RODO w małej firmie

Dla kogo

Firmy bez inspektora ochrony danych (osoby wyznaczonej w firmie do pilnowania spraw związanych z danymi osobowymi). Warsztaty, gabinety, sklepy, biura projektowe, jednoosobowe działalności, wspólnicy zatrudniający kilka osób. Także kierownicy biur i księgowe, które dostały „ogarnięcie RODO” do zadań obok wszystkiego innego.

Ile Ci to oszczędza

Pierwsza rozmowa z prawnikiem albo firmą wdrożeniową i tak zaczyna się od ankiety, którą wypełniasz sam — zwykle dwie, trzy godziny grzebania w pamięci i cudzy formularz pełen słów, których nie używasz. Tu odpowiadasz na pytania zadane po ludzku, a mapa powstaje w kilkanaście minut.

Nie zastępuje specjalisty. Sprawia, że przychodzisz do niego z opisem swojej firmy zamiast ze zdaniem „chyba mam problem z RODO”.

Przykład z życia

Marek prowadzi warsztat samochodowy i zatrudnia czterech mechaników. Wie, że „coś z RODO powinien mieć”, i tyle.

Po kwadransie pytań mapa pokazuje: baza 1 800 klientów w arkuszu w chmurze, udostępnionym linkiem dla każdego, kto go ma — link krąży od czasu, gdy pracował tu jeszcze poprzedni recepcjonista. Zdjęcia dowodów rejestracyjnych i praw jazdy w prywatnym WhatsAppie Marka, bo tak wygodniej przesyła je z warsztatu do biura. Trzydzieści osiem CV z rekrutacji sprzed trzech lat w skrzynce. Kamera nad wjazdem, która nagrywa też chodnik i wejście do sąsiedniego sklepu, z nagraniami zapisywanymi na dysku, którego nikt nigdy nie ustawiał. Teczki pracownicze z numerami PESEL w szafie, która się nie zamyka, bo zgubił się klucz.

Marek wychodzi z pięcioma pytaniami do specjalisty, czterema rzeczami, które odklika sam w dwadzieścia minut, i sześcioma pytaniami bez odpowiedzi do sprawdzenia u siebie. Idzie do specjalisty z pięcioma pytaniami zamiast ze zdaniem „chyba mam problem z RODO”.

Jak po polsku

Zbudowany pod to, jak naprawdę wyglądają polskie małe firmy. Pyta o biuro rachunkowe i kadrową jako pierwsze miejsca, do których dane wychodzą z firmy — bo właściciel zwykle w ogóle nie liczy tego jako przekazywania danych. Pyta o skany dowodów w skrzynce, o PESEL w umowach zleceniach, o CV leżące „na przyszłość”, o kamerę sięgającą chodnika, o arkusz udostępniony linkiem i o konto po zwolnionym pracowniku, które nadal działa.

Osobno pyta o przesyłanie zdjęć dokumentów i list klientów przez komunikator na prywatnym telefonie. W polskich małych firmach to norma — i nazywa, co z tego wynika: kopie zostają w pamięci telefonu i w kopii zapasowej, telefonu używa czasem ktoś z rodziny, a po zgubieniu aparatu nikt nie wie, co dokładnie w nim było.

Rozpoznaje branże, w których poprzeczka jest wyżej — gabinety i fizjoterapia, przedszkola i korepetycje, pośrednictwo kredytowe, wynajem mieszkań — i mówi to wprost, zamiast traktować wszystkich tak samo.

Czego potrzebujesz

Dowolny płatny plan Claude i kwadrans na odpowiadanie na pytania. Nic więcej — żadnych konektorów, dostępów do systemów ani dokumentów na wejściu.

Gdzie działa

Plik jest zgodny z otwartym standardem Agent Skills, więc ten sam folder działa w wielu narzędziach. „Format zgodny” znaczy, że powinien zadziałać, ale nie uruchomiliśmy go tam sami — a piszemy tylko o tym, co sprawdziliśmy.

Na czym się wywala

• Widzi tylko to, co powiesz. Nie zajrzy do Twojego dysku, nie sprawdzi, kto ma link do arkusza, nie policzy kamer i nie wykryje, że ktoś już siedzi w Twojej skrzynce. Mapa jest tak dobra, jak Twoja pamięć — a właściciele systematycznie zapominają o starych eksportach i pendrive'ach w szufladzie.
• Nie rozstrzygnie, co musisz mieć na papierze — czy prowadzić rejestr czynności (spis tego, jakie dane i po co firma przetwarza) ani czy potrzebujesz inspektora ochrony danych. Zwolnienia dla małych firm są obwarowane warunkami, które przy stałej bazie klientów i przy zatrudnianiu ludzi zwykle nie są spełnione — dlatego odpowiedź „jesteś za mały, nie musisz” bywa fałszywa. To pytanie do specjalisty, a skill pomoże je dobrze postawić.
• Przy incydencie nie oceni, czy zdarzenie trzeba zgłosić. Zbierze fakty, powie, że zegar jest krótki, i pchnie Cię do specjalisty tego samego dnia. Decyzji nie podejmie za Ciebie — bo błąd w którąkolwiek stronę jest nieodwracalny.
• Branże z danymi o zdrowiu i danymi dzieci obsłuży tylko wstępnie. Mapa je obejmie, ale skill powie, że tam wymagania są wyższe, zamiast udawać, że wystarczy ten sam przegląd co w warsztacie.
• Nie sprawdzi żadnego dokumentu pod kątem jakości. Jeśli masz politykę zrobioną przez kogoś w 2019 roku, nie oceni, czy jest dobra — zapyta tylko, czy opisuje to, co firma robi dzisiaj.

Czego ten skill nie robi celowo

Nie generuje polityki ochrony danych, klauzul informacyjnych, treści zgód, umów powierzenia ani rejestru czynności przetwarzania. Nie podaje ich „przykładowego brzmienia”, nie dyktuje fragmentami i nie robi z nich pól do uzupełnienia. Nie pisze zgłoszenia do UODO, zawiadomienia dla klientów ani odpowiedzi na pismo urzędowe. Nie mówi „jesteś zgodny z RODO”. Jeśli poprosisz, odmówi i wróci do porządkowania faktów.

To granica postawiona świadomie i z konkretnego powodu. Dokument wygenerowany z kilkunastu zdań rozmowy opisuje firmę wymyśloną, nie Twoją — a przy kontroli i po wycieku bada się właśnie rozjazd między tym, co jest na papierze, a tym, co się w firmie dzieje. Papier, który wygląda poprawnie i nie pasuje do rzeczywistości, jest gorszy niż jego brak, bo daje spokój, na który nie ma pokrycia.

Ten skill robi rzecz uczciwszą: sprawia, że wiesz, co masz, gdzie to leży i o co zapytać kogoś, kto weźmie za odpowiedź odpowiedzialność.

Instalacja