brak wewnętrznych procedur RODO + lokalnych regulacji

Brak wewnętrznych procedur RODO oraz lokalnych regulacji to zaniedbanie zgodności utrudniające przestrzeganie obowiązujących przepisów.

Brak wewnętrznych procedur RODO i lokalnych regulacji – czym jest problem

Brak wewnętrznych procedur RODO oraz lokalnych regulacji oznacza, że w organizacji nie ustalono spójnego sposobu postępowania z danymi osobowymi, dokumentacją, sprzętem komputerowym i informacjami przekazywanymi między pracownikami. Nie chodzi wyłącznie o brak formalnego dokumentu. Problem pojawia się wtedy, gdy nie wiadomo, kto może uzyskać dostęp do danych, gdzie powinny być przechowywane, jak długo należy je zachować, kiedy można je usunąć oraz jak zareagować na pomyłkę, utratę urządzenia albo nieuprawnione ujawnienie informacji.

RODO wymaga podejścia opartego na rzeczywistym ryzyku, dlatego sama ogólna deklaracja o ochronie danych nie zastępuje instrukcji dopasowanych do codziennej pracy. Procedury powinny uwzględniać między innymi obsługę klientów, prowadzenie korespondencji, przechowywanie formularzy, korzystanie z poczty elektronicznej, dostęp do systemów, tworzenie kopii zapasowych oraz przekazywanie urządzeń do naprawy. Lokalne regulacje mogą obejmować dodatkowe zasady wynikające z charakteru działalności, wymogów branżowych, uchwał, regulaminów organizacyjnych albo ustaleń obowiązujących w danym miejscu.

W praktyce zaniedbanie ma często postać rozproszoną. Część zasad bywa przekazywana ustnie, część znajduje się w starych plikach, a część zależy od przyzwyczajeń poszczególnych osób. Taki model utrudnia kontrolę, szkolenie nowych pracowników i wykazanie, że zastosowano odpowiednie środki organizacyjne. W razie pytania ze strony osoby, której dane dotyczą, albo organu nadzorczego może nie być jasne, na jakiej podstawie podjęto konkretną decyzję.

Brak procedur RODO i lokalnych regulacji w kontekście technicznym

Wymogi ochrony danych łączą się bezpośrednio ze stanem urządzeń oraz sposobem zarządzania dostępem do informacji. Dokument zawierający dane klienta może znajdować się na komputerze pracownika, w załączniku wiadomości, na nośniku przenośnym, w pamięci urządzenia przekazanego do diagnostyki albo w kopii zapasowej. Jeżeli nie określono zasad ewidencji i zabezpieczania takich miejsc, trudno ocenić, czy dane są dostępne wyłącznie dla osób uprawnionych.

Istotne jest rozróżnienie między ochroną fizyczną a ochroną logiczną. Zamknięte pomieszczenie, kontrola kluczy i oznaczenie urządzeń ograniczają ryzyko fizycznego dostępu, ale nie rozwiązują problemu słabych haseł, wspólnych kont, nieaktualnych uprawnień czy niekontrolowanego kopiowania plików. Z kolei samo zastosowanie hasła nie wystarczy, jeżeli nie ma zasad jego zmiany, odbierania dostępu po zakończeniu współpracy oraz reagowania na podejrzane logowania.

Warto również odróżnić dane zwykłe od danych wymagających podwyższonej ostrożności, na przykład informacji o zdrowiu, sytuacji rodzinnej, wynagrodzeniu albo dokumentach tożsamości. Różne kategorie danych mogą wymagać odmiennego zakresu dostępu, krótszego czasu przechowywania i dokładniejszej dokumentacji. Procedura powinna wskazywać, jak rozpoznać taki przypadek bez ujawniania zawartości osobom, które nie muszą jej znać.

Porównanie dwóch modeli pokazuje znaczenie uporządkowania. W pierwszym modelu decyzje podejmuje się każdorazowo, na podstawie pamięci i intuicji. W drugim określa się właściciela procesu, wymagane działania, sposób zatwierdzenia, ślad dokumentacyjny i termin przeglądu. Drugi model nie usuwa wszystkich zagrożeń, ale pozwala szybciej zauważyć odstępstwo i ograniczyć jego skutki.

Typowe problemy wynikające z braku wewnętrznych procedur RODO

Jednym z częstych problemów jest niejasny podział odpowiedzialności. Nie wiadomo, kto przyjmuje żądania dotyczące dostępu do danych, kto ocenia incydent, kto zatwierdza usunięcie dokumentów, a kto sprawdza, czy wykonawca zewnętrzny stosuje uzgodnione zabezpieczenia. W takiej sytuacji nawet właściwe przepisy mogą pozostać bez praktycznego zastosowania.

• Brak rejestru czynności powoduje trudność w ustaleniu, jakie dane są zbierane, w jakim celu i na jakiej podstawie.
• Brak instrukcji nadawania uprawnień prowadzi do sytuacji, w której dostęp pozostaje aktywny dłużej niż jest potrzebny.
• Brak procedury obsługi incydentów opóźnia zabezpieczenie urządzenia, zmianę danych dostępowych i ocenę zakresu zdarzenia.
• Brak zasad niszczenia dokumentów oraz czyszczenia nośników zwiększa ryzyko odzyskania informacji po zakończeniu sprawy.
• Brak okresowych przeglądów sprawia, że nieaktualne formularze, klauzule i instrukcje pozostają w użyciu.
• Brak szkoleń powoduje, że pracownicy mogą przesyłać dane niewłaściwym kanałem albo przechowywać je w nieuzgodnionym miejscu.

Podobne trudności mogą dotyczyć lokalnych regulacji. Wewnętrzne zasady dostępu do pomieszczeń, korzystania z urządzeń, obiegu dokumentów czy zgłaszania awarii powinny być zgodne z faktycznym sposobem pracy. Jeżeli regulamin opisuje procedurę, która nie jest wykonywana, powstaje rozdźwięk między dokumentacją a praktyką. Jeżeli natomiast codzienne działania nie są opisane w żadnym miejscu, trudniej zapewnić powtarzalność i rozliczalność.

Ryzyko nie ogranicza się do sankcji administracyjnych. Może obejmować utratę zaufania, konieczność informowania osób poszkodowanych, przestoje w pracy, dodatkowe koszty odtwarzania dokumentacji oraz spory dotyczące odpowiedzialności. Szczególnie problematyczne są zdarzenia, których nie da się odtworzyć, ponieważ nie prowadzono ewidencji wejść, przekazań, zmian uprawnień ani wykonanych czynności.

Praktyczne wskazówki dla braku procedur RODO i regulacji lokalnych

Porządkowanie sytuacji warto rozpocząć od spisu procesów, w których występują dane osobowe. Należy uwzględnić pozyskanie danych, kontakt z klientem, rekrutację, rozliczenia, obsługę zgłoszeń, archiwizację, niszczenie dokumentów oraz korzystanie z usług podmiotów zewnętrznych. Przy każdym procesie powinno się wskazać kategorię danych, cel, podstawę prawną, osoby uprawnione, miejsce przechowywania i planowany okres retencji.

Następnie można stworzyć krótkie instrukcje operacyjne. Dobra instrukcja powinna odpowiadać na pytania: co należy zrobić, kto wykonuje daną czynność, kiedy trzeba ją wykonać, gdzie odnotować działanie i do kogo przekazać sprawę w razie odstępstwa. Zwięzły dokument używany w praktyce będzie bardziej przydatny niż rozbudowany materiał, którego nie da się szybko zastosować.

W obszarze technicznym przydatne jest przygotowanie wykazu urządzeń i nośników, ustalenie zasad nadawania kont, regularne przeglądanie uprawnień, szyfrowanie wrażliwych danych, wykonywanie kopii zapasowych oraz sprawdzanie możliwości odtworzenia informacji. Należy również określić, jak postępować z urządzeniem przekazanym osobie zewnętrznej. Powinno się opisać zakres przekazania, sposób zabezpieczenia, potwierdzenie odbioru i zasady usunięcia danych po zakończeniu prac.

Ważne jest prowadzenie rejestru incydentów, nawet gdy zdarzenie nie doprowadziło do potwierdzonego ujawnienia danych. Wpis może obejmować datę, opis, wykryte źródło, podjęte działania, osoby odpowiedzialne za ocenę oraz decyzję o dalszych krokach. Taka ewidencja pozwala wykrywać powtarzające się przyczyny, poprawiać szkolenia i aktualizować zabezpieczenia.

Procedury powinny być przeglądane po zmianie systemu, struktury organizacyjnej, dostawcy albo lokalnych zasad. Warto też ustalić prosty harmonogram kontroli, aby sprawdzać, czy dokumenty odpowiadają aktualnej praktyce. W razie wątpliwości prawnych potrzebna może być konsultacja z osobą posiadającą odpowiednie kompetencje w zakresie ochrony danych. Wsparcie techniczne nie zastępuje analizy prawnej, ale pomaga rozpoznać miejsca, w których dane mogą być przechowywane, kopiowane lub udostępniane.

Kiedy zgłosić brak wewnętrznych procedur RODO do serwisu

Zgłoszenie warto rozważyć wtedy, gdy nie można ustalić, co znajduje się na urządzeniu, komputer przestał działać, pojawiło się podejrzenie utraty danych, konieczne jest przygotowanie sprzętu dla nowego użytkownika albo trzeba bezpiecznie przekazać nośnik do sprawdzenia. Sygnałem ostrzegawczym jest także sytuacja, w której dokumenty przechowywane są na kilku urządzeniach bez ewidencji, a dostęp do nich mają osoby, których aktualne uprawnienia nie zostały potwierdzone.

Przed przekazaniem sprzętu dobrze jest opisać zakres problemu bez umieszczania w zgłoszeniu zbędnych danych osobowych. Jeżeli urządzenie nadal się uruchamia, można wcześniej wylogować konta, odłączyć niepotrzebne nośniki i przekazać informację, czy na komputerze znajdują się dokumenty wymagające szczególnej ostrożności. W przypadku awarii, która uniemożliwia wykonanie tych czynności, należy jasno zaznaczyć, że na urządzeniu mogą znajdować się dane objęte ochroną.

Warszawskie Pogotowie Komputerowe 24/7 może być właściwym miejscem do zgłoszenia technicznego problemu z laptopem lub komputerem używanym w procesie przetwarzania danych. Przy kontakcie warto przekazać tylko informacje potrzebne do przyjęcia sprawy i poprosić o opis zakresu planowanych czynności. Po zakończeniu prac należy zadbać o odebranie sprzętu, aktualizację ewidencji oraz sprawdzenie, czy przywrócono właściwe ustawienia dostępu.

Samo usunięcie usterki nie oznacza jeszcze przywrócenia zgodności. Po naprawie powinno się zweryfikować konta użytkowników, hasła, uprawnienia, kopie zapasowe i sposób dalszego przechowywania danych. Jeżeli zdarzenie mogło doprowadzić do nieuprawnionego dostępu, należy uruchomić przyjętą procedurę incydentową i udokumentować podjęte działania. Dzięki temu kwestie techniczne, organizacyjne i lokalne regulacje mogą zostać ocenione jako jeden spójny proces.