Czego RODO faktycznie wymaga od startupu digital-first?

Kogo dotyczy RODO

RODO dotyczy każdej organizacji, która przetwarza dane osobowe osób znajdujących się w UE albo Europejskim Obszarze Gospodarczym. „Dane osobowe" to każda informacja, która może zidentyfikować żyjącą osobę: imię i nazwisko, adres e-mail, adres IP, ID klienta, zdjęcie. „Przetwarzanie" oznacza niemal wszystko, co z nimi robisz, w tym zbieranie, przechowywanie, przeglądanie i usuwanie.

Dla firmy digital-first liczą się dwie rzeczy. Po pierwsze, nie ma znaczenia, gdzie zarejestrowana jest twoja firma. Zgodnie z art. 3 przepisy obejmują firmę spoza UE, jeśli oferuje towary albo usługi osobom w UE albo monitoruje ich zachowanie na jej terenie. Zarejestrowana w USA firma SaaS z europejskimi użytkownikami jest jak najbardziej objęta przepisami. Po drugie, nie ma znaczenia, czy pobierasz opłaty. Darmowy produkt, w którym rejestrują się europejscy użytkownicy, i tak przetwarza ich dane osobowe.

Przez całe rozporządzenie przewijają się dwie role. Jesteś administratorem danych, gdy decydujesz, po co i jak dane są używane, na przykład w przypadku własnych rejestrów klientów i pracowników. Jesteś podmiotem przetwarzającym, gdy przetwarzasz dane na czyjeś instrukcje, czyli w takiej pozycji jest twój produkt wobec danych klientów. Większość startupów jest administratorem dla własnej działalności i podmiotem przetwarzającym dla danych, które klienci wprowadzają do produktu. Te same zasady dotyczą obu ról.

Podstawowe obowiązki, po ludzku

Po odrzuceniu prawniczego języka obowiązki małej firmy sprowadzają się do siedmiu rzeczy.

1. Miej podstawę prawną dla danych, które zbierasz

Nie możesz przetwarzać danych osobowych tylko dlatego, że są przydatne. Art. 6 podaje sześć podstaw prawnych, i dla każdej czynności potrzebujesz przynajmniej jednej. Trzy dotyczą niemal każdego startupu:

• Zgoda. Osoba aktywnie się zgodziła, na konkretny cel. Zgoda musi być swobodnie wyrażona i tak samo łatwa do wycofania jak do udzielenia. Maile marketingowe do konsumentów zwykle opierają się na tej podstawie.
• Wykonanie umowy. Potrzebujesz danych, żeby dostarczyć to, na co ktoś się zapisał, na przykład adres klienta, żeby wysłać zamówienie.
• Prawnie uzasadniony interes. Masz prawdziwy powód biznesowy, który nie przeważa nad prawami danej osoby. Podstawowa prewencja oszustw albo zabezpieczenie własnej sieci mogą się kwalifikować, po zważeniu na interes danej osoby, i nie ma zastosowania tam, gdzie naprawdę wymagana jest zgoda.

Praktyczny krok to spisać, dla każdego typu danych, które przechowujesz, na jakiej podstawie się opierasz. Wybierz podstawę, która naprawdę pasuje, zamiast domyślnie stosować zgodę do wszystkiego.

2. Zbieraj tylko to, czego potrzebujesz

Art. 5 określa zasady, a minimalizacja danych to jedna z najbardziej przydatnych dla startupu. Dane osobowe muszą być „adekwatne, stosowne oraz ograniczone do tego, co niezbędne" do zadeklarowanego celu. Jeśli formularz rejestracji pyta o numer telefonu, którego nigdy nie używasz, to pole jest zobowiązaniem, a nie zasobem. Ten sam artykuł wymaga ograniczenia celu, czyli tego, że nie zmieniasz po cichu przeznaczenia danych później, oraz ograniczenia przechowywania, czyli że nie trzymasz ich w nieskończoność. Mniej danych to mniej do zabezpieczenia, mniej do usunięcia na żądanie i mniej do stracenia w razie naruszenia.

3. Zabezpiecz je

Art. 32 wymaga „odpowiednich środków technicznych i organizacyjnych" do ochrony danych osobowych, ocenianych względem ryzyka. Prawo celowo nie daje ci gotowej checklisty, bo firma płatnicza i narzędzie do newslettera mierzą się z innym ryzykiem. Dla typowego startupu odpowiednie środki to szyfrowanie w tranzycie i w spoczynku, sensowna kontrola dostępu, tak żeby pracownicy sięgali tylko do danych, których potrzebują, uwierzytelnianie wieloskładnikowe (MFA), backupy i podstawowy plan na wypadek, gdyby coś poszło nie tak. Standardem jest rozsądek, nie perfekcja.

4. Respektuj prawa ludzi

Rozdział 3 daje osobom prawa do własnych danych. Dwa, z którymi będziesz mieć do czynienia najczęściej, to prawo dostępu (art. 15), gdy ktoś prosi o kopię danych, które o nim przechowujesz, oraz prawo do usunięcia (art. 17), czyli „prawo do bycia zapomnianym", gdy ktoś prosi cię o ich usunięcie. Inne to sprostowanie nieprawidłowych danych (art. 16), przenoszalność (art. 20) i sprzeciw wobec określonych sposobów użycia (art. 21).

Zwykle masz miesiąc na odpowiedź i w większości przypadków nie możesz za to pobierać opłat. Praktyczny krok to wiedzieć, gdzie dane osobowe żyją w twoich systemach, zanim przyjdzie żądanie, tak żeby jego spełnienie było rutyną, a nie akcją gaśniczą. Nasz powiązany przewodnik „Retencja i usuwanie danych" idzie głębiej w budowanie usuwania danych, które naprawdę da się wykonać.

5. Podpisz umowy powierzenia z dostawcami

Twój startup niemal na pewno korzysta z innych firm do przetwarzania danych: dostawcy poczty, analityki, hostingu w chmurze, procesora płatności, helpdesku. Zgodnie z RODO to twoje podmioty przetwarzające, a art. 28 wymaga pisemnej umowy, umowy powierzenia, regulującej, co mogą robić z danymi. Wiarygodni dostawcy publikują standardową umowę, którą możesz zaakceptować. Zadanie polega na tym, żeby prowadzić listę tego, kto przetwarza twoje dane, i potwierdzić, że z każdym z nich masz podpisaną umowę. Jeśli któryś z tych dostawców wysyła dane poza UE, obowiązują dodatkowe zasady transferu, ale zwykle pokrywa je aktualna decyzja o adekwatności albo standardowe klauzule umowne dostawcy.

6. Prowadź podstawową dokumentację

Art. 30 wymaga od administratorów i podmiotów przetwarzających prowadzenia rejestru czynności przetwarzania: jakie dane przechowujesz, po co, komu je udostępniasz i jak długo je trzymasz. Istnieje realny wyjątek dla małych firm. Obowiązek nie dotyczy organizacji zatrudniających mniej niż 250 osób, chyba że przetwarzanie może zagrażać prawom ludzi, nie ma charakteru sporadycznego albo dotyczy szczególnych kategorii danych, takich jak dane o zdrowiu czy dane biometryczne. W praktyce większość startupów digital-first przetwarza dane regularnie, więc wyjątek jest węższy, niż się wydaje na pierwszy rzut oka. Krótki arkusz kalkulacyjny z listą twoich danych, ich celu i dostawców spełnia ducha tego obowiązku i ułatwia wszystkie pozostałe.

7. Zgłoś naruszenie w ciągu 72 godzin, tam gdzie to wymagane

Jeśli dojdzie u ciebie do naruszenia ochrony danych osobowych, art. 33 wymaga zgłoszenia go organowi nadzorczemu „bez zbędnej zwłoki, a jeśli to wykonalne, nie później niż w ciągu 72 godzin" od chwili, gdy się o nim dowiedziałeś. Warunki mają znaczenie. Obowiązek nie ma zastosowania, gdy naruszenie „jest mało prawdopodobne, by skutkowało ryzykiem naruszenia praw i wolności" osób, których dotyczy, więc drobny, opanowany incydent bez realnej ekspozycji może nie wymagać zgłoszenia. Gdy ryzyko dla osób jest wysokie, art. 34 wymaga też poinformowania osób, których dotyczy naruszenie. Realistyczne przygotowanie to wiedzieć z wyprzedzeniem, kto decyduje o zgłoszeniu i gdzie się zgłasza, tak żeby 72 godziny nie schodziły na ustalanie procesu.

Praktyczne pierwsze kroki

Nie potrzebujesz działu compliance, żeby zrobić realny postęp. Mała firma może pokryć większość gruntu skupionym wysiłkiem:

1. Zmapuj swoje dane. Wypisz dane osobowe, które przechowujesz, gdzie żyją i po co. Ten jeden dokument stanowi podstawę niemal wszystkiego innego.
2. Przypisz podstawę prawną do każdego użycia danych z twojej mapy.
3. Napisz jasną politykę prywatności, mówiącą ludziom, co zbierasz, po co i jak mogą skorzystać ze swoich praw.
4. Sprawdź swoich dostawców i potwierdź, że z każdym podmiotem przetwarzającym masz podpisaną umowę powierzenia.
5. Zaostrz dostęp i bezpieczeństwo do poziomu proporcjonalnego do twojego ryzyka: kto ma dostęp do czego i czy jest to chronione.
6. Ustal z wyprzedzeniem proces na wypadek naruszenia: kto jest informowany, kto decyduje, gdzie zgłaszasz.
7. Uczyń żądania dotyczące praw rutyną, tak żeby żądanie dostępu albo usunięcia było znaną procedurą.

Zrobione w tej kolejności, każdy krok ułatwia następny.

Popularne mity, które warto zignorować

„RODO to tylko baner cookies." Zgoda na cookies to mały, widoczny wycinek, i w dużej mierze reguluje ją osobny zestaw przepisów ePrivacy, a nie samo RODO. Sedno RODO to sposób, w jaki obchodzisz się z danymi osobowymi w całej firmie: podstawa prawna, minimalizacja, bezpieczeństwo, prawa i dokumentacja. Idealny baner nałożony na niedbałe obchodzenie się z danymi to zły priorytet.

„Potrzebujemy inspektora ochrony danych." Większość startupów nie potrzebuje. Art. 37 wymaga IOD tylko w konkretnych przypadkach: organy publiczne albo organizacje, których podstawowa działalność obejmuje monitorowanie osób na dużą skalę, regularne i systematyczne, albo przetwarzanie na dużą skalę szczególnych kategorii danych. Typowa mała firma SaaS jest poza tym zakresem. Nadal potrzebujesz kogoś odpowiedzialnego, ale wyznaczony właściciel to nie to samo co formalnie powołany IOD.

„Kary zbankrutują nas za drobny błąd." Nagłówkowe kwoty, do 20 milionów EUR albo 4% globalnego rocznego obrotu na mocy art. 83, dotyczą najpoważniejszych, zwykle celowych albo powtarzających się naruszeń dużych organizacji. Organy ważą charakter naruszenia, twoją współpracę i kroki, które podjąłeś. Mała firma działająca w dobrej wierze z rozsądnymi środkami jest w zupełnie innej sytuacji niż firma niedbała, ignorująca przepisy.

„Compliance to projekt jednorazowy." To bliżej nawyku. Twoje dane, dostawcy i produkt się zmieniają, więc twoja dokumentacja powinna nadążać. Gdy podstawy są już na miejscu, ich utrzymanie to niewielki wysiłek.

Co jest proporcjonalne dla startupu

RODO jest z założenia oparte na ryzyku, i to chroni małe firmy. Wyjątek z dokumentacji dla organizacji poniżej 250 osób, sformułowanie „odpowiednie do ryzyka" przy bezpieczeństwie i wąskie warunki wymogu IOD wszystkie wskazują w tym samym kierunku: robisz to, co ma sens dla twojej wielkości i wrażliwości twoich danych, a nie to, co robi korporacja. Zasada rozliczalności z art. 5 wymaga, żebyś potrafił wykazać swój tok rozumowania, więc startup, który zmapował swoje dane, wybrał podstawy prawne, sensownie zabezpieczył systemy i potrafi odpowiedzieć na żądanie dotyczące praw, jest w naprawdę dobrej formie. Wkładaj wysiłek tam, gdzie jest ryzyko, co dla większości firm digital-first oznacza dane, które faktycznie zaszkodziłyby komuś, gdyby wyciekły.

Źródła

• Art. 3 GDPR, Territorial scope · https://gdpr-info.eu/art-3-gdpr/ (zasięg eksterytorialny: oferowanie towarów albo usług, albo monitorowanie, osób w UE)
• Art. 5 GDPR, Principles relating to processing of personal data · https://gdpr-info.eu/art-5-gdpr/ (zgodność z prawem, ograniczenie celu, minimalizacja danych, dokładność, ograniczenie przechowywania, bezpieczeństwo, rozliczalność)
• Art. 6 GDPR, Lawfulness of processing · https://gdpr-info.eu/art-6-gdpr/ (sześć podstaw prawnych, w tym zgoda, umowa, prawnie uzasadniony interes)
• Art. 15 GDPR, Right of access by the data subject · https://gdpr-info.eu/art-15-gdpr/ (prawo do kopii własnych danych)
• Art. 17 GDPR, Right to erasure · https://gdpr-info.eu/art-17-gdpr/ (prawo do bycia zapomnianym)
• Art. 28 GDPR, Processor · https://gdpr-info.eu/art-28-gdpr/ (pisemna umowa powierzenia z podmiotami przetwarzającymi)
• Art. 30 GDPR, Records of processing activities · https://gdpr-info.eu/art-30-gdpr/ (obowiązek prowadzenia rejestru i wyjątek dla firm poniżej 250 pracowników wraz z jego wyjątkami)
• Art. 32 GDPR, Security of processing · https://gdpr-info.eu/art-32-gdpr/ (odpowiednie środki techniczne i organizacyjne)
• Art. 33 GDPR, Notification of a personal data breach to the supervisory authority · https://gdpr-info.eu/art-33-gdpr/ (zgłoszenie w ciągu 72 godzin i warunek małego prawdopodobieństwa ryzyka)
• Art. 34 GDPR, Communication of a personal data breach to the data subject · https://gdpr-info.eu/art-34-gdpr/ (informowanie osób, których dotyczy naruszenie, gdy ryzyko jest wysokie)
• Art. 37 GDPR, Designation of the data protection officer · https://gdpr-info.eu/art-37-gdpr/ (kiedy IOD jest obowiązkowy)
• Art. 83 GDPR, General conditions for imposing administrative fines · https://gdpr-info.eu/art-83-gdpr/ (górny próg do 20 milionów EUR albo 4%)