Archiwa RODO - Portal biur rachunkowych

Weryfikacja klienta biura rachunkowego – na co zwrócić uwagę?

Wed, 20 Mar 2024 08:40:01 +0000

Prowadzenie biura rachunkowego stanowi biznes jak każdy inny. Prowadząc obsługę ksiąg rachunkowych, jesteś nastawiony na zysk. Świadczysz usługi najwyższej jakości, zatem nie powinno dziwić, że oczekujesz adekwatnego wynagrodzenia. Niestety może zdarzyć się tak, że trafisz na nierzetelnego klienta, który będzie zwlekał lub nawet unikał wypłaty Twojego wynagrodzenia. Oczywiście prawo przewiduje szereg możliwości egzekwowania swojej wierzytelności, jednak lepiej zapobiegać niż leczyć. Dlatego też powinieneś dobrze sprawdzić przedsiębiorców, których firmy będziesz obsługiwał. Weryfikacja klienta to pierwszy krok, jaki powinieneś wykonać jeszcze przed podpisaniem z nim umowy. Pozwoli Ci to odsiać te jednostki, które w przyszłości mogą sprawiać problemy.

Relacje w biznesie muszą polegać na obustronnym zaufaniu. Jednakże, zanim takie zaufanie zostanie zbudowane, musisz posiadać przynajmniej podstawowe informacje na temat swojego przyszłego partnera biznesowego. Weryfikacja klienta oczywiście nie musi przyjmować formy śledztwa detektywistycznego. Wystarczające będzie zapoznanie się z kilkoma rejestrami czy ewidencjami, aby móc wyrobić sobie zdanie w tym temacie. Gdzie zatem szukać informacji?

Weryfikacja klienta – na początek Internet

Pisząc Internet, mam na myśli przede wszystkim Google, ale pomocne mogą się okazać także portale branżowe czy wyszukiwarki firm pokroju panoramafirm.pl.

Twoi klienci w znakomitej większości to przedsiębiorcy, a tacy albo reklamują się w sieci, albo znajdują się tam opinie na ich temat. Warto zatem zapoznać się dokładnie, w jakiej branży działają, jakie świadczą usługi oraz ile osób zatrudniają. Dobrym pomysłem będzie również zapoznanie się z opiniami na temat ich działalności. Jeżeli przedsiębiorca jest nierzetelny i nie wywiązuje się ze swoich zobowiązań, bardzo szybko odnajdziesz informacje w tym temacie.

Nie możesz jednak traktować Internetu jako wyroczni. W praktyce bowiem niewiele znajdujących się tam danych jest prawdziwych. Bardzo dużo opinii, komentarzy i ocen to informacje, za które zapłacił przedsiębiorca lub wręcz odwrotnie – jego konkurencja. Dodatkowo ludzie mają tendencje do wypowiadania się w sieci w przypadkach, gdy są niezadowoleni, a bardzo rzadko robią to, gdy obsługa wykonała swoją pracę wzorowo. Nie radzę zatem kierować się dwoma czy trzema negatywnymi komentarzami. Jeśli jednak idą one w dziesiątki, to możesz już zacząć się zastanawiać nad podjęciem współpracy z przedsiębiorcą. Jeżeli nie wywiązuje się on ze swoich zadań wobec własnych klientów, to może tak samo potraktować Ciebie.

Weryfikacja klienta – ważne rejestry przedsiębiorców

Jeżeli firma funkcjonuje w Internecie, to możesz być pewny, że istnieje. Tylko czy aby na pewno istnieje legalnie? To wszystko możesz sprawdzić dzięki rejestrom przedsiębiorców. Weryfikacja klienta w tym aspekcie jest bardzo łatwa. Umożliwiają to ewidencje, które swoje bazy danych upubliczniają w sieci.

Wyróżnić możemy trzy podstawowe bazy, w których znajdują się niemal wszystkie podmioty gospodarcze. Są to:

Centralna Ewidencja i Informacja o Działalności Gospodarczej – jest to rejestr osób fizycznych prowadzących jednodobowe działalności gospodarcze;
Krajowy Rejestr Sądowy – znajdziesz w nim spółki prawa handlowego, fundacje i stowarzyszenia.
REGON – tutaj znajdują się informacje na temat funkcjonowania spółek cywilnych.

We wskazanych rejestrach znajdziesz podstawowe informacje o kliencie (o ile prowadzi działalność gospodarczą). Znajdują się tam między innymi informacje o nazwie firmy, jej siedzibie, adresie korespondencyjnym czy też o dacie założenia przedsiębiorstwa oraz rodzaju prowadzonej działalności.

Najwięcej jesteś w stanie wynieść z KRS. Tam oprócz informacji podstawowych znajdziesz także dane nieco bardziej szczegółowe. Przede wszystkim będą to informacje finansowe przedsiębiorcy. W KRS sprawdzisz między innymi:

roczne sprawozdanie finansowe;
sprawozdanie z badania rocznego sprawozdania finansowego;
uchwałę o podziale zysku lub pokryciu straty;
sprawozdanie z działalności jednostki dominującej.

Powyższe dokumenty pozwolą Ci stwierdzić czy dany klient jest wypłacalny i czy będzie w stanie regulować Twoje wynagrodzenie, czy lepiej jednak podziękować mu za współpracę i doradzić poszukanie prawnika w celu ogłoszenia upadłości.

Informacja gospodarcza ważna w kwestii zadłużenia

Jeżeli nie jesteś w stanie owych informacji wynieść z KRS, wiadomości na ten temat powinieneś poszukać w innych miejscach. Na szczęście w sieci funkcjonuje wiele instytucji, które ewidencjonują zadłużenie osób fizycznych i prawnych.

Pierwsze kroki powinieneś skierować w stronę rejestru państwowego. Jest nim Krajowy Rejestr Zadłużonych. KRZ stanowi rejestr publiczny, do którego dostęp ma każdy zainteresowany. Dostęp ten jest przy tym całkowicie darmowy. W KRZ sprawdzisz między innymi czy wobec Twojego przyszłego klienta nie jest prowadzone postępowanie egzekucyjne, restrukturyzacyjne lub upadłościowe.

Oprócz rejestru państwowego na rynku funkcjonuje również szereg ewidencji prywatnych, które również w sposób wiarygodny zbierają dane na temat dłużników. Powinieneś zatem zajrzeć na przykład do:

Pamiętaj jednak, że prywatne jednostki działają w ramach gospodarki wolnorynkowej. Nie spodziewaj się zatem, że wszystkie dostępne tam informacje zdobędziesz nieodpłatnie. Za niektóre przyjdzie Ci zapłacić. Nie są to jednak kwoty, które powinny odsunąć Cię od pomysłu sprawdzenia potencjalnego klienta.

Weryfikacja klienta – poproś o zaświadczenia organów skarbowych

Jasnym jest, że jako księgowy w łatwy sposób będziesz mógł powziąć informacje o zadłużeniu klienta wobec urzędu skarbowego lub ZUS z jego dokumentacji. Jeżeli jednak podpiszesz umowę, to już „musztarda po obiedzie”. Na weryfikację będzie nieco za późno.

Jeżeli masz do czynienia z dużą firmą, Twoja praca dla niej również nie będzie mała. Zapewne poświęcisz na nią ogrom czasu. To z kolei powinno przełożyć się na Twoje wynagrodzenie. Jeżeli jednak taki klient nie wypełnia swoich obowiązków wobec Państwa, to istnieje duże prawdopodobieństwo, że nie będzie systematyczny w opłacaniu wystawionych przez Ciebie faktur.

Zadłużenia wobec organów administracyjnych nie sprawdzisz w sieci. Takie informacje można pozyskać wyłącznie na wniosek podatnika/ubezpieczonego. Wobec tego pozostaje Ci bezpośrednia prośba wobec kontrahenta o zaświadczenia o braku zaległości w rozliczeniach z urzędem skarbowym i Zakładem Ubezpieczeń Społecznych.

Spotkaj się z klientem twarzą w twarz

Dobrym pomysłem wydaje się także podpisanie umowy z klientem podczas spotkania w biurze księgowym czy też siedzibie jego firmy. Spotykając się z nim na żywo, będziesz w stanie wiele się o nim dowiedzieć. Rozmowa twarzą w twarz ma ten plus, że jesteś w stanie zorientować się jakim człowiekiem jest Twój przyszły klient. Czy jest życzliwy, terminowy, czy wydaje się być godnym zaufania. Być może dowiesz się także, w jaki sposób traktuje on swoich kontrahentów.

Również negocjując umowę będziesz wiedział, czy jest solidny w tym co robi (np. dzięki temu, że zapoznał się w całości z zapisami umownymi) oraz czy będzie trudnym partnerem biznesowym (np. klient wykłóca się o każdą klauzulę i próbuje zmodyfikować ją na swoją korzyść).

Uwaga! Jeżeli chcesz wiedzieć, jak powinna wyglądać prawidłowo sporządzona umowa, odsyłamy do artykułu: Umowa o świadczenie usług księgowych – na co zwracać uwagę?

Dokładna i rzetelna rozmowa z klientem może dać Ci obraz przyszłej współpracy z przedsiębiorcą. Nie należy zatem wszystkiego pozostawiać w sferze kontaktów wirtualnych. Nawet jeśli większość swoich klientów obsługujesz online, przynajmniej czynność podpisania umowy przeprowadź w realu.

Artykuł Weryfikacja klienta biura rachunkowego – na co zwrócić uwagę? pochodzi z serwisu Portal biur rachunkowych.

Jakie dane osobowe pracowników może przetwarzać pracodawca?

Tue, 16 Jan 2024 09:06:31 +0000

Czasy „dzikiego zachodu” w procedurze zatrudniania słusznie odeszły w zapomnienie. Będąc pracodawcą nie możesz już bez konsekwencji wypytywać kandydatów na pracowników o ich upodobania polityczne, niepełnosprawności, plany na przyszłość, posiadane kredyty, dzieci, ciąże czy plany związane z małżeństwem. Rozporządzenie w przedmiocie ochrony praw osobowych skutecznie ograniczyło zakres informacji, jakich możesz żądać od potencjalnego pracownika na rozmowie o pracę. Bardziej chronione są również dane osób już zatrudnionych. Jeżeli prowadzisz własne biuro rachunkowe i jeszcze nie sprawdziłeś, jakie dane osobowe pracowników możesz przetwarzać, zapoznaj się z niniejszym tekstem, wszystko dokładnie w nim wytłumaczę.

RODO wpłynęło na wiele dziedzin życia i funkcjonowania Polaków. Przepisy rozporządzenia nie ominęły również prawa pracy. Do Kodeksu pracy zostały wprowadzone zatem art. 22[1] i nast., które stanowią „drogowskaz” oraz obowiązek, którym powinieneś się kierować przy zatrudnianiu nowych osób oraz zachowywać się wobec tych już pracujących na stałe. Dane osobowe pracowników stanowią dobra chronione, o które musisz dbać na równi z danymi klientów czy kontrahentów. To, że dotyczą one osób będących częścią Twojego biura, nie oznacza, że masz do nich prawo czy też możesz traktować je po macoszemu. Twoi pracownicy – w świetle zasad RODO – mają takie same prawa jak każda inna osoba fizyczna.

Dane osobowe pracowników przy umowie o pracę

Na wstępie podkreślę, że omawiana problematyka dotyczy podmiotów podlegających pod Kodeks pracy, tj. pracodawców zatrudniających i osób zatrudnionych na podstawie umów o pracę. Nie będę się również skupiał na ochronie danych osobowych kandydatów na pracowników, o tym pisałem już wcześniej w artykule „RODO przy zatrudnianiu nowego pracownika – o co może pytać pracodawca”. Musisz jednak wiedzieć, że prawa do ochrony danych kandydata są nieco inne niż te, które posiada zatrudniony pracownik. Jeżeli jednak „zatrudniasz” w swoim biurze księgowych na umowach zlecenie czy popularnym B2B również nie powinieneś ignorować poniższych regulacji.

W sytuacji gdy zdecydujesz się na zatrudnienie danej osoby w biurze rachunkowym i podpiszesz z nią umowę o pracę, zaczynają was ściśle obowiązywać przepisy prawa pracy. Musisz zatem zadbać o to, aby przetwarzanie danych osobowych księgowych z którymi współpracujesz było zgodne w szczególności z art. 22[1] § 2 i 4 KP.

Masz prawo przetwarzać dane osobowe pracownika obejmujące:

imię (imiona) i nazwisko;
datę urodzenia;
adres zamieszkania;
numer PESEL, a w przypadku jego braku – rodzaj i numer dokumentu potwierdzającego tożsamość;
dane kontaktowe – nr telefonu oraz adres email;
wykształcenie;
kwalifikacje zawodowe;
przebiegu dotychczasowego zatrudnienia;
dane osobowe dzieci lub innych osób najbliższych pracownika – jeżeli podanie takich informacji jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy;
numer rachunku płatniczego, o ile pracownik nie złożył wniosku o wypłatę wynagrodzenia do rąk własnych.

Powyżej wskazane dane mogą znaleźć się w umowie o pracę lub w innych dokumentach złożonych do akt pracowniczych. Nie jest oczywiście, że pracownik jest zobligowany pod groźbą kary administracyjnej do podania wszystkich danych osobowych, które go dotyczą. Ma on prawo do odmowy wskazania określonych informacji. Musi się jednak liczyć z tym, iż masz prawo wówczas podziękować mu za współpracę. Najlepiej zatem, abyś już podczas rozmowy kwalifikacyjnej informował kandydatów o ich prawach i obowiązkach wynikających z RODO.

Dane zwykłe, a dane szczególne

Jak wyjaśniliśmy w artykule „RODO i dane osobowe” dane osobowe oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Osoba fizyczna możliwa do zidentyfikowania to taka, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

RODO oraz odnoszące się do niego prawo pracy wyróżnia trzy kategorie danych osobowych:

dane zwykłe – są to między innymi imiona, nazwiska, adresy zamieszkania, daty urodzin, miejsca narodzin, numery telefonów, adresy skrzynek mailowych;
dane szczególne – nazywane również danymi wrażliwymi – mogą dotyczyć np. pochodzenia rasowego, poglądów politycznych, przekonań religijnych lub światopoglądowych, danych biometrycznych, danych dotyczących zdrowia, orientacji seksualnej czy też przynależności do związków zawodowych;
dane dotyczące wyroków skazujących i czynów zabronionych.

Masz prawo żądać danych osobowych „zwykłych” od każdego zatrudnionego księgowego oraz pozostałych pracowników biurowych na podstawie art. 6 pkt 1 lit. c RODO, tj. w sytuacji gdy przetwarzanie takich danych jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Nie jesteś już za to uprawniony do wskazywania przez pracowników ich danych szczególnych. Te mogą przekazać oni z własnej inicjatywy, np. chcąc zgłosić chęć korzystania ze szczególnych uprawnień pracowniczych związanych z ciążą.

Z kolei przetwarzać dane osobowe dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa możesz wyłącznie pod nadzorem władz publicznych lub jeżeli przetwarzanie jest dozwolone prawem Unii lub prawem państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą. Wszelkie kompletne rejestry wyroków skazujących są prowadzone wyłącznie pod nadzorem władz publicznych.

Zasada minimalizacji

To, że przepis art. 22¹ KP daje Ci możliwość przetwarzania określonych danych osobowych swoich pracowników, nie oznacza, że w każdej sytuacji powinieneś je pozyskiwać. Zgodnie z zasadą minimalizacji pobierania danych wprowadzoną art. 5 ust. 1 lit. c RODO jako pracodawca powinieneś gromadzić wyłącznie te dane, które są konieczne do celu, jakim jest zatrudnienie danej osoby. Dla przykładu, jeśli na konkretnym stanowisku (np. starszego księgowego czy doradcy podatkowego) konieczne są określone wykształcenie i kwalifikacje zawodowe, nie możesz wymagać od pracownika podania innych informacji dotyczących przebiegu jego nauki i zatrudnienia, niż te dotyczące rzeczonego stanowiska. Twoim obowiązkiem jest zatem dokonywanie każdorazowo oceny czy wymagane dane są potrzebne do wykonywania pracy na określonym stanowisku.

Dane osobowe pracowników a ujawnianie danych podmiotom trzecim

Oczywistym jest, że dane osobowe pracowników są poufne i Twoim obowiązkiem jest chronienie dostępu do nich nieuprawnionych osób trzecich. Są jednak takie sytuacje, kiedy publiczne udostępnienie niektórych danych będzie nieodzowne w prawidłowym prowadzeniu biura rachunkowego.

Pierwszym przykładem ujawniania danych osobowych pracowników osobom postronnym jest sporządzanie listy pracowniczej, na której każdy z pracowników musi wpisać swoje imię i nazwisko oraz się podpisać. Wydawać by się mogło, że jest to działanie niezgodne z RODO, gdyż listy te pozostawiane są zazwyczaj w miejscach łatwo dostępnych dla wszystkich osób zatrudnionych w firmie. Orzecznictwo uznało jednak, że takie działanie nie jest sprzeczne z zasadami RODO. Pracownicy bowiem znają się nawzajem i nie jest żadną „tajemnicą” informacja dotycząca ich imion i nazwisk. Niezgodne natomiast z rozporządzeniem będzie pozostawianie na takiej liście informacji o urlopach, w szczególności tych chorobowych i „na żądanie”. Informacje o chorobach i zwolnieniach lekarskich są już danymi wrażliwymi i nie mogą być rozpowszechniane.

Innym przykładem mogącym Cię zastanawiać jest przydzielanie pracownikom identyfikatorów ze zdjęciem. Wizerunek pracownika nie jest informacją znajdującą się w katalogu danych z art. 22¹ § 2 KP, oznacza to zatem, że abyś mógł umieścić na identyfikatorze zdjęcie podwładnego, musisz uzyskać jego dobrowolną zgodę. Przy czym brak zgody nie może być powodem zwolnienia czy wyciągania innych negatywnych konsekwencji wobec pracownika.

Kolejną bardzo popularną praktyką jest wykorzystywanie danych pracowników i umieszczanie ich na stronach internetowych biura rachunkowego oraz w tzw. stopkach przy korespondencji mailowej. Zazwyczaj są to informacje o ich imionach i nazwiskach, stanowiskach oraz numerach telefonów i adresach e-mail. Uznaje się, iż ujawnianie takich danych służy wykonywaniu przez pracowników ich obowiązków służbowych, stąd też dane te mogą być udostępniane przez pracodawcę bez zgody pracowników. Musisz jednak pamiętać, że w przypadku numerów telefonów i adresów email, możesz je wskazywać o ile nie są to numery i adresy prywatne. Jeśli zatem księgowy pracujący w Twoim biurze otrzymał służbowy telefon oraz własny przyporządkowany adres skrzynki wirtualnej znajdującej się na firmowym serwerze, nie ma problemu. Pamiętaj również, że analogicznie do omówionych wyżej identyfikatorów, sprzecznym z RODO będzie publikowanie na stronie www biura wizerunku (zdjęcia) księgowego bez jego zgody. Mniej popularne, ale w dalszym ciągu spotykane, jest również umieszczanie imion i nazwisk pracowników na drzwiach ich biur w siedzibie przedsiębiorstwa. Tutaj zgoda osób zainteresowanych nie będzie konieczna.

Artykuł Jakie dane osobowe pracowników może przetwarzać pracodawca? pochodzi z serwisu Portal biur rachunkowych.

RODO przy zatrudnianiu nowego pracownika – o co może pytać pracodawca

Wed, 03 Jan 2024 08:57:44 +0000

Zatrudniając nowego pracownika do swojego biura rachunkowego chcesz mieć pewność, że wybrany kandydat spełnia wszystkie stawiane przed nim wymagania. Jednakże przed zadaniem pytania powinieneś się dobrze zastanowić, czy przypadkiem nie wchodzisz w sferę osobistą kandydata i nie naruszasz jego prawa do prywatności. Wraz z wejściem rozporządzenia unijnego w przedmiocie ochrony danych osobowych skończył się czas fantazyjnych kwestionariuszy, w których poruszano tematy rodziny, ciąży, wyznań i ideologii, przekonań politycznych, czy planów na emeryturę. Aktualnie RODO przy zatrudnianiu nowego pracownika określa o co kandydat na pracownika może być pytany. Lepiej zatem zapoznaj się z tym artykułem zanim zaprosisz kogoś na rozmowę o pracę.

Nie tylko RODO, ale również Kodeks pracy

Informacje o kandydacie do pracy, takie jak dane personalne, dane kontaktowe, wykształcenie, kwalifikacje zawodowe czy przebieg dotychczasowego zatrudnienia mogą być przetwarzane wyłącznie w przypadkach, gdy są one niezbędne do zajmowania konkretnego stanowiska.

Wejście w życie ustawy z dnia 21 lutego 2019 roku o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/we (ogólne rozporządzenie o ochronie danych) wymusiło na polskim ustawodawcy znowelizowanie Kodeksu pracy. Przepisy art. 22 do 232 szczegółowo opisują co wolno Ci zrobić w stosunku do pracownika lub osoby aplikującej na stanowisko w Twoim biurze. My w niniejszym artykule zajmiemy się przede wszystkim kwestią danych osobowych, które mogą być pozyskiwane w czasie od opublikowania ogłoszenia o pracę do uściśnięcia dłoni nowemu księgowemu Twojego biura rachunkowego.

Przepisy Kodeksu pracy wskazują na generalne zasady, jakimi powinni się kierować wszyscy pracodawcy. Pamiętać jednak trzeba, że KP reguluje jedynie stosunek pracy (tj. ten powstały po zawarciu umowy o pracę). Nie obejmuje natomiast swoim zakresem, obecnie bardziej popularnych niż zwykle, umów cywilnoprawnych takich jak umowa zlecenie czy B2B. Nie oznacza to jednak, że zatrudniając kogoś na kontrakcie cywilnoprawnym nie powinieneś przestrzegać RODO. W końcu każdy pracownik jest osobą fizyczną, a o takie podmioty chodzi ustawodawcy unijnemu.

RODO przy zatrudnianiu nowego pracownika – jakie są zasady przetwarzania?

Zanim przejdziemy do samego katalogu danych osobowych wymaganych od kandydatów, warto wskazać na zasady, jakimi powinieneś kierować się w czasie zatrudniania. Przyswojenie sobie tych reguł pozwoli Ci zrozumieć istotę przetwarzania danych i cel do jakiego dążył prawodawca unijny wprowadzając RODO w życie.

Pierwszą zasadą, od jakiej należy wyjść, jest zasada legalności. Przetwarzanie danych musi odbywać się zgodnie z przepisami rozporządzenia, w sposób rzetelny, uczciwy i przejrzysty. Tak aby osoba, której dane są przetwarzane, była pewna, że szanujesz jej prawa i prywatność, oraz że będziesz to robił również po nawiązaniu stosunku pracy.

Kolejna jest zasada celowości. Wskazuje ona, że Twoim obowiązkiem jest przetwarzanie danych jedynie w ściśle określonym celu. Cel ten musi być konkretny, wyraźny i uzasadniony okolicznościami. Nie może być on abstrakcyjny, nie wolno pytać Ci o to, na jaką partię polityczną głosował kandydat, bo Ty jako kapitalista nie popierasz w żadnym stopniu socjalizmu. Wszystko musi być powiązane z konkretnym stanowiskiem, na jakie dana osoba aplikuje.

Z powyższą regułą jest skorelowana następna zasada – adekwatności. Przetwarzanie danych możliwe jest tylko w takim zakresie, w jakim jest to absolutnie niezbędne do osiągnięcia celu przetwarzania.

Z kolei zasada prawidłowości mówi, że możesz podejmować tylko działania, które będą dążyły do prawidłowego przetwarzania danych. Wszelkie procesy, które są nieprawidłowe w świetle celów ich przetwarzania, muszą zostać niezwłocznie naprawione lub w ostateczności usunięte.

Pozyskując dane musisz pamiętać również o zasadzie ograniczenia czasowego. Zgodnie z nią nie możesz przechowywać danych kandydatów i pracowników przez dłuższy czas, niż to jest niezbędne do celów przetwarzania. Oznacza to, że dane osobowe kandydata, który końcowo nie został zatrudniony, powinny zostać usunięte z Twojej bazy. W końcu jeżeli nie nawiązałeś z nim współpracy, informacje o nim nie powinny być Ci już potrzebne.

Ostatnimi zasadami są integralność i poufność. Chodzi tutaj o Twój obowiązek ochrony danych przed wyciekiem lub dostępem do nich osób nieupoważnionych. Musisz wdrożyć takie środki techniczne i organizacyjne, aby osoba, której dane są przetwarzane, była pewna tego, że informacje o niej nie zostaną upublicznione czy też wykorzystane przez osoby o nie do końca przyjacielskich zamiarach.

Jak wskazuje art. 5 RODO wszelkie czynności pracodawcy związane z pozyskiwaniem danych osobowych, a następnie z ich przetwarzaniem i przechowywaniem, należy oceniać z perspektywy wymienionych powyżej zasad. Pamiętaj o tym.

RODO przy zatrudnianiu nowego pracownika – o co wolno Ci pytać?

Znowelizowany Kodeks pracy wprowadza w art. 22¹katalog danych osobowych, których możesz żądać od osoby ubiegającej się o stanowisko w Twoim biurze rachunkowym. Warto tutaj nadmienić, że przepis ten mówi: „Pracodawca żąda od osoby ubiegającej się o zatrudnienie (…)”. Oznacza to, że masz prawo oczekiwać podania poniżej wskazanych danych osobowych, nawet jeżeli nie jest to konieczne w danym stanie faktycznym. Nawet jeśli data urodzenia kandydata nie jest Ci potrzebna do zatrudnienia, masz prawo o to zapytać.

Ustawodawca wskazał jednoznacznie, iż w czasie rekrutacji nie możesz pozyskiwać danych innych, niż te wskazane w omawianym przepisie. Co więcej, w niektórych wypadkach informacje te możesz pozyskiwać wyłącznie jeżeli jest to niezbędne do wykonywania przez pracownika oferowanego mu stanowiska.

Pracodawca ma prawo żądać od osoby aplikującej podania danych osobowych obejmujących:

imię (imiona) i nazwisko;
datę urodzenia;
dane kontaktowe;
wykształcenie;
kwalifikacje zawodowe;
przebieg dotychczasowego zatrudnienia.

Żądanie wskazania przebiegu zatrudnienia odnosi się jedynie do pozostawania przez kandydata w stosunku pracy, którego charakter jest niezbędny do wykonywania oferowanej pracy. Nie każde zajęcie ma związek z tą, o którą ubiega się kandydat. W Twoim wypadku masz prawo pytać wyłącznie o zatrudnienie związane z księgowością, prawem, podatkami czy finansami. Praca w charakterze kelnera czy kasjera wykonywana w czasie studiów przez kandydata nie powinna zbytnio Cię interesować.

Dodatkowo pamiętaj, że możesz pytać o wykształcenie, kwalifikacje zawodowe oraz przebieg dotychczasowego zatrudnienia wyłącznie wtedy, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku. Nie pozyskuj więcej informacji niż jest to konieczne. Rekrutacja nie jest rozmową towarzyską, nie wypada pytać o sprawy prywatne, nawet jeżeli kandydat nie ma problemu z przekazywaniem takich danych. Powyższe jest silnie akcentowane przez prawodawcę unijnego, który w RODO podkreśla ogromne znacznie zasady minimalizmu przetwarzania danych.

Czy możesz pozyskiwać inne dane?

Nie możesz żądać od kandydata podania danych wykraczających poza zakres, który został wskazany w poprzednim akapicie. Nie pytaj zatem o to czy jest on kawalerem lub panną, czy ma małżonka i dzieci. Naganne będzie również wypytywanie o wyznanie religijne, poglądy polityczne czy (o zgrozo) orientację seksualną i nastawienie do mniejszości seksualnych. Co bardzo ważne, nieuprawnione jest także pytanie wobec kobiety, czy jest w ciąży, nawet jeżeli brzuch ciążowy jest już widoczny. Nie ma ona obowiązku ujawniania tego fakt, o ile praca nie jest niedozwolona z uwagi na ochronę macierzyństwa. W przypadku księgowych, ten rodzaj pracy nie zagraża ciąży, więc zapomnij, że takie pytanie w ogóle istnieje. Jednocześnie na kandydacie spoczywa obowiązek przekazania dodatkowych danych, jeżeli na konkretnym stanowisku wymagane jest spełnienie określonych prawem wymogów. Może to być np. pytanie o niekaralność lub obywatelstwo. Ale w wypadku pracy w biurze rachunkowym prawo nie stawia takich dodatkowych wymagań.

Pamiętaj przy tym, że prawo do żądania podania przez osobę ubiegającą się o zatrudnienie określonych informacji o sobie nie tworzy po stronie kandydata obowiązku ich podania. Nie możesz tego kategorycznie wymagać. Zamiast tego poinformuj osobę ubiegającą się o stanowisko w Twoim biurze, że brak wskazania wymaganych danych będzie wiązało się z automatycznym odrzuceniem jego aplikacji w procesie rekrutacji.

Dodatkowe dane, a szczególne uprawnienia pracownicze

Kandydat z własnej woli może przekazać dane, które są niezbędne w przypadku chęci skorzystania przez niego (jako pracownika) ze szczególnych uprawnień. Dla przykładu, kobieta będąca w ciąży może zgłosić ten fakt, jeśli zamierza skorzystać z uprawnień związanych z posiadaniem dzieci. Inny kandydat może poinformować o posiadanym statusie osoby niepełnosprawnej oraz stopniu niepełnosprawności, jeżeli będzie chciał skorzystać z określonych dodatkowych świadczeń socjalnych. Mimo że informacje te mogą dotyczyć stanu zdrowia, nie będzie wymagana dodatkowa zgoda, gdyż jej przetwarzanie mieści się w interesie samego kandydata.

Pamiętaj jednak, że wszystko to są informacje, które mogą być podawane dobrowolnie. Nie możesz o nie pytać, nie możesz również sugerować, iż kandydat powinien je przekazać „dobrowolnie”, gdyż inaczej nie będzie mógł liczyć na pomoc socjalną.

Artykuł RODO przy zatrudnianiu nowego pracownika – o co może pytać pracodawca pochodzi z serwisu Portal biur rachunkowych.

Praca zdalna w biurze rachunkowym a ochrona danych osobowych

Fri, 02 Jun 2023 09:34:00 +0000

Jak pokazują ostatnie wyniki sondaży, praca zdalna jest idealnym rozwiązaniem dla pracowników. Nieco mniej optymistycznie podchodzą do niej już sami pracodawcy. Organizacja pracy przy takim systemie funkcjonowania firmy nie należy do najprostszych. Wymaga od pracodawcy nakładów finansowych na zakup laptopów i telefonów służbowych, organizowania regularnych i nierzadki spotkań wirtualnych. Wyzwaniem jest także zorganizowanie pracy podwładnych, aby efekty ich działania spajały się w jedną całość. Z drugiej strony, dla pracowników zatrudnienie online oznacza oszczędność czasu, komfortowe warunki pracy oraz większą elastyczność w działaniu. Do którego stanowiska nie byłoby nam bliżej, jedno przyznają wszyscy – praca zdalna z całą pewnością nie sprzyja ochronie danych osobowych. Jeżeli zdecydujesz się na taki system pracy w swoim biurze rachunkowym, musisz być świadomy zagrożeń jakie to za sobą niesie. Wszystkiemu można jednak zaradzić, podejmując zawczasu odpowiednie kroki.

Praca zdalna niesie za sobą nieporównywalnie więcej zagrożeń, niż ta wykonywana w systemie stacjonarnym w siedzibie biura. Największe ryzyko związane jest z danymi osobowymi. Nietrudno o wyciek danych, kiedy większość personelu biura może wykonywać swoje zadania w domu, w biurze wirtualnym, w kawiarni czy na „wczaso-wakacjach”. Będąc właścicielem biura rachunkowego, niezależnie czy zatrudniasz na podstawie umowy o pracę, czy na umowie zlecenie lub B2B, ponosisz odpowiedzialność za każde naruszenie RODO dokonane przez Twoich podwładnych. Odpowiedzialność ta jest naprawdę szeroka, a kary dotkliwe. Musisz zatem zadbać o to, aby praca zdalna Twoich pracowników przebiegała w sposób zgodny w wymogami rozporządzenia unijnego, a sami podopieczni wiedzieli jak dbać o powierzone im dane osobowe.

Czym są dane osobowe?

Abyś mógł prawidłowo zadbać o ochronę danych osobowych w czasie pracy zdalnej, musisz wiedzieć czym owe dane osobowe są. W niniejszym tekście przytoczę jedynie bardzo skompresowaną definicję tego pojęcia. Więcej natomiast możesz przeczytać w artykule „RODO – co jest, a co nie jest danymi osobowymi?”.

Przepis art. 4 ust. 1 RODO dane osobowe definiuje jako wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Z kolei możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować. W szczególności należy mieć na uwadze identyfikator taki jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

Rozporządzenie nie wprowadziło zamkniętego katalogu informacji, które należy uznawać za dane osobowe. Wszystko zależy zatem od konkretnej sytuacji i okoliczności. Popularne jest stwierdzenie, iż za dane osobowe powinno się traktować wszystkie przetwarzane informacje, jeżeli z całkowitą pewnością nie będziesz w stanie wykluczyć ich osobowego charakteru. Tak więc dla własnego bezpieczeństwa powinieneś szczególnie chronić informacje, jakie charakteryzują osoby fizyczne.

Warto jedynie wspomnieć, że RODO ustanowiło od powyższego jeden wyjątek. Mianowicie informacji o osobie fizycznej nie uważa się za umożliwiające określenie tożsamości, jeżeli ustalenie tożsamości wymagałoby nadmiernych kosztów, czasu lub działań. Jeśli zatem określona dana mogłaby wskazać na tożsamość jakieś osoby, jednak ustalenie tego wymagałoby np. użycia specjalistycznych technik używanych przez służby mundurowe, to możesz zrezygnować z ochrony takiej informacji. Nie jest ona daną w rozumieniu RODO.

Praca zdalna – co należy chronić?

Musisz pamiętać, że rola administratora danych nakłada na Ciebie szereg obowiązków związanych z ochroną danych osobowych osób fizycznych. RODO nie ogranicza się jednak wyłącznie do grupy „konsumentów”. Dane, które musisz zabezpieczyć obejmują informacje o klientach Twojej firmy, kontrahentach, współpracownikach i pracownikach. Oznacza to, że decydując się na pracę zdalną musisz zadbać nie tylko o informacje o osobach fizycznych przetwarzane przez zatrudnionych przez Ciebie księgowych, zabezpieczone muszą zostać również ich dane osobowe. Pracownicy muszą czuć się bezpiecznie, muszą wiedzieć, że zadbałeś o każdy szczegół związany ze sprzętem firmowym, serwerem czy stroną internetową Twojego biura. W innym wypadku praca zdalna będzie tylko dokładaniem kolejnego stresu, który w dzisiejszych czasach i tak zbyt mocno udziela się zatrudnionym w ich środowisku pracy. Nie dokładaj kolejnej cegiełki od siebie.

A jeżeli zastanawiasz się czy praca zdalna jest w ogóle możliwa w świetle omawianego rozporządzenia unijnego, to pozwól, że przytoczę stanowisko Prezesa Urzędu Ochrony Danych Osobowych. W swoim komunikacie wskazał on, że przepisy o ochronie danych osobowych nie mogą być stawiane jako przeszkoda w realizacji działań w związku z walką m.in. z pandemią, tym samym podjęcie właściwych działań ochronnych całkowicie jest w stanie zapewnić pracę zdalną zgodną z przepisami RODO. Oznacza to ni mniej ni więcej, że praca na odległość jest jednoznacznie zgodna z przepisami prawa. Musi być jednak wykonywana w poszanowaniu zasad i reguł dotyczących ochrony danych osobowych.

Więcej informacji na temat pracy zdalnej znajdziesz w Ustawie z dnia 1 grudnia 2022 r. (Dz. U. z 2023 r. poz. 240) o zmianie ustawy – Kodeks pracy oraz niektórych innych ustaw, która wprowadza do Kodeksu
pracy pracę zdalną, a także na stronie Ministerstwa Rodziny i Polityki Społecznej

Przede wszystkim regulamin

Tak jak wiele jest przedsiębiorstw i zatrudnionych w nich pracowników, tak wiele może pojawić się problemów związanych z ochroną danych osobowych. Można jednak wyodrębnić najczęściej poruszane kwestie, których zwalczenie będzie co najmniej dobrym startem w Twojej przygodzie z prawidłowym przetwarzaniem danych osobowych.

Przede wszystkim powinieneś zadbać o sporządzenie regulaminu RODO Twojego biura rachunkowego. Należy określić w nim wszelkie zasady, jakimi powinna kierować się firma oraz każdy księgowy z osobna, aby dane osobowe pozyskiwane przez Twoje biuro były bezpieczne. Regulamin pracy nie oznacza, że wyłącznie pracownicy stacjonarni są obowiązani do jego przestrzegania. Również ci, którzy wykonują swoje zadania w domu na kanapie muszą stosować się do Twoich wskazówek.

Polityka bezpieczeństwa danych osobowych powinna przede wszystkim zawierać instrukcje zarządzania systemami, metodykę dotyczącą dbania o bezpieczeństwo dokumentacji, czystości biurka, zabezpieczenia dysku twardego komputera oraz dysków przenośnych, a także procedury zgłaszania incydentów i wycieku danych. Warto zadbać także, aby regulamin zawierał „życiowe” wskazówki jak dbać o dane osobowe w miejscach publicznych czy w czasie drogi z firmy do domu i z domu do firmy. Uświadomienie podwładnym tak – zdawać by się mogło – błahych rzeczy, może w rzeczywistości uchronić Cię przed bardzo poważnym wyciekiem informacji.

Ustal sztywne godziny pracy zdalnej

Jednym z częściej popełnianych błędów w kontekście pracy zdalnej jest brak ustalenia sztywnych godzin pracy i pozwolenie pracownikom na wykonywanie swoich zadań kiedy mają na to czas. Z punktu widzenia ochrony danych osobowych to bardzo niebezpieczna praktyka. Jeżeli nie stać Cię na utrzymywanie inspektora danych osobowych oraz działu IT 24 godziny na dobę, to radzę szybko zmienić swój system pracy. Pracownicy zdalni muszą mieć stały dostęp do pomocy technicznej. Bez tego w razie wycieku danych osobowych, np. przez utratę laptopa służbowego czy „rozszczelnienia” serwera, nie będzie nikogo, kto mógłby zminimalizować straty (np. zablokować skradzione urządzenie).

Księgowi pracujący zdalnie powinni mieć ustalone godziny pracy zbieżnie z godzinami obsługującego Twoje biuro programisty, tak aby w przypadku popełnienia przez nich jakiegoś błędu, informatyk mógł błyskawicznie zareagować.

Bezpieczne korzystanie ze sprzętu służbowego

Praca zdalna będzie niemożliwa bez odpowiedniego sprzętu służbowego. Oczywiście sprzęt ten powinien być zakupiony przez Ciebie. Po pierwsze nieetycznym byłoby nakazywanie swoim pracownikom inwestowanie w nowe laptopy i telefony komórkowe, a po drugie tylko będąc właścicielem sprzętu będziesz mógł ingerować w to, co na takim urządzeniu się znajduje.

Komputery, tablety i telefony wydawane pracownikom powinny być prawidłowo zabezpieczone. Podstawą jest ustawienie haseł dostępowych do urządzeń, ustawienie w nich szyfrowania danych, założenie służbowych skrzynek email, a także zadbanie o dedykowane serwery firmowe. Idealnym rozwiązaniem byłoby zapewnienie własnego serwera ustawionego w siedzibie firmy. Niemniej jednak aktualne usługi hostingowe są na równi bezpieczne. Wiążą się jednak z koniecznością angażowania w przetwarzanie danych podmiotów trzecich. W takim wypadku nie dość, że będziesz musiał zawrzeć umowę powierzenia danych, to dodatkowo będziesz odpowiadał za błędy usługodawcy w przypadku wycieku danych. Więcej o odpowiedzialności administratora danych i podmiotu przetwarzającego pisałem w artykule „Administrator danych osobowych a podmiot przetwarzający – jaka jest ich odpowiedzialność?”

Musisz także zadbać o to, aby Twoi pracownicy wiedzieli jak obchodzić się ze swoim sprzętem. Oczywiście nie powinni oni dopuścić do zgubienia powierzonego im laptopa czy telefonu, ale nie tylko w taki sposób może dojść do upublicznienia cudzych danych osobowych. Wyciek danych może mieć przecież równie dobrze charakter online. Zainstalowanie nieautoryzowanego programu na urządzeniu może wiązać się z wprowadzeniem do całego systemu firmy wirusa, który przechwyci dane z serwera. W związku z tym powinieneś zadbać, aby na firmowych sprzętach zablokowana została możliwość instalowania zewnętrznych aplikacji. Dobrym pomysłem jest także regularne sprawdzanie urządzeń pod względem aktualności systemu oraz oprogramowania antywirusowego.

Jak zabezpieczyć sprzęt w trakcie pracy zdalnej przeczytasz w artykule Ochrona sprzętu służbowego a RODO.

Naucz księgowych odpowiedzialnego korzystania ze sprzętu firmowego

Nic nie da zabezpieczenie laptopa służbowego, jeżeli księgowy nie będzie potrafił z niego racjonalnie i odpowiedzialnie korzystać.
Najczęstszym błędem popełnianym przez członków biura jest nierozważne używanie skrzynek mailowych. Ostrzeż swoich podwładnych, aby nie otwierali podejrzanych wiadomości od nieznanych nadawców, dokładnie sprawdzali do kogo wysyłają korespondencję, szyfrowali wiadomości zawierające dane osobowe czy nie przesyłali loginów z hasłami dostępowymi w jednym mailu.

Niezwykle istotne jest także umiejętne korzystanie z opcji programu obłuskującego skrzynki wirtualne przy korespondencji masowej. Niezgodne z RODO będzie wysyłanie wiadomości do wielu adresatów, kiedy są oni wprowadzeni w polu jawnym („DO”). Adres poczty email jest daną osobową, zatem wysłanie korespondencji, w której każdy z adresatów może zobaczyć dane innych podmiotów, stanowi wyciek danych. W takim wypadku należy stosować opcję ukrywania widoczności odbiorców wiadomości, tj. ustawienie ich w polu „UDW”.

Poza tym nie zawsze przejęcie systemu przez hakera będzie prowadziło do upublicznienia danych osobowych. Wystarczy, aby księgowy korzystał z laptopa lub telefonu służbowego w miejscu publicznym, w taki sposób, że każdy może sprawdzić co jest akurat wyświetlane na ekranie urządzenia. Szczególnie groźne jest wykonywanie swojej pracy w miejscach do tego w ogóle nieprzystosowanych, jak np. w parku czy kawiarni. W takich okolicznościach każdy spacerujący czy gość lokalu może sprawdzić komu np. wystawiłeś fakturę lub z kim podpisałeś bardzo ważny kontrakt. Lepszym wyjściem jest wybór biurka czy kanapy usytułowanej w domu pracownika. Tam z całą pewnością dane osobowe Twoich klientów będą bezpieczniejsze.

A co z dokumentami papierowymi?

Niewiele się już o nich mówi, czy nawet myśli, ale papier jest również nośnikiem danych osobowych i on również może przyczynić się do wycieku informacji wrażliwych – szczególnie w Twoim fachu. W związku z tym powinieneś wprowadzić w swoim biurze rachunkowym zasadę, zgodnie z którą Twoi pracownicy będą mieli obowiązek zgłaszania Tobie lub swoim bezpośrednim przełożonym wszelkich czynności związanych z wynoszeniem dokumentacji poza siedzibę biura. Warto wprowadzić zakaz kopiowania lub skanowania dokumentacji rachunkowej w punktach ksero oraz drukowania takich dokumentów poza siedzibą biura. Powinieneś także zadbać, aby wszelka „niepotrzebna” już dokumentacja nie lądowała w śmietnikach, a w niszczarce firmowej. Wiązało się to będzie z koniecznością dostarczania przez pracowników pism wydrukowanych w domu do siedziby firmy, ale z całą pewnością lepsze to, niż ogromna kara finansowa nałożona przez Prezesa Ochrony Danych Osobowych.

Artykuł Praca zdalna w biurze rachunkowym a ochrona danych osobowych pochodzi z serwisu Portal biur rachunkowych.

Ochrona służbowego sprzętu

Mon, 01 May 2023 08:17:25 +0000

Nie ma najmniejszych wątpliwości – za zapewnienie odpowiedniego sprzętu do wykonywania obowiązków księgowych w Twoim biurze rachunkowym odpowiedzialny jesteś Ty – jako pracodawca. Nie jest niczym niezwykłym, że nowy pracownik już pierwszego dnia otrzymuje służbowy laptop i telefon komórkowy. Takie rozwiązanie jednak niesie za sobą wiele niebezpieczeństw. I nie chodzi tu o to, że poniesiesz dodatkowe koszty, gdy księgowy zaleje kawą nowy laptop. Chodzi bardziej o to, że nierzadko zatrudnieni nieodpowiednio używają sprzętów firmowych, przez co narażają biuro na wyciek danych wrażliwych, co z kolei może skutkować nałożeniem wysokich kar administracyjnych. Ochrona służbowego sprzętu powinna być zatem priorytetem dla każdej osoby, która takowy otrzymała od pracodawcy.

RODO jest aktem, który „nie bierze jeńców”. Przedmiot ochrony jest naprawdę szeroki, a podmiotem odpowiedzialnym w myśl jego przepisów może być niemal każdy. Ochroną danych osobowych klientów i kontrahentów biura rachunkowego przejmować muszą się nie tylko administratorzy danych czy podmioty przetwarzające. Tak naprawdę odpowiedzialni są wszyscy ci, którzy mają cokolwiek wspólnego z informacjami określającymi osoby fizyczne. Powinni o tym pamiętać pracownicy, którzy otrzymali firmowy sprzęt – niemal każdy numer telefonu, adres email, wizytówka, umowa czy plik excela znajduje się pod szczególną ochroną RODO. Jeżeli zatem prowadzisz biuro, ochrona służbowego sprzętu powinna być dla Ciebie priorytetem. Koniec końców to na Tobie spoczywa największa odpowiedzialność – to pracodawca odpowiada za działania swoich pracowników.

Znamienny jest przy tym fakt, że pracodawcy uważają, że jeżeli pracownicy nie zabierają komputerów służbowych do domu, to dane osobowe są całkowicie bezpieczne przed ich wyciekiem. Błąd! Jeżeli pracownicy korzystają ze smartfonów, w których są w stanie odczytać służbową pocztę, to znaczy, że wraz z telefonami wynoszą oni poza obszar firmy dane osobowe współpracowników, klientów i kontrahentów, które są szczególnie chronione przez prawodawcę unijnego, a które w łatwy sposób mogą ulec utraceniu.

Ochrona służbowego sprzętu – czy każde urządzenie podlega pod RODO?

Nie możemy generalizować, nie każdy wydany pracownikowi sprzęt będzie automatycznie podlegał pod przepisy RODO. Będzie to jednak przeważająca większość przypadków. Wystarczy bowiem, aby telefon lub laptop na swoim dysku posiadał jakiekolwiek informacje mogące identyfikować jakąkolwiek osobę fizyczną. Zatem jeśli na telefonie znajdują się dane osobowe osób trzecich (osób fizycznych), takie urządzenie musi zostać zabezpieczone zgodnie z przepisami rozporządzenia.

Nie potrzeba wiele, aby dana informacja została uznana za daną osobową. Z danymi, które zgodnie z RODO podlegają szczególnej ochronie, księgowi stykają się w naprawdę wielu sytuacjach, np. podczas rozliczania deklaracji podatkowych, zapisywania kontaktów w telefonie, pisania e-maili, smsów czy publikując posty na portalach społecznościowych. Nie inaczej będzie przy przetwarzaniu umów czy oświadczeń, których stroną jest klient będący osobą fizyczną (również osobą prowadzącą jednoosobową działalność gospodarczą). Czym dokładnie są dane osobowe pisaliśmy już w artykule „RODO – co jest, a co nie jest danymi osobowymi?” – z niego dowiesz się wszystkiego na temat informacji będących pod szczególną ochroną RODO.

Sprzęt służbowy używany do celów prywatnych

Dosyć popularne, zwłaszcza w mniejszych biurach rachunkowych, jest używanie sprzętu służbowego również do celów prywatnych. Nie zdziwi pewnie nikogo, że najczęściej telefony i laptopy trafiają do pracowników zaraz po ich zakupie. Nie przechodzą wcześniej przez ręce informatyka, który zadbałby o właściwą ochronę sprzętu. Takie działanie jest szczególne niebezpieczne. Nie należy dopuszczać, aby dane prywatne mieszane były z danymi pozyskanymi w czasie wykonywania obowiązków służbowych.

Nie jest nigdzie w RODO napisane jakie czynności techniczne należy podjąć, przed przekazaniem księgowemu urządzenia służącego do pracy. Nie jest zatem zakazane użytkowanie takiego sprzętu również do celów prywatnych. Jest to jednak bardzo niewskazane z punktu widzenia ochrony danych osobowych. Po pierwsze, telefon czy laptop, który może być używany prywatnie zazwyczaj nie posiada jakichkolwiek blokad niepozwalających na instalacje obcych aplikacji. Nie trzeba przy tym wiele, aby dane przetrzymywane na danym urządzeniu trafiły w niepożądane ręce. Głośno było o aferach z przechwytywaniem danych dokonywanym przez aplikacje takie jak TikTok (Chiny) czy Telegram (Rosja). Są to bardzo popularne aplikacje i używanie ich na prywatnym sprzęcie jest względnie bezpieczne, w końcu przeciętny użytkownik smartfona nie trzyma na telefonie niczego, co mogłoby przydać się obcym państwom. Inaczej jest jednak, gdy na owym sprzęcie zainstalowana jest skrzynka mailowa obsługująca służbową korespondencje. Niektóre informacje w niepowołanych rękach mogą być naprawdę groźną bronią (patrz afera związana ze skrzynką Dworczyka).

Po drugie, mieszając dane służbowe z prywatnymi niekiedy nie trzeba podmiotu trzeciego, aby doszło do wycieku danych osobowych. Omyłkowe załączenie do prywatnej korespondencji zdjęcia dokumentacji rachunkowej klienta, zamiast zdjęcia kota czy też pozostawianie niezablokowanego laptopa w miejscu publicznym (np. uczelni czy kawiarni) z plikami służbowymi na pulpicie. Wszystko to w łatwy sposób będzie prowadziło do niedozwolonego upublicznienia danych osobowych.

Procedury pomocne przy ochronie danych osobowych

Przepisy rozporządzenia wskazują jedynie, że w przypadku używania urządzeń elektronicznych przy przetwarzaniu danych osobowych, biuro rachunkowe ma obowiązek zastosować odpowiednie techniczne i organizacyjne środki zabezpieczeń takich danych. Jak mają natomiast wyglądać owe „odpowiednie” zabezpieczenia musi ustalić samodzielnie administrator danych – czyli Ty.

Wszystko zależy od określonych okoliczności w jakich użytkowany jest sprzęt firmowy. Ostatecznie chodzi o to, aby nikt niepowołany nie miał możliwości odczytania danych z urządzenia i zidentyfikowania osób, których one dotyczą. Sprzęt musi być zabezpieczony w taki sposób, by m.in. przy kradzieży czy zagubieniu telefonu, czy laptopa służbowego niemożliwym było odczytanie danych, jakie zostały na nich zapisane.

W pierwszej kolejności powinieneś zatem zadbać o stworzenie odpowiedniej dokumentacji regulującej politykę prywatności Twojego biura rachunkowego oraz właściwie ją wdrożyć. Najlepszym sposobem będzie utworzenie regulaminu, w jakim wskażesz sposób korzystania z wszelkich urządzeń służbowych. Następnym krokiem będzie natomiast zadbanie, aby każdy z księgowych oraz pozostałych pracowników zapoznał się z ową dokumentacją. Możesz tego dokonać np. przy pomocy specjalnego szkolenia z RODO.

Regulamin w szczególności powinien nakazywać, aby realizacja obowiązków służbowych związanych z koniecznością przetwarzania danych osobowych była dokonywana wyłącznie przy pomocy służbowego laptopa i telefonu, a także zakazywać wykorzystywania sprzętu firmowego do celów prywatnych, w tym instalowania niezwiązanych z pracą aplikacji i programów oraz udostępniania urządzeń osobom trzecim czy pozostawiania ich bez nadzoru pracownika.

Ochrona służbowego sprzętu – jak prawidłowo go zabezpieczyć?

Przede wszystkim zabezpiecz wszystkie wydawane pracownikom urządzenia silnym hasłem. Silne hasło to takie, które wymaga dużych i małych liter, cyfr oraz znaków specjalnych. Nie wymagaj natomiast zbyt częstej zmiany haseł. Wprowadzi to tylko niepotrzebne zamieszane, konieczność częstego odzyskiwania zapomnianych haseł oraz wysokie prawdopodobieństwo zapisywania przez pracowników haseł na papierowych karteczkach, które będą umieszczane na sprzęcie lub w jego pobliżu. Możesz zastanowić się również nad urządzeniami, które są zabezpieczane odciskiem palca, biometrią twarzy lub pinem.

Warto wprowadzić do telefonów i laptopów opcje blokowania urządzenia przy nieudanych próbach logowania. Wygląda to w ten sposób, że np. po 5 nieudanych próbach wprowadzenia hasła urządzenie zostaje zablokowane i wyłącznie administrator może je odblokować. Niektóre urządzenia pozwalają również na włączanie opcji przywracania ustawień fabrycznych po określonych, nieudanych próbach logowania.

Włącz szyfrowanie dysków laptopów i pamięci telefonów. Pamiętaj, że szyfrowanie zostaje włączone dopiero po wyłączeniu urządzenia. Jego usypianie nic nie pomoże, gdyż w takim stanie klucze szyfrujące pozostają nadal w pamięci urządzenia.

Powinieneś również korzystać wyłącznie z urządzeń, które pozwalają je namierzyć. W przypadku zgubienia lub kradzieży będziesz miał możliwość szybkiego zlokalizowania sprzętu, co pozwoli Ci na natychmiastową reakcję i uniemożliwienie wycieku danych osobowych twoich klientów.

Zainstaluj także na urządzeniach służbowych odpowiednie oprogramowanie antywirusowe. Z całą pewnością zmniejszy ono ryzyko zainfekowania urządzenia złośliwym oprogramowaniem.

Co grozi za utracenie danych?

Utrata danych osobowych to poważna sprawa. Przy wysokim kalibrze wyrządzonej tym szkody, kara finansowa może być naprawdę dolegliwa. Dodatkowo, ciąży na Tobie obowiązek poinformowania wszystkich osób (również klientów), których dane wyciekły o tym fakcie. Taka okoliczność z całą pewnością zmniejszy ich zaufanie do Twojego biura rachunkowego. Nawet jeżeli nie otrzymasz kary pieniężnej, to na pewno zaboli Cię odpływ klientów oraz niepochlebne opinie na temat Twojego biura rachunkowego np. na Google.

Pamiętaj przy tym, że przy utracie danych osobowych przez księgowe zatrudnionego u Ciebie to nie on poniesie odpowiedzialność, a administrator danych, którym w praktyce zazwyczaj jest właściciel biura. Oznacza to, że powierzenie przetwarzania danych osobowych pracownikowi w ogóle nie zwalnia Cię z odpowiedzialności.

W razie naruszenia przepisów rozporządzenia, m.in. przy niezgłoszeniu wycieku danych albo przy zbyt późnym zgłoszeniu, możesz otrzymać karę finansową w wysokości do 10 milionów euro lub do 2% wartości całkowitego rocznego światowego obrotu firmy z poprzedniego roku obrotowego. W przypadku większych i groźniejszych przewinień PUODO (Prezes Urzędu Ochrony Danych Osobowych) ma prawo nałożyć karę nawet do 20 milionów euro lub do 4% wartości rocznego światowego obrotu przedsiębiorstwa.

Wyżej wskazane kary mają charakter kar maksymalnych, do tej pory nikt na świecie jeszcze takich nie otrzymał, jednak nawet niższe sankcje (np. liczone w tysiącach) również mogą zaboleć. Zamiast liczyć na dobrą wolę UODO, lepiej zadbaj, aby nigdy nie doszło do utraty danych osobowych.

Artykuł Ochrona służbowego sprzętu pochodzi z serwisu Portal biur rachunkowych.

Administrator danych RODO a podmiot przetwarzający – jaka jest ich odpowiedzialność?

Thu, 27 Apr 2023 17:50:08 +0000

Ochrona danych osobowych od 2018 roku stanowi nieodzowny element każdego przedsiębiorstwa. Zatem jako właściciel biura rachunkowego masz obowiązek szczególnej ochrony wszelkich informacji dotyczących swoich klientów będących osobami fizycznymi. Najważniejszym podmiotem w całej tej procedurze jest administrator danych RODO, jednak w przeważającej ilości przypadków ów administratorem jest właśnie przedsiębiorca, co sprawia, że to na nim spoczywa niemal cały ciężar związany z przetwarzaniem danych osobowych. Tym bardziej, że administrator jest odpowiedzialny nie tylko za swoje działanie, ale również za zachowanie innych podmiotów, m.in. tzw. podmiotów przetwarzających.

Administrator danych RODO – kto to?

W przepisie art. 4 pkt 7 RODO wskazuje, iż administratorem danych jest osoba fizyczna, osoba prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie bądź wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Nie jest zatem tak, że to właściciel firmy zawsze będzie pełnił funkcję administratora, ale powiedzmy sobie szczerze, kto prowadząc jednoosobową, małą lub średnią firmę pozwoli sobie na zatrudnienie dodatkowej osoby odpowiedzialnej wyłącznie za przetwarzanie danych. Dlatego też jeśli prowadzisz jednoosobowe lub małe, zatrudniające kilku księgowych, biuro rachunkowe funkcja administratora danych przypada właśnie Tobie.

Administrator danych odpowiada za sprawowanie władztwa nad przetwarzanymi danymi. Nie chodzi jednak o każde posiadanie danych. Musi się ono wiązać z faktyczną kontrolą nad przetwarzaniem danych, czyli decydowaniem o celach i sposobach przetwarzania. Jak wskazuje jednolite stanowisko sądów administracyjnych, administratorem jest ten, kto decyduje o celach i środkach przetwarzania, przy czym zasadnicze znaczenie ma rodzaj i charakter nadanych przez prawo kompetencji z zakresu spraw publicznych.

Aby można było mówić o administratorze danych, musi on być kompetentny do samodzielnego podejmowania decyzji w przedmiocie ustalania celów i sposobów przetwarzania danych. Za cel uznaje się określone wartości, dla urzeczywistnienia których dochodzić będzie do przetwarzania danych osobowych. Z kolei pojęcie sposobów przetwarzania danych oznacza dokonywanie wyboru technicznych sposobów przetwarzania danych. Oznacza to, że jako administrator danych osobowych musisz samodzielnie decydować o tym, dla realizacji jakich celów dochodzić będzie do przetwarzania zgromadzonych przez Twoje biuro rachunkowe danych osobowych oraz w jaki sposób to przetwarzanie będzie następowało.

Obowiązki administratora danych RODO

Do Twoich obowiązków – jako administratora – należy wdrażanie odpowiednich środków technicznych i organizacyjnych, dzięki którym przetwarzanie danych będzie odbywało się zgodnie ze wszystkimi zasadami RODO. Chodzi tu zatem o takie środki, które zagwarantują trwałą i pewną ochronę przetwarzanych w Twoim biurze rachunkowym danych osobowych osób fizycznych. Dane muszą być przetwarzane przy uwzględnieniu charakteru, zakresu, kontekstu i celów przetwarzania oraz ryzyka naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze.

Ważne! Ochrona RODO dotyczy również danych osobowych Twoich klientów, którzy prowadzą jednoosobową działalność gospodarczą. Więcej o tym przeczytasz w artykule RODO i dane osobowe

W praktyce, jako administrator, masz obowiązek w szczególności zabezpieczyć pozyskane dane osobowe przed ich:

utratą, udostępnieniem osobom nieupoważnionym lub zabraniem przez osobę nieuprawnioną;
uszkodzeniem lub zniszczeniem;
przetwarzaniem z naruszeniem przepisów RODO lub ustaw szczególnych;
zmianą.

Do Twoich obowiązków należy również prowadzenie dokumentacji opisującej sposób przetwarzania danych, np. sporządzenie i aktualizowanie regulaminu przetwarzania oraz polityki prywatności. Musisz sprawować kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane, a także zapewnić, że do przetwarzania danych zostaną dopuszczone wyłącznie osoby posiadające stosownie upoważnienie. Z tym związane jest również ewidencjonowanie osób upoważnionych do przetwarzania zebranych danych.

Podmiot przetwarzający – kto to?

Jak wskazuje art. 4 pkt 8 RODO podmiot przetwarzający oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu administratora. Przetwarzanie, o którym jest mowa w tym przepisie, należy rozumieć bardzo szeroko. W jego zakres wchodzi m.in. przechowywanie, utrwalanie, organizowanie, modyfikowanie, przeglądanie, udostępnianie, niszczenie czy usuwanie danych osobowych.

Status podmiotu przetwarzające jest niezależny w stosunku do administratora danych. W związku z tym powierzenie przetwarzania danych stanowi swoiste przekazanie władztwa nad określonymi operacjami przetwarzania danych osobowych przez administratora danych. Powinieneś przy tym pamiętać, że takie przetwarzanie danych przez podmiot trzeci zawsze będzie odbywało się w imieniu administratora danych, a co za tym idzie będziesz za to odpowiedzialny, tak jak za swoje działanie.

Przykład z życia:

W Twoim wypadku takim podmiotem przetwarzającym może być firma kurierska, której przekazujesz dokumentację księgową, wysyłając ją do klienta. Może być to także programista, który czuwa nad komputerami w Twoim biurze rachunkowym czy firma udostępniająca miejsce na serwerze, na którym przetrzymujesz dokumentację swoich klientów. Podmiotem przetwarzającym będzie również firma przeprowadzająca audyt w Twoim biurze, jak również doradca podatkowy, z którym współpracujesz.

Administrator danych RODO a podmiot przetwarzający

Wiesz już, że podmiot przetwarzający z jednej strony jest autonomiczną jednostką w kwestii przetwarzania danych, z drugiej jednak strony odpowiada on przed administratorem za dane, które zostały mu powierzone. Wynika z tego, że podmiot przetwarzający przy wykonywaniu swoich obowiązków, powinien wdrożyć takie same lub bardziej restrykcyjne środki techniczne i organizacyjne przy przetwarzaniu przekazanych danych osobowych.

Tym, co różni oba te podmioty jest także kwestia tego, kto decyduje o celach i środkach przetwarzania danych osobowych. Podmiot przetwarzający przetwarza dane na polecenie administratora i przekazane mu przez administratora, tym samym musi się ono zgadzać z celami określonymi przez tego drugiego.

Tak skonstruowane przepisy rozporządzenia unijnego każą uważać, iż ustalenie celów przetwarzania danych osobowych są domeną administratora danych. Z kolei kwestia decydowania o środkach przetwarzania będzie już należała do decyzji podmiotu przetwarzającego. To podmiot przetwarzający decyduje o rodzaju systemów zabezpieczających powierzone dane osobowe czy oprogramowania wykorzystywanego do przetwarzania tych danych.

Jak wybrać podmiot przetwarzający?

Na wstępie od razu podkreślę, iż to Ty – jako administrator – odpowiadasz za wybór podmiotu przetwarzającego. RODO daje wyłącznie wskazówki jakie kryteria obrać przy tym wyborze. Nie będziesz mógł jednak się bronić przepisami rozporządzenia w przypadku gdy wybrany przez Ciebie podmiot postąpi wbrew prawu i przez jego działanie upublicznione zostaną dane osobowe Twoich klientów.

RODO wskazuje, iż administrator może korzystać jedynie z usług takich podmiotów, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych oraz posiadają wystarczającą wiedzę fachową, wiarygodność i zasoby, by przetwarzanie spełniało wymogi ochrony danych osobowych.

To nakłada na Ciebie obowiązek uprzedniego zbadania czy podmiot przetwarzający jest w stanie spełnić takie wymogi. Niezależnie jaki środek kontrolny wybierzesz, musisz być w stanie wykazać, że dokonałeś właściwego i pełnego zbadania stosowanych przez podmiot przetwarzający środków organizacyjnych i technicznych.

Umowa powierzenia – obowiązkowo

Decydując się na powierzenie danych osobowych innemu podmiotowi, a będzie tak zawsze gdy Twoje biuro rachunkowe będzie korzystało z usług firmy kurierskiej, przedsiębiorstwa audytorskiego czy każdej innej firmy outsourcingowej, masz obowiązek zawrzeć z takim podmiotem umowę o powierzenie przetwarzania danych osobowych.

Przepis art. 28 RODO nakłada na administratora obowiązek kontrolny. W końcu w przypadku wycieku danych osobowych z winy podmiotu przetwarzającego, to na Tobie spocznie odpowiedzialność za to zdarzenie na równi z przetwarzającym dane. Przed zawarciem umowy powinieneś przekazać podmiotowi trzeciemu specjalny kwestionariusz pytań dotyczących kwestii stosowania odpowiednich środków technicznych i organizacyjnych zapewniających zgodność jego działań z przepisami RODO. To powinno wystarczyć na start. Jednak już po podpisaniu umowy masz prawo do przeprowadzenia kontroli w siedzibie podmiotu przetwarzającego. Rozporządzenie nie określa jednak jak taki audyt powinien wyglądać. Kwestie te powinna zatem określać sama umowa powierzenia.

Artykuł Administrator danych RODO a podmiot przetwarzający – jaka jest ich odpowiedzialność? pochodzi z serwisu Portal biur rachunkowych.

RODO i dane osobowe

Wed, 19 Apr 2023 09:56:21 +0000

Prowadząc biuro rachunkowe na co dzień masz do czynienia z przetwarzaniem informacji o różnych osobach i podmiotach. Mogą one dotyczyć Twoich pracowników, współpracowników, klientów czy kontrahentów. Nie wszystkie informację jednak są danymi osobowymi chronionymi przez RODO. Rozporządzenie unijne zabezpiecza bowiem jedynie te dane, które służą do zidentyfikowania osoby fizycznej. Postaram się zatem wyjaśnić kiedy będziesz miał do czynienia z danymi osobowymi.

RODO zagościło w Polskim porządku prawnym już w 2018 roku, mimo to w dalszym ciągu wielu przedsiębiorców, w tym również biura rachunkowe, przetwarzają dane osobowe swoich klientów i pracowników bez zrozumienia istoty tego, co tak naprawdę europejski ustawodawca nakazał chronić. Wrzucanie klauzul dotyczących ochrony danych do każdej możliwej umowy czy oświadczenia nie jest dobrym sposobem na spełnienie swojego obowiązku. Aby jednak móc wdrożyć właściwe rozwiązania w swoim biurze, lub też je odpowiednio zmodyfikować, powinieneś wiedzieć jak właściwie rozpoznawać dane osobowe.

Jak RODO definiuje dane osobowe?

Pomimo tego, że całe rozporządzenie dokładnie i wyczerpująco zajmuje się ochroną i przetwarzaniem danych osobowych, to sama definicja danych osobowych nie jest już taka obszerna i drobiazgowa. Przepis 4 ust. 1 RODO wskazuje jedynie, że ,,dane osobowe” oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”). Osoba fizyczna możliwa do zidentyfikowania to taka, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora, takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

Pojęcie „danych osobowych” jest tak rozległe i nie zawsze oczywiste, że trudno byłoby skonstruować szczegółową definicję o charakterze generalnym. Ustawodawca nie zdecydował się również na określenie zamkniętego katalogu, wskazując jedynie przykłady informacji, które w odniesieniu do osób fizycznych są ich danymi osobowymi. Oznacza to, że za daną osobową można uznać każdą informację o danej osobie fizycznej, jeśli na jej podstawie istnieje możliwość jej jednoznacznego zidentyfikowania.

W związku z niejednoznacznym rozumieniem danych osobowych w doktrynie pojawiło się stanowisko, zgodnie z którym podmioty przetwarzające powinny traktować wszystkie przetwarzane informacje jako dane osobowe, jeżeli nie mogą z całkowitą pewnością wykluczyć ich osobowego charakteru. Oznacza to, że dla prawidłowego stosowania przepisów RODO, w sytuacji niepewności powinieneś przyjąć domniemanie istnienia danych osobowych.

W jaki sposób powinieneś chronić dane osobowe w Twoim biurze? Możesz przeczytać o tym w naszym artykule RODO dla księgowych i biur rachunkowych.

Jakie elementy świadczą o danej osobowej?

Rozporządzenie unijne nie zawiera zamkniętego katalogu informacji, które należy uznawać za dane osobowe. Jak zatem masz wiedzieć kiedy stosować przepisy RODO? Ustawodawca wskazał na przesłanki, które spełnione łącznie wskazują, iż mamy do czynienia z informacją podlegającą ochronie.

Po pierwsze, dana musi być informacją. Informację rozumiemy jako niematerialne dobro określające właściwość pewnych obiektów oraz relację między elementami zbiorów pewnych obiektów, której istotą jest zmniejszanie niepewności. Informacja może zostać wyrażona w dowolny sposób, poprzez tekst pisany, komunikat ustny czy też zwrot przekazany w formie elektronicznej. Dane osobowe najczęściej utrwalane są w formie słownej, np. imię i nazwisko, numerycznej, np. PESEL, NIP, nr dowodu osobistego lub biometrycznej, np. odcisk palca, skan twarzy.

Po drugie, taka informacja musi dotyczyć osoby fizycznej. Błędem jest stosowanie klauzul RODO w umowach zawieranych między osobami prawnymi czy jednostkami organizacyjnymi nieposiadającymi osobowości prawnej.

Po trzecie natomiast informacja musi pozwalać na jednoznaczne zidentyfikowanie osoby, której dotyczy. Informacja, aby mogła identyfikować osobę nie musi być zrozumiała dla każdego. W orzecznictwie nie budzi wątpliwości, że danymi osobowymi są również informacje, które zostały w trakcie przetwarzania zaszyfrowane, poddane tokenizacji albo zapisane w nietypowym formacie pliku.

W jaki sposób powinieneś sprawdzać dane osobowe?

Rozporządzenie nakłada na Ciebie, jako administratora danych, obowiązek, abyś wszelkie zapisane w nim zasady stosował do każdej informacji, która pozwala Ci na zidentyfikowanie określonej osoby fizycznej. Skąd jednak masz wiedzieć, czy konkretna dana pozwoli Ci na jednoznaczną identyfikację?

Z pomocą przychodzi preambuła RODO. Zgodnie z motywem 26, aby stwierdzić, czy dana osoba fizyczna jest możliwa do zidentyfikowania, powinieneś brać pod uwagę wszelkie rozsądnie prawdopodobne sposoby, w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej. Z kolei aby stwierdzić czy dany sposób może być z uzasadnionym prawdopodobieństwem wykorzystany do zidentyfikowania danej osoby, musisz wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebny do jej zidentyfikowania oraz uwzględnić technologię dostępną w momencie przetwarzania danych oraz przypuszczalny postęp technologiczny.

Nie musisz zatem stosować zasad RODO do informacji anonimowych, tj. danych, które nie wiążą się ze zidentyfikowaną lub możliwą do zidentyfikowania osobą fizyczną, ani do danych osobowych zanonimizowanych w taki sposób, że osób, których dane dotyczą, w ogóle nie da się – przy normalnych środkach i przy wykorzystaniu ogólnodostępnych narzędzi – zidentyfikować lub już nie można zidentyfikować. Jeśli masz do czynienia z danymi, które teoretycznie mogłyby prowadzić do identyfikacji osoby, jednak wymagałoby to posiadania ponadprzeciętnej wiedzy lub profesjonalnych umiejętności „szpiegowskich”, nie musisz się martwić. Zapisy rozporządzenia Cię nie dotyczą.

Dane osobowe wyłączone spod RODO

Wiesz już jakie informacje stanowią dane osobowe oraz w jaki sposób je rozpoznawać. Niekiedy jednak określone dane, mimo iż spełniają przesłanki wymagane przez RODO, tracą walor danych osobowych. Ustawodawca unijny uznał, że przepisy rozporządzenia nie będą miały zastosowania do danych osobowych przetwarzanych:

w ramach działalności nieobjętej zakresem prawa Unii Europejskiej;
przez państwa członkowskie w ramach wykonywania wspólnej polityki zagranicznej i bezpieczeństwa;
przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom;
przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze – chodzi tu o działalności o charakterze czysto osobistym lub domowym, czyli bez związku z działalnością zawodową lub gospodarczą. Przepisy rozporządzenia nie są stosowane do czynności związanych m.in. z dokonywaniem operacji na książkach adresowych znajdujących się w notatnikach czy komputerowych programach pocztowych oraz w telefonach komórkowych. Działalność osobista lub domowa polega w szczególności na korespondencji i przechowywaniu adresów, podtrzymywaniu więzi społecznych oraz działalności internetowej podejmowanej w ramach takiej działalności.

Co z przedsiębiorcami?

Kwestię przedsiębiorców będących osobami prawnymi, np. spółek prawa handlowego, załatwia motyw 14 RODO. Wskazuje on, że ochrona powinna mieć zastosowanie do osób fizycznych w związku z przetwarzaniem ich danych osobowych, niezależnie od ich obywatelstwa czy miejsca zamieszkania. Przepisy rozporządzenia nie obejmują natomiast przetwarzania danych osobowych dotyczących osób prawnych, w szczególności przedsiębiorstw będących osobami prawnymi, w tym danych o firmie i formie prawnej oraz danych kontaktowych osoby prawnej.

Musisz przy tym pamiętać, że informacje o osobie prawnej są czym innym, niż dane osób fizycznych funkcjonujących w obrębie osoby prawnej. Tak jak nazwa spółki czy adres jej siedziby nie znajduje się pod ochroną przepisów RODO, tak już imię, nazwisko czy PESEL prezesa zarządu tej spółki są danymi osobowymi chronionymi rozporządzeniem.
Obsługując zatem spółkę z o.o. czy spółkę akcyjną nie musisz się martwić danymi ściśle dotyczącymi tego podmiotu, jak jej nazwą, siedzibą, numerem telefonu czy adresem email. Powinieneś jednak zadbać, aby dane osób fizycznych, które są w spółce zatrudnione zostały właściwie zabezpieczone. Dla przykładu zagubienie listy płac pracowników obsługiwanego przez Twoje biuro rachunkowe przedsiębiorstwa będzie oznaczało wyciek danych w rozumieniu RODO. W takim wypadku Twoim obowiązkiem jest zgłosić to do odpowiednich organów oraz poinformować osoby „pokrzywdzone”.

Większy problem powstaje przy danych osób fizycznych prowadzących działalność gospodarczą. Co bowiem zrobić z osobami fizycznymi prowadzącymi jednoosobowe firmy, których dane są udostępniane za pośrednictwem CEIDG? Stanowisko mniejszościowe wskazuje, iż za wyłączeniem zastosowania RODO do danych osobowych osób fizycznych prowadzących działalność gospodarczą przemawia ratio legis motywu 14 rozporządzenia, którym jest wyłączenie zastosowania jego przepisów wobec danych osobowych wykorzystywanych szeroko do oznaczenia przedsiębiorców.

Powyższy pogląd nie jest jednak potwierdzony przez orzecznictwo. To bowiem stoi po drugiej stronie, zgodnie stwierdzając, iż RODO znajduje w całości zastosowanie do przetwarzania danych osobowych dotyczących osób fizycznych prowadzących działalność gospodarczą. Na gruncie rozporządzenia nie istnieją bowiem żadne podstawy do wyodrębniania danych osobowych osób fizycznych prowadzących działalność gospodarczą od osób fizycznych, które takiej działalności nie prowadzą. Za takim rozumieniem omawianych przepisów przemawia również brak użycia przez ustawodawcę unijnego zwrotu „przedsiębiorca”, a posługiwanie się wyłącznie określeniami „osoba prawna”, „podmiot gospodarczy” oraz „przedsiębiorstwo”. Opierając się zatem na wyrokach sądów możemy śmiało stwierdzić, że osoby fizyczne prowadzące jednoosobowe działalności gospodarcze są chronione omawianym rozporządzeniem. Dla Ciebie oznacza to, że ujawnienie nieuprawnionym podmiotom imienia i nazwiska, adresu siedziby czy telefonu do klienta, który prowadzi JDG będzie oznaczało naruszenie danych osobowych.

Artykuł RODO i dane osobowe pochodzi z serwisu Portal biur rachunkowych.

RODO dla księgowych i biur rachunkowych

Thu, 23 Mar 2023 17:04:05 +0000

Chcesz czy nie, prowadząc własne biuro rachunkowe, nawet takie w formie jednoosobowej działalność gospodarczej, stale będziesz miał do czynienia z danymi osób fizycznych podlegających pod ochronę RODO. Nawet jeśli obsługujesz wyłącznie spółki, rozliczając ich dokumenty natkniesz się na osoby fizyczne np. klientów tych firm. Musisz zatem zaprzyjaźnić się z zasadami ochrony danych i to jak najszybciej, bowiem każde naruszenie przepisów rozporządzenia może się dla Ciebie bardzo źle skończyć. RODO dla księgowych powinno stać się nieodzownym elementem pracy, o której musi pamiętać przez cały czas wykonywania swoich obowiązków.

RODO dla księgowych i biur rachunkowych prowadzących jednoosobową firmę nie będzie tak skomplikowane, jak w wypadku prowadzenia biura zatrudniającego pracowników. Jeżeli jesteś sam sobie szefem, a przy tym nie masz żadnych podopiecznych, odpada Ci stres związany z zachowaniem osoby zatrudnionej. Nie musisz jej szkolić z zasad ochrony danych osobowych, kontrolować jej działań w tej kwestii, a także odpowiadać za jej działanie w wypadku gdyby doprowadziła do utraty danych osobowych. Nie oznacza to jednak, że Ciebie nie obowiązują przepisy rozporządzenia unijnego. Jako przedsiębiorca również musisz zadbać, aby informacje o konsumentach nie trafiły w niepowołane ręce.

Jeżeli szukasz podstawy prawnej dotyczącej Twoich obowiązków związanych z ochroną danych osobowych, znajdziesz ją w Ustawie z dnia 10.05.2018 r. o ochronie danych osobowych

Księgowy a administrator danych

Przy przetwarzaniu danych osobowych największą odpowiedzialność ponosi administrator danych. RODO wskazuje, iż to na nim spoczywa obowiązek ustalenia oraz wdrożenia procedur zabezpieczających gromadzone dane. Rolą administratora jest zapewnienie zastosowania w przedsiębiorstwie takich środków technicznych oraz organizacyjnych, które zagwarantują trwałą i pewną ochronę przetwarzanych w nim danych. Musi on zadbać o stworzenie zasad ochrony danych i nadzorować administrowanie nimi.

Jeżeli prowadzisz jednoosobową działalność osobową, istnieje małe prawdopodobieństwo, że korzystasz z zewnętrznej firmy specjalizującej się w administrowaniu danych osobowych. Oznacza to, że owym administratorem u siebie w firmie jesteś Ty.

Będąc administratorem musisz dbać, aby wszystkie operacje wykonywane na danych osobowych były wykonywane zgodnie z obowiązującym prawem. W szczególności masz obowiązek zabezpieczyć wszelkie pozyskane informacje o osobach fizycznych przed ich:

utratą, udostępnieniem osobom nieupoważnionym lub zabraniem przez osobę nieuprawnioną;
uszkodzeniem lub zniszczeniem;
przetwarzaniem z naruszeniem przepisów RODO lub ustaw szczególnych;
zmianą.

Więcej na temat odpowiedzialności administratora danych osobowych przeczytasz w artykule Administrator danych osobowych a podmiot przetwarzający – jaka jest ich odpowiedzialność?

Czy prowadząc JDG musisz posiadać politykę prywatności?

Oczywiście, że musisz. To, że prowadzisz samodzielnie firmę nie zwalnia Cię z posiadania odpowiedniej dokumentacji. Nawet jeżeli nie prowadzisz strony internetowej, na której oferujesz swoje usługi, w siedzibie firmy musisz posiadać regulamin wskazujący na sposób przetwarzania danych osobowych oraz wdrożone u Ciebie w firmie procedury RODO. Wynika to z faktu, że każda osoba, której dane osobowe przetwarzasz, ma prawo zażądać okazania jej dokumentacji. Twoją politykę prywatności może skontrolować również klient, który powierza Ci przetwarzanie danych osobowych swoich klientów.

Oprócz wskazanej polityki prywatności, powinieneś także przygotować i prowadzić dodatkową dokumentację dotyczącą przetwarzania danych osób fizycznych. Jest to między innymi rejestr zbiorów danych osobowych. Powinieneś przechowywać w nim informacje o grupach podmiotów, których dane przetwarzasz (np. Twoi klienci będący osobami fizycznymi czy konsumenci będący klientami firm, które obsługujesz). Innym bardzo ważnym dokumentem, o jakim musisz pamiętać, jest upoważnienie do przetwarzania danych osobowych, które musi zostać wystawione osobie trzeciej, która może mieć kontakt z Twoją bazą danych. Będzie tak np. w przypadku przekazania laptopa służbowego serwisantowi. Wraz z upoważnieniem potrzebna Ci będzie ewidencja osób upoważnionych do przetwarzania danych osobowych.

Kolejnym ważnym dokumentem, bez którego nie powinieneś rozpoczynać współpracy z podmiotami zewnętrznymi, jest umowa o przekazaniu danych osobowych. Za każdym razem, gdy korzystasz z usług firm, którym przekazujesz dane swoich klientów (np. firmie kurierskiej, agencji marketingowe czy agencji IT) musisz mieć z nią podpisaną ową umowę. Wymóg ten wynika bezpośrednio z przepisów RODO.

Pamiętaj o regularnych aktualizacjach dokumentacji RODO

Sporządzona i wdrożona dokumentacja RODO w Twojej firmie nie będzie aktualna w nieskończoność. Przepisy dotyczące przetwarzania danych osobowych stale się zmieniają. Za przykład może posłużyć ostatnia duża nowelizacja w kwestii korzystania przez strony internetowe z plików cookies (ciasteczek). Wszelkie modyfikacje prawa wymagają od Ciebie wprowadzania zmian w Twojej dokumentacji.

Prócz zmian w prawie, miejsce mają również zmiany faktyczne w Twojej firmie. One także wymagają zaakcentowania w dokumentacji. Wprowadzenie nowego systemu informatycznego, zmiana systemu zabezpieczeń sprzętu służbowego czy chociażby zakup nowych sprzętów elektronicznych. Wszystko to sprawia, że dotychczasowa polityka prywatności traci swoją przydatność. Oczywiście nie w całości, ale są elementy, które na pewno należy poprawić. Musisz stale trzymać rękę na pulsie i reagować na wszelkie zmiany zarówno te prawne, jak i faktyczne.

RODO dla księgowych – jakich błędów nie popełniać?

Prócz stworzenia prawidłowej dokumentacji RODO oraz wdrożenia odpowiednich procedur zabezpieczających dane osobowe, ważne jest jeszcze pamiętanie o ochronie danych osobowych również w tych codziennych, najprostszych czynnościach służbowych. Poniżej wskażemy na kilka najczęstszych błędów, które mogą nieść za sobą poważne konsekwencje.

Korzystaj ze skrzynki mailowej właściwie

Bardzo często to nie system komputerowy zawodzi, a człowiek. Korzystając ze skrzynki e-mail musisz pamiętać o kilku prawidłowościach, które mogą uchronić Cię przed karą nałożoną przez UODO.

Pamiętaj, aby nigdy nie wysyłać wiadomości oraz załączników zawierających dane osobowe (np. faktur czy umów) bez ich szyfrowania. Wystarczy bowiem, aby program automatycznie uzupełnił pole odbiorcy przy jego wpisywaniu i poufne informacje mogą wylądować u innej osoby, niż zakładałeś. Wrażliwe dane powinny być zawsze zabezpieczane hasłem. Niemal każdy program komputerowy służący do pracy biurowej (np. Word, Acrobat Reader, WinRar) ma wbudowaną możliwość zabezpieczenia hasłem.

Niekiedy problem tworzą także grupowe korespondencje e-mail. Wysyłając wiadomości do wielu adresatów nie wprowadzaj adresów email w okienku „DO”. Wybór takiej opcji pozwoli odbiorcom wiadomości na zapoznanie się z adresami mailowymi innych osób. Pamiętaj, że adres e-mail, który zawiera imię i nazwisko stanowi daną osobową. Zawsze wybieraj okienko „UDW”. Ukrywając widoczność odbiorców wiadomości, żaden z nich nie będzie mógł się zapoznać z adresami pozostałych adresatów korespondencji.

Staraj się również dokładnie sprawdzać z kim korespondujesz. Nie ma teraz większego problemu, aby sprawdzić daną osobę czy firmę w google. Jeżeli jakiś podmiot nie pojawia się w wynikach wyszukiwania, istnieje duże prawdopodobieństwo, że wiadomość została wysłana przez oszusta. Nie ściągaj na swój dysk również załączników, które nie zostały sprawdzone programem antywirusowym. Prześwietlenie przez specjalistyczną aplikację pozwoli Ci uchronić się przez groźnym oprogramowaniem.

Nie wynoś danych z biura

Prowadzenie własnej działalności gospodarczej daje bardzo wiele swobody. Ty decydujesz kiedy, w jaki sposób i ile będziesz pracować. Możesz również wykonywać pracę z każdego miejsca na ziemi (o ile pozwala na to charakter twojego zlecenia i dostęp do Internetu).

Pracując jednak na dokumentach z ważnymi i wrażliwymi danymi, ryzykownym pomysłem jest częste „podróżowanie” z dokumentami czy wykonywanie pracy w miejscach publicznych. Każde wyniesienie danych z biura może się skończyć zgubieniem dokumentów lub ich kradzieżą. Przezorny zawsze ubezpieczony, lepiej zatem pracę wykonuje się wyłącznie w miejscu do tego przeznaczonym i właściwie zabezpieczonym.

Zadbaj o swój sprzęt elektroniczny

Rachunkowość przeszła już pełną elektronizację i digitalizację. Bardzo często księgowi zamieniają ciężkie i grube segregatory na serwery komputerowe. Jeżeli również jesteś jedną z takich osób, musisz właściwie zabezpieczyć swój sprzęt.

Przede wszystkim nie używaj tych samych urządzeń elektronicznych do pracy i celów prywatnych. Twój „służbowy” laptop i smartfon powinny pozostać takimi do samego końca. Używanie ich na co dzień nie jest dobrym pomysłem. Wiele popularnych aplikacji używanych do rozrywki szpieguje swoich użytkowników, a w sieci znajdziemy wiele „złośliwych” programów podszywających się pod te popularne programy. Chcesz ściągnąć oprogramowanie do obróbki zdjęć, aby móc pochwalić się swoją wakacyjną opalenizną wszystkim znajomym? Ok, masz tutaj program, który przechwyci wszystkie Twoje dane z dysku wraz z hasłami.

Używając urządzeń służbowych musisz chronić je nie tylko przed zagrożeniami wirtualnymi, ale także przed tymi występującymi w „realu”. Twój telefon, tablet, laptop czy komputer stacjonarny wymagają zabezpieczenia hasłem. Przy czym hasło to powinno być na tyle skomplikowane, aby żadna osoba postronna się go nie domyśliła. Hasło składające się z czterech zer albo słowo „admin” raczej się nie sprawdzi. Wiele nowych sprzętów ma zainstalowane rozpoznawanie odcisku palca lub twarzy. Dobrym pomysłem zetem będzie ustawienie wielopoziomowego zabezpieczenia np. odciskiem palca i hasłem lub pinem.

Twój telefon i laptop powinny mieć także ustawione szyfrowanie dysków. Dzięki temu w czasie, kiedy nie korzystasz z urządzenia, nikt inny nie będzie w stanie odczytać danych zapisanych w jego pamięci. Korzystaj również ze sprzętów, które pozwalają je namierzyć. W przypadku zgubienia lub kradzieży będziesz miał możliwość szybkiego zlokalizowania sprzętu, co pozwoli Ci na natychmiastową reakcję i uniemożliwienie wycieku danych osobowych twoich klientów.

Używaj niszczarki

Prowadząc firmę już na wstępie, jeszcze przed powieszeniem nad wejściem do lokalu szyldu firmy, powinieneś zainwestować w niszczarkę do papieru. Wyrzucanie niepotrzebnych dokumentów do śmietnika bez ich uprzedniego dokładnego zniszczenia jest wielkim błędem. Dane osobowe w dzisiejszych czasach są na wagę złota. Istnieją wielomilionowe firmy, których jedynym zadaniem jest gromadzenie danych osobowych, obracanie nimi i udostępnianie ich przeróżnym podmiotom. Posiadając imię, nazwisko, PESEL i adres zamieszkania nie jest problemem zaciągnięcie chwilówki czy zawarcie innej umowy, która może za sobą pociągać wysokie koszty. Pamiętaj zatem – zawsze używaj niszczarki, będziesz spał spokojniej.

RODO dla księgowych prowadzących jednoosobową firmę

Prawidłowe wdrożenie RODO do firmy nie jest prostą sprawą. Tym bardziej, że ustawodawca nie wskazał precyzyjnie jakie procedury należy wprowadzić, aby dane osobowe były bezpieczne. Bardzo przydane w takiej sytuacji będzie przeprowadzenie wstępnej analizy i oceny ryzyka przetwarzania i pozyskiwania danych osobowych. Pozwoli Ci to dokładnie określić jakie dane osobowe będziesz przetwarzał oraz w jakich celach będziesz tego dokonywał. Określisz także podstawę prawną, w oparciu o którą będziesz używał uzyskanych danych osobowych. Niezwykle istotne jest określenie ryzyka przetwarzania danych i poziom zabezpieczeń niezbędny dla prawidłowej ochrony danych.

Artykuł RODO dla księgowych i biur rachunkowych pochodzi z serwisu Portal biur rachunkowych.