Firmy, które chcą uporządkować ten obszar, mogą skorzystać ze wsparcia Biura Porad Prawnych Zacharski. Oferta obejmuje m.in. dopasowane do organizacji szkolenie RODO, weryfikację procesów w ramach audytu RODO czy też wsparcie Inspektora Ochrony Danych. Biuro pomaga również firmom bezpiecznie wdrażać i wykorzystywać narzędzia sztucznej inteligencji w ramach AI Governance – od identyfikacji używanych rozwiązań i analizy ryzyka, po przygotowanie zasad, dokumentacji oraz zgodność z RODO i AI Act.
Zacznij od ustalenia, z jakimi danymi pracuje zespół
Zakres potrzebnej wiedzy zależy od obowiązków pracownika. Osoba zatrudniona w dziale kadr ma dostęp do innych informacji niż pracownik marketingu, recepcji, sprzedaży czy działu technicznego. Dlatego przygotowania nie należy ograniczać do przekazania wszystkim tego samego zestawu ogólnych zasad.
W pierwszej kolejności warto ustalić:
- jakie dane wykorzystują poszczególne działy,
- w jakich systemach są one przechowywane,
- komu mogą być udostępniane,
- jak długo są potrzebne,
- w jaki sposób pracownicy otrzymują do nich dostęp,
- jakie sytuacje stwarzają największe ryzyko błędu.
Dzięki temu można skoncentrować się na realnych zadaniach wykonywanych w firmie. Pracownik powinien rozumieć nie tylko, że ma chronić dane, ale również wiedzieć, jak ma to robić na swoim stanowisku.
Przełóż zasady na codzienne sytuacje
Samo wyjaśnienie pojęć prawnych nie wystarczy. Najwięcej problemów powstaje przy zwykłych, powtarzalnych czynnościach: wysyłaniu wiadomości, drukowaniu dokumentów, rozmowie telefonicznej albo udostępnianiu pliku współpracownikowi.
Pracownicy powinni wiedzieć między innymi:
- jak sprawdzić adresata przed wysłaniem wiadomości,
- kiedy stosować ukrytą kopię wiadomości,
- gdzie zapisywać dokumenty zawierające dane osobowe,
- czy wolno korzystać z prywatnego dysku lub skrzynki e-mail,
- jak weryfikować osobę proszącą o udzielenie informacji,
- co zrobić z wydrukiem pozostawionym przy drukarce,
- jak postąpić po zgubieniu telefonu lub komputera,
- komu zgłosić podejrzenie naruszenia.
Im bardziej praktyczne są instrukcje, tym większa szansa, że zostaną zastosowane w sytuacji stresowej lub nietypowej.
Dopasuj szkolenie do stanowisk
Innych przykładów potrzebuje kadra kierownicza, innych dział HR, a jeszcze innych obsługa klienta. Uniwersalna prezentacja może przekazać podstawy, ale rzadko przygotowuje cały zespół do rzeczywistych zagrożeń.
Program dla działu kadr powinien obejmować m.in. dokumentację kandydatów i pracowników, dostęp do akt oraz przekazywanie informacji przełożonym. Zespół sprzedaży powinien wiedzieć, jak bezpiecznie korzystać z CRM i przesyłać oferty. Marketing potrzebuje zasad dotyczących baz kontaktowych, formularzy oraz publikowania zdjęć. Osoby zarządzające muszą rozumieć, że bezpieczeństwo danych wymaga zasobów, jasnego podziału odpowiedzialności i regularnej kontroli.
Dobre szkolenie RODO powinno więc wykorzystywać przykłady z działalności konkretnej firmy, a nie ograniczać się do omawiania definicji.
Ustal proste zasady dostępu
Nie każdy pracownik powinien mieć dostęp do wszystkich informacji zgromadzonych przez organizację. Uprawnienia należy przyznawać zgodnie z zakresem obowiązków i regularnie je przeglądać.
Szczególnej uwagi wymagają sytuacje, gdy:
- pracownik zmienia stanowisko,
- przechodzi do innego działu,
- kończy współpracę,
- otrzymuje nowe zadania,
- firma wdraża kolejny system,
- z danych zaczyna korzystać podmiot zewnętrzny.
Częstym problemem są konta, które pozostają aktywne mimo zakończenia zatrudnienia, oraz zbyt szerokie uprawnienia nadane „na wszelki wypadek”. Warto wprowadzić jasny proces ich przyznawania, zmiany i odbierania.
Naucz zespół reagowania na incydenty
Pracownik, który popełnił błąd, może próbować go ukryć z obawy przed konsekwencjami. Tymczasem szybka informacja pozwala ograniczyć skutki zdarzenia.
Zespół powinien wiedzieć, że należy zgłaszać m.in.:
- wiadomość wysłaną do niewłaściwej osoby,
- utratę dokumentów lub urządzenia,
- podejrzane logowanie,
- przypadkowe ujawnienie danych,
- dostęp osoby nieuprawnionej,
- złośliwe oprogramowanie,
- telefon lub wiadomość próbujące wyłudzić informacje.
Procedura zgłaszania powinna być krótka i zrozumiała. Pracownik musi wiedzieć, do kogo się zwrócić, jakie informacje przekazać i czego nie robić samodzielnie. W organizacji, w której został wyznaczony IOD, może on wspierać ocenę zdarzenia, dokumentowanie działań i przygotowanie odpowiedniej reakcji.
Sprawdź, czy procedury rzeczywiście działają
Dokumentacja może wyglądać poprawnie, a mimo to nie odpowiadać temu, jak firma naprawdę pracuje. Przykładowo procedura przewiduje przechowywanie plików na zabezpieczonym serwerze, podczas gdy część zespołu przesyła je przez prywatne komunikatory.
Takie rozbieżności pomaga wykryć audyt RODO. Powinien obejmować nie tylko sprawdzenie dokumentów, ale również rozmowy z pracownikami, analizę dostępów, wykorzystywanych narzędzi oraz sposobu realizowania codziennych zadań. Jego wyniki mogą wskazać, które procedury trzeba uprościć, jakie szkolenia powtórzyć i gdzie zastosować dodatkowe zabezpieczenia.
Regularnie odświeżaj wiedzę
Jednorazowe przeszkolenie przy zatrudnieniu szybko traci swoją skuteczność. Pracownicy zapominają część informacji, a w organizacji pojawiają się nowe systemy, usługi i sposoby komunikacji.
Wiedzę warto odświeżać:
- po zmianie procedur,
- po wdrożeniu nowego narzędzia,
- po wystąpieniu incydentu,
- po zmianie obowiązków pracownika,
- w ramach cyklicznych spotkań przypominających.
Nie każde szkolenie musi trwać wiele godzin. Krótkie warsztaty, analiza rzeczywistych przypadków, testy wiedzy i komunikaty przypominające mogą skutecznie utrwalać najważniejsze zasady.
Bezpieczeństwo danych powinno być elementem kultury firmy
Pracownik będzie uważniej postępował z danymi, jeśli rozumie znaczenie obowiązujących zasad i widzi, że kierownictwo również ich przestrzega. Trudno oczekiwać odpowiedzialności od zespołu, gdy przełożeni przesyłają hasła w wiadomościach, pozostawiają dokumenty bez nadzoru albo omijają procedury dla wygody.
Bezpieczna praca z danymi wymaga połączenia jasnych zasad, odpowiednich narzędzi, praktycznych szkoleń i regularnej kontroli. Najważniejsze jest jednak stworzenie środowiska, w którym pracownik potrafi rozpoznać ryzyko, wie, gdzie szukać pomocy, i nie obawia się szybko zgłosić popełnionego błędu.
Komentarze (0)