Suma 403 milionów euro, jaką irlandzki organ ochrony danych (DPC), po ustaleniach z Europejską Radą Ochrony Danych, nakazał zapłacić gigantowi technologicznemu, robi wrażenie na każdym. Sprawa dotyczyła przetwarzania danych o lokalizacji oraz problemów z prawidłowym informowaniem użytkowników o tym, w jaki sposób ich dane są wykorzystywane. W tle pojawiły się również rozwiązania interfejsowe utrudniające świadome podjęcie decyzji dotyczącej prywatności.
Chociaż nagłówki skupiają się na korporacyjnym gigancie, mechanizm prawny pozostaje istotny również dla małych i średnich przedsiębiorstw. Lokalna firma może popełnić podobny błąd – choć konsekwencje finansowe będą oczywiście zależeć od skali naruszenia. Jakich problemów z RODO przedsiębiorcy powinni szczególnie pilnować?
Zgoda musi spełniać konkretne wymogi
Jednym z istotnych elementów sprawy dotyczącej danych o lokalizacji była kwestia sposobu uzyskiwania zgody użytkowników. Zgodnie z RODO zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna. Użytkownik powinien wiedzieć, na co dokładnie się zgadza, a wycofanie zgody nie może być trudniejsze niż jej udzielenie.
Przykładowo, w sklepach internetowych problematyczny może być formularz, w którym zgody marketingowe są domyślnie zaznaczone, połączone ze sobą albo przedstawione w sposób utrudniający zrozumienie ich zakresu. Jeśli użytkownik nie może łatwo odmówić określonego przetwarzania albo zgoda jest niejako „ukryta” w procesie zakupowym, konstrukcja może budzić poważne zastrzeżenia.
Dlatego przed wdrożeniem formularzy, banerów cookies czy mechanizmów marketingowych warto skonsultować ich działanie z osobą, która specjalizuje się w temacie ochrony danych. Kancelaria prawnicza z Bielska-Białej Faber Legal może pomóc przedsiębiorcy ocenić, czy sposób pozyskiwania zgód i informowania klientów odpowiada wymogom RODO. W takich sytuacjach prawnik RODO analizuje nie tylko samą treść klauzul, lecz także to, jak użytkownik faktycznie przechodzi przez cały proces.
Zbieranie danych bez wyraźnego celu
Kolejnym częstym problemem jest gromadzenie większej ilości danych, niż rzeczywiście potrzebuje firma. RODO wymaga, aby dane były adekwatne, stosowne i ograniczone do tego, co niezbędne do realizacji określonego celu.
Przedsiębiorca powinien więc wiedzieć, dlaczego zbiera konkretną informację, na jakiej podstawie prawnej ją przetwarza oraz jak długo zamierza ją przechowywać. Sam fakt, że określone dane mogą być przydatne w przyszłości, nie stanowi wystarczającego uzasadnienia do ich nieograniczonego gromadzenia.
Dokumentacja musi odpowiadać rzeczywistości
RODO opiera się również na zasadzie rozliczalności. Firma powinna być w stanie wykazać, że rzeczywiście przestrzega zasad ochrony danych.
W praktyce oznacza to konieczność uporządkowania m.in. rejestrów czynności przetwarzania, umów powierzenia, procedur realizacji praw osób, których dane dotyczą, zasad przechowywania informacji czy postępowania w razie naruszenia bezpieczeństwa.
Istotne jest przy tym, aby dokumenty odpowiadały rzeczywistym procesom zachodzącym w firmie. Nieaktualna polityka prywatności czy procedura przygotowana przed kilkoma laty nie rozwiąże problemu, jeśli przedsiębiorstwo w międzyczasie zmieniło narzędzia, zakres przetwarzanych danych lub sposób prowadzenia działań marketingowych.
W przypadku bardziej złożonych procesów wsparcie może zapewnić kancelaria specjalizująca się w zakresie RODO.
Chcesz częściej widzieć treści BNBN w Google?Dodaj nas do ulubionych źródełOd czego zależy wysokość kary?
Kara w wysokości 403 mln euro nie oznacza, że każda firma ryzykuje podobną kwotę. RODO przewiduje administracyjne kary pieniężne sięgające w najpoważniejszych przypadkach 20 mln euro albo 4 proc. całkowitego rocznego światowego obrotu przedsiębiorstwa – zastosowanie ma wyższa z tych kwot. Nie oznacza to jednak, że każda firma, która naruszy przepisy, zostanie ukarana w maksymalnym wymiarze.
Przy ustalaniu sankcji organ bierze pod uwagę m.in. charakter, wagę i czas trwania naruszenia, liczbę osób, których dotyczyło, zakres wyrządzonych szkód oraz działania podjęte przez administratora w celu ograniczenia skutków naruszenia. Znaczenie może mieć również to, czy przedsiębiorca wcześniej podejmował działania mające zapewnić zgodność z RODO.
Dla małej lub średniej firmy problemem może być nie tylko sama kara finansowa. Organ może również nakazać zmianę sposobu przetwarzania danych, ograniczyć określone operacje albo zobowiązać przedsiębiorcę do usunięcia stwierdzonych nieprawidłowości.
Największe ryzyko często powstaje w codziennych procesach
Przypadek dotyczący danych o lokalizacji pokazuje, że problemy z RODO mogą wynikać z pozornie zwyczajnych decyzji dotyczących sposobu zbierania i wykorzystywania informacji. Dla mniejszej firmy będzie to najczęściej formularz kontaktowy, baza klientów, newsletter, monitoring, cookies, system CRM czy dostęp pracowników do danych.
Warto regularnie sprawdzać, czy każdy z tych procesów ma określony cel i podstawę prawną, czy zakres zbieranych danych jest uzasadniony oraz czy użytkownik otrzymuje jasne informacje o ich przetwarzaniu. W razie wątpliwości konsultacja z kancelarią prawniczą pozwala zidentyfikować ryzyko na etapie projektowania rozwiązania, zamiast usuwać jego konsekwencje po interwencji organu nadzorczego.