RODO dla startupów: przewodnik po obowiązkach

Ogólne rozporządzenie o ochronie danych (RODO) to zbiór przepisów dla firm, które przetwarzają dane osobowe osób z Europejskiego Obszaru Gospodarczego (EOG). EOG obejmuje wszystkie kraje UE oraz Islandię, Liechtenstein i Norwegię. RODO weszło w życie 25 maja 2018 r.

RODO jest uznawane za najbardziej rygorystyczne prawo ochrony danych na świecie. Zapewnia osobom fizycznym większą kontrolę nad ich danymi osobowymi i ustanawia surowsze zasady, których firmy muszą przestrzegać przy zbieraniu, wykorzystywaniu i ochronie tych danych.

Firma, która nie przestrzega tych zasad, może otrzymać karę pieniężną lub podlegać innym sankcjom. Maksymalna kara wynosi 20 milionów euro lub 4% całkowitego rocznego światowego obrotu firmy z poprzedniego roku — w zależności od tego, która kwota jest wyższa.

Obowiązki wynikające z RODO

Przy zbieraniu i przetwarzaniu danych osobowych obywateli EOG firma musi wywiązywać się z szeregu obowiązków:

1. Przed wprowadzeniem nowego produktu lub usługi zastanów się, jak będą w nich zbierane, przechowywane i wykorzystywane dane osobowe obywateli EOG. W razie potrzeby przeprowadź ocenę skutków dla ochrony danych, aby zidentyfikować i ograniczyć potencjalne zagrożenia dla ochrony danych osobowych.
2. Wprowadź odpowiednie środki techniczne i organizacyjne służące ochronie danych osobowych, takie jak szyfrowanie i bezpieczne przechowywanie. Dbaj o instalowanie najnowszych poprawek i aktualizacji zabezpieczeń w używanych systemach i usługach.
3. Zbierając dane osobowe, proś wyłącznie o informacje niezbędne do konkretnego celu, w którym będą wykorzystywane. Pomoże to ograniczyć ilość zbieranych danych i zmniejszyć ryzyko naruszenia ich ochrony.
4. Jasno informuj klientów, jakie dane osobowe zbierasz, dlaczego je zbierasz i jak będą wykorzystywane. Przekazuj zrozumiałe informacje o ochronie danych i uzyskaj wyraźną zgodę przed ich zebraniem, chyba że istnieje ku temu inna podstawa prawna.
5. Szanuj prawo klientów do sprzeciwu wobec przetwarzania ich danych osobowych i zadbaj o to, by wiedzieli, że im przysługuje.
6. Wyznacz inspektora ochrony danych, jeśli co najmniej 20 osób regularnie przetwarza dane osobowe lub jeśli firma prowadzi operacje przetwarzania danych wymagające oceny skutków dla ochrony danych albo przetwarza dane osobowe w celu ich przekazywania, przekazywania w postaci zanonimizowanej lub prowadzenia badań rynku i opinii.
7. Jeśli udostępniasz dane osobowe podmiotom trzecim spoza EOG, zastosuj odpowiednie zabezpieczenia, takie jak standardowe klauzule umowne EOG lub Privacy Shield.
8. Przy wysyłaniu e-maili korzystaj z procedury double opt-in, czyli potwierdzenia zapisu przez e-mail, aby upewnić się, że odbiorcy wyrazili zgodę na otrzymywanie wiadomości.
9. Dbaj o to, aby wszystkie dane osobowe były prawidłowe i aktualne. Wprowadź procedury ich aktualizacji na wypadek zmian.
10. W razie utraty danych lub naruszenia bezpieczeństwa natychmiast podejmij działania, aby opanować incydent i zapobiec dalszym szkodom. Przygotuj plan postępowania w takich sytuacjach oraz powiadamiania klientów i właściwych organów.
11. W przypadku naruszenia ochrony danych jak najszybciej powiadom organ nadzorczy i klientów.
12. Prowadź rejestry wszystkich czynności przetwarzania danych, aby móc wykazać zgodność z przepisami podczas kontroli organu nadzorczego.

Lista obejmuje najważniejsze obowiązki, z których firma musi wywiązywać się na mocy RODO przy zbieraniu i przetwarzaniu danych osobowych obywateli EOG.

W niektórych przypadkach mogą jednak obowiązywać dodatkowe wymagania, które trzeba uwzględnić. Mogą one dotyczyć na przykład firm działających w określonych branżach lub przetwarzających określone rodzaje danych osobowych.

Dlatego zawsze warto zasięgnąć porady eksperta ds. ochrony danych lub skontaktować się z organem nadzorczym, aby upewnić się, że firma przestrzega wszystkich obowiązujących przepisów.

RODO dla firm spoza EOG

Powszechnie wiadomo, że firmy z siedzibą w EOG muszą przestrzegać RODO. Nie wszyscy jednak wiedzą, że w pewnych okolicznościach obowiązek ten dotyczy również firm w krajach spoza EOG. Poniżej omawiamy sytuacje, w których takie firmy muszą stosować się do RODO.

Zbieranie danych osobowych na terenie Europejskiego Obszaru Gospodarczego

Jeśli firma z siedzibą poza EOG oferuje towary lub usługi osobom przebywającym w EOG albo monitoruje ich zachowanie, musi przestrzegać wymogów RODO przy zbieraniu, wykorzystywaniu i ochronie danych osobowych tych osób.

Jeśli okaże się, że firma z siedzibą poza EOG narusza RODO, organy UE mają do dyspozycji szereg narzędzi pozwalających egzekwować przestrzeganie tych przepisów.

Na przykład w przypadku stwierdzenia, że amerykańska firma narusza RODO, organy UE mogą wystąpić do sądu w USA o wykonanie orzeczenia przeciwko tej firmie. Zależy to od charakteru naruszenia i przepisów stanu, w którym firma ma siedzibę.

Organy UE mogą też wywierać presję na firmę spoza Europejskiego Obszaru Gospodarczego innymi sposobami, na przykład blokując jej dostęp do rynku UE lub publicznie piętnując jej postępowanie.

Jest jednak mało prawdopodobne, aby UE natychmiast nakładała sankcje na każdą małą firmę naruszającą RODO. Mimo to przestrzeganie RODO może przynosić korzyści nawet małym firmom spoza EOG. Może otworzyć przed startupami nowe możliwości biznesowe, umożliwiając współpracę z innymi firmami, które również przestrzegają tych przepisów.

Oprócz kar pieniężnych i innych sankcji startupom naruszającym RODO grozi również utrata reputacji. Może to utrudnić prowadzenie działalności w EOG, a także wpłynąć na ich działalność międzynarodową.

Firmy przestrzegające RODO mogą być bardziej atrakcyjne dla klientów i partnerów, ponieważ pokazują, że dbają o ochronę danych osobowych i szanują prywatność osób fizycznych.

RODO stanowi istotną zmianę dla startupów przetwarzających dane osobowe osób w EOG i będzie miało znaczący wpływ na sposób, w jaki zbierają, wykorzystują i chronią te dane.

Startupy spoza EOG powinny zwrócić szczególną uwagę na obowiązki wynikające z RODO i zadbać o ich wypełnianie, aby uniknąć ryzyka kar pieniężnych, innych sankcji oraz utraty reputacji.

Co jeśli nie zbierasz danych w EOG?

Nawet jeśli startup spoza EOG obecnie nie oferuje towarów ani usług osobom w EOG i nie monitoruje ich zachowania, wdrożenie zasad RODO nadal może być wskazane.

RODO jest bowiem światowym standardem ochrony danych, a wdrożenie jego zasad może pomóc startupowi zbudować reputację godnej zaufania firmy, która ceni prywatność swoich klientów i partnerów.

RODO w Wielkiej Brytanii (UK)

Po wyjściu Wielkiej Brytanii z UE 1 stycznia 2021 r. RODO przestało obowiązywać w tym kraju. Jego zasady zostały jednak bezpośrednio włączone do prawa brytyjskiego jako UK-GDPR, dlatego wszystkie omówione wyżej kwestie dotyczące RODO odnoszą się również do Wielkiej Brytanii.

Jak utworzyć formularz zapisu zgodny z RODO w aplikacji Maildroppa

Maildroppa to aplikacja do e-mail marketingu, która umożliwia tworzenie formularzy zapisu dopasowanych do potrzeb. Dzięki nim potencjalni klienci mogą zapisać się na regularne informacje lub newslettery od Ciebie.

Możesz swobodnie określić, jakie informacje są wymagane przy zapisie. Mogą to być na przykład imię i nazwisko, data urodzenia oraz narodowość potencjalnego klienta. Są to oczywiście dane osobowe.

Jeśli nie zastosujesz rozwiązań technicznych, które uniemożliwią Europejczykom odwiedzanie strony i wypełnianie formularza zapisu, podlegasz RODO — nawet jeśli firma ma siedzibę poza Europejskim Obszarem Gospodarczym.

Maildroppa znacznie ułatwia przestrzeganie RODO. Możesz określić, czy osoby zapisujące się na listę mają zawsze zapoznawać się z umową powierzenia przetwarzania danych i ją podpisywać, czy nigdy nie muszą tego robić. Możesz też ustawić obowiązek wyrażenia zgody w formularzu zgody RODO wyłącznie dla osób z UE, Wielkiej Brytanii i Szwajcarii.

Prowadząc firmę, musisz informować klientów o rodzajach zbieranych danych, powodach ich zbierania oraz sposobach przechowywania i przetwarzania. Każda firma jest inna, więc zakres danych i sposób ich wykorzystywania mogą się różnić. Ważne jest, aby jasno informować klientów o tym, jak postępujesz z ich danymi, i przestrzegać RODO.

Jako dostawca usług Maildroppa rozumie tę odpowiedzialność. Dlatego umożliwiamy dostosowanie formularza zgody RODO do indywidualnych wymagań. Aplikacja zapisuje również dokładną treść formularza zaakceptowaną przez subskrybenta, dzięki czemu masz dowód udzielonej zgody nawet po wielu latach.

Kolejnym wymogiem RODO jest stosowanie procedury double opt-in, czyli potwierdzenia zapisu na newsletter przez e-mail. Dzięki temu informacje otrzymują wyłącznie subskrybenci, którzy wyrazili na to wyraźną zgodę zgodnie z Twoją deklaracją dotyczącą RODO. W Maildroppa double opt-in działa domyślnie, więc nie musisz podejmować żadnych dodatkowych działań.

Podsumowanie

RODO to zbiór przepisów dotyczących firm, które przetwarzają dane osobowe osób w EOG. Zapewnia tym osobom większą kontrolę nad ich danymi osobowymi i ustanawia surowsze zasady ich zbierania, wykorzystywania i ochrony przez firmy.

Startupy w EOG muszą zadbać o zgodność z RODO, aby uniknąć ryzyka kar pieniężnych, innych sankcji oraz utraty reputacji.

Startupy spoza UE również muszą przestrzegać RODO, jeśli oferują towary lub usługi osobom w UE albo monitorują ich zachowanie. Choć jest mało prawdopodobne, aby UE natychmiast nakładała sankcje na każdą małą firmę naruszającą RODO, organy UE mają do dyspozycji szereg narzędzi pozwalających egzekwować przestrzeganie przepisów.

Jeśli startup chce zbudować reputację godnej zaufania firmy, która ceni prywatność swoich klientów i partnerów, wdrożenie zasad RODO może być korzystne nawet wtedy, gdy nie ma siedziby w UE ani nie utrzymuje relacji z osobami przebywającymi na jej terenie. Warto też pamiętać, że mimo wyjścia Wielkiej Brytanii z UE RODO nadal obowiązuje tam w formie UK-GDPR.