Z jakiej pozycji startujesz – diagnoza dojrzałości RODO w firmie
Krok 1 – szybki „przegląd na oko” zamiast grubych segregatorów
Przygotowanie do audytu RODO zaczyna się od uczciwej oceny punktu wyjścia. Nie chodzi o studiowanie przepisów, ale o odpowiedź na proste pytanie: czy RODO żyje w codziennych procesach, czy istnieje tylko w postaci dawno zapomnianej dokumentacji w segregatorze. Dobrze przeprowadzona diagnoza pozwala zdecydować, co trzeba zrobić „na wczoraj”, a co można dopracować spokojniej.
Najpierw spójrz na realne obszary, w których w firmie krążą dane osobowe: sprzedaż, marketing, HR, obsługa klienta, księgowość, administracja, dział IT. Jeżeli w którymś z tych działów przetwarzane są dane osób fizycznych (klientów, pracowników, kandydatów, kontrahentów), to właśnie tam trzeba przygotować się do audytu RODO najmocniej. Przykład z praktyki: firma usługowa jest przekonana, że „prawdziwe RODO” dotyczy tylko działu HR, a audyt później ujawnia ogromne braki w sprzedaży i marketingu – gdzie handlowcy prowadzą własne notatniki i excele z danymi klientów, bez żadnych zasad.
Na tym etapie nie rozbierasz jeszcze wszystkiego na czynniki pierwsze. Celem jest prosty ogląd sytuacji: gdzie są procesy przetwarzania, jakie osoby biorą w nich udział, jakie systemy i dokumenty są używane. Taka mapa „z lotu ptaka” stanie się bazą do dalszych kroków – bez niej łatwo skupić się na rzeczach drugorzędnych, pomijając kluczowe ryzyka.
Pięć szybkich pytań kontrolnych – test dojrzałości RODO
Dobrym sposobem na pierwszą diagnozę jest prosty test oparty na pięciu pytaniach. Odpowiadając na nie szczerze, wiesz, czy przygotowanie do audytu RODO będzie kosmetyką, czy gruntownym remontem:
Czy w firmie istnieje i jest wykorzystywany rejestr czynności przetwarzania (RCP) lub przynajmniej spis głównych procesów z danymi osobowymi?
Czy posiadasz politykę ochrony danych osobowych (lub równoważne procedury), która opisuje ogólne zasady bezpieczeństwa danych i postępowania z nimi?
Czy masz zawarte umowy powierzenia przetwarzania danych z kluczowymi dostawcami, którzy otrzymują dane osobowe (np. biuro rachunkowe, firma IT, dostawca systemu mailingowego)?
Czy wiesz, jak wygląda u Ciebie procedura zgłaszania i obsługi naruszeń ochrony danych (wyciek, zgubiony laptop, wysyłka maila do złego adresata)?
Czy pracownicy mają udokumentowane szkolenia i upoważnienia do przetwarzania danych osobowych?
Jeżeli na któreś z tych pytań odpowiedź brzmi „nie” lub „nie jestem pewien”, to właśnie te obszary wymagają najpilniejszej pracy przed audytem RODO. Audytor – czy to zewnętrzny, czy wewnętrzny – zwykle zaczyna od tych elementów, bo pokazują one, czy w firmie istnieje systemowe podejście do ochrony danych, czy jedynie doraźne działania.
Jak zebrać kluczowe informacje w 1–2 dni
Na etapie wstępnej diagnozy nie ma sensu tworzyć dziesiątek arkuszy. Wystarczą krótkie rozmowy z właściwymi osobami i szybkie przejrzenie dokumentów. Podejdź do tego zadaniowo:
HR / kadry: zapytaj o proces rekrutacji, obsługę teczek osobowych, badania lekarskie, listy płac, system kadrowo–płacowy. Czy są klauzule informacyjne, kto ma dostęp do danych pracowników, jak długo są przechowywane dokumenty?
Sprzedaż i obsługa klienta: jak wygląda pozyskanie klienta, jakie dane są zbierane, w jakich systemach (CRM, maile, arkusze), czy istnieją skrypty rozmów zawierające dane, jak przebiega obsługa reklamacji?
Marketing: jak gromadzone są dane do newslettera, jakie narzędzia mailingowe są używane, czy są formularze kontaktowe na stronie, jak wygląda polityka plików cookies i zgody marketingowe?
IT / administracja systemami: lista systemów, w których są dane osobowe, sposób tworzenia kopii zapasowych, dostępów, logowania, szyfrowania danych.
Wystarczy po 20–30 minut rozmowy z każdą z tych osób, by mieć obraz realnych procesów. Ustal też, kto w danym obszarze jest „właścicielem procesu” – to osoba, która będzie później kluczowa przy porządkowaniu dokumentacji i procedur.
Audyt „na zaliczenie” kontra realne uporządkowanie procesów
Przygotowanie firmy do audytu RODO bywa traktowane jako jednorazowy projekt „pod kontrolę”. To poważny błąd. Audyt „na zaliczenie” zwykle kończy się masą dokumentów, których nikt później nie otwiera. Po kilku miesiącach rzeczywistość znowu rozjeżdża się z papierami, a ryzyko pozostaje.
Realne uporządkowanie procesów przetwarzania danych osobowych wygląda inaczej. Dokumentacja opisuje to, co faktycznie się dzieje, a nie odwrotnie. Zespół rozumie, dlaczego dane są chronione i jakie ma obowiązki. Rozwiązania techniczne (uprawnienia, hasła, backupy, szyfrowanie) są dobrane do skali ryzyka, a nie do „średniej rynkowej”.
Co sprawdzić po wstępnej diagnozie
Po tym etapie dobrze jest spisać na jednej kartce najważniejsze braki wymagające szybkiej reakcji. Taka mini–checklista powinna zawierać:
brakujące lub nieaktualne kluczowe dokumenty (RCP, polityka ochrony danych, procedura naruszeń, wzory klauzul),
obszary, w których nie wiadomo, kto odpowiada za dane (np. marketing prowadzony „spontanicznie” przez kilka osób),
dostawców, z którymi nie ma umów powierzenia przetwarzania, choć mają dostęp do danych,
miejsca, w których dane „żyją swoim życiem” – prywatne laptopy, arkusze, osobiste skrzynki mailowe,
procesy, które budzą największe wątpliwości co do podstawy prawnej (zwykle marketing i monitoring).
Tak przygotowany szkic pozwala ułożyć dalsze prace w rozsądnej kolejności, zamiast działać pod presją przypadkowych pytań audytora.
Mapa danych osobowych – jak rozpoznać, co i gdzie przetwarzasz
Krok 2 – inwentaryzacja danych bez paraliżu organizacji
Drugi krok to stworzenie mapy danych osobowych, czyli odpowiedzi na pytania: jakie dane, w jakim celu, gdzie i przez kogo są przetwarzane. Nie chodzi o akademickie ćwiczenie, ale o praktyczne narzędzie, które później wykorzystasz do budowy rejestru czynności, oceny ryzyka i przygotowania się do audytu RODO.
Najlepszy punkt startowy to procesy biznesowe, nie przepisy. Zamiast zaczynać od artykułów RODO, zacznij od wypisania głównych procesów w firmie, które „dotykają” osób fizycznych. Przykładowo:
Obsługa reklamacji: przyjmowanie zgłoszeń mailowo, telefonicznie, przez formularz, kontakt zwrotny z klientem, archiwizacja zgłoszeń.
E‑mail marketing i newsletter: zapisy przez formularz, potwierdzenie subskrypcji, segmentacja baz, wysyłka kampanii.
Monitoring wizyjny: kamery w biurze, magazynie, recepcji, zapis nagrań, dostęp do monitoringu.
Sprzedaż B2B i B2C: zawieranie umów, fakturowanie, windykacja należności.
Każdy taki proces będzie później osobną pozycją w rejestrze czynności lub jego części. Inwentaryzacja danych jest po prostu uszczegółowieniem tych procesów na język RODO.
Gdzie ukrywają się dane osobowe w firmie
Formalne systemy (CRM, ERP, narzędzia mailingowe) to tylko część obrazu. Dane osobowe bardzo często „rozlewają się” po organizacji, trafiając w miejsca, które umykają klasycznym audytom. Przygotowując firmę do audytu RODO, trzeba wyjść poza oczywiste obszary i zadać sobie kilka niewygodnych pytań:
Skrzynki mailowe: czy pracownicy używają służbowych skrzynek jako „bazy CRM”, trzymając w nich przez lata maile z danymi klientów, kandydatów, dostawców?
Arkusze Excel: czy istnieją rozproszone pliki z listami klientów, gości, uczestników szkoleń, które nie są nigdzie zarejestrowane i nie mają właściciela?
Notatniki i papierowe listy: zapiski z numerami telefonów, zeszyty w recepcji, papierowe listy obecności na wydarzeniach.
Komunikatory: Teams, Slack, WhatsApp, Messenger – czy tam również przekazywane są dane osobowe (np. skany dokumentów, adresy, numery PESEL)?
Stare systemy i kopie: porzucone aplikacje, stare bazy mailingowe, archiwalne foldery na serwerach, backupy.
Prywatne urządzenia: prywatne telefony służące do kontaktu z klientami, prywatne laptopy używane do pracy zdalnej.
Audytorzy często pytają wprost: jak kontrolujesz obieg danych w takich nieformalnych kanałach? Jeżeli w firmie nie ma na to odpowiedzi, pojawia się poważny znak zapytania nad rzeczywistą ochroną danych, nawet jeśli dokumentacja jest wzorowa.
Szablon do mapowania – prosty i skuteczny
Żeby nie utonąć w szczegółach, warto przyjąć jednolity, prosty szablon opisu każdego procesu z danymi osobowymi. W formie tabeli lub arkusza zbierz w uporządkowany sposób poniższe elementy:
Cel przetwarzania: po co są zbierane dane (np. obsługa zamówień, prowadzenie rekrutacji, rozliczenia podatkowe).
Kategorie danych: dane identyfikacyjne, kontaktowe, finansowe, wizerunkowe, dane szczególnych kategorii.
Źródło danych: bezpośrednio od osoby, od kontrahenta, z publicznych rejestrów.
System / nośnik: nazwa systemu, rodzaj nośnika (papier, e‑mail, arkusze, dokumenty w chmurze).
Czas przechowywania: konkretne okresy (np. 5 lat od końca roku obrotowego, 3 lata od zakończenia rekrutacji).
Odbiorcy danych: podmioty, które otrzymują dane (biuro rachunkowe, dostawcy IT, kurierzy, banki).
Zakres osób uprawnionych: jakie role w firmie mają dostęp (np. handlowcy, księgowość, HR).
Dobrze przygotowana mapa danych ułatwia później zarówno przygotowanie rejestru czynności przetwarzania, jak i rozmowę z audytorem, który często zaczyna właśnie od pytania: „proszę opisać, jak wygląda u Państwa obieg danych klienta od momentu pierwszego kontaktu do zakończenia współpracy”.
Audyt RODO wtedy staje się po prostu sprawdzeniem, czy system działa – a nie poszukiwaniem wymówek. Co istotne, UODO coraz częściej patrzy na praktyczne wdrożenie zasad ochrony danych, nie tylko na kompletność teczek. Stąd rosnące znaczenie narzędzi takich jak praktyczne wskazówki: prawo, które pozwalają przełożyć przepisy na język realnych procesów biznesowych, a nie sztucznych procedur.
Dostępy do danych – uporządkowanie ról zamiast „wszyscy do wszystkiego”
Mapowanie danych to dobry moment na przegląd tego, kto ma dostęp do jakich informacji. W wielu firmach okazuje się, że zakres uprawnień jest nadmierny, a po odejściu pracowników nikt nie odbiera im dostępów. Przy audycie RODO pytanie o matrycę dostępów pojawia się niemal zawsze.
Praktyczne podejście:
zidentyfikuj role w firmie (np. handlowiec, księgowy, specjalista HR, administrator IT, recepcjonista),
dla każdej roli określ minimalny niezbędny zakres dostępu – zasada „need to know”,
sprawdź, czy aktualne uprawnienia w systemach i dostępy do dokumentów odpowiadają tej logice,
zadbaj o procedurę nadawania, zmiany i odbierania dostępów przy zmianach organizacyjnych.
Dobrze przygotowana matryca ról staje się jednym z ważniejszych dokumentów przy audycie oraz realnym narzędziem ograniczającym ryzyko naruszeń.
Co sprawdzić po zmapowaniu danych
Na tym etapie kluczowe jest, abyś był w stanie na głos, prostymi słowami, opisać przebieg przetwarzania danych w głównych procesach. Kontrolnie zadaj sobie pytanie:
czy umiesz opowiedzieć, jakie dane o kliencie X zbierasz od pierwszego kontaktu aż do ich usunięcia (lub anonimizacji)?
czy potrafisz wskazać wszystkie systemy, w których pojawia się ten klient?
czy wiesz, kto konkretnie ma do tych danych dostęp i dlaczego?
czy umiesz wskazać podstawę prawną i planowany czas przechowywania?
Jeżeli odpowiedzi brzmią „tak” dla co najmniej trzech kluczowych procesów (sprzedaż, HR, marketing), fundament do dalszego przygotowania firmy do audytu RODO jest solidny.
Źródło: Pexels | Autor: Nataliya Vaitkevich
Rejestr czynności przetwarzania i rejestr kategorii – serce dokumentacji
Jak przełożyć mapę danych na konkretne pozycje w rejestrze
Rejestr czynności przetwarzania (RCP) nie powinien powstawać „z powietrza”. Najbardziej efektywny schemat pracy to po prostu przełożenie wcześniejszej mapy danych na formalny dokument wymagany przez RODO. Działaj etapami:
Krok 1 – wybierz proces: weź jeden konkretny proces z mapy (np. rekrutacja, newsletter, obsługa zamówień).
Krok 2 – dopasuj go do roli: czy w tym procesie Twoja firma jest administratorem danych, czy tylko podmiotem przetwarzającym (np. biuro rachunkowe, agencja marketingowa)?
Krok 3 – uzupełnij pola z art. 30 RODO: cel, kategorie osób, kategorie danych, kategorie odbiorców, planowany czas przechowywania, opis zabezpieczeń.
Krok 4 – sprawdź spójność z rzeczywistością: porównaj, czy to, co wpisujesz do RCP, faktycznie dzieje się w firmie (systemy, dostawcy, kanały komunikacji).
Dobrym nawykiem jest tworzenie rejestru „procesami”, nie „systemami”. Jeden proces może wykorzystywać kilka narzędzi (np. rekrutacja: poczta, formularz na stronie, ATS, folder na serwerze) – w RCP opisujesz proces, a w jego ramach wymieniasz systemy.
RCP administratora a rejestr kategorii przetwarzania
RODO rozróżnia dwa typy rejestrów:
Rejestr czynności przetwarzania: prowadzony przez administratora danych – opisuje wszystkie procesy, w których samodzielnie decydujesz o celach i sposobach przetwarzania.
Rejestr kategorii czynności: prowadzony przez podmiot przetwarzający – opisuje procesy, które wykonujesz w cudzym imieniu (np. księgowanie faktur klientów, masowa wysyłka e-maili jako usługodawca, hosting danych).
Typowy błąd: firmy usługowe tworzą tylko swój wewnętrzny RCP jako administratora (pracownicy, klienci, rekrutacja), a zapominają, że powinny mieć osobny rejestr z perspektywy procesora, obejmujący usługi dla klientów. Przy audycie to wychodzi w pierwszych minutach, gdy pada pytanie: „jak dokumentują Państwo zakres i charakter przetwarzania danych w imieniu swoich klientów?”.
Jeżeli Twoja firma występuje w obu rolach, przygotuj dwa odrębne dokumenty, nawet jeżeli korzystasz z tego samego szablonu. Rozdzielenie ról porządkuje odpowiedzialność i ułatwia rozmowę z audytorem oraz klientami.
Minimalny zakres informacji w rejestrze – co naprawdę musi się tam znaleźć
Żeby rejestr spełniał wymogi RODO, musi zawierać konkretne elementy. Przygotuj jednolity układ kolumn dla wszystkich procesów. Przykładowy zestaw pól:
Nazwa czynności / procesu: np. „Prowadzenie dokumentacji kadrowej pracowników”, „Obsługa newslettera”, „Realizacja umów sprzedaży B2B”.
Cel przetwarzania: zwięzły opis, odpowiadający na pytanie „po co przetwarzamy te dane?”.
Kategorie osób, których dane dotyczą: pracownicy, kandydaci, klienci indywidualni, przedstawiciele kontrahentów, użytkownicy strony.
Kategorie danych: dane podstawowe, kontaktowe, finansowe, dane o zatrudnieniu, dane wizerunkowe, szczególne kategorie (z zaznaczeniem, gdzie się pojawiają).
Podstawa prawna: powiązanie z konkretnymi przepisami (np. art. 6 ust. 1 lit. b RODO – umowa, art. 6 ust. 1 lit. c – obowiązek prawny, art. 6 ust. 1 lit. f – uzasadniony interes, art. 6 ust. 1 lit. a – zgoda).
Kategorie odbiorców: podmioty, którym powierzamy lub ujawniamy dane (biura rachunkowe, operatorzy płatności, dostawcy chmury, kurierzy, kancelarie prawne).
Przekazania do państw trzecich / organizacji międzynarodowych: np. używane narzędzia SaaS spoza EOG, wraz z podstawą transferu.
Okres przechowywania lub kryteria jego ustalania: konkretne terminy albo jasne kryteria (np. czas trwania umowy + okres przedawnienia roszczeń).
Opis środków technicznych i organizacyjnych: skrótowo, w nawiązaniu do polityk bezpieczeństwa (szyfrowanie, kontrola dostępu, kopie zapasowe, polityka haseł).
Jeżeli korzystasz z elektronicznego narzędzia do prowadzenia rejestru, sprawdź, czy pozwala na eksport danych do formatu, który pokażesz audytorowi. Niedopracowane rozwiązania „zamknięte” bywają problemem, gdy trzeba szybko udokumentować konkretną czynność.
Jak ustalić, co jest jedną czynnością w rejestrze
Spory praktyczny problem: jak „pociąć” procesy, żeby nie skończyć ani z jednym gigantycznym wpisem, ani z setkami szczegółowych rekordów. Dobrze sprawdza się podejście mieszane:
łącz w jedną czynność operacje, które mają ten sam cel i podstawę prawną (np. całość obsługi umowy z klientem B2B: przygotowanie, realizacja, rozliczenie);
rozdziel czynności, które dotyczą innych grup osób lub wiążą się z istotnie innym ryzykiem (np. monitoring wizyjny osobno od kontroli dostępu kartami, choć oba dotyczą bezpieczeństwa);
dla szczególnych kategorii danych (np. zdrowotnych) twórz odrębne wpisy, nawet jeżeli mieszczą się w tym samym ogólnym celu, bo audytorzy zwracają na nie wyjątkową uwagę.
Przykład: proces „Rekrutacja” możesz rozbić na:
„Rekrutacja – przyjmowanie i selekcja aplikacji”,
„Rekrutacja – tworzenie bazy kandydatów do przyszłych naborów” (jeżeli opiera się na odrębnej zgodzie),
„Onboarding nowych pracowników” – już jako element procesu kadrowego.
Takie rozdzielenie ułatwia przypisanie różnych podstaw prawnych (umowa, uzasadniony interes, zgoda) i różnych okresów przechowywania.
Typowe błędy w rejestrach, które wychodzą przy audycie
Przygotowując firmę do audytu, przejdź przez RCP krytycznym okiem. W praktyce często powtarzają się te same problemy:
Rejestr zrobiony „pod szablon”, bez związku z realnymi procesami: czynności opisane bardzo ogólnie („przetwarzanie danych klientów”), bez przełożenia na konkretne działania.
Brak aktualizacji: w rejestrze nadal figurują systemy, z których dawno zrezygnowano, i nie ma śladu po nowych narzędziach.
Nieścisłe okresy przechowywania: wpisy typu „dane przechowywane są przez czas nieokreślony”, bez kryteriów; albo „do czasu wycofania zgody”, bez procedury sprawdzania, czy faktycznie zgoda została wycofana.
Brak spójności z klauzulami informacyjnymi: co innego widnieje w RCP, a co innego w treści obowiązku informacyjnego na stronie lub formularzu.
Pomieszanie ról: brak jasnego rozróżnienia, gdzie jesteś administratorem, a gdzie podmiotem przetwarzającym – w rejestrze panuje chaos pojęciowy.
Jak powiązać rejestr z innymi dokumentami RODO
Rejestr nie może „wisieć w próżni”. Dobrą praktyką jest spięcie go z resztą dokumentacji i praktyki operacyjnej. Przejdź po kolei:
Polityka ochrony danych: upewnij się, że opisuje, w jaki sposób rejestr jest utrzymywany, kto za niego odpowiada, w jakim trybie się go aktualizuje.
Procedura naruszeń: sprawdź, czy w procedurze przewidziano wykorzystanie RCP do szybkiego ustalenia zakresu naruszenia (jakie dane, jakie osoby, jacy odbiorcy).
Analiza ryzyka i DPIA: rejestr jest punktem wyjścia do decyzji, dla których procesów trzeba przeprowadzić ocenę skutków (DPIA), a dla których wystarczy uproszczona analiza ryzyka.
Umowy powierzenia: kategorie danych i cele w umowach z procesorami powinny odpowiadać temu, co wpisujesz w RCP.
Instrukcje i procedury dla pracowników: np. procedura rekrutacji, procedura wysyłki newslettera – muszą dać się „podpiąć” pod konkretne czynności w rejestrze.
Co sprawdzić w rejestrze przed audytem
Przed rozmową z audytorem zrób szybki przegląd RCP i rejestru kategorii:
czy wszystkie główne procesy z mapy danych mają swoje odzwierciedlenie w rejestrze?
czy przy każdym procesie jasno określono cel, podstawę prawną, kategorie danych i okres przechowywania?
czy są wskazane wszystkie kluczowe systemy i dostawcy, z których faktycznie korzystasz?
czy wiesz, kto w firmie potrafi „przejść” przez rejestr razem z audytorem i opisać procesy własnymi słowami?
Podstawy prawne, zgody i obowiązki informacyjne – porządkowanie „papierologii”
Jak uporządkować podstawy prawne w procesach
Ustalenie właściwej podstawy prawnej to jeden z najczęstszych punktów spornych przy audytach. Schemat działania może wyglądać tak:
Krok 1 – wylistuj procesy z mapy danych: sprzedaż, marketing, HR, obsługa reklamacji, eventy, monitoring itp.
Krok 2 – dla każdego procesu odpowiedz na pytanie „dlaczego w ogóle wolno nam to robić?”: umowa, przepis prawa, zgoda, uzasadniony interes.
Krok 3 – przyporządkuj konkretny przepis: nie poprzestawaj na „umowa” – wskaż, że chodzi o art. 6 ust. 1 lit. b RODO; jeżeli obowiązek prawny – wskaż także ustawę branżową (np. kodeks pracy, ustawa o rachunkowości).
Krok 4 – sprawdź, czy na pewno potrzebujesz zgody: często zgoda jest nadużywana tam, gdzie wystarczyłby uzasadniony interes lub umowa.
Przykład z praktyki: firmy często zbierają „zgodę na przetwarzanie danych w związku z realizacją umowy”. To błąd – w takim przypadku podstawą jest sama umowa, a zgoda tylko zaciemnia obraz. Przy audycie takie „sztuczne zgody” są sygnałem, że nikt nie przeanalizował rzetelnie podstaw prawnych.
Kiedy zgoda jest naprawdę potrzebna
Zgoda jest wygodnym, ale ryzykownym narzędziem. Audytorzy pytają zwykle o trzy rzeczy: kiedy jej używasz, jak ją dokumentujesz i jak realizujesz prawo do jej wycofania. Zgoda jest wymagana przede wszystkim wtedy, gdy:
brak jest innej, bardziej adekwatnej podstawy prawnej,
przetwarzanie nie jest konieczne do wykonania umowy ani wypełnienia obowiązku prawnego,
chcesz prowadzić dodatkową komunikację marketingową wykraczającą poza uzasadniony interes,
przetwarzasz szczególne kategorie danych w sytuacjach, w których nie ma innej podstawy wskazanej w art. 9 ust. 2 RODO.
Przygotowując się do audytu, uporządkuj wzory zgód:
upewnij się, że zgody są konkretne (opisują jasno, na co osoba się godzi), dobrowolne (brak zgody nie blokuje umowy, jeśli nie jest to konieczne) i rozłączne (osobne zgody na różne cele);
sprawdź, czy masz mechanizm wycofania zgody tak prosty jak jej wyrażenie (np. link w newsletterze, e-mail, ustawienia w panelu klienta);
zweryfikuj, gdzie i jak przechowujesz dowody uzyskania zgód (logi systemowe, checkboxy z timestampem, skany formularzy papierowych).
Jak uporządkować treści obowiązków informacyjnych
Obowiązek informacyjny to pierwsza rzecz, którą audytor może porównać „papier do papieru” – deklarację z rejestru z tym, co trafia do osób, których dane dotyczą. Żeby wprowadzić porządek, działaj etapowo:
Krok 1 – zinwentaryzuj wszystkie miejsca, w których podajesz klauzule: formularze na stronie, zgłoszenia do newslettera, umowy, formularze rekrutacyjne, regulaminy, dokumentacja kadrowa, papierowe ankiety.
Krok 2 – przygotuj 2–4 główne „szablony”: osobny dla klientów, osobny dla kandydatów do pracy, osobny dla pracowników i współpracowników, ewentualnie osobny dla uczestników wydarzeń.
Krok 3 – dopasuj szablony do konkretnych procesów: np. dla newslettera wyjaśnij, że podstawą jest zgoda, a odbiorcami są dostawcy narzędzi mailingowych; dla sprzedaży – że podstawą jest umowa i obowiązek prawny (rachunkowość).
Krok 4 – sprawdź, czy klauzule są spójne z RCP: te same cele, te same podstawy, te same okresy przechowywania (przynajmniej na poziomie ogólnym).
Typowy błąd: skopiowane z internetu klauzule, w których pojawiają się procesy, których firma w ogóle nie prowadzi (np. monitoring, profilowanie, przekazy do państw trzecich), albo odwrotnie – brakuje w nich istotnych informacji charakterystycznych dla danej działalności (np. specyficznych odbiorców danych).
Jak opisać prawa osób i obsłużyć ich realizację
Prawa osób fizycznych to jedna z pierwszych rzeczy, które audytor weryfikuje w praktyce. Nie wystarczy mieć ładny opis w klauzuli – potrzebna jest realna ścieżka obsługi w firmie. Dobrze jest podejść do tematu procesowo.
Krok 1 – zdecyduj, jakim kanałem spływają wnioski: e-mail, formularz na stronie, poczta tradycyjna, zgłoszenia przez BOK, a czasem także media społecznościowe. Ustal, kto „łapie” te zgłoszenia i przekazuje je dalej (np. recepcja, helpdesk, office manager).
Krok 2 – przygotuj prostą procedurę obsługi wniosków: opisz, kto przyjmuje zgłoszenie, kto weryfikuje tożsamość wnioskodawcy, kto analizuje zakres danych i kto zatwierdza odpowiedź. Dla małej firmy może to być jednoosobowy łańcuch decyzyjny, ale i tak warto mieć to spisane.
Krok 3 – opracuj „szablony” odpowiedzi: osobno dla prawa dostępu, sprostowania, usunięcia, ograniczenia, sprzeciwu, przenoszenia danych. Szablon nie zwalnia z myślenia, ale przyspiesza przygotowanie odpowiedzi i zmniejsza ryzyko pomyłki.
Krok 4 – określ ograniczenia: wskaż w procedurze, w jakich sytuacjach możesz odmówić (np. wymogi prawa podatkowego, obowiązek przechowywania dokumentacji pracowniczej) i jak to komunikujesz osobie, która złożyła wniosek.
Przykład: klient prosi o usunięcie wszystkich danych, ale część dokumentów sprzedażowych musisz przechowywać ze względu na ustawę o rachunkowości. W odpowiedzi jasno pokaż rozdział: co usuwasz, a co pozostaje i z jakiego powodu.
Przy audycie często wychodzi na jaw, że na stronie internetowej obiecujesz szeroki katalog praw, ale wewnątrz firmy nikt nie wie, jak fizycznie zareagować na taki wniosek ani gdzie szukać danych tej osoby.
Rejestrowanie i śledzenie wniosków
Dla przejrzystości i na potrzeby audytu dobrze jest prowadzić prosty rejestr obsłużonych wniosków. Nie musi to być wyszukany system – wystarczy tabela z podstawowymi kolumnami:
data wpływu wniosku i kanał (e-mail, formularz, list),
rodzaj prawa (dostęp, usunięcie, sprostowanie, sprzeciw itd.),
identyfikator osoby (np. numer klienta, inicjały – bez zbędnych szczegółów),
krótki opis decyzji (uwzględniono, częściowo uwzględniono, odmowa z uzasadnieniem),
data odpowiedzi, osoba odpowiedzialna.
Taka ewidencja pokazuje audytorowi, że prawa nie są fikcją, ale realnie działają, i że zachowujesz terminy (co do zasady 1 miesiąc, z możliwością przedłużenia w szczególnych przypadkach).
Co sprawdzić przed audytem w obszarze praw osób
czy pracownicy pierwszej linii (BOK, recepcja, sprzedawcy) wiedzą, co zrobić, gdy ktoś zgłosi prawo dostępu lub prośbę o usunięcie danych,
czy posiadasz aktualną i działającą procedurę obsługi wniosków oraz rejestr takich spraw,
czy potrafisz na konkretnym przykładzie pokazać audytorowi, jak zrealizowano wybrane żądanie (anonimizując dane).
Źródło: Pexels | Autor: Mikhail Nilov
Upoważnienia, role i szkolenia – ludzie jako najmocniejsze i najsłabsze ogniwo
Jak poprawnie nadać i udokumentować upoważnienia
Upoważnienia często traktowane są jako formalność „do podpisu przy zatrudnieniu”, a potem nikt do nich nie wraca. Przy audycie wychodzi wtedy, że zakres uprawnień z dokumentu nijak się ma do realnego dostępu w systemach.
Krok 1 – stwórz wzór upoważnienia powiązany z rolą: zamiast ogólnego „do przetwarzania danych osobowych”, wskaż obszar (np. dane klientów w systemie CRM, dane pracowników w systemie kadrowo–płacowym) i główne czynności (podgląd, wprowadzanie, modyfikacja, eksport).
Krok 2 – połącz upoważnienia z dostępami IT: proces onboardingu nowej osoby powinien obejmować równocześnie:
przydzielenie ról w systemach informatycznych,
nadanie formalnego upoważnienia do przetwarzania danych,
przekazanie i potwierdzenie przyjęcia zasad poufności.
Krok 3 – zaplanuj aktualizacje i cofanie uprawnień: przy każdej zmianie stanowiska, zakresu obowiązków lub odejściu z firmy potrzebna jest checklista „offboardingu”: cofnąć loginy, odebrać sprzęt, zarchiwizować skrzynkę e-mail, unieważnić upoważnienie.
W praktyce audytorzy często proszą o przykładową teczkę pracownika: umowę, upoważnienia, potwierdzenia szkoleń i zestaw rzeczywiście nadanych ról w systemach. Rozjazd między papierem a rzeczywistością to typowy punkt krytyczny.
Ważne, aby rejestr dało się szybko przeszukać: audytor zapyta czasem o konkretną osobę i o to, do czego formalnie ma dostęp oraz czy zakres jest adekwatny do obowiązków.
Co sprawdzić w obszarze upoważnień
czy każdy, kto ma dostęp do danych osobowych, posiada podpisane upoważnienie i klauzulę poufności,
czy osoby, które odeszły z firmy lub zmieniły dział, nie widnieją wciąż w rejestrze jako aktywne,
czy zakresy w upoważnieniach nie są „na wszelki wypadek”, zbyt szerokie względem realnych zadań.
Definiowanie ról: administrator, procesor, IOD i właściciele procesów
Przy audycie niejednokrotnie kluczowe jest nie to, jakie dokumenty istnieją, ale kto za co odpowiada na co dzień. Dobrze jest więc jasno opisać role.
Krok 1 – opisz odpowiedzialność administratora danych: jeżeli w grupie kapitałowej funkcjonuje kilka spółek, wyraźnie wskaż, która jest administratorem dla danego procesu. Chaos tu generuje później nieporozumienia w klauzulach, umowach i rejestrach.
Krok 2 – zidentyfikuj podmioty przetwarzające: dostawcy hostingu, systemów SaaS, call center, biuro rachunkowe, firmy HR. Dla każdego wskaż w rejestrze, z czym wiąże się powierzenie i czy masz kompletną, aktualną umowę powierzenia.
Krok 3 – wskaż właścicieli procesów: dla każdego kluczowego procesu (sprzedaż, rekrutacja, marketing, obsługa reklamacji) przypisz osobę odpowiedzialną biznesowo. To ta osoba, niekoniecznie IOD, powinna umieć praktycznie opisać przebieg procesu audytorowi.
Krok 4 – ureguluj rolę IOD (inspektora ochrony danych), jeżeli jest powołany: opisz w jednym dokumencie jego zadania, zakres doradczy i sposób raportowania do zarządu. Audytorzy często pytają, jak IOD jest angażowany w ocenę ryzyka, DPIA czy incydenty.
Typowe błędy w obszarze ról
deklarowanie w dokumentach, że IOD ma szerokie kompetencje, ale w praktyce nikt go nie konsultuje przy nowych projektach,
brak rozróżnienia, kiedy spółka jest administratorem, a kiedy procesorem (np. przy świadczeniu usług B2B),
brak formalnego właściciela procesu – wszystko „spada” na IOD lub dział prawny, przez co procesy nie mają gospodarza po stronie biznesu.
Co sprawdzić w obszarze ról
czy potrafisz wskazać dla każdej głównej czynności z rejestru właściciela biznesowego,
czy masz listę podmiotów przetwarzających z aktualnymi umowami powierzenia,
czy rola IOD (jeśli jest) nie jest tylko „na papierze” i faktycznie uczestniczy on w procesach wymagających konsultacji.
Szkolenia i podnoszenie świadomości pracowników
Większość incydentów wynika z błędów ludzkich: wysłanie maila do złego adresata, wydruk zostawiony w drukarce, pendrive bez szyfrowania. Dlatego audytorzy mocno przyglądają się temu, jak edukujesz zespół.
Krok 1 – zdefiniuj minimalny zakres szkolenia wstępnego: każdy nowy pracownik powinien na starcie zrozumieć:
jakie dane przetwarza w swojej roli,
jakich narzędzi używa i jakie są podstawowe zasady ich bezpiecznego wykorzystywania,
komu i w jakich sytuacjach może przekazywać dane,
jak zgłosić incydent lub podejrzenie naruszenia (konkretne adresy e-mail / osoby).
Krok 2 – zaplanuj szkolenia okresowe: krótka, ale regularna powtórka, np. raz w roku, połączona z przypomnieniem nowych zagrożeń (phishing, nowe narzędzia pracy zdalnej). Można wykorzystać krótkie e-learningi, webinary albo warsztaty w małych grupach.
Krok 3 – dopasuj treści do roli: księgowa potrzebuje innych przykładów niż marketer czy programista. W materiałach pokazuj typowe sytuacje z danej pracy: wysyłkę masowych maili, pracę na danych kandydatów, tworzenie kopii baz danych.
Krok 4 – dokumentuj uczestnictwo: listy obecności, logi w systemie e-learningowym, krótkie testy wiedzy. Przy audycie kluczowe jest pokazanie, że szkolenie nie jest jednorazowym wydarzeniem sprzed kilku lat, lecz stałym elementem kultury organizacyjnej.
Przykład: w firmie sprzedażowej wprowadzono zasadę, że przed rozpoczęciem pracy z nowym systemem CRM każdy handlowiec musi przejść krótkie szkolenie RODO dotyczące m.in. wprowadzania notatek i ograniczeń w dostępie. Liczba „wpadek” z niewłaściwym udostępnianiem danych spadła w ciągu kilku miesięcy.
Włączanie RODO do codziennej pracy
Szkolenia to jedno, ale na audycie dobrze widać, czy RODO jest obecne w codziennych decyzjach. Można to osiągnąć, stosując kilka prostych zabiegów:
do procedur operacyjnych dodaj krótkie sekcje „aspekt ochrony danych” (np. w procedurze rekrutacji fragment o terminach usuwania CV),
przy nowych projektach (nowy system, nowa kampania marketingowa) zastosuj krótką checklistę RODO do wypełnienia przez właściciela projektu,
wprowadź zwyczaj krótkich „przypominajek” mailowych, np. raz na kwartał, z jednym konkretnym tematem (wysyłka maili do wielu odbiorców, bezpieczne korzystanie z chmury itd.).
Co sprawdzić w obszarze szkoleń
czy posiadasz aktualne materiały szkoleniowe dopasowane do różnych grup pracowników,
czy możesz pokazać audytorowi harmonogram i rejestr przeprowadzonych szkoleń z ostatnich lat,
czy nowi pracownicy przechodzą szkolenie przed uzyskaniem faktycznego dostępu do danych.
Budowanie kultury odpowiedzialności za dane
Formalne dokumenty i procedury nie wystarczą, jeśli w organizacji panuje przekonanie, że RODO to „sprawa działu prawnego” albo „robota IOD”. Celem jest takie poukładanie ról i procesów, by każdy czuł się współodpowiedzialny.
Krok 1 – komunikuj oczekiwania z góry: zarząd lub właściciele firmy powinni jasno zakomunikować, że ochrona danych jest elementem jakości pracy, a nie dodatkiem. Krótki komunikat przy wprowadzaniu nowej polityki lub narzędzia bywa bardziej skuteczny niż długie regulaminy.
Krok 2 – reaguj na naruszenia bez „polowania na winnych”: większość incydentów wychodzi na jaw tylko wtedy, gdy pracownicy nie boją się ich zgłaszać. Jeśli każde zgłoszenie kończy się szukaniem winnego zamiast analizy przyczyny, ludzie zaczną ukrywać problemy – a to w audycie prędzej czy później wyjdzie.
Krok 3 – nagradzaj dobre praktyki: prosta pochwała na forum zespołu za szybkie wykrycie i zgłoszenie potencjalnego incydentu potrafi więcej zdziałać niż dodatkowa procedura.
Co sprawdzić w obszarze kultury organizacyjnej
czy pracownicy wiedzą, do kogo zgłosić incydent lub wątpliwości dotyczące przetwarzania danych,
czy pojawiają się regularne, choćby krótkie komunikaty zarządu/właścicieli na temat bezpieczeństwa informacji,
czy w ostatnim czasie odnotowano zgłoszenia incydentów i czy zostały one przeanalizowane oraz wykorzystane do ulepszenia procedur.
Bibliografia
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). Parlament Europejski i Rada UE (2016) – Podstawowe wymagania prawne dot. ochrony danych i audytów
Wytyczne dotyczące inspektorów ochrony danych (DPO). Europejska Rada Ochrony Danych (2017) – Rola DPO, nadzór nad zgodnością i przygotowaniem do audytu
RODO. Ogólne rozporządzenie o ochronie danych. Komentarz. Wolters Kluwer Polska (2018) – Komentarz do przepisów, rejestr czynności, umowy powierzenia
Ochrona danych osobowych w praktyce przedsiębiorcy. C.H.Beck (2019) – Praktyczne wdrażanie RODO w firmach, procesy biznesowe i audyt
Standardy ochrony danych osobowych w sektorze prywatnym. Urząd Ochrony Danych Osobowych (2020) – Rekomendacje UODO dot. dokumentacji, szkoleń i upoważnień
Bezpieczeństwo przetwarzania danych osobowych – poradnik dla małych i średnich przedsiębiorców. Polska Agencja Rozwoju Przedsiębiorczości (2020) – Praktyczne wskazówki dot. zabezpieczeń technicznych i organizacyjnych
ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection. International Organization for Standardization (2022) – System zarządzania bezpieczeństwem informacji, kontrola dostępu i backupy
Wytyczne dotyczące przetwarzania danych osobowych w kontekście marketingu bezpośredniego. Information Commissioner’s Office (2018) – Zasady legalnego marketingu, zgody, newsletter, profilowanie
Ochrona danych osobowych w miejscu pracy – poradnik dla pracodawców. Międzynarodowa Organizacja Pracy (2019) – Przetwarzanie danych pracowników, rekrutacja, monitoring wizyjny
