Czy jestem przygotowany na list z UODO?

Wyobraź sobie, że przychodzi listonosz i swoim zwyczajowym tonem oznajmia: „Polecony. Z Urzędu Ochrony Danych Osobowych. Za zwrotnym potwierdzeniem odbioru. Proszę podpisać tu, tu i tu.”

Właśnie trzymasz w ręce list z Departamentu Skarg Urzędu Ochrony Danych Osobowych. W środku pewnie znajdziesz pismo, w którym przeczytasz m.in.:
Zwracam się o ustosunkowanie się do treści skargi [imię i nazwisko skarżącego] oraz złożenie wyjaśnień:
- czy, a jeśli tak, to kiedy, na jakiej podstawie prawnej, z jakiego źródła, w jakim celu i zakresie Pan/Pani jako Przedsiębiorca, pozyskał dane osobowe Skarżącego, w szczególności jego ... [adres e-mail lub numer telefonu lub adres zamieszkania, korespondencyjny].
- czy, a jeśli tak, na jakiej podstawie prawnej, w jakim celu i zakresie Pan jako Przedsiębiorca przetwarza aktualnie oraz na jak długo i na jakiej podstawie prawnej przetwarzać będzie dane Skarżącego, w szczególności ... [j.w.]
- czy, a jeśli tak, to kiedy i w jaki sposób ustosunkował się Pan/Pani do żądania Skarżącego.
- czy dokonał Pan/Pani usunięcia danych osobowych Skarżącego, zaś jeśli nie, to z jakiego powodu i na jakiej podstawie prawnej.

Wyjaśnienia i dowody na ich potwierdzenie (korespondencję pomiędzy Skarżącym a Panem jako Przedsiębiorcą oraz kopie dokumentów, na podstawie których dane osobowe Skarżącego są przetwarzane) należy złożyć w terminie 7 dni od dnia doręczenia niniejszego pisma.

Drodzy czytelnicy! Każdy kto przetwarza dane osobowe np. swoich kontrahentów, jest prawnie zobligowany do ochrony danych osobowych pod groźbą co najmniej kary finansowej. Przepisy dają możliwość każdej osobie do złożenia skargi do UODO na przedsiębiorcę, gdy w jego mniemaniu dane osobowe są przetwarzane niezgodnie z prawem, np. bez zgody. Urząd musi wszcząć postępowanie wyjaśniające i wezwać drugą stronę – przedsiębiorcę – do złożenia wyjaśnień. Prosi także o dowody potwierdzające fakty opisane w wyjaśnieniach oraz o wskazanie podstaw prawnych, które zezwalają na przetwarzanie danych.

Czy jesteście przygotowani na udzielenie odpowiedzi na powyższe pytania, gdy pojawi się taka konieczność? Sprawdźcie się i swoje systemy informatyczne (programy pocztowe, CRM itp.) Czy jesteście w stanie w ciągu 7 dni odnaleźć, skompletować konieczną dokumentację i udzielić wyczerpujących wyjaśnień?
Wieloletnie doświadczenie nauczyło, że w zdecydowanej większości podejmujemy działania w sytuacji bezpośredniego zagrożenia lub bardzo wysokiego prawdopodobieństwa realnego zagrożenia. Niestety, ochrona danych osobowych jest spychana na ostatnie miejsca priorytetów, lub łudzimy się, że wyprodukowane przed laty i trzymane w segregatorze dokumenty są wystarczające. Nic bardziej mylnego!

Chciałbym zwrócić Państwa uwagę, że UODO nie interesuje, czy w przedsiębiorstwie w segregatorze na półce jest Polityka, Regulamin czy inne Procedury. Są to dokumenty ważne, jednak mają na celu organizację wewnętrznych podstaw prawnych i organizacyjnych w przedsiębiorstwie. Istotą sprawy jest to, czy do tych podstaw prawnych dostosowane są systemy informatyczne; czy systemy informatyczne w przedsiębiorstwie pozwalają otrzymać informacje, jakie dane są przetwarzane w jakich kategoriach, jak zostały pozyskane, kiedy i czy nadal mamy podstawy do ich przetwarzania. Czy jesteśmy w stanie udowodnić posiadanie zgody na przetwarzanie danych?

Jeżeli macie Państwo wątpliwości, warto poradzić się specjalisty. Nie każdy ból głowy da się wyleczyć tabletką przeciwbólową. Czasami warto odwiedzić lekarza.

Artur Majchrzycki – Inspektor Ochrony Danych, jest ekspertem ds. ochrony danych osobowych. Specjalizuje się w problemach związanych z wdrażaniem przepisów ochrony danych osobowych. Posiada wieloletnie doświadczenie związane z zabezpieczeniami informatycznymi w ochronie danych.
Kontakt do autora:
tel. 501 15 11 15
email: artur.majchrzycki@moment24.pl
www.moment24.pl