Audyt RODO Kraków

Kim jesteście w tym łańcuchu i dlaczego to pierwsze pytanie

Zanim cokolwiek sprawdzimy technicznie, ustalamy jedną rzecz, bez której reszta badania odpowiada na złe pytanie. Chodzi o to, czy w danym procesie decydujecie o celu przetwarzania, czy wykonujecie cudzą decyzję, i czy ta decyzja przyszła bezpośrednio od podmiotu, którego dane dotyczą, czy przez kolejnego pośrednika.

W krakowskim centrum usług wspólnych odpowiedź bywa różna dla różnych procesów prowadzonych przez tych samych ludzi. Kadry własnej spółki to jedno, obsługa płac dla spółki siostrzanej z innego kraju to drugie, a przetwarzanie danych klientów tej spółki siostrzanej to trzecie. Trzy różne role, trzy różne zestawy obowiązków i trzy różne odpowiedzi na pytanie, kogo powiadamiacie przy zdarzeniu.

Jak wygląda łańcuch, gdy administrator siedzi w innym kraju

Ogniwo	Kto to zwykle jest	Kto ustala cel	Czego oczekuje się od Was	Co zastajemy najczęściej
Dane własnych pracowników	Wasza spółka	Wy	pełen zestaw obowiązków	opisane najlepiej ze wszystkich
Proces przejęty od spółki grupy	spółka z innego kraju	ona	wykonanie i dowód wykonania	brak potwierdzenia zakresu na piśmie
Dane klientów tej spółki	jej klient	klient	działanie w drugiej linii powierzenia	zgoda na dalsze powierzenie nieudokumentowana
Narzędzie chmurowe pod proces	dostawca zewnętrzny	Wy wybieracie	wykazanie doboru dostawcy	wybór dokonany przez centralę bez Waszej wiedzy
Wsparcie techniczne z innego kraju	zespół grupy	Wy odpowiadacie	ograniczenie i rejestrowanie dostępu	konto stałe zamiast dostępu na czas zgłoszenia
Archiwum papierowe zlecenia	Wasza spółka	zleceniodawca	terminy i sposób zniszczenia	protokoły niszczenia bez numerów spraw
Kopia zapasowa środowiska	zespół grupy	podzielone	wskazanie miejsca przechowywania	nikt nie potrafi wskazać kraju

Wiersz trzeci decyduje w praktyce najczęściej. Praca w drugiej linii powierzenia jest zupełnie zwyczajna i dopuszczalna, tylko wymaga zgody, której nikt nigdy nie zbiera na piśmie, ponieważ w obrębie jednej grupy kapitałowej wszyscy zakładają, że skoro to ta sama firma, to sprawa jest oczywista.

Dostęp zespołów pracujących z kilku krajów

Rzecz, która w takich organizacjach zastępuje klasyczny problem wycieku. Dane nie wychodzą na zewnątrz, tylko krążą wewnątrz struktury szerzej, niż wynika to z podziału zadań, i nikt tego nie zauważa, bo każde pojedyncze nadanie dostępu miało kiedyś dobre uzasadnienie.

Sprawdzamy trzy rzeczy w ustalonej kolejności. Czy uprawnienie jest powiązane z konkretnym procesem, czy raczej z działem. Czy kończy się razem z zadaniem, czy trwa do odejścia pracownika. Oraz czy istnieje przegląd, który to weryfikuje, i czy zostaje po nim zapis nadający się do okazania stronie powierzającej.

Naprawa bywa tania, jeśli zrobi się ją wcześnie. Zawężenie uprawnień do przypisanych spraw, dostęp podnoszony na czas konkretnego zgłoszenia oraz powiadomienie przy nietypowo dużym pobraniu zamykają zwykle większość rozbieżności z tego obszaru.

Tajemnica zawodowa obok przepisów o danych, nie zamiast nich

W kancelarii pojawia się drugi reżim i bywa on ostrzejszy od przepisów o ochronie danych. Nie zastępuje ich jednak w żadnym punkcie, a jedynie zawęża sposób, w jaki wolno prowadzić badanie i w jaki wolno przechowywać materiał.

Przegląd techniczny prowadzimy dlatego bez otwierania akt. Do oceny szyfrowania wystarcza raport z konsoli urządzeń. Do oceny uprawnień wystarcza wykaz kont z przypisaniem do zespołów. Do oceny usuwania materiału wystarcza protokół z numerem sprawy zamiast jej opisu. Za każdym razem oglądamy ślad czynności, a nie jej przedmiot.

Osobno sprawdzamy rzecz, która w kancelariach wypada najsłabiej: kopie robocze. Dokument otwierany na dysku lokalnym, załącznik w skrzynce osoby, która go przyjęła, oraz wersja wysłana do korekty żyją zwykle dłużej niż oryginał w systemie, ponieważ procedura usuwania obejmuje tylko ten ostatni.

Co się liczy przy zdarzeniu, gdy zegar biegnie u kogoś innego

Kiedy wykonujecie cudzą decyzję, obowiązek zgłoszenia do organu spoczywa na podmiocie, który Wam dane powierzył. Wasz obowiązek jest krótszy w treści i ostrzejszy w czasie: macie powiadomić go bez zbędnej zwłoki, a termin bywa dodatkowo zapisany w umowie w godzinach.

Z tego wynika praktyczna konsekwencja dla całego przeglądu. Sprawdzamy nie tylko to, czy zdarzenie zostanie wykryte, ale też czy w pierwszej godzinie da się ustalić, którego zleceniodawcy dotyczy. Awaria w środowisku obsługującym pięć spółek wymaga pięciu różnych rozstrzygnięć, a każde z nich ma innego adresata i inny zegar.

Karta dołączana do raportu zaczyna się dlatego od nazwisk i numerów telefonu po obu stronach, a nie od opisu zdarzenia technicznego. Przechodzimy ją na sucho i mierzymy czas od wykrycia do wysłania pierwszej informacji.

Poza co ten przegląd nie wychodzi

Nie piszemy polityk, rejestru czynności ani klauzul i mówimy to przed podpisaniem zlecenia, żeby nikt nie został z połową obowiązków w przekonaniu, że ma całość. Nie oceniamy podstaw przetwarzania. Nie prowadzimy prób włamania i nie reprezentujemy nikogo przed organem nadzoru.

Całe środowisko techniczne obejmuje audyt IT, a odległość od wymagań normy mierzy audyt ISO 27001. Datę przeglądu uzgadniamy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026