Zakres audytu prywatności: po co firmie audyt przy żądaniu kopii danych?
Żądanie kopii danych od administratora to sprawdzian, czy administrator danych potrafi wykonać art. 15 RODO w terminie 1 miesiąca, z możliwym przedłużeniem maksymalnie o 2 miesiące, oraz bez naruszenia praw innych osób; w tle są UODO, Europejska Rada Ochrony Danych i sankcje z art. 83 RODO sięgające górnego pułapu 20 mln EUR albo 4% rocznego światowego obrotu przedsiębiorstwa (źródło: RODO, art. 12, 15 i 83, 2016).
Audyt prywatności to kontrola dokumentów, systemów i rzeczywistej praktyki obsługi praw osób, charakteryzująca się oceną terminów, kompletności odpowiedzi, bezpieczeństwa eksportu danych oraz dowodów rozliczalności. Nie jest to jednorazowe uzupełnienie segregatora RODO. Firma musi umieć pokazać, kto przyjął wniosek, gdzie szukał danych, co wyłączył z kopii i jak bezpiecznie przekazał odpowiedź.
Po co firmie audyt prywatności przy żądaniu kopii danych?
Prawo dostępu obejmuje nie tylko informację, czy dane są przetwarzane, ale również kopię danych osobowych oraz informacje o celach, kategoriach danych, odbiorcach, okresach przechowywania, źródle danych i prawach osoby (źródło: RODO, art. 15, 2016). W praktyce audytowej regularnie pojawia się ten sam problem: firma ma politykę prywatności, lecz nie ma operacyjnego sposobu zebrania danych z CRM, poczty, systemu fakturowego i helpdesku.
„Prawo do uzyskania kopii danych osobowych podlegających przetwarzaniu” – Parlament Europejski i Rada UE, RODO, art. 15 ust. 3, 2016
Co audytować przy żądaniach kopii danych?
Audyt powinien obejmować zarówno procedurę, jak i test wykonania. Dokument może wyglądać poprawnie, ale jeśli dział sprzedaży eksportuje tylko rekord z CRM, a pomija załączniki PDF i korespondencję z klientem, odpowiedź będzie niepełna. Dobrym punktem wyjścia jest audyt RODO w firmie, połączony z testem konkretnego wniosku.
- Sprzedaż – system CRM powinien wskazywać właściciela rekordu, historię kontaktu, zgody marketingowe i identyfikatory klienta.
- Marketing – narzędzia newsletterowe i analityczne powinny mieć opis źródła danych, daty zapisu oraz podstawy komunikacji.
- HR – akta pracownicze, ewidencja czasu pracy i rekrutacje powinny być oddzielone od danych klientów.
- Księgowość – faktury, noty, przelewy i dane kontrahentów powinny być wyszukiwalne po NIP, e-mailu i numerze klienta.
- Obsługa klienta – ticketing, reklamacje i nagrania rozmów powinny mieć jasny okres retencji i sposób eksportu.
- IT – backupy, logi i konta użytkowników powinny być opisane pod kątem dostępności, retencji i ograniczeń technicznych.
Które ryzyka są najpoważniejsze?
Najpoważniejsze ryzyka są dwa: brak odpowiedzi w terminie oraz ujawnienie danych osoby trzeciej. Przykład: klient żąda kopii danych, a firma wysyła pełny wątek e-mailowy z adresem prywatnym pracownika, numerem telefonu innego klienta i komentarzem handlowca. Taka odpowiedź może naruszyć art. 15 ust. 4 RODO, bo prawo dostępu nie daje prawa do otrzymania cudzych danych bez podstawy.
Ten tekst ma charakter informacyjny i nie zastępuje konsultacji z prawnikiem ani inspektorem ochrony danych. Przy sporze z klientem, kontroli UODO, dużej skali danych albo danych szczególnych kategorii decyzję warto skonsultować indywidualnie.
Mapa danych i systemów: jak znaleźć wszystkie dane osoby?
Mapa danych to operacyjny spis miejsc, w których firma przechowuje dane osoby, charakteryzujący się właścicielem systemu, typem danych, identyfikatorem wyszukiwania i realnym czasem eksportu. Bez mapy danych administrator danych często odpowiada tylko z jednego systemu, choć dane są także w poczcie, fakturach, zgłoszeniach supportowych i archiwum.
Jak stworzyć listę źródeł danych w firmie?
Należy zacząć od warsztatu z działami, a nie od samego rejestru czynności. Rejestr czynności przetwarzania pokazuje kategorie procesów, ale audyt musi potwierdzić, gdzie faktycznie trafiają dane. Przykład: sklep internetowy zapisuje dane w platformie e-commerce, ale numer telefonu klienta trafia też do kuriera, systemu SMS i wewnętrznej notatki reklamacyjnej.
- CRM – dane klienta mogą występować pod e-mailem, telefonem, numerem leadu i identyfikatorem kampanii.
- Poczta elektroniczna – skrzynki imienne i skrzynki wspólne mogą zawierać załączniki, skany umów i negocjacje.
- Sklep internetowy – zamówienia, koszyki, reklamacje i zwroty powinny być wyszukiwalne po e-mailu oraz numerze zamówienia.
- System fakturowy – dane osoby fizycznej prowadzącej działalność mogą występować pod NIP, nazwą firmy i adresem.
- Kadry i HR – kandydaci, pracownicy i zleceniobiorcy wymagają oddzielnych zakresów wyszukiwania.
- Helpdesk – zgłoszenia techniczne często zawierają zrzuty ekranu, numery urządzeń i dane osób kontaktowych.
- Backupy – kopie zapasowe powinny mieć opis retencji, lokalizacji i zasad przywracania, nawet jeśli nie służą do codziennego eksportu.
Jakie identyfikatory trzeba sprawdzić?
Ta sama osoba może występować w firmie pod kilkoma identyfikatorami. Klient używa prywatnego e-maila do zamówienia, służbowego e-maila do reklamacji, telefonu do infolinii i NIP na fakturze. Audyt powinien sprawdzić, czy procedura przewiduje łączenie takich śladów bez nadmiernego żądania dokumentów od osoby.
| Źródło danych | Typowe identyfikatory | Ryzyko audytowe | Przykład kontroli |
|---|---|---|---|
| CRM | E-mail, telefon, numer klienta | Niepełna historia kontaktu | Eksport rekordu i notatek handlowych |
| Poczta | Adres e-mail, temat, załącznik PDF | Pominięcie skanów i ustaleń | Wyszukanie po 2 adresach e-mail |
| Księgowość | NIP, numer faktury, rachunek bankowy | Połączenie danych osoby i firmy | Sprawdzenie faktur oraz korekt |
| HR | PESEL, numer pracownika, e-mail służbowy | Ujawnienie danych przełożonych | Redakcja ocen i komentarzy |
| Helpdesk | Numer zgłoszenia, login, numer urządzenia | Dane osób trzecich w załącznikach | Anonimizacja zrzutów ekranu |
Kto powinien odpowiadać za eksport danych?
Każdy system powinien mieć właściciela biznesowego i technicznego. Właściciel biznesowy wie, co oznaczają pola danych, a IT wie, jak wykonać eksport i zabezpieczyć plik. Jeżeli proces jest rozproszony, należy wyznaczyć koordynatora, najczęściej IOD, prawnika RODO, compliance managera albo osobę odpowiedzialną za bezpieczeństwo danych.
Test procedury art. 15 RODO: jak sprawdzić kompletność odpowiedzi?
Procedura art. 15 RODO to sekwencja działań od przyjęcia wniosku do archiwizacji dowodu odpowiedzi, charakteryzująca się identyfikacją osoby, wyszukaniem danych, redakcją informacji, bezpieczną wysyłką i rejestrem terminów. Sama instrukcja nie wystarczy. Trzeba wykonać próbę kontrolną na danych klienta, pracownika i kontrahenta.
Jak przeprowadzić próbę kontrolną?
Najlepszy test polega na symulacji 3 wniosków: klienta sklepu, byłego pracownika i osoby kontaktowej kontrahenta. Każdy przypadek uruchamia inne źródła danych. Klient pojawia się w sprzedaży i marketingu, pracownik w HR i poczcie, a kontrahent w umowach, fakturach i CRM.
- Rejestr wpływu – wpisz datę otrzymania żądania, kanał kontaktu i osobę przyjmującą sprawę.
- Weryfikacja tożsamości – oceń, czy istnieją rozsądne wątpliwości co do osoby składającej wniosek.
- Zakres wyszukiwania – wskaż systemy, identyfikatory i właścicieli odpowiedzialnych za eksport danych.
- Redakcja danych – usuń lub zasłoń dane osób trzecich, tajemnice przedsiębiorstwa i informacje niemające charakteru danych osobowych wnioskodawcy.
- Odpowiedź merytoryczna – przygotuj informacje z art. 15 ust. 1 RODO oraz kopię danych z art. 15 ust. 3 RODO.
- Wysyłka i dowód – zapisz kanał przekazania, datę, osobę odpowiedzialną oraz potwierdzenie doręczenia lub udostępnienia.
Czy firma może żądać dodatkowej weryfikacji?
Administrator może żądać dodatkowych informacji niezbędnych do potwierdzenia tożsamości, jeżeli ma uzasadnione wątpliwości co do osoby składającej żądanie (źródło: RODO, art. 12 ust. 6, 2016). Nie powinien jednak rutynowo żądać skanu dowodu osobistego, gdy wniosek pochodzi z zalogowanego panelu klienta albo z adresu używanego w stałej relacji. Minimalizacja dotyczy także weryfikacji.
Ile czasu ma administrator danych na odpowiedź?
Odpowiedź powinna być udzielona bez zbędnej zwłoki, najpóźniej w ciągu 1 miesiąca od otrzymania żądania. Termin można przedłużyć o kolejne 2 miesiące, gdy sprawa jest skomplikowana lub żądań jest wiele, ale informacja o przedłużeniu i przyczynach musi zostać przekazana w ciągu pierwszego miesiąca (źródło: RODO, art. 12 ust. 3, 2016; UODO, 2026).
Co musi znaleźć się w odpowiedzi?
Odpowiedź nie może ograniczać się do zdania „przetwarzamy Pani dane w celach obsługi umowy”. Powinna obejmować pełny zestaw informacji przewidziany w procedura art. 15 RODO, w tym cele, kategorie danych, odbiorców, okres retencji, prawa osoby, źródło danych i informację o profilowaniu, jeśli występuje.
„Zakres prawa dostępu powinien pozwalać osobie zrozumieć i zweryfikować przetwarzanie jej danych.” – parafraza: Europejska Rada Ochrony Danych, Guidelines 01/2022, 2023
Bezpieczeństwo kopii i redakcja danych: jak nie ujawnić danych osób trzecich?
Redakcja danych to kontrolowane usuwanie lub zasłanianie informacji, które nie powinny trafić do wnioskodawcy, charakteryzujące się ochroną danych osób trzecich, tajemnicy przedsiębiorstwa, poufności korespondencji i bezpieczeństwa pliku. Prawo dostępu nie jest prawem do otrzymania całych dokumentów bez oceny skutków dla innych osób.
Jak anonimizować dane innych osób?
Anonimizacja lub redakcja powinna być wykonana przed wysyłką, a nie po reklamacji odbiorcy. Przykład: były pracownik żąda kopii danych z oceny okresowej. Firma może przekazać dane dotyczące pracownika, ale powinna rozważyć zasłonięcie prywatnych danych współpracowników, komentarzy identyfikujących klientów i informacji niezwiązanych z wnioskodawcą.
- Wątki e-mail – adresy i numery telefonów osób trzecich powinny zostać usunięte, jeśli nie są konieczne do zrozumienia danych wnioskodawcy.
- Załączniki PDF – skany umów powinny zostać sprawdzone pod kątem podpisów, numerów dokumentów i danych reprezentantów.
- Zgłoszenia supportowe – zrzuty ekranu powinny być przejrzane, bo mogą zawierać loginy, adresy IP i dane innych użytkowników.
- Nagrania rozmów – głos konsultanta również może być informacją wymagającą oceny praw i wolności innych osób.
- Monitoring CCTV – kopia nagrania może wymagać zamazania twarzy osób postronnych przed udostępnieniem.
„Prawo do uzyskania kopii nie może niekorzystnie wpływać na prawa i wolności innych” – Parlament Europejski i Rada UE, RODO, art. 15 ust. 4, 2016
Jak bezpiecznie wysłać kopię danych?
Najbezpieczniejsze są kanały kontrolowane: panel klienta, zaszyfrowany plik z hasłem przekazanym oddzielnym kanałem, kwalifikowana skrzynka doręczeń albo ePUAP w sprawach urzędowych. Wysyłka na niezweryfikowany e-mail jest ryzykowna, szczególnie gdy osoba podała nowy adres bez potwierdzenia tożsamości. W praktyce dobrym standardem jest plik ZIP lub PDF zaszyfrowany hasłem przekazanym SMS-em na numer widniejący w systemie.
Jak udokumentować przygotowanie kopii?
Firma powinna zapisać, kto przygotował eksport, z jakich systemów pobrał dane, kto wykonał redakcję i kiedy wysłano odpowiedź. Taki ślad dowodowy ma znaczenie przy skardze do UODO. Brak dokumentacji zwykle utrudnia wykazanie rozliczalności, nawet gdy sama odpowiedź była merytorycznie poprawna.
Dostawcy i podmioty przetwarzające: kiedy audyt powinien objąć IT?
Podmiot przetwarzający to dostawca, który przetwarza dane osobowe w imieniu administratora, charakteryzujący się działaniem na podstawie instrukcji, umowy powierzenia, środków bezpieczeństwa i obowiązku pomocy przy realizacji praw osób. Przy żądaniu kopii danych problem pojawia się wtedy, gdy dane są w systemie SaaS, hostingu, call center albo narzędziu mailingowym.
Kiedy dostawca jest procesorem?
Dostawca IT jest zwykle procesorem, gdy hostuje bazę klientów, obsługuje helpdesk, przechowuje backupy albo wysyła newsletter w imieniu firmy. Nie każdy kontrahent jest procesorem, ale jeśli ma dostęp do danych osobowych i wykonuje operacje na zlecenie administratora, audyt powinien objąć umowa powierzenia danych oraz praktyczną możliwość eksportu.
- Hosting – umowa powinna określać lokalizację danych, backupy, czas reakcji i zasady usuwania danych po zakończeniu współpracy.
- System mailingowy – dostawca powinien umożliwiać eksport subskrybenta, historii zgód i logów zapisu.
- Call center – nagrania rozmów powinny mieć indeks, retencję i procedurę bezpiecznego przekazania.
- Helpdesk SaaS – zgłoszenia powinny być możliwe do wyszukania po e-mailu, loginie i numerze zgłoszenia.
- Biuro rachunkowe – dostęp do faktur i danych płatniczych powinien być opisany w instrukcji obsługi wniosku.
Jak sprawdzić umowy powierzenia i SLA?
Art. 28 RODO wymaga, aby przetwarzanie przez procesora było uregulowane umową lub innym instrumentem prawnym (źródło: RODO, art. 28, 2016). W audycie trzeba sprawdzić, czy umowa przewiduje pomoc administratorowi przy realizacji praw osób oraz jaki jest czas reakcji dostawcy. SLA wynoszące 10 dni roboczych może być akceptowalne, ale tylko wtedy, gdy firma nie traci kontroli nad miesięcznym terminem odpowiedzi.
Co zrobić, gdy dostawca nie daje eksportu?
Brak eksportu nie zwalnia administratora z odpowiedzialności wobec osoby. Trzeba ocenić obejście techniczne, ręczne pobranie danych, zmianę konfiguracji albo zmianę dostawcy. Jeżeli system nie pozwala odnaleźć danych osoby bez pracy programisty, raport powinien oznaczyć ryzyko jako wysokie i wskazać termin naprawy.
Raport i plan naprawczy: jak priorytetyzować działania po audycie?
Raport z audytu prywatności to dokument zarządczy, charakteryzujący się opisem ryzyka, właścicielem działania, terminem wykonania i dowodem zamknięcia zadania. Nie powinien kończyć się ogólnym zaleceniem „poprawić procedury”. Dobre zalecenie wskazuje konkretny system, osobę odpowiedzialną, termin 7, 30 albo 90 dni i mierzalny dowód.
Jak wygląda raport z audytu?
Raport powinien rozdzielać ryzyka wysokie, średnie i niskie. Wysokie ryzyko to np. brak rejestru żądań, brak właściciela procesu, niemożność eksportu z CRM albo wysyłka danych na niezweryfikowany adres. Ryzyko średnie to np. nieaktualny wzór odpowiedzi. Ryzyko niskie to brak jednolitej nazwy plików, jeżeli nie wpływa na terminowość i bezpieczeństwo.
| Termin | Działanie | Właściciel | Dowód wykonania |
|---|---|---|---|
| 7 dni | Uruchomienie rejestru żądań i wskazanie koordynatora | IOD lub compliance | Rejestr z numeracją spraw |
| 7 dni | Wzór odpowiedzi z art. 15 RODO | Prawnik RODO | Zatwierdzony szablon |
| 30 dni | Mapa systemów i właścicieli danych | IT oraz działy biznesowe | Tabela systemów |
| 30 dni | Szkolenie sprzedaży, HR i obsługi klienta | HR lub IOD | Lista obecności i test |
| 90 dni | Automatyzacja eksportów i test okresowy | IT | Protokół testu |
| 90 dni | Audyt procesorów i SLA | Zakupy oraz prawnik | Aneksy lub nowe umowy |
Jak ustawić priorytety 7, 30 i 90 dni?
- Priorytet 7 dni – firma powinna mieć rejestr żądań, właściciela procesu i podstawowy wzór odpowiedzi.
- Priorytet 7 dni – osoby z pierwszej linii kontaktu powinny wiedzieć, że e-mail klienta może być wnioskiem z art. 15 RODO.
- Priorytet 30 dni – mapa danych powinna objąć CRM, sklep, księgowość, HR, pocztę, helpdesk, analitykę i backupy.
- Priorytet 30 dni – checklisty powinny opisywać identyfikację osoby, wyszukiwanie, redakcję, wysyłkę i archiwizację.
- Priorytet 90 dni – firma powinna przetestować eksport danych oraz audytować najważniejszych procesorów.
- Priorytet 90 dni – zarząd powinien otrzymać informację, które ryzyka nadal wymagają budżetu albo zmiany dostawcy.
Kiedy zaangażować IOD lub prawnika?
IOD powinien być zaangażowany, jeżeli został powołany, bo jego zadaniem jest monitorowanie przestrzegania RODO i doradzanie administratorowi (źródło: RODO, art. 39, 2016). Prawnik RODO jest potrzebny szczególnie przy sporze z osobą, odmowie udzielenia części informacji, danych pracowniczych, nagraniach, monitoringu, tajemnicy przedsiębiorstwa albo ryzyku skargi do UODO.
Najczęściej zadawane pytania
Jak często robić audyt prywatności?
Audyt należy wykonywać co najmniej po istotnej zmianie systemu, procesu, dostawcy albo kategorii przetwarzanych danych. W firmach, które obsługują dużą liczbę klientów, kandydatów lub pracowników, rozsądny jest przegląd cykliczny raz w roku. Częstszy test jest wskazany po incydencie, skardze do UODO albo wdrożeniu nowego CRM.
Czy audyt musi obejmować backupy?
Tak, przynajmniej na poziomie zasad, retencji i możliwości odtworzenia danych. Backupy zwykle nie są narzędziem codziennej obsługi wniosków, ale mogą mieć znaczenie przy ocenie kompletności i bezpieczeństwa danych. Firma powinna wiedzieć, gdzie są kopie zapasowe, kto ma do nich dostęp i po jakim czasie są usuwane.
Czy firma musi mieć IOD, żeby zrobić audyt?
Nie każda firma musi mieć inspektora ochrony danych. Jeżeli jednak IOD został powołany, powinien uczestniczyć w ocenie procedury praw osób, ryzyk i działań naprawczych. Brak IOD nie zwalnia administratora z obowiązku terminowej i rozliczalnej obsługi żądania kopii danych.
Co jest największym błędem przy żądaniach kopii danych?
Najczęstszym błędem jest brak mapy systemów i brak właściciela procesu. Wtedy firma szuka danych fragmentarycznie, odpowiada po terminie albo nie potrafi wykazać, z jakich źródeł korzystała. Drugim częstym błędem jest wysłanie zbyt szerokiej kopii, która zawiera dane osób trzecich.
Czy audyt chroni przed karą UODO?
Sam audyt nie daje gwarancji uniknięcia kary. Może jednak pomóc wykazać rozliczalność, czyli to, że administrator zna ryzyka, wdraża środki i potrafi udowodnić przebieg procesu. W razie kontroli znaczenie ma nie tylko raport, ale realne wykonanie działań naprawczych.
Czy pierwsza kopia danych zawsze jest bezpłatna?
Co do zasady pierwsza kopia danych osobowych przetwarzanych przez administratora jest przekazywana bezpłatnie. Za kolejne kopie administrator może pobrać rozsądną opłatę wynikającą z kosztów administracyjnych (źródło: RODO, art. 15 ust. 3, 2016). Nie należy mylić opłaty za kolejną kopię z opłatą za samo wykonanie prawa dostępu.
Źródła i literatura
Jakie akty prawne są podstawą audytu?
Podstawą oceny są przepisy RODO, w szczególności art. 12, art. 15, art. 28, art. 39 i art. 83. W sprawach spornych trzeba uwzględnić również decyzje UODO, orzecznictwo sądów administracyjnych i specyfikę branży.
Które wytyczne pomagają w praktyce?
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, RODO, tekst w EUR-Lex: https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=pl.
- Europejska Rada Ochrony Danych, Guidelines 01/2022 on data subject rights – Right of access, wersja finalna z 17 kwietnia 2023 r.: https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012022-data-subject-rights-right-access_en.
- Urząd Ochrony Danych Osobowych, materiały edukacyjne o prawach osób wynikających z RODO, 2026: https://uodo.gov.pl/.
- Ustawa z 10 maja 2018 r. o ochronie danych osobowych, Dz.U. z 2019 r. poz. 1781.
- UODO, decyzje i stanowiska dotyczące prawa dostępu, kopii danych oraz praw i wolności innych osób, baza decyzji Prezesa UODO: https://uodo.gov.pl/decyzje.
