Audyt RODO Poznań

Skąd firma handlowa ma dane osobowe

Pytanie brzmi banalnie, a odpowiedź prawie nigdy nie mieści się w jednym zdaniu. W przedsiębiorstwie, które sprzedaje hurtowo i detalicznie, zbiory powstają równolegle w kilku miejscach i tylko część z nich ktokolwiek kiedyś opisał.

Zbiór	Jak trafił do firmy	Kto go dziś widzi	Co zmieniamy
Klienci sklepu	zamówienie w sklepie internetowym	obsługa zamówień i dostawca sklepu	ograniczenie panelu, retencja zamówień
Osoby kontaktowe kontrahentów	umowa i system handlowy	cały dział handlowy	dostęp do własnego portfela zamiast do całości
Zapisani do wysyłek	formularz na stronie i zapis w sklepie	marketing i narzędzie do wysyłek	rozdzielenie źródeł zapisu w jednej bazie
Wizytówki i skany z targów	stoisko, notes, telefon handlowca	ten, kto akurat je zebrał	jedno miejsce zbierania, reszta kasowana
Kandydaci do pracy	ogłoszenie i skrzynka rekrutacyjna	kadry i kierownik działu	termin usunięcia i skrzynka z ograniczeniem
Pracownicy sezonowi	agencja pracy tymczasowej	kadry, kierownicy zmian	zakres danych ograniczony do potrzebnego
Nagrania z monitoringu magazynu	kamery przy rampie	ochrona i kierownik magazynu	okres przechowywania i lista osób z podglądem

Największe zaskoczenie kryje się zwykle w wierszu trzecim. Jedna baza marketingowa zawiera adresy pochodzące z czterech różnych sytuacji, a przy pytaniu o podstawę przetwarzania nie da się ich rozdzielić, bo nikt nie zapisywał, skąd który rekord się wziął.

Gdzie te dane mnożą się bez niczyjej decyzji

Nie w systemie, w którym powstały, tylko obok niego. Eksport do arkusza przed spotkaniem handlowym, kopia bazy zrobiona przy migracji do nowej wersji programu magazynowego, archiwum wysyłek u dostawcy usługi mailingowej, plik z listą płatników przesłany do biura rachunkowego zwykłym załącznikiem.

Każda z tych kopii ma cechę wspólną: żyje dłużej niż powód jej powstania. Arkusz sprzed dwóch lat leży na dysku wspólnym, dostępny dla wszystkich, z pełnymi danymi kilku tysięcy osób. W spisie systemów nie występuje, bo nie jest systemem.

Kto w Waszej firmie może pobrać całą bazę

To jedno z pytań, które zadajemy na pierwszym spotkaniu, i najczęściej nikt nie zna odpowiedzi. W większości systemów handlowych uprawnienie do eksportu przychodzi razem z rolą handlowca, bo taki był domyślny profil przy wdrożeniu, a nikt go później nie zawężał.

Skutek widać dopiero przy odejściu pracownika do konkurencji. Firma podejrzewa, że baza kontrahentów wyszła razem z nim, i nie potrafi tego ani potwierdzić, ani wykluczyć, bo eksporty nie zostawiają śladu. Naprawa jest tania: ograniczenie zakresu danych do własnego portfela, włączenie rejestrowania operacji masowych i alert przy pobraniu dużego zbioru. Trzy ustawienia, jeden wieczór pracy.

Co dzieje się w pierwszej godzinie po naruszeniu

Zegar na zgłoszenie organowi biegnie od stwierdzenia naruszenia, a nie od momentu, w którym firma skończy ustalanie faktów. Dlatego sprawdzamy nie tylko zabezpieczenia, ale też to, czy z posiadanych zapisów da się w ogóle odtworzyć, czyje dane wypłynęły i w jakim zakresie.

Do raportu dołączamy jednostronicową kartę: kto podejmuje decyzję, kto zbiera dane techniczne, skąd je bierze, kogo trzeba zawiadomić i w jakiej kolejności. Karta jest krótka celowo, bo dokument na dwadzieścia stron nikt nie otwiera w sytuacji, w której powstał.

Czym różni się to od przeglądu prawnego

Zakresem odpowiedzialności. My odpowiadamy na pytanie, czy dane są technicznie zabezpieczone i czy da się ustalić, kto miał do nich dostęp. Prawnik albo inspektor ochrony danych odpowiada na pytanie, czy wolno je przetwarzać i na jakiej podstawie.

Mówimy o tym na pierwszym spotkaniu, żeby nikt nie wyszedł z przekonaniem, że ma zamkniętą całość obowiązków. Najlepiej wypadają projekty prowadzone równolegle: prawnik pyta o podstawy, my sprawdzamy, czy rzeczywistość w systemie odpowiada temu, co znalazło się w dokumentach.

Szerszy przegląd stanu środowiska prowadzi audyt IT w Poznaniu, samą warstwę zabezpieczeń bada audyt bezpieczeństwa IT, a szyfrowanie nośników wraz z obsługą kluczy opisuje certyfikaty SSL i szyfrowanie. Termin ustalamy przez kontakt.

Treść sprawdzona i zaktualizowana: 31 lipca 2026