RODO dla księgowych i biur rachunkowych

Chcesz czy nie, prowadząc własne biuro rachunkowe, nawet takie w formie jednoosobowej działalność gospodarczej, stale będziesz miał do czynienia z danymi osób fizycznych podlegających pod ochronę RODO. Nawet jeśli obsługujesz wyłącznie spółki, rozliczając ich dokumenty natkniesz się na osoby fizyczne np. klientów tych firm. Musisz zatem zaprzyjaźnić się z zasadami ochrony danych i to jak najszybciej, bowiem każde naruszenie przepisów rozporządzenia może się dla Ciebie bardzo źle skończyć. RODO dla księgowych powinno stać się nieodzownym elementem pracy, o której musi pamiętać przez cały czas wykonywania swoich obowiązków.

RODO dla księgowych i biur rachunkowych prowadzących jednoosobową firmę nie będzie tak skomplikowane, jak w wypadku prowadzenia biura zatrudniającego pracowników. Jeżeli jesteś sam sobie szefem, a przy tym nie masz żadnych podopiecznych, odpada Ci stres związany z zachowaniem osoby zatrudnionej. Nie musisz jej szkolić z zasad ochrony danych osobowych, kontrolować jej działań w tej kwestii, a także odpowiadać za jej działanie w wypadku gdyby doprowadziła do utraty danych osobowych. Nie oznacza to jednak, że Ciebie nie obowiązują przepisy rozporządzenia unijnego. Jako przedsiębiorca również musisz zadbać, aby informacje o konsumentach nie trafiły w niepowołane ręce.

Jeżeli szukasz podstawy prawnej dotyczącej Twoich obowiązków związanych z ochroną danych osobowych, znajdziesz ją w Ustawie z dnia 10.05.2018 r. o ochronie danych osobowych

Księgowy a administrator danych

Przy przetwarzaniu danych osobowych największą odpowiedzialność ponosi administrator danych. RODO wskazuje, iż to na nim spoczywa obowiązek ustalenia oraz wdrożenia procedur zabezpieczających gromadzone dane. Rolą administratora jest zapewnienie zastosowania w przedsiębiorstwie takich środków technicznych oraz organizacyjnych, które zagwarantują trwałą i pewną ochronę przetwarzanych w nim danych. Musi on zadbać o stworzenie zasad ochrony danych i nadzorować administrowanie nimi.

Jeżeli prowadzisz jednoosobową działalność osobową, istnieje małe prawdopodobieństwo, że korzystasz z zewnętrznej firmy specjalizującej się w administrowaniu danych osobowych. Oznacza to, że owym administratorem u siebie w firmie jesteś Ty.

Będąc administratorem musisz dbać, aby wszystkie operacje wykonywane na danych osobowych były wykonywane zgodnie z obowiązującym prawem. W szczególności masz obowiązek zabezpieczyć wszelkie pozyskane informacje o osobach fizycznych przed ich:

• utratą, udostępnieniem osobom nieupoważnionym lub zabraniem przez osobę nieuprawnioną;
• uszkodzeniem lub zniszczeniem;
• przetwarzaniem z naruszeniem przepisów RODO lub ustaw szczególnych;
• zmianą.

Więcej na temat odpowiedzialności administratora danych osobowych przeczytasz w artykule Administrator danych osobowych a podmiot przetwarzający – jaka jest ich odpowiedzialność?

Czy prowadząc JDG musisz posiadać politykę prywatności?

Oczywiście, że musisz. To, że prowadzisz samodzielnie firmę nie zwalnia Cię z posiadania odpowiedniej dokumentacji. Nawet jeżeli nie prowadzisz strony internetowej, na której oferujesz swoje usługi, w siedzibie firmy musisz posiadać regulamin wskazujący na sposób przetwarzania danych osobowych oraz wdrożone u Ciebie w firmie procedury RODO. Wynika to z faktu, że każda osoba, której dane osobowe przetwarzasz, ma prawo zażądać okazania jej dokumentacji. Twoją politykę prywatności może skontrolować również klient, który powierza Ci przetwarzanie danych osobowych swoich klientów.

Oprócz wskazanej polityki prywatności, powinieneś także przygotować i prowadzić dodatkową dokumentację dotyczącą przetwarzania danych osób fizycznych. Jest to między innymi rejestr zbiorów danych osobowych. Powinieneś przechowywać w nim informacje o grupach podmiotów, których dane przetwarzasz (np. Twoi klienci będący osobami fizycznymi czy konsumenci będący klientami firm, które obsługujesz). Innym bardzo ważnym dokumentem, o jakim musisz pamiętać, jest upoważnienie do przetwarzania danych osobowych, które musi zostać wystawione osobie trzeciej, która może mieć kontakt z Twoją bazą danych. Będzie tak np. w przypadku przekazania laptopa służbowego serwisantowi. Wraz z upoważnieniem potrzebna Ci będzie ewidencja osób upoważnionych do przetwarzania danych osobowych.

Kolejnym ważnym dokumentem, bez którego nie powinieneś rozpoczynać współpracy z podmiotami zewnętrznymi, jest umowa o przekazaniu danych osobowych. Za każdym razem, gdy korzystasz z usług firm, którym przekazujesz dane swoich klientów (np. firmie kurierskiej, agencji marketingowe czy agencji IT) musisz mieć z nią podpisaną ową umowę. Wymóg ten wynika bezpośrednio z przepisów RODO.

Pamiętaj o regularnych aktualizacjach dokumentacji RODO

Sporządzona i wdrożona dokumentacja RODO w Twojej firmie nie będzie aktualna w nieskończoność. Przepisy dotyczące przetwarzania danych osobowych stale się zmieniają. Za przykład może posłużyć ostatnia duża nowelizacja w kwestii korzystania przez strony internetowe z plików cookies (ciasteczek). Wszelkie modyfikacje prawa wymagają od Ciebie wprowadzania zmian w Twojej dokumentacji.

Prócz zmian w prawie, miejsce mają również zmiany faktyczne w Twojej firmie. One także wymagają zaakcentowania w dokumentacji. Wprowadzenie nowego systemu informatycznego, zmiana systemu zabezpieczeń sprzętu służbowego czy chociażby zakup nowych sprzętów elektronicznych. Wszystko to sprawia, że dotychczasowa polityka prywatności traci swoją przydatność. Oczywiście nie w całości, ale są elementy, które na pewno należy poprawić. Musisz stale trzymać rękę na pulsie i reagować na wszelkie zmiany zarówno te prawne, jak i faktyczne.

RODO dla księgowych – jakich błędów nie popełniać?

Prócz stworzenia prawidłowej dokumentacji RODO oraz wdrożenia odpowiednich procedur zabezpieczających dane osobowe, ważne jest jeszcze pamiętanie o ochronie danych osobowych również w tych codziennych, najprostszych czynnościach służbowych. Poniżej wskażemy na kilka najczęstszych błędów, które mogą nieść za sobą poważne konsekwencje.

Korzystaj ze skrzynki mailowej właściwie

Bardzo często to nie system komputerowy zawodzi, a człowiek. Korzystając ze skrzynki e-mail musisz pamiętać o kilku prawidłowościach, które mogą uchronić Cię przed karą nałożoną przez UODO.

Pamiętaj, aby nigdy nie wysyłać wiadomości oraz załączników zawierających dane osobowe (np. faktur czy umów) bez ich szyfrowania. Wystarczy bowiem, aby program automatycznie uzupełnił pole odbiorcy przy jego wpisywaniu i poufne informacje mogą wylądować u innej osoby, niż zakładałeś. Wrażliwe dane powinny być zawsze zabezpieczane hasłem. Niemal każdy program komputerowy służący do pracy biurowej (np. Word, Acrobat Reader, WinRar) ma wbudowaną możliwość zabezpieczenia hasłem.

Niekiedy problem tworzą także grupowe korespondencje e-mail. Wysyłając wiadomości do wielu adresatów nie wprowadzaj adresów email w okienku „DO”. Wybór takiej opcji pozwoli odbiorcom wiadomości na zapoznanie się z adresami mailowymi innych osób. Pamiętaj, że adres e-mail, który zawiera imię i nazwisko stanowi daną osobową. Zawsze wybieraj okienko „UDW”. Ukrywając widoczność odbiorców wiadomości, żaden z nich nie będzie mógł się zapoznać z adresami pozostałych adresatów korespondencji.

Staraj się również dokładnie sprawdzać z kim korespondujesz. Nie ma teraz większego problemu, aby sprawdzić daną osobę czy firmę w google. Jeżeli jakiś podmiot nie pojawia się w wynikach wyszukiwania, istnieje duże prawdopodobieństwo, że wiadomość została wysłana przez oszusta. Nie ściągaj na swój dysk również załączników, które nie zostały sprawdzone programem antywirusowym. Prześwietlenie przez specjalistyczną aplikację pozwoli Ci uchronić się przez groźnym oprogramowaniem. 

Nie wynoś danych z biura

Prowadzenie własnej działalności gospodarczej daje bardzo wiele swobody. Ty decydujesz kiedy, w jaki sposób i ile będziesz pracować. Możesz również wykonywać pracę z każdego miejsca na ziemi (o ile pozwala na to charakter twojego zlecenia i dostęp do Internetu).

Pracując jednak na dokumentach z ważnymi i wrażliwymi danymi, ryzykownym pomysłem jest częste „podróżowanie” z dokumentami czy wykonywanie pracy w miejscach publicznych. Każde wyniesienie danych z biura może się skończyć zgubieniem dokumentów lub ich kradzieżą. Przezorny zawsze ubezpieczony, lepiej zatem pracę wykonuje się wyłącznie w miejscu do tego przeznaczonym i właściwie zabezpieczonym.

Zadbaj o swój sprzęt elektroniczny

Rachunkowość przeszła już pełną elektronizację i digitalizację. Bardzo często księgowi zamieniają ciężkie i grube segregatory na serwery komputerowe. Jeżeli również jesteś jedną z takich osób, musisz właściwie zabezpieczyć swój sprzęt.

Przede wszystkim nie używaj tych samych urządzeń elektronicznych do pracy i celów prywatnych. Twój „służbowy” laptop i smartfon powinny pozostać takimi do samego końca. Używanie ich na co dzień nie jest dobrym pomysłem. Wiele popularnych aplikacji używanych do rozrywki szpieguje swoich użytkowników, a w sieci znajdziemy wiele „złośliwych” programów podszywających się pod te popularne programy. Chcesz ściągnąć oprogramowanie do obróbki zdjęć, aby móc pochwalić się swoją wakacyjną opalenizną wszystkim znajomym? Ok, masz tutaj program, który przechwyci wszystkie Twoje dane z dysku wraz z hasłami.

Używając urządzeń służbowych musisz chronić je nie tylko przed zagrożeniami wirtualnymi, ale także przed tymi występującymi w „realu”. Twój telefon, tablet, laptop czy komputer stacjonarny wymagają zabezpieczenia hasłem. Przy czym hasło to powinno być na tyle skomplikowane, aby żadna osoba postronna się go nie domyśliła. Hasło składające się z czterech zer albo słowo „admin” raczej się nie sprawdzi. Wiele nowych sprzętów ma zainstalowane rozpoznawanie odcisku palca lub twarzy. Dobrym pomysłem zetem będzie ustawienie wielopoziomowego zabezpieczenia np. odciskiem palca i hasłem lub pinem.

Twój telefon i laptop powinny mieć także ustawione szyfrowanie dysków. Dzięki temu w czasie, kiedy nie korzystasz z urządzenia, nikt inny nie będzie w stanie odczytać danych zapisanych w jego pamięci. Korzystaj również ze sprzętów, które pozwalają je namierzyć. W przypadku zgubienia lub kradzieży będziesz miał możliwość szybkiego zlokalizowania sprzętu, co pozwoli Ci na natychmiastową reakcję i uniemożliwienie wycieku danych osobowych twoich klientów.

Używaj niszczarki

Prowadząc firmę już na wstępie, jeszcze przed powieszeniem nad wejściem do lokalu szyldu firmy, powinieneś zainwestować w niszczarkę do papieru. Wyrzucanie niepotrzebnych dokumentów do śmietnika bez ich uprzedniego dokładnego zniszczenia jest wielkim błędem. Dane osobowe w dzisiejszych czasach są na wagę złota. Istnieją wielomilionowe firmy, których jedynym zadaniem jest gromadzenie danych osobowych, obracanie nimi i udostępnianie ich przeróżnym podmiotom. Posiadając imię, nazwisko, PESEL i adres zamieszkania nie jest problemem zaciągnięcie chwilówki czy zawarcie innej umowy, która może za sobą pociągać wysokie koszty. Pamiętaj zatem – zawsze używaj niszczarki, będziesz spał spokojniej.

RODO dla księgowych prowadzących jednoosobową firmę

Prawidłowe wdrożenie RODO do firmy nie jest prostą sprawą. Tym bardziej, że ustawodawca nie wskazał precyzyjnie jakie procedury należy wprowadzić, aby dane osobowe były bezpieczne. Bardzo przydane w takiej sytuacji będzie przeprowadzenie wstępnej analizy i oceny ryzyka przetwarzania i pozyskiwania danych osobowych. Pozwoli Ci to dokładnie określić jakie dane osobowe będziesz przetwarzał oraz w jakich celach będziesz tego dokonywał. Określisz także podstawę prawną, w oparciu o którą będziesz używał uzyskanych danych osobowych. Niezwykle istotne jest określenie ryzyka przetwarzania danych i poziom zabezpieczeń niezbędny dla prawidłowej ochrony danych.