RODO w B2B: Fakty, mity i bezpieczeństwo platformy

B2B Master Class z Katarzyną Antkowiak

W jubileuszowym, 10. odcinku B2B Master Class Tomasz Grzemski rozmawia z Katarzyną Antkowiak, radcą prawnym z kancelarii Antkowiak Gębiak Kaszkowiak. Choć RODO kojarzy się głównie z konsumentami i stertą papierowych klauzul, w świecie B2B jest równie istotne – i często bagatelizowane. Z tego odcinka dowiesz się, dlaczego „segregator z napisem RODO” nie chroni Twojej firmy, jak bezpiecznie projektować platformę sprzedażową zgodnie z zasadą Privacy by Design oraz co zrobić w pierwszych 72 godzinach po wykryciu wycieku danych.

Kluczowe punkty odcinka

• RODO dotyczy także B2B – dane jednoosobowych działalności gospodarczych oraz służbowe adresy e-mail pracowników kontrahentów podlegają ochronie prawnej.
• Privacy by Design – o bezpieczeństwie danych należy myśleć na etapie projektowania platformy B2B, a nie po jej uruchomieniu.
• Analiza ryzyka to proces ciągły – nowe funkcjonalności (np. płatności, marketing) mogą tworzyć nowe luki bezpieczeństwa, które trzeba na bieżąco łatać.
• Umowa z Software Housem jest kluczowa – precyzyjne zapisy o powierzeniu danych i odpowiedzialności za aktualizacje (np. łatki bezpieczeństwa) chronią właściciela biznesu.
• Transfer danych do USA i Ukrainy – nowe regulacje (Data Privacy Framework) ułatwiają korzystanie z narzędzi amerykańskich (Google, Microsoft), ale wymagają weryfikacji certyfikatów.
• Czynnik ludzki to najsłabsze ogniwo – większość incydentów wynika z błędów pracowników (zgubione telefony, niezablokowane ekrany), a nie z wyrafinowanych ataków hakerskich.

Mity RODO w B2B: Segregator vs. System

Katarzyna Antkowiak rozprawia się z mitem, że RODO dotyczy tylko konsumentów (B2C). W relacjach biznesowych (B2B) wciąż przetwarzamy dane osobowe: imiona i nazwiska w nazwach firm (JDG), dane pracowników w stopkach mailowych czy numery telefonów służbowych.

RODO sprowadza się do tego, żeby dostrzec człowieka. Jeżeli w nazwie firmy widzimy imię i nazwisko, to musimy sobie uświadomić, że mamy do czynienia z danymi osobowymi.” – Katarzyna Antkowiak

Częstym błędem wdrożeniowym z 2018 roku było podejście biurokratyczne – drukowanie tysięcy klauzul i wpinanie ich w segregatory. Tymczasem RODO to nie dokumentacja papierowa, lecz żywy system ochrony danych, który musi ewoluować wraz z firmą. Bagatelizowanie tych przepisów („mnie to nie dotyczy”) naraża firmę nie tylko na kary, ale przede wszystkim na straty wizerunkowe w oczach profesjonalnych kontrahentów.

Komunikacja handlowa i Cold Mailing

Jak legalnie nawiązać relację biznesową? Ekspertka wyjaśnia, że w B2B możemy opierać się na tzw. prawnie uzasadnionym interesie administratora. Jeśli otrzymaliśmy wizytówkę lub wymieniliśmy maile w kontekście biznesowym, możemy wysłać ofertę powiązaną z rolą zawodową danej osoby, nie naruszając drastycznie jej prywatności. Kluczem jest kontekst – pracownik firmy musi liczyć się z otrzymywaniem korespondencji służbowej. Ważne jednak, aby w pierwszej wiadomości (np. w stopce) zawrzeć tzw. warstwowy obowiązek informacyjny – krótki link do polityki prywatności, wyjaśniający kto i po co przetwarza dane.

Bezpieczeństwo: Czynnik ludzki i Cyberhigiena

Najwięcej wycieków danych nie jest dziełem hakerów, lecz wynikiem błędów ludzkich: zgubionych dokumentów, niezabezpieczonych telefonów czy haseł przyklejonych na monitorze.

„Najwięcej błędów wydarza się w zwykłych czynnościach pracowniczych. Szefowie często nie mają świadomości, jak cennym aktywem w systemie ochrony danych jest pracownik.” – Katarzyna Antkowiak

Katarzyna Antkowiak podkreśla, że podstawowe zasady cyberbezpieczeństwa (szyfrowanie dysków, uwierzytelnianie dwuskładnikowe 2FA, blokowanie ekranu) są skuteczniejsze i tańsze niż skomplikowane systemy IT. Świadomość pracowników jest pierwszą linią obrony – wiedza o tym, by nie zostawiać umów w samochodzie na parkingu, może uratować firmę przed poważnym incydentem.

Wdrożenie Platformy B2B: Privacy by Design

Decyzja o budowie platformy e-commerce B2B to moment, w którym należy przeprowadzić analizę ryzyka. Trzeba ustalić: gdzie będą stały serwery, jakie dane zbieramy i kto będzie miał do nich dostęp. Katarzyna Antkowiak przestrzega przed myśleniem o RODO dopiero po uruchomieniu sklepu – to za późno.

„Zastanawianie się nad RODO w momencie, w którym mamy już postawioną platformę B2B, to już jest o krok za daleko i za późno.” – Katarzyna Antkowiak

Kluczowa jest weryfikacja umowy z dostawcą IT (Software Housem). Umowa powierzenia danych nie powinna być szablonem z internetu, lecz precyzyjnie określać odpowiedzialność za aktualizacje bezpieczeństwa (tzw. łatki). Jeśli w umowie nie ma zapisu o obowiązku łatania luk przez dostawcę, w razie wycieku odpowiedzialność spadnie na zarząd firmy zamawiającej.

Transfer danych (USA, Ukraina) i Incydenty

Gość odcinka wyjaśnia aktualny status transferu danych poza UE. W przypadku USA, dzięki nowemu porozumieniu, możemy bezpiecznie korzystać z usług certyfikowanych firm (np. Google, Microsoft, Adobe), weryfikując ich status na liście Data Privacy Framework. W przypadku rynków wschodnich (np. Ukraina) czy firm niecertyfikowanych, konieczne jest stosowanie standardowych klauzul umownych i samodzielna ocena ryzyka. A co, gdy dojdzie do wycieku?

„Nieważne co byśmy zrobili, jak ktoś nam będzie chciał wykraść dane, to nam je wykradnie. My musimy wykazać, że zrobiliśmy wszystko, co możliwe, by temu zapobiec.” – Katarzyna Antkowiak

Mamy 72 godziny na zgłoszenie incydentu do Prezesa UODO. Procedura powinna być jasna: najpierw gasimy pożar (zabezpieczamy system), potem szacujemy straty i informujemy poszkodowanych klientów – nie tylko przepraszając, ale instruując ich, jak mogą się zabezpieczyć (np. zastrzec PESEL).

Podziękowania

Dziękujemy Katarzynie Antkowiak, radcy prawnemu z Kancelarii Antkowiak Gębiak Kaszkowiak, za udział w cyklu B2B Master Class i praktyczne spojrzenie na RODO w kontekście biznesowym.

Ten odcinek pokazuje, że ochrona danych osobowych w B2B to nie biurokratyczny obowiązek, ale element budowania wiarygodności i bezpieczeństwa całej organizacji. Segregator z dokumentami nie zastąpi realnych procedur – Privacy by Design, świadomości pracowników i precyzyjnych zapisów w umowie z dostawcą IT. A 72 godziny na zgłoszenie incydentu mijają szybciej, niż się wydaje, jeśli firma nie ma gotowego planu działania.