RODO nie ma taryfy ulgowej dla startupów - trzyosobowa spółka z MVP odpowiada według tych samych przepisów co korporacja. Dobra wiadomość: na etapie budowy produktu zgodność jest tania. Po launchu, przy działającej bazie użytkowników i podpisanych umowach z dostawcami, każda poprawka kosztuje wielokrotnie więcej. Oto 12 punktów do odhaczenia przed startem.
- RODO obowiązuje startupy tak samo jak korporacje - trzyosobowa spółka z MVP odpowiada według tych samych przepisów.
- Wyłączenie z rejestru czynności (art. 30) dla firm poniżej 250 pracowników prawie nigdy nie ma zastosowania do produktów cyfrowych.
- Od stwierdzenia naruszenia masz co do zasady 72 godziny na zgłoszenie do Prezesa UODO.
- Marketing elektroniczny wymaga odrębnej zgody na komunikację obok akceptacji regulaminu (Prawo komunikacji elektronicznej, listopad 2024).
- Przy pilnym launchu priorytet ratunkowy to: podstawy prawne i polityka prywatności, umowy powierzenia, cookies i procedura naruszeń.
Fundamenty prawne
1. Podstawa prawna dla każdego celu przetwarzania
Rozpisz, jakie dane zbierasz i po co - i do każdego celu przypisz jedną z podstaw z art. 6 RODO: umowa, obowiązek prawny, zgoda, prawnie uzasadniony interes (z testem równowagi na piśmie). Klasyczny błąd: „bierzemy zgodę na wszystko". Zgoda jest odwoływalna i najsłabsza operacyjnie - używaj jej tam, gdzie naprawdę jest właściwa (marketing, dane nieobowiązkowe), nie jako wytrycha.
2. Obowiązek informacyjny (art. 13-14)
Polityka prywatności to nie ozdoba stopki - musi mówić konkretnie: kto jest administratorem, jakie dane, w jakich celach, na jakich podstawach, komu przekazywane, jak długo trzymane, jakie prawa przysługują. Pisz po ludzku; warstwowo (krótka informacja + pełna polityka) działa najlepiej. I pamiętaj o momentach zbierania danych poza formularzem rejestracji: newsletter, rekrutacja, leady z LinkedIn.
3. Rejestr czynności przetwarzania (art. 30)
Tak, wyłączenie dla firm poniżej 250 pracowników istnieje - i prawie żaden startup z niego nie skorzysta, bo wyjątki (przetwarzanie niesporadyczne, dane wrażliwe, ryzyko dla praw osób) obejmują praktycznie każdy produkt cyfrowy. Prosty arkusz z czynnościami, celami, kategoriami danych, odbiorcami i retencją wystarczy na start. Bonus: rejestr to najlepsza mapa do wszystkich pozostałych punktów tej listy.
4. Umowy powierzenia (art. 28)
Hosting, analityka, CRM, mailing, wsparcie techniczne - każdy dostawca przetwarzający dane w Twoim imieniu potrzebuje umowy powierzenia (DPA). Przy dużych dostawcach SaaS zwykle akceptujesz ich standardowy DPA - ale musisz wiedzieć, że to zrobiłeś, i mieć listę procesorów. „Nie wiem, czy mamy DPA z naszym hostingiem" to jedna z pierwszych rzeczy, które wychodzą przy kontroli lub due diligence inwestora.
Produkt i dane
5. Privacy by design i by default (art. 25)
Ochrona danych ma być wbudowana w produkt, nie doklejona. W praktyce: zbieraj tylko dane potrzebne do działania funkcji, domyślne ustawienia najbardziej prywatne, dane testowe zanonimizowane, dostęp developerów do produkcji ograniczony. Pytanie kontrolne przy każdej nowej funkcji: „czy to musi zbierać te dane, żeby działać?"
6. Retencja - daty ważności danych
„Trzymamy wszystko, bo może się przyda" jest wprost sprzeczne z zasadą ograniczenia przechowywania. Ustal okresy dla każdej kategorii: konta usunięte, logi, kopie zapasowe, dane marketingowe, kandydaci z rekrutacji. I - trudniejsza część - zaprojektuj mechanizm, który faktycznie usuwa lub anonimizuje dane po terminie.
7. Zgody marketingowe
Wysyłka marketingu elektronicznego to osobny reżim (w Polsce od listopada 2024: Prawo komunikacji elektronicznej) - potrzebujesz zgody na komunikację, odrębnej od akceptacji regulaminu. Checkbox nie może być domyślnie zaznaczony, zgoda musi być odnotowana (kto, kiedy, na co) i łatwa do wycofania. Kupowanie baz „z legalnymi zgodami" - prawie nigdy nie działa tak, jak obiecuje sprzedawca.
8. Cookies i śledzenie
Bannery cookie to najbardziej widoczny element zgodności - i najczęściej zepsuty. Zasady: skrypty nie-niezbędne (analityka, marketing) odpalają się dopiero po zgodzie; „odrzuć wszystkie" jest tak samo dostępne jak „akceptuję"; jeśli używasz reklamy programmatic, potrzebujesz platformy zarządzania zgodą (CMP) zgodnej z aktualnym frameworkiem TCF. Przetestuj przed launchem, co realnie strzela w tle przed kliknięciem zgody - narzędzia developerskie przeglądarki wystarczą.
Ryzyka i procedury
9. Transfery poza EOG
Amerykański SaaS w stacku = prawdopodobnie transfer danych do państwa trzeciego. Sprawdź dla każdego dostawcy mechanizm transferu: decyzja o adekwatności (dla USA - certyfikacja w ramach Data Privacy Framework, sprawdzaj aktualny status prawny) albo standardowe klauzule umowne (SCC) wraz z oceną skutków transferu (TIA). Wpisz to do rejestru i polityki prywatności.
10. Procedura naruszeń - 72 godziny
Od stwierdzenia naruszenia masz co do zasady 72 godziny na zgłoszenie do Prezesa UODO (jeśli ryzyko dla osób nie jest mało prawdopodobne), a przy wysokim ryzyku - obowiązek zawiadomienia samych osób. 72 godziny to bardzo mało, gdy nie ma procedury: kto ocenia, kto decyduje, kto pisze zgłoszenie. Przygotuj jednostronicową procedurę i wewnętrzny rejestr naruszeń (obowiązkowy dla wszystkich naruszeń, także niezgłaszanych) zanim będą potrzebne.
11. Czy potrzebujesz DPIA?
Jeśli produkt profiluje użytkowników, ocenia ludzi, przetwarza dane wrażliwe na dużą skalę albo używa innowacyjnych technologii (AI!), możesz podpadać pod obowiązkową ocenę skutków dla ochrony danych. Zrób przynajmniej udokumentowaną ocenę progową. Pełną instrukcję znajdziesz w artykule DPIA krok po kroku.
12. Czy potrzebujesz IOD?
Obowiązek wyznaczenia Inspektora Ochrony Danych dotyczy m.in. firm, których główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę albo przetwarzaniu na dużą skalę danych wrażliwych. Startup adtech, healthtech czy HR-tech może w to wpaść szybciej, niż myśli. Analizę „etat czy outsourcing" znajdziesz w tekście o DPO zewnętrznym i wewnętrznym.
Od czego zacząć RODO w startupie, gdy czasu jest mało?
Jeśli launch jest za dwa tygodnie, kolejność ratunkowa: podstawy prawne i polityka prywatności (pkt 1-2), umowy powierzenia z kluczowymi dostawcami (pkt 4), cookies (pkt 8), procedura naruszeń (pkt 10). Reszta - w pierwszym miesiącu po starcie. Ale docelowo lista jest niepodzielna: każdy punkt to osobne ryzyko.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej.