Rozwój firmy a RODO – kiedy dotychczasowe procedury przestają wystarczać?

Firma zatrudnia kolejnych pracowników, uruchamia nową usługę, wdraża CRM, rozpoczyna sprzedaż internetową albo korzysta z nowych narzędzi marketingowych. Z biznesowego punktu widzenia są to naturalne etapy rozwoju. Z perspektywy ochrony danych każdy z nich może jednak oznaczać powstanie nowych procesów, nowych kategorii danych oraz nowych ryzyk.

Dlatego dokumentacja przygotowana na początku działalności nie zawsze będzie odpowiednia dla przedsiębiorstwa kilka lat później. Na znaczeniu zyskuje regularne sprawdzanie, czy przyjęte rozwiązania nadal odpowiadają temu, jak organizacja rzeczywiście funkcjonuje. Takie podejście stosuje m.in. Biuro Porad Prawnych Zacharski, które łączy analizę procesów organizacji z wdrażaniem RODO, doradztwem, szkoleniami i zewnętrzną funkcją IOD, zamiast ograniczać ochronę danych wyłącznie do przygotowania dokumentacji.

Kiedy firma się zmienia, zmienia się również sposób przetwarzania danych

W niewielkim przedsiębiorstwie procesy związane z danymi mogą być stosunkowo proste. Kilka osób obsługuje klientów, dokumenty są przechowywane w jednym systemie, a działania marketingowe ograniczają się do podstawowych kanałów.

Wraz z rozwojem organizacji sytuacja staje się bardziej skomplikowana.

Pojawiają się nowe działy, dostawcy, aplikacje, konta pracowników, systemy sprzedażowe i marketingowe. Dane zaczynają przepływać między większą liczbą osób i narzędzi. Firma może również rozpocząć korzystanie z usług chmurowych, automatyzacji czy rozwiązań wykorzystujących sztuczną inteligencję.

Właśnie wtedy warto ponownie zadać podstawowe pytania:

• jakie dane obecnie zbieramy?
• w jakim celu są wykorzystywane?
• kto ma do nich dostęp?
• gdzie są przechowywane?
• komu są przekazywane?
• jak długo pozostają w systemach?
• czy pracownicy wiedzą, jak prawidłowo z nimi postępować?

Problem polega na tym, że rozwój biznesu jest zazwyczaj szybszy niż aktualizacja procedur.

Nowy pracownik to także nowe uprawnienia i dostęp do danych

Zatrudnienie kolejnych osób wydaje się rutynowym procesem. Z punktu widzenia ochrony danych oznacza jednak nie tylko przetwarzanie informacji dotyczących samego pracownika.

Nowa osoba może uzyskać dostęp do danych klientów, kontrahentów, innych pracowników, dokumentów księgowych czy informacji przechowywanych w systemach informatycznych.

Warto więc określić, do jakich danych rzeczywiście potrzebuje dostępu.

Popularnym błędem jest przyznawanie zbyt szerokich uprawnień tylko dlatego, że jest to organizacyjnie prostsze. Tymczasem zakres dostępu powinien odpowiadać obowiązkom wykonywanym na danym stanowisku.

Równie ważny jest proces odwrotny. Gdy pracownik zmienia stanowisko albo kończy współpracę z firmą, trzeba pamiętać o aktualizacji lub odebraniu jego uprawnień.

Nowy system informatyczny może całkowicie zmienić obieg danych

CRM, system księgowy, platforma mailingowa, narzędzie do rekrutacji czy oprogramowanie do obsługi zgłoszeń klientów ułatwiają prowadzenie biznesu, ale jednocześnie mogą zmienić sposób przetwarzania danych osobowych.

Przed wdrożeniem warto ustalić m.in.:

• jakie informacje będą trafiały do systemu,
• kto będzie miał do nich dostęp,
• gdzie znajduje się infrastruktura dostawcy,
• czy dane będą przekazywane kolejnym podmiotom,
• jakie mechanizmy bezpieczeństwa zapewnia usługodawca,
• jak wygląda usuwanie danych po zakończeniu współpracy.

Takie pytania szczególnie łatwo pominąć wtedy, gdy o wyborze narzędzia decydują przede wszystkim jego funkcjonalność i cena.

RODO powinno natomiast pojawić się jeszcze przed uruchomieniem rozwiązania, a nie dopiero wtedy, gdy system jest już wykorzystywany przez całą organizację.

Marketing rozwija się szybciej niż procedury

Podobny problem pojawia się wraz z rozbudową działań marketingowych.

Na początku firma może posiadać prosty formularz kontaktowy. Z czasem dochodzą newsletter, kampanie reklamowe, remarketing, system CRM, webinary, lead magnety, automatyzacja e-maili czy integracje pomiędzy formularzami a zewnętrznymi platformami.

Każde takie rozwiązanie oznacza kolejne przepływy informacji.

W praktyce należy wtedy zweryfikować nie tylko treść polityki prywatności, lecz również podstawy wykorzystywania danych, obowiązki informacyjne, okresy ich przechowywania oraz relacje z dostawcami poszczególnych narzędzi.

RODO powinno więc rozwijać się razem z marketingiem, a nie pozostawać na poziomie formularza przygotowanego kilka lat wcześniej.

Kiedy potrzebny jest Inspektor Ochrony Danych?

Rozwój organizacji może również spowodować, że sposób i skala przetwarzania danych będą wymagały ponownej analizy obowiązku wyznaczenia IOD.

Nie każda firma musi posiadać Inspektora Ochrony Danych. Obowiązek ten zależy od przesłanek określonych w art. 37 RODO, m.in. charakteru prowadzonej działalności, rodzaju danych oraz skali niektórych operacji przetwarzania.

Jeżeli Inspektor Ochrony Danych funkcjonuje w organizacji, powinien być odpowiednio wcześnie włączany w sprawy dotyczące danych. Nie chodzi wyłącznie o reagowanie na gotowe decyzje, ale również o ocenę nowych procesów, projektów czy rozwiązań technologicznych.

W praktyce takie podejście do zewnętrznej funkcji IOD stosuje Biuro Porad Prawnych Zacharski. BPPZ opisuje ją jako stały mechanizm nadzoru obejmujący m.in. projekty technologiczne, relacje z dostawcami, HR, marketing, incydenty, retencję danych oraz wdrożenia wykorzystujące automatyzację i AI.

To dobre zobrazowanie szerszej zasady: specjalista ds. ochrony danych powinien pojawić się przy projekcie odpowiednio wcześnie, kiedy można jeszcze zmienić jego założenia.

Więcej pracowników oznacza większą potrzebę edukacji

W kilkuosobowym przedsiębiorstwie stosunkowo łatwo przekazywać zasady bezpośrednio. Przy kilkudziesięciu czy kilkuset pracownikach staje się to znacznie trudniejsze.

Do tego poszczególne zespoły pracują z danymi w zupełnie inny sposób.

HR zajmuje się kandydatami i pracownikami. Marketing korzysta z baz kontaktów oraz systemów reklamowych. Sprzedaż pracuje w CRM-ie. Księgowość przetwarza informacje znajdujące się na fakturach i w dokumentach rozliczeniowych. IT odpowiada za dostęp do systemów.

Jedno ogólne szkolenie może więc nie odpowiadać na problemy wszystkich tych grup.

Dlatego szkolenia RODO warto powiązać z rzeczywistymi obowiązkami pracowników. BPPZ deklaruje właśnie takie podejście – program szkolenia jest dopasowywany do branży, procesów i potrzeb uczestników, a szkolenia mogą być kierowane zarówno do zarządów, jak i zespołów operacyjnych.

W praktyce pracownicy powinni umieć odpowiedzieć przede wszystkim na pytania związane z ich codzienną pracą: komu mogą przekazać dane, jak reagować na incydent, jakie informacje mogą wprowadzić do danego systemu i do kogo zwrócić się w razie wątpliwości.

Rozwój firmy zwiększa również liczbę dostawców

Skalowanie działalności bardzo często oznacza outsourcing.

Firma korzysta z biura rachunkowego, usług IT, systemu mailingowego, hostingu, call center, agencji marketingowej, platformy rekrutacyjnej czy dostawców oprogramowania.

W części takich relacji dochodzi również do udostępniania lub powierzania danych osobowych.

Dlatego wraz z rozwojem przedsiębiorstwa warto stworzyć uporządkowany proces oceny dostawców. Sam fakt, że usługodawca jest dużą i rozpoznawalną firmą, nie zwalnia przedsiębiorstwa z przeanalizowania, w jaki sposób dane będą przetwarzane.

Istotne jest również ustalenie, co dzieje się z informacjami po zakończeniu współpracy.

Kiedy jednorazowe konsultacje przestają wystarczać?

Jeżeli problemy dotyczące ochrony danych pojawiają się kilka razy w roku, firma może rozwiązywać je pojedynczo. W organizacji, która regularnie wdraża nowe projekty, rekrutuje, prowadzi kampanie i korzysta z wielu dostawców, taki model może jednak stać się niewygodny.

Każda nowa sprawa wymaga wtedy ponownego przedstawiania specyfiki organizacji, wykorzystywanych systemów i wcześniejszych ustaleń.

W takiej sytuacji praktycznym rozwiązaniem może być stała obsługa RODO. Jej wartością jest przede wszystkim możliwość konsultowania nowych działań na bieżąco – zanim zostaną wdrożone.

Wsparcie może dotyczyć przykładowo:

• nowych umów i dostawców,
• formularzy oraz działań marketingowych,
• zmian w procesach HR,
• nowych systemów informatycznych,
• aktualizacji dokumentacji,
• realizacji praw osób,
• incydentów związanych z danymi,
• nowych projektów wymagających analizy ryzyka.

Dzięki temu ochrona danych może być częścią procesu podejmowania decyzji, a nie działaniem wykonywanym dopiero po zakończeniu projektu.

Incydent szybko pokazuje, czy procedury naprawdę działają

Rozwijająca się firma posiada coraz więcej danych, użytkowników oraz systemów. W naturalny sposób zwiększa się więc liczba sytuacji, w których może dojść do błędu.

Pracownik może wysłać dokument nieprawidłowemu odbiorcy. Konto może zostać przejęte. Laptop może zostać zgubiony. Użytkownik systemu może otrzymać zbyt szerokie uprawnienia.

W takim momencie znaczenie ma nie tylko posiadanie procedury, ale szybkość działania.

Pracownik powinien wiedzieć, gdzie zgłosić zdarzenie. Osoba odpowiedzialna musi być w stanie szybko zebrać informacje i ocenić konsekwencje. Organizacja powinna również wiedzieć, jakie dalsze kroki są wymagane.

Im bardziej złożona firma, tym trudniejsze jest improwizowanie takich działań dopiero po wystąpieniu problemu.

Po czym poznać, że warto ponownie przyjrzeć się RODO?

Nie trzeba czekać na kontrolę lub naruszenie.

Dobrym momentem na ponowną analizę jest każda większa zmiana organizacyjna lub technologiczna. Szczególną uwagę warto zwrócić wtedy, gdy firma:

• szybko zwiększyła zatrudnienie,
• otworzyła nowe oddziały lub rozpoczęła działalność na nowych rynkach,
• wdrożyła CRM albo inny rozbudowany system,
• uruchomiła sklep internetowy,
• rozszerzyła działania marketingowe,
• zaczęła wykorzystywać narzędzia AI,
• zwiększyła liczbę zewnętrznych dostawców,
• zmieniła sposób obsługi klientów,
• od kilku lat nie aktualizowała dokumentacji.

Każdy z tych sygnałów może oznaczać, że wcześniejsze założenia nie odpowiadają już obecnej skali działalności.

RODO powinno rosnąć razem z firmą

Ochrona danych działa najlepiej wtedy, gdy jest częścią procesów biznesowych, a nie osobnym projektem uruchamianym raz na kilka lat.

Mała firma może potrzebować przede wszystkim uporządkowania podstawowych procesów. Wraz ze wzrostem organizacji coraz większego znaczenia nabierają zarządzanie dostępami, kontrola dostawców, regularne szkolenia, bieżące doradztwo oraz właściwe umiejscowienie funkcji Inspektora Ochrony Danych.

Nie istnieje więc jeden model RODO odpowiedni dla przedsiębiorstwa na każdym etapie rozwoju. Rozwiązania powinny zmieniać się wraz ze skalą działalności, wykorzystywaną technologią i charakterem przetwarzanych danych.

Najważniejsze jest, aby rozwój biznesu nie powodował powstawania coraz większej różnicy między tym, co zapisano w dokumentacji, a tym, jak firma rzeczywiście działa.