utworzone przez Anna Zamojcin | lis 22, 2024
Wysyłanie e-maili z ofertami to świetny sposób na dotarcie do klientów, ale… czy jest to zgodne z prawem? Wraz z wejściem w życie nowych przepisów, dokładnie od 10 listopada 2024 roku, zasady trochę się zmieniły. Jeśli boisz się, że Twoje wiadomości mogą zostać potraktowane jako spam, koniecznie przeczytaj ten artykuł. Rozwiewamy wątpliwości i tłumaczymy przepisy na ludzki język.
Kiedy mogę wysłać e-mail z ofertą?
Zasada jest prosta: jeśli chcesz wysłać e-mail z ofertą, musisz mieć zgodę odbiorcy. To podstawowy wymóg, bez którego lepiej nie ryzykować. Dlaczego? Bo przepisy (m.in. RODO i nowa ustawa o komunikacji elektronicznej) są pod tym względem bardzo wymagające.
Co z firmami? Tu sprawa robi się ciekawa. Do tej pory mogłeś wysyłać oferty do firm (np. na adresy typu kontakt@firma.pl) bez większych przeszkód. Jednak teraz – zgodnie z nowymi przepisami – także w przypadku kontaktów B2B potrzebujesz zgody odbiorcy. Tak, dobrze czytasz. Nawet jeśli piszesz do innej firmy, musisz mieć na to „zielone światło”.
Jak działać zgodnie z przepisami?
Jeśli chcesz działać zgodnie z prawem i spać spokojnie, oto kilka rzeczy, które musisz mieć na uwadze:
- Zgoda to podstawa
Zadbaj o to, żeby osoby, do których piszesz, jasno powiedziały: „Tak, chcę od Ciebie wiadomości”. Możesz to zrobić np. przez checkbox w formularzu na swojej stronie. Ale uwaga! Zgoda musi być dobrowolna i jasna – żadne „z góry zaznaczone pola” nie wchodzą w grę.
- Wyjaśnij, o co chodzi
Ludzie lubią wiedzieć, co się dzieje z ich danymi. Powiedz im, kto przetwarza ich dane, w jakim celu i jakie mają prawa. Najlepiej umieść te informacje w polityce prywatności i pokaż je przy zbieraniu zgód.
- Pozwól się wypisać
Każdy e-mail powinien mieć opcję „Wypisz się”. To takie wyjście awaryjne, dzięki któremu odbiorca może w każdej chwili przestać otrzymywać Twoje wiadomości.
- Nie spamuj
Przemyśl, do kogo kierujesz swoje oferty. Lepiej wysłać je do mniejszej grupy osób, ale takich, które naprawdę mogą być zainteresowane. Masowe wysyłki to już przeszłość.
Jeśli chcesz, żeby Twoje e-maile były nie tylko skuteczne, ale i legalne, oto kilka wskazówek:
- Używaj narzędzi do e-mail marketingu, które pozwalają łatwo zarządzać zgodami odbiorców.
- Aktualizuj swoją bazę danych – usuwaj kontakty, które się wypisały lub nie odpowiedziały na Twoje wiadomości.
- W razie wątpliwości, skonsultuj się z ekspertem ds. ochrony danych osobowych.
Różne kanały komunikacji = różne zgody
Nowe przepisy mówią jasno: każda forma kontaktu wymaga oddzielnej zgody. Co to znaczy? Jeśli chcesz pisać do klientów e-maile, dzwonić do nich albo wysyłać SMS-y, musisz mieć ich zgodę na każdy z tych kanałów osobno. Na przykład:
- Zgoda na e-maile? ✅
- Zgoda na SMS-y? ✅
- Zgoda na telefony? ✅
To trochę więcej formalności, ale dzięki temu Twoi odbiorcy mają pełną kontrolę nad tym, jak chcesz się z nimi kontaktować.
Co się zmieniło sie w przepisach od listopada 2024?
Wprowadzenie nowego Prawa Komunikacji Elektronicznej wprowadziło ważne zmiany. Teraz, niezależnie od tego, czy piszesz do osoby prywatnej, czy do firmy, musisz mieć zgodę na kontakt. Dotyczy to e-maili, SMS-ów, a nawet wiadomości przez komunikatory. Brak zgody? Lepiej nie ryzykować, bo kary mogą być dotkliwe – nawet do 3% rocznego przychodu firmy!
Brak zgody – jakie konsekwencje
Wysłanie wiadomości bez zgody odbiorcy może mieć swoje konsekwencje. Oto, co może Ci grozić:
- Kary finansowe – Prezes Urzędu Komunikacji Elektronicznej (UKE) może nałożyć na Twoją firmę karę nawet do 1 000 000 zł.
- Strata reputacji – Klienci nie lubią spamu, a opinie o Twojej firmie szybko mogą znaleźć się w internecie.
- Skargi od odbiorców – Niezadowoleni odbiorcy mogą zgłosić sprawę do UKE lub UODO.
Lepiej więc grać zgodnie z zasadami, prawda?
Podsumowanie
Wysyłanie e-maili z ofertami to świetny sposób na rozwój biznesu, ale tylko wtedy, gdy robisz to zgodnie z prawem. Pamiętaj o zgodach, bądź transparentny i szanuj prywatność swoich odbiorców. Dzięki temu nie tylko unikniesz kar, ale też zbudujesz pozytywny wizerunek swojej marki.
Masz wątpliwości, czy Twoje działania są zgodne z RODO? Skontaktuj się ze mną – pomogę Ci przygotować odpowiednią dokumentację i wdrożyć skuteczne procedury. Razem zadbamy o to, aby Twoja firma była w pełni RODOzgodna!
utworzone przez Anna Zamojcin | paź 1, 2024
25 września 2024 roku weszła w życie ustawa o ochronie sygnalistów (Ustawa o Sygnalistach), która nakłada na przedsiębiorców nowe obowiązki. Jeśli prowadzisz firmę zatrudniającą powyżej 50 pracowników (stan na dzień 1 stycznia i 1 lipca) etatowych, na umowę zlecenie lub współprace B2B, jesteś zobowiązany do wdrożenia procedur umożliwiających zgłaszanie naruszeń prawa przez sygnalistów.
Co to oznacza w praktyce? Jak przygotować firmę na te zmiany? W tym artykule przeprowadzimy Cię przez proces krok po kroku i wskażemy najważniejsze elementy, które musisz uwzględnić.
Krok 1: Przygotowanie do wdrożenia – co mówi ustawa o sygnalistach?
Ustawa o ochronie sygnalistów wymaga od przedsiębiorców stworzenia wewnętrznego systemu zgłaszania naruszeń prawa. Sygnalista to osoba, która informuje o nieprawidłowościach, które zauważyła w miejscu pracy – mogą to być naruszenia prawa, regulacji wewnętrznych czy norm etycznych.
Każda firma zatrudniająca ponad 50 pracowników jest zobowiązana do opracowania wewnętrznych procedur, które pozwalają sygnalistom bezpiecznie i anonimowo zgłaszać takie przypadki. Przepisy te dotyczą zarówno pracowników etatowych, jak i współpracowników, wolontariuszy czy osób zatrudnionych na umowy cywilnoprawne.
Krok 2: Konsultacje z przedstawicielami pracowników
Zanim przystąpisz do wdrażania procedury, musisz skonsultować projekt z przedstawicielami pracowników lub związkami zawodowymi. Ten etap jest obowiązkowy, a ustawa wymaga, aby konsultacje trwały od 5 do 10 dni.
W ramach wsparcia oferujemy bezpłatny wzór protokołu z konsultacji z pracownikami, który pomoże Ci w prawidłowym udokumentowaniu tego procesu. Skorzystaj z naszego szablonu, aby oszczędzić czas i mieć pewność, że wszystko jest zgodne z przepisami.
Krok 3: Procedura zgłaszania naruszeń
Po zakończeniu konsultacji musisz wdrożyć wewnętrzne procedury zgłaszania naruszeń. Ważne, aby procedura była jasna, zrozumiała i dostępna dla wszystkich pracowników. Dokumenty te muszą uwzględniać takie elementy jak:
- Kanały komunikacyjne dla sygnalistów (np. e-mail, skrzynka na zgłoszenia, numer telefonu)
- Gwarancję poufności i ochrony tożsamości sygnalisty
- Procedury weryfikacji zgłoszeń
- Terminy dotyczące rozpatrywania zgłoszeń
- Mechanizmy ochrony przed działaniami odwetowymi
Te dokumenty muszą być dostępne zarówno dla pracowników, jak i współpracowników. Ustawa o sygnalistach mówi, że każdy sygnalista powinien mieć pewność, że jego zgłoszenie będzie bezpieczne i anonimowe, a firma podejmie działania naprawcze.
Krok 4: Przygotowanie niezbędnych dokumentów dla sygnalistów
Wdrożenie ustawy o sygnalistach wymaga przygotowania konkretnych dokumentów. Poniżej znajdziesz listę kluczowych dokumentów, które powinieneś posiadać:
- Procedura zgłoszeń wewnętrznych – określa wszystkie zasady związane z przyjmowaniem i rozpatrywaniem zgłoszeń.
- Zgłoszenie naruszenia – formularz, który sygnalista wypełnia, zgłaszając naruszenie.
- Zgłoszenie działań odwetowych – formularz, w którym sygnalista może zgłosić, że spotkał się z działaniami odwetowymi po dokonaniu zgłoszenia.
- Potwierdzenie przyjęcia zgłoszenia – dokument, który sygnalista otrzymuje, gdy zgłoszenie zostanie przyjęte do rozpatrzenia.
- Informacja o nierozpatrzeniu zgłoszenia – dokument, który informuje sygnalistę, że zgłoszenie nie będzie rozpatrywane, np. z powodu jego bezzasadności.
- Powołanie członka komisji wyjaśniającej – dokument oficjalnie powołujący członków komisji wyjaśniającej.
- Oświadczenie o braku konfliktu interesów – każdy członek komisji musi podpisać taki dokument, aby potwierdzić, że nie pozostaje w konflikcie interesów w danej sprawie.
- Oświadczenie o poufności – członkowie komisji muszą zobowiązać się do zachowania poufności w sprawach zgłoszeń.
- Rejestr zgłoszeń wewnętrznych – rejestr, w którym będą przechowywane informacje o wszystkich zgłoszeniach.
Nie musisz tworzyć tych dokumentów samodzielnie. W naszym sklepie internetowym znajdziesz gotowy pakiet dokumentów dla sygnalistów, który umożliwi szybkie wdrożenie pełnej procedury w Twojej firmie a ustawa o sygnalistach przestanie być wyzwaniem.
Krok 5: Szkolenia i komunikacja wewnętrzna sygnalistów
Po opracowaniu i wdrożeniu procedur, kluczowe jest odpowiednie przeszkolenie pracowników. Upewnij się, że wszyscy wiedzą, jak zgłaszać naruszenia, gdzie znajdują się odpowiednie kanały komunikacyjne i jakie mają prawa jako sygnaliści. Procedury te powinny być łatwo dostępne np. wysłane mailem do wszystkich pracowników, umieszczone w firmowym intranecie, a pracownicy powinni potwierdzić zapoznanie się z nimi.
Krok 6: Ustawa o sygnalistach a monitorowanie i aktualizacja procedur
Procedury zgłaszania naruszeń powinny być regularnie monitorowane i aktualizowane. Co najmniej raz w roku komisja wyjaśniająca powinna dostarczać raport o zgłoszeniach i podejmowanych działaniach radzie nadzorczej lub właścicielowi firmy. Taka analiza pozwoli ocenić, czy system działa sprawnie, oraz czy potrzebne są zmiany.
Podsumowanie
Wdrożenie ustawy o sygnalistach nie musi być trudne ani czasochłonne, jeśli podejdziesz do tego procesu krok po kroku i wykorzystasz dostępne narzędzia. Pamiętaj o konsultacjach z pracownikami, przygotowaniu procedur i dokumentacji oraz odpowiednim przeszkoleniu zespołu.
Pobierz darmowy wzór protokołu z konsultacji z pracownikami i zobacz, jak łatwo możesz wprowadzić zmiany w swojej firmie!
Jeśli potrzebujesz całej dokumentacji to zajrzyj do naszego sklepu – Pakiet dokumentacji dla Sygnalistów
utworzone przez Anna Zamojcin | paź 27, 2022
RODO w procesie rekrutacji
Bez względu na to, w jaki sposób pracodawca będzie poszukiwał kandydatów do pracy, proces rekrutacji zawsze będzie wiązał się z pozyskiwaniem przez niego danych osobowych zawartych w dokumentach rekrutacyjnych (CV, listach motywacyjnych, świadectwach pracy, listach referencyjnych, zaświadczeniach itd.).
Podczas tego procesu musisz kierować się kilkoma zasadami:
- Pracodawca powinien przetwarzać tylko takie dane, które są niezbędne ze względu na cel ich zbierania – pamiętaj więc aby w ogłoszeniu prosić tylko o takie dane które są zasadne do poprawnej oceny kandydata, zakres tych danych został wyraźnie wskazany w art. 22 Kodeksu pracy.
- Dane osobowe nie mogą być zbierane na zapas – oznacza to, że nie możesz zbierać CV jeśli nie prowadzisz aktualnie naboru na konkretne stanowisko.
- Żądanie przez pracodawcę od kandydatów do pracy informacji wykraczających poza to, co przede wszystkim przewidują przepisy prawa pracy może naruszać prywatność kandydata np. prośba o podanie kontaktu do byłego pracodawcy w celu uzyskania opinii.
Jakich danych może żądać pracodawca od kandydata w toku rekrutacji
Zakres danych wskazany został w art. 22 Kodeksu pracy
- identyfikacyjne (imię, nazwisko, imiona rodziców, data urodzenia);
- kontaktowe (adres zamieszkania)
- dane o wykształceniu, umiejętnościach, doświadczeniu zawodowym (ukończonych szkołach oraz studiach, przebytych szkoleniach i kursach, poprzednich pracodawcach, zajmowanych stanowiskach oraz obowiązkach zawodowych)
Jest to katalog danych, których pracodawca może żądać od kandydata do pracy, w celu podjęcia działań zmierzających do zawarcia z nim umowy. Co istotne,
z uwagi na specyfikę procesu rekrutacji, do zawarcia tej umowy wcale nie musi ostatecznie dojść. RODO w procesie rekrutacji.
Jakich danych pracodawca nie może żądać od kandydata do pracy?
- danych wykraczających poza zakres, który został wskazany w przepisach prawa,
- danych nadmiarowych, w szczególności takich, które nie mają związku z celem, jakim jest zatrudnienie pracownika (np. danych o stanie cywilnym, wyznaniu, poglądach religijnych czy orientacji seksualnej).
Wyjątki określone prawem np. wymóg niekaralności
- nauczyciele (art. 10 ust. 8a ustawy – Karta Nauczyciela),
- straż graniczna (art. 31 ust. 1 ustawy o Straży Granicznej),
- detektywi (art. 29 ust. 2 ustawy o usługach detektywistycznych),
- osoby ubiegającej się o zatrudnienie w podmiotach sektora finansowego
rodo w procesie rekrutacji wymaga dostosowania do wielu przepisów także sektorowych
Czy pracodawca musi poinformować kandydatów do pracy o przetwarzaniu ich danych osobowych?
Tak, tego wymaga RODO w procesie rekrutacji. Każdy potencjalny pracodawca, który zbiera dane od kandydatów do pracy, jest zobowiązany poinformować te osoby o:
- pełnej nazwie i adresie swojej siedziby,
- danych kontaktowych inspektora ochrony danych (o ile go wyznaczył),
- celu przetwarzania danych oraz podstawie prawnej przetwarzania,
- znanych mu w chwili gromadzenia danych odbiorcach danych (rozumianych szeroko) lub ich kategoriach,
- zamiarze transgranicznego przetwarzania danych (o ile taki istnieje),
- okresie, przez który dane będą̨ przetwarzane bądź kryteriach ustalania tego okresu,
- przysługujących jej prawach do żądania dostępu do danych, w tym otrzymania ich kopii, ich sprostowania, usunięcia lub ograniczenia ich przetwarzania,
- prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność́ z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem (jeżeli dane są zbierane na podstawie zgody),
- prawie wniesienia skargi do Prezesa UODO,
- dobrowolności lub obowiązku podania danych i konsekwencjach ich nie podania.
Pracodawca ma obowiązek poinformować kandydata do pracy o tych okolicznościach w chwili pozyskiwania tych danych w sposób jasny, czytelny i łatwo dostępny dla kandydata. Może to zrobić np. w treści ogłoszenia o pracę lub w informacji zwrotnej bezpośrednio po otrzymaniu od kandydata aplikacji do pracy. Pamiętaj zatem aby w Twojej dokumentacji systemowej znalazł się wzór klauzuli informacyjnej dla kandydatów do pracy.
Czy kandydat musi wyrazić zgodę na przetwarzanie danych osobowych?
NIE. Dotychczasowe praktyki polegające na umieszczeniu na CV przez kandydata zgody na przetwarzanie jego danych osobowych nie są prawidłowe. Dane kandydata przetwarzane są na podstawie przepisów prawa (art 6.1.b) zawartych w Kodeksie Pracy w art. 22, a nie na podstawie wyrażonej zgody.
Są jednak pewne wyjątki kiedy zgoda jest wymagana:
- Przetwarzanie danych wrażliwych dotyczących stanu zdrowia (o ile administrator nie legitymuje się przepisem prawa, który zobowiązuje go do ich przetwarzania tego typu danych np. policja)
- Wykorzystanie CV kandydata do celu jakim jest przyszła rekrutacja.
Ważne jest aby kandydat został poinformowany o możliwości i sposobie wycofania zgody. Sposób wycofania zgody powinien być równie łatwy, jak było jej wyrażenie. Zgoda na przetwarzanie danych np. w celu kolejnych rekrutacji może być wycofana w dowolnym momencie. W takiej sytuacji pracodawca traci uprawnienie do dalszego przetwarzania tych danych i powinien niezwłocznie je usunąć. O prawie do wycofania zgody pracodawca powinien poinformować́ kandydata w momencie pozyskania jego danych.
O co więc chodzi z tymi formułkami RODO na CV?
Jest to pozostałość z poprzednich regulacji z 1997 roku, w ramach których wymagało się umieszczenia zgody na życiorysie kandydata, pod rygorem niewykorzystania przez pracodawcę CV w procesie rekrutacji. Aktualnie przepisy nie wymagają już zgody kandydata na wykorzystanie jego danych, gdyż odbywa się to na innej podstawie prawnej tj. na zapisach Kodeksu Pracy.
Oczywiście zdarza się, że kandydat umieści w swoim CV dane ponad to czego się od niego wymaga i co jest przewidziane przepisami prawa, np. zdjęcie czy datę urodzenia, a odpowiedzią na to jest odpowiednio opracowana klauzula informacyjna. Wystarczy dodać w niej zapis o treści: „Podanie innych danych w zakresie nieokreślonym przepisami prawa, zostanie potraktowane jako zgoda ( 6 ust. 1 lit a RODO) na przetwarzanie tych danych osobowych. Wyrażenie zgody w tym przypadku jest dobrowolne, a zgodę tak wyrażoną można odwołać w dowolnym czasie.” Widzisz więc, że RODO w procesie rekrutacji nie jest zbyt skomplikowane i wystarczy znać kilka podstawowych zasad którymi należy się kierować podczas poszukiwania praciwników.
Jeśli prowadzisz firmę i nie posiadasz jeszcze pakietu dokumentów w którym znajdziesz min. instrukcje i dokumenty związane z procesem rekrutacji, to zajrzyj do naszego sklepu online w którym znajdziesz dokumentację przygotowaną przez specjalistów zgodną z obowiązującym prawem.
Tu mnie znajdziesz:
Dołącz do mnie na Facebooku
Nie omieszkaj wbić się na instagram
YT A tu obejrzysz porady wideo
utworzone przez Anna Zamojcin | paź 12, 2021
Służbowa Komórka i laptop a RODO
W ostatnich latach głośnym echem przez media przeszła sprawa aplikacji FaceApp pozwalającej na modyfikację wizerunku osoby ze zdjęcia. Niezwykle popularna stała się funkcja pozwalająca zobaczyć, jak osoba ze zdjęcia może wyglądać za 20-30 lat. Odezwały się głosy urzędników z Ministerstwa Cyfryzacji o niebezpieczeństwie utraty danych z telefonu, czy specjalistów od bezpieczeństwa z Niebezpiecznika o tym, jak sprzedajemy swoje dane w zamian za darmowe aplikacje.
A co jeżeli w taki sam nierozważny sposób używamy służbowego telefonu? Czy narażamy się na wyciek danych, incydent przetwarzania, kary i utratę reputacji? Zdecydowanie tak, dlatego musisz zmienić swoje przyzwyczajenia i na początek wdrożyć proste zasady używania komórki i laptopa.
Zanim zajmę się samymi aspektami korzystania ze służbowego telefonu, muszę jasno odpowiedzieć na bardzo często powtarzające się pytanie – kiedy mówimy o przetwarzaniu danych osobowych? Odpowiedź jest prosta: zawsze, chyba że mamy do czynienia z jednym z wyłączeń zdefiniowanych w RODO. Zatem bardziej słuszne jest pytanie – kiedy nie przetwarzasz danych osobowych? Nie przetwarzasz danych osobowych używając komórki prywatnej do prywatnych celów.
Prywatny sprzęt do celów służbowych
Pojęcie „służbowy telefon” czy „służbowy laptop” bardzo często pojawia się w słowniku osób zatrudnionych w korporacjach. Wiele z nich kusiło możliwością wykorzystywania sprzętu służbowego do celów prywatnych, stosując to jako zachętę do podjęcia pracy. Natomiast osoby pracujące w modelu b2b często do pracy wykorzystywały swoje urządzenia, a nie te dostarczone przez zleceniodawcę. Doprowadzało to do sytuacji w której dane prywatne były przechowywane razem z danymi służbowymi.
Łączenie funkcji telefonu służbowego i prywatnego jest wygodne, ale może być niebezpieczne z punktu widzenia RODO. Dane prywatne i służbowe zaczynają się na nim mieszać. RODO nie jest rozporządzeniem zawierającym detale techniczne, mówiące jak należy wdrażać zawarte w nim zapisy. To przedsiębiorca ma podejmować odpowiednie decyzje, uwzględniając charakter branży, zakres przetwarzanych danych czy zagrożenia. Zatem nie znajdziemy w nim pojęć urządzenia prywatnego czy służbowego. Pracodawca, który wyraził zgodę na wykorzystywanie przez pracownika prywatnych urządzeń do wykonywania obowiązków służbowych musi zastosować odpowiednie procedury, polityki i uwzględnić sytuację w analizie ryzyka.
Poniżej kilka rad, na jakie aspekty przede wszystkim zwracać uwagę i jak wdrożyć proste zasady używania komórki i laptopa u siebie i swoich pracowników.
Jak zabezpieczyć komórkę i laptopa
Na początku zadbaj o bezpieczeństwo fizyczne urządzenia i zapisanych w nim danych. Poniżej znajdziesz zasady, które musisz sobie przyswoić niezależnie od tego, czy to Twoje urządzenie prywatne, czy służbowe:
- Zabezpiecz dostęp do komputera silnym hasłem (co najmniej kilkanaście znaków w tym duże i małe litery, cyfry i znaki specjalne). Jak takie hasło stworzyć możesz przeczytać tutaj. Alternatywnie użyj managera haseł. Pamiętaj by nie stosować tego hasła nigdzie indziej.
- W urządzeniach mobilnych zastosuj również alfanumeryczne hasło. Jeżeli zdecydujesz się na kod PIN, niech będzie on co najmniej 6-cyfrowy. Zastosowanie dodatkowo biometrii, czyli odcisku palca lub rozpoznawania twarzy, także jest bezpieczne. Co do zasady musisz mieć ustawione możliwie najsilniejsze zabezpieczenie. Sprawdź jednak, jak awaryjnie się je wyłącza (np. w iPhone wystarczy 5 razy szybko kliknąć przycisk z prawej strony, którym normalnie blokujesz telefon).
- Jeżeli Twój telefon na to pozwala, włącz opcję przywracania ustawień fabrycznych po 10 nieudanych próbach logowania.
- Włącz szyfrowanie dysków, pamięć telefonu czy wymiennych kart pamięci. Na komputerach musisz je włączyć samodzielnie (BitLocker w Windows, FileVault w MacOS). Pamiętaj, że szyfrowanie nic nie da, jeżeli nadal będziesz komputer usypiać po skończonej pracy. W takim stanie klucze szyfrujące są nadal w pamięci urządzenia. Musisz je albo wyłączyć, albo hibernować.
- Telefony i tablety Apple mają domyślnie włączone szyfrowanie pamięci, tak samo nowsze urządzenia z Androidem. W starych musisz to zabezpieczenie włączyć samodzielnie. Nie zapomnij o wyjmowalnych kartach pamięci!
- W przypadku zgubienia czy kradzieży telefonu skorzystaj z dostarczonych przez producentów narzędzi pozwalających na zlokalizowanie urządzenia. Koniecznie wymuś jego wyczyszczenie i przywrócenie do ustawień fabrycznych zdalnie, gdyby tylko zguba zalogowała się do sieci GSM albo WiFi.
- W żadnym wypadku nie dawaj urządzenia do rąk nieznajomym, a już na pewno, gdy jest ono odblokowane. Odchodząc od komputera pamiętaj by go zablokować, a gdy odchodzisz na dłużej wyłączaj lub hibernuj.
Poczta, kalendarz, kontakty – zasady współdzielenia
Bardzo wygodnym rozwiązaniem jest wykorzystywanie tego samego urządzenia do obsługi prywatnej i służbowej poczty, kalendarza czy książki adresowej. Niemniej chwila nieuwagi może skończyć się incydentem, który co najmniej musisz odnotować w rejestrze incydentów. Wystarczy, że wyślesz e-mail z prywatnej skrzynki zamiast służbowej, lub zapiszesz dane kontaktowe w złej książce adresowej. Dlatego wprowadź proste i czytelne zasady oddzielania danych prywatnych i służbowych.
Aby uniknąć takich sytuacji, postaraj się korzystać z oddzielnych aplikacji do czynności prywatnych i służbowych. Tak robię ja. Do poczty prywatnej na telefonie czy laptopie wykorzystuję Apple Mail, czyli wbudowaną aplikację w MacOS czy iOS. Do służbowej zaś, ponieważ korzystam z pakietu Office365, mam na urządzeniach zainstalowanego klienta Microsoft Outlook. Ty możesz zainstalować dowolną inną aplikację pocztową do swojej skrzynki. W przypadku kalendarza przyjęłam zasadę, że korzystam tylko z usługi z Office365 zarówno do celów prywatnych, jak i służbowych, ewentualnie zapisuje wydarzenia bezpośrednio w wewnętrznym kalendarzu telefonu.
Prywatne spotkania i tak wpływają na wydarzenia służbowe, a dzięki temu nie ryzykuję zapisania służbowego spotkania z danymi klienta w prywatnym kalendarzu. Pilnuję jednak, żeby raczej nie wpisywać danych osobowych w prywatne spotkania. W przypadku, gdy zatrudniasz osoby możesz w regulaminie zakazać takiego współdzielenia kalendarza. Stwórz regulamin który będzie zawierać spisane wszystkie zasady korzystania z urządzeń w firmie. Służbowa komórka i laptop a rodo
Uprawnienia aplikacji na telefonie
Jest takie powiedzenie, że jednym z dwóch największych kłamstw Internetu jest stwierdzenie „przeczytałem i akceptuję warunki użytkowania„. Niestety prawda jest taka, że niewiele osób zawraca sobie głowę przeczytaniem polityki prywatności. Często nie jest ona napisana najprostszym językiem, mimo że RODO to narzuca. Prowadzi to do sytuacji, że powierzamy nasze dane, często bardzo osobiste, firmom trzecim i tracimy w ten sposób nad nimi kontrolę, a także naszą prywatność.
Jako społeczeństwo mamy nawyk dość lekkomyślnego zgadzania się na dostęp do zgromadzonych na urządzeniu danych o nas i osobach trzecich. Udostępniamy je aplikacji i jej twórcom bez świadomości co się z nimi będzie działo. Jest to ignorancja która powoduje, że nie zapala nam się w głowie żółta ostrzegawcza lampka, gdy aplikacja kalkulatora prosi o dostęp do książki adresowej czy zdjęć. A powinna, bo przecież po co kalkulatorowi dostęp do tych danych?
Warto zachować czujność, gdy nowo zainstalowana na telefonie aplikacja prosi o dostęp do poczty, książki adresowej, kalendarza, zdjęć lub plików. Niebezpieczna może być też zgoda na monitorowanie wykonywanych na telefonie czynności. Aplikacje bankowe czy pozwalające na zamówienie przewozu często proszą o dostęp do książki adresowej, aby ułatwić przelewy czy wybór miejsca docelowego podróży. Zadaj sobie pytanie czy na pewno tego potrzebujesz. Ja rekomenduję, aby takiej zgody nie udzielać, jeżeli jednak chcesz z tych funkcjonalności korzystać, zadbaj o dopełnienie wszystkich wymogów formalnych, które stawia RODO.
Zarówno w życiu prywatnym, jak i w pracy zawodowej, trzeba z wyprzedzeniem myśleć i rozumieć jak działają aplikacje czy strony, którym przekazujemy jakieś dane. Zwracaj uwagę na to, czy masz uzasadniony cel, w którym je przekazujesz i podpisaną umowę powierzenia. Jeżeli aplikacja prosi o dostęp do zasobów pomyśl, czy na pewno jest to konieczne. W szczególności odmawiaj takiego dostępu, gdy wykorzystujesz ją do celów prywatnych. Łatwo w ten sposób możesz udostępnić dane osobowe klientów czy partnerów biznesowych.
Znane jest powiedzenie „lepiej zapobiegać niż leczyć„. Pasuje ono także do ochrony danych osobowych i samego ich przetwarzania. Lepiej zmienić swoje nawyki i nauczyć się nowych bezpiecznych zachowań, niż usuwać skutki incydentu. Wyciek danych może uszczuplić nie tylko Twój portfel, ale co ważniejsze nadszarpnąć reputację. Karę może nałożyć UODO, zadośćuczynienia domagać może się sam poszkodowany. Dlatego przede wszystkim przejrzyj swój telefon oraz laptop i cofnij uprawnienia aplikacjom, które nie są Ci niezbędne. Z części z nich po prostu zrezygnuj. Możesz też zakupić oddzielne urządzenia i całkowicie odseparować swoje sprawy zawodowe od prywatnych.
Potrzebujesz pomocy w sprawach bezpieczeństwa danych osobowych? Napisz do mnie. Chętnie pomogę Tobie, i Twojej firmie w dostosowaniu do wymogów i przepisów RODO
Jeśli prowadzisz firmę jednoosobową i nie posiadasz jeszcze systemy ochrony danych to tu znajdziesz gotowy pakiet dokumentacji RODO dla jednoosobowej działalności która pozwoli Ci bez wysiłku wdrożyć RODO w Twojej firmie.
Natomiast jeśli zatrudniasz pracowników to odpowiedni będzie dla Ciebie pakiet RODO dla pracodawców w którym znajdziesz dokumentację niezbędną do zachowania zgodności z rozporządzeniem o ochronie danych osobowych.
Tu mnie znajdziesz:
Dołącz do mnie na Facebooku
Nie omieszkaj wbić się na instagram
YT A tu obejrzysz porady wideo
utworzone przez Anna Zamojcin | lip 29, 2021
Co to jest minimalizacja danych
Czy jako przedsiębiorca nie zbierasz zbyt dużo danych od swoich pracowników, klientów, kontrahentów? Czasami wydaje nam się, że jeśli zbierzemy więcej danych to nam się do czegoś przydadzą, jeśli nie od razu to może później. Że dzięki temu nasza wiedza na temat np. Klienta będzie większą i będziemy mogli „lepiej” zrealizować zamówienie, lub zrozumieć potrzeby. Ale czy na pewno takie podejście jest właściwe? Czy nie łamiemy w ten sposób praw osób od których pobieramy dane i czy postępujemy zgodnie z zasadą minimalizacji danych?
Minimalizacja danych jest to jedna z zasad, co do których możliwe są najszersze interpretacje, a która też potencjalnie może na przedsiębiorców ściągnąć bolesne konsekwencje finansowe w przypadku stwierdzenia naruszenia. Minimalizacja jest dokładnie w RODO zdefiniowana, dokładny zapis tego punktu brzmi:
Dane osobowe muszą być: c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane („minimalizacja danych”);
RODO, Artykuł 5, punkt 1, lit.c)
W praktyce dla każdego administratora danych osobowych oznacza to tyle, że nie może on gromadzić więcej danych osobowych, niż jest to niezbędne do wykonania danej czynności. Określenie tego zbioru minimalnych danych może stanowić problem lub pole do interpretacji. Ważne jest, aby decyzja była podjęta przez przedsiębiorcę świadomie. Dlatego należy ją poprzedzić analizą tego, jakie czynności w przedsiębiorstwie się wykonuje i jakie dane osobowe są do nich niezbędne.
Przyjrzyjmy się trzem sytuacjom, gdzie minimalizacja zbieranych danych ma znaczenie.
Lista mailowa – zbieramy tylko adres e-mail?
Newsletter, czyli lista mailowa, to jedna z najstarszych i najpopularniejszych metod stałego kontaktu z czytelnikiem i promocji swoich produktów i usług. Teraz zadajmy sobie pytanie, jakie dane osobowe są nam potrzebne, aby zapisać kogoś na newsletter.
Odpowiedź wydaje się oczywista – adres e-mail. Co do tego nie ma żadnych wątpliwości. Jednak na wielu stronach prosi się nie tylko o podanie adresu e-mail, lecz także imienia i nazwiska.
Takie podejście nie jest niezgodne z RODO, jeżeli spełnione są dwa warunki:
- Jasno informujemy klienta, w jakim celu chcemy pobrać dane
- Pozwalamy, w przypadku danych, które nie są niezbędne, na dobrowolność ich podania
Nie zawsze jest tak, że zapisując do listy mailowej sam adres e-mail będzie tym minimalnym zbiorem danych. Załóżmy, że prowadzisz sklep internetowy, który działa na terenie całej Polski, lecz oferta asortymentu jest zależna od województwa, w którym znajduje się zamawiający. Także Twoje newslettery są tworzone z myślą o odbiorcach w danym regionie. W takim wypadku proszenie czytelnika o podanie województwa zamieszkania jest uzasadnione do realizacji celu, dla którego zbierasz dane. Minimalizacja danych w tym wypadku obejmuje już dwie cechy, a nie jedną. O tym jak poprawnie zapisywać na newsletter piszę w artykule „Newsletter z godny z RODO”.
Zakup i dostawa produktu – ile danych potrzebujesz do realizacji zamówienia
Jeżeli prowadzisz sklep internetowy, to musisz od kupującego zebrać pewien zestaw danych osobowych, aby zrealizować transakcję, zgodnie z prawem ją zaksięgować oraz dostarczyć zakupiony produkt. Zatem do zebrania pewnych informacji przedsiębiorca jest zobligowany przepisami prawa. Przykładowo, dane, które musimy umieścić na fakturze, określa art. 106e ust. 1 Ustawy o podatku od towarów i usług. Jeżeli fakturę wystawiamy osobie prywatnej, czy prowadzącej jednoosobową działalność gospodarczą, to bez wątpienia przetwarzamy jej dane osobowe.
Nieco inaczej sytuacja wygląda, jeżeli chodzi o przetwarzanie danych celem dostarczenia towaru. Sprzedający zazwyczaj wymaga podania tych samych danych co do wystawienia faktury (poza numerem NIP), do tego danych kontaktowych – adresu e-mail oraz numeru telefonu. Nie ma wątpliwości, że podanie tych danych jest niezbędne, aby dostarczyć przesyłkę do zamawiającego oraz informować o statusie dostawy lub umożliwić kurierowi kontakt odbiorcą.
A jeżeli pozwalasz na osobisty odbiór zamówienia? W takim przypadku żądanie podania danych adresowych czy kontaktowych należałoby uznać za złamanie zasady minimalizacji. Skoro pozwalasz na odbiór osobisty to jedyne dane, jakie potrzebujesz to imię i nazwisko zamawiającego celem ewentualnego potwierdzenia tożsamości odbierającego. Dane adresowe nie są Ci do tego potrzebne, gdyż one i tak nie znajdują się na dokumentach tożsamości. Z podobną sytuacją mamy do czynienia, gdy klient zamawia dostawę do paczkomatu. Czołowy operator, firma InPost, wymaga jedynie podania adresu e-mail i numeru telefonu odbiorcy (co też budzi pewne wątpliwości, jeżeli chodzi o zasadę minimalizacji) oraz wskazanie paczkomatu, zatem przetwarzanie przez Ciebie większej ilości danych celem wykonania dostawy jest bezzasadne.
Jeżeli dopiero otwierasz sklep internetowy to zwróć uwagę, aby jego system był zgodny z zasadą minimalizacji. W sytuacji, gdy Twój sklep już działa, zapytaj się jego operatora o możliwości jego dostosowania. Zapoznaj się z dokumentacją dla sklepu internetowego w pełni dostosowaną do obowiązujących przepisów prawa.
Minimalizacja danych w umowach – czy pobrać numer dowodu?
Prowadząc własną firmę, nie unikniesz podpisywania różnych umów. Mogą być to umowy z klientami, dostawcami czy podwykonawcami. Zarówno z osobami fizycznymi, jak i prawnymi. Na każdej umowie musisz zawrzeć jasne informacje jednoznacznie identyfikujące strony umowy. W przypadku firmy będzie to numer NIP czy numer wpisu do KRS. Osoby prowadzące jednoosobową działalność gospodarczą możemy ustalić na podstawie numeru NIP lub REGON. A jak postąpić, gdy mamy do czynienia z osobą fizyczną?
W Polsce nadal istnieje błędne przekonanie, że do zawarcia umowy z drugą osobą trzeba od niej zebrać dużo informacji. Dlatego na wielu umowach pojawiają się taki pola jak imię, nazwisko, adres zameldowania, miejsce zamieszkania, imiona rodziców, numer PESEL, data urodzenia, numer dowodu wraz z datą jego ważności i inne. Widziałem również umowy, w których wymagane było podanie danych z dwóch dokumentów tożsamości. Wszystkie te umowy nie są zgodne z RODO.
Do identyfikacji osoby fizycznej wystarczą trzy informacje – jej imię, nazwisko oraz numer PESEL. Zamiast numeru PESEL można wpisać numer dowodu osobistego lub paszportu. Z praktycznego punktu widzenia PESEL jest jednak wygodniejszy, gdyż w przeciwieństwie do numerów dokumentów się nie zmienia. Jednak pamiętaj, że zbieranie jednocześnie numeru PESEL i numeru dokumentu tożsamości najprawdopodobniej zostanie uznane za złamanie reguły minimalizacji, gdyż wystarczająca jest tylko jedna z nich. W żadnym wypadku nie wolno Ci także w żaden sposób przetwarzać kopii dowodu czy paszportu. Taki skan zwierać będzie nie tylko te trzy wymagane do identyfikacji dane, ale znacznie więcej informacji, w tym dane biometryczne w postaci zdjęcia.
Jeśli prowadzisz firmę jednoosobową i nie posiadasz jeszcze systemy ochrony danych to tu znajdziesz gotowy pakiet dokumentacji RODO dla jednoosobowej działalności która pozwoli Ci bez wysiłku wdrożyć RODO w Twojej firmie.
Natomiast jeśli zatrudniasz pracowników to odpowiedni będzie dla Ciebie pakiet RODO dla pracodawców w którym znajdziesz dokumentację niezbędną do zachowania zgodności z rozporządzeniem o ochronie danych osobowych.
Tu mnie znajdziesz:
Dołącz do mnie na Facebooku
Nie omieszkaj wbić się na instagram
YT A tu obejrzysz porady wideo
Dołącz do mnie na 
Dołącz do mnie na 
Dołącz do mnie na 
