Zgoda na przetwarzanie danych osobowych - jak przygotować firmę do audytu prywatności

Co obejmuje audyt prywatności w firmie?

Zgoda na przetwarzanie danych osobowych to tylko jedna z podstaw legalnego przetwarzania, a audyt prywatności w firmie to uporządkowane sprawdzenie dokumentów, systemów i realnego obiegu danych, charakteryzujące się analizą celu, podstawy prawnej, dowodów i ryzyk. Przy zgodach trzeba brać pod uwagę RODO, stanowiska UODO oraz wytyczne EDPB, bo naruszenia zasad przetwarzania mogą podlegać karze do 20 000 000 EUR albo do 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego (źródło: art. 83 RODO, 2016).

Jakie procesy powinien objąć audyt?

Audyt prywatności nie powinien kończyć się na segregatorze z polityką prywatności. W praktyce sprawdza się, czy firma rzeczywiście przetwarza dane tak, jak opisuje to w klauzulach, formularzach, regulaminach i systemach CRM.

Marketing – audyt obejmuje newsletter RODO, formularze pobrania e-booka, Meta Pixel, Google Analytics 4, kampanie leadowe i listy remarketingowe.
Sprzedaż – audyt obejmuje CRM dane osobowe, zapisy rozmów handlowych, historię kontaktów, źródło pozyskania leada i okres retencji danych.
HR i rekrutacja – audyt obejmuje CV, zgodę na przyszłe rekrutacje, korespondencję z kandydatami oraz dostęp menedżerów do dokumentów.
Obsługa klienta – audyt obejmuje reklamacje, zgłoszenia w systemach typu Freshdesk, korespondencję e-mail i nagrania z infolinii.
Monitoring i kontrola dostępu – audyt obejmuje kamery, rejestry wejść, identyfikatory pracowników i obowiązek informacyjny.
Dostawcy IT – audyt obejmuje hosting, system mailingowy, księgowość online, Microsoft 365, HubSpot, Salesforce i umowy powierzenia.

Czy audyt dotyczy tylko dokumentów RODO?

Nie. Dokumenty są punktem wyjścia, ale kontrola ryzyka dotyczy także zachowania pracowników, ustawień systemów, historii zmian formularzy i dowodów zgody. Z mojej praktyki redakcyjno-prawnej wynika, że częsty problem nie leży w samej treści checkboxa RODO, lecz w braku możliwości wykazania, kiedy, gdzie i na jaką wersję komunikatu osoba się zgodziła.

Kiedy zgoda jest właściwą podstawą prawną?

Zgoda nie powinna zastępować każdej innej podstawy z art. 6 RODO. Dla realizacji umowy właściwy bywa art. 6 ust. 1 lit. b, dla obowiązku księgowego art. 6 ust. 1 lit. c, a dla części działań B2B prawnie uzasadniony interes z art. 6 ust. 1 lit. f. Treść nie zastępuje konsultacji z prawnikiem lub IOD, bo ocena podstawy zależy od konkretnego procesu, danych i ryzyka.

„Administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych.” – Parlament Europejski i Rada UE, art. 7 ust. 1 RODO, 2016

Jak zinwentaryzować zgody w marketingu, sprzedaży, HR i obsłudze klienta?

Mapa zgód to ewidencja wszystkich miejsc, w których firma zbiera, zapisuje, importuje albo odtwarza zgodę, charakteryzująca się opisem celu, treści komunikatu, kategorii danych, źródła i sposobu wycofania. Bez takiej mapy audytor widzi pojedyncze formularze, ale nie widzi całego procesu.

Jak stworzyć mapę zgód w firmie?

Najprostszy start to lista źródeł danych, a nie lista dokumentów. Osobno trzeba potraktować formularz www, zapis telefoniczny, zgodę papierową, import z targów branżowych, lead z webinaru i bazę historyczną.

Zbierz wszystkie formularze online, w tym landing page, koszyk zakupowy, panel klienta, formularz kontaktowy i zapis na newsletter.
Wypisz wszystkie checkboxy, zgody marketingowe, zgody na kontakt telefoniczny, zgody na e-mail i zgody rekrutacyjne.
Do każdej pozycji dopisz cel przetwarzania, na przykład wysyłka newslettera, obsługa zapytania, rekrutacja albo przedstawienie oferty B2B.
Ustal kategorie danych, na przykład imię, adres e-mail, numer telefonu, stanowisko, nazwa firmy, historia zakupów albo treść CV.
Wskaż odbiorców danych, w tym system mailingowy, CRM, hosting, biuro rachunkowe, agencję marketingową i narzędzia analityczne.
Dopisz okres retencji danych oraz sposób wycofania zgody, na przykład link wypisu, mail do IOD albo panel użytkownika.

Jakie dokumenty przygotować dla audytora?

Audytor powinien dostać aktualne dokumenty i wersje historyczne. Kontrola może dotyczyć zgód zebranych kilka miesięcy albo kilka lat wcześniej, dlatego sama dzisiejsza polityka prywatności nie wystarczy.

Klauzula informacyjna – dokument powinien odpowiadać treści formularza i obejmować administratora, cele, podstawy prawne, odbiorców oraz prawa osoby.
Polityka prywatności – dokument powinien pokazywać relację między stroną www, plikami cookies, analityką, marketingiem i retencją danych.
Regulamin usługi – dokument nie powinien ukrywać zgody marketingowej w warunkach wykonania umowy.
Skrypty rozmów call center – skrypt powinien pokazywać, jak konsultant informuje o celu kontaktu i rejestruje zgodę.
Wersje historyczne formularzy – archiwum powinno zawierać datę obowiązywania, treść zgody i powiązaną klauzulę informacyjną.

Jak porównać formularze z praktyką w CRM?

Porównanie polega na sprawdzeniu, czy to, co obiecuje formularz, faktycznie dzieje się w CRM. Jeżeli formularz mówi o newsletterze miesięcznym, a kontakt trafia do sekwencji 12 automatycznych maili sprzedażowych, cel przetwarzania może być opisany za wąsko. Przydatne są wewnętrzne linki robocze do procedur, na przykład procedura zgód RODO krok po kroku oraz dokumentowanie legalnej zgody.

Jak sprawdzić, czy zgody są dobrowolne i rozdzielone według celów?

Dobrowolna zgoda to oświadczenie, które osoba może wyrazić bez przymusu i bez negatywnych skutków niewyrażenia, charakteryzujące się oddzieleniem od umowy, jasnym językiem i możliwością równie łatwego wycofania. EDPB podkreśla, że zgoda musi być konkretna, świadoma, jednoznaczna i realnie wolna (źródło: EDPB Guidelines 05/2020, 2020).

Czym różni się zgoda od wykonania umowy?

Jeżeli dane są niezbędne do wykonania umowy, zwykle nie trzeba prosić o zgodę. Przykład: adres dostawy jest potrzebny sklepowi internetowemu do wysyłki paczki, ale zgoda na newsletter po zakupie wymaga osobnego działania użytkownika.

Proces	Typowa podstawa	Ryzyko błędu	Przykład kontroli
Wysyłka zamówienia	Art. 6 ust. 1 lit. b RODO	Dodanie zgody tam, gdzie dane są konieczne do umowy.	Sprawdzenie regulaminu i formularza zamówienia.
Newsletter promocyjny	Zgoda oraz przepisy komunikacji elektronicznej	Domyślnie zaznaczony checkbox RODO.	Test zapisu i wypisu z listy mailingowej.
Rekrutacja przyszła	Zgoda kandydata	Brak okresu retencji CV, na przykład 12 miesięcy.	Przegląd formularzy rekrutacyjnych i ATS.
Windykacja należności	Prawnie uzasadniony interes	Mylenie zgody z dochodzeniem roszczeń.	Analiza podstawy prawnej i zakresu danych.

Jak wygląda poprawny checkbox RODO?

Checkbox powinien być pusty, zrozumiały i przypisany do jednego celu. Nie należy łączyć w jednym polu zgody na newsletter, kontakt telefoniczny, profilowanie i przekazanie danych partnerom.

Checkbox newslettera – pole powinno dotyczyć wysyłki informacji handlowych na adres e-mail, a nie całego marketingu firmy.
Checkbox kontaktu telefonicznego – pole powinno dotyczyć użycia numeru telefonu w konkretnym celu sprzedażowym.
Checkbox profilowania – pole powinno wyjaśniać automatyczne dopasowanie treści, jeżeli profilowanie ma istotne skutki dla osoby.
Checkbox rekrutacyjny – pole powinno oddzielać bieżącą rekrutację od przyszłych procesów rekrutacyjnych.
Checkbox partnerów – pole powinno identyfikować kategorie albo listę odbiorców, jeżeli dane mają trafić poza administratora.

Jak rozpoznać najczęstsze luki w zgodach przed kontrolą?

Najczęstsze luki to zgody zbiorcze, zgody ukryte w regulaminie, brak wersji historycznej i brak ścieżki wycofania. Ryzykowne są też bazy kupione od pośrednika, w których firma nie potrafi wykazać źródła pozyskania danych. W razie kontroli UODO przydatna jest osobna procedura, na przykład co zrobić po kontroli UODO.

Jak przygotować rejestr czynności i matrycę podstaw prawnych?

Rejestr czynności przetwarzania to dokument wymagany w wielu organizacjach na podstawie art. 30 RODO, charakteryzujący się opisem celów, kategorii osób, kategorii danych, odbiorców, transferów i terminów usunięcia. Matryca podstaw prawnych uzupełnia rejestr, bo pokazuje, czy dany proces opiera się na zgodzie, umowie, obowiązku prawnym, interesie publicznym albo prawnie uzasadnionym interesie.

Co powinien zawierać rejestr czynności przetwarzania?

Rejestr nie musi być rozbudowany wizualnie, ale musi być użyteczny. W małej firmie wystarczy arkusz z procesami, właścicielami i podstawami, jeżeli zawiera realne dane i jest aktualizowany.

Nazwa procesu – wpis powinien odróżniać newsletter, sprzedaż, rekrutację, reklamacje, monitoring i obsługę księgową.
Administrator i właściciel procesu – wpis powinien wskazywać osobę lub dział odpowiedzialny za aktualizację danych.
Kategorie osób – wpis powinien oddzielać klientów, leady, pracowników, kandydatów, kontrahentów i użytkowników strony.
Kategorie danych – wpis powinien wskazywać, czy proces obejmuje dane kontaktowe, identyfikacyjne, finansowe albo szczególne kategorie danych.
Odbiorcy i podmioty przetwarzające – wpis powinien łączyć proces z dostawcami IT i umowami powierzenia.
Retencja danych – wpis powinien wskazywać termin albo kryterium usunięcia, na przykład 24 miesiące od ostatniej aktywności leada.

Jak przypisać podstawę z art. 6 RODO do procesu?

Przypisanie podstawy wymaga opisania celu i konieczności przetwarzania. Dla jednego kontaktu w CRM mogą istnieć różne cele: obsługa zapytania, przygotowanie oferty, archiwizacja korespondencji, marketing własny i dochodzenie roszczeń. Każdy cel powinien mieć własną podstawę oraz własny okres przechowywania.

„Zgoda nie powinna być uznawana za dobrowolną, gdy osoba nie ma rzeczywistego lub wolnego wyboru albo nie może odmówić bez szkody.” – Europejska Rada Ochrony Danych, Wytyczne 05/2020 dotyczące zgody, 2020

Kiedy audyt powinien objąć DPIA i test ryzyka?

DPIA, czyli ocena skutków dla ochrony danych, jest potrzebna, gdy rodzaj przetwarzania może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych (źródło: art. 35 RODO, 2016). Dotyczy to zwłaszcza profilowania, monitoringu na dużą skalę, danych zdrowotnych, geolokalizacji albo systemów scoringowych. W razie wątpliwości IOD lub prawnik powinien ocenić, czy test ryzyka jest wystarczający.

Jak ocenić retencję, odbiorców danych i umowy powierzenia?

Retencja danych to zasada przechowywania danych nie dłużej, niż jest to konieczne do celu, charakteryzująca się terminem usunięcia, blokadą dalszego użycia i techniczną procedurą kasowania. W audycie trzeba sprawdzić także odbiorców danych oraz to, czy dostawcy działają jako podmioty przetwarzające, czy samodzielni administratorzy.

Jak ustalić okres przechowywania danych?

Okres retencji nie może być przypadkowy. Dla dokumentacji księgowej znaczenie mają obowiązki podatkowe, dla roszczeń terminy przedawnienia, a dla newslettera aktywność subskrybenta i możliwość wycofania zgody.

Ustal cel danych, bo retencja CV w przyszłych rekrutacjach różni się od retencji faktury VAT.
Sprawdź obowiązek prawny, bo część dokumentów księgowych trzeba przechowywać przez okres wynikający z przepisów podatkowych.
Oceń ryzyko roszczeń, bo korespondencja umowna może być potrzebna do obrony przed żądaniem kontrahenta.
Wprowadź kryterium nieaktywności, na przykład usunięcie leada po 24 miesiącach braku reakcji na kontakt.
Połącz retencję z systemem, bo polityka bez automatycznego zadania w CRM zwykle nie działa.

Kiedy potrzebna jest umowa powierzenia przetwarzania danych?

Umowa powierzenia jest potrzebna, gdy zewnętrzny dostawca przetwarza dane w imieniu administratora, na przykład hosting, system mailingowy, CRM, biuro rachunkowe albo support IT. Powinna określać przedmiot, czas trwania, charakter, cel, kategorie danych i obowiązki procesora. Wewnętrzny materiał pomocniczy może mieć formę listy kontrolnej: umowa powierzenia przetwarzania danych.

Jak przygotować listę dostawców IT i odbiorców?

Lista dostawców powinna łączyć nazwę narzędzia z procesem i podstawą udostępnienia. Przykładowo Mailchimp może obsługiwać newsletter, Google Workspace korespondencję, a zewnętrzna księgowość dane na fakturach. Przy transferach poza Europejski Obszar Gospodarczy trzeba dodatkowo sprawdzić mechanizm transferowy i dokumentację dostawcy.

Hosting – dostawca przechowuje stronę, formularze i logi serwera, więc zwykle wymaga umowy powierzenia.
System mailingowy – dostawca przetwarza adresy e-mail, status zgody, datę zapisu i historię wypisów.
CRM – dostawca przechowuje leady, notatki handlowców, statusy szans sprzedaży i historię kontaktu.
Księgowość online – dostawca przetwarza dane kontrahentów, faktury, NIP, adresy i kwoty transakcji.
Narzędzia analityczne – dostawca może przetwarzać identyfikatory online, adres IP, zdarzenia użytkownika i dane cookies.

Jak przetestować procesy i ścieżkę dowodową?

Ścieżka dowodowa zgody to zestaw danych pokazujących treść zgody, moment jej udzielenia, źródło, wersję formularza i późniejsze operacje, charakteryzujący się powtarzalnością oraz możliwością odtworzenia w audycie. Sam wpis „zgoda: tak” w CRM rzadko wystarcza.

Jak udowodnić zgodę podczas audytu?

Dowód powinien pokazywać okoliczności zgody, a nie tylko finalny status. Dla newslettera dowodem może być log z datą, godziną, adresem IP, adresem formularza, wersją klauzuli i identyfikatorem kampanii.

Wykonaj test zapisu na newsletter z kontrolnego adresu e-mail i zapisz dokładną datę oraz godzinę testu.
Pobierz treść formularza, checkboxa RODO, klauzuli informacyjnej i polityki prywatności obowiązującej w dniu testu.
Sprawdź, czy system mailingowy zapisuje źródło pozyskania danych, identyfikator formularza i wersję zgody.
Wycofaj zgodę przez link wypisu i sprawdź, czy blokada działa w mailingu, CRM i automatyzacjach sprzedażowych.
Udokumentuj wynik testu zrzutem konfiguracji, eksportem logu i notatką osoby odpowiedzialnej za proces.

Jak sprawdzić działanie wypisu z newslettera?

Wycofanie zgody powinno być równie łatwe jak jej udzielenie. Jeżeli użytkownik zapisuje się jednym kliknięciem, wypis nie powinien wymagać telefonu, pisma ani logowania do panelu. Po cofnięciu zgody firma nie powinna wysyłać kolejnych kampanii marketingowych, chyba że istnieje inna, prawidłowo opisana podstawa przetwarzania dla innego celu.

Link wypisu – link powinien działać bez błędu i prowadzić do jasnego potwierdzenia rezygnacji.
Lista wysyłkowa – system powinien zmienić status kontaktu przed kolejną kampanią, a nie po kilku dniach ręcznej pracy.
CRM – handlowiec powinien widzieć blokadę marketingu, żeby nie użyć kontaktu w sekwencji sprzedażowej.
Automatyzacje – scenariusze typu drip campaign powinny zatrzymać się po cofnięciu zgody.
Dowód cofnięcia – system powinien zapisać datę, godzinę, kanał i osobę lub automat wykonujący zmianę.

Czy system CRM wystarczy jako dowód?

CRM może być częścią dowodu, ale nie powinien być jedynym źródłem. Jeżeli nie pokazuje treści zgody, wersji klauzuli i źródła pozyskania danych, audytor może uznać dokumentację za niepełną. Termin odpowiedzi na żądanie osoby wynosi co do zasady miesiąc od otrzymania żądania, z możliwością przedłużenia w określonych przypadkach (źródło: art. 12 ust. 3 RODO, 2016).

Jak przygotować raport, priorytety i wdrożenie poprawek?

Raport po audycie to dokument decyzyjny, charakteryzujący się opisem ustaleń, oceną ryzyka, właścicielem zadania, terminem i dowodem wykonania poprawki. Nie powinien paraliżować firmy listą drobnych uchybień, lecz wskazywać, co realnie grozi naruszeniem praw osób albo kontrolą UODO.

Co poprawić najpierw po audycie?

Najpierw usuwa się ryzyka wysokie: nieudokumentowane bazy marketingowe, brak możliwości wycofania zgody, wysyłki po wypisie i brak umów powierzenia z kluczowymi dostawcami. Niżej można ustawić korekty językowe, kosmetyczne zmiany formularzy i doprecyzowanie procedur.

Ryzyko wysokie – baza leadów bez źródła zgody powinna zostać zablokowana do czasu wyjaśnienia legalności przetwarzania.
Ryzyko wysokie – brak wypisu z newslettera powinien zostać usunięty przed kolejną wysyłką kampanii.
Ryzyko średnie – klauzula informacyjna niezgodna z praktyką CRM powinna zostać zaktualizowana wraz z formularzem.
Ryzyko średnie – brak umowy powierzenia z hostingiem powinien zostać uzupełniony i odnotowany w rejestrze dostawców.
Ryzyko niskie – niespójna nazwa administratora w stopce dokumentu powinna zostać poprawiona przy najbliższej aktualizacji.

Jak wygląda plan 30-60-90 dni?

Plan naprawczy powinien mieć właścicieli, daty i mierzalne dowody. W pierwszych 30 dniach firma zwykle blokuje ryzykowne przetwarzanie, rozdziela checkboxy i poprawia klauzule. Do 60 dni porządkuje rejestr czynności, umowy powierzenia i retencję. Do 90 dni szkoli pracowników, wdraża testy cykliczne i ustawia automatyczne raporty w CRM.

Do 30 dni – usuń domyślnie zaznaczone checkboxy i zablokuj kampanie do baz bez udokumentowanego źródła.
Do 30 dni – popraw klauzule informacyjne na stronie, w rekrutacji, call center i panelu klienta.
Do 60 dni – uzupełnij rejestr czynności przetwarzania oraz matrycę podstaw prawnych dla głównych procesów.
Do 60 dni – podpisz lub zaktualizuj umowy powierzenia z hostingiem, CRM, mailingiem i księgowością.
Do 90 dni – wykonaj szkolenie dla marketingu, sprzedaży, HR i obsługi klienta z dokumentowania zgód.
Do 90 dni – ustaw kwartalny test wypisu z newslettera i test realizacji żądania usunięcia danych.

Kiedy audyt prywatności wymaga wsparcia prawnika?

Wsparcie prawnika jest wskazane, gdy firma przetwarza dane szczególnych kategorii, stosuje profilowanie, kupuje duże bazy leadów, ma spór z osobą, której dane dotyczą, albo spodziewa się kontroli UODO. Prawnik powinien też ocenić sporne podstawy z art. 6 RODO, ryzyko wysokiej skali oraz treść odpowiedzi na żądania osób. Ten artykuł ma charakter informacyjny i nie zastępuje porady prawnej w konkretnej sprawie.

Najczęściej zadawane pytania

Czy każda firma powinna robić audyt prywatności?

Tak, jeżeli regularnie przetwarza dane klientów, pracowników, kandydatów lub użytkowników strony. Zakres audytu powinien być proporcjonalny do skali danych, liczby systemów i ryzyka dla osób. Mała firma może zacząć od mapy zgód, rejestru czynności i testu newslettera.

Ile zgód trzeba sprawdzić podczas audytu?

Trzeba sprawdzić wszystkie aktywne źródła zgód oraz reprezentatywne wersje historyczne. Szczególną uwagę trzeba poświęcić bazom marketingowym, CRM, formularzom rekrutacyjnym i zapisom z call center. Jeżeli firma ma stare importy danych, należy ustalić ich źródło i pierwotną treść zgody.

Czy zgoda w CRM wystarczy jako dowód?

Sam wpis w CRM może być niewystarczający, jeżeli nie pokazuje treści zgody i okoliczności jej udzielenia. Najlepiej mieć wersję klauzuli, datę, źródło, log techniczny i historię zmian. CRM jest dobrym narzędziem dowodowym dopiero wtedy, gdy przechowuje pełną ścieżkę zdarzeń.

Czy audyt musi obejmować umowy z dostawcami?

Tak, jeżeli dostawcy przetwarzają dane w imieniu firmy. Dotyczy to zwłaszcza hostingu, systemów mailingowych, CRM, księgowości, narzędzi analitycznych i supportu IT. Brak umowy powierzenia może być osobnym ryzykiem, nawet gdy formularze zgód są poprawne.

Kiedy audyt prywatności powinien zakończyć się opinią prawną?

Opinia prawna jest wskazana przy spornych podstawach przetwarzania, danych szczególnych kategorii, profilowaniu lub ryzyku kontroli. Warto ją przygotować także wtedy, gdy firma korzysta z dużej bazy leadów albo planuje intensywny marketing telefoniczny. Artykuł nie zastępuje takiej oceny w konkretnej sprawie.

Czy brak zgody zawsze oznacza naruszenie RODO?

Nie zawsze, ponieważ przetwarzanie może opierać się na innej podstawie z art. 6 RODO. Problem pojawia się wtedy, gdy firma powołuje się na zgodę, ale nie potrafi jej wykazać albo używa danych w celu innym niż opisany. Dlatego audyt powinien oceniać cel, podstawę prawną i dowody łącznie.

Jak często aktualizować mapę zgód?

Mapę zgód należy aktualizować po każdej istotnej zmianie formularza, systemu CRM, dostawcy marketingowego albo celu przetwarzania. W praktyce rozsądny jest także przegląd cykliczny, na przykład raz na 6 lub 12 miesięcy. Przy intensywnych kampaniach leadowych kontrola powinna być częstsza.

Źródła i literatura

Jakie akty prawne zastosowano?

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, RODO, w szczególności art. 6, art. 7, art. 12, art. 30, art. 35 i art. 83, EUR-Lex, 2016.
Ustawa z 10 maja 2018 r. o ochronie danych osobowych, Dz.U. 2018 poz. 1000 ze zm.

Jakie wytyczne i materiały organów pomagają w audycie?

Europejska Rada Ochrony Danych, Guidelines 05/2020 on consent under Regulation 2016/679, wersja 1.1, 2020.
Urząd Ochrony Danych Osobowych, materiały dotyczące zgodności z prawem przetwarzania danych osobowych, uodo.gov.pl.
EUR-Lex, art. 7 RODO dotyczący warunków wyrażenia zgody, eur-lex.europa.eu.