Jakie konsekwencje wiążą się z niewłaściwym zniszczeniem danych?
Prawo w Polsce nie zabrania samodzielnego niszczenia dokumentów, jednak niepoprawne ich usunięcie może wiązać się z nałożeniem kary na osobę odpowiedzialną za utylizację. Jakie konsekwencje wiążą się ze złamaniem zasad dotyczących przetwarzania danych?
Do przetwarzania danych osobowych – a więc też i ich niszczenia – nie można podchodzić lekceważąco. Złe administrowanie dokumentacją może bowiem spotkać się z dotkliwą karą. Co grozi za niszczenie dokumentów? O tym można dowiedzieć się z naszego wpisu. Zachęcamy do lektury.
Na jakiej podstawie zasądzane są kary?
Osoby niewłaściwie rozporządzające posiadanymi danymi mogą zostać zaskarżone na podstawie wielu aktów prawnych. Zastosowanie konkretnych przepisów zależy przede wszystkim od branży oraz sytuacji. Dla przykładu: nieprawidłowe przetwarzanie dokumentacji medycznej podlega rozporządzeniu Ministra Zdrowia z dnia 21 grudnia 2010 r. (Dz.U. 2010 nr 252 poz. 1697), a niespełnienie obowiązku ochrony danych osobowych w bankach spotka się z karą określoną w Ustawie z dnia 31 stycznia 1989 roku o Prawie Bankowym (Dz. U. 1992/91, poz. 359).
Dla przedsiębiorców jednak najważniejszą dyrektywą jest wprowadzone parę lat temu europejskie rozporządzenie o ochronie danych osobowych, czyli RODO. W jego myśl kary administracyjne nakłada w Polsce Prezes UODS (Urzędu Ochrony Danych osobowych). RODO opisuje też ogólny regulamin niszczenia dokumentów. Do tego dochodzi jeszcze krajowa Ustawa o Ochronie Danych Osobowych. Oba akty precyzują obowiązki przedsiębiorców w zakresie bezpiecznego usuwania danych oraz możliwych konsekwencji złego zarządzania.
Ile może wynieść kara za niszczenie dokumentów?
Złamanie zasad opisanych w RODO wiąże się wyłącznie z karami finansowymi. Grzywny podzielone zostały na dwie kategorie. Pierwsza odnosi się do naruszeń zasad przetwarzania danych oraz naruszeń praw osób, których dane dotyczą. W takim przypadku kara może sięgnąć nawet 20 mln euro lub 4% całkowitego rocznego obrotu światowego przedsiębiorstwa (w przypadku złamania zasad stosuje się wyższą kwotę). Druga kategoria dotyczy naruszenia obowiązków administratora danych lub podmiotu przetwarzającego. Jako przykład można podać wyrażenie zgody przez dziecko lub stosowanie tzw. privacy by design oraz privacy by default. Spotka się to z karą do 10 mln euro lub 2% całkowitego rocznego obrotu światowego firmy.
Rodzima Ustawa o Ochronie Danych Osobowych również przewiduje kary. Art. 51 mówi o tym, że osoba administrująca danymi osobowymi lub odpowiadająca za ich ochronę, w przypadku udostępnienia ich ludziom niepowołanym, musi liczyć się z karą grzywny, a także ograniczenia lub pozbawienia wolności nawet do dwóch lat. Trzeba przypomnieć, że nieprawidłowe zniszczenie dokumentów może zakończyć się dostępem do nich przez stronę trzecią, co stanowi poważne naruszenie zasad.
Jak niszczyć dokumenty w prawidłowy sposób?
RODO nie wskazuje konkretnych metod niszczenia dokumentacji. Wymaga jedynie, aby proces odbył się z zachowaniem wszelkich środków ostrożności. W efekcie nie powinna zaistnieć możliwość odczytu danych przez kogokolwiek. Dopuszcza się więc np. samodzielne niszczenie dokumentów. Na taki krok decydują się zwłaszcza niewielkie firmy. Duże przedsiębiorstwa muszą jednak liczyć na pomoc z zewnątrz. Przetworzenie tysięcy, jeśli nie dziesiątek tysięcy danych bez wsparcia specjalistów może okazać się niezwykle trudne dla większej firmy.
Jeśli chodzi o niszczenie dokumentów kara może nie tylko negatywnie wpłynąć na finanse przedsiębiorstwa, ale również na zaufanie klientów. Dlatego zawsze warto zwrócić się do profesjonalistów zajmujących się bezpiecznym usuwaniem danych.
Najczęściej zadawane pytania
Oto najczęściej zadawane przez naszych klientów pytania dotyczące konsekwencji niewłaściwego niszczenia danych, odpowiedzialności administratora oraz sposobów ograniczania ryzyka naruszeń bezpieczeństwa informacji.
Tak. Jeżeli dokumenty zawierają dane osobowe lub inne informacje poufne, wyrzucenie ich do zwykłego kosza bez wcześniejszego zniszczenia może zostać uznane za naruszenie zasad bezpieczeństwa przetwarzania danych. W takiej sytuacji istnieje ryzyko, że osoby nieuprawnione uzyskają dostęp do informacji, co może skutkować koniecznością zgłoszenia naruszenia do Prezesa UODO oraz poinformowania osób, których dane dotyczą. Dlatego dokumenty zawierające dane osobowe powinny być niszczone w sposób uniemożliwiający ich odtworzenie.
Tak, administrator danych nadal ponosi odpowiedzialność za zgodność procesu z przepisami, nawet jeśli korzysta z usług zewnętrznego wykonawcy. Dlatego wybór firmy zajmującej się profesjonalnym niszczeniem dokumentów nie powinien być przypadkowy. Warto zwrócić uwagę, czy stosuje ona odpowiednie procedury bezpieczeństwa, działa zgodnie z normą ISO 21964, zapewnia kontrolę nad transportem dokumentów oraz wystawia certyfikat potwierdzający ich zniszczenie. Dzięki temu przedsiębiorca może wykazać, że dochował należytej staranności przy wyborze usługodawcy.
Najlepsze efekty przynosi wdrożenie jasno określonej procedury postępowania z dokumentacją. Powinna ona obejmować regularny przegląd archiwum, kontrolę okresów przechowywania, wyznaczenie osób odpowiedzialnych za kwalifikowanie dokumentów do zniszczenia oraz stosowanie bezpiecznych metod ich utylizacji. W przypadku większych organizacji dobrym rozwiązaniem jest również korzystanie z zamykanych pojemników na dokumenty przeznaczone do zniszczenia oraz cyklicznych odbiorów realizowanych przez wyspecjalizowaną firmę. Takie rozwiązanie znacząco ogranicza ryzyko przypadkowego ujawnienia danych i ułatwia zachowanie zgodności z przepisami.