RODO to nie tylko dokumenty. Przede wszystkim to codzienne decyzje w IT oraz w biznesie. Poniżej przedstawiamy osiem najczęstszych błędów, które widzimy w małych firmach, a także szybkie sposoby, jak je skutecznie naprawić. Odwołania do RODO mają tu charakter orientacyjny, ponieważ skupiamy się na praktyce.

1. Brak inwentarza danych i procesów (Art. 30 – rejestr czynności)

Na początek: nie wiesz, gdzie są dane osobowe, kto je przetwarza i po co. To poważny problem. Naprawa jest prosta: prosta ewidencja procesów (cele, zakres, podmioty), wskazanie systemów i miejsc składowania. Arkusz + cykliczna aktualizacja rozwiążą sprawę.

2. Za szerokie uprawnienia (Art. 5 – minimalizacja; Art. 32 – bezpieczeństwo)

Co gorsza, użytkownicy mają dostęp „do wszystkiego”, a lokalni admini mają uprawnienia na stałe. Aby temu zaradzić, wprowadź role i zakresy, system LAPS lub Just‑In‑Time admin, separację środowisk i obowiązkowe kwartalne przeglądy dostępu.

3. Brak umów powierzenia (Art. 28 – podmioty przetwarzające)

Nierzadko korzystasz z hostingu, fakturowni czy marketingu bez formalnej umowy powierzenia. W takim przypadku zmapuj dostawców i dopełnij formalności, a następnie sprawdź lokalizację danych i mechanizmy transferów.

4. Niechciane wysyłki i „autouzupełnianie” e‑maili

Najczęstszy incydent? Zły adresat. Dlatego warto wyłączyć autowysyłkę, stosować opóźnioną wysyłkę i szyfrować wiadomości z danymi wrażliwymi. Poza tym, ważne jest szkolenie pracowników z zachowania “double check”.

5. Kopie zapasowe bez retencji i testów (Art. 32 – ciągłość)

Backup jest, jednak często nie wiadomo, co jest kopiowane, gdzie i czy można je odtworzyć. Dlatego plan 3‑2‑1‑1‑0, test odtworzenia raz na kwartał i dokumentacja RTO/RPO to konieczność.

6. Brak szyfrowania urządzeń mobilnych i laptopów

Utracony laptop to realne ryzyko naruszenia danych. Z tego powodu BitLocker i FileVault są obowiązkowe. Nie zapominaj o centralnym escrow kluczy, PINach/MFA oraz zarządzaniu urządzeniami mobilnymi (MDM).

7. Shadow IT i dzikie chmury

Często pliki są przechowywane na prywatnych dyskach, a dane w darmowych aplikacjach. W rezultacie wdroż politykę narzędzi, wykorzystaj oficjalną współdzieloną chmurę (M365/Google), DLP‑lite oraz monitoruj udostępnienia.

8. Brak procedury obsługi naruszeń (Art. 33 – zgłoszenia)

Wreszcie, często nie wiadomo, kto decyduje, co zgłosić i jak. Naprawa to prosty playbook: klasyfikacja incydentu, określenie czasów i odpowiedzialnych, kontakt do IOD oraz wzór zgłoszenia i działania korygujące.

Jak Axman może pomóc?

W związku z tym robimy „RODO w praktyce IT”: inwentaryzację systemów i danych, porządek w uprawnieniach, kopie zapasowe, szyfrowanie i procedury incydentowe. Co więcej, uporządkujemy umowy powierzenia z dostawcami IT.
Umów przegląd 360° i dostań listę priorytetów na 90 dni.

Podsumowanie

Podsumowując, kiedy RODO „żyje” w procesach IT, maleje liczba incydentów i stres przy kontrolach. Nie chodzi o perfekcję, tylko o rozsądną dyscyplinę: wiemy, gdzie są dane, kto ma dostęp, jak reagujemy i jak wracamy do pracy po awarii.