Administrator danych osobowych odpowiada nie tylko za prawidłowe zebranie danych klientów, pracowników lub kontrahentów. Jego odpowiedzialność obejmuje cały cykl życia informacji, od określenia celu i podstawy prawnej przetwarzania, przez wybór systemów i dostawców, aż po bezpieczne usunięcie danych.
W praktyce obowiązki administratora danych osobowych nie sprowadzają się do posiadania polityki prywatności, klauzul informacyjnych i kilku umów powierzenia. RODO wymaga aktywnego zarządzania procesami, ryzykiem, bezpieczeństwem i prawami osób fizycznych. Administrator musi również potrafić wykazać, że wdrożone rozwiązania są adekwatne do charakteru działalności i rzeczywistych zagrożeń.
Poniżej wyjaśniamy, kto jest administratorem danych, jakie obowiązki nakłada na niego RODO oraz jak przełożyć wymagania prawne na codzienne funkcjonowanie organizacji.
Zapraszamy do współpracy
Szczegółowe informacje o ofercie i warunkach współpracy można uzyskać telefonicznie lub wysyłając zapytanie za pomocą formularza kontaktowego.
Kim jest administrator danych osobowych?
Administratorem jest osoba fizyczna, osoba prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie albo wspólnie z innymi określa cele i sposoby przetwarzania danych osobowych.
Najważniejsze jest zatem nie to, kto fizycznie przechowuje dane lub obsługuje system informatyczny, lecz kto decyduje:
- dlaczego dane mają być przetwarzane,
- do czego będą wykorzystywane,
- jakich osób będą dotyczyć,
- jaki zakres danych zostanie zebrany,
- jak długo dane będą przechowywane,
- komu zostaną przekazane,
- jakie kluczowe rozwiązania organizacyjne i techniczne zostaną zastosowane.
Jeżeli spółka zbiera dane klientów, aby realizować zamówienia, prowadzić księgowość, rozpatrywać reklamacje lub wysyłać marketing, to zasadniczo właśnie spółka jest administratorem tych danych. Pracownik, członek zarządu albo zewnętrzny informatyk nie stają się przez to odrębnymi administratorami.
Podobnie firma świadcząca usługi księgowe, hostingowe lub kadrowe może występować jako podmiot przetwarzający, jeżeli działa na udokumentowane polecenie klienta i nie określa samodzielnie własnych celów wykorzystania danych. W niektórych relacjach ten sam podmiot może jednak występować w różnych rolach, zależnie od konkretnej operacji przetwarzania.
Administrator, procesor czy współadministrator?
Prawidłowe ustalenie roli jest jednym z pierwszych obowiązków administratora danych osobowych. Od tej kwalifikacji zależy między innymi rodzaj umowy, zakres odpowiedzialności oraz sposób spełnienia obowiązków informacyjnych.
Administrator danych osobowych
Administrator decyduje o celu i kluczowych sposobach przetwarzania. Przetwarza dane we własnych celach, na przykład w celu zatrudniania pracowników, realizacji sprzedaży, ochrony mienia lub prowadzenia marketingu.
Podmiot przetwarzający
Procesor przetwarza dane w imieniu administratora i zgodnie z jego udokumentowanymi poleceniami. Typowymi procesorami mogą być dostawcy hostingu, systemów kadrowych, call center, usług archiwizacyjnych lub obsługi IT.
Współadministratorzy
Ze współadministrowaniem mamy do czynienia, gdy co najmniej dwa podmioty wspólnie ustalają cele i sposoby przetwarzania. Powinny one w przejrzysty sposób określić zakres swojej odpowiedzialności, w szczególności za realizowanie praw osób i obowiązków informacyjnych. Sam fakt współpracy biznesowej, wymiany danych lub działania w jednej grupie kapitałowej nie oznacza jeszcze automatycznie współadministrowania.
Najważniejsze obowiązki administratora danych osobowych
RODO nie tworzy jednego zamkniętego wykazu obowiązków ADO. Poszczególne wymagania wynikają z wielu przepisów rozporządzenia i powinny być stosowane łącznie. Ich zakres zależy również od charakteru działalności, skali przetwarzania, kategorii danych oraz poziomu ryzyka dla osób fizycznych.
1. Zidentyfikowanie procesów przetwarzania danych
Administrator powinien wiedzieć, jakie dane znajdują się w organizacji, skąd pochodzą, w jakim celu są wykorzystywane i przez jakie systemy przepływają.
Inwentaryzacja powinna obejmować co najmniej:
- procesy biznesowe, w których występują dane osobowe,
- kategorie osób i danych,
- cele i podstawy prawne przetwarzania,
- systemy, aplikacje i dokumentację papierową,
- odbiorców danych,
- podmioty przetwarzające i podprocesorów,
- transfery poza Europejski Obszar Gospodarczy,
- okresy przechowywania,
- stosowane zabezpieczenia,
- osoby i stanowiska mające dostęp do danych.
Bez rzetelnej inwentaryzacji nie da się poprawnie przygotować rejestru czynności przetwarzania, klauzul informacyjnych, analizy ryzyka ani zasad retencji.
2. Przestrzeganie zasad przetwarzania danych
Każda operacja na danych osobowych powinna pozostawać zgodna z zasadami określonymi w art. 5 RODO. Są to:
- zgodność z prawem, rzetelność i przejrzystość,
- ograniczenie celu,
- minimalizacja danych,
- prawidłowość,
- ograniczenie przechowywania,
- integralność i poufność,
- rozliczalność.
Zasada minimalizacji oznacza, że administrator nie powinien zbierać danych „na zapas”. Zakres informacji musi być rzeczywiście niezbędny do osiągnięcia konkretnego celu.
Ograniczenie przechowywania wymaga natomiast ustalenia terminów retencji. Nie wystarczy ogólne stwierdzenie, że dane będą przetwarzane „tak długo, jak będzie to konieczne”. Administrator powinien potrafić wskazać konkretny termin albo obiektywne kryterium pozwalające go ustalić.
Najważniejsza z perspektywy odpowiedzialności jest zasada rozliczalności. Administrator nie tylko ma działać zgodnie z przepisami, lecz także musi być w stanie tę zgodność wykazać. Dowodami mogą być między innymi rejestry, analizy ryzyka, raporty z audytów, procedury, protokoły testów bezpieczeństwa, dokumentacja zgód, umowy oraz potwierdzenia przeprowadzonych szkoleń.
3. Ustalenie prawidłowej podstawy prawnej
Każdy cel przetwarzania powinien mieć właściwą podstawę prawną. W przypadku danych zwykłych podstawy te wynikają przede wszystkim z art. 6 RODO. Mogą nimi być:
- zgoda,
- wykonanie umowy lub działania przed jej zawarciem,
- obowiązek prawny,
- ochrona żywotnych interesów,
- realizacja zadania publicznego,
- prawnie uzasadniony interes administratora lub osoby trzeciej.
Zgoda nie jest podstawą domyślną ani zawsze najbezpieczniejszą. Nie należy jej odbierać tam, gdzie przetwarzanie jest niezbędne do wykonania umowy albo realizacji obowiązku prawnego. Posługiwanie się zgodą w takich przypadkach może wprowadzać osobę w błąd co do możliwości jej wycofania.
Jeżeli administrator opiera się na prawnie uzasadnionym interesie, powinien zidentyfikować ten interes, ocenić niezbędność przetwarzania i przeprowadzić test równowagi uwzględniający prawa oraz rozsądne oczekiwania osób.
Przetwarzanie danych szczególnych kategorii, takich jak dane dotyczące zdrowia, biometrii, pochodzenia etnicznego, religii lub poglądów politycznych, wymaga dodatkowo spełnienia jednej z przesłanek określonych w art. 9 ust. 2 RODO. Odrębne wymagania dotyczą także danych o wyrokach skazujących i naruszeniach prawa.
4. Realizacja obowiązku informacyjnego
Administrator musi w przejrzysty sposób poinformować osobę o przetwarzaniu jej danych.
Zakres i moment przekazania informacji zależą od tego, czy dane zostały pozyskane bezpośrednio od osoby, czy z innego źródła. Klauzula informacyjna powinna obejmować między innymi:
- tożsamość i dane kontaktowe administratora,
- dane kontaktowe IOD, jeżeli został wyznaczony,
- cele i podstawy prawne,
- prawnie uzasadnione interesy, jeśli są podstawą przetwarzania,
- odbiorców lub ich kategorie,
- informacje o transferach poza EOG,
- okres przechowywania,
- prawa osoby,
- możliwość wycofania zgody,
- prawo wniesienia skargi do organu nadzorczego,
- źródło danych, jeżeli nie pozyskano ich bezpośrednio,
- informacje o zautomatyzowanym podejmowaniu decyzji.
Informacje powinny być napisane prostym, konkretnym i zrozumiałym językiem. Skopiowanie ogólnej klauzuli od innego podmiotu nie spełni obowiązku, jeżeli nie odzwierciedla rzeczywistych procesów organizacji.
5. Zapewnienie realizacji praw osób
Administrator musi stworzyć procedurę pozwalającą rozpoznawać wnioski dotyczące:
- dostępu do danych,
- uzyskania kopii danych,
- sprostowania,
- usunięcia,
- ograniczenia przetwarzania,
- przenoszenia danych,
- sprzeciwu,
- wycofania zgody,
- zautomatyzowanego podejmowania decyzji.
Odpowiedzi należy co do zasady udzielić w ciągu miesiąca. W sprawach skomplikowanych termin może zostać przedłużony o kolejne dwa miesiące, ale osoba musi zostać poinformowana o przedłużeniu i jego przyczynach w pierwszym miesiącu.
Administrator powinien również potrafić zweryfikować tożsamość wnioskodawcy bez zbierania nadmiarowych danych. Automatyczne żądanie skanu dowodu osobistego przy każdym wniosku może naruszać zasadę minimalizacji.
Szczególne znaczenie ma sprzeciw wobec marketingu bezpośredniego. Po jego wniesieniu dane nie mogą być dalej wykorzystywane do takiego marketingu. Uprawnień wynikających z RODO nie można wyłączyć regulaminem, umową ani wewnętrzną polityką przedsiębiorstwa.
6. Prowadzenie rejestru czynności przetwarzania
Rejestr czynności przetwarzania, czyli RCP, jest jednym z najważniejszych dokumentów systemu ochrony danych. Powinien zawierać między innymi:
- cele przetwarzania,
- kategorie osób i danych,
- kategorie odbiorców,
- informacje o przekazywaniu danych poza EOG,
- planowane terminy usunięcia,
- ogólny opis zabezpieczeń.
Wyjątek dla podmiotów zatrudniających mniej niż 250 osób jest w obecnym stanie prawnym bardzo ograniczony. Nie ma zastosowania między innymi wtedy, gdy przetwarzanie nie ma charakteru sporadycznego, może powodować ryzyko dla praw lub wolności albo obejmuje szczególne kategorie danych lub dane dotyczące wyroków skazujących.
W praktyce regularna obsługa pracowników, klientów, księgowości, reklamacji czy monitoringu oznacza, że przetwarzanie nie jest sporadyczne. Dlatego również niewielkie firmy bardzo często powinny prowadzić RCP.
W Unii Europejskiej trwają prace nad rozszerzeniem wyjątku dotyczącego rejestrów na większe organizacje i powiązaniem go z przetwarzaniem wysokiego ryzyka. Na 22 lipca 2026 r. jest to jednak nadal zmiana legislacyjna, a nie podstawa do rezygnacji z obowiązków wynikających z aktualnego art. 30 RODO.
7. Uwzględnianie ochrony danych w fazie projektowania
Privacy by design oznacza, że ochrona danych powinna być uwzględniana już podczas projektowania produktu, usługi, systemu, aplikacji lub procesu biznesowego.
Administrator powinien analizować kwestie prywatności przed uruchomieniem rozwiązania, a nie dopiero po pojawieniu się problemu. Dotyczy to na przykład:
- wdrożenia nowego systemu CRM,
- uruchomienia monitoringu,
- instalacji narzędzi analitycznych,
- wykorzystania biometrii,
- profilowania klientów,
- wdrażania narzędzi AI,
- budowy aplikacji mobilnej,
- tworzenia programu lojalnościowego.
Privacy by default wymaga natomiast, aby ustawienia domyślne zapewniały możliwie wysoki poziom ochrony. Domyślnie powinny być przetwarzane wyłącznie dane niezbędne dla konkretnego celu. Przykładowo opcje marketingowe nie mogą być automatycznie zaznaczone, a profil użytkownika nie powinien być publiczny bez jego świadomej decyzji.
8. Zapewnienie bezpieczeństwa danych
Administrator powinien wdrożyć środki techniczne i organizacyjne odpowiadające ryzyku. RODO nie narzuca jednego katalogu zabezpieczeń dla wszystkich organizacji.
Przy doborze środków należy uwzględnić:
- rodzaj i zakres danych,
- skalę oraz kontekst przetwarzania,
- liczbę osób,
- możliwe skutki incydentu,
- prawdopodobieństwo zagrożeń,
- stan wiedzy technicznej,
- koszty wdrożenia.
Środki bezpieczeństwa mogą obejmować między innymi:
- uwierzytelnianie wieloskładnikowe,
- szyfrowanie danych i urządzeń,
- kopie zapasowe oraz testy odtwarzania,
- zarządzanie uprawnieniami,
- rejestrowanie operacji w systemach,
- aktualizacje i zarządzanie podatnościami,
- segmentację sieci,
- kontrolę dostępu do pomieszczeń,
- bezpieczne niszczenie dokumentów,
- procedury pracy zdalnej,
- testy skuteczności zabezpieczeń,
- szkolenia i ćwiczenia incydentowe.
Nie wystarczy samo wdrożenie zabezpieczenia. Administrator powinien okresowo oceniać jego skuteczność. Środek odpowiedni kilka lat temu może nie odpowiadać aktualnym zagrożeniom.
9. Kontrola dostępu i upoważnienia
Osoby działające z upoważnienia administratora mogą przetwarzać dane wyłącznie na jego polecenie, chyba że obowiązek przetwarzania wynika z prawa.
RODO nie wymaga, aby każde upoważnienie miało formę papierowego dokumentu podpisanego przez zarząd. Administrator musi jednak zachować rzeczywistą kontrolę nad tym:
- kto ma dostęp do danych,
- do jakich kategorii informacji,
- w jakim celu,
- w jakich systemach,
- przez jaki okres,
- na jakich zasadach dostęp jest odbierany.
System nadawania i odbierania uprawnień powinien być powiązany z zatrudnieniem, zmianą stanowiska, zastępstwami i zakończeniem współpracy. Szczególne znaczenie ma szybkie odbieranie dostępów osobom, które odchodzą z organizacji.
10. Weryfikacja podmiotów przetwarzających
Zawarcie umowy powierzenia nie zwalnia administratora z odpowiedzialności za wybór dostawcy. Administrator może korzystać wyłącznie z usług procesora zapewniającego wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych.
Weryfikacja powinna nastąpić przed rozpoczęciem współpracy i być ponawiana w toku jej trwania. Może obejmować:
- ankietę bezpieczeństwa,
- analizę dokumentacji,
- certyfikaty i raporty audytowe,
- informacje o incydentach,
- zasady korzystania z podprocesorów,
- lokalizację danych,
- procedury ciągłości działania,
- zasady usuwania i zwrotu danych,
- transfery poza EOG,
- audyt zdalny lub stacjonarny.
Umowa powierzenia powinna regulować elementy wymagane przez art. 28 RODO, ale jej treść musi odpowiadać rzeczywistej usłudze. Ogólny załącznik powielany w każdej relacji może nie zapewniać wystarczającej ochrony.
UODO podkreśla, że zasada rozliczalności obejmuje również operacje wykonywane przez procesorów. Administrator powinien mieć możliwość uzyskania informacji, przeprowadzania kontroli i reagowania na uchybienia dostawcy.
11. Reagowanie na naruszenia ochrony danych
Naruszeniem ochrony danych może być nie tylko atak hakerski. Może nim być także:
- wysłanie wiadomości do niewłaściwego odbiorcy,
- użycie pola „Do” zamiast „UDW”,
- zagubienie dokumentacji,
- kradzież laptopa,
- udostępnienie nadmiernych uprawnień,
- przypadkowe usunięcie danych,
- utrata dostępności systemu,
- opublikowanie danych w internecie,
- nieuprawniona zmiana informacji.
Administrator powinien dokumentować każde naruszenie, również wtedy, gdy nie wymaga ono zgłoszenia Prezesowi UODO.
Jeżeli naruszenie może powodować ryzyko dla praw lub wolności osób, powinno zostać zgłoszone organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia.
Jeżeli ryzyko jest wysokie, konieczne może być również zawiadomienie osób, których dane dotyczą. Komunikat powinien jasno wyjaśniać charakter zdarzenia, możliwe konsekwencje i działania, które osoby mogą podjąć w celu ochrony.
12. Przeprowadzanie oceny skutków dla ochrony danych
Ocena skutków dla ochrony danych, czyli DPIA, jest obowiązkowa, gdy planowane przetwarzanie może powodować wysokie ryzyko dla praw lub wolności osób.
DPIA może być wymagana między innymi przy:
- systematycznej i kompleksowej ocenie osób,
- profilowaniu wpływającym na decyzje,
- przetwarzaniu danych wrażliwych na dużą skalę,
- systematycznym monitorowaniu miejsc publicznych,
- wykorzystywaniu nowych technologii,
- łączeniu dużych zbiorów danych,
- monitorowaniu pracowników,
- stosowaniu biometrii,
- podejmowaniu decyzji przez systemy AI.
Ocena powinna opisywać planowane operacje, cele, konieczność i proporcjonalność przetwarzania, zagrożenia oraz środki ograniczające ryzyko.
DPIA nie jest dokumentem sporządzanym wyłącznie dla organu nadzorczego. Powinna realnie wpływać na projekt i prowadzić do zmiany zakresu danych, funkcjonalności systemu, okresów retencji lub zabezpieczeń. Jeżeli wysokiego ryzyka nie można odpowiednio ograniczyć, przed rozpoczęciem przetwarzania może być konieczna konsultacja z Prezesem UODO.
13. Wyznaczenie inspektora ochrony danych
Administrator musi wyznaczyć IOD przede wszystkim wtedy, gdy:
- jest organem lub podmiotem publicznym, z wyjątkiem sądów w zakresie sprawowania wymiaru sprawiedliwości,
- jego główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę,
- jego główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych lub danych dotyczących wyroków skazujących.
Wyznaczenie IOD nie przenosi na niego odpowiedzialności za zgodność organizacji. Inspektor informuje, doradza, monitoruje, uczestniczy w DPIA i współpracuje z organem nadzorczym. Decyzje dotyczące celów, podstaw prawnych, zabezpieczeń, retencji czy zgłoszenia naruszenia nadal należą do administratora.
IOD powinien działać niezależnie, mieć odpowiednie zasoby oraz dostęp do informacji. Nie może jednocześnie pełnić funkcji prowadzącej do konfliktu interesów, na przykład samodzielnie projektować procesu, który później ma kontrolować.
14. Kontrola transferów danych poza EOG
Korzystanie z usług chmurowych, systemów analitycznych, platform marketingowych i globalnych dostawców może wiązać się z przekazywaniem danych poza Europejski Obszar Gospodarczy.
Administrator powinien ustalić:
- gdzie faktycznie znajdują się dane,
- z jakiego państwa uzyskiwany jest zdalny dostęp,
- jakie podmioty należą do łańcucha dostaw,
- czy obowiązuje decyzja stwierdzająca odpowiedni stopień ochrony,
- czy zastosowano standardowe klauzule umowne,
- czy potrzebna jest ocena skutków transferu,
- jakie środki uzupełniające zastosowano.
Samo podpisanie standardowych klauzul umownych nie zawsze kończy analizę. Administrator powinien ocenić, czy prawo i praktyka państwa trzeciego nie podważają skuteczności zastosowanych zabezpieczeń.
15. Ustalenie i egzekwowanie okresów retencji
Dane nie mogą być przechowywane bezterminowo tylko dlatego, że ich usunięcie jest niewygodne albo system nie posiada odpowiedniej funkcji.
Administrator powinien opracować zasady retencji uwzględniające:
- przepisy prawa,
- terminy przedawnienia roszczeń,
- czas realizacji umowy,
- okres obsługi reklamacji,
- obowiązki podatkowe i rachunkowe,
- wymagania sektorowe,
- cofnięcie zgody,
- wniesienie skutecznego sprzeciwu,
- zakończenie konkretnego celu.
Retencja powinna obejmować także kopie zapasowe, skrzynki pocztowe, archiwa, systemy testowe, urządzenia lokalne oraz dane znajdujące się u dostawców.
Po upływie okresu przechowywania dane należy bezpiecznie usunąć albo skutecznie zanonimizować. Pseudonimizacja nie jest równoznaczna z anonimizacją i nie powoduje automatycznego wyłączenia RODO.
16. Szkolenie pracowników i budowanie świadomości
Najlepsza dokumentacja nie zapewni zgodności, jeżeli pracownicy nie wiedzą, jak postępować z danymi.
Szkolenia powinny odpowiadać rzeczywistym obowiązkom poszczególnych zespołów. Inny zakres wiedzy jest potrzebny pracownikom HR, marketingu, sprzedaży, księgowości, IT i recepcji.
Program podnoszenia świadomości może obejmować:
- szkolenia wstępne,
- szkolenia okresowe,
- instrukcje stanowiskowe,
- komunikaty o nowych zagrożeniach,
- testy phishingowe,
- ćwiczenia reagowania na incydenty,
- krótkie materiały przypominające,
- potwierdzenia zapoznania się z procedurami.
Administrator powinien również dokumentować przeprowadzone działania. Z punktu widzenia rozliczalności ważne jest nie tylko to, że szkolenie się odbyło, lecz także jaki miało zakres i do kogo było skierowane.
17. Uwzględnienie RODO przy wykorzystywaniu sztucznej inteligencji
Wdrożenie systemu AI nie zwalnia z obowiązków administratora danych osobowych. Przed wykorzystaniem narzędzia organizacja powinna ustalić:
- czy system przetwarza dane osobowe,
- w jakim celu dane są wprowadzane,
- czy dostawca wykorzystuje je do trenowania modeli,
- jaka jest podstawa prawna,
- czy zakres danych jest niezbędny,
- gdzie dane są przechowywane,
- czy dochodzi do transferu poza EOG,
- jak długo przechowywane są prompty i wyniki,
- czy system profiluje osoby,
- czy decyzja wywołuje skutki prawne lub podobnie istotne,
- czy konieczna jest DPIA.
Nie można zakładać, że model AI jest anonimowy tylko dlatego, że użytkownik nie ma bezpośredniego dostępu do danych treningowych. Europejska Rada Ochrony Danych wskazuje, że anonimowość modeli należy oceniać indywidualnie, między innymi pod kątem możliwości wydobycia danych i uzyskania informacji o osobach wykorzystanych podczas trenowania.
Czy administrator może przekazać swoje obowiązki pracownikowi lub IOD?
Administrator może rozdzielić zadania operacyjne pomiędzy pracowników, działy, pełnomocników lub zewnętrznych ekspertów. Może na przykład powierzyć zespołowi IT zarządzanie dostępami, działowi prawnemu przygotowanie umów, a zespołowi obsługi klienta realizowanie wniosków osób.
Nie oznacza to jednak przeniesienia odpowiedzialności administratora.
Zarząd lub inny organ kierujący organizacją powinien zapewnić:
- odpowiednie zasoby,
- jasny podział odpowiedzialności,
- zatwierdzone procedury,
- skuteczne mechanizmy raportowania,
- udział IOD w odpowiednim czasie,
- regularne przeglądy zgodności,
- reakcję na stwierdzone nieprawidłowości.
Administrator nie może również sprowadzać roli IOD do wykonywania wszystkich czynności związanych z RODO. Inspektor ma przede wszystkim doradzać i monitorować zgodność, a nie zastępować osoby odpowiedzialne za procesy biznesowe.
Odpowiedzialność administratora za naruszenie RODO
Naruszenie obowiązków może prowadzić do:
- administracyjnej kary pieniężnej,
- nakazu ograniczenia lub zaprzestania przetwarzania,
- nakazu usunięcia danych,
- zakazu transferu danych,
- konieczności zawiadomienia osób,
- roszczeń odszkodowawczych,
- odpowiedzialności kontraktowej,
- utraty klientów i reputacji,
- kosztów obsługi incydentu i przywracania systemów.
W zależności od rodzaju naruszenia maksymalna administracyjna kara pieniężna może wynosić do 10 milionów euro albo 2 procent całkowitego rocznego światowego obrotu przedsiębiorstwa, a w przypadku najpoważniejszych naruszeń do 20 milionów euro albo 4 procent obrotu. Zastosowanie ma wyższa z tych wartości.
Kara nie jest jednak jedynym ani zawsze najpoważniejszym ryzykiem. Zakaz korzystania z kluczowej bazy danych, zatrzymanie kampanii marketingowej albo konieczność przebudowy systemu może mieć dla biznesu większe znaczenie niż sama sankcja finansowa.
Obowiązki administratora danych osobowych. Praktyczna checklista
Administrator powinien móc odpowiedzieć twierdząco na następujące pytania:
- Czy wiemy, jakie czynności przetwarzania występują w organizacji?
- Czy dla każdego celu ustaliliśmy właściwą podstawę prawną?
- Czy zakres danych jest adekwatny i ograniczony?
- Czy klauzule informacyjne odpowiadają rzeczywistym procesom?
- Czy prowadzimy aktualny rejestr czynności przetwarzania?
- Czy określiliśmy okresy retencji i faktycznie usuwamy dane?
- Czy potrafimy obsłużyć wniosek osoby w ciągu miesiąca?
- Czy pracownicy mają dostęp tylko do potrzebnych informacji?
- Czy regularnie przeglądamy uprawnienia?
- Czy zweryfikowaliśmy podmioty przetwarzające?
- Czy umowy powierzenia odpowiadają rzeczywistym usługom?
- Czy znamy lokalizację danych i podprocesorów?
- Czy oceniliśmy transfery poza EOG?
- Czy zabezpieczenia wynikają z aktualnej analizy ryzyka?
- Czy testujemy kopie zapasowe i odtwarzanie danych?
- Czy posiadamy procedurę reagowania na naruszenia?
- Czy personel potrafi rozpoznać i zgłosić incydent?
- Czy oceniliśmy, które procesy wymagają DPIA?
- Czy nowe projekty przechodzą ocenę privacy by design?
- Czy IOD działa niezależnie i jest włączany w projekty odpowiednio wcześnie?
- Czy wykorzystanie AI zostało ocenione pod kątem RODO?
- Czy regularnie przeprowadzamy przeglądy lub audyty zgodności?
Najczęściej zadawane pytania
Czy właściciel jednoosobowej działalności jest administratorem danych?
Tak, jeżeli samodzielnie decyduje o celach i sposobach przetwarzania danych klientów, pracowników, kandydatów lub kontrahentów. Administratorem może być osoba fizyczna prowadząca działalność gospodarczą.
Czy pracownik jest administratorem danych?
Co do zasady nie. Pracownik działa z upoważnienia i na polecenie pracodawcy będącego administratorem. Wyjątkiem może być sytuacja, w której zaczyna wykorzystywać dane dla własnych, niezależnych celów.
Czy każda firma musi mieć inspektora ochrony danych?
Nie. Obowiązek zależy przede wszystkim od rodzaju podmiotu, głównej działalności oraz skali monitorowania lub przetwarzania danych szczególnych kategorii. Dobrowolne wyznaczenie IOD oznacza jednak konieczność zapewnienia mu statusu zgodnego z RODO.
Czy każda firma musi prowadzić rejestr czynności przetwarzania?
Nie w każdym przypadku, ale wyjątek dla organizacji zatrudniających mniej niż 250 osób jest węższy, niż często się przyjmuje. Ponieważ podstawowe procesy firmowe zwykle mają charakter regularny, prowadzenie RCP jest wymagane również w znacznej części małych organizacji.
Czy umowa powierzenia wystarczy do korzystania z dostawcy?
Nie. Administrator powinien jeszcze zweryfikować dostawcę, ustalić zakres usługi, podprocesorów, lokalizację danych, transfery, zabezpieczenia, retencję oraz zasady postępowania po zakończeniu współpracy.
Czy każde naruszenie trzeba zgłaszać do UODO?
Nie. Każde naruszenie należy jednak udokumentować i ocenić. Zgłoszenie do Prezesa UODO jest wymagane, gdy naruszenie może powodować ryzyko dla praw lub wolności osób fizycznych.
Czy wdrożenie dokumentacji oznacza zgodność z RODO?
Nie. Dokumentacja jest tylko jednym z elementów rozliczalności. Musi odzwierciedlać faktyczne procesy, a pracownicy, systemy i dostawcy muszą działać zgodnie z przyjętymi zasadami.
Podsumowanie
Obowiązki administratora danych osobowych obejmują cały sposób zarządzania informacją w organizacji. Administrator powinien znać swoje procesy, prawidłowo określać podstawy prawne, ograniczać zakres i czas przetwarzania, zapewniać bezpieczeństwo, kontrolować dostawców, realizować prawa osób oraz reagować na incydenty.
Skuteczne wdrożenie RODO nie polega na przygotowaniu jednorazowego pakietu dokumentów. Jest ciągłym procesem, który powinien nadążać za zmianami w działalności, systemach, zagrożeniach, technologii i otoczeniu regulacyjnym.
Organizacja, która potrafi wykazać, dlaczego przetwarza dane, jakie ryzyka zidentyfikowała i w jaki sposób je ogranicza, realizuje nie tylko formalne obowiązki administratora RODO. Buduje także bardziej uporządkowany, bezpieczny i wiarygodny model prowadzenia działalności.
