Przewodnik po zgodności startupów z RODO

Ogólne rozporządzenie o ochronie danych (RODO) to zbiór zasad dla firm, które przetwarzają dane osobowe osób z Europejskiego Obszaru Gospodarczego (EOG). EOG obejmuje wszystkie kraje UE oraz Islandię, Liechtenstein i Norwegię. RODO weszło w życie 25 maja 2018 r.

RODO jest uznawane za najbardziej rygorystyczne prawo ochrony danych na świecie. Zapewnia osobom fizycznym większą kontrolę nad ich danymi osobowymi i ustanawia surowsze zasady, których firmy muszą przestrzegać podczas gromadzenia, wykorzystywania i ochrony tych danych.

Jeśli firma nie przestrzega tych zasad, może zostać ukarana grzywną lub innymi sankcjami. Maksymalna kara wynosi 20 milionów euro lub 4% całkowitego rocznego obrotu firmy z poprzedniego roku — w zależności od tego, która kwota jest wyższa.

Obowiązki wynikające z RODO

Podczas gromadzenia i przetwarzania danych osobowych obywateli EOG firma musi przestrzegać szeregu obowiązków i ponosić określone odpowiedzialności:

1. Przed uruchomieniem nowego produktu lub usługi poświęć trochę czasu na zastanowienie się, w jaki sposób będą gromadzone, przechowywane i wykorzystywane dane osobowe obywateli EOG. W razie potrzeby przeprowadź ocenę skutków dla ochrony danych, aby zidentyfikować i ograniczyć potencjalne zagrożenia dla ochrony danych osobowych.
2. Wdroż odpowiednie środki techniczne i organizacyjne w celu ochrony danych osobowych, takie jak szyfrowanie i bezpieczne przechowywanie. Zadbaj o aktualizowanie systemów i usług za pomocą najnowszych poprawek i aktualizacji zabezpieczeń.
3. Podczas gromadzenia danych osobowych proś wyłącznie o informacje ściśle niezbędne do konkretnego celu, w jakim będą wykorzystywane. Pomoże to ograniczyć ilość gromadzonych danych i zmniejszyć ryzyko naruszeń bezpieczeństwa danych.
4. Zachowaj przejrzystość wobec klientów co do tego, jakie dane osobowe gromadzisz, dlaczego je gromadzisz i jak będą wykorzystywane. Udostępniaj jasne informacje o ochronie danych i uzyskaj wyraźną zgodę przed gromadzeniem danych osobowych, chyba że istnieje inna podstawa prawna ich gromadzenia.
5. Szanuj prawo klientów do sprzeciwu wobec przetwarzania ich danych osobowych i upewnij się, że są świadomi tego prawa.
6. Wyznacz inspektora ochrony danych, jeśli co najmniej 20 osób regularnie przetwarza dane osobowe lub jeśli firma prowadzi operacje przetwarzania danych wymagające oceny skutków dla ochrony danych albo przetwarza dane osobowe w celu ich przekazywania, anonimizowanego przekazywania lub prowadzenia badań rynku i opinii.
7. Jeśli udostępniasz dane osobowe stronom trzecim spoza EOG, zastosuj odpowiednie zabezpieczenia, takie jak standardowe klauzule umowne EOG lub Privacy Shield.
8. Korzystaj z procedury double opt-in podczas wysyłania wiadomości e-mail, aby upewnić się, że odbiorcy wyrazili zgodę na ich otrzymywanie.
9. Dbaj o to, aby wszystkie dane osobowe były dokładne i aktualne, oraz wdroż procesy aktualizowania danych, gdy ulegają zmianie.
10. Jeśli dojdzie do utraty danych lub naruszenia bezpieczeństwa, natychmiast podejmij działania w celu opanowania incydentu i zapobieżenia dalszym szkodom. Przygotuj plan postępowania w przypadku takich incydentów oraz powiadamiania klientów i właściwych organów.
11. W przypadku naruszenia ochrony danych powiadom organ nadzorczy i klientów tak szybko, jak to możliwe.
12. Prowadź rejestry wszystkich czynności przetwarzania danych, aby móc wykazać zgodność z przepisami w przypadku kontroli organu nadzorczego.

Lista zawiera najważniejsze obowiązki i odpowiedzialności, których firma musi przestrzegać na mocy RODO podczas gromadzenia i przetwarzania danych osobowych obywateli EOG.

W niektórych przypadkach mogą jednak istnieć dodatkowe wymagania, które należy uwzględnić. Na przykład mogą obowiązywać szczególne wymogi dotyczące firm działających w określonych branżach lub przetwarzających określone rodzaje danych osobowych.

Dlatego zawsze warto zasięgnąć porady eksperta ds. ochrony danych lub skontaktować się z organem nadzorczym, aby upewnić się, że wszystkie obowiązujące przepisy są przestrzegane.

RODO dla firm spoza EOG

Chociaż powszechnie wiadomo, że firmy mające siedzibę w EOG muszą przestrzegać RODO, nie wszyscy wiedzą, że w pewnych okolicznościach dotyczy to również krajów spoza EOG. Poniżej przedstawiamy różne sytuacje, w których firmy spoza EOG muszą przestrzegać RODO.

Gromadzenie danych osobowych na terenie Europejskiego Obszaru Gospodarczego

Jeśli firma mająca siedzibę poza EOG oferuje towary lub usługi osobom w EOG albo monitoruje ich zachowanie, musi przestrzegać wymogów RODO podczas gromadzenia, wykorzystywania i ochrony danych osobowych tych osób.

Jeśli okaże się, że firma mająca siedzibę poza EOG narusza RODO, organy UE dysponują szeregiem narzędzi umożliwiających egzekwowanie zgodności z RODO.

Na przykład, jeśli firma amerykańska zostanie uznana za naruszającą RODO, organy UE mogą wystąpić o wykonanie orzeczenia przeciwko tej firmie w sądzie w USA, w zależności od charakteru naruszenia i przepisów prawa stanu, w którym firma ma siedzibę.

Ponadto organy UE mogą również wykorzystać inne sposoby wywierania presji na firmę spoza Europejskiego Obszaru Gospodarczego, aby przestrzegała RODO, na przykład blokując jej dostęp do rynku UE lub publicznie ją piętnując.

Jest jednak mało prawdopodobne, aby UE natychmiast nałożyła sankcje na każdą małą firmę, która narusza RODO. Mimo to przestrzeganie RODO może być korzystne nawet dla małych firm spoza EOG. Zgodność z RODO może zapewnić startupom lepsze możliwości biznesowe, ponieważ mogą one współpracować z innymi firmami, które również przestrzegają RODO.

Oprócz ryzyka grzywien i innych kar startupy mogą również ponieść straty wizerunkowe, jeśli okaże się, że naruszają RODO. Może to utrudnić im prowadzenie działalności w EOG, a także wpłynąć na ich działalność międzynarodową.

Firmy przestrzegające RODO mogą być bardziej atrakcyjne dla klientów i partnerów, ponieważ pokazują, że angażują się w ochronę danych osobowych i poszanowanie prywatności osób fizycznych.

Ogólnie rzecz biorąc, RODO jest istotną zmianą dla startupów przetwarzających dane osobowe osób w EOG i będzie miało znaczący wpływ na sposób, w jaki te startupy gromadzą, wykorzystują i chronią te dane.

Startupy spoza EOG powinny zwrócić szczególną uwagę na swoje obowiązki wynikające z RODO i podjąć działania zapewniające zgodność, aby uniknąć ryzyka grzywien i innych kar, a także strat wizerunkowych.

Co w przypadku, gdy nie gromadzisz danych w EOG?

Warto zauważyć, że nawet jeśli startup spoza EOG obecnie nie oferuje towarów lub usług osobom w EOG ani nie monitoruje ich zachowania, nadal wskazane może być wdrożenie RODO.

Wynika to z faktu, że RODO jest globalnym standardem ochrony danych, a wdrożenie RODO może pomóc startupowi ugruntować pozycję renomowanej i godnej zaufania firmy, która ceni prywatność swoich klientów i partnerów.

RODO w Wielkiej Brytanii (UK)

Po wyjściu Wielkiej Brytanii z UE 1 stycznia 2021 r. RODO przestało mieć bezpośrednie zastosowanie w tym kraju. Jednak zasady RODO zostały bezpośrednio włączone do prawa brytyjskiego jako UK-GDPR, dlatego wszystko, co omówiono powyżej w odniesieniu do RODO, ma zastosowanie również w UK.

Jak utworzyć zgodny z RODO formularz rejestracyjny w aplikacji Maildroppa

Maildroppa to aplikacja do marketingu e-mailowego, która umożliwia tworzenie spersonalizowanych formularzy rejestracyjnych, za pomocą których potencjalni klienci mogą zapisać się na regularne informacje lub newslettery od Ciebie.

Możesz swobodnie określić, jakie informacje są wymagane podczas rejestracji. Możliwe jest na przykład wymaganie imienia i nazwiska, daty urodzenia oraz narodowości potencjalnego klienta. Są to oczywiście dane osobowe.

Jeśli nie wykluczysz technicznie Europejczyków z odwiedzania Twojej strony internetowej i wypełniania formularza rejestracyjnego, podlegasz RODO, nawet jeśli Twoja firma znajduje się poza Europejskim Obszarem Gospodarczym.

Maildroppa niezwykle ułatwia jednak przestrzeganie RODO. Możesz ustawić, czy klienci chcący zapisać się na Twoją listę zawsze lub nigdy muszą wyświetlić i podpisać umowę powierzenia przetwarzania danych, albo określić, że zgodę na formularz zgody RODO muszą wyrazić wyłącznie klienci z UE, UK i Szwajcarii.

Jako firma musisz poinformować klientów o rodzajach gromadzonych danych, powodach ich gromadzenia oraz sposobie ich przechowywania i przetwarzania. Każda firma jest inna, dlatego gromadzone przez nią dane i sposób ich wykorzystywania mogą się różnić. Jako właściciel firmy musisz zachować przejrzystość wobec klientów w kwestii praktyk związanych z danymi i przestrzegać przepisów RODO.

Maildroppa jako usługodawca rozumie tę odpowiedzialność — dlatego oferujemy możliwość dostosowania formularza zgody RODO do indywidualnych wymagań. Nasza aplikacja zapisuje również treść formularza zgody RODO, na którą wyraził zgodę subskrybent, zapewniając Ci dowód zawarcia porozumienia nawet wiele lat później.

Kolejnym wymogiem RODO jest to, aby klienci dokonali podwójnego potwierdzenia zapisu do newslettera. Dzięki temu informacje otrzymują wyłącznie klienci, którzy wyrazili wyraźną zgodę na ich otrzymywanie zgodnie z Twoją deklaracją dotyczącą RODO. Ponieważ double opt-in jest domyślnym działaniem Maildroppa, nie musisz podejmować żadnych dodatkowych działań.

Podsumowanie

Podsumowując, RODO to zbiór przepisów mających zastosowanie do firm, które przetwarzają dane osobowe osób w EOG. RODO zapewnia osobom fizycznym większą kontrolę nad ich danymi osobowymi i nakłada surowsze zasady dotyczące sposobu, w jaki firmy mogą gromadzić, wykorzystywać i chronić te dane.

Startupy w EOG muszą podjąć działania w celu zapewnienia zgodności z RODO, aby uniknąć ryzyka grzywien i innych kar, a także strat wizerunkowych.

Startupy spoza UE również muszą zapewnić zgodność z RODO, jeśli oferują towary lub usługi osobom w UE albo monitorują ich zachowanie. Chociaż jest mało prawdopodobne, aby UE natychmiast nałożyła sankcje na każdą małą firmę naruszającą RODO, organy UE dysponują szeregiem narzędzi, aby zapewnić zgodność.

Jeśli startup chce ugruntować pozycję renomowanej i godnej zaufania firmy, która ceni prywatność swoich klientów i partnerów, wdrożenie RODO może być korzystne nawet wtedy, gdy nie ma on siedziby w UE ani nie współpracuje z osobami znajdującymi się w UE. Na koniec warto pamiętać, że mimo wyjścia Wielkiej Brytanii z UE RODO nadal ma tam zastosowanie w formie UK-GDPR.