KRS, CEIDG, rejestry zawodowe czy strony internetowe pomagają w weryfikacji kontrahentów i kontakcie biznesowym. Problem zaczyna się wtedy, gdy organizacja traktuje publiczność danych jako zgodę na dowolne wykorzystanie. RODO wymaga przejrzystości również wtedy, gdy dane nie pochodzą bezpośrednio od osoby.
Kiedy temat jest szczególnie ważny?
Obowiązek informacyjny pojawia się m.in. przy budowie baz kontaktowych, weryfikacji osób reprezentujących kontrahenta, analizie ryzyka współpracy oraz rekrutacji, jeśli firma korzysta z informacji spoza dokumentów przekazanych przez kandydata.
- ustal cel i podstawę prawną przetwarzania,
- ogranicz zakres danych do tego, co naprawde potrzebne,
- zapisz źródło danych i moment ich pozyskania,
- przygotuj zrozumiałą klauzulę informacyjną.
Czy zawsze trzeba wysylac klauzule?
Nie zawsze. RODO przewiduje sytuacje, w których obowiązek informacyjny może być ograniczony, ale wymaga to analizy i udokumentowania decyzji. W praktyce warto przygotować matrycę przypadków: kiedy informujemy od razu, kiedy przy pierwszym kontakcie, a kiedy korzystamy z wyjątku.
Największe ryzyko nie leży w samym korzystaniu z publicznych rejestrów, tylko w braku procedury: nikt nie wie, kto pobiera dane, po co, jak długo je przechowuje i jak odpowiada na pytania osób.
Jak poukładać proces?
Pomagamy tworzyć praktyczne klauzule, rejestry czynności, procedury pozyskiwania danych i instrukcje dla zespołów sprzedaży, HR oraz administracji. Celem nie jest produkowanie dokumentów dla dokumentów, tylko przewidywalny proces.