Audyt RODO Warszawa

Dlaczego warszawska firma usługowa ma z tym trudniej

Bo występuje w dwóch rolach jednocześnie. Wobec własnych pracowników, kandydatów i kontrahentów decyduje o celach przetwarzania. Wobec danych, które dostaje do wykonania zlecenia, jest wykonawcą cudzej decyzji i musi umieć pokazać, jak je zabezpiecza.

Druga rola jest tą, która generuje pytania z zewnątrz. Duży zamawiający ma w umowie prawo sprawdzenia i coraz częściej z niego korzysta, przysyłając kwestionariusz albo zapowiadając wizytę. Firma, która nigdy nie przeszła takiego sprawdzenia, dowiaduje się wtedy o własnych brakach w najgorszym możliwym momencie, czyli przy odnowieniu kontraktu.

O co pyta zamawiający	Gdzie tego szukamy	Co zwykle wychodzi
Rozdzielenie danych różnych klientów	struktura katalogów, uprawnienia w systemie roboczym	jeden wspólny obszar dla wszystkich zleceń
Lista osób z dostępem	katalog tożsamości, grupy, konta gościnne	dostęp szerszy niż zespół prowadzący projekt
Ślad po pobraniu materiału	rejestr operacji, ustawienia narzędzi	pobranie nie zostawia zapisu
Dalsi przetwarzający	wykaz usług, panele dostawców	narzędzia kupione kartą, spoza wykazu
Zwrot i usunięcie po zleceniu	procedura zamknięcia projektu	materiał zostaje na dysku bezterminowo
Szyfrowanie sprzętu	konfiguracja stacji i laptopów	wyjątki na starszych urządzeniach
Zdarzenia i powiadamianie	rejestr incydentów, zapisy z narzędzi	brak zapisów starszych niż domyślna retencja

Wiersz szósty i siódmy rozstrzygają najwięcej. Zamawiający nie oczekuje, że nic się nigdy nie wydarzy. Oczekuje, że dowie się o tym w umówionym czasie i że będziecie umieli powiedzieć, czego dotyczyło.

Gdzie dane rozchodzą się w firmie pracującej projektami

Nie w systemie dziedzinowym, tylko wokół niego. Materiał przychodzi od klienta załącznikiem, ląduje na dysku wspólnym, ktoś robi z niego roboczą kopię na własnym katalogu, część trafia do prezentacji, a wersja pierwotna zostaje w skrzynce osoby, która ją odebrała.

Po zamknięciu projektu znika zwykle jedna z tych kopii, ta w systemie. Reszta zostaje, bo nikt nie wie, że istnieje. Dlatego przegląd zaczynamy od pytania, jak wygląda droga materiału od chwili, gdy klient go przysyła, do chwili, gdy faktura jest zapłacona.

Kto może pobrać całość, a kto tylko zobaczyć rekord

To rozróżnienie decyduje o skali każdego zdarzenia. Osoba prowadząca projekt ma widzieć dane z tego projektu i jest to w porządku. Pytanie brzmi, czy ta sama osoba może wyeksportować wszystko, do czego kiedykolwiek miała dostęp, i czy gdziekolwiek zostaje po tym ślad.

Sprawdzamy to w każdym systemie z danymi osobowymi osobno, razem z tym, czy operacja masowa jest rejestrowana i czy ktoś ten rejestr czyta. Naprawa jest zwykle tania: zawężenie zakresu do przypisanych spraw, włączenie zapisu operacji i powiadomienie przy nietypowo dużym pobraniu.

Co dzieje się w budynku, którego nie jesteście właścicielem

Trzy rzeczy trafiają w warszawskich biurowcach na listę braków najczęściej.

Urządzenia wielofunkcyjne z dyskiem. Sprzęt dzierżawiony od dostawcy przechowuje obrazy wydruków, a przy zakończeniu umowy wraca do niego razem z zawartością, bez żadnego protokołu wyczyszczenia.

Niszczenie dokumentów. Pojemnik na papier poufny stoi przy kuchni, a klucz do niego ma serwis zewnętrzny odbierający zawartość, o którym nikt nie potrafi powiedzieć, czy jest ujęty w wykazie dostawców.

Sprzątanie po godzinach. Ekipa pracuje wtedy, gdy w biurze nie ma nikogo, przy stanowiskach z niezablokowanymi ekranami i dokumentami na biurkach. Rozwiązaniem nie jest tu nadzór, tylko zasada czystego biurka i automatyczna blokada.

Co się liczy w pierwszej godzinie po zdarzeniu

Zegar zaczyna biec od stwierdzenia naruszenia, nie od zakończenia ustalania faktów, a przy danych powierzonych dochodzi drugi termin, ten z umowy z klientem, zwykle krótszy. Klient musi zdążyć ze swoim zgłoszeniem, więc chce wiedzieć wcześniej niż organ.

Sprawdzamy dlatego dwie rzeczy naraz: czy zdarzenia w Waszych narzędziach są rejestrowane wystarczająco długo, żeby dało się ustalić zakres, oraz czy te zapisy leżą gdzie indziej niż system, którego zdarzenie dotyczy. Karta, którą dołączamy do raportu, zaczyna się od tego, kto dzwoni do klienta i w jakim czasie.

Czego w tym przeglądzie nie robimy

Nie piszemy polityk, rejestru czynności ani klauzul informacyjnych i mówimy to przed podpisaniem zlecenia, żeby nikt nie wyszedł z połową obowiązków w przekonaniu, że ma całość. Nie oceniamy podstaw przetwarzania. Nie prowadzimy testów penetracyjnych i nie reprezentujemy nikogo przed organem.

Szersze spojrzenie na środowisko daje audyt IT, a przygotowanie pod wymagania normy prowadzi audyt ISO 27001. Datę przeglądu uzgadniamy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026