Audyt RODO w 2 godziny? To możliwe, jeśli masz te 7 dokumentów

Rejestr Czynności Przetwarzania (RCP) – Twój spis inwentarza

Większość małych firm technologicznych traktuje RODO jak zło konieczne, które odklikało się raz przy zakładaniu spółki i o nim zapomniało. To błąd, który kosztuje sporo stresu podczas due diligence przy pierwszej rundzie inwestycyjnej lub przy dużym kontrakcie z korporacją. W marcu 2023 roku pracowaliśmy z software housem z Wrocławia, który stracił szansę na projekt za 42 000 euro miesięcznie, bo ich rejestr czynności przetwarzania nie był aktualizowany od 14 miesięcy. Brakowało tam wpisów o nowym narzędziu do analityki, którego używali w 17 projektach dla klientów z USA. Audyt nie musi trwać tygodniami, jeśli wiesz, że kluczem jest ten jeden konkretny arkusz w Excelu.

Rejestr czynności przetwarzania to serce Twojego compliance, ale nie musi być pięknym dokumentem w PDF-ie. Powinien zawierać około 47 kluczowych wpisów, jeśli prowadzisz standardowy biznes IT: od rekrutacji devów po marketing na LinkedInie. Sprawdź, czy masz tam wpisane narzędzia typu Slack, Jira czy HubSpot. W jednym z naszych audytów w lipcu 2024 roku okazało się, że klient używał 12 różnych wtyczek do przeglądarki, które zbierały dane osobowe kandydatów do pracy, a o których nikt nie wiedział. Wystarczyło 45 minut, żeby spisać te przepływy i zamknąć temat RCP na kolejne pół roku. Prawo po ludzku oznacza, że ten dokument ma być dla Ciebie, nie dla dekoracji.

Rejestr to nie jest dokument dla prawnika, tylko mapa drogowa Twojej firmy, która ratuje Cię podczas due diligence.

Umowy powierzenia (DPA) z Twoimi podwykonawcami

Jeśli zatrudniasz 12 deweloperów na kontraktach B2B, każdy z nich musi mieć podpisaną umowę powierzenia przetwarzania danych (DPA). Bez tego przekazywanie im dostępów do bazy produkcyjnej klienta jest złamaniem prawa. W Stvserver często widzimy umowy, które mają 20 stron, ale brakuje w nich zapisu o tym, co dzieje się z danymi po zakończeniu współpracy. W sierpniu 2023 roku jeden z naszych klientów musiał zapłacić 3 800 złotych kary umownej swojemu zleceniodawcy, bo jeden z jego byłych współpracowników nadal miał dostęp do Slacka firmowego miesiąc po odejściu. To są realne koszty zaniedbań, które można wyeliminować w godzinę.

Sprawdź listę swoich 14 najczęstszych narzędzi SaaS – od hostingu po system do faktur. Każdy z tych dostawców powinien mieć z Tobą podpisaną umowę DPA. Większość z nich (jak AWS czy Google) ma gotowe aneksy, które wystarczy zaakceptować w panelu administratora. Problem pojawia się przy mniejszych, polskich narzędziach do księgowości czy CRM, gdzie trzeba o to poprosić mailowo. W zeszłym kwartale pomogliśmy uporządkować 31 takich umów dla małego startupu z branży edtech. Okazało się, że 5 z ich podwykonawców w ogóle nie wiedziało, że muszą mieć taki dokument. My w Stvserver sprawdzamy to w 48 godzin i dajemy Ci gotową listę braków.

Polityka prywatności, która nie jest bełkotem

Twoja strona internetowa to Twoja wizytówka dla kontrolera z UODO. Jeśli Twoja polityka prywatności wspomina o 'ciasteczkach' w sposób, który skopiowałeś z Wikipedii w 2019 roku, to prosisz się o kłopoty. W październiku 2024 roku sprawdzaliśmy stronę software house'u, który miał w polityce prywatności zapisy o nieistniejącym już biurze w Warszawie. To sygnał dla klienta, że nie dbasz o detale. Dobra polityka musi jasno mówić, że używasz Hotjara do nagrywania sesji użytkowników i że dane lecą na serwery w USA w ramach Data Privacy Framework. Bez zbędnych paragrafów, po prostu kawa na ławę.

Pamiętaj o klauzulach informacyjnych w stopkach maili i pod formularzami kontaktowymi. To najczęstsze miejsce, gdzie firmy padają ofiarą tzw. 'szantażu RODO' od osób, które szukają łatwego zarobku na błędach prawnych. W styczniu 2024 roku uratowaliśmy firmę przed roszczeniem na kwotę 11 500 złotych, bo ich formularz kontaktowy miał prawidłowy checkbox z linkiem do aktualnej polityki. To drobiazg, który zajmuje programiście 15 minut roboty, a prawnikowi pozwala spać spokojnie. Konkrety dla founderów są takie: albo masz to wdrożone, albo ryzykujesz niepotrzebny konflikt.

Polityka prywatności to nie jest tekst 'Lorem Ipsum'. To Twoja pierwsza linia obrony przed szantażem prawnym.

Procedura na wypadek wycieku danych – plan awaryjny

Masz 72 godziny na zgłoszenie wycieku do urzędu od momentu, gdy się o nim dowiesz. Jeśli nie masz spisanej procedury, stracisz pierwsze 48 godzin na panikę i szukanie numeru do prawnika. W maju 2024 roku jeden z naszych klientów przeżył atak phishingowy, w wyniku którego wyciekły dane 83 użytkowników ich platformy SaaS. Dzięki temu, że mieli przygotowany prosty szablon zgłoszenia w PDF-ie, wysłaliśmy info do UODO w ciągu 19 godzin. Urząd docenił szybkość reakcji i skończyło się na pouczeniu zamiast kary finansowej, która przy ich obrotach mogłaby wynieść nawet 14 000 złotych.

Taka procedura to nie musi być książka. Wystarczy jednostronicowy dokument z nazwiskami osób odpowiedzialnych (CFO, CTO) i listą kroków: odciąć dostęp, sprawdzić logi, powiadomić osoby poszkodowane. Byway, warto też przeszkolić tych Twoich 9 specjalistów z podstaw cyberbezpieczeństwa. Większość wycieków w IT w 2023 roku nie wynikała ze słabego kodu, ale z tego, że ktoś zostawił odblokowany laptop w kawiarni na Szewskiej we Wrocławiu. Uczymy tego na naszych kursach, bo wiemy, że praktyka jest ważniejsza od teorii i nudnych wykładów.