Audyt RODO Olsztyn

Co oddajemy po dwóch dniach pracy

Jeden wykaz i trzy załączniki do niego. Wykaz odpowiada na pytanie, w ilu miejscach w firmie leżą dane osób, a przy każdej pozycji stoi system, osoba odpowiedzialna i termin usunięcia. Pierwszy załącznik to zestawienie dostępów, czyli kto z zespołu może dany zbiór otworzyć, wyeksportować i skasować. Drugi to lista braków technicznych z priorytetami. Trzeci to karta pierwszej godziny po incydencie.

Ten wykaz jest ważniejszy od wszystkich zabezpieczeń razem wziętych, bo nie da się chronić zbioru, o którym nikt w firmie nie pamięta. W obiekcie przyjmującym gości pamięta się o systemie rezerwacyjnym i o programie księgowym, a zapomina o reszcie.

Ile zbiorów z danymi zwykle znajdujemy

Więcej, niż wynika z pierwszej rozmowy, i nie jest to zarzut wobec kogokolwiek. Poniżej pozycje, które w warmińskich obiektach wracają najczęściej, razem z powodem, dla którego wypadają z pola widzenia.

Zbiór	Gdzie zwykle leży	Dlaczego umyka
Historia pobytów	system rezerwacyjny, bez limitu czasu	nikt nie ustawił terminu usuwania przy wdrożeniu
Zapytania z portali	skrzynka recepcji, foldery sprzed kilku lat	poczta rośnie sama i nikt jej nie przegląda
Listy uczestników grup	arkusze na dysku sieciowym	powstają doraźnie przed przyjazdem wycieczki
Karty meldunkowe	segregator na zapleczu recepcji	papier nie pojawia się w rozmowie o systemach
Skany dokumentów	folder na komputerze recepcji	ktoś kiedyś tak robił i zostało to nawykiem
Nagrania z kamer	rejestrator w pomieszczeniu technicznym	zapis nadpisuje się dopiero po zapełnieniu dysku
Dane personelu sezonowego	teczki i pliki po kilku latach naboru	umowy się kończą, dokumenty zostają
Opinie i ankiety	narzędzie marketingowe kupione na jeden sezon	konto działa dalej, choć nikt się na nie nie loguje
Kopie starego systemu	dysk przenośny w biurze właściciela	zbiór zniknął z widoku razem z wymianą programu

Ostatnia pozycja bywa największym pojedynczym ryzykiem w całym przeglądzie. Kopia sprzed wymiany systemu zawiera komplet danych z kilku sezonów, nikt jej nie chroni, a przy pytaniu o zakres wycieku nikt o niej nie wspomni, bo od lat nie jest częścią żadnego procesu.

Kto poza obiektem widzi te dane

Zwykle kilka firm i to jest część, która najbardziej zaskakuje właścicieli. Dostawca systemu rezerwacyjnego trzyma bazę na swoim serwerze. Serwis rozliczający płatności widzi transakcje. Biuro rachunkowe dostaje dane z faktur. Firma sprzątająca albo ochrona bywa wpuszczana do pomieszczenia z rejestratorem. Każda z tych relacji powinna mieć umowę, a w praktyce ma ją jedna albo dwie.

Naszą rolą jest wypisanie tej listy z faktów, czyli z tego, kto ma login, kto ma klucz i dokąd faktycznie wychodzą dane. Ocena samych umów należy do prawnika, ale bez tej listy nikt nie wie, ilu umów w ogóle brakuje.

Co powinno zniknąć, a zostaje na lata

Dane gościa mają w obiekcie dwa różne życia. Pierwsze kończy się z wyjazdem i tu decyzja jest prosta. Drugie wynika z rozliczeń i z ewentualnych roszczeń, więc trwa dłużej, a jego długość ustala się z prawnikiem, nie z informatykiem. Problem zaczyna się wtedy, gdy nikt nie ustalił żadnego z tych terminów i system po prostu trzyma wszystko od dnia uruchomienia.

W raporcie każdemu zbiorowi przypisujemy propozycję terminu i wskazujemy, czym technicznie da się go wymusić. W jednym systemie będzie to zadanie czyszczące, w drugim polityka retencji, a w trzecim, przy papierze, po prostu niszczarka i data w kalendarzu.

Gdzie kończy się nasza część tej pracy

Na technice. Sprawdzamy szyfrowanie komputerów i nośników, drugi składnik logowania, zawężenie uprawnień, rejestrowanie zdarzeń, odporność kopii na skasowanie i realną możliwość ustalenia zakresu naruszenia. Nie piszemy polityk, nie prowadzimy rejestru czynności i nie oceniamy podstaw prawnych przetwarzania.

Zgodność z normą sprawdza osobno audyt ISO 27001, a stan całej infrastruktury pokazuje audyt IT. Termin przeglądu ustalamy przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026