Audyt RODO Szczecin

Dlaczego w transporcie dane osobowe są wszędzie poza bazą

Firma handlowa ma dane klientów w jednym systemie i mniej więcej wie, gdzie ich szukać. W spedycji jest inaczej, bo każde zlecenie generuje własny komplet dokumentów, a każdy dokument zawiera nazwiska: kierowcy, osoby przyjmującej towar, przedstawiciela odbiorcy, pracownika agencji celnej.

Te dokumenty nie zostają w systemie. Trafiają na skrzynkę dyspozytora, do katalogu na dysku wspólnym, do folderu ze skanami, na telefon kierowcy i w załączniku do wiadomości wysłanej zleceniodawcy. Po roku pracy powstaje z tego kilkadziesiąt tysięcy plików, których nikt nigdy nie policzył.

Dlatego przegląd zaczynamy od prześledzenia jednego zlecenia od początku do końca. Bierzemy losowy numer sprzed kilku miesięcy i pytamy, gdzie dziś znajdują się wszystkie dokumenty z nim związane. Odpowiedź zwykle zajmuje pół godziny i jest najlepiej zapamiętanym momentem całego badania.

Które miejsca sprawdzamy poza systemem spedycyjnym

Miejsce	Jakie dane tam trafiają	Typowy problem
Skrzynka zleceń	listy przewozowe, dane kontaktowe odbiorców	loguje się kilka osób na jedno konto
Dysk współdzielony	skany dokumentów i potwierdzenia odbioru	dostęp dla całej firmy, bez podziału
Panel lokalizacji pojazdów	trasa i czas pracy konkretnej osoby	logowanie samym hasłem
Pliki z tachografów	dane kierowcy z całego okresu	kopie na prywatnym pendrive
Rejestrator monitoringu	wizerunek pracowników i kierowców	hasło fabryczne, brak rejestru pobrań
Telefony służbowe	zdjęcia dokumentów i rozładunku	brak blokady i brak zdalnego czyszczenia
Archiwum papierowe	oryginały dokumentów przewozowych	szafa bez zamka w przechodnim pomieszczeniu

Tabela z tego zestawienia trafia do raportu wypełniona konkretami z Waszej firmy, razem z liczbą znalezionych plików i datą najstarszego z nich. To ta liczba zwykle uruchamia decyzję o porządkach.

Kto w Waszej firmie może pobrać całą historię przewozów

Uprawnienie do eksportu bywa rozdawane hurtem, bo raz na jakiś czas każdy potrzebuje zestawienia. Problem pojawia się wtedy, gdy zestawienie obejmuje wszystkie zlecenia z trzech lat razem z danymi kontaktowymi, a system nie zapisuje, kto i kiedy je pobrał.

Sprawdzamy trzy rzeczy. Czy eksport jest ograniczony do zakresu potrzebnego na stanowisku. Czy pobranie zostawia ślad, po którym da się odtworzyć zdarzenie. Czy konta osób, które odeszły, zostały wyłączone w dniu odejścia, a nie w miesiącu, w którym ktoś to zauważył.

Ostatni punkt wypada najgorzej niemal zawsze, i to nie z zaniedbania. Przy pracy zmianowej odejście pracownika zgłasza się kadrom, a kadry nie mają kontaktu z osobą prowadzącą konta w systemie spedycyjnym.

Co się dzieje w pierwszej godzinie po naruszeniu

Zgłoszenie naruszenia wymaga informacji, których nie da się zebrać po fakcie, jeśli nikt wcześniej nie włączył rejestrowania. Trzeba wiedzieć, jakie dane były dostępne, przez jaki czas, dla kogo i ilu osób to dotyczy.

Dlatego w raporcie opisujemy nie tylko braki w zabezpieczeniach, ale też to, czy jesteście w stanie odpowiedzieć na te pytania. Sprawdzamy, jak długo przechowywane są zapisy logowań, czy da się z nich odczytać pobrania plików i czy dyżurny na zmianie wie, do kogo zadzwonić w środku nocy.

Ćwiczymy to na jednym przykładzie: skradziony laptop dyspozytora. Odpowiedzi zajmują zwykle kilka minut i pokazują dokładnie, czego brakuje. Jeśli dysk był zaszyfrowany, sprawa wygląda zupełnie inaczej, i tym zajmuje się szyfrowanie i certyfikaty.

Co dostajecie i co zostaje do zrobienia poza nami

Dostajecie mapę miejsc z danymi, zestawienie uprawnień w podziale na stanowiska, listę braków z oceną ryzyka i wyceną oraz kolejność ich usuwania. Wszystko po polsku, z odniesieniem do konkretnych systemów, nie do numerów artykułów.

Poza naszym zakresem zostaje warstwa dokumentowa: rejestr czynności przetwarzania, umowy powierzenia z podwykonawcami, klauzule informacyjne i ocena skutków. To praca dla prawnika i najlepiej prowadzić ją równolegle, bo część naszych ustaleń jest dla niego materiałem wejściowym.

Najczęstsze zalecenia techniczne po takim badaniu to szyfrowanie dysków, uporządkowanie uprawnień, drugi składnik przy logowaniu i kopie odporne na skasowanie. Pierwsze z nich zamyka logowanie wieloskładnikowe, a szerszy przegląd całego środowiska opisuje audyt IT w Szczecinie. Termin ustalimy przez kontakt.

Treść sprawdzona i zaktualizowana: 31 lipca 2026