Audyt RODO Toruń

Gdzie w toruńskim zakładzie faktycznie leżą dane osobowe?

Nie tam, gdzie wskazuje system kadrowy. W firmie z produkcją zbiory rozchodzą się po budynkach razem z obiegiem papieru, a mapa danych zaczyna wyglądać sensownie dopiero wtedy, gdy ktoś obejdzie halę, magazyn i biuro z tym jednym pytaniem.

Zbiór	Gdzie zwykle leży	Kto go otwiera w praktyce	Co z tym robimy
Akta pracowników	system kadrowy i szafa w biurze	kadry, czasem właściciel	uprawnienia imienne, zamknięcie dostępu wspólnego
Orzeczenia sanitarno-epidemiologiczne	ten sam segregator co umowy	kadry i kierownik produkcji	wydzielenie zbioru, węższa lista osób
Listy załogi sezonowej	arkusz na pulpicie i skrzynka mailowa	kto akurat prowadzi nabór	jedno miejsce, retencja po kampanii
Nagrania z hali i bramy	rejestrator w szafie, czasem w hali	ochrona, utrzymanie ruchu	okres przechowywania, rejestr pobrań
Kontrola wejść i śluza	osobny program przy drzwiach	brygadzista	powiązanie z listą aktualnych pracowników
Dane kontaktowe u odbiorców	program handlowy i poczta	handel, logistyka	ograniczenie eksportu i uprawnień
Telefony kierowców	urządzenia poza terenem firmy	kierowcy	szyfrowanie i zdalne usunięcie danych
Stare eksporty z systemów	dysk wspólny, katalog bez opiekuna	wszyscy z dostępem do dysku	usunięcie albo przeniesienie za uprawnienia

Ostatni wiersz jest w toruńskich firmach najbardziej powtarzalny. Eksport zrobiony trzy lata temu na potrzeby jednego zestawienia leży dalej w katalogu otwartym dla całego biura i nikt nie zna nawet jego istnienia, dopóki nie zapyta o to ktoś z zewnątrz.

Dlaczego dane o zdrowiu załogi wymagają osobnego traktowania?

Bo są chronione ostrzej niż reszta akt, a w zakładzie spożywczym pojawiają się z powodu, który z ochroną danych nie ma nic wspólnego: pracownik mający kontakt z żywnością musi mieć orzeczenie do celów sanitarno-epidemiologicznych. Dokument trafia więc do kadr, potem kopia idzie do kierownika produkcji, potem skan ląduje w mailu, a przy audycie sanitarnym ktoś drukuje całość na biurko.

Nasza rola kończy się na warstwie technicznej i tam jest sporo do zrobienia: osobny katalog z zawężonymi uprawnieniami, koniec z kopiami w załącznikach do poczty, szyfrowanie nośnika, na którym leży skan, oraz zapis, kto ten katalog otwierał. Czy w ogóle wolno przechowywać dany dokument i jak długo, rozstrzyga prawnik. My mówimy, jak go zabezpieczyć i jak ograniczyć krąg osób, które go widzą.

Co monitoring w hali nagrywa poza tym, co miał nagrywać?

Kamera skierowana na linię pakującą nagrywa też ludzi przy tej linii przez całą zmianę, a kamera przy bramie rejestruje kierowców firm, które z Wami wyłącznie handlują. To nie znaczy, że monitoring jest zły. Znaczy, że wymaga trzech ustaleń, których w większości zakładów po prostu nie ma zapisanych.

Pierwsze to okres przechowywania, faktyczny, a nie deklarowany. Rejestrator zwykle nadpisuje nagrania po zapełnieniu dysku, więc realny okres zależy od liczby kamer, a nie od decyzji zarządu. Drugie to lista osób mogących pobrać materiał i ślad po każdym pobraniu. Trzecie to zabezpieczenie samego rejestratora, który w zakładach stoi w szafie w hali, bywa wpięty do sieci biurowej i ma hasło ustawione przez instalatora.

Skąd wziąć fakty do zgłoszenia w wyznaczonym terminie?

Na zgłoszenie naruszenia są 72 godziny liczone od stwierdzenia, więc pytanie brzmi nie „czy zdążycie napisać pismo”, tylko „czy ustalicie w tym czasie zakres zdarzenia”. Odpowiedź zależy od rzeczy, które muszą istnieć wcześniej.

Potrzebne są rejestry zdarzeń z serwerów i z Microsoft 365 przechowywane odpowiednio długo, imienne konta zamiast wspólnych, wiedza o tym, które zbiory leżą na zajętym zasobie, oraz kopie, z których da się odczytać stan sprzed zdarzenia. Sprawdzamy każdą z tych czterech rzeczy osobno i piszemy, ile z zakresu naruszenia dałoby się dziś ustalić w pierwszej dobie. W firmach z jednym kontem administratora znanym kilku osobom odpowiedź brzmi zwykle: niewiele.

Co zostaje po tych dwóch dniach?

Mapa zbiorów z lokalizacją, dostępami i drogą, którą dane wychodzą z firmy. Lista braków technicznych, każdy z wagą i terminem. Zestaw faktów do zgłoszenia naruszenia, czyli konkretne miejsca, z których bierze się dowody. Do tego krótkie omówienie z zarządem, bo część decyzji, jak zawężenie dostępu kierownikom, jest decyzją organizacyjną, a nie ustawieniem w systemie.

Szerszy stan środowiska pokazuje audyt IT, a jeśli wymagania przyszły od odbiorcy razem z pytaniem o normę, punktem wyjścia jest audyt ISO 27001.

Czego w tym przeglądzie nie robimy?

Nie piszemy polityk ani rejestru czynności przetwarzania. Nie oceniamy podstaw prawnych przetwarzania i nie doradzamy, jak długo wolno trzymać dany dokument. Nie pełnimy funkcji inspektora ochrony danych. Nie prowadzimy testów penetracyjnych ani prób wyniesienia danych.

Robimy to, co da się zmierzyć i pokazać: gdzie zbiory są, kto je otwiera, czym są zabezpieczone i co się stanie, gdy trzeba będzie odtworzyć przebieg zdarzenia. Rozmowę o zakresie umawiamy przez kontakt albo w biurze przy Grudziądzkiej 136 w Toruniu.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026