Gdy firma zamawia aplikację, która przechowuje dane klientów, pojawia się pytanie: czy to będzie zgodne z RODO. Krótka odpowiedź brzmi: aplikacja może ułatwić zgodność, ale odpowiedzialność za dane pozostaje po stronie firmy. Poniżej wyjaśniamy to prostym językiem.
Ten tekst ma charakter informacyjny i nie stanowi porady prawnej. W sprawach wątpliwych warto skonsultować się z prawnikiem lub inspektorem ochrony danych.
Kto za co odpowiada
Firma, która decyduje, po co i jak przetwarza dane klientów, jest ich administratorem. To na niej spoczywają obowiązki: informowanie klientów, ograniczenie danych do niezbędnych, ich zabezpieczenie oraz reagowanie na żądania osób, których dane dotyczą. Wykonawca aplikacji tworzy narzędzie, które pozwala te obowiązki spełniać, a jeśli ma dostęp do prawdziwych danych, zwykle działa jako podmiot przetwarzający i wymaga to odrębnej umowy powierzenia.
Jak powinna zachowywać się dobra aplikacja
- Zbiera tylko niezbędne dane. Jeśli do umówienia wizyty wystarczy imię, telefon i adres e-mail, nie ma powodu pytać o więcej.
- Daje kontrolę nad dostępem. Każdy pracownik widzi tyle, ile potrzebuje do swojej pracy, a nie wszystko.
- Zapisuje ślad działań. Wiadomo, kto i kiedy zmienił ważne dane.
- Pozwala usuwać i eksportować dane. Gdy klient prosi o usunięcie lub kopię swoich danych, można to zrobić bez ręcznego przeszukiwania wielu miejsc.
- Chroni dane technicznie. Szyfrowane połączenie, bezpieczne przechowywanie haseł, kopie zapasowe, aktualizacje. Szczegółowo opisaliśmy to w artykule Bezpieczeństwo aplikacji webowej: 10 pytań do wykonawcy.
- Oddziela dane różnych klientów. W systemach obsługujących wiele firm jest to szczególnie ważne.
Co powinna zrobić firma po swojej stronie
- przygotować lub zaktualizować politykę prywatności i informacje dla klientów,
- ustalić, kto w firmie ma dostęp do jakich danych,
- zawrzeć umowę powierzenia z wykonawcą, jeśli ma on dostęp do danych,
- wiedzieć, co zrobić w razie incydentu. Naruszenie ochrony danych co do zasady zgłasza się do Prezesa UODO w ciągu 72 godzin od jego stwierdzenia.
Pytania do wykonawcy
- Jakie dane będzie przechowywać aplikacja i czy wszystkie są potrzebne?
- Gdzie fizycznie są przechowywane dane (kraj, dostawca chmury)?
- Jak wygląda usuwanie danych i ich eksport?
- Czy będzie umowa powierzenia przetwarzania danych?
- Jak aplikacja radzi sobie z incydentami i kopiami zapasowymi?
Jak podchodzimy do tego my
Projektujemy aplikacje tak, żeby ułatwiały spełnienie wymagań RODO: ograniczamy zbierane dane, zapisujemy ślad zmian i umożliwiamy usuwanie danych. Obowiązki prawne administratora zostają po stronie firmy, a my pomagamy przełożyć je na rozwiązania techniczne. Więcej na stronie Bezpieczeństwo.