Segregator RODO jest. A kto dziś robi to, co w nim zapisano?

„Przecież on już u nas nie pracuje”, mówi wspólniczka, otwierając segregator z datą sprzed trzech lat. To nasza wymyślona kancelaria. Procedura wskazuje byłego pracownika jako osobę przekazującą wnioski dotyczące danych osobowych do rozpatrzenia. Ktoś proponuje wpisać nowe nazwisko i wydrukować stronę.

„Dzisiaj robi to sekretariat” brzmi jak odpowiedź. Zanim jednak trafi do procedury, trzeba sprawdzić, jak ta praca wygląda. Kto odbiera wiadomość? Komu ją przekazuje? Co dzieje się podczas urlopu? Stare nazwisko wskazuje miejsce do sprawdzenia, ale nie przesądza, że cały segregator trzeba pisać od nowa.

Najpierw ustal, co działa dzisiaj

Wspólniczka prosi sekretariat o opis drogi wniosku, bez dołączania korespondencji klientów. Adres kontaktowy kancelarii pozostał ten sam. Wnioski ma przekazywać wspólniczce osoba dyżurująca w sekretariacie. Przy jej nieobecności zadanie przejmuje ktoś inny, ale dotąd nie było ustalone, kto.

Informatyk sprawdza, kto faktycznie ma dostęp do tej skrzynki oraz czy zostały reguły przekazywania wiadomości na dawne konto. W naszej scenie potwierdza dostęp dwóch osób z sekretariatu, brak dostępu byłego pracownika i brak przekierowań na jego konto. Zespół ma do poprawienia opis pracy i do ustalenia zastępstwo. Gdyby zbędny dostęp pozostał, jego odebranie i ocenę możliwego naruszenia trzeba rozpocząć od razu. Ustal potrzebne działania bez czekania na nową wersję procedury. Sama poprawa dokumentów tego nie rozstrzyga.

To porównanie warto zrobić przed pisaniem. Dokument może opisywać dobre zasady, których nikt nie stosuje. Może też nie nadążać za praktyką, która działa. Art. 24 ust. 1 RODO przewiduje przegląd i uaktualnianie środków w razie potrzeby. Nie wyznacza jednego rocznego terminu wymiany całej dokumentacji.

Zmiana podpowiada, od których materiałów zacząć

Nowa osoba, odejście lub inne zadania. Sprawdź, kto co robi według procedury i jaki ma zakres upoważnienia do pracy z danymi. Jeśli kancelaria zapisuje go w osobnym dokumencie, porównaj go z nowymi zadaniami. Rzeczywiste konta i dostępy wymagają własnej weryfikacji. Pomogą w niej poradniki o przygotowaniu nowej osoby i zakończeniu współpracy. Samo zastąpienie pracownika nie oznacza nowego celu ani konieczności dopisania nowego procesu do rejestru.

Nowe narzędzie lub dostawca. Ustal, jakie dane otrzyma usługa, np. program do transkrypcji spotkań z klientami, i w jakiej roli działa dostawca. Jeśli przetwarza je w imieniu kancelarii, sprawdź warunki powierzenia zgodnie z art. 28 RODO. Potem porównaj zmianę z opisem procesu w rejestrze i analizą ryzyka. Wszystko to zrób przed przekazaniem danych do nowej usługi. Szerszą ocenę opisujemy we wpisie o nowym narzędziu w kancelarii.

Inny cel, odbiorcy lub czas przechowywania. Nowy cel wymaga najpierw oceny, czy planowane użycie danych jest dopuszczalne. Poprawienie klauzuli tego nie rozstrzyga. RODO przewiduje przekazanie wymaganych informacji przed użyciem danych w nowym celu. Następnie porównaj ustalenia z rejestrem czynności przetwarzania i informacją dla osób. Rejestr opisuje m.in. cele, kategorie danych i osób oraz odbiorców. Sprawdź odpowiedni wpis. Przy zmianie okresu przechowywania ustal też, co faktycznie stanie się z danymi, np. skanami pozostającymi w chmurze po zakończeniu sprawy.

Inny proces lub kanał. Przeniesienie obsługi do wspólnej skrzynki może dotknąć instrukcji, dostępu i zastępstwa. W naszej scenie adres pozostaje ten sam, a nazwisko występuje wyłącznie w procedurze wewnętrznej. Zmiana adresu do wniosków podanego osobom w klauzuli dotknęłaby także informacji na zewnątrz. Wytyczne przejrzystości zaakceptowane przez EROD, pkt 29 do 31, wskazują, że istotne zmiany trzeba skutecznie zakomunikować. Dotyczy to m.in. sposobu wykonywania praw. Ustal kanał powiadomienia i odpowiednie wyprzedzenie. Wewnętrzna notatka o sprawdzeniu klauzuli niczego osobom nie przekazuje, a sama podmiana pliku na stronie może nie wystarczyć.

Karta jednej zmiany do skopiowania

Poniżej zapis z naszej sceny, uzupełniany od ustaleń do sprawdzenia wykonania. Zastąp prawą kolumnę swoimi wpisami. Nie przepisuj treści wniosków ani danych klientów. To nasza propozycja organizacji pracy nad jedną zmianą.

Przy planowanej zmianie celu lub dostawcy zapisz w trzecim wierszu najpierw wynik oceny: czy można ją wdrożyć i na jakich warunkach. Do rozstrzygnięcia nie uruchamiaj nowego przetwarzania. W naszej scenie sprawdzenie wpływu ustalonego zastępstwa na analizę ryzyka też powinno mieć zapisany wynik. Nie zakładaj z góry, że analiza zostaje bez zmian albo że trzeba pisać ją od początku.

W naszej kancelarii do procedury trafia funkcja zamiast kolejnego nazwiska. Obok pozostaje aktualne przypisanie osób do tej roli i zastępstwa. Ktoś wysyła z uzgodnionego adresu testowego spoza kancelarii wiadomość oznaczoną jako test, z fikcyjną treścią. Wspólniczka sprawdza jej dotarcie. Sam komunikat „wysłano” nie zamyka zadania.

Zamknij zmianę, pozostaw ślad

Zachowaj kartę, zatwierdzoną wersję i wynik próby tam, gdzie znajdą je osoby, które tego potrzebują. W Biuletynie UODO nr 1/26 opisano znaczenie dokumentowania istotnych zmian i odnoszenia analizy ryzyka do rzeczywistej pracy. Jedna karta nie zastępuje takiej analizy ani pełnego przeglądu kancelarii. To także inna praca niż przewidziane w art. 32 ust. 1 lit. d RODO regularne testowanie skuteczności zabezpieczeń, którego zakres dobiera się do ryzyka.

Jeśli kilka dokumentów pokazuje różne wersje tego samego procesu, zaplanuj szerszy przegląd. Przy jednej zmianie kancelaria może ustalić fakty i zatwierdzić potrzebne poprawki, a wykonanie ustawień zlecić IT. Wsparcie zewnętrzne pomaga przygotować materiały i sprawdzić, czy zgadzają się z rzeczywistą pracą. Odpowiedzialność za decyzje i wdrożenie pozostaje po stronie kancelarii.

Wspólniczka odkłada segregator. Przy procedurze ma teraz zapis, kto przekazuje wnioski i kto zastępuje tę osobę. Zbliża się urlop osoby z sekretariatu. Tym razem zastępstwo jest już ustalone.