Komponent przetwarzania danych
W tym wydaniu RODO Informatora piszemy, wydawałoby się, o oczywistościach. Tymczasem w praktyce zdarza się, że właściciele procesów biznesowych, nawet mając dostępne wsparcie prawnika „od RODO” nie zauważają w danej umowie komponentu przetwarzania danych, ostatecznie rezygnując z angażowania takiego prawnika w proces opiniowana umowy, w szczególności, gdy stanowi to dodatkowy koszt dla firmy. To błąd. Nie wystarczy bowiem, że w umowie (albo innym dokumencie związanym z podlegającym Ci procesem) nie ma słów „RODO” albo „dane osobowe”, żeby nie miał on znaczenia dla kwestii zgodności z RODO.
Szukaj komponentu przetwarzania danych w dokumentach i procesach
Sytuacje, kiedy na umowę / dokument powinien zerknąć ktoś „od RODO”, bywają nieoczywiste.
Przykład: jesteś osobą odpowiedzialną w firmie za wdrożenie rozwiązania służącego pracownikom do zgłaszania problemów, marnotrawstw oraz pomysłów na usprawnienia w miejscu pracy. Służy to celom Twojej firmy, ale żeby zgłosić problem, pracownicy muszą zalogować się na zewnętrznej platformie. Zapewne myślisz, że skoro Twoja firma nie przekazuje żadnych danych pracowników do tej zewnętrznej platformy, temat RODO nie wchodzi w grę. Nawet nie informujesz o tym IOD-a. Dopiero po jakimś czasie od wprowadzenia rozwiązania wpadasz na pomysł, żeby zorganizować konkurs na najwięcej zgłoszonych pomysłów. Wyłuskujesz zwycięzców, chcesz ich ogłosić całej załodze, pytasz IOD-a czy to zgodne z RODO. Wówczas pojawiają się różne, niespodziewane pytania ze strony IOD-a, np. jak z dostawcą platformy została zawarta umowa („klasycznie” czy poprzez akceptację regulaminu usługi), jak zostały uregulowane kwestie kto jest kim w procesie przetwarzania danych pracowników zgłaszających problemy – czy platforma jest podmiotem przetwarzającym czy odrębnym administratorem tych danych. Pytania Cię dziwią, bo przecież platforma sama „zbiera” dane pracowników Twojej firmy zgłaszających problemy, poza tym służy „tylko” do zgłaszania problemów, a nie do przetwarzania „prawdziwych” danych osobowych jak np. numer PESEL. Zatem informujemy, że w opisanej sytuacji była konieczna wcześniejsza konsultacja z prawnikiem „od RODO” albo z IOD-em, zanim Twoja firma zaczęła korzystać z nowej platformy.
Inny przykład: w umowie z klientem może też np. zdarzyć się postanowienie, kiedy to klient żąda wcześniejszego podania numerów dowodów wszystkich kierowców, którzy mają fizycznie dostarczać sprzedany przez Twoją firmę produkt do jego siedziby. Wydaje Ci się, że to OK, w końcu oni wjeżdżają na teren klienta. Czy aby na pewno? Jakiemu celowi to służy i czy udostępnienie takich danych jest adekwatne do realizowanego przez tego klienta celu? To znowu kwestia do rozważania przez kogoś „od RODO”. Twoja firma dostarcza rękawice robocze do automatów w budynku klienta i przy okazji będzie miała dostęp do informacji, że Jan Kowalski pobiera np. 3 pary rękawic w ciągu tygodnia? To też kwestia do przeanalizowania przez prawnika/IOD-a.
Najważniejsze – mieć jasność kto jest kim
Kiedy już wyłuskasz ten komponent przetwarzania danych w podlegających Ci dokumentach i procesach, pamiętaj, że najważniejsza kwestia to pełna jasność, kto jest kim w zakresie czyich danych osobowych. To zawsze powinno być „łopatologicznie” wskazane, tak żeby nie były potrzebne żadne interpretacje. Dlaczego to takie ważne? Dlatego, że za statusem administratora „idą” określone obowiązki, a za statusem podmiotu przetwarzającego „idą” inne obowiązku. Precyzyjny podział jest niezbędny, aby w przyszłości nie dochodziło do żadnych sporów na tym tle w sytuacjach „kryzysowych”, jak naruszenie ochrony danych czy konieczność realizacji wniosku/żądania z RODO, np. w zakresie dostarczenia kopii danych czy ich usunięcia. Nie jesteś prawnikiem, nie znasz się na RODO? Jeśli masz wsparcie prawnika „od RODO” w firmie, to, że sam nie znasz RODO, w pewnym sensie będzie Twoim atutem. Możesz ocenić pracę prawnika chłodnym, nieprawniczym okiem i przed wysłaniem zaopiniowanej przez niego umowy do potencjalnego kontrahenta Twojej firmy samemu przekonać się, czy kwestia tego kto jest administratorem czyich danych, a kto jest „tylko” podmiotem przetwarzającym, jest dla Ciebie jasna. Jeśli dla Ciebie jako nie-prawnika nie jest to jasne, wróć z dokumentem do obsługującego Twoją firmę prawnika i poproś o wyjaśnienia lub uzupełnienie umowy. Takie kwestie powinny być bowiem zawsze opisane „czarno na białym”, tak aby każdy właściciel procesu je rozumiał.
Nie rozumiesz kto jest czego administratorem lub podmiotem przetwarzającym – walcz do końca
Pamiętaj, czasem w ferworze ustalania szczegółów bywa, że zapomina się o sprawach podstawowych. Jako właściciel procesu biznesowego nie odpuszczaj i walcz o jasne zapisy w tej materii, bo jak pojawią się kłopoty, to Ty będziesz prawdopodobnie na pierwszej linii RODO-frontu.