Kodeks dobrych praktyk to nie biurokracja, to szansa

IQS jako pierwsza firma badawcza w Polsce przeszła audyt i uzyskała certyfikat zgodności z Kodeksem postępowania dotyczącym przetwarzania danych osobowych przez prywatne agencje badawcze. Kodeks zatwierdził Prezes Urzędu Ochrony Danych Osobowych w listopadzie 2025 r. To pierwsza tego typu samoregulacja w branży badawczej w Europie, a jej pomysłodawcą i inicjatorem jest Organizacja Firm Badania Opinii i Rynku (OFBOR). Audyt IQS przeprowadziło Omni Modo, akredytowany podmiot monitorujący stosowanie Kodeksu. O tym, co certyfikacja zmienia w codziennej pracy agencji, rozmawiamy z Wiolą Łada-Szewczenko, CEO IQS.

Dlaczego zdecydowaliście się Państwo na przystąpienie do inicjatywy kodeksowej?

Wiola Łada-Szewczenko: To trudne pytanie, bo kiedy przystępuje się do kodeksu, wie się dlaczego, ale niełatwo to zwięźle wyjaśnić. Najkrótsza odpowiedź brzmi: żeby poddać się niezależnej weryfikacji, która potwierdza jakość pracy IQS. Za tą decyzją stoi jednak coś więcej. Branża badawcza od lat mierzyła się z pytaniem, co w przetwarzaniu danych jest prawnie uzasadnione, a co jest niedopuszczalne.

Kodeks odpowiada na to wprost. Określa na przykład zasady, aby uczestnicy tego samego badania nie mogli dostawać rozbieżnych informacji o podstawach prawnych przetwarzania ich danych. W agencji badawczej pracujemy równolegle z danymi powierzonymi przez klientów i z danymi pozyskiwanymi bezpośrednio od respondentów, w rekrutacji i realizacji badań. IQS przystępował więc do kodeksu dużo wcześniej, myśląc o tych dwóch grupach.

Właśnie chciałem spytać, jak długo trwała taka procedura i jak przebiegały prace nad tym kodeksem? Czy to było trudne zadanie?

Łatwe na pewno nie było, bo praca nad formalizacją procesów zawsze jest wymagająca. Przez lata byłam związana z branżą ubezpieczeniową i finansową, czyli ze światem bardzo ustrukturyzowanym i opanowanym przez procedury – mam więc porównanie.

Naszą drogę do Kodeksu dzielę na trzy etapy. Pierwszy zaczął się, zanim Kodeks w ogóle powstał. Odkąd obowiązuje RODO, dostosowywaliśmy i zabezpieczaliśmy procedury tak, żeby odpowiadały nowym przepisom: dokumentację, zasady pracy, wzory i obieg dokumentów, szkolenia i wreszcie wszelkiego rodzaju zabezpieczenia. Dostosowując się do RODO, wdrożyliśmy de facto znaczną część obecnych postanowień Kodeksu dużo wcześniej.

Drugi etap to formalna deklaracja przystąpienia i ankieta sprawdzająca, czy spełniamy wymagane kryteria. Wymagający dokument. Zmusił nas do odpowiedzi na pytania, czy na pewno mamy wdrożone wszystko to, co deklarujemy, ale też czy to realnie działa w firmie.

Trzeci etap to fizyczny audyt, przeprowadzony przez zewnętrznych audytorów z Omni Modo, którzy weryfikowali obieg dokumentów w firmie, rodzaje stosowanych zabezpieczeń, szkolenia, sposoby rekrutacji respondentów, współpracę z klientami i sam przebieg procesów badawczych.

I jak długo trwały wszystkie te etapy?

Pierwszy etap parę lat. Dwa kolejne, czyli ankieta i audyt, około półtora miesiąca. To był czas bardzo intensywnej pracy dla wielu zespołów. Dzięki temu możemy pochwalić się, że jesteśmy pierwszą agencją w Polsce z certyfikatem potwierdzającym zgodność z Kodeksem postępowania dotyczącym przetwarzania danych osobowych przez prywatne agencje badawcze.

Co Pani rozumie przez to, że już dużo wcześniej przystąpiliście do kodeksu, skoro ten kodeks istnieje od relatywnie niedawna?

Kodeks działa od kilku miesięcy, ale przygotowania zaczęły się znacznie wcześniej. Zakładaliśmy, że nasza branża będzie potrzebowała ujednolicenia sposobów pracy, i zaczęliśmy je u siebie wtedy, gdy weszły w życie przepisy ogólnego rozporządzenia o ochronie danych osobowych.

Rozporządzenie pozostawiło nas z wieloma pytaniami wymagającymi doprecyzowania, które wynikały ze specyfiki naszej branży, dlatego zaczęliśmy działać w kierunku stworzenia szczegółowych zasad dla agencji badawczych. Byliśmy jednymi z inicjatorów powstania Kodeksu.

Równolegle rozwijaliśmy własne procedury i przygotowywaliśmy dokumentację, żeby zapewnić zgodność z RODO. Od początku celem było uniknięcie sytuacji, w której uczestnicy procesu badawczego nie mieli jasności, co dzieje się z ich danymi. Stąd moje stwierdzenie o rozpoczęciu prac „dużo wcześniej”, choć sam proces certyfikacji zajął nam około półtora miesiąca.

„Jeżeli zaangażujemy całą organizację w proces audytu, wychodzą rzeczy, których nikt się nie spodziewał. My, sprawdzając zgodność procedur z wytycznymi dla poszczególnych rodzajów procesu badawczego, znaleźliśmy problematyczne kwestie w ogóle niezwiązane z procesami badawczymi.”

Kolejne pytanie – czy widać już jakieś korzyści z oficjalnego przystąpienia do kodeksu – zarówno zewnętrzne, jak i wewnętrzne?

Wskazałabym na trzy rodzaje korzyści. Pierwsza wewnętrzna. Uporządkowanie i weryfikacja procedur to zysk sam w sobie. Daje gwarancję sprawności procesów wewnątrz organizacji i tego, że pracujemy zgodnie z zasadami Kodeksu. To było dla nas bardzo ważne.

Druga korzyść dotyczy klientów. Doceniają, że świadomie inicjujemy rozmowę o tym, w jaki sposób agencje badawcze mają przetwarzać dane. I te, które pozyskują samodzielnie, i te powierzone przez podmiot zamawiający badanie. Zaczęliśmy więc coś w rodzaju preedukacji klientów, żeby zdawali sobie sprawę z tych kwestii.

Wspominałam, że wywodzę się z branży ubezpieczeniowej i finansowej, gdzie analiza przepisów i zapewnianie zgodności z literą prawa, są oczywistością. Czy każda branża zadaje sobie takie pytania? Nie wiem. Ogólne przepisy RODO są znane, natomiast wytyczne czy audyty wewnętrzne regulujące bezpieczeństwo przetwarzania danych w organizacji pojawiają się już rzadziej. Klienci doceniają więc, że potrafimy im te kwestie wytłumaczyć, opisać i zagwarantować określony standard, poświadczony certyfikatem.

A ta trzecia kategoria korzyści, o której Pani wspomniała?

To korzyści po stronie respondentów. Mają jasną informację o tym, jak przetwarzane są ich dane. Sama często bywam odbiorcą rozmów ankieterskich i nie zawsze dostaję jasną i pełną informację o przetwarzaniu danych. Po przystąpieniu do Kodeksu prowadzimy tzw. listę Robinsona, czyli listę osób, które nie chcą, żeby ankieterzy do nich dzwonili. Respondenci nie zawsze znają swoje prawa i nie wiedzą, o co mogą – jako uczestnicy badania – poprosić. Kodeks pozwala to zrozumieć i w tym widzę jego wartość.

A co by Pani poradziła innym organizacjom, które się zastanawiają, czy warto podjąć taką inicjatywę kodeksową czy przystąpić do niej, lub już się do tego szykują?

Przede wszystkim, żeby nie patrzeć na Kodeks jak na dodatkową biurokrację. Wiele certyfikacji kojarzy się właśnie z wypełnianiem formularzy i przechodzeniem przez kolejne procesy. A kodeks dobrych praktyk to nie tylko biurokracja, to też szansa. Moim zdaniem bardzo duża.

W IQS podeszliśmy do tego jak do porządków, trochę jak do rachunku sumienia. Odpowiedzieliśmy sobie na pytania, z którymi i tak mierzymy się codziennie w naszej pracy. Gdzie przetwarzamy dane, kto ma do nich dostęp, w jaki sposób informujemy osoby, których te dane dotyczą, i czy ten sposób jest skuteczny. Jak współpracujemy z klientami i podwykonawcami. Jak przechowujemy dane i jak je zabezpieczamy.

Warto też zaangażować w audyt całą organizację, bo wtedy wychodzą rzeczy, których nikt się nie spodziewał. My, sprawdzając zgodność procedur z wytycznymi dotyczącymi poszczególnych rodzajów procesu badawczego, znaleźliśmy problematyczne kwestie w ogóle niezwiązane z procesami badawczymi.

To prowadzi do kolejnego pytania – jakie konkretne kwestie w branży badań wymagały doprecyzowania względem ogólnych zasad RODO?

Każda kategoria klientów ma trochę inne potrzeby, ale wskazałabym na trzy obszary. Pierwszy to określenie ról w procesie przetwarzania danych: kto jest administratorem, a kto podmiotem przetwarzającym. Model współpracy z klientami jest w naszej branży bardzo skomplikowany. Zdarzają się projekty, w których przetwarzanie odbywa się na wielu poziomach albo wymagane jest powtórne przetwarzanie tych samych danych. Kodeks pomaga nazwać elementy takiego procesu i przypisać w nim role.

Drugi obszar to rekrutacja i kontakt z uczestnikami badań oraz doprecyzowanie, skąd pochodzą ich dane i na jakiej podstawie są pozyskiwane. Wspominałam o tym przy korzyściach dla respondentów. Dla nich liczy się świadomość, że o wszystkim informujemy i jak zapewniamy im bezpieczeństwo.

Trzeci to opisanie „cyklu życia danych” w projekcie badawczym. Od briefu, czyli krótkiego przedstawienia założeń projektu, przez rekrutację i realizację badania, analizy i raportowanie, aż po archiwizację albo usunięcie danych, zależnie od charakteru projektu. W badaniach bardzo często pracujemy na informacjach poufnych, danych klientów i danych respondentów. Stąd potrzeba jasnych zasad dostępu, zapewnienia poufności czy potencjalnej anonimizacji. Osobno warto wskazać doprecyzowanie zasad współpracy z podwykonawcami w całym cyklu projektu badawczego. To jedna z rzeczy, które Kodeks uporządkował.

Ostatnie pytanie – kodeks już parę miesięcy obowiązuje, więc czy zdarzyły się przypadki jego nieprzestrzegania? Albo może jakiś podmiot, który chciał dołączyć, nie przeszedł wstępnego etapu wypełniania ankiety czy audytu?

Nie słyszeliśmy, żeby komuś się nie udało, ale póki co jesteśmy pierwsi, którzy przeszli proces audytu i certyfikacji. Nie znam przypadku żadnej firmy, która została zgłoszona jako nieprzestrzegająca Kodeksu. Nie mamy takich informacji od Omni Modo, czyli podmiotu monitorującego jego przestrzeganie. Dla nas liczy się to, że mogliśmy jako pierwsi przystąpić do Kodeksu i przejść audyt.

Dla rynku badań, który przetwarza bardzo dużo danych, ma znaczenie samo istnienie mechanizmu nadzoru. To, że zasady Kodeksu są egzekwowane i jest instytucja, do której można zgłosić nieprawidłowości. Wcześniej takiego podmiotu nie było, poza Prezesem UODO, do którego można było wnieść skargę na podstawie rozporządzenia RODO. Wracając więc do korzyści, to kolejna z nich.

Ta organizacja monitorująca – jakie ma ona narzędzia, czy sankcje, które może zastosować, gdy stwierdzi, że ktoś jednak nie przestrzega kodeksu?

To zależy od tego, o jakich nieprawidłowościach mówimy. Z różnymi ich rodzajami wiążą się różne konsekwencje. Określają je przepisy samego RODO, a także inne regulacje. Wszystko zależy więc od okoliczności. Sama organizacja monitorująca może wezwać do wyjaśnień, nałożyć kontrolę, zawiesić lub skreślić z listy stosujących kodeks.