Polityka ochrony danych osobowych

Polityka ochrony danych osobowych, która nazywana jest również polityką bezpieczeństwa danych osobowych czy polityką przetwarzania danych osobowych, to dokument opisujący stosowane w firmie procedury i standardy związane z ochroną danych osobowych. W praktyce powinien być on doskonale znany przedsiębiorcom, ponieważ nie jest to dokument, który wprowadziły przepisy RODO, czyli Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych.

Obowiązek tworzenia i posiadania tego typu dokumentacji istniał znacznie wcześniej i wynikał bezpośrednio z ustawy o ochronie danych osobowych z 1997 roku oraz Rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r., w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych. To właśnie w § 3 i § 4 wspomnianego rozporządzenia, określony został charakter oraz wytyczne do tworzenia polityki ochrony danych osobowych.

Polityka ochrony danych osobowych to dokument, którego warto tworzyć nie wyłącznie ze względu na zalecenia wynikające z obowiązujących przepisów prawa. Jego znaczenie jest bardzo duże, ponieważ stanowi on procedurę postępowania z danymi osobowymi, przedstawiając cały cykl ich życia w organizacji — począwszy od ich gromadzenia, poprzez przetwarzanie i aktualizowanie aż do usunięcia z bazy. W związku z tym polityka ochrony danych osobowych powinna być aktualizowana (np. wtedy, gdy zmieni się zakres lub sposób przetwarzania danych osobowych w firmie) i ogólnodostępna dla każdego pracownika, który ma jakikolwiek kontakt z danymi osobowymi. W tym miejscu należy wspomnieć także o tym, że polityka ochrony danych osobowych to dokument, który załącza się zwykle jako załącznik do głównego dokumentu Polityki przetwarzania danych osobowych w firmie. Zaliczany jest on do dokumentacji wewnętrznej pakietu RODO, w skład której wchodzi:

• polityka ochrony danych osobowych wraz z załącznikami;

• instrukcja zarządzania systemami informatycznymi wraz z załącznikami;

• dokument zawierający wytyczne w zakresie przetwarzania danych osobowych, czyli skrócony opis procedur zawartych w wymienionych wyżej aktach;

• ewidencja osób upoważnionych do przetwarzania danych osobowych.

Poza tym pakiet RODO w firmie powinien zawierać także wzory różnych dokumentów wraz z wytycznymi do ich stosowania. W praktyce są to następujące formularze:

• upoważnienie do przetwarzania danych osobowych;

• wzór umowy o powierzenie przetwarzania danych osobowych;

• wzór oświadczenia o zapoznaniu się z dokumentami z zakresu ochrony danych osobowych;

• oświadczenie o przestrzeganiu ochrony danych osobowych oraz ustalonych procedur;

• wzór rejestru czynności przetwarzania danych osobowych;

• wzór rejestru kategorii przetwarzania danych;

• wykaz stosowanych klauzul zgód;

• wzór zgody na przetwarzanie danych osobowych – kandydat do pracy;

• wzór zgłoszenia naruszeń ochrony danych osobowych;

• wzór zgody na przetwarzanie danych osobowych – pracownik;

• wzór zgody na przetwarzanie danych osobowych – dla celów marketingu;

• wzór klauzuli informacyjnej dla pracownika;

• wzór klauzuli informacyjnej dla kandydata do pracy;

• wzór klauzuli informacyjnej dla klienta/konsumenta;

• wykaz stosowanych klauzul informacyjnych wraz ze wzorem oświadczenia o poinformowaniu.

W kontekście polityki ochrony danych osobowych istotne jest to, że aktualnie dokument ten może przyjąć nie tylko dowolną nazwę, ale również format i objętość. Co więcej, może być również fragmentem innego dokumentu obowiązującego w firmie. Warunkiem w tym przypadku jest to, by część tę dało się wyodrębnić. W celu zachowania zgodności z RODO tworzona polityka ochrony danych osobowych powinna opierać się na czterech filarach, a mianowicie:

• zgodności z zasadą privacy by design, czyli uwzględniania ochrony danych w fazie projektowania – chodzi w tym przypadku o to, by administrator danych wdrożył środki techniczne i organizacyjne adekwatne do ryzyka naruszenia praw i wolności osób, których dane będą przetwarzane, co powinien zrobić już na etapie wyboru technologii, dostawcy i procesu przetwarzania. W efekcie musi przeprowadzić analizę ryzyka, a także dokonać oceny skutków potencjalnych zagrożeń;

• zgodności z zasadą privacy by default, czyli domyślnej ochrony danych – co odnosi się do wdrożenia przez administratora odpowiednich środków technicznych i organizacyjnych w celu gromadzenia i analizowania jedynie tych danych, które będą absolutnie niezbędne dla realizacji przyjętego wcześniej celu przetwarzania. Przykładem może być w tym przypadku proces rejestracji konta na portalu, który powinien wymagać jedynie podania absolutnie niezbędnych danych do jego utworzenia. O wpisaniu wszystkich innych informacji użytkownik powinien móc zdecydować dobrowolnie;

• proporcjonalności w stosunku do czynności przetwarzania danych – co oznacza, że polityka ochrony danych osobowych powinna uwzględniać wszystkie czynności przetwarzania danych oraz przedstawiać aktualne procedury związane z ich zabezpieczaniem;

• przejrzystości języka, jakim zostanie napisana – wynika to z faktu, że zarówno język, którym będzie napisana polityka ochrony danych osobowych, jak i użyte w niej sformułowania powinny być zrozumiałe dla czytających ją osób. W efekcie osoby wykonujące czynności związane z przetwarzaniem danych po zapoznaniu się z dokumentem będą miały wiedzę dotyczącą tego, jak robić to prawidłowo.

Polityka ochrony danych osobowych to dokument, który przedstawia wdrożone zasady i procedury w związku zapewnieniem bezpieczeństwa przetwarzanym danym osobowym. Jego opracowanie ma na celu nie tylko spełnienie wymagań wynikających z RODO, ale również możliwość wykazania tego, że firma jako podmiot przetwarzający dane osobowe zapewniła im należytą ochronę, wdrażając stosowne środki techniczne i organizacyjne. Udowodnienia tego faktu wymagał będzie organ nadzorczy przeprowadzający ewentualną kontrolę.