Podstawą prawną transferu danych do państw trzecich poza EOG – Europejski Obszar Gospodarczy grupujący państwa członkowskie UE oraz Islandię, Norwegię i Liechtenstein są tzw. standardowe klauzule umowne (SCC). Nowe klauzule zostały przyjęte Decyzją z dnia 04.06.2021 Komisji Europejskiej nr 2021/914/UE i z dniem 27 września 2021 r. zastąpiły dotychczasowe funkcjonujące od 2001 roku klauzule umowne. Komisja Europejska wprowadziła w stosunku do umów transferowych zawartych przed 27 września 2021 r. okres przejściowy obowiązujący do 27.12.2022 r.

Z uwagi na cel przetwarzania i zakres stosowania RODO, transfery danych osobowych na Ukrainę związane z udzielaniem pomocy Uchodźcom nie są objęte ograniczeniami transferowymi danych wynikającymi z RODO.

Standardowe klauzule umowne stanowią odpowiednie zabezpieczenia w rozumieniu art. 46 RODO. Nowe klauzule składają się z:

Standardowe klauzule umowne odnoszą się do różnych scenariuszy przekazywania danych i zostały podzielone na 4 moduły odnoszące się do:

Co istotne z modułów można korzystać łącznie, gdy dana relacja biznesowa zakłada dzielenie się danymi na różnych płaszczyznach – przy wykorzystaniu różnych modułów.

W praktyce spotyka się dwa warianty implementacji nowych standardowych klauzul umownych do umów handlowych:

W analizach dotyczących nowych standardowych klauzulach umownych podkreśla się, iż jest możliwość ich zawarcia również w postaci elektronicznej (np. systemy podpisów typu „DocuSign” or „Adobe Sign„).

Nadal jednak tam, gdzie można, warto ograniczać przetwarzanie danych osobowych do obszaru EOG, a ich transfer do państw trzecich rozważać tylko w rozsądnie uzasadnionych przypadkach.

W celu przeprowadzenia procesu certyfikacji organizacja jest zobowiązana wdrożyć „system zarządzania działaniami antykorupcyjnymi”. Jest to całościowe rozwiązanie mające przeciwdziałać powstawaniu oraz eliminować przejawy korupcji w organizacji.

Standardy określone przez normę ISO 37001 mogą być wdrożone przez każdą organizację bez względu na jej wielkość, formę prawną czy model działalności (organizacje komercyjne, publiczne bądź non-profit). Procedura wdrożenia normy polega na:

• zidentyfikowaniu ryzyk związanych z wystąpieniem w organizacji i w jej otoczeniu zjawisk korupcyjnych, przy czym podstawą dla analizy powinno być zrozumienie kultury organizacji oraz specyfiki jej otoczenia;
• określeniu działań prowadzących do minimalizacji zidentyfikowanych zagrożeń;
• opracowaniu dokumentacji systemu zarządzania działaniami antykorupcyjnymi;
• wdrożeniu systemu;
• certyfikacji.

Norma ISO 37001:2016, podlega certyfikacji, dzięki czemu organizacja może potwierdzić, że wdrożyła uznane międzynarodowo dobre praktyki kontroli antykorupcyjnej.

Idealne warunki dla rozwoju korupcji pojawiają się często na styku przedsiębiorstw komercyjnych oraz instytucji państwowych i samorządowych. Analizując tego rodzaju ryzyka należy zwrócić uwagę na niejasne przepisy, stopień ingerencji państwa w poszczególne sektory gospodarki, niskie wynagrodzenia urzędników czy ograniczenia wolności słowa. Nieco inne problemy pojawiają się na styku firmy z przedsiębiorstwami komercyjnymi. Tutaj źródłami problemu mogą być niskie wynagrodzenia pracowników, brak właściwej kontroli nad kluczowymi procesami, głównie związanymi z zakupami oraz zarządzaniem zasobami finansowymi i ludzkimi, a także niska kultura organizacyjna, niskie morale pracowników czy brak przejrzystości i akceptacja braku przestrzegania procedur organizacyjnych.

Szczególnie w sytuacji stwierdzenia wysokiego ryzyka wystąpienia zjawisk korupcyjnych, wdrożenie systemu zarządzania działaniami antykorupcyjnymi może prowadzić do wielu pozytywnych skutków. Przede wszystkim właściwe wdrożenie normy ISO 37001 powinno poprawić wizerunek a także zwiększyć zaufanie do organizacji ze strony kontrahentów, klientów, instytucji publicznych oraz pracowników. Jako element całościowego systemu zarządzania przestrzeganie zasad antykorupcyjnych może się również przyczynić do ogólnej poprawy sposobu funkcjonowania organizacji. Dzięki jasnym i przejrzystym procedurom pracownicy są w stanie sprawnie podejmować decyzje korzystne dla realizacji krótko i długo okresowych celów. Poza tym zjawiska korupcyjne to nie tylko przestępstwa w rozumieniu przepisów prawa karnego. Z punktu widzenia organizacji najważniejszą konsekwencją zjawisk korupcyjnych jest niewłaściwe wykorzystanie zasobów i wynikające z niego wymierne straty finansowe. Skuteczne wdrożenie procedur zapobiegających korupcji powinno więc poprawić rentowność przedsiębiorstwa.

Norma ISO 37001 kładzie bardzo duży nacisk na zagadnienia etyczne oraz związane z kulturą organizacyjną. Oprócz opracowania procedur ograniczających zidentyfikowane ryzyka, podstawowe narzędzia służące zapobieganiu korupcji w przedsiębiorstwie to szkolenia, wspieranie rozwoju kultury organizacyjnej, tworzenie przyjaznej atmosfery pracy oraz dbałość o osobisty i zawodowy rozwój pracowników.

Wdrożenie procedur wewnętrznych zgodnie z normą ISO 37001 nie tylko umożliwi podniesienie świadomości wszystkich pracowników w obszarze przeciwdziałania korupcji, ale także pokaże innym organizacjom, klientom i kontrahentom, że dana firma stosuje wysokie standardy compliance.

Celem rozporządzenia jest ochrona prywatności użytkowników końcowych, integralności urządzeń oraz poufności komunikacji. Akt po zatwierdzeniu określi wymogi oraz ograniczenia dla publicznie dostępnych dostawców usług komunikacji elektronicznej, którzy przetwarzają dane osób fizycznych oraz prawnych na terenie UE. Proponowane rozporządzenie o e-prywatności uchyli obowiązującą dyrektywę o e-prywatności. Trzy najważniejsze obszary działania nowej regulacji to komunikacja elektroniczna, internet rzeczy (IoT) oraz hot spoty. Rozporządzenie o e-prywatności zakłada podniesienie stopnia ochrony tzw. usług interpersonalnych – komunikatorów czy poczty elektronicznej. Uwzględniono w nim wymagania m.in. w kwestii komunikacji elektronicznej, stosowania plików cookies oraz prowadzenia marketingu bezpośredniego. W rozporządzenie zostaną włączeni m.in. dostawcy poczty elektronicznej, komunikatory internetowe, częściowo usługi wideokonferencyjne czy wideoczaty. Rozporządzenie o e-prywatności z założenia ma być pewnego rodzaju uzupełnieniem RODO. Podczas gdy RODO odnosi się jedynie do przetwarzania danych osobowych, e-prywatność ma dotyczyć wszelkich rodzajów danych, treści i metadanych przetwarzanych w związku z usługami łączności elektronicznej – zarówno tych osobowych, jak i nieosobowych. Zasady e-prywatności są szersze niż te wynikające z RODO przez wzgląd na fakt, że dotyczą nie tyko przetwarzania danych osobowych, ale także mają zastosowanie do wszystkich danych związanych z łącznością elektroniczną.

Projekt rozporządzenia o e-prywatności został podzielony na następujące rozdziały:

Rozdział I: określa zakres podmiotowy, rzeczowy oraz terytorialny uwzględniając wymóg wyznaczenia przedstawiciela usługodawców poza EOG. Zawiera zdefiniowane pojęcia znajdujące się w rozporządzeniu, określa standardy dla zgód.

Rozdział II: reguluje kwestie związane z wymaganiami oraz ograniczeniem dostępu do danych pochodzących z urządzeń użytkowników końcowych, a także formułuje wymagania i ograniczenia w zakresie przetwarzania treści pochodzących z komunikacji elektronicznej, metadanych, danych dot. użytkowników końcowych.

Rozdział III: określa ograniczenia oraz wymagania w zakresie usług komunikacji interpersonalnej opartych na wykorzystaniu numerów (np. telefonii publicznej czy Skype) oraz komunikacji przeprowadzanej w ramach marketingu bezpośredniego (np. drogą mailową).

Rozdział IV: określa organy, które będą odpowiedzialne za wykonywanie rozporządzenia oraz reguluje zakres ich uprawnień.

Rozdział V: skupia się na kwestiach związanych ze środkami odwoławczymi, odpowiedzialnością oraz karami. Rozporządzenie o e-Prywatności przewiduje kary dokładnie takie same jak w RODO, czyli do 10 lub 20 mln euro, albo do 2 lub 4 % całkowitego rocznego obrotu firmy.

Dlatego audyt zgodności z RODO pełni dwie funkcje. Po pierwsze zmniejsza ryzyko ewentualnych naruszeń, po drugie, jego przeprowadzenie w razie kontroli organu nadzorczego jest dowodem na zachowanie należytej staranności. Każdy przedsiębiorca samodzielnie ustala procedury oraz dobiera środki techniczne, które mają zapewnić przestrzeganie przepisów RODO. Celem tych działań jest zapewnienie aby gromadzenie i przetwarzanie danych osobowych w przedsiębiorstwie odbywało się w sposób przejrzysty dla osób, których dane dotyczą, w konkretnych, wyraźnych i prawnie uzasadnionych celach, było ograniczone do tego co niezbędne dla celów, w których dane są przetwarzane, a także aby dane były prawidłowe i aktualne. Ponadto przetwarzanie danych powinno mieć odpowiednią podstawę prawną a administrator powinien we właściwy sposób (fizycznie i elektronicznie) zabezpieczyć posiadane zasoby danych.

Trudno wyobrazić sobie sytuację, w której wystarczające może być jednorazowe przeprowadzenie audytu. Jeżeli przedsiębiorstwo po raz pierwszy bada zgodność swoich procedur z RODO, z pewnością rzetelnie przeprowadzony audyt wykaże konieczność wprowadzenia zmian. W takim przypadku audyt należy powtórzyć po ich wdrożeniu. Sytuacja jest analogiczna nawet w przedsiębiorstwach, w których przepisy RODO są od lat stosowane w świadomy sposób.

Należy też pamiętać o tym, że w przypadku dużych organizacji, osiągnięcie zgodności z RODO może być długotrwałym procesem. Jego podstawą zwykle jest podjęcie kilku strategicznych decyzji, na przykład – czy w przedsiębiorstwie należy wyznaczyć inspektora danych osobowych, albo czy wdrażać RODO samodzielnie, czy też przy udziale wyspecjalizowanej firmy zewnętrznej. Z kolei audyt może pomóc w odpowiedzi na bardziej szczegółowe pytania – na przykład jaki jest i powinien być zakres przetwarzanych danych (czy ma charakter minimalny), czy są stosowane właściwe klauzule i formularze zgód, czy przedsiębiorstwo właściwie wykonuje obowiązki wobec osób, których dane dotyczą a także w jaki sposób dane są chronione za pomocą środków fizycznych i elektronicznych.

W zależności od wielkości przedsiębiorstwa i stopnia komplikacji procesów przetwarzania danych, można przyjąć różne strategie związane z przeprowadzaniem audytów. Ponieważ procedura audytu nie jest w żaden sposób określona przez przepisy, możliwe jest przyjęcie elastycznego podejścia, na przykład wykonywanie częściowych audytów w ramach określonych obszarów działalności. Takie podejście daje przedsiębiorcy możliwość koncentracji na obszarach podwyższonego ryzyka.

Oznacza to, że szczególnie w większych firmach, audyt zgodności z RODO nie musi a nawet nie powinien być działaniem jednorazowym. Najlepszą strategią jest opracowanie planu uwzględniającego kontrolę poszczególnych obszarów działalności oraz bieżące wprowadzanie usprawnień.

Z punktu widzenia RODO, istotne są te sytuacje, w których w wyniku monitorowania pracowników mamy do czynienia z gromadzeniem i przetwarzaniem ich danych osobowych. Zgodnie z artykułem 4 p. 1 rozporządzenia RODO, dane osobowe oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Nie ulega wątpliwości, że w każdym z wyżej wymienionych przypadków, na podstawie zebranych danych można zidentyfikować osoby fizyczne. Oznacza to, że pracodawca stosujący każdą z metod musi mieć świadomość, że dotyczą go przepisy rozporządzenia RODO.

W związku z tym, podstawowym obowiązkiem pracodawcy jest stosowanie zasad dotyczących przetwarzania danych osobowych określonych w artykule 5 rozporządzenia. A mówią one między innymi, że dane muszą być przetwarzane zgodnie z prawem i w sposób przejrzysty dla osoby, której dotyczą, zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach oraz przetwarzane w sposób zapewniający im bezpieczeństwo.

Powyższe przepisy, a przede wszystkim obowiązek zachowania przejrzystości, oznaczają, że konieczne jest poinformowanie pracownika o sposobach monitorowania jego działalności w zakładzie pracy. Jest to istotne tym bardziej, że stosowane metody monitorowania mogą ingerować w sferę prywatności pracownika. Najlepiej, jeżeli te kwestie zostaną określone w regulaminie pracy lub umowie zbiorowej. Należy też pamiętać, że nie wolno gromadzić danych dotyczących spraw osobistych pracowników. Takie postępowanie naruszałoby gwarantowane przez konstytucję prawo do tajemnicy korespondencji.

Należy podkreślić, że zgodność przetwarzania danych z prawem nie może być zapewniona przez zgodę pracownika. Powszechnie uważa się, że skoro udzielenie takiej zgody jest niezbędnym warunkiem podjęcia pracy, to taka zgodna nie mogłaby być uznana za dobrowolną. Zgodnie z artykułem 5 pkt 1f rozporządzenia RODO, wystarczającą przesłanką stosowania monitoringu jest prawnie uzasadniony interes realizowany przez administratora.

Wprowadzając jakiekolwiek formy monitorowania pracowników należy pamiętać o RODO, jednak podstawową rolę w uregulowaniu problemu pełni kodeks pracy.

Artykuł 22.2 określa sytuacje, w których w zakładzie można zastosować monitoring wizyjny. Te sytuacje to: zapewnienie bezpieczeństwa pracowników lub ochrony mienia, kontrola produkcji lub zachowanie w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę. Ponadto dozwolone jest monitorowanie terenu zakładu pracy. Te zasady oznaczają, że zasady stosowania monitoringu wizyjnego są w Polsce bardzo liberalne.

Inne formy kontroli są z kolei uregulowane przez artykuł 22.3. Pracodawca ma prawo stosować kontrolę służbowej poczty elektronicznej pracownika, gdy jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystania czasu pracy oraz właściwego użytkowania udostępnionych pracownikowi narzędzi. Przepis ten stosuje się również do stosowania innych form monitoringu. Należy pamiętać, że monitoring nie może naruszać tajemnicy korespondencji i dóbr osobistych pracownika.

Ponadto w Polsce prawo do ustalenia wykazu rodzaju operacji wymagających oceny skutków ma Urząd Ochrony Danych Osobowych. Według urzędu szczególne ryzyko pojawia się wtedy, gdy dokonywana jest ocena danych lub ich profilowanie mogące wywoływać negatywne skutki prawne dla osób, których dane dotyczą. Chodzi na przykład o ocenę zdolności kredytowej przy użyciu algorytmów sztucznej inteligencji albo ocenę stylu życia, odżywiania się, jazdy lub sposobu spędzania czasu, która może prowadzić do podwyższenia składki ubezpieczeniowej. Za ryzykowne UODO uważa również wszelkie systemy profilowania klientów, które mogą prowadzić do automatycznego ustalania cen promocyjnych w oparciu o profil. Ewaluacji powinno podlegać również ryzyko związane z systemami monitorowania czasu pracy pracowników a także monitoring wykorzystywanych przez nich narzędzi pracy takich jak poczta elektroniczna, dostęp do internetu czy lokalizacja pojazdów służbowych.

Za ryzykowne jest uznane przetwarzanie danych osobowych dotyczących preferencji wyborczych oraz przynależności partyjnej. Inna kategoria, na jaką należy zwrócić uwagę to serwisy internetowe i aplikacje gromadzące i przetwarzające dane o charakterze osobistym. Są to między innymi usługi polegające na gromadzeniu danych w chmurze. Osobną kategorią są dane genetyczne i zdrowotne. Ujawnienie ich może być szkodliwe dla osoby, której dane dotyczą. Oznacza to, że ich gromadzenie i przetwarzanie jest ryzykowne z punktu widzenia administratora. Ocenę ryzyka należy przeprowadzić również wtedy, gdy dane mają służyć do klasyfikacji i oceny osób starających się o uzyskanie zatrudnienia. Podobnie jest w przypadku gdy gromadzone są dane dotyczące karalności.

Ani powyższe przykłady, ani pełna lista opublikowana w Monitorze Polskim przez UODO nie wyczerpują zagadnienia. Administrator jest zobowiązany przez rozporządzenie RODO do dokonania samodzielnej analizy ryzyk związanych z poszczególnymi operacjami przetwarzania danych. Administrator powinien rozumieć, że ryzyko jest szczególnie duże, gdy operację przetwarzania prowadzą do skutków prawnych takich jak zawarcie lub rozwiązanie umowy czy ustalenie jej warunków.

Należy wyraźnie podkreślić, że operacje związane z profilowaniem danych prowadzącym do powstania skutków prawnych nie są zabronione. Jednak administrator może być zobowiązany do uzyskania zgody, ponadto osoby, których dane dotyczą, posiadają pełnię praw związanych z przepisami RODO, czyli prawo dostępu do danych, prawo do ich sprostowania lub usunięcia, prawo do ograniczenia przetwarzania i ich przenoszenia. Administrator ma obowiązek prowadzenia rejestru czynności przetwarzania, współpracy z organem nadzorczym a także zapewnienia bezpieczeństwa przechowywanych i przetwarzanych danych osobowych. Ponadto podstawowym obowiązkiem administratora jest zgłaszanie naruszeń do organu nadzorczego oraz zawiadomienie o nich osób, których dane dotyczą.

Od czasu wprowadzenia przepisów RODO dużym problemem stało się to, że wielu przedsiębiorców nie zdaje sobie sprawy z tego, że wystawione przez nich dokumenty finansowe zawierają dane podlegające ochronie. Cały czas zdarza się, że faktury są znajdowane na śmietnikach lub są przechowywane w źle zabezpieczonych systemach komputerowych. Tego rodzaju zaniedbania mogą prowadzić do poważnych konsekwencji finansowych dla przedsiębiorstwa.

Dane potrzebne do wystawienia dokumentów finansowych, zgodnie z obowiązującym prawem, można gromadzić bez uzyskania zgód od osób, których dotyczą. Są one niezbędne dla wykonania obowiązku prawnego, jaki ciąży na administratorze a także niezbędne dla wykonania umowy. Nie zwalnia to jednak przedsiębiorcy z innych obowiązków. Przede wszystkim dane należy zabezpieczyć przed nieautoryzowanym dostępem. Chodzi tu zarówno o ograniczenie fizycznego dostępu do pomieszczeń, w których znajdują się elementy systemu komputerowego, jak i o zabezpieczenie dostępu odpowiednimi hasłami. Ponadto, szczególną rolę pełni szkolenie pracowników z zakresu przepisów RODO. Należy pamiętać że większość naruszeń przepisów RODO wynika z błędów popełnionych przez pracowników.

Na administratorze danych ciąży również obowiązek informacyjny. Oznacza to, że osoba fizyczna, której dane są przetwarzane w celu wystawienia dokumentów finansowych, powinna być poinformowana o tym, przez jaki czas dane osobowe będą przechowywane, o prawie żądania dostępu do danych, ich sprostowania lub usunięcia, o prawie do wniesienia skargi do organu nadzorczego. Forma w jakiej należy wypełnić obowiązek informacyjny nie jest określona przez przepisy. Odpowiednia informacja może więc znajdować się na fakturze, być przekazana wraz z fakturą lub nawet umieszczona w widocznym miejscu w siedzibie firmy.

Zgodnie z duchem przepisów RODO, w interesie administratora danych jest wykazanie dopełnienia należytej staranności i udokumentowanie spełnienia obowiązków informacyjnych. Dlatego dział finansowy przedsiębiorstwa powinien podlegać okresowym audytom w celu oceny ryzyka potencjalnych naruszeń oraz zaplanowania działań dostosowujących procedury firmy do przepisów prawa.

Określenie kluczowych procesów

Pierwszym z nich jest  określenie funkcji i procesów, jakie w ramach przedsiębiorstwa są związane z gromadzeniem i przetwarzaniem danych osób prywatnych. Najczęściej są to rekrutacja, polityka personalna, tworzenie i prowadzenie dokumentacji finansowej a także zawieranie umów z podmiotami zewnętrznymi. Efektem analizy powinno być ustalenie aktualnie wstępujących niezgodności z przepisami RODO. Mogą one dotyczyć zakresu i celów przetwarzania danych, ryzyka naruszenia praw i wolności osób fizycznych oraz środków technicznych i organizacyjnych.

Ocena skutków przetwarzania danych osobowych i analiza ryzyka naruszeń

Zgodnie z artykułem 35 rozporządzenia RODO, należy ustalić czy trzeba formalnie przeprowadzić ocenę skutków przetwarzania danych osobowych. Z reguły jest to konieczne wtedy gdy: dochodzi do przetwarzania danych osobowych na dużą skalę, dochodzi do systematycznego monitorowania miejsc dostępnych publicznie lub gdy organ nadzorczy uznał dany rodzaj operacji za podlegający wymogowi.

Kolejnym krokiem powinna być analiza ryzyka naruszeń. Powinna odnosić się do poszczególnych procesów. Celem tego etapu jest ustalenie sposobów redukcji i unikania ryzyka.

Przygotowanie dokumentacji i realizacja obowiązku informacyjnego

Szczegółowa analiza procesów umożliwia przygotowanie dokumentacji związanej z wdrożeniem w firmie uregulowań RODO. Najważniejszym dokumentem, jaki należy stworzyć jest „Polityka bezpieczeństwa”. Powinna zawierać trzy części: rejestr czynności przetwarzania, opis stosowanych procedur oraz opis stosowanych zabezpieczeń.

W następnym etapie należy zadbać o spełnienie przez przedsiębiorstwo obowiązków informacyjnych. Oznacza to głównie przygotowanie dokumentów, które są związane z poszczególnymi procesami. Mogą to być na przykład informacje dotyczące przetwarzania danych czy klauzule zgody. Należy również zdecydować, w jaki sposób będą one udostępniane, może się to odbywać poprzez wywieszenie komunikatów widocznym miejscu, publikację na stronie internetowej lub dostarczenie stosownego tekstu do podpisu osobie zainteresowanej.

Dostosowanie zabezpieczeń

Końcowy etap to dostosowanie technicznych i organizacyjnych zabezpieczeń. Może on oznaczać konieczność inwestycji w niezbędne oprogramowanie, fizyczne zabezpieczenie dokumentów przechowywanych w formie analogowej, oraz szkolenie personelu w zakresie obowiązujących procedur.

Zgodnie z duchem przepisów RODO należy pamiętać o tym, że najważniejsza jest należyta staranność przy wszystkich czynnościach związanych z gromadzeniem i przetwarzaniem danych osób fizycznych. Najwyższe kary grożą tym, którzy lekceważą podstawowe obowiązki, nie informują osób zainteresowanych oraz organów nadzorczych o naruszeniach a także odmawiają współpracy z organami nadzorczymi. Z drugiej strony, postępowanie zgodnie z przepisami RODO skutecznie zabezpiecza przedsiębiorstwo przed nieuzasadnionymi roszczeniami.