Punkt wyjścia – pozornie „zwykła” ankieta RODO od kontrahenta
Klientem kancelarii było duże biuro rachunkowe obsługujące szerokie spektrum podmiotów – od jednoosobowych działalności gospodarczych, przez spółki handlowe, po podmioty z branż regulowanych. Zakres usług obejmował m.in. księgowość, kadry i płace, doradztwo podatkowe oraz obsługę dokumentacji pracowniczej.
Impulsem do kontaktu z kancelarią nie była kontrola organu nadzorczego, lecz – co w praktyce zdarza się bardzo często – żądanie jednego z kontrahentów, który poprosił biuro o wypełnienie szczegółowej ankiety zgodności z RODO. W toku jej uzupełniania okazało się, że choć w organizacji funkcjonowały pewne elementy „RODO”, to brakowało wielu obowiązkowych rozwiązań, a część procesów nie była w ogóle udokumentowana ani ujednolicona.
Zarząd biura podjął decyzję o kompleksowym wdrożeniu RODO, wykraczającym poza doraźne „uzupełnienie braków”.
Etap I – Audyt zgodności i mapowanie procesów przetwarzania danych
Pierwszym krokiem było przeprowadzenie wstępnego audytu RODO, którego celem było ustalenie faktycznego poziomu zgodności organizacji z przepisami o ochronie danych osobowych.
Audyt objął w szczególności:
- wywiady z kluczowymi pracownikami i kadrą zarządzającą,
- analizę procesów księgowych, kadrowych, marketingowych i administracyjnych,
- weryfikację systemów IT, narzędzi chmurowych oraz obiegu dokumentów,
- ocenę relacji z klientami, kontrahentami i dostawcami usług (w tym podmiotami przetwarzającymi).
Efektem tego etapu był raport, który stał się podstawą do dalszych prac oraz punktem odniesienia dla zarządu i kadry menedżerskiej.
Etap II – Opracowanie i wdrożenie dokumentacji RODO
Na podstawie ustaleń audytowych kancelaria przygotowała kompletną dokumentację RODO, dostosowaną do realnych procesów biura rachunkowego, a nie schematycznych wzorów.
Wdrożenie objęło m.in.:
- polityki i procedury ochrony danych osobowych,
- rejestry czynności przetwarzania i rejestry kategorii czynności,
- procedury obsługi naruszeń ochrony danych,
- zasady nadawania i cofania upoważnień,
- procedury realizacji praw osób, których dane dotyczą,
- wzory klauzul informacyjnych i umów powierzenia przetwarzania danych.
Szczególną uwagę poświęcono relacjom z podmiotami zewnętrznymi, w tym dostawcami narzędzi IT oraz kontrahentami mającymi dostęp do danych klientów biura.
Etap III – Szkolenia pracowników i współpracowników
RODO w biurze rachunkowym nie funkcjonuje wyłącznie „na papierze”. Kluczowe znaczenie ma świadomość personelu, który na co dzień przetwarza dane klientów, pracowników i kontrahentów.
Kancelaria przeprowadziła:
- szkolenia ogólne dla zespołów operacyjnych,
- szkolenia dedykowane dla działów kadr i płac, marketingu oraz administracji,
- szkolenia z zakresu reagowania na incydenty bezpieczeństwa.
Każdy uczestnik otrzymał imienny certyfikat, a materiały szkoleniowe zostały udostępnione do dalszego wykorzystania. Szkolenia zostały również przygotowane w formule umożliwiającej ich wykorzystanie przy onboardingu nowych pracowników.
Etap IV – Przygotowanie wewnętrznej osoby ds. RODO
Dodatkowym elementem wdrożenia było przeszkolenie osoby odpowiedzialnej wewnętrznie za sprawy RODO, tak aby organizacja była w stanie samodzielnie realizować bieżące obowiązki.
Szkolenie objęło m.in.:
- prowadzenie rejestrów i dokumentacji,
- obsługę wniosków osób, których dane dotyczą,
- reagowanie na naruszenia i incydenty,
- weryfikację kontrahentów i umów powierzenia,
- przeprowadzanie wewnętrznych audytów zgodności.
Dzięki temu biuro rachunkowe zyskało realne kompetencje do codziennego zarządzania zgodnością.
Etap V – Wsparcie doraźne kancelarii i gotowość na sytuacje kryzysowe
Po zakończeniu wdrożenia kancelaria zapewniła możliwość bieżącego wsparcia eksperckiego, w szczególności w przypadku:
- naruszeń ochrony danych osobowych,
- zapytań i kontroli ze strony organów lub kontrahentów,
- nietypowych procesów lub umów,
- incydentów bezpieczeństwa informacji.
Organizacja została również przygotowana na audyty zewnętrzne oraz kontrole kontrahentów.
Opisane wdrożenie pokazuje, że RODO w biurze rachunkowym musi być procesem kompleksowym, obejmującym audyt, dokumentację, szkolenia i realne wsparcie operacyjne. Działania pozorne lub fragmentaryczne nie zapewniają ani zgodności z przepisami, ani bezpieczeństwa biznesowego.
Dedykowane wdrożenie RODO – skorzystaj z usług kancelarii prawnej
Jeżeli Państwa organizacja:
- obsługuje dane klientów lub pracowników,
- współpracuje z wieloma kontrahentami,
- otrzymuje ankiety RODO lub zapytania compliance,
- chce ograniczyć ryzyko kar i odpowiedzialności,
warto skonsultować aktualny stan wdrożenia z doświadczonym zespołem prawnym. Zapraszamy do kontaktu w sprawach związanych z ochroną danych osobowych.
