Stopka mailowa a RODO: co naprawdę mówi rozporządzenie

Podpis e-mail pokazuje imię i nazwisko, stanowisko i służbowe dane kontaktowe możliwej do zidentyfikowania osoby. To dane osobowe, a ich przetwarzanie podlega RODO. Nie czyni to tematu skomplikowanym, ale wymaga kilku sprawdzeń, których wiele organizacji nigdy nie przeprowadziło.

Ten artykuł przedstawia ogólne ramy. Nie zastępuje analizy Twojego inspektora ochrony danych ani doradcy prawnego – tylko oni mogą ocenić Twoją sytuację.

Co w podpisie podlega RODO

Rozporządzenie dotyczy danych pozwalających zidentyfikować osobę fizyczną, bezpośrednio lub pośrednio. To, że dane są służbowe, nie wyłącza ich z zakresu RODO.

W podpisie obejmuje to: imię i nazwisko, stanowisko, służbowy adres e-mail, służbowy telefon, dział i lokalizację, a ewentualnie także zdjęcie.

To, że informacje te są przeznaczone do udostępniania, nie zmienia ich charakteru: pozostają danymi osobowymi przetwarzanymi przez Twoją organizację.

Podstawa prawna przetwarzania

To pytanie wraca najczęściej: czy trzeba prosić pracowników o zgodę?

W relacji pracodawca–pracownik zgoda jest kruchą podstawą prawną. Stosunek podporządkowania utrudnia wykazanie, że została wyrażona dobrowolnie, a zgoda, którą można wycofać w każdej chwili, źle pasuje do rozwiązania wdrożonego w całej firmie.

Zwykle przyjmowane podstawy to wykonanie umowy o pracę – pracownik musi być identyfikowalny w korespondencji służbowej – albo prawnie uzasadniony interes pracodawcy w utrzymaniu spójnej komunikacji. Dokładną kwalifikację powinien określić Twój IOD.

Inaczej jest ze zdjęciem: jego publikacja rzadko jest niezbędna do wykonania umowy, więc zgoda jest tu częściej właściwą podstawą. To kolejny argument za tym, by zdjęcie było opcjonalne, a nie narzucone szablonem.

Zasada minimalizacji w praktyce

Art. 5 wymaga ograniczenia przetwarzanych danych do tego, co niezbędne do celu. W przypadku podpisu przekłada się to bardzo prosto: synchronizuj wyłącznie pola, które faktycznie pojawiają się w podpisie.

Jeśli Twój szablon pokazuje imię i nazwisko, stanowisko, dział i telefon komórkowy, nie ma żadnego powodu, by pobierać datę zatrudnienia, numer ewidencyjny czy przełożonego – nawet jeśli katalog je zawiera i nawet jeśli API je udostępnia.

To punkt weryfikowalny i weryfikowany podczas przeglądów zgodności. Dokładny zakres danych, które synchronizujemy, podajemy na stronie bezpieczeństwo i RODO.

Relacja z dostawcą: powierzenie przetwarzania

Narzędzie do zarządzania podpisami przetwarza dane osobowe w imieniu Twojej firmy. Jest więc podmiotem przetwarzającym w rozumieniu art. 28, a Twoja firma pozostaje administratorem.

Ta kwalifikacja pociąga za sobą konkretne obowiązki. Trzeba zawrzeć umowę powierzenia przetwarzania danych, określającą cele, kategorie danych, okresy przechowywania, środki bezpieczeństwa i los danych po zakończeniu umowy. Należy przekazać listę ewentualnych dalszych podmiotów przetwarzających – w szczególności dostawcy hostingu. A dostawca musi wspierać Cię przy realizacji praw osób lub w razie incydentu.

Poproś o te informacje na piśmie przed podpisaniem umowy, niezależnie od dostawcy.

Prawa osób, których dane dotyczą

Pracownik może wykonywać swoje prawa w odniesieniu do dotyczących go danych. W praktyce, w przypadku podpisu, realnie pojawiają się dwa z nich.

Prawo do sprostowania. Błędne stanowisko, nieaktualny numer. Operacyjnie wystarczy poprawić katalog: podpis podąży za zmianą. To bezpośrednia korzyść z synchronizacji – zobacz synchronizacja podpisów z katalogiem.

Prawo do sprzeciwu. Może dotyczyć konkretnego elementu, zwykle zdjęcia albo prywatnego numeru komórkowego. Stąd sens przewidzenia pól opcjonalnych zamiast całkowicie sztywnego szablonu.

Całkowite usunięcie danych jest raczej teoretyczne: pracownik nie może sprzeciwić się temu, by jego nazwisko pojawiało się w jego korespondencji służbowej, bo ta identyfikacja wynika z wykonywania umowy.

Pytania, które warto zadać dostawcy

Pięć pytań, które obejmują najważniejsze elementy przeglądu zgodności:

1. Jakie dane są dokładnie synchronizowane i czy można ograniczyć ten zakres?
2. Czy treść e-maili jest w jakimkolwiek momencie dostępna dla narzędzia? – zobacz czy narzędzie do podpisów może czytać Twoje e-maile.
3. Gdzie są przechowywane dane i pod jaką jurysdykcją? – zobacz suwerenność danych.
4. Czy dostawca zapewnia umowę powierzenia i jakie dalsze podmioty przetwarzające w niej wymienia?
5. Co dzieje się z danymi po zakończeniu umowy i w jakim terminie?

Odpowiedzi muszą być udzielone na piśmie. Dostawca, który odpowiada na te pytania ustnie, nie daje Ci żadnej ochrony.

Co nie jest kwestią RODO

Na koniec przydatne wyjaśnienie: baner kampanii wstawiony w podpis nie stanowi przetwarzania danych odbiorcy. Nie dodajesz go do żadnej listy ani go nie profilujesz; wyświetlasz obraz w wiadomości, którą Twój pracownik i tak do niego wysyła.

Warto jednak zasięgnąć opinii IOD, jeśli Twoje banery stają się czysto promocyjne i wprowadzasz imienne śledzenie kliknięć – zobacz stronę kampanie.