RODO to unijne rozporządzenie o ochronie danych osobowych, które obowiązuje również firmy usługowe przetwarzające dane kontaktowe klientów, adresy obsługiwanych obiektów oraz dane własnych pracowników.
RODO (Rozporządzenie Ogólne o Ochronie Danych, znane też pod angielskim skrótem GDPR) to unijne rozporządzenie obowiązujące bezpośrednio we wszystkich państwach członkowskich UE, regulujące zasady przetwarzania danych osobowych osób fizycznych. Wbrew potocznemu wyobrażeniu, że dotyczy ono głównie dużych korporacji przetwarzających dane milionów klientów, obowiązki wynikające z RODO spoczywają na każdym podmiocie przetwarzającym dane osobowe — również na niewielkiej firmie sprzątającej, która posiada w swoich systemach dane kontaktowe klientów, adresy obsługiwanych obiektów, harmonogramy dostępu do pomieszczeń, a przede wszystkim dane osobowe własnych pracowników.
Firma usługowa (np. sprzątająca) powinna zabezpieczyć dostęp do danych klientów w swoich systemach informatycznych, rozważyć umowę powierzenia przetwarzania danych przy dostępie do pomieszczeń klienta z dokumentacją osobową, oraz przeszkolić personel z podstawowych zasad poufności.
Jakie dane przetwarza typowa firma sprzątająca
- Dane klientów biznesowych — imiona, nazwiska i dane kontaktowe osób reprezentujących klienta, adresy obsługiwanych lokalizacji, dane do faktur.
- Dane pracowników — dokumentacja kadrowa, dane do wypłat wynagrodzeń, wyniki badań lekarskich, dane kontaktowe w razie awarii.
- Dane dostępowe do obiektów klienta — kody alarmowe, klucze, harmonogramy obecności personelu, które pośrednio mogą stanowić informacje wrażliwe z punktu widzenia bezpieczeństwa obiektu.
- Dane osób trzecich zebrane incydentalnie — np. w przypadku sporządzania dokumentacji zdarzenia z udziałem osoby postronnej.
Kiedy firma usługowa jest procesorem danych
Firma sprzątająca, wykonując usługi w biurze rachunkowym, przychodni czy kancelarii, regularnie ma fizyczny dostęp do pomieszczeń, w których przechowywana jest dokumentacja zawierająca dane osobowe klientów zleceniodawcy — nawet jeśli personel sprzątający nigdy świadomie nie zagląda do tych dokumentów. W takiej sytuacji zleceniodawca powinien rozważyć zawarcie z firmą usługową umowy powierzenia przetwarzania danych, która precyzuje zakres odpowiedzialności obu stron i zobowiązuje wykonawcę do odpowiednich środków bezpieczeństwa.
Praktyczne wymogi dla firmy sprzątającej
W praktyce oznacza to kilka konkretnych obowiązków: przeszkolenie personelu z zasady ograniczonego zaufania wobec dokumentów widocznych na biurkach (zasada czystego biurka po stronie klienta, ale i dyskrecji po stronie wykonawcy), zabezpieczenie własnych systemów (np. grafiku pracy, danych kontaktowych klientów) hasłami i ograniczonym dostępem, a także jasne procedury na wypadek zgubienia kluczy lub kart dostępu do obsługiwanych obiektów, co stanowi potencjalny incydent bezpieczeństwa danych.
Dobra praktyka: klauzula poufności w umowie z każdym pracownikiem oraz krótka, coroczna procedura przypominająca o zasadach RODO — to niski koszt w porównaniu do ryzyka wizerunkowego i finansowego związanego z naruszeniem danych u klienta.
Konsekwencje niedopełnienia obowiązków
Naruszenie przepisów o ochronie danych osobowych może skutkować karą administracyjną nałożoną przez organ nadzorczy, a w praktyce biznesowej — również utratą zaufania klientów i reputacji, zwłaszcza w przypadku wycieku danych wrażliwych czy nieuprawnionego dostępu personelu do dokumentów klienta. Dla małej lub średniej firmy usługowej największe ryzyko wiąże się zwykle nie z celowym naruszeniem przepisów, lecz z brakiem podstawowych procedur i szkoleń personelu mających na celu ograniczenie przypadkowego dostępu do danych podczas wykonywania codziennych obowiązków.
Najczęstsze błędy w firmach usługowych
- Traktowanie RODO wyłącznie jako formalności związanej z klauzulą zgody na stronie internetowej, przy jednoczesnym pomijaniu ryzyk operacyjnych związanych z codzienną pracą personelu w obiektach klienta.
- Przechowywanie danych kontaktowych klientów i pracowników w niezabezpieczonych arkuszach kalkulacyjnych dostępnych dla całego zespołu bez ograniczeń.
- Brak jasnych zasad postępowania personelu sprzątającego wobec dokumentów widocznych na biurkach czy w otwartych szafkach klienta.
- Pomijanie kwestii RODO przy rotacji personelu — brak procedury odbierania dostępu do systemów i danych po zakończeniu współpracy z pracownikiem.
Warto też pamiętać, że kwestie ochrony danych łączą się z szerszym obszarem zarządzania ryzykiem operacyjnym firmy usługowej — podobnie jak audyt BHP porządkuje kwestie bezpieczeństwa fizycznego personelu, tak systematyczny przegląd praktyk związanych z RODO porządkuje kwestie bezpieczeństwa informacji, minimalizując ryzyko zarówno prawne, jak i wizerunkowe.
Najczęściej zadawane pytania
Czy mała firma usługowa musi mieć inspektora ochrony danych?
Zależy od skali przetwarzanych danych — w większości małych i średnich firm usługowych nie jest to obowiązkowe, warto to jednak zweryfikować indywidualnie.