Dlaczego to istotne dla Twojej firmy
Konsekwencje finansowe. Prezes UODO wymierzył w ostatnich latach kary sięgające 2,8 mln PLN (Morele.net), 1,1 mln PLN (ID Finance Poland), 4,9 mln PLN (Cyfrowy Polsat). Wartość kar systematycznie rośnie wraz z dojrzałością orzecznictwa europejskiego.
Integracja z innymi regulacjami. RODO nie funkcjonuje w izolacji — łączy się bezpośrednio z AI Act (art. 22 RODO o zautomatyzowanym podejmowaniu decyzji + Annex III AI Act dla systemów wysokiego ryzyka), z ustawą AML (kolizja terminów retencji: 3 lata RODO vs 5 lat AML), z NIS2 (incydent cyberbezpieczeństwa to równocześnie naruszenie ochrony danych) oraz z DSA i Data Act dla platform internetowych.
Dokumentacja szyta na miarę vs szablony rynkowe. Generyczne szablony nie rozróżniają podstaw prawnych dla sektora publicznego (art. 6 ust. 1 lit. e/c) od prywatnego (lit. f), nie uwzględniają specyfiki danych wrażliwych (art. 9), pomijają obowiązki podmiotu przetwarzającego (RCPD — art. 30 ust. 2). Pierwsza kontrola UODO ujawnia te luki i skutkuje wnioskami pokontrolnymi.
Jak weryfikuje organ nadzoru. UODO rozpoczyna kontrolę od weryfikacji rejestru czynności przetwarzania (art. 30) — czy istnieje, czy kompletny, czy aktualny. Następnie sprawdza klauzule informacyjne (art. 13-14), DPIA dla przetwarzania wysokiego ryzyka (art. 35), procedurę zgłaszania naruszeń (czy spełnia wymóg 72-godzinny art. 33 ust. 1), umowy powierzenia z dostawcami (art. 28). Brak któregokolwiek dokumentu = wniosek pokontrolny.
Nasza propozycja. Dokumentacja oparta na strukturalnej analizie działalności klienta z biblioteki 230+ ankiet branżowych. Sześć niezależnych poziomów weryfikacji przed oddaniem. Klauzula 12 miesięcy aktualizacji w cenie — automatyczne dostosowanie po każdej istotnej zmianie w orzecznictwie EROD lub UODO. Każdy dokument podpisany przez radcę prawnego z OC 10 mln PLN.
Najczęstsze błędy w dokumentacji rynkowej
- Generyczne klauzule informacyjne przepisane z internetu — nieuwzględniające realnych celów przetwarzania, podstaw prawnych ani okresów retencji w danej firmie.
- Polityka prywatności mylona z polityką ochrony danych — to dwa różne dokumenty (jeden zewnętrzny dla podmiotów danych, drugi wewnętrzny operacyjny).
- Sektor publiczny na podstawie art. 6 ust. 1 lit. f — urząd gminy, szpital publiczny, szkoła nie mogą przetwarzać danych w oparciu o „uzasadniony interes". Wymagają lit. e lub lit. c.
- DPIA wykonywana jednorazowo jako dokument do szuflady — zamiast jako proces wykonywany przed każdym nowym przetwarzaniem wysokiego ryzyka.
- Procedura naruszeń bez 72-godzinnego terminu dla UODO — terminy reagowania niezgodne z art. 33 ust. 1 RODO.
- Brak rejestru kategorii przetwarzania (RCPD) dla podmiotu przetwarzającego — biuro rachunkowe, agencja marketingowa, dostawca SaaS muszą prowadzić osobny rejestr na podstawie art. 30 ust. 2.
Co zawiera nasz pakiet RODO
17 dokumentów przygotowanych przez prawników, walidowanych przez sześć poziomów kontroli, podpisanych przez radcę prawnego z OC 10 mln PLN. Wszystkie dostosowane do specyfiki branżowej klienta na podstawie ankiety diagnostycznej.
Specyficzne elementy dla różnych branż
Klauzule cookies pod ePrivacy + EROD 3/2022, polityka programu lojalnościowego, mechanizm zgód marketingowych, procedura wycieku danych klientów (jak Morele.net — 2,8 mln PLN).
Podstawy z art. 6 ust. 1 lit. e i c (z wykluczeniem lit. f). JRWA i art. 17 RODO. Klauzule dla petentów. EZD PUW/RP. Monitoring szkolny art. 108a Prawa oświatowego.
RCPD obowiązkowy art. 30 ust. 2. Zestaw umów DPA z mocodawcami. Audyt dostępu, zasada minimalizacji w dostępie pracowników.
Art. 9 RODO (dane wrażliwe), DPIA dla EHR, dokumentacja medyczna a art. 17. Powierzenie laboratoriom diagnostycznym.
Rozróżnienie podstaw dla pracowników (art. 6 lit. b/c/f), CV i dane kandydatów, monitoring (art. 22³ KP), narzędzia AI (delineacja z AI Act Annex III pkt 4).
RODO obok PSD2 i AML. Rejestry transakcji a retencja, monitoring antyfraudowy a profilowanie (art. 22). KYC a minimalizacja. BIK i KRD.