Kancelaria doradza klientom w sprawach ochrony danych — a własna dokumentacja RODO leży nietknięta od wdrożenia w 2018 roku. Znamy to, bo widzimy to w audytach regularnie: szewc bez butów to w branży prawnej norma, nie wyjątek. Outsourcing RODO dla kancelarii w LegalByte oznacza, że przejmujemy ten obszar w całości: audyt, kompletną dokumentację, umowy powierzenia z dostawcami, obsługę naruszeń i żądań osób, szkolenia zespołu — z uwzględnieniem specyfiki, której nie ma żadna inna branża: tajemnicy zawodowej.
RODO w kancelarii ma dwa typowe stany. Pierwszy: dokumentacji nie ma wcale albo jest szczątkowa, bo „przecież i tak obowiązuje nas tajemnica". Drugi, częstszy i podstępniejszy: dokumentacja jest, ale opisuje kancelarię, która nie istnieje — rejestr czynności nie widział nowych narzędzi (chmury, AI, systemu kancelaryjnego), umowy powierzenia nie pokrywają połowy realnych dostawców, a procedura na wypadek naruszenia istnieje tylko jako rozdział w segregatorze, którego nikt nie otwierał.
Problem w tym, że RODO opiera się na zasadzie rozliczalności: w razie naruszenia albo kontroli liczy się nie to, czy dokument istnieje, tylko czy odzwierciedla rzeczywistość i czy działa. Dokumentacja-fikcja bywa gorsza niż jej brak — bo czarno na białym pokazuje, że kancelaria wiedziała, jak być powinno.
Kancelaria adwokacka czy radcowska przetwarza dane w układzie, którego nie ma typowa firma — i generyczna dokumentacja „dla przedsiębiorców" tego nie udźwignie:
W naszym zespole łączą się prawnicy, specjaliści od ochrony danych i inżynierowie — RODO kancelarii robimy z obu stron naraz: formalnej i technicznej.
Przejmujemy obszar ochrony danych w całości albo w uzgodnionym zakresie — od jednorazowego doprowadzenia do zgodności po stałą opiekę, w której dokumentacja żyje razem z kancelarią.
Inwentaryzacja procesów przetwarzania, narzędzi, dostawców i istniejącej dokumentacji. Wynik: mapa rozjazdów między papierem a rzeczywistością, z priorytetami — co jest ryzykiem krytycznym, co może poczekać.
Polityka ochrony danych, rejestr czynności przetwarzania (RCPD), analiza ryzyka, upoważnienia i ewidencja, klauzule informacyjne (dla klientów, pracowników, kontrahentów, strony WWW), procedury realizacji praw osób i obsługi naruszeń, rejestr naruszeń. Pisana pod Waszą kancelarię i Wasze narzędzia — nie z generatora wzorów.
Porządkujemy łańcuch przetwarzania: identyfikujemy wszystkich dostawców z dostępem do danych, oceniamy ich, zawieramy lub poprawiamy umowy powierzenia (art. 28 RODO) i prowadzimy rejestr — także dla nowych narzędzi, zanim wejdą do użycia, łącznie z narzędziami AI.
Ocena, czy zdarzenie jest naruszeniem podlegającym zgłoszeniu, wsparcie w analizie ryzyka dla osób, przygotowanie zgłoszenia do UODO w terminie 72 godzin i zawiadomień osób, dokumentacja w rejestrze — z uwzględnieniem napięcia między obowiązkami z RODO a tajemnicą zawodową.
Procedura i wsparcie w obsłudze żądań: dostęp, sprostowanie, usunięcie, sprzeciw — w tym żądań od osób, wobec których kancelaria działa po drugiej stronie, gdzie granice wyznacza tajemnica zawodowa, a nie sam art. 15 RODO.
Krótkie, praktyczne szkolenia zespołu (w tym z bezpiecznej pracy z AI), odpowiedzi na bieżące pytania „czy możemy…", przegląd dokumentacji przy każdej zmianie narzędzi lub procesów. RODO jako proces, nie segregator.
W większości kancelarii powołanie inspektora ochrony danych nie jest obowiązkowe, ale to wymaga indywidualnej oceny. Po audycie mówimy wprost, czy obowiązek Was dotyczy — i możemy pełnić funkcję IOD albo wspierać kancelarię bez formalnego powołania.
Największa słabość typowego outsourcingu RODO: prawnik od danych osobowych opisuje systemy, których nie widzi, na podstawie ankiety wypełnionej przez klienta. Wynik to dokumentacja poprawna formalnie i oderwana od rzeczywistości technicznej.
U nas jest odwrotnie: jeśli prowadzimy Twoją obsługę IT, chmurę i pocztę czy środowisko AI — dokumentacja RODO opisuje faktyczne zabezpieczenia, faktyczne przepływy danych i faktycznych dostawców, a zmiany w technologii automatycznie lądują w dokumentacji. Papier i rzeczywistość przestają żyć osobno. To także działa w drugą stronę: wymogi z analizy ryzyka wdrażamy technicznie własnymi rękami, zamiast zostawiać kancelarię z listą zaleceń.
Tak. Tajemnica zawodowa i RODO to równoległe reżimy, które się przecinają, ale nie zastępują: kancelaria jest administratorem danych i podlega obowiązkom dokumentacyjnym, zabezpieczeniowym i notyfikacyjnym, z modyfikacjami wynikającymi z przepisów sektorowych. „Mamy tajemnicę" nie jest odpowiedzią na pytanie kontrolera o rejestr czynności.
Najczęściej nie, ale to ocena, nie założenie — zależy m.in. od skali i charakteru przetwarzania. Robimy ją w ramach audytu i dokumentujemy wniosek, niezależnie od wyniku.
Często tak — audyt pokazuje, co jest aktualne, co wymaga przepisania, a czego brakuje. Płacisz za doprowadzenie do zgodności, nie za rytualne „wdrożenie od zera".
Wdrożenie wyceniamy po audycie (jego koszt odliczamy od wdrożenia), a bieżącą opiekę rozliczamy przewidywalnym abonamentem zależnym od skali kancelarii i liczby narzędzi. Bez godzinowych liczników za każde pytanie.
Nie — całość prowadzimy zdalnie, dla kancelarii w całej Polsce, tak jak pozostałe nasze usługi.
Bierzemy odpowiedzialność za swoją pracę: rzetelny audyt, dokumentację zgodną ze stanem faktycznym i wsparcie w terminach. Administratorem danych pozostaje kancelaria — dlatego naszą rolą jest sprawić, żebyś w razie kontroli czy naruszenia miał co pokazać i wiedział, co robić.
Sprawdzimy, jak daleko papier odjechał od rzeczywistości — i domkniemy różnicę. Zaczynamy od audytu, który pokaże realne ryzyka i koszt stałej opieki.
Umów konsultację →