Trzy sprawy opisane od środka

01

Grupa kapitałowa, usługi dla biznesu

Sześć spółek, sześć wersji prawdy o tych samych danych

Punkt wyjścia

Grupa rosła przez przejęcia. Każda przejęta spółka wnosiła własną dokumentację, przygotowaną przez innego doradcę, w innym momencie i według innego pomysłu. Formalnie wszystko istniało. Zarząd poprosił o przegląd przed planowanym wejściem inwestora, spodziewając się kosmetyki.

Co znaleźliśmy

Dokumenty spółek przeczyły sobie nawzajem. Ten sam proces kadrowy, obsługiwany przez centrum usług wspólnych, w jednej spółce opisano jako powierzenie, w drugiej jako udostępnienie, w trzeciej nie opisano wcale. Umów powierzenia naliczyliśmy ponad trzysta, bez żadnego rejestru; część dotyczyła dostawców, z którymi grupa nie współpracowała od lat. Najpoważniejsze było jednak co innego: nikt nie potrafił wskazać, kto jest administratorem danych pracowników przechodzących między spółkami.

Co zrobiliśmy

Zaczęliśmy od mapy ról, nie od dokumentów. Dla każdego procesu wspólnego ustaliliśmy, kto decyduje o celach i środkach, a więc kto jest administratorem, gdzie występuje współadministrowanie i gdzie zwykłe powierzenie. Dopiero ta mapa pozwoliła napisać jeden rejestr czynności obejmujący całą grupę, z wyróżnieniem części właściwych dla poszczególnych spółek. Umowy powierzenia przeszły przegląd: część rozwiązano, część aneksowano, resztę zastąpiono jednym wzorem.

Co się zmieniło

Grupa ma jeden rejestr zamiast sześciu, wykaz dostawców zmniejszony o dwie piąte i porozumienie o współadministrowaniu tam, gdzie faktycznie ono występuje. Badanie due diligence przed wejściem inwestora nie wygenerowało ani jednego zastrzeżenia w obszarze danych osobowych. Prowadzimy tę grupę do dziś, a przegląd ról powtarzamy po każdym przejęciu, zanim dokumentacja zdąży się rozjechać.

03

Firma usługowa, przetwarzanie danych klientów

Załącznik wysłany do niewłaściwej listy odbiorców

Punkt wyjścia

Telefon w piątek po siedemnastej. Pracownik wysłał do grupy odbiorców wiadomość z załącznikiem przeznaczonym dla jednego klienta. Załącznik zawierał zestawienie z danymi identyfikacyjnymi i informacją o zadłużeniu. Wiadomość poszła do kilkudziesięciu adresów, a firma nie wiedziała jeszcze, do ilu dokładnie ani co dokładnie było w pliku.

Co znaleźliśmy

Pierwsza godzina poszła na ustalenie faktów, nie na pisanie zgłoszenia. Okazało się, że lista odbiorców pochodziła z innego procesu i obejmowała także osoby, które nie były już klientami. Zestawienie zawierało dane o zadłużeniu, a więc informacje o sytuacji majątkowej, których ujawnienie realnie może zaszkodzić. Nie było natomiast danych szczególnych kategorii, co miało znaczenie dla oceny ryzyka. Odruch części zespołu, żeby próbować wycofać wiadomość i skasować ślady, udało się powstrzymać, i to była najważniejsza decyzja tego wieczoru.

Co zrobiliśmy

Ocena ryzyka według skali skutków i prawdopodobieństwa, udokumentowana tego samego wieczoru. Zgłoszenie do organu złożone z zapasem, a nie na styk siedemdziesięciu dwóch godzin. Zawiadomienie osób, których dane ujawniono, wysłane w poniedziałek rano, wraz z konkretną informacją, co się stało i co zrobić. Do odbiorców, którzy dostali wiadomość omyłkowo, poszła prośba o usunięcie z pouczeniem o skutkach dalszego rozpowszechniania.

Co się zmieniło

Organ nie wszczął postępowania. W ocenie zespołu przeważyły trzy rzeczy: udokumentowana ocena ryzyka sporządzona przed zgłoszeniem, zawiadomienie osób bez zwłoki i to, że firma nie próbowała ukryć zdarzenia. Osobno przepracowaliśmy przyczynę, bo naruszenie nie wzięło się z nieuwagi jednej osoby: proces pozwalał pobrać listę odbiorców z dowolnego źródła bez potwierdzenia. Dziś wysyłka zbiorcza z załącznikiem wymaga drugiej pary oczu, a listy odbiorców są związane z procesem, z którego pochodzą.