Dlaczego firmy IT, które znają się na systemach, wciąż dostają kary za RODO?
Branża IT znajduje się pod szczególnym nadzorem Urzędu Ochrony Danych Osobowych, bo to tutaj ochrona danych osobowych bywa traktowana po macoszemu, a przetwarzanie danych osobowych odbywa się na masową skalę. Chodzi nie tylko o dane użytkowników aplikacji, ale też o dane klientów, pracowników, a nawet dane biometryczne i zdrowotne. Skala jest ogromna, a wraz z nią rośnie ryzyko pomyłki.
Paradoks polega na tym, że firma potrafi zbudować system dla milionów użytkowników, a jednocześnie nie pilnuje codziennych fundamentów. Konta administratorów działają bez dodatkowego uwierzytelnienia, kopie zapasowe nie są szyfrowane, a logi wygasają po tygodniu. Dokumentacja RODO bywa wtedy perfekcyjna, ale techniczna rzeczywistość nie spełnia wymogów art. 32, czyli obowiązku zabezpieczenia danych odpowiednimi środkami technicznymi. To właśnie tam, w systemach informatycznych, najczęściej zaczynają się problemy ze zgodnością z RODO.
Najczęściej problem zaczyna się jeszcze wcześniej, na etapie prostych ustaleń. Klient zleca firmie IT stworzenie aplikacji i obie strony zapominają o umowie powierzenia przetwarzania danych. To właśnie ona precyzuje, kto za co odpowiada i jakie zabezpieczenia trzeba wdrożyć. Bez niej każda współpraca z dostawcą usług IT wisi w prawnej próżni, a obowiązki administratora nie są jasno określone.
Do tego dochodzą narzędzia, które zespół wdraża sam, bez wiedzy przełożonych. Zdarza się, że audyt ujawnia od 5 do 15 systemów przetwarzających dane osobowe, które nie figurują w rejestrze czynności i nie mają umów powierzenia. Wśród nich bywają pozornie niewinne aplikacje do komunikacji zespołowej czy notatek, używane bez świadomości, że wpadają w zakres RODO. Inwentaryzacja systemów to pierwszy krok, bez którego nie da się zbudować niczego dalej.
Gdzie naprawdę wyciekają dane w firmie IT: chmura, SaaS i praca zdalna
Zanim zaczniesz szukać dziury w całym, sprawdź, gdzie naprawdę znajdują się Twoje dane. W firmach IT ochrona danych osobowych sprowadza się do trzech obszarów: pracy zdalnej, narzędzi SaaS (czyli programów w chmurze, za które płacisz miesięcznie) i środowisk chmurowych. Każdy z nich ma własne słabe punkty, a firmy najczęściej o nich nie myślą, bo skupiają się na politykach zamiast na tym, co dzieje się na serwerach.
Weźmy chmurę. Pozwala pracować ludziom z całego świata, ale jednocześnie otwiera furtkę do danych osobowych. Jeśli korzystasz z zagranicznego dostawcy, Twoje dane mogą trafić do państwa trzeciego, czyli poza Europejski Obszar Gospodarczy. Korzystanie z usług chmurowych to codzienność, ale rzadko kto sprawdza, gdzie fizycznie znajdują się serwery.
Transfer jest dozwolony tylko wtedy, gdy Komisja Europejska wydała decyzję o zgodności albo gdy umowa zawiera standaryzowane klauzule. Bez tego jesteś na cienkim lodzie.
Drugi typowy problem to brak umów z dostawcami. Gdy pracownik loguje się do narzędzia SaaS, np. Slacka czy Notiona, wpadają tam dane osobowe. A Ty, jako administrator danych, musisz mieć z każdym takim dostawcą umowę powierzenia przetwarzania danych.
W praktyce audyty pokazują od 5 do 15 systemów, które nie figurują w rejestrze czynności i nie mają żadnej umowy. To nie jest rzadki wyjątek, tylko norma.
Trzeci obszar to zwykłe zabezpieczenia techniczne. Nawet idealna dokumentacja RODO nie pomoże, jeśli konta administratorów nie są chronione uwierzytelnianiem wieloskładnikowym, kopie zapasowe nie są szyfrowane, a logi znikają po tygodniu. Dlatego wdrożenie RODO w IT to nie spisanie polityk, tylko przełożenie wymogów na parametry systemów: kontrola dostępu, szyfrowanie danych, monitorowanie incydentów. Od tego zaczyna się zgodność z RODO, a nie od folderu z procedurami.
Co musi znaleźć się w umowie powierzenia, żeby nie była tylko papierem
Umowa powierzenia przetwarzania danych to nie formalność do segregatora. To dokument, który realnie chroni firmę, ale tylko wtedy, gdy opisuje konkretne mechanizmy, a nie ogólne deklaracje. Najczęstszy błąd? Zapis, że dostawca IT zapewni „odpowiednie środki bezpieczeństwa" i na tym koniec. Taki zapis nie znaczy nic, dopóki nie wskażesz, co to dokładnie oznacza w praktyce.
W umowie powinna znaleźć się konkretna lista podprocesorów, czyli firm, którym Twój dostawca może przekazać dane dalej, na przykład operator serwerowni. Bez tej listy dostawca może korzystać z dowolnych narzędzi, o których nie masz pojęcia. Równie ważne są zapisy o szyfrowaniu danych i kontroli dostępu, czyli o tym, kto w firmie dostawcy w ogóle ma wgląd w Twoje zasoby. Jeśli umowa milczy na ten temat, nie masz żadnej gwarancji, że dane nie trafią do przypadkowej osoby.
Kluczowa jest też procedura na wypadek naruszenia ochrony danych. Umowa musi jasno określać, w jakim czasie dostawca ma Cię poinformować o incydencie i jakie informacje ma przekazać. Bez tego dowiadujesz się o problemie po tygodniu, kiedy urząd ochrony danych osobowych pyta już o wyjaśnienia.
Pamiętaj, że to Ty jesteś administratorem danych i to na Ciebie spadnie odpowiedzialność, nawet jeśli błąd popełnił podmiot przetwarzający. Umowa to Twoje jedyne narzędzie, żeby tę odpowiedzialność egzekwować.
Jak sprawdzić, czy zabezpieczenia techniczne naprawdę spełniają art. 32 RODO
Zacznij od rzeczy, które widać gołym okiem, a dopiero potem przejdź do dokumentów. Sprawdź, kto w Twojej firmie ma dostęp do systemów, w których trzymacie dane klientów. Nieaktualne konta byłych pracowników to jeden z najczęstszych błędów i jednocześnie najłatwiejszy do wychwycenia podczas zwykłego przeglądu uprawnień. To podstawa bezpieczeństwa danych.
Kolejny krok to kopie zapasowe. Sprawdź, czy są szyfrowane, czyli czy ktoś bez uprawnień nie odczyta ich po skopiowaniu na swój dysk. Jeśli Twoja dokumentacja RODO jest idealna, a logi systemowe wygasają po tygodniu, to organizacja nie spełnia wymogów art. 32 RODO, niezależnie od tego, co mówi polityka bezpieczeństwa. Tu liczy się praktyka, nie deklaracje.
Zwroć też uwagę na narzędzia, z których korzystają zespoły marketingowe i produktowe. W trakcie audytów regularnie odkrywa się od 5 do 15 systemów przetwarzających dane osobowe, które nie figurują w rejestrze czynności i nie mają umów powierzenia. Wśród nich bywają komunikatory i notatniki używane na co dzień przez pracowników bez świadomości, że wpadają w zakres art. 28 RODO.
Na koniec sprawdź, czy masz procedurę na wypadek naruszenia ochrony danych. Chodzi o konkretny scenariusz: co robisz, gdy dane wyciekną, kto podejmuje decyzję o zgłoszeniu i w jakim czasie. Sam audyt zgodności pokaże, czy zabezpieczenia techniczne są adekwatne do charakteru przetwarzania i poziomu ryzyka. Jeśli procedura istnieje tylko na papierze, a w praktyce nikt nie wie, jak ją uruchomić, to znak, że wdrożenie RODO wymaga poprawki.
Od czego zacząć porządki: inwentaryzacja systemów krok po kroku
Zanim cokolwiek poprawisz, musisz wiedzieć, co dokładnie przetwarzasz. W audytach u klientów regularnie znajdujemy od 5 do 15 systemów, które nie figurują w rejestrze czynności i nie mają umów powierzenia, a wśród nich bywają narzędzia tak oczywiste jak Slack, Notion czy ChatGPT. To właśnie one są źródłem największych problemów, bo zespoły używają ich bez świadomości, że wpadają w zakres RODO.
Bez tej wiedzy nie zbudujesz rejestru czynności przetwarzania ani nie zaprojektujesz środków bezpieczeństwa. Samo spisanie polityk i przeszkolenie pracowników to za mało: konieczne jest przełożenie wymogów na parametry systemów i realne mechanizmy techniczne. Inwentaryzację przeprowadzisz w pięciu krokach:
- Spisz wszystkie narzędzia IT, z których korzysta firma: systemy księgowe, skrzynki mailowe, dyski chmurowe, komunikatory, narzędzia SaaS i oprogramowanie tworzone na zlecenie.
- Przy każdym systemie zapisz, jakie dane osobowe w nim lądują: dane klientów, pracowników, użytkowników aplikacji, a także dane wrażliwe, jeśli się pojawiają.
- Określ swoją rolę. Jeśli decydujesz o celach i sposobach przetwarzania, jesteś administratorem danych. Jeśli przetwarzasz dane na czyjeś polecenie, jesteś podmiotem przetwarzającym.
- Sprawdź, czy dla każdego systemu masz podpisaną umowę powierzenia przetwarzania danych, szczególnie z dostawcami usług chmurowych i firmami hostingowymi.
- Zbierz informacje o zabezpieczeniach: czy konta administratorów są chronione uwierzytelnianiem wieloskładnikowym, czy kopie zapasowe są szyfrowane i jak długo przechowywane są logi.
Po takiej inwentaryzacji szybko zobaczysz, gdzie są luki. Najczęściej okazuje się, że dokumentacja jest perfekcyjna, ale konta administratorów nie mają dodatkowego zabezpieczenia, a kopie zapasowe nie są szyfrowane, czyli brakuje zgodności z art. 32 RODO. Wtedy wiesz już, od czego zacząć naprawę.
Jak wygląda audyt zgodności IT z RODO i kiedy go zrobić
Audyt zgodności IT z RODO to w praktyce sprawdzenie, czy dokumentacja zgadza się z tym, co naprawdę dzieje się w Twoich systemach. Możesz mieć perfekcyjne polityki prywatności, ale jeśli konta pracowników nie są chronione podwójnym uwierzytelnieniem, kopie zapasowe nie są szyfrowane, a logi z systemów kasują się po tygodniu, to organizacja nie jest zgodna z przepisami, niezależnie od tego, co mówi papier. Audyt właśnie to wychwytuje: bada realne ustawienia, uprawnienia i procedury, a nie tylko deklaracje.
Najlepszym momentem na audyt jest sytuacja, gdy w firmie pojawia się nowy system, zmieniasz dostawcę usług IT albo planujesz wdrożenie narzędzi SaaS czy środowisk chmurowych. Wtedy ryzyko związane z transferem danych i konfiguracją jest największe. Warto też zrobić audyt cyklicznie, bo brak regularnej weryfikacji obszaru IT oznacza większe ryzyko naruszenia poufności i dostępności danych, a w konsekwencji straty finansowe i reputacyjne, których łatwiej uniknąć, niż później naprawiać.
Podczas audytu najczęściej wychodzą na jaw systemy, o których istnieniu nawet nie pamiętasz. W praktyce audytorzy regularnie odkrywają od 5 do 15 narzędzi przetwarzających dane osobowe, które nie figurują w rejestrze czynności i nie mają umów powierzenia. Bywa, że są to rzeczy tak oczywiste jak komunikatory firmowe, notatniki online czy narzędzia wspierane przez AI, używane przez zespoły, które nie mają świadomości, że wpadają w zakres obowiązków administratora. Dlatego pierwszym krokiem każdego wdrożenia RODO w IT jest solidna inwentaryzacja systemów, bez której nie da się zaprojektować adekwatnych zabezpieczeń.
Audyt ma sens także wtedy, gdy chcesz sprawdzić, czy Twoi dostawcy IT wywiązują się z umów powierzenia przetwarzania danych. W branży IT podmiotem przetwarzającym jest najczęściej software house tworzący aplikację na zlecenie, firma hostingowa albo dostawca chmury. Każda taka relacja wymaga umowy powierzenia, a audyt pokazuje, czy umowa faktycznie reguluje listę podprocesorów, środki bezpieczeństwa i procedurę zgłaszania naruszeń, zamiast być tylko martwym dokumentem. Jeśli nie wiesz, kiedy ostatnio ktoś weryfikował Twoje systemy pod kątem RODO, to znak, że audyt już dawno powinien się odbyć.
