Audyt RODO Bydgoszcz

Gdzie przez jedną zmianę powstają dane osobowe

W firmie usługowej największy zbiór danych osobowych zwykle leży w jednym programie. W zakładzie jest odwrotnie: zbiór powstaje w kilkunastu miejscach w ciągu ośmiu godzin i prawie żadne z tych miejsc nie wygląda na system informatyczny. Dlatego przegląd prowadzimy wzdłuż zmiany, od bramy do wyjścia, a nie wzdłuż listy zainstalowanych programów.

Moment zmiany	Jakie dane powstają	Gdzie trafiają	Co wychodzi w badaniu
Wejście przez bramę	numer karty, godzina, obraz z kamery	kontrola dostępu i rejestrator	nagrania leżą dłużej, niż ktokolwiek ustalił
Odbicie na czytniku	identyfikator, godziny, nadgodziny	system rejestracji czasu pracy	eksport do arkusza wysyłany pocztą co miesiąc
Odprawa zmianowa	lista obecności, przydział stanowisk	wydruk na tablicy w hali	kartka z nazwiskami wisi przez cały tydzień
Praca przy linii	numer operatora przypisany do partii	program produkcyjny	wgląd ma każdy, kto ma dostęp do systemu
Zdarzenie przy maszynie	opis, nazwisko, czasem stan zdrowia	protokół i skrzynka kierownika	załącznik krąży między skrzynkami bez ograniczeń
Wjazd przewoźnika	dane kierowcy i numer pojazdu	zeszyt na portierni	zeszyt leży otwarty na blacie
Nabór na produkcję	zgłoszenia kandydatów	skrzynka i katalog na dysku	zgłoszenia sprzed roku nadal tam są
Koniec zmiany	wydanie i zwrot narzędzi	arkusz przy magazynku	żaden termin usunięcia nie został ustalony

Ostatnia kolumna nie opisuje niedbalstwa, tylko naturalny skutek tego, że każdy z tych zapisów powstał w innym celu i w innym czasie. Żadna z tych rzeczy nie została zaprojektowana jako zbiór danych, więc nikt nigdy nie ustalił dla niej terminu ani zakresu dostępu.

Dlaczego monitoring jest najtrudniejszym punktem badania

Bo dotyczy wszystkich naraz i jest technicznie najprostszy do rozszerzenia. Kamera dołożona przy nowej bramie kosztuje niewiele i podpina się do istniejącego rejestratora, więc dokłada się ją bez decyzji na poziomie zarządu. Po kilku latach system obejmuje miejsca, o których w pierwotnym ustaleniu nie było mowy.

Sprawdzamy trzy rzeczy. Pierwsza to faktyczny czas przechowywania nagrań, który zwykle różni się od deklarowanego, bo zależy od pojemności dysku, a nie od ustawienia. Druga to lista osób z podglądem, w której obok kierownika ochrony bywa konto serwisu instalatora, założone przy montażu i nigdy nie odebrane. Trzecia to sposób wydawania kopii nagrania, bo to jedyna operacja, przy której materiał opuszcza firmę, i jedyna, która prawie nigdy nie zostawia śladu.

Co się zmienia, gdy część załogi przychodzi z agencji

Rotacja zamienia problem porządkowy w problem bezpieczeństwa. Przy stałej załodze konto zakłada się raz na kilka lat i zamyka raz na kilka lat. Przy obsadzie uzupełnianej z agencji ta sama czynność powtarza się kilkadziesiąt razy w roku, a odbieranie dostępu jest tym krokiem, który wypada z procesu jako pierwszy.

Skutek widać zawsze w tym samym miejscu. W systemie kontroli dostępu zostają aktywne karty osób, które pracowały tu jeden sezon, a w programie produkcyjnym konta z nazwiskami, których nikt już nie kojarzy. Naprawa jest tania i polega na jednym: powiązaniu zamknięcia dostępu z tym samym zdarzeniem, które i tak uruchamia rozliczenie z agencją.

Kto może pobrać całą listę, a kto tylko zobaczyć jeden rekord

To rozróżnienie decyduje o skali każdego zdarzenia. Osoba w kadrach ma widzieć dane pracownika, którego sprawę prowadzi, i jest to w porządku. Pytanie brzmi, czy ta sama osoba może wyeksportować całą listę razem z adresami, numerami kont i wysokością wynagrodzenia oraz czy po takiej operacji cokolwiek zostaje w dzienniku.

Sprawdzamy to osobno w każdym systemie zawierającym dane osobowe, łącznie z programem produkcyjnym i z rejestratorem czasu pracy. Naprawa jest zwykle prostsza, niż się wydaje: zawężenie widoku do przypisanych spraw, włączenie zapisu operacji masowych i powiadomienie przy nietypowo dużym pobraniu.

Co się liczy w pierwszych godzinach po zdarzeniu

Zakład pracujący na zmiany ma tu jedną trudność więcej niż biuro: zdarzenie bywa wykrywane o dwudziestej drugiej, a osoby, które mogą cokolwiek rozstrzygnąć, wracają do pracy o siódmej. Dziewięć godzin przerwy to dziewięć godzin, w których nikt nie zbiera faktów, a zegar biegnie od stwierdzenia naruszenia.

Dlatego karta dołączana do raportu zaczyna się od nazwisk i numerów telefonu, a nie od opisu procedury. Sprawdzamy przy tym dwie rzeczy naraz: czy zapisy zdarzeń w Waszych systemach przeżyją wystarczająco długo, żeby dało się ustalić zakres, oraz czy leżą gdzie indziej niż system, którego zdarzenie dotyczy. Dziennik skasowany razem z serwerem nie pomoże w żadnym zgłoszeniu.

Czego w tym przeglądzie nie robimy

Nie oceniamy podstaw prawnych przetwarzania, nie piszemy polityk, nie prowadzimy rejestru czynności i nie pełnimy funkcji inspektora ochrony danych. Nie prowadzimy też testów penetracyjnych i nie reprezentujemy nikogo przed organem. Granicę rysujemy na pierwszym spotkaniu, bo firma przekonana, że ma komplet, a mająca połowę, jest w gorszym położeniu niż przed badaniem.

Szersze spojrzenie na całe środowisko daje audyt IT, a jeśli pytanie o ochronę danych przyszło razem z ankietą bezpieczeństwa od odbiorcy, właściwym punktem wyjścia bywa badanie zgodności z ISO 27001, ponieważ obejmuje także procesy i dowody ich działania. Datę przeglądu uzgadniamy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026