Audyt RODO w małej i średniej firmie: 12 obszarów, które warto sprawdzić

Audyt zaczyna się od rzeczywistego przepływu danych

Dane pojawiają się w sprzedaży, marketingu, rekrutacji, kadrach, księgowości, monitoringu i obsłudze użytkowników. Pierwszym krokiem powinno być ustalenie, skąd pochodzą, kto z nich korzysta, gdzie są przechowywane i komu są przekazywane.

Dopiero taka mapa pozwala ocenić obowiązki i ryzyko. Dokumentacja przygotowana bez rozmowy z osobami prowadzącymi procesy szybko staje się nieaktualna.

1. Role i odpowiedzialność

Firma powinna wiedzieć, w których procesach jest administratorem, współadministratorem lub podmiotem przetwarzającym. Trzeba też jasno przypisać odpowiedzialność wewnętrzną za decyzje, obsługę żądań i reagowanie na incydenty.

2. Cele i podstawy przetwarzania

Dla każdego procesu należy wskazać rzeczywisty cel i właściwą podstawę. Zgoda nie jest rozwiązaniem domyślnym, a raz zebrane dane nie mogą być wykorzystywane do dowolnych nowych celów.

3. Obowiązki informacyjne

Klauzule powinny trafiać do właściwych osób w odpowiednim momencie. Warto sprawdzić formularze, umowy, rekrutację, monitoring, newsletter i kontakt przez stronę internetową.

4. Rejestry i dokumentowanie zgodności

Rejestr czynności powinien odzwierciedlać aktualne procesy, kategorie danych, odbiorców, retencję i zabezpieczenia. Audyt powinien także ocenić, czy firma potrafi wykazać podjęte decyzje i okresowe przeglądy.

5. Dostawcy i umowy powierzenia

Biuro księgowe, hosting, CRM, chmura, mailing i helpdesk mogą przetwarzać dane w imieniu firmy. Trzeba ustalić role, zawrzeć właściwe umowy, sprawdzić podwykonawców oraz transfery danych poza Europejski Obszar Gospodarczy.

6. Uprawnienia i dostęp

Dostęp powinien odpowiadać zakresowi obowiązków i być odbierany po zmianie stanowiska lub zakończeniu współpracy. Warto przejrzeć konta współdzielone, uprawnienia administratorów, uwierzytelnianie i regularne przeglądy dostępów.

7. Analiza ryzyka i bezpieczeństwo

Środki techniczne i organizacyjne trzeba dobrać do charakteru danych, skali procesu i możliwych skutków naruszenia. Analiza ryzyka powinna prowadzić do konkretnych działań, a nie kończyć się ogólną tabelą.

Należy uwzględnić między innymi kopie zapasowe, aktualizacje, szyfrowanie, pracę zdalną, urządzenia prywatne, fizyczny dostęp do dokumentów i plan ciągłości działania.

8. Retencja i usuwanie danych

Firma powinna wiedzieć, jak długo przechowuje poszczególne kategorie danych i co dzieje się po upływie tego czasu. Sam zapis w polityce retencji nie wystarczy, jeżeli systemy nie pozwalają wdrożyć usuwania lub anonimizacji.

9. Prawa osób

Potrzebna jest procedura identyfikowania i terminowego obsługiwania żądań dostępu, usunięcia, sprostowania, ograniczenia, sprzeciwu i przenoszenia danych. Zespół powinien wiedzieć, do kogo przekazać takie żądanie.

10. Naruszenia ochrony danych

Firma powinna umieć szybko rozpoznać incydent, zabezpieczyć informacje, zebrać fakty i ocenić ryzyko. Procedura musi uwzględniać krótkie terminy na ewentualne zgłoszenie organowi oraz komunikację z osobami, których dane dotyczą.

11. Strona internetowa, cookies i marketing

Audyt powinien objąć formularze, narzędzia analityczne, piksele reklamowe, newsletter i zarządzanie zgodami. Baner cookies musi odpowiadać technologiom rzeczywiście uruchamianym na stronie.

12. Szkolenia i regularny przegląd

Najlepsza dokumentacja nie zadziała, jeżeli pracownicy nie rozpoznają ryzyka. Szkolenia powinny być dopasowane do ról, a najważniejsze procesy i zabezpieczenia okresowo testowane oraz aktualizowane.

Wynik audytu powinien prowadzić do działania

Praktycznym rezultatem jest lista niezgodności i ryzyk z podziałem na priorytety, osoby odpowiedzialne i terminy. Nie wszystkie braki mają taką samą wagę, dlatego najpierw warto zająć się procesami o największej skali i wpływie na osoby.