Dokumentacja RODO w nowej firmie: co musi mieć mała gastronomia

Otwierasz mały lokal z jedzeniem na wynos i dowozem. Dzwoni pierwszy klient: imię, numer telefonu, adres, „trzecie piętro, domofon nie działa”. Zapisujesz to w zeszycie albo w programie do zamówień i… właśnie zacząłeś przetwarzać dane osobowe.

Od tej chwili obowiązuje Cię RODO, a dokumentacja RODO przestaje być sprawą „na kiedyś”. Wyjaśniam, od kiedy jej potrzebujesz, na jakim przepisie to stoi, jakie dokumenty powinna mieć mała gastronomia i dlaczego rejestr czynności przetwarzania dotyczy także lokalu z jednym pracownikiem.

Od kiedy lokal z dowozem potrzebuje dokumentacji RODO?

Od pierwszego zamówienia albo od pierwszego CV kandydata do pracy, zależnie od tego, co będzie wcześniej. RODO nie ma progu „za mała firma”. Jedyne zwolnienie dla firm zatrudniających mniej niż 250 osób dotyczy rejestru czynności przetwarzania, a w lokalu z regularnymi zamówieniami zwykle nie zadziała (o tym niżej).

Oto dane, które mała gastronomia zbiera od pierwszego dnia:

Osobie, od której zbierasz dane, musisz przekazać m.in. informację, kto je przetwarza, po co, na jakiej podstawie, jak długo i jakie prawa jej przysługują, i to „podczas pozyskiwania danych” (art. 13 RODO). Nie za miesiąc, kiedy ogarniesz papiery, tylko przy pierwszym zamówieniu.

Prowadzisz jednoosobową działalność i sam przyjmujesz zamówienia? Tak wygląda RODO dla jednoosobowej działalności gospodarczej: odpadają upoważnienia i dokumenty dotyczące pracownika, ale klauzula dla klientów jest potrzebna tak samo.

Skąd ten obowiązek, skoro RODO nie podaje listy dokumentów?

Może Cię to zaskoczyć, ale w RODO nie znajdziesz spisu „dokumentów obowiązkowych”. Jest za to zasada rozliczalności.

RODO wymaga, żeby firma przestrzegała zasad ochrony danych i była w stanie to wykazać (art. 5 ust. 2 i art. 24 ust. 1 RODO). Art. 24 dodaje, że środki ochrony dobierasz do charakteru, zakresu, kontekstu i celów przetwarzania oraz do ryzyka dla osób, których dane dotyczą.

Najprościej wykazać to na piśmie: kto ma dostęp do danych, komu je przekazujesz, jak długo je trzymasz i co robisz, gdy coś wycieknie. RODO nie narzuca formy dowodu, ale dokument jest najpewniejszy. Dokumentacja RODO to po prostu Twój dowód.

Kilka dokumentów RODO wymienia jednak wprost. W małym lokalu z dowozem to zwykle trzy:

• rejestr czynności przetwarzania w formie pisemnej, także elektronicznej (art. 30 ust. 1 i 3),
• umowę z firmą, która przetwarza dane w Twoim imieniu, również na piśmie albo elektronicznie (art. 28 ust. 3 i 9),
• dokumentację każdego naruszenia ochrony danych (art. 33 ust. 5).

Polityka ochrony danych pojawia się w art. 24 ust. 2 z zastrzeżeniem „jeżeli jest to proporcjonalne”. Klauzule informacyjne to sposób na spełnienie art. 13, a upoważnienia na spełnienie art. 29 i art. 32 ust. 4. Informację z art. 13 możesz przekazać na piśmie lub w inny sposób, także elektronicznie (art. 12 ust. 1), a formy upoważnienia RODO nie określa wcale. W obu przypadkach bez dokumentu trudno wykazać, że to robisz.

Jakie dokumenty RODO powinna mieć mała gastronomia?

Dla lokalu z dowozem, który zatrudnia pracownika i korzysta z biura rachunkowego, komplet wygląda zwykle tak:

Polityka ochrony danych osobowych

Zasady w jednym miejscu: kto w lokalu za co odpowiada, gdzie są dane zamówień, kto ma do nich dostęp, jak je zabezpieczasz i kiedy usuwasz. Nie musi być gruba. Ma opisywać Twój lokal, a nie „typową firmę”.

Rejestr czynności przetwarzania

Spis tego, co robisz z danymi: przyjmowanie i dowóz zamówień, zatrudnienie pracownika, rozliczenia z biurem rachunkowym. W rejestrze podajesz swoje dane jako administratora, a przy każdej czynności m.in. cel, kategorie osób i danych, odbiorców, a jeśli to możliwe, także planowany termin usunięcia i ogólny opis zabezpieczeń (art. 30 ust. 1).

Rejestr pokazujesz Urzędowi Ochrony Danych Osobowych (UODO), gdy o niego poprosi (art. 30 ust. 4).

Klauzule informacyjne dla klientów i pracownika

Osobna dla klientów, osobna dla pracownika. Klauzula dla klientów powinna być tam, gdzie zbierasz dane: przy formularzu zamówienia na stronie i w lokalu.

A telefon? Nikt nie wysłucha całej klauzuli, zanim zamówi obiad ;-) Grupa Robocza Art. 29, czyli zespół przedstawicieli europejskich organów ochrony danych i poprzedniczka Europejskiej Rady Ochrony Danych, dopuściła podawanie informacji „warstwami”. Przy rozmowie telefonicznej przekazujesz najważniejsze: kto przetwarza dane, w jakim celu, jakie prawa ma klient i czy coś w przetwarzaniu mogłoby go zaskoczyć. Resztę podajesz inną drogą, na przykład wysyłając mu mailem albo SMS-em link do pełnej klauzuli na stronie (wytyczne w sprawie przejrzystości WP260, pkt 38).

Upoważnienie pracownika

Pracownik, który odbiera telefony albo rozwozi zamówienia, widzi imiona, numery i adresy klientów. RODO wymaga, żeby przetwarzał je wyłącznie na Twoje polecenie (art. 29 i art. 32 ust. 4). Nie mówi, w jakiej formie dać to upoważnienie, ale pisemne, podpisane pierwszego dnia pracy, jest najprostszym dowodem.

Co zrobić, gdy pracownik już odszedł, a podpisu brak, opisujemy we wpisie Upoważnienie do przetwarzania danych osobowych: pracownik odszedł bez podpisu.

Umowa powierzenia z biurem rachunkowym

Biuro rachunkowe, które na Twoje zlecenie prowadzi kadry i płace, zwykle przetwarza dane pracownika w Twoim imieniu. RODO nazywa taką firmę podmiotem przetwarzającym (art. 4 pkt 8). Współpraca z nią wymaga umowy, która określa m.in. przedmiot i czas trwania przetwarzania, jego cel, rodzaj danych i kategorie osób (art. 28 ust. 3).

Tak samo patrzysz na każdą inną firmę, która przetwarza dane klientów albo pracownika na Twoje zlecenie.

Procedura na wypadek wycieku danych

Zgubiony zeszyt z adresami, telefon kierowcy z historią zamówień w obcych rękach, ktoś obcy w skrzynce z zamówieniami. Każda z tych sytuacji może być naruszeniem ochrony danych osobowych (art. 4 pkt 12 RODO).

Procedura mówi, kto w lokalu ocenia sytuację i co robi dalej. Czasu nie ma dużo: naruszenie zgłaszasz do UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia, chyba że ryzyko dla osób jest mało prawdopodobne (art. 33 ust. 1 RODO). Jeśli naruszenie może powodować wysokie ryzyko dla osób, zawiadamiasz też te osoby, np. klientów albo pracownika (art. 34 ust. 1). Każde naruszenie, także niezgłoszone, opisujesz w dokumentacji (art. 33 ust. 5).

Jak takie zgłoszenie wygląda w praktyce, pokazujemy we wpisie Zgłoszenie naruszenia do UODO po wycieku z programu do faktur.

Rejestr czynności przetwarzania w firmie poniżej 250 osób - czy musisz go mieć?

Najpewniej tak. Art. 30 ust. 5 RODO zwalnia z rejestru firmę zatrudniającą mniej niż 250 osób, ale tylko wtedy, gdy jej przetwarzanie spełnia naraz trzy warunki:

• nie może powodować ryzyka naruszenia praw lub wolności osób (jakiegokolwiek, nie tylko wysokiego),
• ma charakter sporadyczny,
• nie obejmuje danych szczególnych kategorii (np. o zdrowiu) ani danych o wyrokach i naruszeniach prawa.

Zamówienia przyjmujesz codziennie, więc to przetwarzanie nie jest sporadyczne i zwolnienie go nie obejmuje.

Grupa Robocza Art. 29 podkreśliła, że wystarczy, by jeden z tych warunków nie był spełniony (przetwarzanie może powodować ryzyko, nie jest sporadyczne albo obejmuje dane szczególne), żeby rejestr stał się obowiązkowy. Jako przykład podała małą organizację, która regularnie przetwarza dane pracowników: takie przetwarzanie nie jest sporadyczne i musi trafić do rejestru (stanowisko w sprawie art. 30 ust. 5 RODO).

W tym samym stanowisku jest dobra wiadomość. Do rejestru wpisujesz tylko te czynności, których zwolnienie nie obejmuje. Coś naprawdę sporadycznego, bez ryzyka i bez danych szczególnych, może zostać poza nim. W lokalu z dowozem w rejestrze znajdą się więc co najmniej zamówienia z dowozem i zatrudnienie pracownika.

Najczęstsze pytania o dokumentację RODO w gastronomii

Pamiętaj

Dokumentacja RODO w małej gastronomii to nie segregator do szuflady. Ma opisywać to, co naprawdę dzieje się z danymi klientów i pracownika w Twoim lokalu, bo właśnie takiego dowodu wymaga od Ciebie RODO.

Otwierasz lokal z dotacji z urzędu pracy? Na co dzień pomagam przy wnioskach o taką dotację. Jak opisać dokumenty RODO we wniosku, żeby urząd nie wziął ich za szkolenie, piszemy we wpisie Dokumentacja RODO dla nowej firmy: jak opłacić ją z dotacji z urzędu pracy.

Chcesz mieć dokumenty opisujące Twój lokal, a nie cudzą firmę? Zobacz, jak przygotowujemy dokumentację RODO.