Nowe narzędzie w kancelarii: RODO i dane klientów

Załóżmy taki tydzień w małej kancelarii. Cała historia jest wymyślona.

Poniedziałek. Po rozmowie z klientem aplikantka wkleja notatkę do programu, który porządkuje ustalenia i proponuje zadania. W notatce: pracownik klienta, pan Marek, leczy się onkologicznie. Niżej pomysł kancelarii: zacząć od rozmów ugodowych, zanim druga strona pozna słaby punkt dokumentacji. Program w kilka sekund robi z tego czytelną listę.

Środa. Kolega widzi listę i pyta, czy zadania mogą od razu trafiać do kalendarza. Mogą. Podłącza więc swój służbowy kalendarz. Przecież nadal tylko testują.

Czwartek. Jedno zadanie pojawia się trzy razy. Aplikantka wysyła do wsparcia zrzut ekranu, żeby pokazać problem. Obok powielonego zadania widać fragment poniedziałkowej notatki.

Piątek. „Kupimy trzy licencje? Kończy się darmowy tydzień”. Partnerka po raz pierwszy słyszy nazwę programu. Pyta, na czym był testowany.

Każdy chciał tylko ułatwić sobie pracę. A program dostał dane klienta, zanim partnerka dowiedziała się, że kancelaria go używa.

Partnerka musi teraz rozstrzygnąć: pozwalamy zespołowi dalej z niego korzystać czy zatrzymujemy test? A jeśli pozwalamy, czy wolno wpuścić do niego dokumenty klientów? Zapewnienie dostawcy „spełniamy RODO” tu nie wystarczy, płatny plan też nie, bo liczy się to konkretne użycie. Dlatego pójdziemy za tą notatką. Przy poczcie, chmurze czy systemie spraw pytania są podobne, zmienia się tylko to, co wędruje.

Co właściwie było w tej notatce?

Na pierwszy rzut oka kilka zdań po spotkaniu. Ale jest tam pan Marek, pracownik klienta, oraz informacja o jego leczeniu onkologicznym. Kancelaria potrzebuje podstawy z art. 6 oraz odpowiedniej przesłanki z art. 9 RODO, a sama zgoda klienta nie zastępuje ustalenia tych podstaw. Dane dotyczące wyroków skazujących i naruszeń prawa podlegają odrębnym warunkom art. 10.

Czy to wszystko musiało trafić do programu? Do zapisania zadania „przygotować projekt propozycji ugodowej” informacja o leczeniu nie jest potrzebna. Najprostsza ochrona danych polega na tym, że do programu nie trafia nic ponad to, czego wymaga zadanie. Dotyczy to też załączników, nazw plików, komentarzy i metadanych.

Jest jeszcze pomysł na rozmowy ugodowe. Klient nie chciałby, żeby druga strona go poznała. Tajemnica zawodowa obejmuje taki pomysł, nawet gdy sam opis strategii nie zawiera danych osobowych, dlatego RODO i tajemnica to dwie osobne oceny.

Adwokaci mają tu od czerwca wyraźną regułę: § 23e Kodeksu Etyki Adwokackiej dopuszcza narzędzia technologiczne wyłącznie wspomagająco i zakazuje wprowadzania informacji objętych tajemnicą do takich, które nie zapewniają im należytej ochrony. Radcom rekomendacje KIRP podpowiadają kolejność sprawdzania, od przepływu danych po umowę z klientem (rekomendacje 2–4, 7 i 12).

Kim jest firma po drugiej stronie?

Najpierw ustalmy, co firma robi z notatką. Jeśli przetwarza ją w imieniu kancelarii i wyłącznie na jej polecenie, działa jako podmiot przetwarzający, a powierzenie trzeba uregulować zgodnie z art. 28 RODO. Jeśli wykorzystuje dane także do własnych celów, tę część oceniamy osobno. O roli decyduje rzeczywisty sposób pracy z danymi, więc samo słowo „procesor” w regulaminie nie rozstrzyga sprawy.

Warunki trzeba przy tym sprawdzić dla tego konkretnego planu. Darmowy tydzień, konto zespołowe i dostęp przez API mogą działać inaczej. Zapisz też wersję dokumentów i datę oceny, żeby później wiedzieć, co się zmieniło.

Dokąd notatka jedzie dalej?

Serwer w Unii to dopiero część odpowiedzi. W czwartek fragment notatki trafił do wsparcia. Jeśli obsługuje je odrębna firma spoza EOG, może dochodzić do transferu, choć główna baza stoi w Europie. Trzeba wtedy sprawdzić, czy ten przepływ obejmuje decyzja o adekwatności albo inne właściwe zabezpieczenie, na przykład standardowe klauzule umowne (SCC). Przy SCC ocenia się jeszcze warunki transferu i potrzebę dodatkowych zabezpieczeń, więc sam podpis pod klauzulami nie kończy sprawdzania.

Przy AI dochodzi kolejne pytanie. Dostawcy chętnie piszą, że nie trenują modeli na Twoich danych, i to ważna informacja, ale nie oznacza, że rozmowy nie są zapisywane ani że nikt ich nie zobaczy. Zapytaj wprost: jak długo przechowujecie notatki, wyniki, logi i zgłoszenia, kto ma do nich dostęp i kto dostarcza model? Pamiętaj też o środzie: każda podłączona wtyczka czy kalendarz może powiększyć grono odbiorców.

Co partnerka robi z notatką z poniedziałku?

Na razie nikt nie dodaje kolejnych notatek ani nie korzysta z integracji. Partnerka zapisuje, co się wydarzyło, i ustala z dostawcą, kto miał dostęp do notatki, zrzutu i ich kopii, żeby ograniczyć dalsze udostępnianie i uzgodnić ich usunięcie.

Sam brak zatwierdzenia programu nie przesądza jeszcze o naruszeniu ochrony danych. Trzeba ustalić, czy doszło do nieuprawnionego ujawnienia lub dostępu, także przez wsparcie (art. 4 pkt 12 RODO). Jeśli tak, kancelaria ocenia ryzyko dla osób i zgłasza naruszenie do UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia, chyba że ryzyko naruszenia praw lub wolności jest mało prawdopodobne. Ustalenia i uzasadnienie decyzji dokumentuje, a przy wysokim ryzyku ocenia obowiązek zawiadomienia osób z art. 34.

Osobno prawnik sprawdza skutki dla tajemnicy zawodowej, bo dotyczy ona także strategii. Kolejne kroki opisujemy w części „Ktoś już wkleił dokument”.

Testuj na sprawie, której nie ma

To wszystko nie znaczy, że programów nie należy próbować. Na pierwszą próbę daj programowi sprawę wymyśloną od początku, zamiast prawdziwych akt z pozmienianymi nazwiskami, bo osobę lub sprawę można rozpoznać po innych szczegółach.

Zadbaj też o otoczenie testu. Podłączenie służbowego kalendarza nadal może udostępnić prawdziwe nazwiska, tematy spotkań i informacje o sprawach, więc wydziel konta i użyj kalendarza testowego. Jak ocenić samą jakość odpowiedzi AI, opisujemy w planie testów asystenta.

A co z DPIA?

Na szczęście RODO nie wymaga oceny skutków dla ochrony danych przy każdej operacji, także nie przy każdym użyciu AI. Trzeba jej wtedy, gdy planowane przetwarzanie może z dużym prawdopodobieństwem powodować wysokie ryzyko dla praw lub wolności osób. Przed rozpoczęciem przetwarzania administrator zawsze sprawdza, czy potrzebna jest DPIA. Co do zasady będzie potrzebna, jeśli przetwarzanie spełnia co najmniej dwa kryteria z listy UODO. Partnerka sprawdza na tej liście dane o zdrowiu i to, czy w grę wchodzi innowacyjne wykorzystanie technologii, a wynik i uzasadnienie zapisuje.

Na start przydadzą się też pytania UODO przed wdrożeniem systemu AI. Urząd zaznacza, że nie zastąpią one analizy ryzyka i nie przesądzają o zgodności, ale to dobry punkt wyjścia.

Kiedy można przejść do prawdziwych notatek?

Gdy ocena tego zastosowania na to pozwala i potrzebne zabezpieczenia już działają. Wyznaczona osoba musi też zatwierdzić i zapisać, do czego oraz na jakich materiałach zespół może używać programu. W naszej historii partnerka notuje:

Dalszy test tylko na fikcyjnych sprawach, na wydzielonych kontach i z kalendarzem testowym. O prawdziwych notatkach zdecydujemy po sprawdzeniu warunków planu, roli dostawcy, retencji, dostępu wsparcia i transferów oraz po rozstrzygnięciu DPIA i umów z klientami. Odpowiedzi zbieram ja. Poniedziałkową notatkę i czwartkowy zrzut wyjaśniamy od razu.

Potem robi dwie próby na fikcyjnej sprawie. Osoba spoza sprawy loguje się na swoje konto i sprawdza, co widzi. Nie powinna widzieć notatki ani wygenerowanych na jej podstawie zadań. Następnie partnerka robi eksport i sprawdza, czy zachowały się notatka, zadania i powiązania między nimi. Przed zakupem pyta też, co stanie się po rezygnacji, bo usunięcie konta w panelu nie musi oznaczać usunięcia kopii i logów w tym samym momencie.

Zespół dostaje krótką instrukcję: jakie materiały wolno dodawać i komu zgłaszać problem. Resztę, od kont imiennych i MFA po aktualizację dokumentacji RODO, zbierzesz na karcie oceny narzędzia.

Taka decyzja dotyczy tego jednego zastosowania. Zgoda na porządkowanie notatek nie oznacza zgody na analizę całego archiwum spraw, a nowa funkcja, podwykonawca czy zmiana warunków to powód, żeby wrócić do oceny.

Test ma prawo trwać tydzień. Niech tylko w tym tygodniu program pozna sprawę, której nie ma.

Źródła

Materiały sprawdzone 30 października 2026 r. Tydzień z notatką jest wymyślony. Poradnik i karta mają charakter ogólny i nie są opinią prawną. Ocena konkretnego narzędzia wymaga analizy jego warunków i planowanego użycia, a zatwierdza ją prawnik kancelarii. Rekomendacje KIRP nie są aktem prawa powszechnie obowiązującego.

„Testuję tylko przez tydzień”. Dokąd w tym czasie trafiają dane klientów?