Audyt RODO w firmie – co warto sprawdzić i jak się przygotować?

Firma wdrożyła RODO kilka lat temu. Powstała polityka ochrony danych, rejestr czynności przetwarzania, wzory upoważnień i klauzule informacyjne. Dokumenty trafiły do odpowiedniego folderu i… od tego czasu niewiele się z nimi działo.

Tymczasem firma zatrudniła nowych pracowników, zmieniła system księgowy, zaczęła korzystać z chmury, wdrożyła CRM, uruchomiła newsletter, podpisała umowy z nowymi dostawcami IT i zaczęła wykorzystywać narzędzia oparte na sztucznej inteligencji.

Dokumentacja pozostała jednak taka sama.

To jeden z powodów, dla których warto okresowo przeprowadzać audyt RODO w firmie. Jego celem nie powinno być wyłącznie sprawdzenie, czy przedsiębiorca posiada komplet dokumentów. Dobry audyt odpowiada na znacznie ważniejsze pytanie: czy sposób, w jaki firma rzeczywiście przetwarza dane osobowe, jest zgodny z RODO i czy można tę zgodność wykazać?

Audyt RODO to nie tylko kontrola dokumentów

Jedną z podstawowych zasad RODO jest zasada rozliczalności. Administrator odpowiada za przestrzeganie zasad przetwarzania danych i musi być w stanie wykazać, że ich przestrzega.

Dlatego samo posiadanie polityki ochrony danych nie wystarczy.

Można mieć bardzo dobrze przygotowaną dokumentację i jednocześnie stosować praktyki całkowicie z nią sprzeczne.

Przykład?

Polityka przewiduje odbieranie dostępu do systemów natychmiast po zakończeniu współpracy z pracownikiem. Audyt wykazuje jednak, że konta byłych pracowników pozostają aktywne przez kilka miesięcy.

Rejestr czynności przetwarzania wskazuje, że dane klientów przechowywane są przez pięć lat. W systemie znajdują się jednak konta i dokumenty sprzed kilkunastu lat.

Umowa powierzenia przewiduje korzystanie przez dostawcę z określonych podwykonawców, ale w rzeczywistości lista usługodawców dawno się zmieniła.

Audyt powinien więc porównywać dokumentację z rzeczywistym funkcjonowaniem organizacji.

Krok 1. Sprawdź, jakie dane firma naprawdę przetwarza

Pierwszym etapem powinno być stworzenie rzeczywistej mapy przetwarzania danych.

Nie zaczynałbym od segregatora z napisem „RODO”, lecz od rozmowy z osobami, które na co dzień korzystają z danych.

W zależności od organizacji będą to pracownicy HR, księgowości, marketingu, sprzedaży, obsługi klienta, IT czy administracji.

Trzeba ustalić między innymi:

• jakie dane firma zbiera,

• od kogo je otrzymuje,

• w jakim celu je wykorzystuje,

• w jakich systemach są przechowywane,

• kto posiada do nich dostęp,

• komu są przekazywane,

• jak długo są przechowywane,

• czy trafiają poza Europejski Obszar Gospodarczy.

  
  

Dopiero tak przygotowaną mapę warto porównać z dokumentacją RODO.

Bardzo często właśnie na tym etapie okazuje się, że firma wykonuje operacje przetwarzania, których dokumentacja w ogóle nie uwzględnia.

Krok 2. Zweryfikuj rejestr czynności przetwarzania

Rejestr czynności przetwarzania powinien odzwierciedlać rzeczywistość.

W praktyce jest jednym z najważniejszych dokumentów podczas audytu RODO w firmie, ponieważ pozwala uporządkować procesy przetwarzania danych.

Warto sprawdzić między innymi cele przetwarzania, kategorie osób i danych, odbiorców, transfery poza EOG, okresy usuwania danych oraz opis stosowanych zabezpieczeń.

Typowym problemem jest rejestr przygotowany kilka lat wcześniej, który od tego czasu nie był aktualizowany.

Jeżeli przedsiębiorca wdrożył nowe systemy, rozpoczął nowe działania marketingowe, zmienił dostawców albo uruchomił nowe usługi, trzeba sprawdzić, czy zmiany te zostały uwzględnione w rejestrze.

Rejestr nie powinien być historycznym obrazem firmy z dnia wdrożenia RODO. Powinien przedstawiać aktualny sposób przetwarzania danych.

Krok 3. Sprawdź podstawy prawne przetwarzania

Dla każdego procesu trzeba odpowiedzieć na pytanie: dlaczego firma ma prawo przetwarzać te dane?

Podstawą może być między innymi wykonanie umowy, obowiązek prawny, zgoda osoby albo prawnie uzasadniony interes administratora.

Problemy pojawiają się wtedy, gdy podstawy prawne zostały przypisane automatycznie.

Szczególnej uwagi wymagają zgody.

Jeżeli firma opiera przetwarzanie na zgodzie, trzeba sprawdzić, czy rzeczywiście spełnia ona wymagania RODO, czy można wykazać jej uzyskanie i czy osoba może ją równie łatwo wycofać.

Jeżeli podstawą jest prawnie uzasadniony interes, warto sprawdzić, czy przedsiębiorca rzeczywiście przeanalizował istnienie tego interesu oraz wpływ przetwarzania na prawa i wolności osób.

Audyt powinien również wykazać sytuacje, w których firma gromadzi dane „na wszelki wypadek”, mimo że nie istnieje już konkretny cel ich przetwarzania.

Krok 4. Przejrzyj klauzule informacyjne

Klauzula informacyjna przygotowana kilka lat temu może dziś opisywać zupełnie inną firmę.

Warto zweryfikować informacje przekazywane klientom, pracownikom, kandydatom do pracy, kontrahentom, użytkownikom strony internetowej czy odbiorcom newslettera.

Trzeba sprawdzić, czy informacje są kompletne, zrozumiałe i zgodne z rzeczywistym sposobem wykorzystywania danych.

Szczególnie łatwo przeoczyć nowych odbiorców danych, nowe narzędzia analityczne, zmienione okresy przechowywania albo transfer danych do państw trzecich.

Klauzula informacyjna nie powinna opisywać tego, jak firma zamierzała przetwarzać dane kilka lat temu. Powinna wyjaśniać, co dzieje się z nimi obecnie.

Krok 5. Sprawdź okresy przechowywania danych

To jeden z obszarów, w których teoria szczególnie często rozmija się z praktyką.

Firma deklaruje, że usuwa dane po określonym czasie, ale nikt faktycznie ich nie usuwa.

Skrzynki e-mail zawierają korespondencję sprzed kilkunastu lat. CRM przechowuje nieaktywne konta. Foldery sieciowe zawierają stare CV. Kopie dokumentów pozostają na komputerach pracowników.

Podczas audytu warto ustalić nie tylko, jak długo dane powinny być przechowywane, lecz także kto odpowiada za ich usuwanie i czy rzeczywiście istnieje mechanizm realizujący ten obowiązek.

Dobra polityka retencji powinna działać w praktyce.

Krok 6. Zweryfikuj umowy powierzenia danych

Współczesna firma rzadko przetwarza dane wyłącznie we własnych systemach.

Księgowość, hosting, system HR, CRM, mailing, chmura, helpdesk, płatności czy usługi informatyczne mogą oznaczać udział kolejnych podmiotów.

Trzeba więc ustalić, którzy kontrahenci działają jako podmioty przetwarzające i czy zawarto z nimi odpowiednie umowy.

Sam podpis pod umową nie kończy jednak analizy.

Warto sprawdzić, czy umowa odpowiada wymaganiom RODO, czy dostawca korzysta z dalszych podmiotów przetwarzających, gdzie faktycznie znajdują się dane oraz jakie środki bezpieczeństwa stosuje.

Administrator powinien wiedzieć, komu powierza dane.

Krok 7. Sprawdź transfery danych poza EOG

Ten punkt staje się szczególnie ważny w przypadku korzystania z usług chmurowych i międzynarodowych dostawców technologii.

Firma może mieć serwer w Polsce, a jednocześnie korzystać z narzędzia, którego dostawca lub jego podwykonawcy przetwarzają dane poza Europejskim Obszarem Gospodarczym.

Dlatego podczas audytu warto przeanalizować nie tylko umowy, ale również rzeczywisty łańcuch dostawców.

Trzeba ustalić, czy dochodzi do transferu danych do państwa trzeciego, na jakiej podstawie się on odbywa i czy zastosowano wymagane zabezpieczenia.

Krok 8. Oceń bezpieczeństwo danych

RODO nie narzuca każdej firmie identycznych zabezpieczeń.

Środki techniczne i organizacyjne powinny odpowiadać ryzyku.

Audyt powinien więc obejmować między innymi sposób zarządzania kontami użytkowników, hasłami i uprawnieniami, stosowanie uwierzytelniania wieloskładnikowego, szyfrowanie, wykonywanie kopii zapasowych, aktualizacje systemów oraz sposób odbierania dostępów po zakończeniu współpracy.

Warto też sprawdzić zabezpieczenia fizyczne.

Najlepszy firewall nie pomoże, jeżeli dokumenty zawierające dane klientów leżą na ogólnodostępnej drukarce, a do pomieszczenia z dokumentacją może wejść praktycznie każdy.

Bezpieczeństwo danych to połączenie technologii, procedur i zachowania ludzi.

Krok 9. Sprawdź procedurę naruszeń danych

Firma powinna być przygotowana na sytuację, w której zabezpieczenia zawiodą.

Podczas audytu warto zapytać pracowników, co zrobiliby, gdyby wysłali dokument do niewłaściwego odbiorcy albo zauważyli podejrzane logowanie do systemu.

Jeżeli odpowiedzi brzmią: „chyba napisałbym do IT” albo „powiedziałbym kierownikowi następnego dnia”, procedura może istnieć głównie na papierze.

Trzeba sprawdzić, czy organizacja potrafi wykryć naruszenie, szybko przekazać informację właściwym osobom, przeprowadzić ocenę ryzyka, udokumentować zdarzenie oraz – gdy jest to wymagane – dokonać zgłoszenia do Prezesa UODO.

Warto również przejrzeć dotychczasowy rejestr naruszeń i sprawdzić, czy wnioski z wcześniejszych incydentów zostały rzeczywiście wdrożone.

Krok 10. Sprawdź obsługę żądań osób

Klient pisze: „Proszę przesłać wszystkie dane, które Państwo o mnie posiadają”.

Co dzieje się dalej?

Firma powinna wiedzieć, kto obsługuje takie żądanie, gdzie należy szukać danych i w jaki sposób zweryfikować tożsamość osoby.

Audyt powinien objąć procedury realizacji prawa dostępu, sprostowania, usunięcia danych, ograniczenia przetwarzania, przenoszenia danych oraz sprzeciwu.

Szczególnie w większych organizacjach problemem nie jest znajomość przepisów, lecz odnalezienie wszystkich informacji dotyczących konkretnej osoby w wielu różnych systemach.

Procedurę najlepiej przetestować, zanim pojawi się trudny wniosek.

Krok 11. Sprawdź, czy firma potrzebuje DPIA

Niektóre operacje przetwarzania mogą powodować wysokie ryzyko dla praw i wolności osób fizycznych.

W takich przypadkach konieczne może być przeprowadzenie oceny skutków dla ochrony danych – DPIA.

Podczas audytu warto sprawdzić, czy firma wdrożyła od czasu ostatniej analizy nowe technologie, monitoring, profilowanie, rozbudowane systemy analityczne, rozwiązania wykorzystujące dane szczególnych kategorii albo inne procesy wymagające ponownej oceny ryzyka.

DPIA nie powinna być dokumentem przygotowywanym dopiero po uruchomieniu ryzykownego procesu. Jej zadaniem jest identyfikacja i ograniczenie ryzyka na etapie projektowania przetwarzania.

Krok 12. Zweryfikuj upoważnienia i rzeczywiste dostępy

Lista osób upoważnionych do przetwarzania danych może wyglądać prawidłowo, a rzeczywiste uprawnienia w systemach mogą przedstawiać zupełnie inny obraz.

Warto sprawdzić zasadę minimalnych uprawnień.

Czy pracownik marketingu potrzebuje dostępu do danych HR? Czy każdy pracownik działu obsługi klienta powinien widzieć wszystkie informacje o klientach? Czy były pracownik nadal posiada aktywne konto?

Szczególne znaczenie ma procedura nadawania, zmiany i odbierania dostępów.

Pracownik zmienia stanowisko, ale jego stare uprawnienia pozostają. Po kilku latach może mieć dostęp do systemów, których w ogóle nie potrzebuje.

Krok 13. Sprawdź szkolenia pracowników

Duża część incydentów związanych z danymi zaczyna się od zwykłego błędu człowieka.

Dlatego audyt powinien obejmować również sposób szkolenia personelu.

Nie chodzi jedynie o to, czy firma posiada listę obecności ze szkolenia przeprowadzonego pięć lat temu.

Trzeba ocenić, czy pracownicy wiedzą, jak bezpiecznie przesyłać dane, rozpoznawać phishing, reagować na naruszenia, chronić hasła, korzystać z urządzeń służbowych i postępować z dokumentami.

Szkolenie RODO powinno być dostosowane do rzeczywistych obowiązków pracownika.

Innych informacji potrzebuje księgowość, innych marketing, a jeszcze innych administrator systemów.

Jak przygotować firmę do audytu RODO?

Najgorszym sposobem przygotowania jest próba szybkiego „uporządkowania papierów” dzień przed audytem.

Znacznie lepiej zebrać istniejącą dokumentację i pozostawić ją w takim stanie, w jakim rzeczywiście funkcjonuje. Audyt ma przecież wykryć problemy.

Warto przygotować rejestr czynności przetwarzania, polityki i procedury, klauzule informacyjne, wzory zgód, umowy powierzenia, rejestr naruszeń, dokumentację dotyczącą realizacji praw osób, analizy ryzyka, DPIA oraz informacje dotyczące systemów informatycznych i dostawców.

Potrzebna jest również możliwość rozmowy z osobami odpowiedzialnymi za poszczególne procesy.

Dokumentacja mówi bowiem, jak firma powinna działać. Pracownicy pokazują, jak działa naprawdę.

Co powinno powstać po audycie?

Efektem audytu nie powinien być wyłącznie kilkudziesięciostronicowy raport, który po przeczytaniu trafia do szuflady.

Dobry raport powinien wskazywać wykryte niezgodności, poziom ryzyka oraz konkretne działania naprawcze.

Warto podzielić rekomendacje według priorytetów.

Inaczej należy traktować brak aktualizacji jednej klauzuli informacyjnej, a inaczej publicznie dostępny system zawierający dane klientów bez odpowiednich zabezpieczeń.

Przydatny jest więc plan naprawczy wskazujący: co należy zrobić, kto za to odpowiada i w jakim terminie zadanie powinno zostać wykonane.

Po kilku miesiącach warto natomiast sprawdzić, czy rekomendacje zostały rzeczywiście wdrożone.

Jak często przeprowadzać audyt RODO?

RODO nie ustanawia uniwersalnej zasady, zgodnie z którą każda firma musi wykonywać pełny audyt dokładnie raz w roku.

Częstotliwość powinna zależeć od charakteru organizacji, zakresu przetwarzania danych, ryzyka oraz zachodzących zmian.

Audyt warto rozważyć szczególnie wtedy, gdy firma wdraża nowe systemy, istotnie zmienia model biznesowy, rozpoczyna przetwarzanie nowych kategorii danych, korzysta z nowych dostawców, przejmuje inną organizację albo doświadcza poważnego incydentu.

W organizacjach intensywnie przetwarzających dane rozsądne jest również zaplanowanie cyklicznych przeglądów poszczególnych obszarów.

RODO nie powinno być traktowane jako projekt, który został zakończony w dniu przygotowania dokumentacji.

FAQ

Czy audyt RODO w firmie jest obowiązkowy?

RODO nie nakazuje każdemu przedsiębiorcy wykonywania w określonym terminie dokumentu nazwanego „audytem RODO”. Administrator ma jednak obowiązek zapewnić zgodność przetwarzania z RODO, stosować odpowiednie środki oraz być w stanie tę zgodność wykazać. Regularna weryfikacja stosowanych rozwiązań jest jednym ze sposobów realizacji zasady rozliczalności.

Czy audyt RODO może ograniczyć się do sprawdzenia dokumentacji?

Nie powinien. Dokumentacja jest ważna, ale trzeba ją porównać z rzeczywistymi procesami, systemami, dostępami i praktyką pracowników. Dopiero wtedy można stwierdzić, czy rozwiązania opisane w dokumentach faktycznie funkcjonują.

Co najczęściej ujawnia audyt RODO?

W praktyce problemy często wynikają z nieaktualnej dokumentacji, nowych systemów nieuwzględnionych w rejestrach, zbyt szerokich dostępów, nieuporządkowanej retencji danych, brakujących lub nieaktualnych umów z dostawcami oraz rozbieżności między procedurami a rzeczywistą praktyką.

Podsumowanie

Audyt RODO w firmie nie powinien sprowadzać się do sprawdzenia, czy przedsiębiorca posiada politykę ochrony danych i kilka wymaganych formularzy.

Najważniejsze jest porównanie dokumentacji z rzeczywistymi procesami.

Trzeba sprawdzić, jakie dane firma faktycznie przetwarza, na jakiej podstawie, jak długo je przechowuje, komu je przekazuje, kto ma do nich dostęp i jak są zabezpieczone. Warto również zweryfikować umowy z dostawcami, transfery międzynarodowe, procedury naruszeń, realizację praw osób, szkolenia oraz potrzebę przeprowadzenia DPIA.

Dobrze przeprowadzony audyt nie ma jedynie wskazać błędów. Powinien zakończyć się konkretnym planem działań pozwalającym usunąć najważniejsze ryzyka i doprowadzić do sytuacji, w której dokumentacja RODO rzeczywiście opisuje funkcjonowanie przedsiębiorstwa.

Jeżeli chcesz zweryfikować zgodność swojej firmy z RODO, mogę przeprowadzić audyt RODO, przygotować raport z rekomendacjami oraz pomóc we wdrożeniu niezbędnych zmian w dokumentacji i procesach przetwarzania danych.

Paweł Janicki

Radca prawny IP LL.M.