Nowy produkt jest gotowy. Zespół czeka na zielone światło. I wtedy ktoś pyta: a co z RODO? W większości firm, z którymi pracujemy, ten moment przychodzi za późno — kiedy zmiana czegokolwiek oznacza opóźnienie launchu o tygodnie i przebudowę tego, co już działa.
Tymczasem dane mówią same za siebie. W 2025 r. Prezes UODO nałożył kary na łączną kwotę 64,3 mln zł — ponad trzykrotność kwoty z 2024 r. Wśród ukaranych podmiotów znalazły się m.in. Poczta Polska (27,1 mln zł), ING Bank Śląski (18,4 mln zł) i McDonald’s Polska (16,9 mln zł). Naruszenia art. 24, 25 i 32 RODO — czyli brak właściwego zaprojektowania środków ochrony danych — są sankcjonowane konsekwentnie.
Ale kara finansowa to nie jedyne ryzyko. Opóźnienie projektu, chaos między działami, utrata zaufania użytkowników i kosztowna przebudowa formularzy, zgód i regulaminów po starcie — to scenariusz, który da się przewidzieć i któremu da się zapobiec.
W tym artykule przechodzę przez 7 obszarów RODO, które warto uporządkować zanim uruchomisz nowy produkt, usługę, kanał sprzedaży lub narzędzie. Nie po to, żeby blokować wdrożenie, ale żeby je przyspieszyć — z jasnym planem i bez ryzyka przeróbek po starcie.
Zanim zaczniesz — pojęcia, które musisz znać
Zanim przejdziemy do konkretów, ustalmy wspólny język. Poniższe terminy pojawiają się w każdym projekcie, który wiąże się z przetwarzaniem danych osobowych.
| Pojęcie | Co oznacza |
|---|---|
| Administrator danych | Podmiot, który decyduje o celach i sposobach przetwarzania danych. Najczęściej Twoja firma. |
| Procesor (podmiot przetwarzający) | Zewnętrzny dostawca, który przetwarza dane na Twoje zlecenie — np. dostawca CRM, hosting, narzędzie marketing automation. |
| Współadministrator | Sytuacja, w której dwa podmioty wspólnie decydują o celach i sposobach przetwarzania. Wymaga odrębnej umowy regulującej podział obowiązków (art. 26 RODO). |
| Umowa powierzenia przetwarzania | Dokument regulujący zasady, na jakich procesor przetwarza dane w Twoim imieniu (art. 28 RODO). |
| DPIA (ocena skutków dla ochrony danych) | Formalna analiza ryzyka wymagana przed rozpoczęciem przetwarzania, które może powodować wysokie ryzyko dla praw osób (art. 35 RODO). |
| Privacy by design | Obowiązek uwzględnienia ochrony danych już na etapie projektowania procesu, produktu lub usługi (art. 25 ust. 1 RODO). |
| Privacy by default | Obowiązek zapewnienia, że domyślnie przetwarzane są wyłącznie dane niezbędne do osiągnięcia konkretnego celu (art. 25 ust. 2 RODO). |
| Podstawa prawna przetwarzania | Jeden z warunków z art. 6 RODO, który uprawnia do przetwarzania danych — np. zgoda, wykonanie umowy, prawnie uzasadniony interes administratora. |
| Klauzula informacyjna | Informacja przekazywana osobie, której dane zbierasz — o tym, kto je przetwarza, w jakim celu, na jakiej podstawie i jakie prawa jej przysługują (art. 13–14 RODO). |
Mając te pojęcia za sobą, możemy przejść do konkretnych kroków.
1. Zmapuj przepływy danych przed rozpoczęciem developmentu
To punkt wyjścia. Zanim napiszesz pierwszą linijkę kodu lub skonfigurujesz nowe narzędzie, odpowiedz na cztery pytania:
- Skąd dane są pozyskiwane? (formularz, API, import, integracja z partnerem)
- Gdzie trafiają? (baza danych, CRM, narzędzie analityczne, chmura dostawcy)
- Kto ma do nich dostęp? (zespół produktu, marketing, sprzedaż, zewnętrzny dostawca)
- Jakie operacje są na nich wykonywane? (przechowywanie, segmentacja, scoring, personalizacja, profilowanie)
Rejestr czynności przetwarzania wymagany przez art. 30 RODO to naturalne narzędzie do tej analizy. Zawiera dane administratora, cele przetwarzania, kategorie osób i danych, odbiorców, informacje o transferach poza UE, okresy przechowywania oraz opis stosowanych środków ochrony.
Dlaczego to ważne teraz, a nie po launchu? Każda zmiana w przepływie danych po uruchomieniu produktu wymaga aktualizacji rejestru, klauzul informacyjnych, regulaminów i umów powierzenia. Jeśli zrobisz to raz, przed startem — oszczędzasz czas i pieniądze. Jeśli odkryjesz luki po starcie — czeka Cię przebudowa formularzy, wymiana zgód i korekta dokumentacji.
Według danych e-Izby (raport „e-Accurate 2024″) sektor e-commerce wydaje na dostosowanie do RODO, dyrektywy Omnibus i DSA średnio 159,5 tys. zł rocznie na firmę, a łącznie ~55,4 mld zł dla całego rynku. To ok. 6% rocznej sprzedaży sektora i 18–20% marży. Znaczną część tych kosztów generują właśnie naprawy po wdrożeniu.
2. Ustal role: kto jest administratorem, kto procesorem, a kto współadministratorem
Przy każdym nowym projekcie z udziałem zewnętrznych dostawców musisz ustalić, kto za co odpowiada w kontekście danych osobowych. To nie jest formalność — to fundament, na którym opiera się cała dokumentacja i odpowiedzialność.
Trzy scenariusze, które najczęściej się pojawiają:
| Scenariusz | Twoja rola | Rola partnera | Co musisz przygotować |
|---|---|---|---|
| Wdrażasz CRM lub marketing automation | Administrator | Procesor | Umowa powierzenia przetwarzania (art. 28 RODO) |
| Uruchamiasz marketplace z partnerami | Współadministrator (lub administrator + procesor — zależy od modelu) | Współadministrator lub procesor | Umowa o współadministrowaniu (art. 26 RODO) lub umowa powierzenia |
| Integrujesz narzędzie AI zewnętrznego dostawcy | Administrator | Procesor (lub niezależny administrator — zależy od modelu) | Analiza ról + odpowiednia umowa |
Brak jasności w tym obszarze to jedno z najczęstszych źródeł problemów. Przykład z decyzji UODO: DPD Polska została ukarana na łączną kwotę ponad 11 mln zł m.in. za brak umów powierzenia przetwarzania z zewnętrznymi przewoźnikami (naruszenie art. 28 ust. 3 RODO) oraz brak adekwatnych środków organizacyjnych.
Co zrobić:
- Przejrzyj listę wszystkich dostawców, partnerów i narzędzi uczestniczących w projekcie.
- Dla każdego podmiotu ustal, czy działa jako procesor, współadministrator czy niezależny administrator.
- Przygotuj odpowiednie umowy przed uruchomieniem przepływu danych.
- Zaplanuj cykliczną kontrolę procesorów — co najmniej raz w roku oraz w razie podejrzenia naruszenia.
3. Określ podstawę prawną przetwarzania — odrębnie dla każdego celu
To błąd, który widzę najczęściej: firma zakłada, że „ma RODO ogarnięte”, bo w regulaminie jest klauzula o zgodzie. Tymczasem jeden projekt generuje kilka odrębnych celów przetwarzania — i każdy z nich wymaga osobnej podstawy prawnej.
Typowy rozkład dla nowego produktu SaaS lub e-commerce:
| Cel przetwarzania | Typowa podstawa prawna (art. 6 RODO) |
|---|---|
| Obsługa klienta, realizacja zamówienia | Wykonanie umowy (art. 6 ust. 1 lit. b) |
| Wystawianie faktur, księgowość | Obowiązek prawny (art. 6 ust. 1 lit. c) |
| Newsletter, komunikacja marketingowa | Zgoda (art. 6 ust. 1 lit. a) + zgoda na komunikację elektroniczną (ustawa o świadczeniu usług drogą elektroniczną) |
| Analityka, statystyki użytkowania | Prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f) |
| Scoring leadów, personalizacja ofert | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) — ale wymaga testu równowagi; w przypadku profilowania wywołującego skutki prawne — zgoda |
| Remarketing, reklama behawioralna | Zgoda (art. 6 ust. 1 lit. a) |
Granica między legalną analityką a ryzykownym profilowaniem przebiega tam, gdzie analiza danych zaczyna wywoływać skutki prawne lub podobnie doniosłe skutki dla osoby (art. 22 RODO). Scoring leadów w CRM to co innego niż automatyczne odrzucenie wniosku kredytowego. Ale jeśli Twój scoring automatycznie wyklucza klientów z dostępu do usługi — wchodzisz w obszar zautomatyzowanego podejmowania decyzji, który wymaga dodatkowych zabezpieczeń i może wymagać DPIA.
Skontaktuj się z nami, jeśli potrzebujesz wsparcia w ustaleniu podstaw prawnych dla konkretnego projektu.
4. Oceń, czy Twój projekt wymaga DPIA
Nie każdy nowy projekt wymaga przeprowadzenia DPIA. Ale każdy wymaga świadomej decyzji, czy DPIA jest potrzebna — i udokumentowania tej decyzji.
Kiedy DPIA jest wymagana?
Komunikat Prezesa UODO z 17 czerwca 2019 r. (Monitor Polski poz. 666) wskazuje 12 kategorii operacji przetwarzania, przy których DPIA jest wymagana. Zasada: jeśli Twój projekt spełnia co najmniej dwa z poniższych kryteriów — przeprowadź DPIA.
| Nr | Kryterium | Przykład w nowym projekcie |
|---|---|---|
| 1 | Ewaluacja, ocena, profilowanie, przewidywanie | Scoring leadów, analiza behawioralna użytkowników |
| 2 | Zautomatyzowane podejmowanie decyzji ze skutkami prawnymi | Automatyczne odrzucenie wniosku, decyzje rekrutacyjne |
| 3 | Systematyczne monitorowanie miejsc publicznych z rozpoznawaniem cech | Monitoring wizyjny z analityką twarzy |
| 4 | Przetwarzanie szczególnych kategorii danych | Dane zdrowotne, biometryczne, genetyczne |
| 5 | Dane biometryczne do identyfikacji lub kontroli dostępu | Czytniki linii papilarnych, rozpoznawanie twarzy |
| 6 | Dane genetyczne | Testy genetyczne, profilowanie zdrowotne |
| 7 | Przetwarzanie na dużą skalę | Duża liczba osób, szeroki zakres danych, długi okres przechowywania |
| 8 | Łączenie danych z różnych źródeł | Dane z CRM + aktywność internetowa + dane lokalizacyjne |
| 9 | Dane osób w relacji zależności | Pracownicy, uczniowie, pacjenci |
| 10 | Innowacyjne rozwiązania technologiczne | IoT, zaawansowane systemy AI, nowe rozwiązania chmurowe |
| 11 | Przetwarzanie uniemożliwiające korzystanie z usługi | Automatyczne wykluczanie z rekrutacji bez możliwości odwołania |
| 12 | Dane lokalizacyjne | Śledzenie w czasie rzeczywistym przez GPS, sensory IoT |
Ważne: Jeśli Twój projekt spełnia dwa kryteria, a mimo to uważasz, że DPIA nie jest potrzebna — musisz to szczegółowo udokumentować i uzasadnić. Im więcej kryteriów spełnia operacja, tym bardziej oczywista konieczność przeprowadzenia oceny.
DPIA musi być przeprowadzona przed rozpoczęciem przetwarzania — nie po uruchomieniu projektu.
5. Wdróż privacy by design i privacy by default w architekturze produktu
Art. 25 RODO to nie biurokracja. To element dobrego produktu. Wdrożenie zasad privacy by design i privacy by default na etapie projektowania chroni przed kosztownymi przeróbkami po starcie.
Privacy by design (art. 25 ust. 1) oznacza, że ochrona danych jest uwzględniona już na etapie projektowania — nie „doklejana” po fakcie. Obejmuje zarówno środki techniczne (szyfrowanie, pseudonimizacja, kontrola dostępu), jak i organizacyjne (polityki, procedury, szkolenia).
Privacy by default (art. 25 ust. 2) oznacza, że domyślne ustawienia produktu przetwarzają minimum danych. Cztery wymiary, które musisz sprawdzić:
- Zakres gromadzonych danych — domyślnie nie zbieraj więcej niż konieczne. Przejrzyj każdy formularz i usuń pola, które nie są niezbędne.
- Zakres przetwarzania — dane zebrane w jednym celu nie powinny być domyślnie wykorzystywane do innych celów.
- Okres przechowywania — ustaw automatyczne usuwanie lub anonimizację danych po upływie niezbędnego okresu.
- Dostępność — domyślnie dostęp do danych powinny mieć tylko osoby, którym jest to niezbędne. Predefiniowane role, maskowanie zbędnych informacji, ograniczenie uprawnień.
Decyzja UODO potwierdza konsekwencje braku privacy by design: W sprawie DKN.5131.4.2024 Prezes UODO nałożył kary łącznie ponad 1 145 891 zł za naruszenie m.in. art. 25 ust. 1 RODO — brak adekwatnych środków technicznych przy przetwarzaniu danych z użyciem zewnętrznych nośników. W innej decyzji (DKN.5131.17.2022) kara wyniosła 32 832 zł za brak analizy ryzyka i środków ochrony dokumentacji medycznej.
Wytyczne Europejskiej Rady Ochrony Danych (EROD, Guidelines 4/2019) podkreślają, że art. 25 obowiązuje w całym cyklu życia systemu: planowanie → projektowanie → implementacja → eksploatacja → monitorowanie → aktualizacja → wycofanie. Każda istotna modyfikacja systemu, zmiana dostawcy czy migracja do chmury wymaga ponownego uwzględnienia tych wymogów.
Praktyczna wskazówka dla SaaS: W projektach SaaS wdrożenie często sprowadza się do konfiguracji oprogramowania, stworzenia kont użytkowników i nadania uprawnień. Mimo uproszczonego procesu wdrożeniowego obowiązki privacy by design i by default pozostają aktualne — skonfiguruj role, uprawnienia i domyślne ustawienia prywatności przed udostępnieniem produktu użytkownikom.
6. Przygotuj dokumentację przed launch — nie po nim
Kompletna dokumentacja RODO musi być gotowa przed uruchomieniem projektu. Lista dokumentów zależy od specyfiki projektu, ale poniższy zestaw pokrywa większość scenariuszy:
| Dokument | Kiedy jest potrzebny | Podstawa prawna |
|---|---|---|
| Klauzula informacyjna (polityka prywatności) | Przy każdym zbieraniu danych od użytkowników | Art. 13–14 RODO |
| Regulamin usługi z zapisami o danych | Przy każdej usłudze cyfrowej, e-commerce, SaaS | Art. 13 RODO + ustawa o świadczeniu usług drogą elektroniczną |
| Formularz zgody (marketing, newsletter, profilowanie) | Gdy podstawą przetwarzania jest zgoda | Art. 6 ust. 1 lit. a, art. 7 RODO |
| Umowa powierzenia przetwarzania | Przy każdym dostawcy przetwarzającym dane w Twoim imieniu | Art. 28 RODO |
| Umowa o współadministrowaniu | Gdy z partnerem wspólnie decydujecie o celach przetwarzania | Art. 26 RODO |
| Aktualizacja rejestru czynności przetwarzania | Przy każdym nowym procesie przetwarzania | Art. 30 RODO |
| Dokumentacja DPIA | Gdy projekt spełnia kryteria z wykazu UODO | Art. 35 RODO |
| Procedura obsługi naruszeń | Przed uruchomieniem — nie po pierwszym incydencie | Art. 33–34 RODO |
Koszt zaniechania: Naruszenie procedury obsługi naruszeń oznacza obowiązek zgłoszenia do UODO w ciągu 72 godzin od stwierdzenia incydentu (art. 33 RODO). Jeśli nie masz procedury obsługi naruszeń — nie zdążysz. Komornik sądowy został ukarany łącznie na ok. 21 tys. zł za niezgłoszenie naruszenia i niezawiadomienie osoby poszkodowanej.
Zarządzanie zgodami w narzędziach marketing automation: Jeśli wdrażasz CRM lub narzędzie marketing automation, skonfiguruj moduł zarządzania zgodami przed uruchomieniem kampanii. Obejmuje to: obsługę wielu zgód dla różnych celów, rejestrację historii zmian zgód (kto, kiedy i jak zmodyfikował treść), statystyki zapisów i wypisań oraz umiejscowienie informacji o zgodach na linii czasu kontaktów.
7. Uwzględnij AI Act, jeśli wdrażasz narzędzia sztucznej inteligencji
Od 2 lutego 2025 r. obowiązują pierwsze przepisy rozporządzenia AI Act (Rozporządzenie UE 2024/1689), w tym:
- Zakaz stosowania systemów rozpoznawania emocji w miejscu pracy i instytucjach edukacyjnych.
- Wymóg AI literacy — organizacje wdrażające systemy AI muszą zapewnić, że osoby obsługujące te systemy posiadają odpowiedni poziom kompetencji.
- Pełne stosowanie przepisów AI Act dla systemów wysokiego ryzyka nastąpi od 2 sierpnia 2026 r.
Relacja AI Act–RODO: Art. 2 ust. 7 AI Act wprost wskazuje, że rozporządzenie nie narusza obowiązków wynikających z RODO. Oznacza to, że wdrożenie narzędzia AI wymaga spełnienia obowiązków z obu regulacji równolegle.
Jeśli Twój nowy projekt obejmuje chatbota, narzędzie do automatycznej obsługi klientów, system rekomendacji lub scoring oparty na AI — sprawdź:
- Jakie dane osobowe trafiają do systemu AI i na jakiej podstawie prawnej.
- Czy dostawca AI działa jako procesor czy niezależny administrator.
- Czy przetwarzanie wymaga DPIA (scoring, profilowanie, automatyczne decyzje — patrz punkt 4).
- Czy system nie wchodzi w kategorie zakazane lub wysokiego ryzyka według AI Act.
- Czy zespół obsługujący narzędzie posiada wymagane kompetencje (AI literacy).
AI Act wprowadza również obowiązek przeprowadzenia FRIA (fundamental rights impact assessment, art. 27 AI Act) dla systemów AI wysokiego ryzyka — to odrębna ocena od DPIA, choć obie mogą się uzupełniać.
Checklista RODO dla nowego projektu — 9 pytań do samodzielnej oceny
Zanim zaangażujesz prawnika, przejdź przez poniższe pytania z ownerem projektu. Odpowiedzi pokażą, gdzie są luki i co wymaga uporządkowania.
| Nr | Pytanie | Na co zwrócić uwagę |
|---|---|---|
| 1 | Jakie dane osobowe zbierasz i od kogo? | Kategorie osób (klienci, leady, pracownicy) i kategorie danych (email, telefon, lokalizacja, zachowania) |
| 2 | W jakim celu przetwarzasz każdą kategorię danych? | Odrębna podstawa prawna dla każdego celu |
| 3 | Kto jest administratorem, a kto procesorem? | Dla każdego dostawcy i partnera — osobna analiza |
| 4 | Czy projekt obejmuje profilowanie, scoring lub automatyczne decyzje? | Jeśli tak — sprawdź, czy potrzebujesz DPIA |
| 5 | Czy wdrażasz narzędzie AI? | Sprawdź obowiązki z AI Act i RODO równolegle |
| 6 | Czy klauzule informacyjne i regulaminy są gotowe? | Muszą być dostępne przed pierwszym zbieraniem danych |
| 7 | Czy umowy powierzenia z dostawcami są podpisane? | Przed uruchomieniem przepływu danych |
| 8 | Czy domyślne ustawienia produktu zbierają minimum danych? | Privacy by default — przejrzyj formularze, uprawnienia, retencję |
| 9 | Czy masz procedurę obsługi naruszeń? | Zgłoszenie do UODO w 72h, zawiadomienie osób, rejestr naruszeń |
Jeśli na którekolwiek z tych pytań nie masz odpowiedzi — to sygnał, że warto uporządkować temat przed startem.
Kto w firmie odpowiada za RODO w nowym projekcie
To pytanie pojawia się przy każdym wdrożeniu: czy RODO to odpowiedzialność CEO, product ownera, marketingu czy IT?
Odpowiedź: odpowiedzialność za zgodność z RODO spoczywa na administratorze danych — czyli na Twojej firmie, reprezentowanej przez zarząd. Ale operacyjnie koordynacja powinna leżeć po stronie ownera projektu, z udziałem przedstawicieli produktu, marketingu, sprzedaży i IT.
Co rekomendujemy:
- Zorganizuj kick-off RODO z udziałem ownera projektu oraz przedstawicieli każdego zespołu, który będzie miał kontakt z danymi osobowymi.
- Ustal wspólną listę działań compliance i przypisz odpowiedzialność — kto przygotowuje klauzule, kto konfiguruje narzędzia, kto podpisuje umowy powierzenia.
- Wyznacz jedną osobę odpowiedzialną za koordynację — nie musi to być IOD (inspektor ochrony danych), ale ktoś, kto pilnuje terminów i kompletności dokumentacji.
- Przygotuj krótki materiał decyzyjny dla zarządu: podsumowanie ryzyk, lista warunków bezpiecznego uruchomienia, rekomendacja go/no-go z perspektywy ochrony danych.
Bez jednej listy działań i jednego koordynatora pojawia się chaos — marketing zbiera dane, które nie mają podstawy prawnej, sprzedaż uruchamia kampanię bez klauzul, a IT integruje narzędzie bez umowy powierzenia.
Ile kosztuje porządek, a ile naprawy po fakcie
Brak precyzyjnych badań empirycznych o kosztach naprawczych RODO w sektorze SaaS i e-commerce to potwierdzona luka. Ale dostępne dane pośrednie pozwalają zbudować model szacunkowy.
| Kategoria | Szacunkowy koszt |
|---|---|
| Prewencyjne wdrożenie RODO przed startem (średnia firma SaaS/e-commerce) | 100–150 tys. zł |
| Naprawa po ujawnieniu niezgodności (przebudowa + re-consent + ewentualna kara + utracone przychody) | 220–250 tys. zł lub więcej |
| Średni roczny koszt dostosowania firmy e-commerce do RODO/Omnibus/DSA | 159,5 tys. zł |
| Przebudowa serwisu internetowego pod kątem RODO | Od kilkudziesięciu do kilkuset tys. zł |
Dane Intrum Justitia wskazują, że średni koszt pierwotnego wdrożenia RODO w MŚP to ok. 32 tys. zł, a w dużych korporacjach — ok. 270 tys. zł. Ponad połowa polskich firm nie była w stanie oszacować tych kosztów.
Specyfika SaaS (architektura multi-tenant): Błąd projektowy w systemie, gdzie jedna instancja obsługuje wielu klientów, wymaga korekty obejmującej wszystkich klientów naraz. Kampania ponownego pozyskania zgód (re-consent) generuje realny spadek liczby kontaktów marketingowych — skuteczność powtórnego pozyskania zgód jest niższa niż przy pozyskiwaniu pierwotnym.
Szacowany ROI z prewencyjnego podejścia: ok. 100% w kilkuletnim horyzoncie — przy założeniu, że różnica kosztów między prewencją a naprawą wynosi ok. 120 tys. zł.
Uporządkuj RODO przed startem — nie po pierwszej kontroli
Uporządkowanie RODO przed uruchomieniem nowego produktu to nie dodatkowy obowiązek, który spowalnia wdrożenie. To element, który przyspiesza start — bo eliminuje ryzyko przeróbek, daje zespołowi jasne zasady i chroni firmę przed kosztami naprawczymi.
Siedem obszarów, które opisałem w tym artykule, to minimum, które warto przejść przed każdym nowym projektem:
- Mapowanie przepływów danych.
- Ustalenie ról (administrator, procesor, współadministrator).
- Określenie podstaw prawnych przetwarzania.
- Ocena potrzeby DPIA.
- Wdrożenie privacy by design i by default.
- Przygotowanie dokumentacji.
- Uwzględnienie AI Act przy narzędziach AI.
Jeśli planujesz nowy produkt, usługę lub kanał sprzedaży i chcesz sprawdzić, czy Twoje wdrożenie jest gotowe pod kątem RODO — napisz do nas. Pomożemy uporządkować obowiązki zanim pojawią się problemy, nie po nich.
Najczęściej zadawane pytania
Uruchamiam nowy produkt za 6 tygodni — czy zdążę uporządkować RODO?
Tak, pod warunkiem że zaczniesz od mapowania przepływów danych i ustalenia ról z dostawcami. Większość dokumentacji (klauzule, regulaminy, umowy powierzenia) da się przygotować w 3–4 tygodnie, jeśli masz jasny obraz projektu. DPIA — jeśli jest wymagana — wymaga dodatkowego czasu, dlatego decyzję o jej przeprowadzeniu podejmij jak najszybciej.
Skąd mam wiedzieć, czy mój projekt wymaga DPIA?
Sprawdź wykaz Prezesa UODO z 2019 r. (Monitor Polski poz. 666) — zawiera 12 kategorii operacji. Jeśli Twój projekt spełnia co najmniej dwa kryteria (np. profilowanie + przetwarzanie na dużą skalę), DPIA jest co do zasady wymagana. Ocenę powinien przeprowadzić administrator danych — najczęściej we współpracy z IOD lub zewnętrznym doradcą.
Wdrażam CRM i marketing automation — czy wystarczy podpisać umowę z dostawcą?
Nie. Umowa z dostawcą to umowa handlowa. Oprócz niej potrzebujesz umowy powierzenia przetwarzania danych (art. 28 RODO), która reguluje zasady przetwarzania danych w Twoim imieniu. Musisz też skonfigurować narzędzie pod kątem privacy by default: ograniczyć domyślne zbieranie danych, ustawić role dostępu i skonfigurować moduł zarządzania zgodami.
Czy jeśli zbieram tylko email i imię na landing page, muszę się martwić o RODO?
Tak. Email i imię to dane osobowe. Musisz mieć podstawę prawną przetwarzania (najczęściej zgoda na komunikację marketingową), klauzulę informacyjną dostępną przy formularzu i zapis w rejestrze czynności przetwarzania. Jeśli dane trafiają do zewnętrznego narzędzia (np. Mailchimp, HubSpot) — potrzebujesz też umowy powierzenia.
Kto w firmie powinien odpowiadać za RODO w nowym projekcie?
Odpowiedzialność prawna spoczywa na zarządzie (administrator danych). Operacyjnie koordynację powinien prowadzić owner projektu, z udziałem przedstawicieli produktu, marketingu, sprzedaży i IT. Wyznacz jedną osobę odpowiedzialną za pilnowanie terminów i kompletności dokumentacji — nie musi to być IOD.
Gdzie jest granica między legalną analityką a ryzykownym profilowaniem?
Granica przebiega tam, gdzie analiza danych zaczyna wywoływać skutki prawne lub podobnie doniosłe skutki dla osoby (art. 22 RODO). Segmentacja klientów w CRM na potrzeby kampanii to co innego niż automatyczne odrzucenie wniosku o usługę na podstawie algorytmu. Jeśli Twój scoring automatycznie wyklucza osoby z dostępu do usługi — wchodzisz w obszar zautomatyzowanego podejmowania decyzji, który wymaga DPIA i dodatkowych zabezpieczeń.
