Gdy firma przechowuje dane klientów, pracowników albo kontrahentów, samo posiadanie arkusza Excel czy programu księgowego już oznacza obowiązek ich odpowiedniej ochrony. Wyjaśniam, co to jest RODO, kogo dotyczą przepisy, jakie prawa ma osoba fizyczna oraz co w praktyce powinien zrobić przedsiębiorca, szczególnie prowadzący księgowość lub małą firmę.
RODO porządkuje sposób wykorzystywania danych osobowych
- RODO to unijne rozporządzenie regulujące ochronę i przetwarzanie danych osobowych.
- Przepisy obowiązują w Polsce od 25 maja 2018 roku.
- Dane można przetwarzać tylko w określonym celu i na odpowiedniej podstawie prawnej.
- Osoba ma między innymi prawo dostępu, sprostowania, usunięcia danych i sprzeciwu.
- Firma musi stosować zabezpieczenia dopasowane do ryzyka i rodzaju przetwarzanych informacji.
Co to jest RODO i po co wprowadzono te przepisy
RODO to skrót od ogólnego rozporządzenia o ochronie danych. Pełna nazwa aktu to rozporządzenie Parlamentu Europejskiego i Rady UE 2016/679. Zastąpiło ono wcześniejsze, bardziej rozproszone zasady ochrony danych i ujednoliciło je w państwach Unii Europejskiej.
Najprościej mówiąc, RODO określa, kto, po co i na jakich zasadach może korzystać z danych osoby fizycznej. Nie chodzi wyłącznie o zakaz udostępniania numeru PESEL. Przepisy obejmują także zbieranie, zapisywanie, przechowywanie, analizowanie, przekazywanie i usuwanie informacji.
W mojej ocenie największe znaczenie RODO nie polega na tworzeniu rozbudowanych dokumentów, lecz na uporządkowaniu codziennych działań. Firma powinna wiedzieć, jakie dane posiada, dlaczego ich potrzebuje, kto ma do nich dostęp i jak długo zamierza je przechowywać.
Przeczytaj również: CFR - Incoterm vs. RODO. Jak chronić dane w biznesie?
Jakie informacje są danymi osobowymi
Dane osobowe to informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Może to być imię i nazwisko, adres, numer telefonu, adres e-mail, numer PESEL, dane rachunku bankowego, adres IP albo informacje o zatrudnieniu.
Pojedyncza informacja nie zawsze wystarczy do identyfikacji. Jednak połączenie kilku danych może już wskazywać konkretną osobę. Przykładowo numer klienta, nazwa stanowiska i nazwa niewielkiej firmy mogą pozwolić ustalić, o kogo chodzi.
RODO nie chroni samej osoby prawnej, takiej jak spółka z ograniczoną odpowiedzialnością. Ochronie podlegają jednak dane osób reprezentujących spółkę, jej pracowników oraz osoby kontaktowe, jeśli można je zidentyfikować.
Kogo dotyczą przepisy i kto odpowiada za dane
RODO dotyczy większości firm, urzędów, fundacji, sklepów internetowych, pracodawców i osób prowadzących jednoosobową działalność gospodarczą. Obowiązuje także wtedy, gdy przedsiębiorca nie prowadzi dużej bazy klientów, lecz przechowuje kilka umów, faktur lub dokumentów kadrowych.
W praktyce trzeba rozróżnić dwie podstawowe role. Administrator decyduje o celu i sposobie przetwarzania danych, a podmiot przetwarzający wykonuje określone czynności na zlecenie administratora.
| Rola | Przykład | Najważniejsza odpowiedzialność |
|---|---|---|
| Administrator | Pracodawca przechowujący akta pracowników | Ustala cel, podstawę prawną i zasady ochrony danych |
| Podmiot przetwarzający | Biuro księgowe prowadzące księgi klienta | Przetwarza dane zgodnie z instrukcjami i umową powierzenia |
| Odbiorca danych | Bank, kurier albo dostawca systemu informatycznego | Otrzymuje dane w określonym celu i na określonych zasadach |
Sama nazwa umowy nie przesądza jeszcze o roli firmy. Liczy się to, kto faktycznie podejmuje decyzje dotyczące danych. Biuro rachunkowe może być podmiotem przetwarzającym dla danych klientów, ale jednocześnie administratorem własnych danych pracowników, kandydatów i kontrahentów.
Przy zleceniu księgowości zewnętrznemu biuru zwykle potrzebna jest umowa powierzenia przetwarzania danych. Nie zastępuje ona jednak obowiązków administratora. Przedsiębiorca nadal powinien sprawdzić, czy wybrany usługodawca ma odpowiednie zabezpieczenia i procedury.
Na jakiej podstawie firma może przetwarzać dane
Nie każda czynność wymaga zgody. To jedno z najczęściej powtarzanych nieporozumień. Firma musi mieć podstawę prawną, ale w wielu sytuacjach będzie nią umowa, obowiązek ustawowy albo uzasadniony interes administratora.
| Podstawa prawna | Przykład zastosowania |
|---|---|
| Zgoda | Zapis do newslettera lub zgoda na określony marketing |
| Wykonanie umowy | Realizacja zamówienia i wystawienie faktury |
| Obowiązek prawny | Prowadzenie dokumentacji podatkowej i kadrowej |
| Żywotne interesy osoby | Działanie potrzebne do ochrony życia lub zdrowia |
| Zadanie publiczne | Przetwarzanie danych przez urząd w ramach jego kompetencji |
| Prawnie uzasadniony interes | Dochodzenie zapłaty lub ochrona przed nadużyciami |
Zgoda powinna być dobrowolna, konkretna, świadoma i możliwa do wycofania. Nie można wymuszać zgody na marketing jako warunku zawarcia umowy, jeśli marketing nie jest potrzebny do jej wykonania.
Przykładowo sklep może przetwarzać dane klienta w celu wysyłki zamówienia bez osobnej zgody, ponieważ jest to konieczne do realizacji umowy. Inaczej wygląda wysyłka reklam po zakończeniu zakupu. Tu potrzebna jest właściwa podstawa prawna i respektowanie sprzeciwu.
Szczególnej ostrożności wymagają dane wrażliwe, czyli między innymi informacje o zdrowiu, poglądach politycznych, religii lub przynależności związkowej. Numer PESEL nie jest daną szczególnej kategorii, ale jego wyciek może powodować poważne ryzyko kradzieży tożsamości, dlatego powinien być odpowiednio zabezpieczony.
Jakie prawa daje RODO osobie fizycznej
Osoba, której dane dotyczą, nie musi biernie czekać na decyzję firmy. Może zapytać, jakie informacje są przetwarzane, w jakim celu i komu je udostępniono. UODO wskazuje, że administrator powinien komunikować te informacje jasnym i zrozumiałym językiem, a nie ukrywać ich w wielostronicowym, nieczytelnym dokumencie.
- Prawo dostępu do danych i informacji o ich wykorzystywaniu.
- Prawo do sprostowania nieprawidłowych lub nieaktualnych informacji.
- Prawo do usunięcia danych, nazywane prawem do bycia zapomnianym, gdy spełnione są określone warunki.
- Prawo do ograniczenia przetwarzania, czyli czasowego wstrzymania określonych operacji.
- Prawo do przenoszenia danych w przypadkach przewidzianych w przepisach.
- Prawo sprzeciwu, szczególnie wobec marketingu bezpośredniego.
- Prawo do cofnięcia zgody, jeśli przetwarzanie opierało się właśnie na zgodzie.
Na żądanie osoby administrator powinien odpowiedzieć co do zasady w ciągu miesiąca. Przy sprawach skomplikowanych termin może zostać przedłużony maksymalnie o kolejne 2 miesiące, ale firma powinna poinformować o tym wcześniej i wyjaśnić przyczynę.
Prawo do usunięcia danych nie działa automatycznie. Firma może nadal przechowywać dokumenty, jeśli wymaga tego prawo podatkowe, rachunkowe, pracownicze albo potrzeba dochodzenia roszczeń. Dlatego żądanie usunięcia danych trzeba oceniać razem z celem i podstawą ich przechowywania.
Co RODO oznacza dla małej firmy i biura księgowego
Mały przedsiębiorca nie musi wdrażać takiego samego systemu jak bank. Musi jednak dobrać środki do ryzyka. W biurze księgowym szczególnie ważne są uprawnienia dostępu, kopie zapasowe, szyfrowanie i kontrola przesyłanych dokumentów.
Podstawowy porządek można zbudować w kilku krokach:
- Spisz, jakie dane firma zbiera i w jakich procesach ich używa.
- Ustal podstawę prawną oraz cel każdego procesu.
- Określ, kto ma dostęp do dokumentów i programów.
- Ustal terminy przechowywania oraz sposób bezpiecznego usuwania danych.
- Zawrzyj umowy powierzenia z dostawcami, którzy przetwarzają dane na zlecenie.
- Przeszkol pracowników z phishingu, haseł i zasad przesyłania dokumentów.
- Przygotuj procedurę reagowania na utratę laptopa, błędny e-mail lub włamanie do systemu.
Dokumentacja powinna odzwierciedlać rzeczywiste działania, a nie być zbiorem gotowych plików kupionych w internecie. Polityka bezpieczeństwa nie pomoże, jeśli pracownicy wysyłają listy płac na prywatne skrzynki albo wszyscy korzystają z jednego hasła.
W przypadku naruszenia trzeba szybko ustalić, co się wydarzyło, jakie dane wyciekły i jakie może to powodować ryzyko. Zgłoszenie do organu nadzorczego może być wymagane w ciągu 72 godzin od stwierdzenia naruszenia, ale nie każdy incydent podlega zgłoszeniu. Ocena zależy między innymi od rodzaju danych, liczby osób i prawdopodobnych skutków.
Za poważne naruszenia RODO grożą administracyjne kary pieniężne sięgające do 20 milionów euro albo 4 procent całkowitego rocznego światowego obrotu przedsiębiorstwa, zależnie od tego, która kwota jest wyższa. W praktyce ryzyko finansowe nie powinno jednak przesłaniać podstawowego celu, którym jest ograniczenie szkody dla konkretnych osób.
RODO bez mitów i niepotrzebnej biurokracji
RODO nie oznacza, że firmie nie wolno przechowywać żadnych danych. Nie zabrania też wystawiania faktur, zatrudniania pracowników czy przekazywania dokumentów księgowych. Wymaga natomiast, aby każda czynność miała uzasadniony cel, podstawę prawną i rozsądne zabezpieczenia.
Nieprawdziwe jest również przekonanie, że każda zgoda musi być podpisana na papierze. Zgoda może zostać wyrażona elektronicznie, o ile firma potrafi wykazać jej treść i moment udzielenia. Z drugiej strony samo zaznaczenie ogólnego pola „akceptuję” nie zawsze będzie wystarczające.
Najczęstszy błąd widzę gdzie indziej. Przedsiębiorcy inwestują w klauzule informacyjne, ale pomijają codzienną praktykę: otwarte szafy z dokumentami, brak blokady ekranu, nieaktualne uprawnienia i przesyłanie danych bez sprawdzenia adresata. Bezpieczny proces jest ważniejszy niż efektowny segregator z procedurami.
Najprostszy test zgodności dla przedsiębiorcy
Na początek zadaj sobie pięć pytań: jakie dane mam, po co je wykorzystuję, na jakiej podstawie to robię, kto ma do nich dostęp i kiedy je usunę. Jeśli na którekolwiek z nich nie ma jasnej odpowiedzi, właśnie tam znajduje się obszar wymagający uporządkowania.
W 2026 roku RODO nie jest już nowością, ale nadal wymaga regularnego przeglądu. Zmiana programu księgowego, dostawcy chmury, sposobu rekrutacji albo zakresu usług może zmienić ryzyko i obowiązki firmy. Dobre podejście nie polega na bezrefleksyjnym kopiowaniu dokumentów, tylko na dopasowaniu ochrony danych do tego, jak przedsiębiorstwo naprawdę działa.
