Audyt RODO Wrocław

Gdzie leżą dane w firmie bez jednego biurka na osobę

Klasyczna mapa danych zakłada, że informacje mieszkają w systemach, a systemy stoją w firmie. We wrocławskich spółkach usługowych i handlujących w internecie jest inaczej: system stoi u dostawcy, praca odbywa się w przeglądarce, a między jednym a drugim krąży kilkanaście plików, których nikt nigdy nie policzył.

Dlatego przegląd zaczynamy od pytania, gdzie ludzie faktycznie wykonują pracę z danymi, a nie gdzie powinni. Odpowiedź obejmuje zwykle system dziedzinowy, dwie usługi chmurowe, wspólny dysk, kilka arkuszy z eksportami i co najmniej jeden komunikator, przez który przechodzą załączniki.

Które kanały wynoszą dane najczęściej

Kanał	Co przez niego wychodzi	Co zwykle ustawiamy
Eksport z systemu do arkusza	pełna lista klientów albo pacjentów	ograniczenie eksportu do ról, które go potrzebują
Dysk w chmurze udostępniony linkiem	katalog z dokumentami bez daty wygaśnięcia	wygasające linki i zakaz udostępniania na zewnątrz
Komunikator zespołowy	skany dokumentów tożsamości w załącznikach	polityka przechowywania i kanał na dane wrażliwe
Prywatna skrzynka pracownika	wiadomość przesłana dalej dla wygody	blokada przekierowań na adresy zewnętrzne
Sprzęt prywatny	kopie plików pobrane do pracy z domu	dostęp bez pobierania albo wymóg sprzętu służbowego
Konto po byłym pracowniku	historia korespondencji z klientami	procedura przekazania i zamknięcia skrzynki
Narzędzie kupione kartą	dane wgrane do usługi bez umowy powierzenia	rejestr zakupów i wymóg umowy przed wgraniem danych

Żaden z tych kanałów nie jest naruszeniem sam w sobie. Każdy staje się nim w momencie, w którym nikt nie potrafi powiedzieć, ile plików już nim przeszło.

Uprawnienie do wglądu to nie to samo co prawo do eksportu

To rozróżnienie robi w praktyce największą różnicę, a w większości firm nie istnieje. Handlowiec ma widzieć swoich klientów i to jest w porządku. Pytanie brzmi, czy ten sam handlowiec może pobrać całą bazę do pliku w trzy kliknięcia, i czy gdziekolwiek zostaje po tym ślad.

Sprawdzamy to osobno w każdym systemie z danymi osobowymi, razem z tym, czy operacja masowego pobrania jest rejestrowana. Rejestr bez alertu ma ograniczoną wartość, ale rejestru bez rejestru nie da się niczym zastąpić.

Reakcja na naruszenie, gdy zespół siedzi w trzech miejscach

Przy pracy rozproszonej najtrudniejszą częścią nie jest ocena zdarzenia, tylko zebranie ludzi. Karta, którą przygotowujemy, zaczyna się więc od nazwisk, numerów telefonu i zastępstw, a dopiero potem opisuje kroki.

Sprawdzamy przy okazji dwie rzeczy, których brak rujnuje każde zgłoszenie. Pierwsza to czy zdarzenia są rejestrowane w narzędziach chmurowych, bo domyślna retencja bywa krótsza, niż czas potrzebny na zauważenie problemu. Druga to czy logi przetrwają samo zdarzenie, skoro leżą w tej samej usłudze, której dotyczy incydent.

Czego w tym przeglądzie nie robimy

Nie piszemy polityk, rejestru czynności przetwarzania ani klauzul informacyjnych i mówimy to na pierwszym spotkaniu, żeby nikt nie wyszedł z połową obowiązków w przekonaniu, że ma całość. Nie oceniamy podstaw prawnych przetwarzania. Nie prowadzimy testów penetracyjnych.

Szersze spojrzenie na całe środowisko daje audyt IT, techniczną warstwę bezpieczeństwa opisuje audyt bezpieczeństwa IT, a porządek w dostępach robi logowanie wieloskładnikowe i kontrola dostępu. Datę przeglądu uzgadniamy przez kontakt.

Treść sprawdzona i zaktualizowana: 31 lipca 2026