Wdrożenie RODO w firmie

Cena zależy od specyfiki działalności. Wdrożenie RODO na start to koszt od 4500 zł + VAT – dla firm o prostych procesach. Przy bardziej skomplikowanych wdrożeniach cena zaczyna się od 7500 zł + VAT. Sam audyt RODO to koszt od 1900 zł + VAT, stała obsługa od 2000 zł + VAT miesięcznie, a szkolenie zespołu od 3000 zł + VAT. Każde zlecenie wyceniamy indywidualnie po opisaniu sytuacji.

Od liczby różnych sytuacji do opisania: jakie dane przetwarzasz, w jakich procesach, kto ma do nich dostęp, z jakich narzędzi korzystasz, komu powierzasz dane i jak długo je przechowujesz. Liczba pracowników ma mniejsze znaczenie niż to, ile odrębnych procesów prowadzi firma.

Standardowe wdrożenie trwa 21-30 dni od akceptacji oferty, w zależności od liczby procesów i złożoności działalności. Wycenę otrzymujesz wcześniej, zwykle w 24-48 h od zgłoszenia.

RODO co do zasady dotyczy każdego administratora danych, niezależnie od wielkości firmy i formy działalności. Obowiązki wynikają z tego, że przetwarzasz dane osobowe, a nie z liczby zatrudnionych osób. Obowiązki mogą powstać już wtedy, gdy zbierasz imię, nazwisko albo adres e-mail klienta czy kandydata do pracy.

Tak, jeżeli przetwarza dane osobowe. Zakres obowiązków bywa węższy niż w dużej firmie, ale sama zasada się nie zmienia. W praktyce jednoosobowa działalność współpracująca z kilkoma podmiotami potrafi mieć więcej różnych sytuacji do opisania niż firma zatrudniająca kilkadziesiąt osób na tych samych zasadach.

Audyt danych i procesów, komplet dokumentacji i procedur dopasowanych do działalności, umowy powierzenia i upoważnienia, spotkanie powdrożeniowe oraz wsparcie po wdrożeniu. Kancelaria odpowiada za zgodność przygotowanej dokumentacji i procedur z informacjami przekazanymi przez firmę. Szkolenie zespołu jest usługą dodatkową.

Odpowiadamy za zgodność przygotowanych dokumentów i procedur z informacjami, które otrzymamy od firmy podczas audytu i w trakcie wdrożenia. Wdrożenie zaczyna się od audytu procesów i dokumentów właśnie z tego powodu – im dokładniej opiszemy stan faktyczny, tym pewniejsza jest dokumentacja. Rzetelność przekazanych informacji pozostaje po stronie firmy, a jeżeli w trakcie działania coś się zmieni, dokumentację trzeba zaktualizować. Nasze wdrożenia są dodatkowo objęte polisą odpowiedzialności cywilnej kancelarii.

Czasem tak. Jeżeli masz już dokumentację i dotyczy ona tego, co faktycznie robisz, audyt może wykazać, że wystarczy poprawić kilka pozycji. Powiemy to wprost, zamiast proponować pełne wdrożenie. Audyt kończy się raportem, na podstawie którego możesz działać dalej samodzielnie albo z nami.

Jako rozwiązanie na przeczekanie – tak, pozwala uporządkować podstawy. W większości przypadków wzór nie zapewni jednak pełnej zgodności, bo opisuje sytuację typową, a zgodność wynika z tego, jak działa konkretna firma: kto ma dostęp do danych, z jakich narzędzi korzystasz i komu dane powierzasz.

Nie. Polityka prywatności to jeden z dokumentów widocznych na zewnątrz, ale obowiązki administratora sięgają dalej: rejestr czynności przetwarzania, analiza ryzyka, procedury naruszeń i realizacji praw osób, upoważnienia oraz umowy powierzenia. To one decydują o możliwości wykazania zgodności w razie kontroli.

Nie każdy administrator ma taki obowiązek. Przesłanki powołania inspektora ochrony danych określa art. 37 RODO – dotyczą m.in. organów publicznych oraz sytuacji, w których główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę albo na przetwarzaniu na dużą skalę danych szczególnych kategorii. Ocenę obowiązku przeprowadzamy w ramach wdrożenia.

To dokument opisujący, jakie dane, w jakich celach i na jakiej podstawie przetwarza firma, komu je udostępnia i jak długo przechowuje. Obowiązek prowadzenia rejestru i jego zakres wynikają z art. 30 RODO. Przepis przewiduje wyłączenia, jednak w praktyce stosuje się je ostrożnie – często to właśnie rejestru organ żąda jako pierwszego.

Ocenić zdarzenie i zdecydować o zgłoszeniu. Zgodnie z art. 33 ust. 1 RODO naruszenie ochrony danych osobowych zgłasza się organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób. W części sytuacji trzeba też zawiadomić same osoby (art. 34 RODO). Takie sprawy prowadzimy poza kolejnością.

Górne granice kar wyznacza art. 83 RODO: do 10 000 000 EUR albo 2% całkowitego rocznego światowego obrotu przy naruszeniach m.in. obowiązków administratora i podmiotu przetwarzającego (ust. 4) oraz do 20 000 000 EUR albo 4% obrotu przy naruszeniach m.in. zasad przetwarzania i praw osób (ust. 5), przy czym zastosowanie ma kwota wyższa. To granice ustawowe, a nie kwoty typowe – organ ustala wysokość kary indywidualnie. Niezależnie od kary osoby, których dane dotyczą, mogą dochodzić odszkodowania na podstawie art. 82 RODO.

Tak, cały proces może przebiec zdalnie: audyt, ustalenia, przekazanie dokumentów i spotkanie powdrożeniowe. Gdy wolisz spotkanie na miejscu, umawiamy się stacjonarnie.

Otrzymujesz dokumentację, omawiamy ją na spotkaniu powdrożeniowym i odpowiadamy na pytania. Jeżeli chcesz, żeby ktoś pilnował tematu przy każdej zmianie w firmie, możesz przejść na stałą obsługę – od 2000 zł + VAT miesięcznie.

Nie, szkolenie to usługa dodatkowa od 3000 zł + VAT i zamawia się je osobno. Ma sens wtedy, gdy dane w firmie przechodzą przez wiele rąk i o bezpieczeństwie decydują ludzie, a nie same dokumenty.

Powiemy o tym od razu po zapoznaniu się ze sprawą, jeszcze przed wyceną. Nie prowadzimy spraw z obszarów, którymi się nie zajmujemy.

Przepisy nie nakładają obowiązku przeprowadzenia audytu pod taką nazwą. Nakładają natomiast obowiązek wykazania zgodności przetwarzania z przepisami (zasada rozliczalności z art. 5 ust. 2 RODO) oraz regularnego testowania i oceniania skuteczności zastosowanych środków (art. 32 ust. 1 lit. d RODO). Audyt jest w praktyce najprostszym sposobem, żeby te obowiązki wypełnić i wiedzieć, co wymaga uzupełnienia.

Kontrolę przestrzegania przepisów o ochronie danych osobowych przeprowadza Prezes Urzędu Ochrony Danych Osobowych przez upoważnionych pracowników urzędu, na podstawie ustawy z 10 maja 2018 r. o ochronie danych osobowych. Kontrola może wynikać z zatwierdzonego planu kontroli sektorowych albo mieć charakter doraźny – na przykład po skardze osoby, której dane dotyczą, albo po zgłoszeniu naruszenia. Organ pyta o dokumentację obowiązującą w dniu zdarzenia, a wdrożenie przeprowadzone po kontroli tego stanu już nie zmieni.

Co do zasady tak – przepisy nie wymagają udziału prawnika. Samodzielne wdrożenie sprawdza się tam, gdzie procesów jest niewiele i są proste. Trudność zwykle nie leży w przygotowaniu dokumentów, tylko w ustaleniu, ile różnych sytuacji firma w ogóle prowadzi i która z nich wymaga odrębnej podstawy, procedury albo umowy. Jeżeli chcesz zacząć samodzielnie, najrozsądniejszą kolejnością jest: spis procesów, podstawy przetwarzania, rejestr czynności, umowy powierzenia, procedury naruszeń i praw osób.

Tak. Obok obowiązków wynikających z RODO monitoring w zakładzie pracy reguluje art. 22² Kodeksu pracy: cele, zakres i sposób zastosowania monitoringu ustala się w układzie zbiorowym pracy, regulaminie pracy albo w obwieszczeniu, pracowników informuje się nie później niż 2 tygodnie przed uruchomieniem, a monitorowane pomieszczenia i teren oznacza się w sposób widoczny i czytelny. Przepis wyłącza też co do zasady monitoring pomieszczeń sanitarnych, szatni, stołówek i palarni.

Trzeba rozdzielić dwie warstwy. RODO odpowiada na pytanie, czy wolno przetwarzać dane – podstawą bywa tu uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO). Osobno działa zgoda na sam kontakt: zgodnie z art. 398 ustawy Prawo komunikacji elektronicznej, obowiązującym od 10 listopada 2024 r., używanie urządzeń końcowych i automatycznych systemów wywołujących do marketingu bezpośredniego wymaga uprzedniej zgody abonenta lub użytkownika końcowego. Ochrona obejmuje również odbiorców firmowych, nie tylko konsumentów.

Zakres zależy od procesów, ale najczęściej powtarzają się: procedura postępowania przy naruszeniu ochrony danych, procedura realizacji praw osób, których dane dotyczą, zasady nadawania i odbierania upoważnień, zasady korzystania z narzędzi i dostępu do danych, procedura retencji, czyli usuwania danych po upływie terminów, oraz zasady współpracy z podmiotami przetwarzającymi. Ostateczną listę ustalamy po audycie.

Tak, to jeden z najczęstszych przypadków. Przy sklepie RODO spina się z dokumentami sprzedażowymi: polityka prywatności musi odpowiadać temu, co dzieje się w koszyku, przy zakładaniu konta, zapisie na newsletter i w narzędziach marketingowych. Jeżeli potrzebujesz również regulaminu, zobacz dokumenty dla sklepu internetowego.

Cały proces może odbyć się zdalnie i tak pracuje większość klientów, niezależnie od miasta. Spotkania stacjonarne odbywają się we Wrocławiu i okolicach, po wcześniejszym ustaleniu terminu.

Nie. Kancelaria nie przeprowadza audytu cyberbezpieczeństwa w zakresie IT – to odrębna dziedzina, wymagająca kompetencji technicznych i indywidualnego przygotowania po stronie firmy oraz jej dostawców IT. W ramach wdrożenia przedstawiamy wytyczne Urzędu Ochrony Danych Osobowych dotyczące środków technicznych i organizacyjnych oraz wskazujemy, czego wymaga art. 32 RODO, ale dobór i konfiguracja konkretnych rozwiązań technicznych pozostają po stronie Twojego zespołu albo firmy IT.