Brak pełnej wiedzy o przetwarzanych danych osobowych

Jednym z najczęstszych problemów jest brak identyfikacji wszystkich danych osobowych przetwarzanych przez firmę. Ponadto wiele organizacji nie potrafi dokładnie wskazać, gdzie dane są przechowywane.

W wielu przedsiębiorstwach dane znajdują się jednocześnie:
– w programach księgowych,
– w skrzynkach e-mail,
– w arkuszach Excel,
– w systemach CRM,
– w dokumentacji papierowej.
Jeżeli firma nie wie dokładnie, jakie dane posiada, trudno mówić o skutecznym zarządzaniu ich bezpieczeństwem. W konsekwencji rośnie ryzyko nieuprawnionego dostępu lub utraty informacji.

Co zrobić?

1. Sporządzić rejestr procesów przetwarzania danych.
2. Zidentyfikować wszystkie miejsca przechowywania danych.
3. Określić cel przetwarzania dla każdej kategorii danych.

Gromadzenie zbyt dużej ilości danych

RODO opiera się na zasadzie minimalizacji danych. Oznacza to, że przedsiębiorca powinien zbierać wyłącznie informacje niezbędne do realizacji konkretnego celu.

Przykładowy błąd:
– pobieranie numeru PESEL przy zapisie do newslettera,
– wymaganie daty urodzenia podczas prostego formularza kontaktowego,
– zbieranie dodatkowych danych bez uzasadnienia biznesowego.
Nadmierne gromadzenie danych zwiększa ryzyko naruszeń i odpowiedzialności przedsiębiorcy. Co więcej, powoduje także niepotrzebne zwiększenie zakresu obowiązków związanych z ochroną danych.

Nieaktualne lub niekompletne klauzule informacyjne

Klauzula informacyjna to podstawowy element realizacji obowiązku informacyjnego wobec osób, których dane są przetwarzane. Jednocześnie musi ona odpowiadać rzeczywistym procesom zachodzącym w organizacji.

W małych firmach często spotyka się:
– klauzule skopiowane z internetu,
– nieaktualne podstawy prawne,
– brak informacji o prawach osób,
– brak danych administratora.
W efekcie przedsiębiorca nie realizuje prawidłowo obowiązków wynikających z RODO. Dlatego regularna aktualizacja dokumentacji jest niezbędna.

Udostępnianie danych bez odpowiednich umów

Korzystanie z usług zewnętrznych dostawców jest dziś standardem. Jednak współpraca z takimi podmiotami wymaga spełnienia określonych obowiązków wynikających z RODO.

Dotyczy to między innymi:
– biur rachunkowych,
– firm hostingowych,
– dostawców systemów CRM,
– firm obsługujących kadry i płace.
W wielu przypadkach konieczne jest zawarcie umowy powierzenia przetwarzania danych osobowych.
Brak takich dokumentów może zostać uznany za naruszenie obowiązków administratora danych. W rezultacie przedsiębiorca może ponosić odpowiedzialność za nieprawidłowe przetwarzanie danych

Niewystarczające zabezpieczenia danych

RODO nie wskazuje konkretnych technologii, ale wymaga stosowania odpowiednich środków bezpieczeństwa. Dlatego każda organizacja powinna samodzielnie ocenić poziom ryzyka i dobrać adekwatne zabezpieczenia.

Najczęściej spotykane błędy to:
– słabe hasła,
– brak uwierzytelniania wieloskładnikowego,
– brak kopii zapasowych,
– niezabezpieczone laptopy,
– udostępnianie jednego konta wielu pracownikom.

Checklista bezpieczeństwa
1) Silne hasła
2) MFA (uwierzytelnianie wieloskładnikowe)
3) Szyfrowanie urządzeń mobilnych
4) Regularne kopie zapasowe
5)Ograniczenie uprawnień dostępu
6) Aktualizacje systemów i oprogramowania
Ponadto warto regularnie testować skuteczność wdrożonych zabezpieczeń oraz aktualizować procedury bezpieczeństwa.

Brak szkoleń pracowników

Nawet najlepiej przygotowana dokumentacja nie zapewni zgodności z RODO, jeśli pracownicy nie znają swoich obowiązków. Ponieważ to właśnie ludzie są najsłabszym ogniwem wielu systemów bezpieczeństwa, szkolenia mają kluczowe znaczenie.

Najczęstsze incydenty wynikają z błędów ludzkich:
– wysłanie wiadomości do niewłaściwego odbiorcy,
– przekazywanie danych przez telefon bez weryfikacji rozmówcy,
– pozostawianie dokumentów w miejscach dostępnych dla osób postronnych.
Regularne szkolenia znacząco ograniczają ryzyko wystąpienia naruszeń. Dzięki temu pracownicy szybciej rozpoznają zagrożenia i właściwie reagują na incydenty.

Ignorowanie incydentów i naruszeń danych

Nie każda utrata danych oznacza obowiązek zgłoszenia do organu nadzorczego. Jednak każdy incydent powinien zostać poddany analizie.

Błędne podejście polega na:
– ukrywaniu problemu,
– braku dokumentowania zdarzeń,
– braku procedur postępowania.
Przedsiębiorca powinien posiadać procedurę reagowania na incydenty oraz wiedzieć, kiedy zgłoszenie naruszenia jest wymagane. W przeciwnym razie może nie wypełnić obowiązków wynikających z przepisów.

Traktowanie RODO jako jednorazowego projektu

Wiele małych firm przygotowuje dokumentację tylko na potrzeby kontroli lub wdrożenia.
To jeden z najpoważniejszych błędów. Tymczasem zgodność z RODO wymaga stałego monitorowania procesów i dokumentacji.

RODO wymaga ciągłego nadzoru nad procesami związanymi z danymi osobowymi. Wraz z rozwojem firmy zmieniają się systemy, zakres danych oraz ryzyka. Dlatego procedury powinny być regularnie aktualizowane.
Regularne audyty i przeglądy procedur powinny stać się standardem działania. Dzięki temu organizacja będzie mogła szybciej identyfikować i eliminować potencjalne niezgodności.

Podsumowanie

Najczęstsze błędy w stosowaniu RODO w małych firmach wynikają przede wszystkim z braku świadomości, niewystarczających procedur oraz przekonania, że problem nie dotyczy niewielkich organizacji. Co więcej, wiele naruszeń wynika z rutyny i braku regularnych przeglądów procesów. Tymczasem zgodność z RODO nie jest jednorazowym obowiązkiem, lecz procesem wymagającym systematycznej kontroli, szkoleń i dostosowywania działań do zmieniających się warunków biznesowych. Dlatego przedsiębiorcy powinni traktować ochronę danych jako stały element zarządzania organizacją.

Jeżeli chcesz zweryfikować zgodność swojej organizacji z RODO i ograniczyć ryzyko naruszeń, wejdź w zakładkę „Kontakt” i napisz do nas wiadomość

RODO #OchronaDanychOsobowych #Compliance #BezpieczenstwoDanych #MalaFirma #OchronaPrywatnosci #AudytRODO #PrzetwarzanieDanych #Cyberbezpieczenstwo #ZgodnoscZRODO