Audyt RODO Rzeszów

Który dokument z tego przeglądu przyda się najszybciej?

Wykaz odbiorców. To jedna kartka z listą podmiotów, którym Wasze dane wychodzą poza firmę, z zaznaczeniem, jakim kanałem i w jakim zakresie. Powstaje z ruchu w systemach, a nie z pamięci, więc regularnie znajdują się na niej pozycje, o których nikt w firmie nie mówił: portal odbiorcy z kontami imiennymi, serwis zewnętrzny obsługujący system kadrowy, agencja pracy tymczasowej, dostawca oprogramowania z dostępem do bazy.

Obok niego leży rejestr zbiorów zbudowany od strony technicznej, czyli lista miejsc, gdzie dane naprawdę leżą, z podaniem systemu, wielkości i faktycznego okresu przechowywania. Trzecim dokumentem jest lista poprawek, na której każda pozycja ma nakład, osobę odpowiedzialną i termin. Te trzy rzeczy razem odpowiadają na pytanie, od którego zwykle zaczyna się rozmowa z inspektorem ochrony danych, czyli co my w ogóle mamy.

Dlaczego nazwisko operatora zostaje w dokumentacji wyrobu na lata?

Bo tak działa identyfikowalność. Poddostawca przemysłu precyzyjnego musi umieć wskazać, kto wykonał operację, kto ją odebrał i na jakiej maszynie powstała konkretna sztuka, a te zapisy żyją tak długo jak sam wyrób. Powstaje przez to sytuacja, której nie ma w firmie handlowej: zbiór danych osobowych, którego okres przechowywania wyznacza wymaganie techniczne kontrahenta, a nie przepis o aktach pracowniczych.

Nie proponujemy skracania tej retencji, bo to droga do zerwania łańcucha dowodów przy pierwszym audycie odbiorcy. Proponujemy rozdzielenie warstw. Karta technologiczna, raport pomiarowy i zapis z systemu produkcyjnego mogą wskazywać osobę przez identyfikator, a przypisanie identyfikatora do nazwiska może leżeć w jednym, wąsko dostępnym miejscu, z własnymi uprawnieniami i własnym śladem odczytu. Dokumentacja zostaje kompletna, a krąg osób widzących nazwiska przestaje obejmować każdego, kto ma dostęp do archiwum.

Zbiór danych	Gdzie zwykle leży	Co najczęściej nie gra
Zapisy identyfikacyjne przy operacjach	system produkcyjny i archiwum wyrobu	brak terminu i pełne nazwiska w plikach eksportowych
Konta w portalach odbiorców	systemy kontrahenta, poza Waszą siecią	nikt nie prosi o wyrejestrowanie po odejściu pracownika
Rejestracja czasu pracy	osobna baza przy systemie kadrowym	raporty rozsyłane mailem do kierowników
Kontrola wejścia i przepustki	kontroler przy portierni	zapisy trzymane bezterminowo, dostęp poza kadrami
Badania i uprawnienia załogi	dysk działu kadr albo BHP	katalog widoczny dla całego działu, bez ograniczeń
Rekrutacja i agencje pracy	poczta i skrzynka wspólna	zgłoszenia sprzed lat, nigdy nieusunięte
Kopie zapasowe wszystkich powyższych	serwer kopii i lokalizacja zapasowa	retencja kopii dłuższa niż retencja danych źródłowych

Ostatni wiersz jest najbardziej niewygodny. Dane usunięte z systemu wracają w kopii sprzed dwóch lat i to jest miejsce, w którym najczęściej rozjeżdżają się deklaracja i stan faktyczny. W raporcie podajemy realny czas życia kopii, a nie ten z harmonogramu.

Komu przekazujecie dane swoich ludzi, nie nazywając tego przekazaniem?

Najczęściej odbiorcy. Wymaganie, żeby dostawca przedstawił listę osób dopuszczonych do dokumentacji objętej ochroną, jest w łańcuchu dostaw normalne, a dla firmy oznacza wysłanie na zewnątrz imion, nazwisk, stanowisk, czasem numerów dokumentów. Robi to zwykle dział jakości, mailem, bez śladu w żadnym rejestrze i bez odpowiedzi na pytanie, co się z tą listą dzieje po zamknięciu programu.

Druga droga to konta imienne zakładane Waszym ludziom w systemach kontrahenta. Pracownik dostaje login do portalu dostawcy, wgrywa tam raporty i certyfikaty, a jego dane od tego momentu przetwarza ktoś inny. Trzecia to serwis zewnętrzny przy systemie produkcyjnym albo kadrowym, który przy każdej diagnostyce widzi bazę w całości. Wszystkie trzy trafiają do wykazu odbiorców, bo dopiero wtedy da się o nich rozmawiać.

Które konta zostały po ludziach, którzy odeszli?

Zwykle więcej, niż wynika z listy zwolnień. Konto w Active Directory ktoś wyłącza tego samego dnia, ale login do portalu odbiorcy, dostęp do systemu pomiarowego i konto w narzędziu do przesyłania plików zostają, bo o ich istnieniu wiedziała wyłącznie osoba, która odeszła. Porównujemy więc listę kont we wszystkich systemach z aktualną strukturą zatrudnienia i wypisujemy różnice z datą ostatniego logowania.

Ten sam mechanizm dotyczy przesunięć wewnątrz firmy. Człowiek, który przeszedł z produkcji do biura konstrukcyjnego, ma zwykle dostępy z obu miejsc, bo nowe uprawnienia się dodaje, a starych nikt nie odbiera. Po kilku latach wychodzi z tego uprawnienie do wszystkiego. Stronę techniczną tego porządku bada audyt IT, a wymagania normy zbiera audyt ISO 27001.

Czego ten przegląd nie rozstrzyga?

Kwestii prawnych. Nie oceniamy podstaw przetwarzania, nie piszemy klauzul, nie opiniujemy umów powierzenia i nie rozstrzygamy, czy przekazanie danych do kontrahenta spoza Europejskiego Obszaru Gospodarczego ma właściwą podstawę. Dostarczamy fakty w takim kształcie, żeby prawnik albo inspektor ochrony danych mógł na nich pracować bez zbierania ich od zera.

Nie prowadzimy też szkoleń z przepisów i nie zgłaszamy naruszeń w Waszym imieniu. Jeśli w trakcie przeglądu wyjdzie zdarzenie wyglądające na naruszenie, mówimy o tym od razu, bo terminy w takiej sprawie liczą się od momentu stwierdzenia, a nie od oddania raportu. Rozmowę o zakresie umawiamy przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026