Source: https://rbdo.com.pl/rodo-w-biurach-rachunkowo-ksiegowych-jak-sie-przygotowac/
Timestamp: 2019-02-15 20:52:43+00:00

Document:
RODO w biurach rachunkowo-księgowych. Jak się przygotować? | RBDO - Rejestracja i Bezpieczeństwo Danych Osobowych
RODO w biurach rachunkowo-księgowych. Jak się przygotować?
class="sep">Opublikowano 12 lipca 2018 Autor: admin
Biura rachunkowe znajdują się w specyficznej sytuacji jeżeli chodzi o obowiązki wynikające z RODO. Po pierwsze, działają one – podobnie jak większość przedsiębiorców – jako administratorzy danych osobowych (w stosunku do danych własnych pracowników oraz klientów lub osób reprezentujących klientów). Po drugie, biura rachunkowe działają jako „procesorzy”, czyli podmioty przetwarzające w rozumieniu art. 28 RODO w odniesieniu do danych przekazywanych przez klientów. Dotyczy to np. sytuacji, w których firma będąca klientem biura rachunkowego przekazuje do niego dane swoich pracowników lub klientów.
Należy jednak pamiętać, że ten sam podział ról występował już pod dotychczas obowiązującymi przepisami – już od 1998 roku, RODO nie wprowadza tu rewolucji, a jedynie modyfikuje i rozszerza pewne znane już obowiązki …
Tym, co istotnie się zmienia jest przerzucenie ciężaru dowodu na podmiot zobowiązany oraz wprowadzenie mechanizmu administracyjnych kar pieniężnych – słusznie krytykowany jest sposób ich sformułowania, RODO w art. 83 ustanawia jedynie ogólne ich granice (od 0 do 10 milionów euro oraz od 0 do 20 milionów euro), precyzując jedynie, że mają one być proporcjonalne i odstraszające. Wiele pozostanie w sferze dyskrecjonalnej władzy urzędnika z Urzędu Ochrony danych – z dniem 25 maja 2018 roku dotychczasowy Generalny Inspektor Ochrony Danych stał się Prezesem Urzędu Ochrony Danych. Skargi od ewentualnych decyzji nowego organu będzie można wnosić do sądów administracyjnych.
Nie tylko rejestr czynności przetwarzania
Każdy administrator danych osobowych ma obowiązek prowadzić rejestr czynności przetwarzania, o którym stanowi art. 30 ust. 1 RODO – wyjątki od tego obowiązku przewidziane w art. 30 ust. 5 RODO zostały sformułowane tak wąsko, że w praktyce trudno wskazać podmiot prowadzący działalność gospodarczą, który w całości będzie z tego obowiązku zwolniony. Wystarczy bowiem, że firma, która zatrudnia mniej niż 250 osób przetwarza dane osobowe „niesporadycznie”, by zwolnienie nie mogło być zastosowanie. W największym skrócie – należy przyjąć, że każdy administrator danych osobowych powinien prowadzić rejestr czynności przetwarzania.
Biuro rachunkowe będzie musiało prowadzić dodatkowo inny dokument, o którym stanowi art. 30 ust. 2 RODO – rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu konkretnego administratora danych.
Choć formalnie brak prowadzenia tych dokumentów zagrożony jest wysokimi karami pieniężnymi – same wspomniane wyżej dokumenty to jedynie tabele, z określonymi polami informacyjnymi, ich prowadzenie nie powinno znacząco angażować czasowo lub być szczególnie trudne.
Klient biura rachunkowego, który przekazuje w celu świadczenia usługi dane swoich pracowników lub klientów może ponosić przez PUODO odpowiedzialność administracyjną o charakterze finansowym za błędy, niedopatrzenia lub braki leżące po stronie biura rachunkowego, jako swojego procesora. Inaczej mówiąc, biuro rachunkowe działające jako procesor, jeżeli zignorowało osiągnięcie zgodności z RODO, naraża na odpowiedzialność finansową nie tylko siebie, ale także swojego klienta, który przekazał mu dane osobowych, w stosunku do których jest administratorem.
Dlatego nie może dziwić presja klientów, by biuro rachunkowe w formie umowy powierzenia przetwarzania zobowiązało się do przestrzeganie określonych procedur, zabezpieczeń oraz metod ich weryfikowania – ponieważ klient będący administratorem w ten sposób zabezpiecza swój własny interes.
Należy przy tym pamiętać, że umowy powierzenia przetwarzania, zawarte jeszcze na gruncie art. 31 ustawy o ochronie danych z 1997 roku trzeba zaktualizować, ponieważ od 25 maja 2018 roku minimalne warunki, jakim umowa powierzenia musi odpowiadać określa art. 28 RODO, który jest znacznie bardziej rozbudowany od art. 31 ustawy z 1997 roku – wymaga np. określania w umowie powierzenia sposobu wykonywania inspekcji i audytów przez administratora u swojego procesora.
Generalnie – zawarcie umowy powierzenia przetwarzania zgodnej z art. 28 RODO leży w interesie obu stron, zarówno klienta biura który przekazuje dane innych osób, jak i samego biura rachunkowego.
Naruszenie danych osobowych to nie tylko wyciek danych, ale także naruszenie ich integralności lub poufności – jeżeli np. pracownik biura rachunkowego przez pomyłkę zniszczy lub zgubi dokumenty niezbędne do ustalenia wysokości wynagrodzenia pracowników klienta – dojdzie do naruszenia danych osobowych w postaci naruszenia ich dostępności. Każdy podmiot zobowiązanych powinien przyjąć wewnętrzną procedurę dokumentowania takich naruszeń oraz ich klasyfikowania, ponieważ nie wszystkie naruszenia trzeba zgłaszać do PUODO, co więcej, obowiązek zgłoszenia naruszenia spoczywa na administratorze a nie procesorze – procesor powinien niezwłocznie o naruszeniu poinformować administratora, a dopiero ten powinien je zaklasyfikować i podjąć decyzję, czy powiadomi o nim PUODO czy nie.
W przeciwieństwo do przepisów krajowych obowiązujących do 25 maja 2018 roku, szczegółowe zasady zabezpieczania danych osobowych nie są już określone w powszechnie obowiązujących przepisach – RODO nakłada jedynie obowiązek stosowania zabezpieczeń odpowiednich do stwierdzonych poziomów ryzyka. Jak długie mają być hasła do służbowych komputerów, poczty aplikacji i programów, jakie stosować szafki na dokumenty, jak postępować z kluczami do pomieszczeń lub mebli biurowych, czy pozwalać pracowników na zabieranie dokumentów do domu – na te pytania musi odpowiedzieć we własnym zakresie każdy podmiot zobowiązany oddzielnie, należy jednak pamiętać o jednym, niezależnie od tego jakie decyzje podejmiemy, musimy udokumentować, że ryzyko dla danych osobowych zostało oszacowane wedle powtarzalnej metodologii, a inaczej mówiąc, podmiot zobowiązany musi potrafić uzasadnić, że przyjęte rozwiązanie rzeczywiście są odpowiednie.
Dyrektor Działu Prawnego, prawnik z bogatym doświadczeniem w zakresie wdrożeń systemów bezpieczeństwa informacji w polskich i międzynarodowych organizacjach.
This entry was posted in Informacje PrawnePoradnik RBDO by admin. Bookmark the permalink.

References: art. 28
 art. 83
 art. 30
 art. 30
 art. 30
 art. 31
 art. 28
 art. 31
 art. 28