Ochrona baz danych osobowych

Przeczytaj także: E-commerce a nowa ustawa o ochronie danych osobowych

Ubiegły rok pod względem nadesłanych skarg do GIODO był rekordowy – urzędnicy otrzymali 1 879 zażaleń. Ponadto, aż 4 911 osób zwróciło się do Generalnego Inspektora Ochrony Danych Osobowych z prośbą o interpretację przepisów – to o tysiąc wniosków więcej niż w roku poprzednim.

Zainteresowanie legalnością działań w obszarze danych osobowych jest w Polsce coraz większe, bo w ciągu ostatnich czterech lat ogólna liczba zapytań i skarg wzrosła czterokrotnie. Zatem jak operować bazą danych, aby nie wpaść pod kontrolę urzędników GIODO?

Zbieranie danych osobowych przez wyszukanie ich w Internecie czy kopiowanie adresów ze stron internetowych jest działaniem nielegalnym. Podobnie jak uniknięcie klauzuli zgody na ich przetwarzanie i niepoinformowanie właściciela, że informacje na jego temat znajdują się w bazie. W praktyce marketingowej wielu przedsiębiorstw jest wysyłanie oferty handlowej za pośrednictwem adresów e-mail, dostępnych na stronach różnych podmiotów gospodarczych. Jednak niewielu z nich zdaje sobie sprawę, że adresy tam zamieszczone mają ułatwić kontakt interesantom tej firmy, a nie odwrotnie – promocję oferty i usług innych przedsiębiorstw. Jeśli już niezamówiona informacja handlowa została wysłana do konkretnej firmy lub osoby, to obowiązkiem nadawcy jest poinformowanie o możliwości zrezygnowania z przyjmowania tych treści.

Każdy rodzaj przetwarzania danych wymaga podstawy prawnej. To nic innego jak zgoda właściciela informacji osobowych. Polskie przepisy wymagają wyraźnego sformułowania klauzuli zgody i oddzielenia jej od pozostałych oświadczeń woli składanych przez właściciela. Ponadto, posiada on pełne prawo do wglądu w przetwarzane zasoby, ich modyfikacji i ewentualnego cofnięcia zgody w każdej chwili. Ponadto, obowiązkiem jest poinformowanie właściciela danych osobowych, które informacje na jego temat są przetwarzane i w jakim celu. Posiadaną bazę informacji należy jednak chronić nie tylko ze względu na prawa osób w niej uwzględnionych, ale także na jej znaczenie w realizacji celów marketingowych, a w konsekwencji – również biznesowych. Dobrze przygotowana baza, umożliwiająca zawiązanie intratnych kontraktów i odnalezienie wartościowego partnera dla firmy, niesie ze sobą konkretny zysk.

Profesjonalne bazy danych są dziś kluczowym elementem realizowanych projektów i kampanii e-marketingowych. Jak wiadomo, o skuteczności działań komunikacyjnych nie świadczy liczba kontaktów, ale ich jakość. Dlatego mając na uwadze wartość biznesową dobrze zorganizowanej bazy, należy dołożyć wszelkich starań do zabezpieczenia zasobów informacyjnych, aby zminimalizować ryzyko nieuprawnione.

Jak bezpiecznie pozyskać bazę?

W działaniach marketingowych najbezpieczniejszą metodą jest budowa własnej bazy danych. Gwarantuje to aktualność gromadzonych informacji i legalność ich pochodzenia. Twórca bazy, który staje się automatycznie jej tzw. administratorem, ma pełną kontrolę nad treścią uzyskiwanych zgód od właścicieli, wyznaczając zakres wykorzystania ich danych. Bezpiecznym rozwiązaniem jest także kupno gotowej bazy, o ile informacje w niej zawarte są podparte akceptacją właścicieli danych osobowych i były gromadzone legalnie. Przy zakupie gotowej bazy danych, należy jednak pamiętać o wtórnym obowiązku informacyjnym wobec osoby, której dane są częścią nabywanego zbioru. Dopełnieniem procesu tworzenia nowego zbioru jest jego rejestracja w GIODO.

Jednak o jakości nowej bazy nie świadczy tylko legalny proces jej pozyskania. Ważne jest wdrożenie procedur wewnętrznych, służących stałemu nadzorowi nad zasobami. Konieczne jest wyznaczenie Administratora Bezpieczeństwa Informacji, który byłby odpowiedzialny za zarządzanie całym systemem ochrony, audyt wewnętrzny i dokumentację, a także techniczne zabezpieczenia zbiorów.

Pułapki przy zakupie baz danych

Przy zakupie bazy danych konieczne jest sprawdzenie legalności zebranych w niej zasobów informacyjnych. Często zdarza się, że sprzedawca nie poinformował właścicieli danych, że znajdują się w bazie, nie posiada udokumentowanych ich akceptacji czy też nie uwzględnił cofnięcia zgody i rezygnacji z otrzymywania treści marketingowych. Dlatego nabywając bazę danych, należy zadbać o wgląd w treść zgód i poznać ustalony w nich zakres operowania informacjami.

Jakie dane podlegają rejestracji?

Tak naprawdę trudno jest zdefiniować kategorię baz, które podlegają obowiązkowi tzw. meldunku. Łatwiej jest wskazać zbiory, które ustawa zwalnia z tej konieczności (m.in. zbiory informacji niejawnych, przetwarzanych w związku z zatrudnieniem na podstawie umowy cywilno-prawnej, informacji dotyczących osób korzystających z usług medycznych, przetwarzanych na potrzeby kościoła lub związku wyznaniowego). W stwierdzeniu, czy posiadane przez nas zasoby danych kwalifikują się do poziomu bazy, może pomóc określenie, czy zbiór ten zawiera dane osób fizycznych, posiada pewną strukturę i czy umożliwia wyszukiwanie na podstawie przynajmniej dwóch kryteriów.

Bez względu na to, jaka jest forma prowadzenia działalności, dopiero rejestracja w GIODO prawnie umożliwia działania na posiadanych zasobach informacyjnych. Jest ona prosta, krótka i, co ważne, nie wymaga od nas przekazania całej zawartości bazy, a jedynie opisu zawartych w niej danych, osób, których one dotyczą i celu przetwarzania tych zasobów.

Działania marketingowe coraz częściej wymagają nowych kompetencji. Jednymi z najważniejszych są kompetencje w zakresie prawa, ponieważ bardzo łatwo naruszyć obowiązujące normy. Już na etapie planowania działań promocyjnych, należy mieć pewność legalności dysponowanych zasobów – informacji na temat klientów i danych osobowych. Jak wynika z art. 40 Ustawy o Ochronie Danych Osobowych, jest to obowiązek, a fakt, że coraz więcej Polaków zaczyna zdawać sobie sprawę z prawa do ochrony swoich danych, powinien zmotywować marketerów do podjęcia stosownych działań i udania się do urzędów.

Marek Wcisło, dyrektor zarządzający,