Ochrona danych i tajemnic przedsiębiorstwa w projektach ESG jako warunek legalnego raportowania i współpracy w łańcuchu dostaw

Rosnące znaczenie raportowania ESG powoduje, że przedsiębiorstwa coraz częściej pozyskują, przetwarzają i udostępniają szeroki zakres danych niefinansowych. Informacje dotyczące wpływu środowiskowego, warunków zatrudnienia, różnorodności, praw człowieka czy praktyk dostawców stają się niezbędnym elementem realizacji obowiązków regulacyjnych oraz zarządzania ryzykiem w całym łańcuchu wartości.

Jednocześnie dane wykorzystywane w projektach ESG często obejmują informacje wrażliwe z perspektywy biznesowej, w tym dane pracownicze, informacje o kontrahentach, procedurach wewnętrznych, strukturze organizacyjnej czy wynikach operacyjnych przedsiębiorstwa. Nieprawidłowe pozyskanie, przetwarzanie lub udostępnienie takich danych może prowadzić do naruszenia przepisów o ochronie danych osobowych, obowiązków poufności wynikających z umów NDA, a także do ryzyka odpowiedzialności prawnej i reputacyjnej.

Dane ESG jako przedmiot szczególnej ochrony prawnej

Dane wykorzystywane w raportowaniu ESG mogą mieć różny charakter prawny. Część z nich stanowi dane osobowe w rozumieniu RODO, np. informacje dotyczące pracowników, struktury zatrudnienia, wynagrodzeń, wypadków przy pracy, szkoleń czy wskaźników różnorodności. Inne informacje mogą natomiast stanowić tajemnicę przedsiębiorstwa, jeżeli posiadają wartość gospodarczą i nie są publicznie dostępne.

Przedsiębiorstwa powinny każdorazowo określić:

• jakie dane są rzeczywiście niezbędne do realizacji celu ESG,
• czy dane mają charakter osobowy lub poufny,
• jaka jest podstawa ich pozyskania i przetwarzania,
• kto powinien mieć dostęp do określonych informacji,
• jak długo dane powinny być przechowywane.

Zasada minimalizacji danych oraz ograniczenia dostępu powinny stanowić podstawę każdego procesu gromadzenia informacji ESG.

RODO w projektach ESG – legalne pozyskiwanie i przetwarzanie danych

Realizacja celów ESG często wymaga pozyskiwania danych od pracowników, dostawców oraz innych interesariuszy. Kluczowe znaczenie ma więc właściwe określenie podstawy prawnej przetwarzania danych osobowych.

W praktyce przedsiębiorstwa powinny zwrócić szczególną uwagę na:

• przejrzyste informowanie osób, których dane dotyczą, o celu i zakresie przetwarzania,
• ograniczenie zakresu danych do informacji koniecznych dla danego procesu ESG,
• ustalenie odpowiednich ról administratora i podmiotu przetwarzającego,
• zawarcie wymaganych umów powierzenia przetwarzania danych,
• zapewnienie odpowiednich środków technicznych i organizacyjnych chroniących dane.

Szczególnej ostrożności wymagają dane dotyczące pracowników, ponieważ ich pozyskiwanie w celach ESG nie może prowadzić do nieproporcjonalnej ingerencji w prywatność ani tworzenia nieuzasadnionych mechanizmów monitorowania.

Dane pracownicze w raportowaniu ESG

Obszar społeczny ESG (Social) często wymaga analizy informacji dotyczących zatrudnienia, takich jak struktura zespołu, bezpieczeństwo pracy, rotacja pracowników, szkolenia czy wskaźniki różnorodności.

Przy wykorzystywaniu danych pracowniczych należy zachować równowagę pomiędzy obowiązkami raportowymi a ochroną prywatności. Dobrą praktyką jest stosowanie:

• danych zagregowanych i zanonimizowanych, jeżeli indywidualna identyfikacja nie jest konieczna,
• ograniczonego dostępu do danych źródłowych
• procedur wewnętrznych określających zasady wykorzystania informacji ESG,
• regularnej kontroli zgodności procesów raportowych z wymogami ochrony danych.

Celem raportowania ESG nie jest ujawnianie nieograniczonego zakresu informacji o pracownikach, lecz przedstawienie mierzalnych danych pozwalających ocenić wpływ organizacji na kwestie społeczne.

Tajemnica przedsiębiorstwa i NDA w projektach ESG

Projekty ESG często wymagają wymiany informacji pomiędzy przedsiębiorstwami, inwestorami, audytorami oraz dostawcami. Przekazywane dane mogą obejmować informacje handlowe, technologiczne, organizacyjne lub strategiczne, które powinny być objęte ochroną jako tajemnica przedsiębiorstwa.

Umowy NDA oraz klauzule poufności w kontraktach ESG powinny precyzyjnie określać:

• zakres informacji uznawanych za poufne,
• cel, dla którego informacje mogą być wykorzystywane,
• krąg osób uprawnionych do dostępu,
• obowiązki zabezpieczenia informacji,
• zasady zwrotu lub usunięcia danych po zakończeniu współpracy,
• konsekwencje naruszenia obowiązków poufności.

Istotne jest również zapewnienie, aby obowiązki raportowe ESG nie prowadziły do niekontrolowanego ujawnienia informacji stanowiących przewagę konkurencyjną przedsiębiorstwa.

Udostępnianie danych ESG w łańcuchu dostaw

Rosnące wymagania dotyczące należytej staranności powodują, że przedsiębiorstwa coraz częściej pozyskują dane ESG od dostawców i podwykonawców. Wymaga to odpowiedniego uregulowania zasad wymiany informacji w umowach handlowych.

Klauzule ESG powinny określać m.in.:

• zakres danych wymaganych od dostawcy,
• cel ich wykorzystania,
• zasady weryfikacji przekazywanych informacji,
• obowiązki zachowania poufności,
• odpowiedzialność za przekazanie nieprawdziwych danych.

W praktyce coraz większe znaczenie mają mechanizmy typu flow-down obligations, które zobowiązują dostawców do stosowania podobnych standardów informacyjnych wobec własnych kontrahentów.

Audyt ESG a granice dostępu do informacji

Audyt ESG pozwala zweryfikować zgodność deklarowanych standardów z rzeczywistymi praktykami przedsiębiorstwa. Jednocześnie może powodować ryzyko nadmiernego dostępu do informacji poufnych lub danych osobowych.

Prawidłowo skonstruowane postanowienia audytowe powinny określać:

• zakres i cel audytu,
• rodzaj wymaganej dokumentacji,
• zasady dostępu do danych,
• obowiązek zachowania poufności przez audytorów,
• zasady anonimizacji danych osobowych,
• odpowiedzialność za niewłaściwe wykorzystanie informacji.

Audyt ESG powinien służyć weryfikacji zgodności, a nie prowadzić do nieograniczonego pozyskiwania danych wykraczających poza uzasadniony cel.

Ochrona danych jako element zarządzania ryzykiem ESG

Bezpieczeństwo informacji w projektach ESG stanowi istotny element zarządzania ryzykiem regulacyjnym, kontraktowym i reputacyjnym. Przedsiębiorstwa muszą zapewnić nie tylko zgodność raportowania, ale również legalne i bezpieczne pozyskiwanie, przetwarzanie oraz udostępnianie danych.

Skuteczny system zarządzania danymi ESG powinien łączyć wymogi raportowe z zasadami privacy by design, odpowiednią ochroną tajemnicy przedsiębiorstwa oraz precyzyjnymi regulacjami umownymi. Tylko takie podejście pozwala wykorzystać dane ESG jako narzędzie transparentności i odpowiedzialnego zarządzania, bez tworzenia dodatkowych ryzyk prawnych dla organizacji.