Ochrona danych osobowych zgodnie z RODO
Przepisy RODO weszły w życie 25 maja 2018 roku. Dotyczą one przetwarzania danych osobowych zarówno tych w bazach danych, na nośnikach, w poczcie elektronicznej, jak i w dokumentacji zapisanej na komputerach, serwerach, dyskach zewnętrznych czy urządzeniach mobilnych. W praktyce obowiązują one każdą firmę działającą na terytorium Unii Europejskiej, niezależnie od formy prawnej. Z obowiązków w zakresie ochrony danych muszą wywiązać się zarówno duże spółki, jak i osoby prowadzące jednoosobową działalność gospodarczą.
Podstawowe zasady bezpieczeństwa danych wynikające z przepisów RODO
- Uzyskanie świadomej zgody na przetwarzanie danych osobowych. Przetwarzanie oznacza jakiekolwiek czynności wykonywane w celu ich gromadzenia, przechowywania, usuwania, opracowywania lub udostępniania.
- Prawo do cofnięcia zgody na przetwarzanie danych osobowych w dowolnym momencie.
- Minimalizacja danych – dane osobowe powinny być adekwatne i ograniczone do tego, co niezbędne do realizacji określonych celów.
- Zabezpieczenie danych – obowiązek administratorów i podmiotów przetwarzających do odpowiedniego zabezpieczenia danych osobowych.
- Rejestrowanie czynności przetwarzania – obowiązek dokumentowania sposobu przetwarzania danych.
- Upoważnienia pracowników – każda osoba przetwarzająca dane osobowe powinna posiadać stosowne upoważnienie.
- Zgłaszanie naruszeń – administrator ma obowiązek zgłoszenia do organu nadzorczego (w Polsce: Prezes Urzędu Ochrony Danych Osobowych – PUODO) przypadków naruszenia bezpieczeństwa danych osobowych.
Okres przechowywania i usuwanie danych osobowych
Zgodnie z przepisami unijnego rozporządzenia dane osobowe można przetwarzać wyłącznie przez czas niezbędny do realizacji celu ich zebrania lub okres wyznaczony przez przepisy prawa. Po tym czasie dane należy usunąć lub zniszczyć. Usuwanie danych osobowych oznacza trwałe skasowanie ich z nośnika w taki sposób, aby nie było możliwe ich odtworzenie, natomiast niszczenie danych osobowych zgodnie z RODO polega na fizycznym zniszczeniu nośnika, np. dysku twardego, dokumentu papierowego czy pendrive’a.
Każda czynność usunięcia lub zniszczenia danych powinna być potwierdzona protokołem i wykonywana zgodnie z wewnętrzną polityką bezpieczeństwa danych osobowych. Bezprawne lub nieprawidłowe niszczenie dokumentów zawierających dane osobowe stanowi naruszenie przepisów RODO i może skutkować karami administracyjnymi.
Niszczenie dokumentów RODO i współpraca z firmami zewnętrznymi
W wielu przypadkach przedsiębiorstwa korzystają z usług wyspecjalizowanych podmiotów, które zajmują się niszczeniem dokumentów zgodnym z RODO. Takie rozwiązanie zapewnia bezpieczeństwo i zgodność z przepisami prawa. Przekazanie danych lub dokumentów do zniszczenia wymaga jednak zawarcia umowy powierzenia (tzw. umowy RODO) pomiędzy administratorem danych a firmą wykonującą usługę.
Zlecenie niszczenia dokumentów zgodnie z RODO powinno jasno określać zakres, sposób oraz warunki niszczenia dokumentów zawierających dane osobowe. W umowie należy wskazać, że podmiot przetwarzający zobowiązuje się do zachowania poufności i przestrzegania zasad ochrony danych. W praktyce profesjonalne firmy zajmujące się niszczeniem dokumentów zawierających dane osobowe wystawiają potwierdzenie lub certyfikat zniszczenia, co stanowi dowód prawidłowego wykonania usługi i minimalizuje ryzyko odpowiedzialności po stronie administratora danych.
Bezpieczne procedury usuwania i niszczenia danych
Aby uniknąć naruszeń ochrony danych osobowych, warto opracować szczegółowe procedury niszczenia danych osobowych RODO, określające m.in.:
- rodzaje nośników i dokumentów podlegających zniszczeniu,
- metody niszczenia (mechaniczne, chemiczne, programowe),
- zasady dokumentowania procesu,
- odpowiedzialność osób upoważnionych do przeprowadzania niszczenia danych.
W przypadku danych cyfrowych można stosować specjalistyczne oprogramowanie nadpisujące pliki, natomiast dokumenty papierowe powinny być niszczone za pomocą certyfikowanych niszczarek lub przekazywane firmie posiadającej odpowiednie uprawnienia na podstawie podpisanej umowy powierzenia przetwarzania danych.
