RODO w małej firmie: dane klientów i współpracowników

RODO wymaga celu, podstawy przetwarzania i odpowiednich zabezpieczeń. Zgoda nie jest jedyną podstawą, a ochrona danych nie zależy od obywatelstwa klienta.

Jakie dane i po co?

Firma przetwarzająca dane powinna umieć wyjaśnić, dlaczego je zbiera, komu udostępnia i jak długo przechowuje. RODO stosuje się według zakresu określonego w przepisach, a nie tylko do „obywateli Unii Europejskiej”. Dane osoby spoza UE również mogą być objęte ochroną.

Podstawą może być między innymi wykonanie umowy, obowiązek prawny lub prawnie uzasadniony interes, jeśli spełniono jego warunki. Zgoda ma swoje zastosowania, ale zbieranie jej do każdej faktury nie zastępuje prawidłowej analizy. Nie należy prosić o dowolnie szeroką zgodę na wszystkie przyszłe cele.

Obowiązek informacyjny i ograniczenie danych

Klient powinien otrzymać wymagane informacje o administratorze, celu, podstawie, odbiorcach, okresie i przysługujących prawach. Treść musi odpowiadać rzeczywistemu procesowi. Skopiowana polityka prywatności zawierająca nieużywane narzędzia lub nieaktualne kontakty nie porządkuje obowiązków.

Dane trzeba ograniczać do potrzebnego zakresu. Przy obsłudze zamówienia nie zawsze potrzebny jest PESEL lub skan dokumentu tożsamości. Dostęp do danych powinny mieć osoby wykonujące właściwe zadania, a nie cały zespół przez jeden wspólny login.

Zewnętrzne usługi

Przy księgowości, hostingu, systemie klientów lub obsłudze dokumentów należy ustalić role podmiotów. Nie każda współpraca oznacza identyczny model powierzenia. Jeśli dostawca przetwarza dane w imieniu administratora, potrzebne są właściwe ustalenia, w tym wymagania art. 28 RODO.

Adres wirtualnego biura nie usuwa odpowiedzialności za dane klientów. W umowie i procesie korespondencji trzeba sprawdzić osoby uprawnione, sposób udostępniania skanów i przechowywania przesyłek. Zwykłe przesłanie dokumentu na przypadkowy mail może narazić dane mimo bezpiecznego odbioru listu.

Naruszenie: działaj według ryzyka

Utrata laptopa, wysłanie pliku niewłaściwej osobie lub przejęcie konta wymaga oceny. Zgłoszenie do organu nadzorczego jest co do zasady wymagane bez zbędnej zwłoki, w miarę możliwości do 72 godzin od stwierdzenia naruszenia, chyba że mało prawdopodobne jest ryzyko dla praw i wolności osób. Zawiadomienie osób ma inne przesłanki. Nie każde zdarzenie należy zgłaszać identycznie, ale ocenę trzeba udokumentować.

• Zrób mapę danych i ich odbiorców.
• Sprawdź podstawy oraz treść informacji dla osób.
• Ogranicz dostęp, używaj odrębnych kont i uwierzytelniania wieloskładnikowego.
• Ustal okresy przechowywania i sposób usuwania danych.
• Przetestuj procedurę błędnego maila lub utraty urządzenia.

Praktyczne zabezpieczenia i świadomość zespołu wspierają zgodność bardziej niż zestaw nieczytanych dokumentów. Każda zmiana procesu powinna prowadzić do sprawdzenia, czy opis ochrony nadal odpowiada rzeczywistości.

Środki ochrony danych osobowych warto połączyć z planem reagowania na incydenty i odtworzenia dostępu. Pomocne wyjaśnienie: ochrona i odtwarzanie danych.

Dalsze kroki

• Cyberbezpieczeństwo w JDG
• Praca zdalna – przepisy dotyczące pracy zdalnej w Polsce 2025
• Księgowość online

Źródła i weryfikacja

Informacje zweryfikowano 3 października 2026 r.

• EUR-Lex: RODO, art. 3, 6, 13, 28, 32–34
• UODO: zgłaszanie naruszeń