Polityka ochrony danych osobowych i Polityka prywatności – czy potrzebujesz obu?

08.12.2021
Autor: Paulina Wirska
definicje i pojęcia w RODO

Dane osobowe są jednym z najcenniejszych zasobów każdej firmy. Dotyczy to każdej branży i wydaje się, że nie ma już spółek ani przedsiębiorców, którzy nie zdawaliby sobie z tego sprawy. Każdego dnia biznes zbiera, generuje i przetwarza na wszystkie możliwe sposoby ogromne ilości informacji, w tym dane osobowe. To dzięki nim możliwa jest realizacja sprzedaży, zakupów i planowanie strategiczne. Z uwagi na to, że dane są tak cenne, nikt nie może sobie pozwolić na utratę ich z pola widzenia, czy ryzyko, że mogą one zostać utracone lub naruszone w wyniku celowych działań, zaniechań, czy nieprzewidzianych wypadków. Dlatego organizacje stawiają na wieloaspektowe podejście do ochrony informacji, danych osobowych i prywatności osób, których dotyczą.

Chociaż terminy ochrona danych osobowych i ochrona prywatności są czasami używane zamiennie, istnieje między nimi kilka kluczowych różnic.

Analizując potrzeby organizacji w zakresie ochrony danych osobowych skupiamy się na środkach organizacyjnych i technicznych mających ochronić dane przed naruszeniem integralności, nieuprawnionym ujawnieniem i utratą dostępu. Zgodnie z rozporządzeniem parlamentu europejskiego na system ochrony danych składa się wyznaczenie inspektora albo koordynatora ochrony danych oraz zaprojektowanie i wdrożenie zasad umożliwiających realizację praw osób, których dane dotyczą, wykonywanie obowiązków informacyjnych, właściwy wybór kontrahentów. System obejmuje również zasady tworzenia kopii zapasowych w celu odzyskania danych w przypadku ich nieuprawnionego bądź niezamierzonego usunięcia, uszkodzenia, czy zastąpienia danymi nieprawdziwymi, stosowna analiza ryzyka oraz włączenie jej wyników w projektowanie nowych procesów. Na gruncie RODO najważniejsza jest ochrona prywatności osób, których dane dotyczą, a nie samych danych, czy nośników i dokumentów, które je zawierają. Możemy też spojrzeć na to zagadnienie od strony obowiązków administratora danych, a nie poszczególnych praw podmiotowych osób, które one dotyczą. Podstawowym aspektem bezpieczeństwa informacji, na który należy zwrócić uwagę z technicznego punktu widzenia, jest kontrola dostępu. Zapewnienie prywatności osobom, których dane przetwarzamy, w dużym stopniu jest uzależnione od prawidłowego ustalenia, kto powinien mieć dostęp do poszczególnych informacji w systemach informatycznych lub przechowywanych w jakikolwiek inny sposób oraz kto może taki dostęp autoryzować. Kolejnym, na równi istotnym krokiem jest zastosowanie mechanizmów (procedur, protokołów, kodów), które będą skutecznie zapobiegać nieuprawnionemu dostępowi do danych osobowych. Jednym z takich instrumentów jest opracowanie i wdrożenie polityki bezpieczeństwa. Przykładowo, szyfrowanie danych znacząco utrudni lub wręcz uniemożliwi odczytanie informacji osobom nieupoważnionym, czyli niedysponującym hasłem lub innym rodzajem bezpiecznego klucza. Innym narzędziem wartym wspomnienia jest stosowanie mechanizmu uniemożliwiającego wysłanie wiadomości e-mail zawierającej dane osobowe (np. PESEL) bez autoryzacji przełożonego.

Również Polityka ochrony danych osobowych i Polityka prywatności mogą w pewnym stopniu się pokrywać zakresem, do którego się odnoszą, ale w praktyce są to bardzo różne dokumenty.

Polityka prywatności

Polityka prywatności jest przeznaczona dla osób, których dane są przetwarzane. Zazwyczaj jest ona skierowana do użytkowników strony internetowej lub aplikacji, korzystających z innych usług świadczonych drogą elektroniczna. Zawiera informacje administratora danych, których przedstawienia wymagają przepisy RODO oraz informacje o plikach cookies, wtyczkach i geolokalizacji, stosowanych innych narzędziach i dostępnych usługach, formularzach, czy realizowane są cele statystyczne i analityczne, itd. Polityka prywatności służy więc zagwarantowaniu użytkownikom rzetelnej, jasnej informacji o celach i sposobach przetwarzania ich danych oraz – co najważniejsze – o przysługującym im prawach i sposobie ich realizacji; powinna też umożliwiać użytkownikom korzystanie z prawa do decydowania o tym, w jaki sposób ich dane mogą być wykorzystywane.

Polityka ochrony danych osobowych

Polityka ochrony danych osobowych jest dokumentem skierowanym do osób, które z upoważnienia administratora danych biorą udział w ich przetwarzaniu, tzn. pracowników, niezależnie od podstawy ich zatrudnienia. Polityka ochrony danych może być złożona z odrębnych procedur i zazwyczaj – przynajmniej w poszczególnych fragmentach – jest chroniona tajemnicą przedsiębiorstwa. Odrębne zagadnienia, które ten dokument pokrywa to w szczególności: obowiązki osób zaangażowanych w proces przetwarzania danych osobowych, procedurę upoważniania do przetwarzania danych osobowych, sposób realizowania obowiązków informacyjnych i wniosków osób, których dane dotyczą, udostępnianie i powierzanie przetwarzania danych, środki techniczne i organizacyjne niezbędne dla zapewnienia poufności, integralności i rozliczalności przetwarzania danych oraz ewentualne wskazówki dla pracowników przetwarzających dane osobowe.

Oba te dokumenty są niezbędne każdemu administratorowi danych, aby mógł on w weryfikowalny, ujednolicony sposób zarządzać ochroną danych osobowych w organizacji oraz realizacją praw osób, których te dane dotyczą. Obowiązek przygotowania i wdrożenia żadnej z Polityk nie wynika wprost z przepisów prawa, ale jest jasne, że bez nich nie będzie możliwe rozliczenie pracowników, ani wykazanie przez samego administratora, że przestrzega on zasad przetwarzania danych osobowych i realizuje obowiązki, które nakłada RODO.

Tak więc, przyjęcie i rzeczywiste stosowanie Polityki ochrony danych osobowych i Polityki prywatności w przypadku świadczenia usług drogą elektroniczną lub posiadania najprostszej nawet strony internetowej, jest uzasadnione najlepiej pojętym interesem spółki bądź przedsiębiorcy. Dokumentacja ta odnosi się do wszystkich obowiązków i uprawnień wynikających z RODO i innych ustaw szczegółowych, dlatego warto rozważyć zlecenie jej przygotowania lub audyt wdrożonych dokumentów wyspecjalizowanym podmiotom świadczącym usługi prawne w tym zakresie.