Założenia dla MŚP – do 250 pracowników

• 06.08.2018

• Autor: Joanna Peryt

• obowiązki administratora danych

Unijne Rozporządzenie o ochronie danych osobowych (RODO) nakłada na przedsiębiorców liczne obowiązki. Dostosowanie się do nowych regulacji obejmuje wszystkich przedsiębiorców, niezależnie od wielkości firmy i zatrudnienia. Jednak przedsiębiorcy z sektora MŚP mogą liczyć na pewne ulgi ze strony ustawodawcy w tym zakresie.

Firmy, które nie zatrudniają więcej niż 250 pracowników i nie osiągają przychodu ze sprzedaży większego niż 50 mln euro rocznie, traktowane są przez UE jako mniejszy podmiot gospodarczy. Ponadto jeśli dodatkowo firmy te nie przetwarzają szczególnych kategorii danych oraz nie udostępniają danych osobowych innym podmiotom, będą mogły skorzystać z przygotowanych dla nich ulg.

Jednym z obowiązków, jaki zobowiązany jest spełnić administrator danych, jest obowiązek informacyjny wobec osób, których dane przetwarza. Aby obowiązek ten był zgody z wymogami RODO, musi zawierać kilkanaście elementów, m.in. nazwę i adres administratora, cel przetwarzania danych, podstawę prawną przetwarzania, dane kontaktowe inspektora ochrony danych ( jeśli został powołany) czy informację o przysługujących podmiotom danych prawach (np. prawo do przenoszenia danych, prawo do zapomnienia, prawo do ograniczenia przetwarzania). I właśnie tego ostatniego wymogu informacyjnego nie muszą realizować małe i średnie przedsiębiorstwa. Nie oznacza to oczywiście, iż w praktyce nie muszą tych praw realizować.

Kolejną ulgą jest brak obowiązku prowadzenia rejestru czynności przetwarzania danych osobowych. Rejestr ten zawiera wykaz wszystkich procesów związanych z przetwarzaniem danych w firmie. Istotne jest, że wymóg ten nie jest realizowany tylko wówczas, kiedy nie są przetwarzanie szczególne kategorie danych. W innym przypadku, niezależnie od wielkości przedsiębiorstwa, musi ono prowadzić rejestr czynności przetwarzania.

Firmy zatrudniające mniej niż 250 pracowników zwolnione są ponadto z obowiązku powołania Inspektora Ochrony Danych. Podobnie jak w przypadku rejestru czynności przetwarzania ulga ta dotyczy firm, które nie przetwarzają szczególnych kategorii danych oraz jeśli ich główna działalność nie jest ściśle związana z przetwarzaniem danych.

Natomiast  małe i średnie przedsiębiorstwa podlegają obowiązkowi wynikającemu z art. 33 RODO dot. poinformowania Prezesa Urzędu Ochrony Danych Osobowych o naruszeniu.  Tym samym ponoszą one pełną odpowiedzialność za naruszenie prawa w tym zakresie.

Ponadto, niezależnie od przysługujących im ulg, małe i średnie przedsiębiorstwa muszą zapewnić odpowiednią ochronę przetwarzanym przez siebie danym osobowych  poprzez wdrożenie odpowiednich środków technicznych i organizacyjnych. Wymóg ten dotyczy zarówno dokumentów papierowych, w których przetwarzane są dane osobowe, jak i systemów informatycznych wykorzystywanych do przetwarzania danych.

Autor

Joanna Peryt

Z uwagi na posiadaną wiedzę specjalizuje się w zagadnieniach związanych z ochroną danych w prawie pracy. Przez kilkanaście lat zrealizowała wiele audytów bezpieczeństwa danych osobowych oraz projektów wdrożeniowych. Pełniła rolę Inspektora ochrony danych dla wielu klientów Audytela.