Gdy organizacja rośnie musisz poprawić RODO

 

Gdy organizacja rośnie, RODO przestaje być „intuicyjnym ogarnianiem danych”, a zaczyna być koniecznością uporządkowania procesów. Oto co administrator danych musi zrobić, zgodnie z realnymi wymogami RODO – bez mitów, za to praktycznie:

---

📌 1. Uaktualnić rejestr czynności przetwarzania (RCzP)

Nowi pracownicy, nowe systemy, nowe procesy = nowe czynności przetwarzania.
RCzP musi odzwierciedlać rzeczywistość — to podstawa przy każdej kontroli i audycie.

Co w praktyce:

• dopisujesz nowe procesy (rekrutacja, CRM, marketing),
• aktualizujesz podstawy prawne, okresy retencji, odbiorców danych.

---

📌 2. Zarządzić dostępami i upoważnieniami

Przy wzroście firmy rośnie liczba osób z dostępem do danych — to zwiększa ryzyko.

Co trzeba:

• nadawać upoważnienia konkretnym osobom,
• prowadzić ewidencję,
• odbierać dostęp przy zmianie stanowiska lub odejściu pracownika.

---

📌 3. Ocenić ryzyko i w razie potrzeby zaktualizować OSOD (DPIA)

Nowe operacje (np. monitoring, profilowanie, duża skala danych) wymagają aktualizacji analizy ryzyka oraz mogą wymagać ponownej oceny skutków dla ochrony danych.

---

📌 4. Wdrożyć lub zaktualizować procedury (polityki)

Wraz ze wzrostem organizacji nie da się polegać na „zdrowym rozsądku pracowników”.

Potrzebne są m.in.:

• procedura realizacji praw osób,
• procedura naruszeń (kto zgłasza, komu, jak, kiedy),
• polityka retencji,
• procedury IT/bezpieczeństwa.

---

📌 5. Zaktualizować umowy powierzenia

Każdy nowy podwykonawca, system, SaaS, outsourcing = nowy procesor.

Należy:

• zawrzeć umowę powierzenia,
• sprawdzić, czy podmiot spełnia wymogi RODO (audyt lub wynik audytu),
• zapewnić, że nie przekazuje danych dalej bez zgody ADO.

---

📌 6. Zabezpieczyć dane IT adekwatnie do skali

„Mały” poziom zabezpieczeń przestaje być wystarczający, gdy firma rośnie.

Praktycznie:

• silne hasła i MFA,
• kopie zapasowe,
• segmentacja dostępów,
• aktualizacje systemów,
• zasady pracy zdalnej (VPN, szyfrowanie).

---

📌 7. Zaktualizować klauzule informacyjne

Nowe cele, nowe procesy, nowe systemy → aktualizacja informacji, które przekazujesz osobom, których dane przetwarzasz.

---

📌 8. Zaplanować porządną retencję

„Przechowywać wszystko w nieskończoność” przestaje działać, gdy skala rośnie.
RODO wymaga określenia i przestrzegania okresów przechowywania.

---

📌 9. Przeprowadzić szkolenie pracowników

Nowe osoby = większe ryzyko błędów.

RODO wymaga, aby personel był świadomy zasad ochrony danych.
Najwięcej naruszeń wynika z niewiedzy — nie ze złej woli.

---

🎯 Podsumowanie

Gdy organizacja rośnie, ADO musi przede wszystkim:
uporządkować procesy, zaktualizować analizę ryzyka i dokumentację, przeszkolić ludzi i realnie zadbać o dostęp oraz bezpieczeństwo.
To nie jest papierologia — to obniżenie ryzyka.

---

Prawnik kontra IODa

 

Publikując na forach można trafić na prawnika, który potraktuje cię jak uczniaka i zaatakuje. Rozumiem chęć dialogu i wymiany poglądów, bo to dyskusja pozwala stworzyć coś konstruktywnego ale trudno pojąć dlaczego pominął w uzasadnieniu istotę zagadnienia. 

 

 

Szczegóły konfrontacji omówiłem w filmie:

https://youtu.be/m3NAd_w97NY

Jak się podobało daj „łapkę w górę” oraz za „Subskrybuj” kanał.

#zasadywalkirodo

PESEL w punktach sprzedaży węgla

 

Konsumenci zaopatrujący się w węgiel muszą przekazać sprzedawcy opału specjalne oświadczenie zawierające szereg danych osobowych, w tym numer PESEL. Wynika to z zapisów art. 31a ust. 1 pkt 3 ustawy o podatku akcyzowym, czynności podlegające opodatkowaniu, których przedmiotem są wyroby węglowe przeznaczone do celów opałowych przez gospodarstwo domowe zwolnione są od akcyzy.

 

Na bazie tych danych raz na kwartał tworzą listę, która zawiera: imię i nazwisko oraz numer PESEL, a jeżeli nie został nadany – nazwę i numer dokumentu stwierdzającego tożsamość.

 

Skład węgla w obowiązku informacyjnym wskaże podstawę prawną: art 6 ust 1 lit c) RODO oraz art 31a ust 1 pkt 3 ustawy o podatku akcyzowym. Dlaczego nie podaje się ust 3b gdzie wymienia się listę, na której wypisuje się PESEL? Ponieważ RODO wymaga celu przetwarzania danych osobowych a ten punkt wskazuje tylko typy danych a celem jest "Zwolnienie od akcyzy". Czyli wskazanie podstawy, dlaczego pobieramy te dane osobowe. Osoba, która nie korzysta ze zwolnienia z akcyzy nie ma obowiązku podać tych danych.

Rozliczalność Administratora Danych Osobowych

 

Przewidziana w art. 5 ust.2, zasada rozliczalności, wymusza obowiązek wykazania przestrzegania wszystkich podstawowych zasad, na których bazuje RODO, a które określono w art. 5 ust. 1, tj. zasady zgodności z prawem, rzetelności i przejrzystości, wąskiego i wyraźnego określenia i ograniczenia celu, minimalizacji danych (z uwzględnieniem adekwatności, stosowności i niezbędności danych), prawidłowości (z uwzględnieniem aktualności), ograniczenia przechowywania (retencja), integralności i poufności oraz bezpieczeństwa.

Zgodnie z podręcznikiem dla IOD, który zatwierdzała Komisja Europejska w lipcu 2019r

Wskazano jak rozliczyć się w zgodzie z RODO: