Były klient żąda informacji o swoich danych, pracownik składa skargę do organu ochrony danych (Datenschutzbehörde), albo po incydencie pisze do Państwa nadzór — i naraz nie chodzi już o to, czy pracują Państwo „zasadniczo zgodnie z ochroną danych", lecz o to, czy potrafią to Państwo wykazać. Właśnie na tym opiera się cała logika ogólnego rozporządzenia o ochronie danych (RODO, w Niemczech „DSGVO"): przestrzegania trzeba nie tylko dochować, ale i udowodnić. Kto zaczyna dokumentować rejestr czynności przetwarzania, podstawy prawne i środki techniczne dopiero wtedy, gdy pismo już leży na biurku, jest spóźniony. Poniżej pokazujemy, jakie podstawowe obowiązki dotykają każde przedsiębiorstwo działające w Niemczech, gdzie czają się typowe pułapki i jak spełnić je rozsądnym nakładem — zanim ktoś zapyta.
Osoba, której dane dotyczą, chce wiedzieć, jakie dane przechowują Państwo na jej temat. Teraz okazuje się, czy Państwa firma ma przegląd: jakie systemy, jakie cele, jacy odbiorcy, jakie terminy usunięcia? Gdy brak rejestru czynności przetwarzania, z rutynowego wniosku robi się gorączkowe poszukiwanie przez wszystkie działy — a z nieterminowej odpowiedzi szybko skarga do organu nadzorczego (Aufsichtsbehörde).
Marketing chce wprowadzić nowe narzędzie, które analizuje dane klientów, wzbogaca je i przekazuje usługodawcy. Decydującego pytania nikt nie stawia z góry: na jakiej podstawie prawnej to opieramy? Bez czystej podstawy — zgody, umowy albo nośnego prawnie uzasadnionego interesu — przetwarzanie jest od początku bezprawne, a naprawić to z mocą wsteczną prawie się nie da.
Lista mailingowa poszła jawnie, skradziono laptop, do systemu wtargnął napastnik. Organ nadzorczy pyta nie tylko, co się stało, lecz jakie środki techniczne i organizacyjne podjęli Państwo wcześniej. Kto nie potrafi tu niczego udokumentowanego przedłożyć, stoi podwójnie źle — szkoda to jedno, brak dowodu prewencji to drugie.
Na początku stoi zdanie, które niesie całe rozporządzenie: dane osobowe wolno przetwarzać tylko według określonych zasad. Te zasady nie są abstrakcyjnym dodatkiem, lecz miarą, przy której mierzy się każde pojedyncze przetwarzanie (Art. 5 ust. 1 RODO). Dane muszą Państwo przetwarzać zgodnie z prawem, rzetelnie i przejrzyście (lit. a), zbierać dla określonych, jednoznacznych i prawnie uzasadnionych celów i nie wykorzystywać dalej niezgodnie z celem — ograniczenie celu (lit. b). Wolno zbierać tylko tyle danych, ile cel naprawdę wymaga — minimalizacja danych (lit. c). Dane muszą być prawidłowe i w razie potrzeby uaktualnione (lit. d), wolno je przechowywać tylko tak długo, jak to konieczne dla celu — ograniczenie przechowywania (lit. e) — i należy je chronić odpowiednimi środkami — integralność i poufność (lit. f).
Zasada, którą większość najbardziej nie docenia, jest ostatnia: zasada rozliczalności. Administrator jest nie tylko odpowiedzialny za przestrzeganie zasad, lecz musi też móc to przestrzeganie wykazać (Art. 5 ust. 2 RODO). To praktycznie odwraca ciężar dowodu: w razie wątpliwości nie nadzór ani osoba, której dane dotyczą, muszą udowodnić, że coś Państwo zrobili źle — to Państwo muszą wykazać, że zrobili to dobrze. Koncepcja ochrony danych, która istnieje tylko w głowie członka zarządu, jest dlatego bezwartościowa: czego nie udokumentowano, uchodzi w razie sporu za nieistniejące.
Praktyka Najdroższa pułapka w ochronie danych to nie spektakularny atak hakerski, lecz brak dokumentacji. Niech Państwo zadadzą sobie przy każdym istotnym przetwarzaniu pytanie: czy potrafiłbym jutro na piśmie wykazać organowi nadzorczemu, jaki cel ono realizuje, na jakiej podstawie prawnej się opiera, jakie dane obejmuje i jak długo pozostaną przechowane? Gdzie Państwo się wahają, tam leży potrzeba działania — i to zanim nadejdzie pismo.
Zasada zgodności z prawem ma twarde jądro: przetwarzanie jest dozwolone tylko, gdy opiera się na co najmniej jednym ustawowym zezwoleniu (Art. 6 ust. 1 RODO). Dla przedsiębiorstw regułą są cztery z nich. Zgoda osoby, której dane dotyczą (lit. a) — która musi być dobrowolna, świadoma i w każdej chwili odwoływalna, przez co jest mniej stabilna, niż się sądzi. Niezbędność do wykonania umowy lub działań przedumownych (lit. b) — nośna podstawa dla większości danych klientów i zamówień. Niezbędność do wypełnienia obowiązku prawnego (lit. c) — na przykład podatkowe czy handlowe obowiązki przechowywania. Oraz prawnie uzasadniony interes Państwa przedsiębiorstwa lub osoby trzeciej (lit. f), który jest jednak wystarczający tylko wtedy, gdy interesy i prawa podstawowe osoby nie przeważają — tu potrzebne jest rzeczywiste, udokumentowane ważenie, nie samo twierdzenie.
Druga wielka pułapka po braku dokumentacji: przetwarzanie bez podstawy prawnej. Powstaje prawie nigdy ze złej woli, lecz z oczywistości. Wprowadza się nowe narzędzie, zbiór danych wykorzystuje dalej do nowego celu, listę klientów wykorzystuje do reklamy — bez tego, by ktoś z góry sprawdził, na czym to się opiera. Kto szuka podstawy prawnej dopiero, gdy przetwarzanie już działa, często nie ma już nośnej: na zgodę nie można powołać się z mocą wsteczną, a prawnie uzasadniony interes nie usprawiedliwia każdego zbierania danych. Podstawa prawna należy się przed przetwarzaniem, nie po nim — i, ze względu na zasadę rozliczalności, należy ją utrwalić.
Ochrona danych to w dobrej części przejrzystość. Gdy zbierają Państwo dane u osoby, której dotyczą, muszą ją Państwo w momencie zbierania poinformować o całym szeregu punktów (Art. 13 RODO): kto jest administratorem, w danym wypadku dane kontaktowe inspektora ochrony danych, cele i podstawę prawną przetwarzania, przy oparciu na prawnie uzasadnionym interesie ten interes sam, odbiorcy lub kategorie odbiorców, okres przechowywania lub kryteria jego ustalenia, prawa osoby oraz prawo skargi do organu nadzorczego. W praktyce spełniają to Państwo zrozumiałą klauzulą informacyjną o ochronie danych (Datenschutzerklärung) — na stronie, w procesie zamówienia, w formularzu kontaktowym, w rekrutacji.
Obowiązek informacyjny to więcej niż formalność: jest wyrazem zasady przejrzystości, a zarazem pierwszym punktem, który sprawdzają organy nadzorcze i skorzy do upomnień konkurenci, bo jest widoczny z zewnątrz. Przestarzała lub niekompletna klauzula, która nie odwzorowuje nowych przetwarzań — na przykład nowego narzędzia analitycznego czy nowego usługodawcy — jest dlatego niepotrzebnie otwartą furtką.
Jeśli jeden jedyny dokument stoi w centrum zasady rozliczalności, to właśnie ten: rejestr czynności przetwarzania. Każdy administrator prowadzi rejestr wszystkich czynności przetwarzania w swojej odpowiedzialności (Art. 30 ust. 1 RODO). Należą tam między innymi: nazwa i dane kontaktowe administratora oraz w danym wypadku inspektora ochrony danych, cele przetwarzania, opis kategorii osób i kategorii danych, kategorie odbiorców, w danym wypadku przekazania do państw trzecich, jeśli możliwe terminy usunięcia i jeśli możliwe ogólny opis środków technicznych i organizacyjnych (Art. 30 ust. 1 lit. a–g RODO). Rejestr prowadzi się na piśmie — również w formie elektronicznej — i przedkłada organowi nadzorczemu na żądanie.
Najczęstszy błąd dotyczy wyjątku dla małych przedsiębiorstw. Wprawdzie obowiązki rejestrowe zasadniczo nie dotyczą podmiotów zatrudniających mniej niż 250 osób (Art. 30 ust. 5 RODO). Ten wyjątek działa jednak tylko, gdy żaden z trzech wyjątków odwrotnych nie zachodzi: odpada, gdy przetwarzanie niesie ryzyko dla praw i wolności osób, gdy nie następuje tylko sporadycznie, albo gdy przetwarzane są szczególne kategorie danych (na przykład dane o zdrowiu lub dane pracownicze). Ponieważ praktycznie każde przedsiębiorstwo przetwarza stale — a więc nie tylko sporadycznie — dane klientów i pracowników, rzekome zwolnienie w rzeczywistości prawie zawsze okazuje się iluzoryczne. Niech Państwo nie polegają na liczbie 250; dla ogromnej większości firm rejestr jest obowiązkiem.
Praktyka Niech Państwo nie traktują rejestru jako uciążliwej powinności, lecz jako swoje centralne narzędzie sterowania. Kto czysto zapisze, jakie przetwarzanie w jakim celu na jakiej podstawie prawnej z jakimi odbiorcami i terminami usunięcia działa, ma tym samym zarazem odpowiedź na wnioski o dostęp, podstawę klauzuli informacyjnej i dowód dla nadzoru. Utrzymany rejestr to najtańsze ubezpieczenie w ochronie danych.
Obok zasad muszą Państwo zapewnić danym odpowiedni poziom bezpieczeństwa. Administrator i podmiot przetwarzający podejmują odpowiednie środki techniczne i organizacyjne, by zapewnić poziom bezpieczeństwa odpowiedni do ryzyka (Art. 32 ust. 1 RODO). Rozporządzenie wymienia przykładowo pseudonimizację i szyfrowanie, zdolność zapewnienia poufności, integralności, dostępności i odporności systemów, szybką przywracalność po incydencie oraz procedurę regularnego testowania skuteczności tych środków. Ważne jest podejście oparte na ryzyku: nie ma sztywnego katalogu obowiązków do odhaczenia. Miarą są stan techniki, koszty oraz rodzaj, zakres i ryzyko przetwarzania — sklep internetowy z danymi płatniczymi musi zapewnić więcej niż zakład rzemieślniczy z małą kartoteką klientów. Rozstrzygające także tu: podjęte środki należy udokumentować, inaczej nie da się ich w razie sporu wykazać.
Czy muszą Państwo wyznaczyć inspektora ochrony danych (IOD), nie jest kwestią wyczucia. Według rozporządzenia wyznaczenie jest obowiązkowe między innymi wtedy, gdy główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę lub na przetwarzaniu szczególnych kategorii danych na dużą skalę (Art. 37 ust. 1 RODO). Dla przedsiębiorstw w Niemczech dochodzi dodatkowy, często rozstrzygający próg — niemiecki szczególny przepis: uzupełniająco należy wyznaczyć inspektora ochrony danych, gdy tylko z reguły co najmniej 20 osób jest stale zatrudnionych przy zautomatyzowanym przetwarzaniu danych osobowych (§ 38 ust. 1 BDSG); niezależnie od tej liczby obowiązek chwyta przy określonych przetwarzaniach obciążonych ryzykiem (podlegających ocenie skutków dla ochrony danych bądź zawodowemu przekazywaniu, badaniom rynku i opinii). Inspektor może być własnym pracownikiem albo zewnętrznym usługodawcą (Art. 37 ust. 6 RODO). Niech Państwo świadomie sprawdzą te progi — zaniechanie wyznaczenia jest samodzielnym, zagrożonym karą naruszeniem.
Podstawowe obowiązki mają swój odpowiednik w prawach osób, których dane dotyczą — a te kierują się wprost do Państwa. Osoby mogą żądać dostępu do przechowywanych o nich danych, ich sprostowania, pod warunkami usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz sprzeciwu wobec określonych przetwarzań; dochodzą do tego wymogi dla decyzji zautomatyzowanych (Art. 12 do 22 RODO). Dla praktyki zarządu liczy się przede wszystkim jedno: muszą Państwo umieć organizacyjnie zareagować — rozpoznać wnioski, odpowiedzieć w terminie i wykazać wykonanie. Przedsiębiorstwo, które nie wie, gdzie jakie dane leżą, nie potrafi obsłużyć tych praw; także dlatego rejestr czynności przetwarzania jest tak centralny. Poszczególne prawa — zwłaszcza dostęp i usunięcie — są każde z osobna odrębnym tematem; tu wystarcza przegląd, że Państwa wewnętrzne procesy muszą być na nie przygotowane.
Dlaczego to wszystko nie jest papierologią do szuflady, pokazuje rama sankcji. RODO zna dwa poziomy kar, a przypisanie nie jest przypadkiem. Za naruszenia obowiązków organizacyjnych — na przykład rejestru czynności przetwarzania (Art. 30), bezpieczeństwa danych (Art. 32) czy wyznaczenia inspektora ochrony danych (Art. 37) — rozporządzenie przewiduje administracyjne kary pieniężne do 10 mln euro albo 2 procent całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, zależnie od tego, która kwota wyższa (Art. 83 ust. 4 RODO).
Za poważniejsze naruszenia zasad i podstaw prawnych przetwarzania — a więc Art. 5 i Art. 6 — oraz praw osób obowiązuje podwójna rama: do 20 mln euro albo 4 procent całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, zależnie od tego, która kwota wyższa (Art. 83 ust. 5 RODO). Dla przedsiębiorstw o wysokim obrocie miara procentowa jest groźniejsza; wiąże się z obrotem grupy, nie z zyskiem. Przy wysokości kary nadzór uwzględnia między innymi rodzaj, wagę i czas trwania naruszenia, umyślność lub niedbalstwo, podjęte środki techniczne i organizacyjne oraz współpracę z organem (Art. 83 ust. 2 RODO) — kto dowodnie zawczasu zabezpieczył się i współpracował, stoi wyraźnie lepiej niż ten, kto nie ma nic do okazania.
Praktyka Rama kar tłumaczy, dlaczego prewencja się opłaca: udokumentowane środki techniczne i organizacyjne wpływają wyraźnie na wymiar kary. Czysto prowadzona koncepcja ochrony danych obniża więc nie tylko ryzyko naruszenia, lecz i wysokość ewentualnej kary, gdyby jednak coś się stało. Dowodna prewencja to realne pieniądze.
Niech Państwo systematycznie ujmą, jakie dane osobowe Wasze przedsiębiorstwo przetwarza w jakich celach, kto jest zaangażowany i dokąd dane płyną (Art. 30 RODO). Ten rejestr jest podstawą wszystkiego dalszego — podstaw prawnych, obowiązków informacyjnych, wniosków o dostęp i dowodu wobec nadzoru.
Niech Państwo przypiszą każdemu przetwarzaniu nośną podstawę prawną — zgodę, umowę, obowiązek prawny albo prawnie uzasadniony interes (Art. 6 ust. 1 RODO). Przy prawnie uzasadnionym interesie udokumentują Państwo ważenie. Czego nie da się czysto uzasadnić, to należy poddać weryfikacji, zanim zrobi to nadzór.
Niech Państwo zadbają o zrozumiałą, kompletną i aktualną klauzulę informacyjną w każdym punkcie zbierania — strona, umowy, formularze, rekrutacje (Art. 13 RODO). Niech ją Państwo sprawdzą na nowo zawsze, gdy dojdzie nowe przetwarzanie, nowe narzędzie albo nowy usługodawca.
Niech Państwo określą poziom bezpieczeństwa według ryzyka Waszego przetwarzania i udokumentują podjęte środki — od praw dostępu przez szyfrowanie po kopie zapasowe i przywracanie (Art. 32 RODO). Dokumentacja jest częścią obowiązku, nie dodatkiem.
Niech Państwo sprawdzą na podstawie Art. 37 RODO i § 38 BDSG, czy trzeba wyznaczyć inspektora ochrony danych, i ustalą, kto w firmie obsługuje wnioski i incydenty. Jasne kompetencje są różnicą między pewną a chaotyczną reakcją w razie sporu.
Nakład zależy od tego, gdzie Państwa przedsiębiorstwo stoi. Firma, która zaczyna od zera — bez rejestru, bez uporządkowanych podstaw prawnych, z przestarzałą klauzulą informacyjną — ma więcej do nadrobienia niż taka, która musi tylko doostrzyć pojedyncze elementy. Dobra wiadomość: zdecydowanie największa część to jednorazowe działanie budujące, które potem tylko się utrzymuje. A prewencja jest prawie zawsze wyraźnie tańsza niż reakcja — postępowanie z organem nadzorczym, decyzja o karze pieniężnej czy spór o odszkodowanie wiąże nieporównanie więcej czasu i pieniędzy niż terminowe ustawienie podstawowych obowiązków.
Stałych cen ryczałtowych świadomie nie podajemy: czy chodzi o zbudowanie koncepcji ochrony danych dla młodego przedsiębiorstwa, o sprawdzenie pojedynczego planowanego przetwarzania, czy o obronę w już toczącym się postępowaniu nadzorczym, robi dla nakładu i sposobu działania rozstrzygającą różnicę. Rząd wielkości i uczciwą ocenę, która droga jest dla Państwa sensowna, otrzymają Państwo, gdy tylko dowiemy się, jak Państwa firma jest ustawiona i o co konkretnie chodzi.
Tak. Podstawowe obowiązki — zasady (Art. 5 RODO), podstawa prawna dla każdego przetwarzania (Art. 6 RODO), poinformowanie osób (Art. 13 RODO) i odpowiednie bezpieczeństwo danych (Art. 32 RODO) — dotykają każde przedsiębiorstwo, które przetwarza dane osobowe, niezależnie od wielkości. Tylko pojedyncze obowiązki, jak rejestr czynności przetwarzania, znają wyjątek dla mniejszych firm, a ten w praktyce chwyta rzadko (Art. 30 ust. 5 RODO).
Z reguły tak. Wyjątek dla podmiotów zatrudniających mniej niż 250 osób obowiązuje tylko, gdy nie zachodzi żaden z wyjątków odwrotnych (Art. 30 ust. 5 RODO). Odpada już, gdy przetwarzanie nie następuje tylko sporadycznie, niesie ryzyko albo dotyczy szczególnych kategorii danych. Ponieważ praktycznie każde przedsiębiorstwo przetwarza stale dane klientów i pracowników, rejestr jest dla większości firm obowiązkiem.
Muszą Państwo przestrzeganie zasad ochrony danych nie tylko zapewnić, lecz i móc wykazać (Art. 5 ust. 2 RODO). Praktycznie znaczy to: cele, podstawy prawne, terminy usunięcia i środki bezpieczeństwa należy udokumentować. W razie wątpliwości to na Państwu spoczywa wykazanie, że dochowali Państwo wymogów — czego nie udokumentowano, uchodzi w razie sporu za nieistniejące.
To zależy od Państwa działalności i wielkości. Według rozporządzenia wyznaczenie jest obowiązkowe między innymi przy systematycznym monitorowaniu na dużą skalę lub przetwarzaniu szczególnych kategorii danych na dużą skalę (Art. 37 ust. 1 RODO). W Niemczech dochodzi do tego: inspektora ochrony danych należy wyznaczyć, gdy tylko z reguły co najmniej 20 osób jest stale zatrudnionych przy zautomatyzowanym przetwarzaniu danych (§ 38 ust. 1 BDSG), oraz niezależnie od tego przy określonych przetwarzaniach obciążonych ryzykiem.
Są dwa poziomy. Naruszenia obowiązków organizacyjnych, jak rejestr czy bezpieczeństwo danych, mogą być zagrożone karą do 10 mln euro albo 2 procent światowego rocznego obrotu (Art. 83 ust. 4 RODO). Naruszenia zasad i podstaw prawnych przetwarzania leżą w wyższej ramie do 20 mln euro albo 4 procent światowego rocznego obrotu (Art. 83 ust. 5 RODO) — za każdym razem kwota wyższa. Dowodna prewencja działa łagodząco na wymiar kary (Art. 83 ust. 2 RODO).
Odezwiemy się do Państwa — zwykle w ciągu 24 godzin, w dni robocze gwarantowane w ciągu 48. Zwłaszcza gdy w powietrzu wisi wniosek organu nadzorczego albo osoby, której dane dotyczą, liczy się właściwa kolejność — proszę opisać sytuację raczej wcześniej, zanim zaczną biec terminy.
„Ochrona danych rzadko rozbija się o brak woli — rozbija się o to, że nikt nie spisze obowiązków, zanim ktoś o nie zapyta. Kto raz czysto ustawi i utrzymuje rejestr, podstawy prawne i środki bezpieczeństwa, odbiera organowi nadzorczemu atak, zanim ten go poprowadzi", mówi adwokat Sebastian Müller.
Ten artykuł dotyczy podstawowych obowiązków ochrony danych w Niemczech. Jeśli dopiero zakładają Państwo lub porządkują spółkę, przydatne są teksty Założenie GmbH w Niemczech, Rejestr handlowy w Niemczech oraz Odpowiedzialność członka zarządu w Niemczech — wszystkie w świecie Spółki i odpowiedzialność.
Proszę krótko opisać, o co chodzi — otrzymają Państwo pierwszą ocenę. Odezwiemy się do Państwa — zwykle w ciągu 24 godzin, w dni robocze gwarantowane w ciągu 48.
Opisz swoją sprawę