Administrator danych osobowych to podmiot, który decyduje, po co i w jaki sposób dane będą przetwarzane. Może nim być przedsiębiorca, spółka, urząd, fundacja, szkoła, wspólnota mieszkaniowa albo inna organizacja. Administratorem nie jest automatycznie pracownik zajmujący się dokumentacją RODO ani firma informatyczna obsługująca system. O statusie administratora decyduje rzeczywisty wpływ na cele i sposoby wykorzystania danych.
Obowiązki administratora nie kończą się na przygotowaniu polityki prywatności i odebraniu zgód. Obejmują cały okres przetwarzania danych, od ich zebrania, przez wykorzystywanie i udostępnianie, aż po usunięcie lub anonimizację. Administrator odpowiada również za to, aby potrafić wykazać zgodność prowadzonych działań z RODO.
Ustalenie celu i podstawy przetwarzania danych
Przed zebraniem danych administrator powinien ustalić, w jakim celu będą one wykorzystywane i na jakiej podstawie prawnej. Zgoda osoby nie jest jedyną możliwością. Przetwarzanie może być również niezbędne do wykonania umowy, wypełnienia obowiązku prawnego, realizacji zadania publicznego albo ochrony prawnie uzasadnionego interesu administratora.
Nie należy odbierać zgody na zapas, gdy właściwą podstawą jest na przykład wykonanie umowy lub obowiązek wynikający z przepisów. Zgoda musi być dobrowolna, konkretna, świadoma i możliwa do wycofania. Jej zastosowanie w niewłaściwej sytuacji może wprowadzać osobę w błąd co do przysługujących jej praw.
Administrator powinien też sprawdzić, czy planowany cel jest wystarczająco konkretny. Informacja, że dane są zbierane w celach biznesowych, jest zbyt ogólna. Inaczej należy opisać przetwarzanie danych związane z realizacją zamówienia, inaczej obsługę reklamacji, prowadzenie księgowości, rekrutację lub wysyłanie informacji handlowych.
Przestrzeganie zasad przetwarzania
RODO wymaga, aby dane były przetwarzane zgodnie z prawem, rzetelnie i przejrzyście. Administrator powinien zbierać je w oznaczonym celu, ograniczać ich zakres do informacji rzeczywiście potrzebnych oraz dbać o ich poprawność.
Obowiązuje również zasada ograniczenia przechowywania. Danych nie można zachowywać bezterminowo wyłącznie dlatego, że mogą kiedyś okazać się przydatne. Administrator powinien ustalić okresy przechowywania lub kryteria pozwalające określić, kiedy informacje zostaną usunięte.
Znaczenie ma także integralność i poufność danych. Trzeba chronić je przed nieuprawnionym dostępem, przypadkową utratą, zniszczeniem oraz niedozwoloną zmianą. Administrator odpowiada nie tylko za stosowanie tych zasad, ale również za możliwość udowodnienia, że są przestrzegane.
Spełnienie obowiązku informacyjnego
Osoba, której dane są zbierane, powinna wiedzieć, kto jest administratorem, po co dane są przetwarzane, jaka jest podstawa prawna i jak długo informacje będą przechowywane. Należy też wskazać odbiorców danych, przysługujące prawa, możliwość złożenia skargi do organu nadzorczego oraz dane kontaktowe inspektora ochrony danych, jeżeli został wyznaczony.
Zakres informacji zależy między innymi od tego, czy dane pozyskano bezpośrednio od osoby, czy z innego źródła. Klauzula informacyjna powinna być łatwo dostępna, napisana prostym językiem i dopasowana do odbiorcy. Skopiowanie rozbudowanego dokumentu prawnego bez uwzględnienia rzeczywistych procesów w firmie nie oznacza prawidłowego wykonania tego obowiązku.
W przypadku formularza kontaktowego informacja może znajdować się bezpośrednio pod formularzem lub przy odpowiednim odnośniku. Przy monitoringu wizyjnym często stosuje się informację warstwową, czyli krótki komunikat przy wejściu oraz pełną treść dostępną w innym miejscu.
Obsługa praw osób, których dane dotyczą
Administrator musi umożliwić osobom korzystanie z praw przewidzianych w RODO. Obejmują one między innymi dostęp do danych, ich sprostowanie, usunięcie, ograniczenie przetwarzania, przenoszenie danych oraz wniesienie sprzeciwu. W określonych sytuacjach osoba może też wycofać zgodę lub zakwestionować decyzję podejmowaną automatycznie.
Każdy wniosek powinien zostać rozpoznany indywidualnie. Prawo do usunięcia danych nie działa bezwarunkowo. Firma może nadal przechowywać część informacji, jeżeli wymagają tego przepisy podatkowe, rachunkowe albo potrzeba obrony przed roszczeniami.
Administrator powinien stworzyć procedurę odbierania i rozpatrywania wniosków. Trzeba ustalić, kto je obsługuje, jak weryfikowana jest tożsamość osoby oraz w jaki sposób dokumentuje się odpowiedź. Informacji nie można przekazać osobie nieuprawnionej tylko dlatego, że zna imię, nazwisko i adres e-mail klienta.
Zapewnienie bezpieczeństwa danych
Administrator ma obowiązek wdrożyć środki techniczne i organizacyjne odpowiednie do ryzyka. RODO nie narzuca jednego zestawu zabezpieczeń dla wszystkich podmiotów. Inne rozwiązania mogą być potrzebne w niewielkim sklepie internetowym, a inne w szpitalu, banku lub firmie przetwarzającej dane biometryczne.
Do stosowanych zabezpieczeń mogą należeć między innymi kontrola dostępu, silne uwierzytelnianie, kopie zapasowe, szyfrowanie, aktualizowanie oprogramowania, rejestrowanie operacji w systemach, zamykane szafy oraz procedury postępowania z dokumentami papierowymi.
Administrator powinien kontrolować, kto ma dostęp do poszczególnych informacji. Pracownik nie powinien otrzymywać szerszych uprawnień, niż potrzebuje do wykonywania obowiązków. Zasady te dotyczą również stażystów, praktykantów i osób wykonujących zadania na podstawie umów cywilnoprawnych.
Prowadzenie dokumentacji i rejestru czynności
Jednym z obowiązków administratora może być prowadzenie rejestru czynności przetwarzania. Dokument opisuje między innymi cele przetwarzania, kategorie osób i danych, odbiorców, planowane terminy usuwania informacji oraz ogólny opis zabezpieczeń.
RODO przewiduje ograniczone wyjątki dotyczące prowadzenia rejestru, ale nie należy zakładać, że każda firma zatrudniająca mniej niż 250 osób jest automatycznie zwolniona. Znaczenie ma również charakter, częstotliwość i ryzyko prowadzonego przetwarzania.
Prowadzenie rejestru jest obowiązkiem administratora, nawet gdy technicznie przygotowuje go wyznaczony pracownik, prawnik albo zewnętrzny specjalista. To administrator powinien zadbać o aktualność dokumentu i możliwość przedstawienia go organowi nadzorczemu.
Współpraca z firmami zewnętrznymi
Jeżeli dane są przekazywane firmie hostingowej, biuru rachunkowemu, dostawcy systemu CRM, agencji marketingowej lub innemu usługodawcy, należy ustalić rolę każdego podmiotu. Część firm działa jako podmiot przetwarzający dane na polecenie administratora, ale nie każdy kontrahent automatycznie ma taki status.
Administrator powinien wybierać usługodawców zapewniających odpowiednie gwarancje ochrony danych. Relację z podmiotem przetwarzającym trzeba uregulować umową lub innym instrumentem prawnym spełniającym wymagania art. 28 RODO.
Samo podpisanie umowy powierzenia nie wystarcza. Administrator powinien mieć możliwość sprawdzania sposobu zabezpieczenia danych, korzystania z podwykonawców oraz reagowania na incydenty. W uzasadnionych przypadkach może przeprowadzać kontrole lub audyty podmiotu przetwarzającego.
Reagowanie na naruszenia ochrony danych
Naruszeniem może być wysłanie wiadomości do niewłaściwego odbiorcy, utrata laptopa, atak na system, przypadkowe opublikowanie dokumentu albo zniszczenie danych bez możliwości ich odtworzenia. Nie chodzi więc wyłącznie o kradzież bazy klientów.
Administrator powinien mieć procedurę pozwalającą szybko wykryć incydent, ograniczyć jego skutki i ocenić ryzyko dla osób. Jeżeli naruszenie może powodować ryzyko dla praw lub wolności osób fizycznych, co do zasady należy zgłosić je organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia zdarzenia.
Gdy ryzyko jest wysokie, może być konieczne również zawiadomienie osób, których dane dotyczą. Niezależnie od decyzji o zgłoszeniu administrator powinien dokumentować naruszenia oraz przyczyny przyjętego sposobu postępowania.
Ocena ryzyka i ochrona danych już na etapie projektu
Nowy formularz, system informatyczny, aplikacja, monitoring lub program lojalnościowy powinny być oceniane pod kątem ochrony danych jeszcze przed uruchomieniem. Administrator ma uwzględniać prywatność podczas projektowania procesów oraz stosować ustawienia domyślne ograniczające przetwarzanie do niezbędnego zakresu.
W przypadku działań mogących powodować wysokie ryzyko może być wymagana ocena skutków dla ochrony danych. Powinna ona opisywać planowane operacje, ich konieczność, możliwe zagrożenia oraz środki ograniczające ryzyko.
W określonych przypadkach administrator musi również wyznaczyć inspektora ochrony danych. IOD doradza, monitoruje przestrzeganie przepisów i współpracuje z organem nadzorczym, ale nie przejmuje odpowiedzialności administratora. Ostateczne decyzje dotyczące celów, organizacji i zabezpieczenia przetwarzania nadal należą do podmiotu będącego administratorem.
W praktyce realizacja obowiązków administratora wymaga regularnego sprawdzania procesów, aktualizowania dokumentacji, szkolenia osób mających dostęp do danych oraz reagowania na zmiany technologiczne i organizacyjne. Dokumentacja powinna opisywać rzeczywiste działania firmy, ponieważ sama obecność procedur w segregatorze nie zapewni zgodności, jeżeli pracownicy i usługodawcy postępują według innych zasad.
Źródło: www.helpline.org.pl
