Dane Osobowe w Firmie - Jak Chronić? RODO w Praktyce

Dane osobowe to nie tylko PESEL, ale też cały zestaw informacji, które pozwalają wskazać konkretną osobę albo zawęzić krąg do jednej. W firmie, biurze rachunkowym czy dziale kadr problem zaczyna się tam, gdzie zwykły dokument nagle staje się nośnikiem ryzyka: łatwo go wysłać, skopiować, przechować za długo albo otworzyć komuś niepowołanemu. Poniżej porządkuję temat tak, żeby było jasne, co naprawdę podlega ochronie, jak to rozpoznać i co robić, gdy trzeba działać szybko.

Czym są informacje pozwalające na identyfikację osoby

W ujęciu prawnym chodzi o wszystko, co odnosi się do zidentyfikowanej albo możliwej do zidentyfikowania osoby fizycznej. To ważne, bo w praktyce nie trzeba znać czyjegoś pełnego profilu, żeby uznać informację za wrażliwą z punktu widzenia ochrony danych. Czasem wystarczy jeden element, a czasem dopiero zestaw kilku detali tworzy pełny obraz.

Najprościej dzielę to na dwa poziomy. Identyfikacja bezpośrednia zachodzi wtedy, gdy jedna informacja od razu wskazuje konkretną osobę, na przykład imię i nazwisko połączone z numerem identyfikacyjnym. Identyfikacja pośrednia pojawia się wtedy, gdy trzeba połączyć kilka pozornie zwyczajnych danych, takich jak adres e-mail, stanowisko, lokalizacja i godzina kontaktu. Właśnie ten drugi przypadek bywa w firmach najczęściej lekceważony.

To rozróżnienie jest praktyczne, nie teoretyczne. Jeśli dokument lub system pozwala dojść do konkretnej osoby, trzeba go traktować ostrożnie, nawet gdy na pierwszy rzut oka nie wygląda na „poufny”. Z tego punktu widzenia ważne jest jeszcze jedno rozróżnienie: czym innym jest anonimizacja, a czym innym pseudonimizacja.

Jak odróżnić zwykłe dane od zanonimizowanych i pseudonimizowanych

Tu najwięcej nieporozumień rodzi się wokół samego słowa „anonimizacja”. Jeśli po usunięciu powiązań nie da się już rozsądnie wrócić do konkretnej osoby, mamy anonimizację. Jak podaje UODO, taka informacja nie wiąże się już z osobą, więc nie działa na nią reżim ochrony danych w tym samym zakresie co wcześniej.

Pseudonimizacja wygląda inaczej. Zastępujesz identyfikator kodem, numerem albo aliasem, ale gdzieś istnieje klucz, który nadal pozwala wrócić do osoby. To daje większy porządek i ogranicza ryzyko, jednak nie zwalnia z zabezpieczeń. W skrócie: pseudonim nie oznacza jeszcze utraty statusu danych objętych ochroną.

W praktyce księgowej ta granica ma ogromne znaczenie, bo zanonimizowany raport można analizować znacznie swobodniej niż zestawienie, które nadal pozwala wskazać konkretną osobę. I właśnie dlatego warto zobaczyć, które dokumenty w firmie najczęściej niosą największe ryzyko.

Które dokumenty w księgowości i kadrach są najbardziej wrażliwe

W biurze rachunkowym albo małej firmie najwięcej problemów nie robią egzotyczne przypadki, tylko codzienność: listy płac, umowy, akta pracowników, korespondencja z klientem, zgłoszenia do ZUS, dokumenty rekrutacyjne i skany przesyłane między systemami. Sam dokument nie musi być „tajny”, ale staje się ryzykowny, gdy zawiera więcej informacji niż trzeba albo trafia do zbyt szerokiego grona odbiorców.

W małej firmie problem zwykle nie polega na braku systemu, tylko na zbyt swobodnym obiegu dokumentów. Jeśli ktoś może otworzyć wszystko, wysłać wszystko i pobrać wszystko, to prędzej czy później pojawi się błąd. Z takiego założenia przechodzę od razu do praktyki zabezpieczeń, bo tu liczą się proste reguły, nie skomplikowane deklaracje.

Jak chronić wrażliwe informacje w małej firmie

Nie trzeba budować korporacyjnego centrum compliance, żeby sensownie ograniczyć ryzyko. W praktyce najlepiej działają rozwiązania, które są proste, konsekwentne i wpisane w codzienny rytm pracy. Według UODO administrator powinien dobierać środki techniczne i organizacyjne do realnego ryzyka, a nie stosować ten sam poziom zabezpieczeń do każdego typu dokumentu.

• Ograniczaj zakres zbieranych informacji. Jeśli formularz albo umowa nie potrzebuje konkretnego pola, usuń je. Minimalizacja naprawdę robi różnicę.
• Porządkuj dostęp. Kadr nie powinien widzieć całej księgowości, a osoba od rozliczeń nie musi mieć wglądu w każdy dokument pracowniczy.
• Używaj osobnych kont i uwierzytelniania wieloskładnikowego. Wspólne loginy są wygodne tylko do pierwszego incydentu.
• Szyfruj nośniki i pliki, które opuszczają firmę. To szczególnie ważne przy laptopach, pendrive’ach i załącznikach z listami płac.
• Ustal jasną retencję. Dokumenty trzeba przechowywać tyle, ile wymaga cel i przepisy, a nie „na wszelki wypadek”.
• Oddziel papier od chaosu. Szafki na klucz, czyste biurka i niszczenie wydruków robią więcej, niż wiele osób zakłada.
• Sprawdź dostawców. System kadrowy, chmura, program do faktur czy payroll to nie dodatek techniczny, tylko element całego łańcucha bezpieczeństwa.

Najlepsza ochrona nie polega na tym, że nic nie może się zdarzyć. Polega na tym, że gdy coś się zdarzy, firma wie, jak reagować. I to prowadzi do pytania o naruszenia, czyli momentu, w którym czas staje się równie ważny jak procedura.

Co zrobić po naruszeniu i dlaczego liczy się czas

Jeśli dojdzie do błędnego wysłania pliku, zgubienia nośnika, włamania do skrzynki albo wycieku z systemu, najpierw trzeba zatrzymać dalsze szkody, a dopiero potem analizować szczegóły. Według UODO zgłoszenie naruszenia do Prezesa Urzędu składa się bez zbędnej zwłoki, zwykle nie później niż w 72 godziny od stwierdzenia incydentu, chyba że ryzyko dla osób jest mało prawdopodobne.

1. Odetnij dalszy dostęp. Zmień hasła, wyłącz konto, zablokuj link do pliku, odzyskaj sprzęt albo dezaktywuj integrację, jeśli to możliwe.
2. Ustal zakres incydentu. Sprawdź, jakich informacji dotyczy sprawa, ilu osób może obejmować i czy chodzi o dane zwykłe, czy o bardziej wrażliwe materiały.
3. Oceń ryzyko. Inaczej traktuje się omyłkowe wysłanie jednej faktury, a inaczej pełną listę płac lub dokumentację kadrową.
4. Zgłoś naruszenie, jeśli ryzyko istnieje. Im szybciej masz jasność, tym lepiej dla firmy i osób, których sprawa dotyczy.
5. Poinformuj osoby, gdy ryzyko jest wysokie. To ważne zwłaszcza wtedy, gdy wyciek może prowadzić do kradzieży tożsamości, nadużyć finansowych albo innych szkód.
6. Zapisz wnioski i popraw procedury. Sam incydent jest problemem, ale powtarzalny brak reakcji jest zwykle większym błędem.

W praktyce najwięcej kosztuje nie sam wyciek, tylko brak przygotowania. Dlatego po incydencie warto działać szybko, ale jeszcze ważniejsze jest to, żeby wcześniej nie zostawić firmy bez zasad. Z tego powodu dobrze znać najczęstsze błędy, które widzę w małych organizacjach i biurach rachunkowych.

Najczęstsze błędy, które widzę w praktyce

Większość problemów nie wynika z zaawansowanego ataku, tylko z rutyny. Ktoś wysyła pełny plik, ktoś używa wspólnego hasła, ktoś przechowuje dokumenty „na wszelki wypadek” i po pół roku nikt już nie wie, gdzie właściwie leży klucz do całego systemu. To są pozornie drobne decyzje, ale sumują się w realne ryzyko.

Jeśli któryś z tych punktów brzmi znajomo, nie ma sensu zaczynać od wielkiego audytu. Zwykle wystarcza kilka dobrze ustawionych nawyków i jeden krótki, ale konkretny plan działania. Na koniec zebrałem właśnie taki zestaw rzeczy, które da się wdrożyć od razu.

Co warto wdrożyć od razu, zanim pojawi się problem

• Spisz, gdzie w firmie znajdują się informacje o klientach, pracownikach i kontrahentach.
• Ogranicz dostęp do folderów, skrzynek i systemów tylko do osób, które naprawdę tego potrzebują.
• Włącz uwierzytelnianie wieloskładnikowe tam, gdzie to możliwe, zwłaszcza w poczcie i chmurze.
• Ustal, kiedy dokument ma być usunięty, zarchiwizowany albo zanonimizowany.
• Przygotuj krótką procedurę na wypadek pomyłki, wycieku lub utraty sprzętu.
• Sprawdź umowy z dostawcami systemów, bo odpowiedzialność za dane nie kończy się na granicy biura.

W dobrze zorganizowanej firmie ochrona nie polega na mnożeniu papierów, tylko na porządku w codziennych działaniach. Jeśli od razu ustawisz zakres zbieranych informacji, dostęp, retencję i prostą procedurę na wypadek incydentu, większość ryzyk spadnie bez wielkich kosztów i bez spowalniania pracy.