Jak zatrudnić freelancera zgodnie z RODO

Jak zatrudnić freelancera zgodnie z RODO: przewodnik krok po kroku

Zatrudnienie freelancera zwykle idzie szybko. RODO — nie, dlatego temat zatrudnienie freelancera RODO warto uporządkować zanim projekt ruszy pełną parą.

Jeśli Twój projekt obejmuje imiona i nazwiska, adresy e-mail, faktury, dokumenty tożsamości, dane logowania albo informacje o płatnościach, to już przetwarzasz dane osobowe. To oznacza, że potrzebujesz procesu, a nie przeczucia. Dobra wiadomość jest taka, że ten proces może być prosty, nawet w małym zespole, który zatrudnia jednego projektanta, jednego developera albo jednego tłumacza na dwutygodniowe zlecenie.

Ten poradnik, jak zatrudnić freelancera zgodnie z RODO, przeprowadza przez kwestie, które naprawdę mają znaczenie w projektach, a nie w teorii. Lepszy onboarding dziś może oszczędzić chaotycznego sprzątania później, zwłaszcza gdy klient, freelancer i podwykonawca pracują na tym samym folderze; innymi słowy, freelancer a RODO to relacja, którą trzeba zaplanować, a nie tylko zaakceptować.

1. Zrozum, kiedy RODO ma zastosowanie do współpracy z freelancerem

RODO ma zastosowanie, gdy dane osobowe są zbierane, przechowywane, udostępniane lub w inny sposób przetwarzane w kontekście UE. Projekt z freelancerem łatwo to uruchamia. Już zwykły e-mail z ofertą zawiera imię i dane kontaktowe. Podpisana umowa dodaje kolejne informacje. Przelew bankowy dorzuca dane płatnicze. Trzy dokumenty, jeden problem prawny.

Jeśli freelancer pracuje na danych Twoich klientów, listach kontaktów albo plikach wewnętrznych, ryzyko rośnie. Nawet małe zadanie marketingowe może obejmować nazwiska klientów i zapisy kampanii. Firma jednoosobowa nadal jest firmą, a prawo nie czeka, aż urośniesz do określonej liczby pracowników.

Zanim zatrudnisz, zadaj jedno proste pytanie: czy freelancer zobaczy, będzie przechowywać albo przenosić dane osobowe? Jeśli odpowiedź brzmi tak, traktuj współpracę jako relację istotną z punktu widzenia RODO. To moment, w którym zwykły łańcuch maili przestaje wystarczać.

Niektóre zespoły pomijają ten krok, bo zadanie brzmi niewinnie. Brief na logo wygląda niewinnie. Płatne zadanie testowe też wygląda niewinnie. A potem freelancer potrzebuje dostępu do bazy kontaktów z 120 osobami i zasady zmieniają się błyskawicznie.

2. Określ, jakie dane osobowe będą przetwarzane

Wypisz każdy rodzaj danych, który może pojawić się w projekcie. Zacznij od danych kontaktowych: imię i nazwisko, służbowy e-mail, numer telefonu, stanowisko. Potem przejdź do umów, faktur, danych podatkowych, identyfikatorów płatności, dokumentów tożsamości i danych dostępowych. Każdy element ma swój cel. Każdy element niesie też ryzyko.

Faktury są czymś powszechnym. Umowy też. Dokumenty tożsamości są już trudniejsze. Jeśli prosisz o skan paszportu tylko dlatego, że „dział finansowy tak woli”, zatrzymaj się. Sprawdź, czy ten dokument jest naprawdę potrzebny do pracy, metody płatności albo weryfikacji prawnej. Często nie jest.

Dane freelancera mogą też obejmować próbki pracy, linki do profili, adresy IP z narzędzi projektowych i wiadomości w komunikatorach. Kierownik projektu może myśleć tylko o umowie, ale rzeczywisty ślad danych jest szerszy. Jeden wątek na Slacku może zawierać pięć danych osobowych i nikt tego nie zauważy.

Praktyczny podgląd zapisów po stronie platform znajdziesz w sekcji wszystkie tagi na rynku freelance. Może to pomóc myśleć kategoriami, a nie ogólnym „danymi projektu”.

Zapisz rodzaje danych na krótkiej liście. W wielu projektach wystarczy pięć punktów. Jeśli nie potrafisz wypisać danych, nie potrafisz ich chronić.

3. Wybierz właściwą rolę RODO dla Waszej współpracy

Pierwsza rola do sprawdzenia to administrator. Jeśli Twoja firma decyduje, dlaczego i w jaki sposób dane osobowe freelancera są wykorzystywane, najpewniej jesteś administratorem. To częste, gdy zatrudniasz freelancera przez własny proces zakupowy albo HR.

Rola podmiotu przetwarzającego pojawia się wtedy, gdy freelancer przetwarza dane osobowe na Twoje polecenie. Administrator strony, który obsługuje dane klientów dla Twojej firmy, może pasować do tego modelu. W takim przypadku umowa wymaga większej staranności, bo freelancer nie jest tylko dostawcą — przetwarza dane dla Twoich celów.

Współadministrowanie pojawia się wtedy, gdy obie strony wspólnie decydują o celu i sposobie przetwarzania. To mniej częste, ale może wystąpić przy kampaniach markowych, wspólnych badaniach albo projekcie partnerskim ze współdzielonymi bazami danych. Dwie strony, jeden zestaw decyzji, więcej formalności.

Nie zgaduj. Rozpisz proces decyzyjny. Kto wybiera narzędzia? Kto decyduje o retencji? Kto mówi freelancerowi, do czyich danych ma dostęp? Odpowiedzi wskazują rolę. Jeśli odpowiedzi są podzielone, rola może być podzielona także.

Pomaga prosty test: jeśli freelancer może wybrać sposób wykonania zadania, ale nie jego cel, to zwykle Twoja firma ma kontrolę. Jeśli obie strony decydują o celu, umowa powinna to jasno opisać. Niejasność rodzi później zamieszanie, a zamieszanie — opóźnienia.

Jeśli chcesz szerszej checklisty zatrudniania, jak bezpiecznie zatrudnić freelancera będzie dobrym uzupełnieniem. RODO to tylko część bezpieczeństwa, ale ta część robi się kosztowna, gdy się ją zignoruje.

4. Wprowadź odpowiednie zapisy umowne

Umowa z freelancerem powinna robić więcej niż tylko określać cenę i termin. Powinna też opisywać obowiązki związane z danymi. Dodaj zapisy o poufności, obowiązkach bezpieczeństwa, ograniczeniach użycia danych, zwrocie danych i ich usunięciu. Jeśli praca obejmuje dane osobowe, umowa musi mówić, co dzieje się z tymi danymi od początku do końca.

Poufność nie jest tym samym co ochrona danych, ale oba elementy są ważne. Freelancer, który obiecuje, że nie pokaże danych klienta znajomym, nadal potrzebuje instrukcji dotyczących przechowywania, dostępu i usuwania. Jedna obietnica jest społeczna. Druga — operacyjna.

Dodaj klauzulę, że freelancer może używać danych osobowych wyłącznie na potrzeby projektu. Dodaj też zapis o zgłaszaniu incydentów. Jeśli laptop zaginie albo konto zostanie naruszone, freelancer powinien szybko Cię o tym poinformować.

Zwrot i usunięcie danych powinny być konkretne. Napisz, co ma zostać zwrócone, w jakim formacie i do kiedy. Potem wskaż, co trzeba usunąć. Ogólne „usuniecie wszystkiego” brzmi dobrze, ale nie wytrzymuje próby czasu.

W przypadku stron z publicznymi zasadami i oczekiwaniami onboardingowymi, strona zasady serwisu 24freelance.pro. freelance dobrze przypomina, że liczą się zapisy na piśmie. Ta sama zasada dotyczy własnych umów.

Zachowuj podpisy, wersje i daty. Umowa bez numeru wersji może zamienić się w zgadywankę po jednej poprawce. To drobny szczegół administracyjny o dużych skutkach.

5. Zbieraj i udostępniaj tylko minimum niezbędnych danych

Minimalizacja danych brzmi prosto i łatwo ją przeoczyć. Udostępniaj tylko to, czego freelancer potrzebuje do wykonania zadania. Jeśli projektant potrzebuje briefu logo, nie potrzebuje dokumentów płacowych. Jeśli tłumacz potrzebuje tekstu źródłowego, nie potrzebuje pełnego eksportu z CRM. Jedno zadanie, jeden zestaw danych.

Zanim coś wyślesz, zapytaj, czy każdy element jest naprawdę potrzebny. Nie zbieraj dokumentu tożsamości, jeśli wystarczy numer rejestracyjny firmy. Nie udostępniaj pełnej bazy klientów, jeśli do testów wystarczy próbka 20 rekordów. Małe ograniczenia też mają znaczenie.

Ograniczanie dostępu to ta sama zasada. Przyznaj freelancerowi dostęp tylko do folderów, zgłoszeń lub systemów, których potrzebuje. Odbierz dostęp po zakończeniu pracy. To brzmi banalnie, bo takie właśnie jest.

Udostępniaj możliwie najmniejszą potrzebną ilość wrażliwych informacji. Jeśli freelancer potrzebuje tylko nazwisk, nie wysyłaj też imion. Jeśli wystarczą zamaskowane referencje kart, nie przekazuj pełnej historii płatności. Dane rozchodzą się szybko, gdy raz opuszczą skrzynkę odbiorczą.

Niektóre zespoły zbierają za dużo, bo boją się, że czegoś potem zabraknie. Najczęściej właśnie to tworzy późniejszy problem. Lekki zestaw plików łatwiej wyjaśnić, zabezpieczyć i usunąć.

6. Ustal bezpieczne zasady pracy i komunikacji

Bezpieczna komunikacja nie wymaga dziesięciu narzędzi. Wymaga jasnych nawyków. Jeśli to możliwe, używaj firmowego e-maila do wiadomości projektowych. Unikaj wysyłania wrażliwych załączników przez przypadkowe prywatne konta. Jeśli plik jest ważny, kanał też ma znaczenie.

Do udostępniania plików używaj kontrolowanych linków z datą wygaśnięcia, jeśli system to umożliwia. Zabezpieczaj hasłem archiwa z danymi wrażliwymi, gdy jest to potrzebne, a hasło wysyłaj osobnym kanałem. Ten mały podział zmniejsza ryzyko. Ogranicza też sytuację, w której przekazany dalej e-mail staje się pełnym przekazaniem danych.

Ochrona urządzeń ma znaczenie, jeśli freelancer pracuje na danych klientów lub plikach wewnętrznych. Poproś o blokadę ekranu, aktualne oprogramowanie i podstawową ochronę przed malware. Jeśli projekt jest wysokiego ryzyka, wymagaj pracy wyłącznie na zabezpieczonym urządzeniu. Jeden zgubiony laptop może dotknąć wielu osób.

Uważaj na publiczne Wi‑Fi, współdzielone komputery i otwarte przestrzenie do pracy. Freelancer pracujący z kawiarni nadal może wykonać świetną robotę. Ale sesja logowania pozostawiona otwarta na współdzielonym urządzeniu może ujawnić projekt w kilka minut. To nie jest dramatyzowanie. To codzienność.

Jeśli projekt obejmuje systemy chmurowe, porównaj konfigurację dostępu z podstawami opisanymi w artykule o technologii przetwarzania w chmurze. Uprawnienia dostępu, własność konta i lokalizacja przechowywania mają wpływ na zgodność z RODO.

Nie wysyłaj wrażliwych danych w długich wątkach czatu, jeśli dostępny jest bezpieczny portal. Czat nadaje się do przypomnień. Czat jest słaby jako miejsce przechowywania zapisów. Trzymaj dokumentację tam, gdzie później ją znajdziesz, a ryzyko tam, gdzie możesz nad nim zapanować.

7. Prawidłowo obsługuj przechowywanie, retencję i usuwanie

Retencja to obszar, w którym wiele projektów freelancerskich się rozmywa. Ktoś trzyma umowę „na wszelki wypadek”. Ktoś inny zapisuje fakturę na zawsze. Ktoś kopiuje pliki do trzech folderów i zapomina o najstarszym. To nie jest strategia.

Ustal okresy przechowywania dla każdego rodzaju dokumentu. Umowy mogą wymagać dłuższego przechowywania niż pliki robocze. Faktury trzeba czasem zachować ze względów podatkowych lub księgowych. Szkice, tymczasowe eksporty i pliki testowe zwykle nie mają powodu, by zostać po zakończeniu projektu.

Zarchiwizuj to, co potrzebne, i usuń to, co zbędne. Archiwizacja utrzymuje dokumenty prawne i księgowe w dostępie, bez pozostawiania aktywnych danych projektowych w obiegu. Usunięcie powinno być realnym usunięciem, a nie „chyba skasowałem z pulpitu”. Sprawdź, jeśli to możliwe, foldery chmurowe, zsynchronizowane urządzenia, kopie zapasowe i kopie lokalne.

Poproś freelancera o potwierdzenie usunięcia danych po zakończeniu pracy. Umieść to potwierdzenie na piśmie. Jeśli korzystał z podwykonawców albo współdzielonych narzędzi, ten krok powinien obejmować także te ścieżki. Jedna zapomniana kopia może zniweczyć całe sprzątanie.

Jeśli wewnętrznie prowadzisz ocenę freelancerów, ta sama dyscyplina dotyczy też dokumentowania. Więcej na ten temat znajdziesz w artykule o opinie o freelancerach jako części szerszego nawyku prowadzenia zapisów. Notatki powinny być użyteczne, krótkie i przechowywane tylko tak długo, jak służą konkretnemu celowi.

Nigdy nie przechowuj danych projektowych przez przypadek. Przypadek nie jest podstawą prawną. To po prostu problem do sprzątnięcia, który czeka na termin.

8. Stwórz prostą checklistę RODO do przyszłych współprac z freelancerami

Checklista zamienia jeden dobry proces w dziesięć powtarzalnych. Zacznij od onboardingu: czy ten freelancer potrzebuje danych osobowych, tak czy nie? Potem sprawdź rolę, umowę, minimalny zestaw danych, sposób dostępu i plan usunięcia. Sześć kroków może objąć większość małych projektów.

Trzymaj checklistę na tyle krótką, żeby ktoś naprawdę chciał z niej korzystać. Dwustronicowy formularz może działać. Dwudziestostronicowa polityka zwykle nie. Celem nie jest papier dla samego papieru. Celem jest mniej błędów.

Używaj tej samej listy dla projektantów, developerów, copywriterów i asystentów, a potem dodaj jeden lub dwa elementy specyficzne dla roli. Developer może potrzebować dostępu do repozytorium. Copywriter może potrzebować wywiadów źródłowych. Księgowy może potrzebować faktur i historii płatności. Różne zadania, te same kluczowe pytania.

Przechowuj checklistę razem z umową i briefem projektu. Dzięki temu kolejny menedżer zobaczy, co zostało zatwierdzone, co udostępniono i co usunięto. Brak dokumentacji tworzy później dodatkową pracę, zwłaszcza jeśli klient zapyta, dlaczego dany dokument został w ogóle zebrany.

Jeśli chcesz zbudować powtarzalny proces dla różnych typów freelancerów, freelance dla projektantów jest dobrym przykładem tego, jak ustawienie projektu zmienia się w zależności od roli, podczas gdy podstawy RODO pozostają takie same.

Na koniec przyjmij prosty nawyk: po każdym projekcie przejrzyj checklistę i zadaj jedno pytanie: „Co zebraliśmy, choć nie było nam potrzebne?” To jedno zdanie wyłapuje więcej problemów niż cały folder szkiców polityk.