Jakich danych nie wolno przetwarzać?

Jakich danych nie wolno przetwarzać? Kluczowe zakazy

Zrozumienie jakich danych nie wolno przetwarzać stanowi podstawę ochrony biznesu przed dotkliwymi konsekwencjami prawnymi. Nieświadome zbieranie informacji wrażliwych prowadzi do poważnych naruszeń w systemach firmowych. Zachęcam do zapoznania się z listą informacji podlegających absolutnej ochronie, aby uniknąć ryzyka finansowego i skutecznie zarządzać danymi osobowymi w organizacji.

Jakich danych nie wolno przetwarzać i dlaczego to tak ważne?

Temat ochrony prywatności bywa zawiły, a przepisy często budzą uzasadniony niepokój wśród przedsiębiorców i menedżerów. Warto wiedzieć, że odpowiedź na pytanie, jakich danych nie wolno przetwarzać, zależy od wielu nakładających się na siebie czynników prawnych oraz kontekstu prowadzonej działalności. Ogólna zasada mówi jasno: istnieją informacje tak głęboko dotykające naszej prywatności, że ich zbieranie jest odgórnie zabronione, chyba że spełni się bardzo rygorystyczne warunki.

Ale istnieje jeden konkretny rodzaj informacji, który większość z nas uważa za zupełnie niewinny, a jego nieświadome gromadzenie w firmie prowadzi wprost do gigantycznych konsekwencji. To wielkie ryzyko. Wyjaśnię ten mechanizm szczegółowo w sekcji dotyczącej praktycznych konsekwencji i kar poniżej.

Czego nie można przetwarzać - RODO i dane osobowe szczególnej kategorii

Przepisy wprowadzone w maju 2018 roku kategorycznie zakazują przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, a także przynależność do związków zawodowych.^[1] Zabronione jest również przetwarzanie danych genetycznych, biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej oraz danych dotyczących zdrowia, seksualności lub orientacji seksualnej. To tak zwane dane szczególnej kategorii - lub potocznie dane wrażliwe - które podlegają absolutnej ochronie i jasno precyzują, czego nie można przetwarzać rodo. Przepisy są bezwzględne. W mojej pracy z systemami CRM wielokrotnie widziałem, jak firmy zbierały te informacje zupełnie bezwiednie, na przykład w polach notatek tekstowych.

Dane biometryczne i genetyczne w codziennej praktyce

Dane biometryczne - i to zaskakuje wielu administratorów - obejmują cechy fizyczne, fizjologiczne lub behawioralne, które pozwalają na jednoznaczną identyfikację człowieka. Chodzi tu na przykład o wizerunek twarzy, strukturę siatkówki oka czy unikalny układ linii papilarnych. Powiedzmy sobie szczerze: instalacja czytnika linii papilarnych przy wejściu do biura, mająca ułatwić pracownikom rejestrację czasu pracy, jest zazwyczaj nielegalna. Znam to z autopsji. Sam kiedyś doradzałem firmie, która chciała wdrożyć taki system z czystej wygody. Moje ostrzeżenie uchroniło ich przed poważnymi konsekwencjami, bo naruszenie tego zakazu uderza w najgłębsze prawa pracowników.

Dane dotyczące zdrowia i orientacji seksualnej

Zakaz obejmuje wszelkie informacje o stanie zdrowia fizycznego lub psychicznego, w tym o korzystaniu z usług opieki zdrowotnej. Oznacza to, że pracodawca nie może domagać się od pracownika szczegółowych informacji o naturze jego choroby, a jedynie oficjalnego zaświadczenia o niezdolności do pracy. Co więcej, informacje o orientacji seksualnej czy życiu seksualnym są chronione równie restrykcyjnie. Zbieranie takich danych w celach profilowania marketingowego jest zabronione. Kropka. Nie ma tu miejsca na domysły.

Wyjątki od ogólnego zakazu przetwarzania danych wrażliwych

Choć zasada ogólna wprowadza kategoryczny zakaz, to prawo przewiduje pewne specyficzne sytuacje, w których przetwarzanie tych informacji staje się legalne. Najważniejszym i najczęściej stosowanym wyjątkiem (choć wcale nie najłatwiejszym w realizacji) jest wyraźna, świadoma i dobrowolna zgoda osoby, której te dane dotyczą. Taka zgoda musi być jednoznaczna i odseparowana od innych oświadczeń handlowych. Diabeł tkwi w szczegółach. Inne wyjątki dotyczą ochrony żywotnych interesów pacjenta, na przykład w sytuacji zagrożenia życia w szpitalu, lub realizacji obowiązków w dziedzinie prawa pracy.

W rzeczywistości jednak poleganie na samej zgodzie bywa bardzo ryzykowne, zwłaszcza w relacji pracodawca - pracownik. Z racji braku równowagi stron - zwłaszcza na linii szef i podwładny - zgoda pracownika na przetwarzanie jego danych wrażliwych, takich jak profil biometryczny, może zostać uznana przez organy nadzorcze za wymuszoną, a przez to nieważną. Zazwyczaj bezpieczniej jest unikać zbierania tych informacji, o ile to tylko możliwe. To kwestia dojrzałości biznesowej. Czy warto tak ryzykować? Moim zdaniem absolutnie nie.

Praktyczne konsekwencje i kary za przetwarzanie danych zabronionych

Ignorowanie zakazu przetwarzania danych wrażliwych niesie za sobą drastyczne konsekwencje finansowe i wizerunkowe. Przepisy przewidują za to najcięższe sankcje administracyjne. Rzadko kiedy spotyka się naruszenia wynikające z czystej złośliwości - zazwyczaj to po prostu zwykła niewiedza. Pamiętacie ten niewinny rodzaj informacji, o którym wspominałem na początku artykułu? Chodzi o biometrię wykorzystywaną do kontroli dostępu lub bezrefleksyjne wpisywanie powodów nieobecności chorobowej pracowników do ogólnodostępnych arkuszy w chmurze. To powszechny błąd. Popełnia go mnóstwo małych firm, myśląc, że usprawnia to organizację pracy.

Warto pamiętać, że kary za przetwarzanie danych wrażliwych potrafią skutecznie zrujnować każdy biznes. Za najcięższe naruszenia zakazów grożą kary sięgające do 20 milionów euro lub do 4% całkowitego rocznego światowego obrotu przedsiębiorstwa (w zależności od tego, która kwota jest wyższa) z poprzedniego roku obrotowego.^[2] Urząd Ochrony Danych Osobowych podchodzi do tego tematu bezkompromisowo. Organy nadzorcze w Europie nakładają regularnie dotkliwe kary na podmioty, które bezprawnie przetwarzały profile biometryczne swoich pracowników lub zbierały dane medyczne klientów bez wyraźnej podstawy. Gra nie jest warta świeczki.

Kiedy nie wolno przetwarzać danych osobowych, a systemy informatyczne już je zawierają, jedynym ratunkiem jest natychmiastowa anonimizacja lub bezpowrotne usunięcie baz. Kiedyś spędziłem całą noc, pomagając zaprzyjaźnionemu przedsiębiorcy ręcznie czyścić bazę danych marketingowych, do której wpadły ankiety z informacjami o alergiach i chorobach klientów. Moje oczy płonęły ze zmęczenia (piliśmy wtedy czwartą energetyczną kawę), a zmęczenie ustąpiło dopiero rano. Strach przed kontrolą urzędu był jednak silniejszy niż sen. To była bolesna lekcja, ale od tamtej pory ta firma rygorystycznie pilnuje swoich formularzy i nie pozwala na wpisywanie dowolnych treści przez użytkowników. Wyczyszczenie kodu zajęło nam kilkanaście godzin. Warto było.

Klasyfikacja danych a stopień ryzyka prawnego

Dane zwykłe (Imię, nazwisko, e-mail, telefon)

• Podstawowe informacje identyfikujące, niezbędne do codziennej komunikacji i realizacji większości umów handlowych.

• Umiarkowane, standardowe procedury bezpieczeństwa i podstawowe klauzule informacyjne są w tym przypadku w pełni wystarczające.

• Dozwolone na podstawie ogólnych przesłanek legalności, takich jak wykonanie umowy lub prawnie uzasadniony interes.

Dane szczególnej kategorii (Poglądy, biometria, zdrowie)

• Informacje o charakterze głęboko prywatnym i intymnym, których wyciek może powodować dyskryminację lub naruszenie dóbr osobistych.

• Bardzo wysokie, wymagające przeprowadzenia pełnej oceny skutków dla ochrony danych oraz wdrożenia zaawansowanego szyfrowania.

• Odgórnie zabronione przez prawo, z wyjątkiem ściśle określonych sytuacji, takich jak wyraźna zgoda lub ratowanie życia.

Niefortunne czytniki linii papilarnych w Poznaniu

Tomasz, właściciel firmy logistycznej z Poznania zatrudniającej pracowników magazynu, chciał usprawnić rejestrację czasu pracy i wyeliminować zjawisko odbijania kart przez kolegów. Zainwestował spore środki w nowoczesne czytniki biometryczne linii papilarnych.

Pierwsza próba wdrożenia spotkała się z oporem załogi, a jeden z pracowników zgłosił sprawę do urzędu, argumentując, że nikt nie pytał go o zgodę na pobieranie odcisków palców. Tomasz był przekonany, że działa w ramach prawa.

Po konsultacji z prawnikiem zrozumiał swój błąd - prawo kategorycznie zabrania przetwarzania takich danych w celach kontroli obecności, gdy istnieją mniej inwazyjne metody. Natychmiast zdemontował urządzenia i przeszedł na tradycyjne karty kodowe.

Dzięki szybkiej reakcji Tomasz uniknął surowej kary finansowej, a cała sytuacja nauczyła go, że nowoczesna technologia w firmie zawsze musi ustąpić pierwszeństwa ochronie prywatności pracowników.