W dużej organizacji naruszenie RODO rzadko zaczyna się od braku polityki prywatności. Zwykle wynika z procesu, który działa od lat bez jasnego właściciela: wspólnej skrzynki e-mail, zbyt szerokiego dostępu do CRM, nieaktualnej umowy z dostawcą IT albo rekrutacji prowadzonej poza przyjętymi zasadami. Dlatego audyt RODO w dużej firmie powinien badać rzeczywiste operacje na danych, a nie ograniczać się do przeglądu dokumentów w folderze „compliance”.
Dla zarządu audyt jest narzędziem zarządzania ryzykiem. Pozwala ustalić, gdzie firma traci kontrolę nad danymi klientów, pracowników, kontrahentów i użytkowników serwisów, a następnie zaplanować działania w kolejności odpowiadającej ich wadze. Dobrze przeprowadzony proces nie ma utrudniać biznesu. Ma sprawić, że biznes może działać szybciej i bezpieczniej, także wtedy, gdy pojawia się incydent, kontrola lub wymaganie kluczowego partnera handlowego.
Audyt RODO w dużej firmie bada praktykę, nie deklaracje
Duża firma przetwarza dane w wielu miejscach jednocześnie. Dział sprzedaży korzysta z narzędzi do automatyzacji marketingu, HR prowadzi rekrutacje i obsługę pracowników, księgowość współpracuje z biurem rachunkowym, a IT administruje infrastrukturą oraz kontami użytkowników. Do tego dochodzą podmioty zewnętrzne: operatorzy płatności, firmy kurierskie, call center, dostawcy chmury, agencje marketingowe, platformy e-commerce i serwisy analityczne.
Formalnie każda z tych aktywności może być opisana w rejestrze czynności przetwarzania. W praktyce rejestr często nie nadąża za zmianami organizacyjnymi i technologicznymi. Firma wdraża nowy system, testuje narzędzie oparte na sztucznej inteligencji, przejmuje bazę klientów po restrukturyzacji albo rozszerza sprzedaż na kolejny kanał. Dane zaczynają krążyć nową ścieżką, zanim ktokolwiek oceni podstawę prawną, okres retencji czy zakres dostępu.
Audyt powinien odpowiedzieć na proste, lecz zasadnicze pytania: jakie dane firma posiada, skąd je otrzymuje, w jakim celu ich używa, kto ma do nich dostęp, komu je udostępnia i kiedy je usuwa. Dopiero na tej podstawie można ocenić, czy mechanizmy zgodności są wystarczające.
Dokumentacja jest punktem wyjścia, a nie dowodem zgodności
Polityka ochrony danych, upoważnienia, rejestry, procedura obsługi żądań osób fizycznych czy instrukcja postępowania przy naruszeniach są potrzebne. Nie przesądzają jednak o tym, że firma rzeczywiście działa zgodnie z RODO.
Jeżeli procedura zakłada zgłaszanie incydentu do inspektora ochrony danych, audytor powinien sprawdzić, czy pracownicy wiedzą, co uznawać za incydent i do kogo zgłosić problem. Jeżeli rejestr wskazuje ograniczony krąg odbiorców danych, należy porównać go z faktyczną konfiguracją systemów oraz umowami zawieranymi przez działy operacyjne. Rozbieżność między dokumentem a praktyką jest jednym z najczęstszych źródeł ryzyka.
Od czego zacząć audyt w rozbudowanej organizacji
Pierwszym krokiem jest określenie zakresu audytu i osób odpowiedzialnych za współpracę. Zarząd powinien wskazać sponsora projektu, a poszczególne obszary biznesowe powinny wyznaczyć osoby, które znają procesy od strony operacyjnej. Bez zaangażowania HR, IT, sprzedaży, marketingu, finansów, obsługi klienta i zakupów nie da się rzetelnie odtworzyć przepływu danych.
Zakres warto ustalić proporcjonalnie do skali i ryzyka. Inaczej bada się spółkę zatrudniającą kilkaset osób, która działa wyłącznie w Polsce, a inaczej grupę kapitałową korzystającą z globalnych narzędzi chmurowych i prowadzącą sprzedaż internetową na wielu rynkach. Nie zawsze racjonalne jest rozpoczęcie od analizy każdego procesu z identyczną szczegółowością. Najpierw należy zidentyfikować obszary, w których firma przetwarza duże wolumeny danych, dane szczególnej kategorii, dane dzieci, dane wykorzystywane do profilowania lub dane przekazywane poza Europejski Obszar Gospodarczy.
W praktyce audyt rozpoczyna się od analizy materiałów dostępnych w firmie, a następnie obejmuje wywiady z właścicielami procesów, próbki umów i formularzy, konfigurację uprawnień oraz obserwację rzeczywistego obiegu informacji. To pozwala ustalić nie tylko, co przewidziano w procedurach, lecz także gdzie proces przestał działać.
Obszary, których nie wolno pominąć
W dużej firmie szczególnej uwagi wymagają zwykle następujące obszary:
- rekrutacja, zatrudnienie, monitoring oraz obsługa świadczeń pracowniczych;
- sprzedaż, obsługa klienta, programy lojalnościowe i działania marketingowe;
- systemy informatyczne, zarządzanie dostępami, kopie zapasowe oraz logi;
- umowy powierzenia i relacje z dostawcami przetwarzającymi dane;
- obsługa żądań osób, których dane dotyczą, oraz reagowanie na naruszenia.
Dla firm e-commerce kluczowe są również przepływy danych między sklepem, marketplace’em, systemem magazynowym, przewoźnikami, operatorem płatności, narzędziem do fakturowania i dostawcą kampanii reklamowych. Każde z tych połączeń wymaga ustalenia ról stron oraz rzeczywistego zakresu danych przekazywanych do partnera. Sam fakt, że dostawca jest znaną marką, nie zwalnia administratora z oceny prawnej i organizacyjnej relacji.
Najważniejsze ryzyka ujawniane przez audyt
Jednym z poważniejszych problemów są nadmierne uprawnienia. Pracownik, który zmienił stanowisko, nadal może widzieć dane, których nie potrzebuje. Były współpracownik zachowuje dostęp do skrzynki lub dysku. Zespół korzysta ze wspólnego konta, przez co nie można ustalić, kto pobrał określony plik. Takie sytuacje naruszają zasadę minimalizacji dostępu i utrudniają wyjaśnienie incydentu.
Drugi obszar to retencja danych. Firmy często przechowują dane „na wszelki wypadek”, ponieważ usuwanie rekordów nie zostało wbudowane w systemy. Tymczasem okres przechowywania powinien wynikać z konkretnego celu i obowiązku prawnego, a nie z wygody organizacyjnej. Dotyczy to zarówno CV kandydatów, jak i nagrań rozmów, korespondencji handlowej czy danych klientów po zakończeniu umowy.
Ryzyko powstaje też na styku marketingu i sprzedaży. Zgoda marketingowa, prawnie uzasadniony interes, zgoda na użycie określonego kanału komunikacji oraz przepisy dotyczące komunikacji elektronicznej to odrębne zagadnienia. Wysyłka kampanii do bazy „pozyskanej przez partnera” bez pełnej weryfikacji źródła danych może powodować realne problemy, nawet jeśli technicznie kampania została przygotowana poprawnie.
Nie można też traktować umów powierzenia jako formalności. Umowa powinna odpowiadać realnej usłudze, kategoriom danych i instrukcjom administratora. Jeżeli dostawca korzysta z dalszych podmiotów, przetwarza dane poza EOG albo oferuje funkcje analityczne wykorzystujące dane klienta, analiza musi sięgać dalej niż podpisanie standardowego wzoru.
Ocena ryzyka i plan naprawczy
Wynik audytu nie powinien być zbiorem ogólnych uwag w rodzaju „należy poprawić dokumentację”. Zarząd potrzebuje raportu, który wskazuje konkretny problem, jego podstawę, możliwy skutek, właściciela działania oraz termin realizacji. Priorytety należy ustalać według ryzyka dla osób, których dane dotyczą, skali przetwarzania, prawdopodobieństwa wystąpienia incydentu i skutków dla firmy.
Inaczej potraktować trzeba brak aktualizacji drobnego rejestru, a inaczej sytuację, w której setki użytkowników mają nieuzasadniony dostęp do danych klientów. Równie pilne może być nieprawidłowe przekazywanie danych do państwa trzeciego, brak procedury obsługi naruszeń albo wykorzystywanie danych pracowników w sposób wykraczający poza podstawę prawną.
Plan naprawczy powinien łączyć działania prawne, organizacyjne i techniczne. Czasem wystarczy zmiana formularza lub uporządkowanie umów. W innych przypadkach konieczna będzie przebudowa ról w systemie, wdrożenie automatycznego usuwania danych, przeprowadzenie oceny skutków dla ochrony danych albo renegocjacja warunków z dostawcą. Właśnie dlatego audyt RODO nie powinien być realizowany w oderwaniu od działu IT i osób odpowiedzialnych za procesy biznesowe.
Co dzieje się po zakończeniu audytu
Jednorazowy audyt nie zapewnia trwałej zgodności. Firma zmienia dostawców, zatrudnia ludzi, wprowadza nowe produkty i automatyzuje obsługę klientów. Każda taka zmiana może wpływać na sposób przetwarzania danych. Rozsądne rozwiązanie to powiązanie zaleceń audytowych z cyklem zarządzania projektami i zakupami, tak aby nowe narzędzie lub usługa nie trafiały do organizacji bez podstawowej oceny ochrony danych.
Warto również ustalić mierzalne wskaźniki: terminowość odbierania dostępów, liczbę przeszkolonych pracowników, czas obsługi żądań osób fizycznych, status wdrożenia zaleceń oraz liczbę wykrytych incydentów. Nie chodzi o tworzenie biurokracji. Chodzi o to, aby zarząd widział, czy organizacja odzyskuje kontrolę nad obszarami wskazanymi w audycie.
Duża firma nie potrzebuje kolejnego segregatora z procedurami. Potrzebuje decyzji opartych na faktach, jasnej odpowiedzialności i rozwiązań, które wytrzymają presję codziennej działalności. Dobrze zaplanowany audyt daje właśnie tę przewagę: pozwala naprawić słabe punkty, zanim zrobi to za firmę incydent, klient albo organ nadzorczy.