jakim celu i na jakiej podstawie przetwarzasz dane,
• jak długo je przechowujesz,
• jakie prawa przysługują tej osobie.

W praktyce to po prostu polityka prywatności na stronie oraz krótka informacja przy formularzach. To podstawa ochrony danych osobowych w każdej firmie.

3. Zadbaj o bezpieczeństwo danych

RODO nie narzuca konkretnych technologii. Wymaga jednak „odpowiednich środków”. Dla małej firmy oznacza to zazwyczaj:

• hasła do komputerów i kont (najlepiej menedżer haseł),
• kopie zapasowe ważnych danych,
• aktualne oprogramowanie antywirusowe i system,
• brak przechowywania danych klientów na prywatnym, nieszyfrowanym pendrive,
• ograniczenie dostępu — pracownik widzi tylko to, co potrzebne.

4. Podpisz umowy powierzenia (gdy korzystasz z usług zewnętrznych)

Korzystasz z biura rachunkowego, systemu do fakturowania w chmurze, narzędzia do mailingu albo hostingu? Te firmy przetwarzają dane w Twoim imieniu. Potrzebujesz z nimi umowy powierzenia przetwarzania danych. Dobra wiadomość: większość takich dostawców (np. systemy fakturowe czy mailingowe) ma gotowy wzór dostępny w panelu — wystarczy go zaakceptować.

5. Prowadź rejestr czynności przetwarzania (RCPD)

To prosty dokument — często w formie tabeli — opisujący, jakie dane, w jakim celu i jak długo przetwarzasz. Małe firmy nie zawsze muszą go prowadzić, ale w praktyce warto, bo porządkuje cały temat i przydaje się podczas ewentualnej kontroli.

Czego NIE musisz robić (a często Ci to wmawiają)

Tu zaczynają się oszczędności czasu i nerwów.

• Nie musisz powoływać Inspektora Ochrony Danych (IOD) — obowiązek dotyczy m.in. podmiotów przetwarzających dane na dużą skalę lub dane wrażliwe systematycznie. Zwykła firma usługowa czy sklep tego nie potrzebuje.
• Nie musisz zgłaszać bazy danych do żadnego rejestru — obowiązek rejestracji zbiorów zniknął wraz z wejściem RODO w 2018 roku.
• Nie musisz kupować drogich „certyfikowanych” pakietów dokumentów za tysiące złotych — w większości przypadków wystarczy kilka dobrze przygotowanych dokumentów.

Case study: trzy realne sytuacje

Przypadek 1: sklep internetowy bez polityki prywatności

Mały sklep z rękodziełem działał rok bez polityki prywatności i bez klauzul przy formularzach. Po skardze jednego z klientów Urząd Ochrony Danych Osobowych (UODO) wszczął postępowanie. Kara? Brak. Urząd wystosował upomnienie i nakaz uzupełnienia dokumentacji w wyznaczonym terminie. Wniosek: przy pierwszym, drobnym uchybieniu UODO częściej edukuje niż karze — ale tylko jeśli reagujesz.

Przypadek 2: wyciek danych z e-maila

Firma szkoleniowa wysłała newsletter do 200 osób, wpisując adresy w pole „DO” zamiast „UDW”. Wszyscy odbiorcy zobaczyli swoje adresy nawzajem. To naruszenie ochrony danych osobowych. Firma w ciągu 72 godzin zgłosiła incydent do UODO i poinformowała poszkodowanych. Dzięki szybkiej reakcji sprawa zakończyła się bez kary finansowej. Gdyby zataili incydent — konsekwencje byłyby znacznie poważniejsze.

Przypadek 3: monitoring w lokalu bez informacji

Właściciel kawiarni zamontował kamery, ale nie umieścił tabliczek informujących o monitoringu ani nie zaktualizował polityki. Po kontroli musiał wprowadzić oznaczenia i poprawić dokumentację. Koszt zaniedbania to głównie czas i stres — kary uniknął, bo szybko dostosował się do zaleceń.

Wniosek z tych przypadków jest jeden: kary rzędu milionów euro dotyczą wielkich firm i rażących, świadomych naruszeń. Mała firma, która działa w dobrej wierze i reaguje na uwagi, ryzykuje przede wszystkim upomnieniem i obowiązkiem poprawy.

RODO krok po kroku — Twoja lista kontrolna

Jeśli chcesz uporządkować temat RODO w firmie, zrób to po kolei:

• Spisz, jakie dane i od kogo zbierasz.
• Przypisz każdemu zbiorowi podstawę prawną.
• Przygotuj politykę prywatności i klauzule informacyjne.
• Podpisz umowy powierzenia z dostawcami usług.
• Zabezpiecz technicznie dostęp do danych.
• Opracuj prostą procedurę na wypadek wycieku (kto, co, w jakim czasie zgłasza).

Jeśli interesują Cię również inne obowiązki formalne towarzyszące prowadzeniu działalności, zajrzyj do naszych pozostałych poradników prawnych dla przedsiębiorców — znajdziesz tam praktyczne omówienia umów, faktur i obowiązków wobec urzędów. Warto też sprawdzić nasze wpisy o prawach konsumenta w e-commerce, które ściśle łączą się z tematyką ochrony danych w sklepach internetowych.

Podsumowanie: RODO to porządek, nie postrach

Ochrona danych osobowych w małej firmie sprowadza się do kilku rozsądnych nawyków: wiedz, jakie dane masz, informuj o tym ludzi, zabezpiecz te dane i reaguj, gdy coś pójdzie nie tak. To nie biurokratyczny koszmar, tylko higiena prowadzenia biznesu, która buduje też zaufanie klientów.

Nie odkładaj tego „na później”. Poświęć jedno popołudnie, przejdź przez listę kontrolną powyżej i zyskaj spokój. A jeśli masz wątpliwości dotyczące konkretnej sytuacji w swojej działalności — skonsultuj ją ze specjalistą, zanim pojawi się problem. Lepiej zapłacić za godzinę porady niż za wieloletni stres.