Gdy wygaśnie Twoje prawo do przetwarzania danych osobowych musisz je usunąć. Samo ich przechowywanie jest czynnością przetwarzania, co do której musisz mieć podstawę. Dlatego dane, których przetwarzać już nie możesz – musisz zniszczyć. Ale jak skutecznie usnąć dane osobowe? Czasem będzie się wiązało to z ich anonimizacją, innym razem z fizycznym zniszczeniem samego nośnika. Niszczenie danych lub nośników, na których zostały one zapisane, to czynności, które powinien znać każdy administrator. Musisz zatem poznać bezpieczne i skuteczne metody niszczenia nośników danych. Przyjrzyjmy się sytuacjom, gdy dane zapisaliśmy na papierze, płycie CD czy dysku HDD.
Jak zniszczyć dane papierowe?
Jeżeli przetwarzasz dane w formie papierowej to niszczenie dokumentów najlepiej przeprowadzać w niszczarce. Ceny dobrych niszczarek do dokumentów poufnych rozpoczynają się już od 500 złotych. Niszczarka musi być zgodna z normą DIN 66399. W jej ramach zdefiniowane jest 7 poziomów bezpieczeństwa w niszczeniu dokumentów. Różnią się one między sobą szerokością, długością i powierzchnią paska ścinki powstającego jako wynik niszczenia dokumentu.
Aby skutecznie zniszczyć dane papierowe wybierz niszczarkę stosując się do prostych zasad:
Nie stosuj niszczarek o najniższych poziomach bezpieczeństwa P-1 i P-2. Tworzą one paski o praktycznie nielimitowanej długości. Pamiętasz film „Operacja Argo” i scenę, w której dzieci sklejają z pasków w całość dokumenty zniszczone w ambasadzie USA? To właśnie ten typ niszczarki. W dzisiejszych czasach powinno się w nich niszczyć jedynie dokumenty zawierające korespondencję wewnętrzną.
Urządzenia o poziomie P-3 i wyższym tworzą ścinki, a nie paski. Ponadto poza dokumentami papierowymi można w nich niszczyć nośniki danych takie jak płyty CD/DVD czy plastikowe identyfikatory. Urządzenia o poziomie P-3 należy używać, gdy niszczone są zwykłe dane osobowe, lub wrażliwe i poufne dokumenty firmowe.
Niszczarki o poziomie P-4 należy stosować do trwałego niszczenia dokumentów i nośników danych zawierających szczególne kategorie danych osobowych, na przykład dane medyczne.
Urządzenia o poziomie P-5 do P-7 stosuje się do niszczenia dokumentów, którym nadawane są rządowe lub wojskowe klasyfikacje poufności i tajności. Oczywiście nic nie stoi na przeszkodzie, by stosować je także w małej firmie. Pamiętaj jednak, że są to już urządzenia droższe i niekoniecznie najmniejsze.
Jak usunąć dane z komputera z dysku twardego?
O ile płytę CD czy DVD możesz zniszczyć w niszczarce, samodzielne fizyczne zniszczenie dysku twardego z Twojego komputera jest niewykonalne. Rozmontowanie dysku talerzowego na części nie oznacza zniszczenia danych. Są one nadal zapisane w formie magnetycznej na specjalnych talerzach. Zatem samo ich usunięcie z obudowy dysku twardego nie spowoduje zniszczenia zapisanych na nich danych.
Możesz usunąć dane z komputera z dysku twardego poprzez wielokrotne nadpisanie wszystkich sektorów dysku. Inaczej mówiąc nadpisywane są wszystkie miejsca na talerzach dysku, które przechowują dane. Każdy z takich sektorów może przyjąć binarną wartość 0 lub 1. Wszystkie Twoje pliki to dla komputera wielkie uporządkowane zbiory zer i jedynek. Operację usuwania danych przez nadpisywanie należy wykonywać zewnętrznymi programami do tego przeznaczonymi.
Istnieje co najmniej kilkanaście standardów pozwalających usunąć dane osobowe przez wielokrotne nadpisanie sektorów dysku twardego. Jednym z nich jest DoD 5220.22-M. Jest to standard opublikowany przez U.S. Department of Defense (DoD). Jego podstawowa wersja zakłada nadpisanie dysku w trzech cyklach. W pierwszym z nich wszystkie sektory nośnika są nadpisywane zerami. W drugim cyklu program czyszczący nadpisuje wszystkie sektory jedynkami. W trzecim zaś ponownie każdy sektor zapisywany jest w sposób losowy zerem lub jedynką. Na koniec wykonywany jest jeszcze czwarty, kontrolny cykl weryfikujący.
Oryginalny standard DoD 5220.22-M składa się zatem z trzech cykli nadpisywania danych. W 2001 roku został on w specyfikacji DoD 5220.22-M ECE rozszerzony do siedmiu cykli. Oba te standardy, bardzo rozpowszechnione, nie są już uważane za w pełni bezpieczne. Co więcej są wysoce nieskuteczne w przypadku dysków SSD. Oryginalny DoD 5220.22-M nie jest uznawany za skuteczny już od 2001 roku. Jego nowsze wydania od 6 maja 2019 roku nie znajdują się w dozwolonych metodach w jednostkach rządowych Stanów Zjednoczonych. Obecnie wymaga się stosowania metod opisanych w NIST SP 800-88.
Kolejnym narzędziem za pomocą którego możemy usunąć dane z dysku magnetycznego jest Hardwipe – bezpłatne narzędzie, z pomocą którego trwale usuniemy poufne dane przechowywane na dysku twardym (bez możliwości ich odzyskania). Możesz również oczyszczanie dysku z danych powierzyć wyspecjalizowanej firmie, która skutecznie zniszczy dane osobowe zmagazynowane na dyskach twardych.
Pamiętaj aby z procesu niszczenia danych osobowych sporządzić raport lub protokół, który spełni zasadę rozliczalności z tego procesu. Wzór takiego raportu znajdziesz tu: protokół zniszczenia
Więcej na temat usuwania danych osobowych oraz wygaśnięcia prawa do ich przetwarzania znajdziesz w innym moim tekście pod tym linkiem
Jeśli prowadzisz firmę i nie posiadasz jeszcze pakietu dokumentów systemowych RODO, to zajrzyj do naszego sklepu online w którym znajdziesz dokumentację przygotowaną przez specjalistów zgodną z obowiązującym prawem.
Wiele przedsiębiorstw tworzy pracownikom konta i adresy e-mail, które zawierają ich imię i nazwisko. Lecz nawet gdy mamy jakąś formę skróconej nazwy lub samo imię to także ten adres stanowi daną osobową. Gdy wygasa lub zostanie rozwiązana umowa z danym pracownikiem powstaje pytanie co dalej z jego adresem i korespondencją zrobić. Czy nadal możemy korzystać ze skrzynki byłego pracownika czy może należy ja usunąć? Jak powinniśmy postąpić aby wszystko było zgodne z przepisami. W poniższym artykule pt. „Skrzynka byłego pracownika a RODO” znajdziecie odpowiedź na te pytania.
Pracownik odchodzi z firmy
Gdy współpraca z daną osobą się kończy, niezależnie od tego czy była to umowa o pracę, umowa-zlecenie czy kontrakt b2b, przedsiębiorca musi odpowiedzieć sobie na dwa pytania:
Co zrobić z pocztą, która znajduje się w skrzynce byłego pracownika?
Jak postępować, gdy klienci będą dalej wysyłać wiadomości do tej osoby?
Odpowiedź na pierwsze pytanie powinna być zawarta w regulaminie pracy oraz regulaminie wykorzystania sprzętu IT. Zazwyczaj skrzynka pocztowa jest udostępniana przełożonemu danej osoby, aby możliwe było skopiowanie z niej informacji niezbędnych do dalszego działania firmy. Jeżeli w regulaminie wykorzystania sprzętu IT nie zabroniliśmy wykorzystywania służbowego adresu do korespondencji prywatnej musimy uczulić przełożonych, że prywatna korespondencja nie może być czytana. Gdy wszystkie niezbędne dane zostaną ze skrzynki skopiowane powinna ona zostać zarchiwizowana. Archiwizacja pozwoli na dostęp do niej gdyby w przyszłości okazało się, że znajdują się tam potrzebne nam informacje.
Uzasadniony interes administratora
Nie spotkałam się jeszcze z przypadkiem, by firma informowała swoich klientów czy partnerów handlowych, że zakończyła współpracę z danym pracownikiem. Powstaje zatem problem co zrobić z nowymi wiadomościami, które osoby zarówno z naszej firmy jak i spoza organizacji mogą nadal wysyłać na adres tej osoby. Jednym z rozwiązań jest skonfigurowanie na serwerze pocztowym stałego przekierowania poczty przychodzącej na adres innej osoby. Nigdy nie byłam zwolennikiem tej metody – długoterminowo prowadzi ona do problemów ze spójnością konfiguracji usługi poczty. Może też prowadzić do ujawnienia prywatnych informacji o odchodzącej osobie innemu pracownikowi – nawet jeżeli zabronimy w regulaminie wykorzystywania poczty do celów prywatnych nie oznacza to, że wszyscy pracownicy się zastosują.
Urząd Ochrony Danych Osobowych rekomenduje inne podejście jako zgodne z RODO. Po pierwsze w komunikacie Prezes urzędu zauważa, że dalsze przetwarzanie danych osobowych odchodzącego pracownika ma swoje uzasadnienie prawne. Jest nim tak zwany uzasadniony interes administratora. Taka interpretacja jest też logiczna – to że pracownik odchodzi nie znaczy, że firma ma tracić wypracowane przez niego relacje biznesowe. Urząd wskazuje jednak, że właściwe rozwiązanie w takiej sytuacji to odrzucenie przychodzących wiadomości i ustawienie automatycznej wiadomości zwrotnej, informującej nadawcę o nowej osobie kontaktowej.
Zadbaj o procedury
Po pierwsze miej przygotowany stały plan postępowania w takiej sytuacji. Rotacja kadrowa nie jest niczym nadzwyczajnym nawet w małych przedsiębiorstwach. Ważne aby wszystkie czynności wykonywać sprawnie i krok po kroku. Zwróć uwagę na takie rzeczy:
Jeżeli zwalniasz pracownika lub on sam rozwiązał umowę o pracę to w okresie wypowiedzenia monitoruj jakie pliki będzie otwierał czy kopiował. Jeżeli to możliwe sprawdź logi z ostatnich kilku tygodni. Próby wyniesienia firmowych danych nie są niestety sytuacją marginalną.
Wyloguj pracownika ze wszystkich usług na wszystkich urządzeniach. Większość usług chmurowych (Google G Suite, Microsoft Office365 i inne usługi internetowe) pozwalają na wykonanie tej czynności z panelu administratora.
Zablokuj wszystkie konta pracownika by uniemożliwić mu ponowne logowanie. Nie kasuj ich jednak od razu. Skasowanie konta może spowodować usunięcie danych.
Ustaw odpowiedni komunikat zwrotny dla nowo przychodzącej poczty
Wykonaj kopię niezbędnych danych z każdego serwisu.
W możliwie krótkim terminie przełożony pracownika powinien przejrzeć zabezpieczone dane i skopiować te niezbędne do dalszej pracy.
Na koniec usuń wszystkie konta pracownika
Pamiętaj, że to tylko niektóre z czynności jakie musisz wykonać. Zadbaj o to by procedura była klarowna i zawsze aktualna. W razie potrzeby skonsultuj się ze swoim prawnikiem, aby upewnić się, że czynności które podejmujesz są zgodne z prawem.
Natomiast jeśli zatrudniasz pracowników to odpowiedni będzie dla Ciebie pakiet RODO dla pracodawców w którym znajdziesz dokumentację niezbędną do zachowania zgodności z rozporządzeniem o ochronie danych osobowych.
Co czuje przedsiębiorca dostosowujący działanie swojej firmy do wymogów RODO? Jak wygląda RODO w małej firmie? Czy pierwsze kroki budzą strach? A może jawią się jako niewykonalne zadania? Między innymi o to pytam Damiana Michalaka – przedsiębiorcę i prowadzącego serwis nastykusieci.pl. Jak wyglądały pierwsze kroki w świat RODO? Jak wdrożone rozwiązania proceduralne oraz teleinformatyczne usprawniły i zabezpieczyły działanie biznesu.
Pytanie: Kiedy pierwszy raz usłyszałeś, że Twój cały biznes musi być zgodny z RODO to co sobie wyobraziłeś?
Odpowiedź na to pytanie zacznę od wprowadzenia dodatkowego kontekstu – a jest nim pierwsza styczność z RODO. Każdy z nas chyba pamięta falę maili od różnych firm i organizacji, gdy te regulacje weszły w życie. Wtedy byliśmy niejako „po drugiej stronie barykady”. Odbiór RODO w tamtym momencie oczywiście był dość subiektywną sprawą, na dodatek mocno zależną od jakości przeprowadzonych kampanii informacyjnych. Moje odczucia były wtedy dość negatywne, nie podobało mi się w świecie rodo.Z jednej strony poirytowanie zalewem maili, z drugiej pewne rozdrażnienie w związku z brakiem pełnego zrozumienia tematu. Mnie osobiście brakowało jakościowej kampanii informacyjnej.Negatywne odczucia jednak bardzo szybko odeszły w niepamięć, gdy już po wprowadzeniu RODO spotkałem się z pierwszymi naruszeniami związanymi z przetwarzaniem moich danych. Wtedy to sobie przypomniałem, że RODO jest orężem do walki z tego typu przewinieniami. Z chęcią wykorzystałem przysługujące mi prawa, chociażby do wycofania zgody na przetwarzanie moich danych osobowych. Tego typu doświadczenia uświadomiły mi, jak istotne jest RODO, zwłaszcza gdy jesteśmy stroną, która te dane przetwarza.W pewnym momencie tak też się stało i u mnie, gdy otworzyłem moją działalność gospodarczą. Spadł na mnie pewien ciężar odpowiedzialności. O ile rozumiałem, po co jest RODO i jakie są podstawy tych regulacji, to dostosowanie mojej działalności do wymogów prawnych było zadaniem, które nie za bardzo wiedziałem, jak ugryźć.Wyobrażałem sobie, że oto teraz będę musiał spędzić godziny na czytaniu ustaw, aby zrozumieć każdy szczegół RODO, a stworzenie integralnej polityki prywatności zajmie mi dni z uwagi na delikatną kwestię doboru odpowiedniego słownictwa. Można powiedzieć, że trochę się bałem tego na wyrost, ale od czasu afery Rywina i słynnego „lub czasopisma” zacząłem z wielką powagą traktować wszelkie kwestie prawne. Podsumowując, na starcie RODO było dla mnie olbrzymią górą, na którą nie wiedziałem, jak się wdrapać i od której strony. Otuchy nie dodawał fakt, że w mojej ocenie nie posiadałem odpowiedniego ekwipunku to zmierzenia się z tym wyzwaniem.Pytanie: Czy trudno było wykonać pierwsze świadome kroki, które nie były kopiowaniem gotowców z innych stron albo szablonów. Jak wyglądała Twoja pierwsza dokumentacja RODO?
Owszem, przyszło mi to z trudem. Cieszę się, że poruszamy kwestię kopiowania gotowców z innych stron. Ja również popełniłem ten grzech zaniechania na początku i poszedłem niejako na łatwiznę. Ot znalazłem wydeptaną ścieżkę i nią podążyłem. Moja polityka prywatności w tamtym momencie stanowiła zlepek tekstów z trzech innych stron. Wybrałem takie fragmenty, które poruszały jak najszerszy zakres zagadnień i dostosowałem je delikatnie do mojej działalności. Wprowadziłem oczywiste modyfikacje takie jak wprowadzenie danych mojej firmy, czy też opisanie narzędzi firm trzecich, z których korzystałem. Wydawało mi się, że osiągnąłem zamierzony efekt – że jestem „zgodny z RODO”. Jak się później okazało, po konsultacji z Tobą, wydeptana ścieżka doprowadziła mnie ledwie na jakiś pagórek, a pełna zgodność z RODO nadal majaczyła daleko na horyzoncie ???? Generalnie moje odczucie jest takie, że trudno wykonać WŁAŚCIWIE, pierwsze, świadome kroki.Dlaczego? W tekstach prawnych bardzo często pojawiają się dość enigmatycznie brzmiące sformułowania, które odstraszają przeciętnego Kowalskiego. Większość z nas nie została nauczona jak czytać teksty prawne. Gdy więc pierwszy raz trafimy chociażby na konieczność przygotowania „wykazu powierzeń” na potrzeby RODO to większość poczuje się jakby stała pod ścianą. Teraz gdy mam już cały proces redagowania polityki prywatności OD ZERA za sobą to wiem, że nie jest to „rocket science”. Nie zmienia to faktu, że mamy dwie opcje. Pierwsza to próba przeskoczenia tej ściany poprzez spędzenie długich godzin na samodzielnym zapoznawaniu się z wymogami prawnymi. Druga, znacznie lepsza opcja, to poświęcenie kilku minut na znalezienie kogoś, kto da nam drabinę, czyli osoby, która już taką wiedzę posiada i nas odpowiednio pokieruje.
Pytanie: Jesteś osobą z branży IT – jak oceniasz, czy w obecnych czasach przedsiębiorca może skutecznie wdrożyć wymogi RODO bez znajomości podstaw teleinformatyki lub wsparciu kogoś, kto „ogarnia IT”?
Tu się odwołam do mojej poprzedniej odpowiedzi. Przedsiębiorca może skutecznie samodzielnie wdrożyć wymogi RODO, ale musi być gotowy do zainwestowania znacznej ilości czasu. Ponadto trzeba się również pogodzić z faktem, że najprawdopodobniej i tak się znajdą jakieś niedociągnięcia. Znacznie lepszym pomysłem jest skonsultowanie się z kimś, kto się już na tych regulacjach zna – na przykład z Tobą. Zaoszczędzimy w ten sposób czas i będziemy mogli spać spokojnie, nie martwiąc się, czy czegoś nie pominęliśmy.Z systemami teleinformatycznymi jest generalnie tak, że istnieją one po to, by nam ułatwiać życie. W większości przypadków są one skonstruowane tak, aby poradził sobie z nimi przeciętny Kowalski, nieznający się na technikaliach.Schody zaczynają się w momencie, gdy mamy do czynienia z kilkoma bądź kilkunastoma systemami IT, które na dodatek są ze sobą w jakiś sposób powiązane. A tak jest niemal w każdym przedsiębiorstwie w branży IT – mamy do czynienia chociażby z hostingiem strony, mailingu, mediami społecznościowymi, bazami danych itd. Przygotowanie polityki prywatności uwzględniającej te zawiłości może być nie lada wyzwaniem – dlatego też warto zasięgnąć opinii konsultanta.
Pytanie: Czy wdrożenie przez Ciebie nowych narzędzi dobranych pod kątem RODO usprawniło w innych aspektach to jak pracujesz, lub jak chronisz inne informacje?
Tak, z pewnością. Przede wszystkim postawienie na mailing oparty o G Suite od Google zdjęło z ramion pewien ciężar odpowiedzialności związany z RODO. Możliwość ustawiania polityk retencji to zaledwie jedna z zalet. Śmiem stwierdzić, że przenosiny na G Suite dały mojej firmie również wymierne korzyści w postaci chociażby dostępu do ujednoliconej platformy komunikacyjnej (Google Hangouts + Meet) czy też dodatkowego storage’u opartego o chmurę, który wykorzystujemy do backupowania owoców naszej pracy. Kolejną zaletą, którą dostrzegam po dostosowaniu się do RODO i po wprowadzeniu odpowiednich narzędzi jest większa świadomość mojej firmy. Co mam na myśli? Teraz doskonale zdaję sobie sprawę z tego, jakie dane przetwarzam oraz jaka w związku z tym ciąży na mnie odpowiedzialność. Ponadto bardzo cenna jest wiedza o tym, które z zewnętrznych podmiotów, z którymi współpracuję, również przetwarza dane moich klientów.
Pytanie: Czy Twoim zdaniem przygotowanie do RODO małej firmy wymaga angażowania prawnika?
Dobre pytanie, na które odpowiem trochę przekornie – to zależy. W przypadku dużych firm i korporacji, które przetwarzają ogromne ilości różnego rodzaju danych i powierzają te dane wielu zewnętrznym podmiotom, z pewnością angażowanie prawnika ma sens. Gracze dużego rozmiaru nie mogą sobie zwyczajnie pozwolić na błędy, które w ich przypadku mogłyby kosztować miliony. Inaczej ma się sprawa w przypadku sektora MŚP. Tutaj nadal na nas spoczywa odpowiedzialność za solidne dostosowanie firmy do wymogów RODO, rownież dokumentacja RODO musi być specjalistyczna. Natomiast skala „problemu” jest na tyle mała, że można sobie z nim ze spokojem poradzić bez angażowania funduszy na konsultacje prawne.
Odpowiadając kolokwialnie – prawnik w takiej sytuacji to według mnie trochę overkill. Z pewnością jednak warto się zastanowić nad zasięgnięciem opinii zewnętrznego konsultanta, który pomoże nam poukładać wszystkie klocki na miejscu. Ja osobiście się bardzo cieszę, że przyszło nam razem współpracować. Dogłębne zrozumienie tematyki RODO oraz doświadczenie po Twojej stronie były dla mnie kluczowe. Owocem naszej współpracy był zestaw bardzo praktycznych porad, które udało mi się z powodzeniem wdrożyć w mojej firmie. Tak wygląda ochrona danych osobowych i RODO w małej firmie krok po kroku .
Dołącz do mnie na 
Dołącz do mnie na 
Dołącz do mnie na 
