RODO a sprzęt w małej firmie: o czym pamiętać

Każda firma, która przechowuje dane klientów albo pracowników, przetwarza dane osobowe i podlega RODO, także ta najmniejsza. W praktyce najważniejsze jest kilka rzeczy związanych ze sprzętem: ograniczony dostęp do danych, regularne kopie zapasowe oraz bezpieczne wycofywanie starych komputerów i dysków. Gdy w obsłudze sprzętu pomaga firma zewnętrzna, potrzebna jest umowa powierzenia.

Gdzie w firmie są dane osobowe

Dane osobowe w małej firmie są w wielu miejscach: na komputerach i laptopach, w poczcie, w programach do faktur i księgowości, na dyskach zewnętrznych i pendrive'ach, czasem w telefonach. To imiona, nazwiska, adresy, numery, umowy. Warto po prostu wiedzieć, gdzie te dane leżą, bo trudno chronić coś, o czym się nie pamięta. Od tego zaczyna się porządek: świadomość, na jakim sprzęcie i w jakich programach dane się znajdują.

Dostęp i kopie zapasowe

Dwie proste zasady dają najwięcej. Po pierwsze, ograniczony dostęp: komputery i konta powinny być chronione hasłem, a dostęp do wrażliwych danych mają tylko ci, którzy go potrzebują. Po drugie, kopie zapasowe: dane firmy powinny mieć drugą kopię w innym miejscu, żeby awaria dysku, kradzież czy złośliwe oprogramowanie nie oznaczały utraty dokumentów. Kopia to nie tylko wygoda, to element bezpieczeństwa danych, których pilnujesz.

Wycofanie i niszczenie sprzętu

Gdy firma wymienia komputer, laptop czy dysk, nie wolno go po prostu oddać czy sprzedać z danymi w środku. Samo formatowanie nie wystarcza, bo dane często da się odzyskać. Trzeba je trwale usunąć, a przy sprzęcie wycofywanym na stałe zniszczyć nośnik. Jak zrobić to w sposób udokumentowany, opisujemy w poradniku o niszczeniu danych a RODO oraz, dla instytucji, w poradniku o niszczeniu danych w urzędzie. O bezpiecznym czyszczeniu przed sprzedażą piszemy w osobnym poradniku.

Współpraca z serwisem

Jeśli komputerami w firmie opiekuje się serwis zewnętrzny albo zleca mu się niszczenie danych, a na sprzęcie są dane osobowe, potrzebna jest umowa powierzenia przetwarzania, o której mówi artykuł 28 RODO. To standard, a nie formalność na wyrost: porządkuje, kto i na jakich zasadach ma dostęp do danych. Jak wygląda u nas stała opieka nad firmowym sprzętem, opisujemy w poradniku o abonamencie IT i na stronie dla firm i instytucji.

Najczęstsze pytania