RODO w biurze rachunkowym – jak chronić dane osobowe klientów?

• Jakie rodzaje zabezpieczeń powinniśmy wdrożyć, aby jak najlepiej chronić dane osobowe naszych klientów?
• Czy powinniśmy w naszym biurze rachunkowym zatrudnić inspektora ochrony danych?
• Jak w dobie koronawirusa możemy przestrzegać ochrony danych osobowych?

Jakie rodzaje zabezpieczeń powinniśmy wdrożyć, aby jak najlepiej chronić dane osobowe naszych klientów?

Przepisy RODO nie wskazują konkretnych działań, jakie powinno wdrożyć biuro rachunkowe, aby skutecznie zabezpieczać dane osobowe swoich klientów.

Zgodnie z rozporządzeniem środki te powinny uwzględniać charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw i wolności osób fizycznych. W praktyce zatem administratorzy i przetwarzający dane osobowe mają obowiązek samodzielnego przeprowadzania szczegółowej analizy procesów przetwarzania oraz ryzyka.

Podjęte środki ochrony danych osobowych dostosowane są do skali ryzyka.

W szacowaniu ryzyka pomocny może okazać się poradnik UODO „Jak rozumieć podejście oparte na ryzyku?”.

Przy wyborze środków uwzględnia się aktualny stan wiedzy technicznej, koszt wdrożenia, charakter, zakres, kontekst i cele przetwarzania. Zgodnie z art. 32 RODO rozwiązania, jakie można zastosować to m.in.:

• pseudonimizacja i szyfrowanie danych osobowych;
• zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania;
• zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego;
• regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania.

Pracownik działu IT w biurze rachunkowym dba o to, aby na bieżąco aktualizować oprogramowanie m.in. programy antywirusowe. Korzystanie z aktualnego oprogramowania pomaga zapewnić bezpieczeństwo danych.

Czy powinniśmy w naszym biurze rachunkowym zatrudnić inspektora ochrony danych?

Obowiązek wyznaczenia inspektora ochrony danych (IOD) istnieje zawsze, gdy:

a) przetwarzania dokonują organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości;

b) główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę; lub

c) główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art. 9 ust. 1 RODO oraz danych osobowych dotyczących wyroków skazujących i naruszeń prawa, o czym mowa w art. 10.

Do szczególnych kategorii danych osobowych zgodnie z art. 9 ust. 1 RODO można zaliczyć m.in. dane dotyczące zdrowia dane osobowe ujawniające poglądy polityczne czy przekonania religijne, dane biometryczne w celu jednoznacznego zidentyfikowania osoby fizycznej.

W pozostałych przypadkach zatrudnienie IOD nie jest obowiązkowe.

Nawet jeżeli RODO bezpośrednio nie nakłada obowiązku powołania IOD, niejednokrotnie korzystnym dla podmiotów może być dobrowolne wyznaczenie takiej osoby. Do takiego postępowania zachęca Grupa robocza art. 29 w swoich wytycznych dotyczących inspektora ochrony danych. Grupa Robocza została powołana na mocy art. 29 dyrektywy 95/46/WE. Jest ona niezależnym organem doradczym w zakresie ochrony danych i prywatności.

Ponadto w sytuacji, gdy z przepisów nie wynika obowiązek wyznaczenia IOD, organ ten zaleca udokumentowanie wewnętrznej procedury przeprowadzonej w celu ustalenia obowiązku bądź braku obowiązku wyznaczenia IOD, celem wykazania, iż stosowne czynniki zostały uwzględnione.

Jak w dobie koronawirusa możemy przestrzegać ochrony danych osobowych?

Obecna sytuacja związana z koronawirusem stawia wiele nowych wyzwań przed przedsiębiorcami. Część pracowników wykonuje swoje obowiązki w formie pracy zdalnej, wciąż istnieją obawy o zdrowie zarówno pracowników, jak i klientów. Konferencje często odbywają się w formie elektronicznej.

W kwestii mierzenia temperatury w celu zapobiegania rozprzestrzenianiu się COVID-19 wypowiedział się Prezes Urzędu Ochrony Danych Osobowych.

Zdaniem PUODO pracodawca nie może nakazać pracownikom i tzw. gościom wchodzącym na teren zakładu pracy dokonywania pomiaru temperatury. „W każdym przypadku musi wykazać podstawę prawną, która dawałaby takie uprawnienie. Podkreślenia wymaga, że przepisy prawa nie regulują, jaka wysokość temperatury daje podstawę do stwierdzenia, że pracownik jest chory bądź zarażony wirusem COVID-19. Dlatego też to służby sanitarne, a nie pracodawca, podejmując określone działania wskazują w konkretnych przypadkach na przyjmowanie właściwych rozwiązań” – podkreśla UODO.

UODO podpowiada również jak bezpiecznie korzystać z wideokonferencji. Przed jej rozpoczęciem należy sprawdzić czy aplikacja dysponuje niezbędnymi środkami bezpieczeństwa, takimi jak szyfrowanie. Do wykonywania rozmów służbowych wykorzystujmy dostęp do sieci za pomocą szyfrowanego połączenia VPN. Należy ograniczyć ilość podawanych danych osobowych. UODO zaleca, by użyć pseudonimu i służbowego adresu e-mail. Pamiętajmy również, by nie udostępniać dokumentów służbowych za pomocą czatu, który może być publiczny.

Podstawa prawna:

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L rok 2016 nr 119 poz. 1)