RODO a mała firma: poczta e-mail w praktyce
Co RODO oznacza dla poczty e-mail w małej firmie?
Ogólne rozporządzenie o ochronie danych (RODO) zobowiązuje cię do starannego i bezpiecznego postępowania z danymi osobowymi. Poczta e-mail w pełni się w to wpisuje, bo skrzynka jest pełna imion i nazwisk, adresów, ustaleń, a czasem także informacji wrażliwych.
Panuje uporczywe przekonanie, że RODO dotyczy tylko dużych firm. To nieprawda: przepisy obowiązują każdego, kto przetwarza dane osobowe, od jednoosobowej działalności gospodarczej (JDG) i przedsiębiorców po stowarzyszenia (w Belgii: vzw), kluby oraz małe i średnie przedsiębiorstwa (MŚP). Różni się natomiast zakres tego, czego się od ciebie w praktyce oczekuje. W małej organizacji zwykle da się to łatwo ogarnąć.
Dlaczego to ma znaczenie
Dla małej firmy stawką jest coś więcej niż kara. Klienci, członkowie czy pacjenci powierzają ci swoje dane. Jeśli coś z nich wycieknie, od razu uderza to w twoją reputację, a ta dla małego gracza waży szczególnie dużo.
Jest też bardziej konkretny problem. Wiele darmowych usług poczty zarabia na skanowaniu treści, a u dostawców spoza Europy często nie wiadomo, gdzie trafiają twoje dane. To utrudnia wykazanie, że starannie obchodzisz się z danymi, które powierzają ci inni. Jeśli potrafisz w jednym zdaniu wyjaśnić, gdzie jest przechowywana twoja poczta i jak jest zabezpieczona, od razu masz mocniejszą pozycję.
Wreszcie chodzi o spokój ducha. Jako mała organizacja nie chcesz co tydzień zajmować się przepisami o prywatności. Dobra podstawa sprawia, że nie musisz.
Ważna jest też różnica między „musieć” a „móc wykazać”. RODO oczekuje nie tylko, że działasz starannie, ale też że potrafisz to pokazać, gdy ktoś o to zapyta. W małej organizacji nie musi to być gruba teczka: wiedza o tym, gdzie jest twoja poczta, jakie zabezpieczenia są włączone i kto ma dostęp, prowadzi cię już daleko. Taka jasność pomaga ci też, gdy klient lub organ nadzorczy kiedyś zada pytania.
Jak to działa
Praktyczne podejście do RODO w poczcie e-mail sprowadza się do kilku zasad:
- Wybierz dostawcę, który hostuje w Europie i przestrzega RODO. Wtedy twoje dane podlegają europejskim przepisom o prywatności zamiast nieznanemu prawu zagranicznemu. Co dokładnie oznacza „zgodność z RODO”, przeczytasz w artykule poczta zgodna z RODO: co to oznacza.
- Zabezpiecz dostęp. Silne hasło i weryfikacja dwuetapowa (2FA) trzymają osoby nieupoważnione z dala, a połączenia powinny być szyfrowane.
- Wysyłaj świadomie. Nie wszystko nadaje się do zwykłej wiadomości. Dla danych wrażliwych obowiązują surowsze wymagania; w każdym przypadku rozważ, czy e-mail jest właściwym kanałem.
- Utrzymuj porządek w zarządzaniu. Dawaj ludziom dostęp tylko do tego, czego potrzebują, usuwaj stare adresy i adresy osób odchodzących i miej przegląd, kto ma dostęp do czego. W zespołach o zmiennym składzie to szczególnie ważne.
- Potrzebujesz podmiotu przetwarzającego? Spisz ustalenia. Jeśli zewnętrzny podmiot przetwarza dane osobowe w twoim imieniu, RODO może wymagać umowy powierzenia przetwarzania danych osobowych (art. 28 RODO). Co dokładnie jest potrzebne w twoim przypadku, zależy od indywidualnej sytuacji.
Na co zwrócić uwagę
Kilka częstych błędów w małych organizacjach:
- Przekonanie, że RODO cię nie dotyczy. Także w jednoosobowej działalności czy stowarzyszeniu przetwarzasz dane osobowe. Przepisy obowiązują, choć obciążenie jest zwykle niewielkie.
- Używanie darmowego adresu do poczty firmowej. Darmowe usługi czasem skanują treść na potrzeby reklam lub profili, a adres w stylu
imie@darmowauslugawygląda poza tym mniej wiarygodnie niż twoja własna domena. - Rozsyłanie list członków i baz klientów. Jeśli wpisujesz wiele adresów w polu DW (CC) zamiast UDW (BCC), niechcący udostępniasz dane osobowe. Klasyczny błąd, którego łatwo uniknąć.
- Zapominanie o osobach odchodzących. W stowarzyszeniu zmieniają się członkowie zarządu. Zadbaj o to, żeby dostęp był porządnie przekazywany, a stare konta zamykane.
- Ignorowanie lokalizacji danych. „To jest w chmurze” nic nie mówi o kraju, w którym stoją serwery. Dopytaj, gdzie są twoje dane.
Jeszcze raz: to ogólne wskazówki, a nie wiążąca ocena prawna twojej sytuacji. W razie wątpliwości skonsultuj się ze specjalistą lub z belgijskim organem ochrony danych (GBA/APD).
A w Mailflux?
Mailflux daje podstawę, na której mała organizacja może budować: profesjonalne skrzynki we własnej domenie, hostowane w Europie i zgodne z RODO, bez skanowania treści na potrzeby reklam. Połączenia są szyfrowane, a w każdym planie masz filtrowanie spamu, phishingu i złośliwego oprogramowania, automatyczne kopie zapasowe i opcjonalną weryfikację dwuetapową.
Dla zespołów jest zbiorcze zarządzanie kontami, dzięki któremu za jednym razem zakładasz wiele adresów i nimi zarządzasz, plus 20 darmowych aliasów na adresy takie jak info@ czy zarzad@. Jeśli prowadzisz jednoosobową działalność, zajrzyj do artykułu e-mail dla JDG i samozatrudnionych; dla stowarzyszeń jest e-mail dla twojego stowarzyszenia.
FAQ
Najczęściej zadawane pytania
Czy RODO dotyczy też mojej jednoosobowej działalności lub stowarzyszenia?
Tak. RODO obowiązuje każdego, kto przetwarza dane osobowe, niezależnie od wielkości. W małej firmie lub stowarzyszeniu praktyczne obciążenie jest zwykle ograniczone, ale podstawowe zasady staranności i bezpieczeństwa obowiązują w pełni. W razie wątpliwości skonsultuj się ze specjalistą.
Czy jako mała firma mogę wysyłać dane klientów e-mailem?
Często tak, pod warunkiem że robisz to starannie i bezpiecznie. Dla danych wrażliwych lub szczególnych kategorii danych osobowych obowiązują surowsze wymagania i zwykły e-mail nie zawsze się do nich nadaje. Przy każdej wiadomości rozważ, co wysyłasz i jakim kanałem.
Czy potrzebuję umowy powierzenia dla mojej poczty?
To zależy od twojej sytuacji. Jeśli zewnętrzny podmiot przetwarza dane osobowe w twoim imieniu, RODO może wymagać umowy powierzenia. Co dokładnie jest potrzebne, różni się w zależności od przypadku; w razie wątpliwości skonsultuj się ze specjalistą.
Czy ze względu na RODO muszę przechowywać wszystkie e-maile, czy raczej je usuwać?
RODO wymaga, żeby nie przechowywać danych osobowych dłużej, niż jest to potrzebne do celu, w którym je zebrano. Przepisy nie podają stałych okresów przechowywania dla poczty e-mail; zależy to od twojej sytuacji i ewentualnych przepisów branżowych. Usuwaj to, czego już nie potrzebujesz, a w razie wątpliwości skonsultuj się ze specjalistą.