Wielu polskich przedsiębiorców w Wielkiej Brytanii przechowuje dane klientów: numery telefonów, adresy e-mail, adresy dostaw czy szczegóły zleceń. W pewnych sytuacjach wiąże się to z obowiązkiem uiszczenia data protection fee na rzecz Information Commissioner’s Office (ICO). Nie każda firma płaci tę opłatę, ale sam fakt prowadzenia małej działalności lub pracy jako self-employed nie oznacza automatycznego zwolnienia.
Do czego służy opłata ICO?
Data protection fee jest obowiązkiem przewidzianym dla wielu organizacji przetwarzających dane osobowe w Wielkiej Brytanii, o ile nie ma zastosowania wyjątek. Nie należy mylić go z opłatą za ochronę prawną firmy ani z zakupem certyfikatu, który miałby sam w sobie potwierdzać zgodność z przepisami. Uiszczenie opłaty nie zwalnia z zasad ochrony danych, a brak obowiązku zapłaty również nie usuwa odpowiedzialności za prawidłowe przetwarzanie informacji o klientach.
Czy self-employed i LTD podlegają tym samym zasadom?
O konieczności zapłaty nie decyduje wyłącznie forma działalności. Zarówno osoba samozatrudniona, jak i spółka LTD może przetwarzać dane klientów w sposób objęty obowiązkiem opłaty. Istnieją wyjątki, zależne m.in. od celu i charakteru przetwarzania. Dlatego dwie pozornie podobne firmy mogą uzyskać różny wynik w oficjalnym narzędziu oceny ICO.
Przykładowo: jednoosobowy wykonawca otrzymujący tylko niezbędne dane kontaktowe klientów ma inny profil przetwarzania niż przedsiębiorca prowadzący rozbudowane kampanie marketingowe, analizę zachowań użytkowników i bazę kontaktów do wielokrotnej sprzedaży. Nie przesądza to z góry wyniku, ale pokazuje, dlaczego należy sprawdzić faktyczny sposób wykorzystania danych.
Co sprawdzić przed rejestracją?
- Spisz, jakie dane osobowe zbiera firma i skąd je otrzymuje.
- Określ, do jakich celów są wykorzystywane: realizacja zlecenia, wystawienie faktury, marketing, monitoring wizyjny czy inne działania.
- Ustal, czy firma działa jako administrator danych czy przetwarza je w imieniu innego podmiotu.
- Skorzystaj z oficjalnego narzędzia ICO do ustalenia obowiązku opłaty.
- Zachowaj potwierdzenie dokonanej oceny oraz informacje potrzebne do jej ponownego sprawdzenia po zmianie działalności.
Opis „nie zatrudniam pracowników” nie wystarcza do odpowiedzi. Tak samo brak własnej strony internetowej nie gwarantuje zwolnienia, jeżeli firma gromadzi i wykorzystuje dane osobowe w inny sposób.
Ile wynosi opłata i od czego zależy?
ICO stosuje poziomy opłat zależne od kategorii organizacji, jej wielkości oraz właściwych kryteriów. Aktualne stawki oraz sposób kwalifikacji należy sprawdzić bezpośrednio w serwisie urzędu w momencie składania zgłoszenia. Nie warto przyjmować kwoty podanej w przypadkowym e-mailu lub przez firmę oferującą płatne pośrednictwo.
Jeżeli otrzymasz pismo przypominające o opłacie, zweryfikuj je, wpisując samodzielnie oficjalny adres urzędu w przeglądarce. Nie korzystaj w ciemno z odnośników w wiadomościach sugerujących natychmiastową karę.
Czy brak opłaty oznacza, że RODO nie dotyczy firmy?
Nie. Zwolnienie z data protection fee, jeśli rzeczywiście przysługuje, dotyczy określonego obowiązku administracyjnego. Właściwe zasady UK GDPR i Data Protection Act mogą nadal mieć zastosowanie do przechowywania danych, obsługi zapytań klientów czy bezpieczeństwa informacji. Przedsiębiorca powinien umieć wyjaśnić, po co posiada dane i jak je zabezpiecza.
Kiedy trzeba ponownie ocenić swój obowiązek?
Wróć do oceny po rozpoczęciu nowych działań, takich jak kampanie do bazy kontaktów, wprowadzenie monitoringu wizyjnego, uruchomienie nowych usług opartych na danych osobowych lub istotna zmiana skali firmy. Nie zakładaj, że odpowiedź uzyskana kilka lat temu pozostaje właściwa przy zupełnie innej działalności.
Jak uniknąć najczęstszej pomyłki?
Najpierw ustal, jakie przetwarzanie danych faktycznie wykonujesz, a dopiero potem sprawdzaj płatność. Nie traktuj rejestracji w Companies House, otrzymania numeru UTR ani otwarcia rachunku firmowego jako automatycznego rozstrzygnięcia w sprawie ICO. To odrębne obowiązki i rejestry.