Jak wybrać program do RODO — osiem pytań przed zakupem

1. Ilu administratorów danych działa w Państwa jednostce

To pytanie brzmi dziwnie, dopóki nie policzy się ich w urzędzie gminy. Administratorem danych jest wójt (burmistrz, prezydent) jako organ, osobno urząd gminy jako jednostka organizacyjna, osobno rada gminy, osobno kierownik urzędu stanu cywilnego w zakresie rejestracji stanu cywilnego. To nie jest podział umowny ani przyjęty dla wygody — wynika z tego, kto w świetle przepisów decyduje o celach i sposobach przetwarzania.

Konsekwencja jest jedna i wprost zapisana w przepisie. Art. 30 ust. 1 RODO nakazuje prowadzić rejestr czynności przetwarzania każdemu administratorowi, i to rejestr czynności, za które ten administrator odpowiada. Obowiązek jest adresowany imiennie do administratora, a nie do jednostki rozumianej jako budynek czy zespół ludzi. Czterech administratorów to cztery rejestry.

W praktyce przyjęło się, że jedna polityka ochrony danych może być wspólna dla kilku administratorów działających w jednej jednostce — dokument opisuje te same zabezpieczenia, te same pomieszczenia i tych samych ludzi, więc jego powielanie niczemu nie służy. Z tego jednak nie wynika zgoda na wspólny rejestr, a trudno wskazać przepis albo stanowisko, które by ją dawało. Przeciwnie: art. 30 ust. 4 każe udostępnić rejestr organowi nadzorczemu na żądanie, a żądanie dotyczy rejestru konkretnego administratora. Ze wspólnej tabeli trzeba by go dopiero wyjąć, twierdząc, które wiersze należą do kogo — a takie twierdzenie powstaje wtedy dopiero w chwili kontroli.

Dlaczego to pytanie pada tak rzadko? Bo w cennikach rozliczanych „za podmiot” każdy kolejny administrator jest kolejną opłatą. Przy takim rozliczeniu najtańszym rozwiązaniem dla kupującego staje się wpisanie wszystkiego do jednego rejestru — i decyzja o tym, jak prowadzi się dokumentację, zapada z powodu cennika, a nie z powodu przepisu.

Co sprawdzić u dowolnego dostawcy: czy w ramach jednego konta da się założyć kilku administratorów danych z odrębnymi rejestrami; czy każdy z nich generuje własny dokument do wydruku; oraz ile kosztuje drugi, trzeci i czwarty.

W SZODO: jedna organizacja to konto klienta i obejmuje do pięciu administratorów danych w jednej opłacie. Każdy prowadzi własny rejestr czynności i własny rejestr kategorii czynności, ma własne analizy ryzyka oraz własne listy aktywów, zagrożeń, podatności i zabezpieczeń. Raporty wychodzą osobno dla każdego administratora.

2. Czy ryzyko liczy aplikacja, czy autor dokumentu

Analiza ryzyka i test równowagi bywają realizowane na dwa zupełnie różne sposoby, a z listy modułów nie da się poznać, na który trafiamy. Pierwszy: narzędzie udostępnia szablon — zwykle porządnie opracowany — który użytkownik dostosowuje do siebie, wypełnia i zapisuje w odpowiednim module jako gotowy dokument. Drugi: narzędzie prowadzi przez kreator i samo wylicza wynik z tego, co zostało wskazane.

Różnica nie jest formalna. RODO nie narzuca formy i dokument opracowany na szablonie może być w pełni poprawny. Rzecz w tym, co dzieje się później. Rozliczalność z art. 5 ust. 2 wymaga wykazania, a nie samego posiadania pliku: po wdrożeniu nowego zabezpieczenia trzeba umieć pokazać, że poziom ryzyka policzono ponownie. Przy szablonie oznacza to napisanie dokumentu od nowa, bo nic nie przelicza się samo — i dlatego w praktyce analiza sprzed dwóch lat zostaje taka, jaka była.

Co sprawdzić: czy po dopisaniu zabezpieczenia poziom ryzyka zmienia się bez ingerencji autora; czy da się wrócić do oceny za rok i zobaczyć, co się zmieniło; oraz kto wystawia oceny cząstkowe — człowiek czy program.

W SZODO: analiza ryzyka, test równowagi i ocena skutków są kreatorami, a poziom ryzyka i wynik ważenia liczy aplikacja. Granica jest przy tym postawiona świadomie i warto ją znać: oceny, które przesądzają o wyniku — waga interesu administratora, wpływ na osobę, rozstrzygnięcie testu — wystawia człowiek. Pod dokumentacją podpisuje się administrator danych albo inspektor, nie program, więc „tak wyliczyło narzędzie” nie jest uzasadnieniem, które da się przedstawić.

3. Czy audyt kończy się raportem

Moduł audytu w prezentacji wygląda wszędzie tak samo: lista pytań z możliwością odhaczenia. Pytanie brzmi, co z niej wychodzi. Odhaczona lista jest notatką wewnętrzną — nie pokazuje ani skali niezgodności, ani tego, kto i do kiedy ma ją usunąć, a po roku nie da się na jej podstawie powiedzieć, czy cokolwiek się poprawiło.

Co sprawdzić: czy z audytu powstaje dokument ze wskaźnikiem zgodności w poszczególnych obszarach; czy zawiera plan naprawczy z terminami i osobami odpowiedzialnymi; oraz czy kolejny audyt da się porównać z poprzednim.

W SZODO: audyt kończy się raportem ze wskaźnikiem zgodności i zgodnością w podziale na obszary, a stwierdzone niezgodności przechodzą do planu naprawczego z terminem i osobą odpowiedzialną. Pytania audytowe są zapisywane razem z audytem, więc późniejsza zmiana listy kontrolnej nie zmienia wstecz tego, o co pytano rok wcześniej.

4. Ile zapłacę przy piętnastu podmiotach, a ile przy trzydziestu

Cennik warto przeliczyć przed zakupem, na docelowej liczbie podmiotów, a nie na tej dzisiejszej. Część cenników rośnie liniowo i przy kilkunastu klientach zaczyna decydować o rzeczach, o których decydować nie powinien: które podmioty prowadzi się w systemie, a które zostają w arkuszu kalkulacyjnym, bo na nie „nie starczyło”.

Co sprawdzić: cenę przy jednym, dziesięciu i trzydziestu podmiotach; czy jest opłata wdrożeniowa; czy aktualizacje i wsparcie są w abonamencie; czy każdy kolejny użytkownik kosztuje osobno; oraz czy rozliczenie idzie na jednej fakturze — przy jednostkach budżetowych to nie jest drobiazg.

W SZODO: jedna organizacja kosztuje 75 zł netto miesięcznie, dziesięć organizacji — 550 zł (55 zł za organizację), dwadzieścia — 900 zł (45 zł za organizację), trzydzieści — 1 200 zł (40 zł za organizację), zawsze na jednej fakturze. Liczba kont użytkowników jest nieograniczona, aktualizacje i wsparcie są w cenie, opłaty wdrożeniowej nie ma. Dostęp uruchamiamy na podstawie zamówienia i faktury z terminem płatności, bez podawania danych karty.

5. Czy widać, w czyich danych się pracuje

Przy obsłudze kilkunastu podmiotów to jest pytanie o bezpieczeństwo, nie o wygodę. Wpis założony w niewłaściwej organizacji jest naruszeniem ochrony danych, a nie pomyłką do poprawienia — dane jednego klienta trafiają do dokumentacji drugiego, a ślad po tym zostaje w obu miejscach. Inspektor pracujący dla dwudziestu jednostek przełącza się między nimi kilkanaście razy dziennie i musi widzieć, gdzie jest, bez zastanawiania się.

Co sprawdzić — najlepiej na demonstracji, nie z opisu: czy nazwa podmiotu jest widoczna na każdym ekranie, a nie tylko po wejściu; czy przełączenie wymaga świadomego wyboru; i czy po otwarciu drugiej karty przeglądarki obie karty pokazują to samo, czy dwa różne podmioty.

W SZODO: nazwa organizacji, w której się pracuje, stoi w nagłówku panelu bocznego na każdym ekranie, a jej zmiana jest osobnym, świadomym krokiem.

6. Czy listy da się dostosować do własnej organizacji

Gotowe słowniki są zaletą na starcie — pusta aplikacja jest bezużyteczna. Pytanie dotyczy tego, co się z nimi dzieje potem, a argument jest merytoryczny, nie techniczny: dokumentacja opisuje konkretną organizację, więc ocena wykonana na cudzej liście aktywów opisuje cudze ryzyko. Serwerownia, której nie ma, i system dziedzinowy, którego nie kupiono, nie mogą stać w analizie — a te, które są naprawdę, muszą.

Co sprawdzić: czy da się dodać własne cele przetwarzania, kategorie danych i odbiorców; własne aktywa, zagrożenia, podatności i zabezpieczenia; własne pytania audytowe; własne wzory upoważnień i własną numerację dokumentów.

W SZODO: wszystkie te listy są edytowalne, a aktywa, zagrożenia, podatności i zabezpieczenia prowadzi się osobno dla każdego administratora danych — co wraca do pytania pierwszego, bo inny zakres zadań oznacza inne ryzyko.

7. Czy da się wyjść z narzędzia z danymi

Dokumentacja RODO jest własnością administratora danych, a nie dostawcy oprogramowania. Warto jednak ustalić przed podpisaniem umowy, co się stanie, jeżeli za dwa lata narzędzie przestanie odpowiadać — bo to jest moment, w którym pyta się o to najgorzej.

Co sprawdzić: czy eksport obejmuje wszystkie rejestry, czy tylko wybrane; w jakich formatach; czy dostaje się go automatycznie przy rezygnacji, czy trzeba o niego prosić; i ile czasu jest na pobranie danych po zakończeniu umowy.

W SZODO: przed zamknięciem konta wydajemy komplet danych — rejestry w plikach CSV oraz raporty i dokumenty w PDF. Po zakończeniu umowy konto pozostaje jeszcze przez 30 dni w trybie tylko do odczytu, żeby było kiedy pobrać kopię, a całość organizacji da się pobrać jednym archiwum ZIP.

8. Czy dostawca podpisuje umowę powierzenia

Dostawca aplikacji działającej w chmurze przechowuje dane osobowe klientów administratora, więc jest podmiotem przetwarzającym w rozumieniu art. 28 RODO. Powierzenie bez umowy jest naruszeniem samo w sobie — i to takim, które widać od razu, bo pierwsze pytanie kontroli o system zewnętrzny brzmi zwykle właśnie tak.

Co sprawdzić: czy umowa powierzenia jest zawierana przed uruchomieniem dostępu, a nie „do pobrania w razie potrzeby”; czy wskazano podwykonawców (podmioty przetwarzające dalej) i zasady ich zmiany; gdzie fizycznie są dane; oraz co dostawca robi, gdy naruszenie zdarzy się po jego stronie.

W SZODO: umowa powierzenia z art. 28 RODO jest zawierana razem z zamówieniem, jeszcze przed uruchomieniem dostępu — to warunek korzystania z systemu, a nie opcja. Warunki świadczenia usługi opisuje regulamin udostępniany przed zawarciem umowy.

Najczęstsze pytania

Najszybszy sposób sprawdzenia tych ośmiu punktów

Wejść do środka i sprawdzić je samodzielnie. Demonstracja SZODO działa bez rejestracji i bez zobowiązań — to ta sama aplikacja, tyle że z danymi fikcyjnej gminy, w której działa kilku administratorów danych naraz. Wszystkie osiem pytań da się w niej zweryfikować w kwadrans.