W dobie restrykcyjnych przepisów RODO i rosnących zagrożeń cybernetycznych polskie firmy muszą budować odporne organizacje. Kluczem jest kompleksowe podejście do ochrony danych i procesów IT. Wizards oferuje cztery zintegrowane narzędzia do RODO – Oblivio, Nocturno, Revelio i Detecto – które współdziałają w jednym ekosystemie. Dzięki temu zarząd może centralnie zarządzać retencją i anonimizacją danych oraz wykrywać informacje wrażliwe na różnych poziomach infrastruktury. Posiadanie tych rozwiązań to fundament bezpieczeństwa i zgodności firmy z prawem oraz ochrona przed dotkliwymi sankcjami za naruszenia.
Oblivio
Oblivio to system do retencji danych osobowych i zarządzania danymi w organizacji. Umożliwia centralne definiowanie reguł przechowywania danych (np. według okresu obowiązywania umowy lub innych kryteriów) oraz automatyczne usuwanie lub anonimizację informacji po ustaniu podstawy prawnej ich przetwarzania. Dzięki temu administracja nie musi ręcznie szukać, które rekordy należy usunąć. Przykładowo, gdy wygasa umowa z klientem lub pracownik odchodzi z firmy. Oblivio wykrywa utratę podstawy prawnej do przetwarzania i – po akceptacji opiekuna – inicjuje proces anonimizacji w powiązanych systemach (np. w CRM i systemie marketingowym), zachowując spójność danych we wszystkich bazach.
Brak takiego narzędzia grozi pozostawieniem przetwarzanych informacji bez wymaganego usunięcia. W praktyce przedsiębiorca może nieumyślnie nadal gromadzić i udostępniać dane, do których utracił zgodę. Taka sytuacja narusza m.in. art. 17 RODO (prawo do usunięcia danych) czy art. 5 RODO (zasada minimalizacji danych). Zgodnie z art. 83 RODO niedopełnienie tych obowiązków może skutkować administracyjną karą finansową nawet do 20 mln euro lub 4% całkowitego rocznego obrotu firm.
Nocturno
Nocturno to aplikacja do anonimizacji danych, wykorzystująca rozbudowane słowniki i generatory pozwalające zachować charakterystykę danych produkcyjnych. Dzięki temu narzędziu można równocześnie przetwarzać duże zbiory z wielu systemów. Dodatkowo zachowując spójność między nimi nawet po masowej zamianie danych osobowych na fikcyjne. Na przykład firma IT budująca nowe środowisko testowe używa Nocturno, aby zastąpić rzeczywiste imiona, nazwiska, PESEL-e czy NIP-y pracowników i klientów ich syntetycznymi odpowiednikami – co pozwala na realistyczne testy, ale bez ryzyka wycieku prywatnych danych.
Brak systemu do anonimizacji może skończyć się poważnym incydentem bezpieczeństwa. Jeśli niezaszyfrowane dane trafią do osób nieuprawnionych, naruszone zostaną m.in. art. 32 RODO (wymagania techniczne i organizacyjne dla bezpieczeństwa) oraz art. 5 RODO (zasada zgodności i minimalizacji przetwarzania). Dodatkowo Kodeks pracy nakłada na pracownika obowiązek dbania o dobro przedsiębiorstwa i zachowania w tajemnicy informacji mogących mu zaszkodzić (art. 100 §2 pkt 4 Kodeksu pracy). Za nieprzestrzeganie tych zasad pracodawca może wymierzyć karę dyscyplinarną (np. naganę lub karę pieniężną do wysokości średniodobowego wynagrodzenia) – a w praktyce przewinienia mogą prowadzić do odpowiedzialności także administracyjnej i cywilnej wobec firmy.
Revelio
Revelio to narzędzie służące do wykrywania danych osobowych i wrażliwych w udostępnionych zasobach plikowych (np. na komputerach, w poczcie e‑mail czy udostępnionych folderach). Umożliwia identyfikację dokumentów i procesów biznesowych generujących poufne pliki oraz rekomenduje ich cyfryzację. Przykładowo, Revelio można wykorzystać do przeskanowania wszystkich udziałów sieciowych pracowników w poszukiwaniu starych arkuszy z listą klientów. Dzięki temu firma dowiaduje się, które zespoły i procesy stale generują dokumenty zawierające dane wrażliwe, i może zareagować, zanim dojdzie do wycieku.
Jeśli nie przeprowadza się takich przeglądów, istnieje ryzyko, że poufne pliki pozostaną niezabezpieczone i nieznane działowi IT. To narusza zasady RODO – np. art. 5 ust. 1 lit. a RODO (przetwarzanie zgodne z prawem, jasno określonymi celami) oraz art. 32 RODO – oraz wewnętrzne regulacje dotyczące poufności. Jednocześnie art. 100 §2 pkt 4 Kodeksu pracy nakłada na pracownika obowiązek zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę. Naruszenie tego obowiązku może skutkować karą porządkową (np. upomnieniem czy grzywną), a w skrajnych przypadkach odpowiedzialnością odszkodowawczą. Ponadto Prezes UODO ma prawo nałożyć za naruszenie przepisów RODO karę administracyjną (z art. 83 RODO) sięgającą nawet kilkudziesięciu milionów euro.
Detecto
Detecto to narzędzie do wykrywania danych osobowych oraz innych informacji wrażliwych w bazach danych. Pozwala automatycznie zeskanować hurtownie i systemy bazodanowe w poszukiwaniu wpisów zawierających np. numery PESEL, dane finansowe lub poufne. Równocześnie śledzi zmiany w strukturach baz danych, ułatwiając wytypowanie nowych obszarów wymagających anonimizacji i retencji. Przykładowo, przed wdrożeniem nowego systemu CRM dział IT korzysta z Detecto, aby sprawdzić, czy przypadkowo nie zostały w nim umieszczone stare dane klientów. Jeśli takie dane zostaną wykryte, można natychmiast zmodyfikować proces migracji lub wprowadzić dodatkowe zabezpieczenia.
Brak monitorowania, gdzie znajdują się dane wrażliwe, tworzy „ślepą plamę” na mapie bezpieczeństwa IT. Może to zakończyć się istotnym wyciekiem – na przykład przez niewykryte błędy w migracji baz. Konsekwencją mogą być naruszenia art. 32 RODO (niewdrożenie adekwatnych środków bezpieczeństwa) oraz obowiązku zgłoszenia poważnego incydentu (ustawy o krajowym systemie cyberbezpieczeństwa). W praktyce oznacza to ryzyko kary w wysokości do 10 mln euro lub 2% obrotu przedsiębiorstwa, a przy szczególnie istotnych uchybieniach – nawet 20 mln euro lub 4% obrotu. Co więcej, Prezes UKE może nałożyć karę administracyjną (np. do 10% obrotu firmy) za niezgłoszenie poważnego incydentu ICT zgodnie z ustawą o KSC
Podsumowanie
Oblivio, Nocturno, Revelio i Detecto to krok w stronę pełnej odporności i zgodności firmy z prawem. Te cztery narzędzia tworzą spójny ekosystem do ochrony danych wrażliwych na wszystkich poziomach. Zachęcamy do kontaktu z eksperckim zespołem Wizards – wspólnie zadbamy, by Twój biznes nie tylko spełniał wszystkie wymagania prawa, ale przede wszystkim uniknął realnych kosztów naruszeń i kar związanych z niezgodnością.
Przygotowania do audytu RODO mogą budzić obawy – czy wiemy dokładnie, gdzie przetwarzane są wszystkie dane osobowe, czy każda czynność jest udokumentowana i czy posiadamy aktualne zgody? Aby zminimalizować te wątpliwości, kluczowe jest przeprowadzenie pełnej inwentaryzacji danych i procesów przetwarzania. Obejmuje to zebranie informacji o wszystkich zasobach i procesach związanych z danymi osobowymi w firmie. Dzięki temu powstaje kompleksowy opis procesów – mapa pokazująca, co, gdzie i w jakim celu się dzieje – co jest niezbędne do wykazania zgodności z RODO. Równocześnie należy skontrolować formalne aspekty: aktualność i kompletność dokumentacji (polityk, umów powierzenia itp.), podstaw prawnych przetwarzania oraz uzyskanych zgód. Przygotowanie do audytu danych osobowych to nie tylko procedura do „odhaczenia”, ale sposób na zapewnienie zgodności z RODO w firmie i zwiększenie bezpieczeństwa przetwarzania danych.
Kluczowe obowiązki wynikające z RODO
Przed audytem warto przypomnieć sobie najważniejsze obowiązki administratora danych osobowych. Należą do nich m.in.:
- Identyfikacja danych osobowych – szczegółowa inwentaryzacja procesów i zasobów, w których występują dane osobowe. Należy zidentyfikować wszystkie systemy IT, bazy danych, dokumenty i nośniki zawierające dane pracowników czy klientów. Kompleksowy opis tych procesów, uzyskany na etapie inwentaryzacji, stanowi podstawę wykazania zgodności z RODO.
- Zasada minimalizacji i ograniczenia celu – zgodnie z art. 5 RODO dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do jasno określonych celów. Oznacza to gromadzenie tylko tych danych, które bezpośrednio służą realizacji określonych celów biznesowych, i niedopuszczanie do ich przetwarzania w sposób wykraczający poza te cele.
- Retencja danych osobowych. – RODO wymaga ograniczenia okresu przechowywania danych do ścisłego minimum. Administrator powinien ustalić terminy usuwania danych lub ich okresowego przeglądu. Po zakończeniu celu przetwarzania niezwłocznie usuwa się lub anonimuje dane, których dalsze przechowywanie nie jest uzasadnione. W rejestrze czynności przetwarzania (art. 30 RODO) należy uwzględnić planowany termin usunięcia danych.
- Prawo do bycia zapomnianym – art. 17 RODO daje osobie fizycznej prawo żądania usunięcia jej danych. Administrator musi wówczas „bez zbędnej zwłoki” usunąć dane, gdy np. przestały być potrzebne do celu przetwarzania lub osoba cofnęła zgodę. Należy wprowadzić procedury umożliwiające realizację tych żądań (kontrola i usunięcie danych z systemów oraz ewentualne powiadomienie innych podmiotów, którym je przekazano).
- Rozliczalność i dokumentacja – RODO wprowadza zasadę rozliczalności. Administrator danych musi wykazać, że przestrzega wszystkich zasad ochrony danych (zgodności z prawem, rzetelności, przejrzystości itd.). Oznacza to prowadzenie odpowiednich zapisów i dokumentów: rejestru czynności przetwarzania (według art. 30 RODO), polityk ochrony danych, procedur bezpieczeństwa czy rejestracji incydentów. Przykładowo, art. 30 RODO zobowiązuje do szczegółowego rejestrowania kategorii danych, celów przetwarzania oraz przewidywanych terminów usunięcia danych. Dokładna dokumentacja ułatwia wykazanie zgodności przed audytorami i organami nadzorczymi.
Jak produkty Wizards wspierają te obowiązki?
Przygotowanie do kontroli zgodności z RODO można znacznie przyspieszyć, wykorzystując odpowiednie narzędzia. Produkty Wizards odpowiadają na kluczowe potrzeby ochrony danych osobowych:
- Detecto – narzędzie do skanowania systemów i baz danych w poszukiwaniu danych osobowych. Wykrywa tabele i pola z danymi wrażliwymi oraz zmiany w strukturach baz, co pomaga w pełnej inwentaryzacji zasobów danych. Ułatwia wdrożenie procesów anonimizacji i retencji, dzięki czemu dane osobowe są stale monitorowane i aktualizowane.
- Revelio – rozwiązanie do wyszukiwania danych osobowych w rozproszonych dokumentach. Przeszukuje udostępnione zasoby plikowe, dokumenty na komputerach pracowników czy skrzynki e-mail, aby zlokalizować dokumenty zawierające dane osobowe. Dzięki temu organizacja wie, w jakich plikach i folderach znajdują się wrażliwe informacje, co wspiera audyt i dalszą digitalizację procesów.
- Nocturno – zaawansowana aplikacja do anonimizacji danych w środowiskach testowych i deweloperskich. Korzystając z rozbudowanej bazy słowników i generatorów, pozwala jednocześnie anonimować dane w wielu systemach, zachowując przy tym spójność i charakterystyki oryginalnych baz (np. format dat, sumy kontrolne). Pozwala efektywnie zastąpić dane osobowe fikcyjnymi wartościami bez ryzyka uszkodzenia procesów testowych.
- Oblivio – system zarządzania retencją i zgodnością danych osobowych. Działa jak wewnętrzna platforma obejmująca wszystkie systemy firmy przetwarzające dane osobowe. Monitoruje terminy retencji zgodnie z przyjętymi regułami, wykrywając moment, gdy przestaje istnieć podstawa prawna przetwarzania. Po wygaśnięciu okresu retencji automatycznie inicjuje proces anonimizacji danych zgodnie z przyjętymi procedurami oraz generuje raporty operacji retencji i usuwania danych.
Checklista – „Czy jesteś gotowy na kontrolę?”
Przed audytem warto sprawdzić, czy firma spełnia podstawowe wymogi ochrony danych. Oto punkty kontrolne do weryfikacji:
- Czy zinwentaryzowano wszystkie zbiory i procesy przetwarzania danych osobowych w organizacji?
- Czy prowadzony jest aktualny rejestr czynności przetwarzania (RCP) zgodnie z art. 30 RODO?
- Czy istnieją i są wdrażane pisemne polityki, procedury i instrukcje ochrony danych (przetwarzania danych, bezpieczeństwa, zarządzania incydentami itp.)?
- Czy podstawy prawne przetwarzania danych (umowy, zgody osób, upoważnienia, decyzje IOD, oceny ryzyka/DPIA) są aktualne i udokumentowane?
- Czy określono okresy przechowywania dla różnych kategorii danych osobowych i wprowadzono mechanizmy ich usuwania lub anonimizacji po upływie tych okresów?
- Czy pracownicy przeszli obowiązkowe szkolenia z zakresu ochrony danych oraz czy wyznaczono Inspektora Ochrony Danych (IOD) lub odpowiedzialną osobę?
Regularne sprawdzanie tych punktów pomoże ustrukturyzować przygotowanie do audytu danych osobowych i zniwelować ryzyko ewentualnych uchybień.
Zadbaj o zgodność z RODO z pomocą Wizards
Przygotowanie do audytu RODO to proces, w którym nie warto działać na oślep. Skorzystaj z doświadczenia ekspertów i nowoczesnych narzędzi do zgodności. Umów rozmowę z zespołem Wizards ds. zgodności i audytów, aby omówić potrzeby Twojej organizacji. Podczas spotkania zaprezentujemy, jak nasze produkty – Detecto, Revelio, Nocturno i Oblivio – mogą ułatwić przygotowanie do kontroli, przyspieszyć inwentaryzację danych i automatyzować procesy retencji oraz anonimizacji. Zapewnij swojej firmie pełną zgodność z RODO i spokój przed nadchodzącą kontrolą – skontaktuj się z Wizards już dziś!
Wdrożenie DORA w instytucji finansowej wymaga zapewnienia zgodności z zasadami cyfrowej odporności operacyjnej. Rozporządzenie DORA (2022/2554) nakłada na banki i ich dostawców usług ICT obowiązek stałego zarządzania ryzykiem operacyjnym oraz cyberbezpieczeństwem. Wymogi te obejmują dokładną identyfikację i klasyfikację wszystkich zasobów ICT, takich jak serwery, aplikacje, bazy danych czy dokumenty. Instytucje muszą także dokumentować powiązania między tymi zasobami. DORA wymaga wdrożenia procedur obsługi incydentów IT – od zgłoszenia, przez analizę, aż po przywrócenie sprawności systemów. Każde poważne zdarzenie cybernetyczne musi być zgłaszane zgodnie z wytycznymi. Instytucje są również zobowiązane do regularnego testowania odporności systemów, na przykład poprzez testy penetracyjne. Kluczowe jest także egzekwowanie polityk retencji danych. Dane nie mogą być przechowywane dłużej, niż pozwala na to prawo. Każda zmiana w infrastrukturze IT powinna być rejestrowana i dostępna do audytu.
Detecto – identyfikacja danych i zarządzanie ryzykiem
Detecto to narzędzie automatyzujące wykrywanie i klasyfikację wrażliwych danych w systemach i dokumentach firmy. Wykorzystuje sztuczną inteligencję (OCR, NLP), aby przeskanować zasoby firmowe (pliki, bazy danych, e-mail) w poszukiwaniu danych osobowych i innych informacji wrażliwych. Dzięki temu produkt spełnia wymaganie DORA dotyczące identyfikacji wszystkich zasobów informacyjnych Detecto umożliwia m.in.:
- Wykrywanie wszystkich wystąpień danych osobowych (np. PESEL, adresy, numery kont) w dokumentach i bazach danych – skracając tygodnie ręcznej analizy do godzin pracy narzędzia.
- Tworzenie raportów lokalizujących zasoby danych osobowych – co znacznie ułatwia przygotowanie do audytów i kontroli wewnętrznych oraz zewnętrznych (np. sprawdzających zgodność z DORA czy RODO).
- Analiza incydentów – w razie wycieku lub naruszenia bezpieczeństwa Detecto potrafi błyskawicznie sprawdzić, czy ujawnione pliki zawierają wrażliwe informacje i jakie dane wyciekły
Dzięki tym funkcjom Detecto realnie wspiera zarządzanie ryzykiem informacyjnym. Narzędzie automatycznie tworzy katalog krytycznych danych i punktów ich przechowywania, co pozwala instytucji ocenić potencjalne zagrożenia. Dzięki temu instytucja finansowa może lepiej zaplanować działania ograniczające ryzyko ICT. Pomaga to spełnić wymogi DORA dotyczące ochrony zasobów przed dostępem lub uszkodzeniem.
Revelio – wykrywanie nieautoryzowanych zasobów i danych
Revelio to rozwiązanie do skanowania współdzielonych zasobów plikowych, komputerów pracowników i poczty e-mail w celu wykrycia dokumentów zawierających dane wrażliwe. Ujawnia ono “ukryte” zasoby – pliki i foldery, które zawierają dane osobowe, a nie były wcześniej uwzględnione w głównych systemach organizacji. Revelio umożliwia m.in.:
- Lokalizowanie wszystkich dokumentów z danymi osobowymi (PESEL, dane medyczne, dane finansowe itp.) na nośnikach firmowych. Dzięki temu instytucja widzi, gdzie przetwarzane są wrażliwe informacje i może je lepiej zabezpieczyć.
- Identyfikację procesów biznesowych generujących dokumenty z danymi wrażliwymi – co wspiera przejście na elektroniczny obieg dokumentów (zmniejszając ryzyko wycieku z papierowych lub niekontrolowanych źródeł).
- Wsparcie polityk retencji danych – integrację z procedurami usuwania (anonimizacji) dokumentów, których okres przechowywania wygasł. System automatycznie oznacza pliki do archiwizacji lub usunięcia, co pomaga spełnić wymogi DORA i RODO dotyczące retencji.
- Budowanie świadomości pracowników – poprzez mechanizmy nadzoru i raportowania pomagające delegować odpowiedzialność za bezpieczeństwo danych.
Revelio zwiększa przejrzystość środowiska danych i pomaga wykryć nieautoryzowane zasoby informacyjne. W kontekście DORA gwarantuje, że żadne poufne informacje nie „ulegają zapomnieniu” w strukturze IT. W połączeniu z systemem Oblivio umożliwia pełne stosowanie zasad retencji – po wykryciu dokumentów z wygasłą podstawą przetwarzania, pozwala je bezpiecznie usunąć lub zanonimizować. Dzięki temu narzędzie ułatwia realizację wymogów dotyczących przechowywania i ochrony danych w instytucji finansowej.
Nocturno – bezpieczne środowiska testowe
Nocturno to narzędzie do tworzenia środowisk testowych z użyciem zanonimizowanych danych produkcyjnych. Pozwala na przeprowadzanie testów cyberodporności i ciągłości działania w bezpieczny sposób, bez ryzyka ujawnienia rzeczywistych danych klientów. Nocturno wykorzystuje specjalne słowniki i generatory, które zachowują charakter danych produkcyjnych – np. zamieniają numery PESEL, NIP, daty urodzenia czy numery kont na fikcyjne, ale o zbliżonej strukturze. Kluczowe cechy Nocturno to:
- Anonimizacja wielu baz danych jednocześnie z zachowaniem spójności – narzędzie przetwarza duże zestawy danych równolegle, a przy tym zapewnia, że te same rekordy są anonimizowane w ten sam sposób we wszystkich bazach organizacji. Dzięki temu środowisko testowe wiernie odtwarza realne dane (np. ta sama osoba w różnych systemach dostaje spójne, sztuczne dane).
- Wsparcie wielu typów baz danych (MySQL, Oracle, SQL Server itp.) z uwzględnieniem więzów integralności – Nocturno pamięta o kontrolach sum czy powiązaniach między tabelami, aby zmiany nie spowodowały awarii systemu.
- Integracja z Detecto – najpierw narzędzie wykrywa, które pola zawierają dane wrażliwe, a następnie automatycznie je zanonimizuje zgodnie z regułami biznesowymi.
Dzięki tym funkcjom Nocturno minimalizuje ryzyko przypadkowego użycia danych osobowych w testach czy migracjach systemów. Wymagania DORA dotyczące testowania odporności zakładają, że testy przeprowadza się w bezpiecznych warunkach przy zachowaniu poufności danych. Nocturno umożliwia instytucji finansowej wykonywanie takich testów – na przykład testów awaryjnego przywracania czy symulacji ataków – bez udostępniania wrażliwych informacji o klientach.
Oblivio – zarządzanie cyklem życia danych
Oblivio to narzędzie do centralnego zarządzania retencją i anonimizacją danych osobowych w całej organizacji. System pozwala ustalić, jak długo można przechowywać dane – np. zgody lub umowy. Po upływie tego czasu automatycznie czyści bazę. Działa w pełnej integracji z innymi systemami IT. Gdy wygasa podstawa prawna przetwarzania, uruchamia proces anonimizacji lub usunięcia danych. Główne funkcje Oblivio to:
- Konfiguracja retencji danych: definiowanie reguł określających, jak długo różne dane osobowe mogą być przechowywane. Po upływie tego czasu dane uznawane są za przeterminowane.
- Anonimizacja i usuwanie: po spełnieniu warunków retencji system automatycznie generuje fikcyjne wartości (np. fikcyjną tożsamość) i zastępuje nimi dane klientów we wszystkich powiązanych systemach. Realizuje to „prawo do bycia zapomnianym” i zapobiega przechowywaniu danych dłużej niż jest to konieczne.
- Raportowanie i audyt: Oblivio tworzy szczegółowe raporty i statystyki pokazujące liczbę usuniętych lub zanonimizowanych rekordów, umożliwiając stały monitoring realizacji polityki retencyjnej.
- Rozliczalność: wszystkie operacje na danych (usunięcia, modyfikacje) są dokładnie rejestrowane – system zapisuje kto i kiedy wykonał daną akcję. Dzięki temu instytucja finansowa dysponuje pełną ścieżką audytu zgodności.
Oblivio pomaga spełnić wymogi DORA dotyczące cyklu życia danych i rozliczalności. Automatyzacja procesu retencji zmniejsza ryzyko błędów i zapewnia, że wrażliwe dane nie zostaną przechowane bez podstawy prawnej. Szczegółowe logi pokazują, że polityka zarządzania danymi jest przestrzegana. To ważne podczas audytów i oceny zgodności z DORA.
Podsumowanie
Wdrożenie DORA w instytucji finansowej opiera się na synergii nowoczesnych narzędzi do zarządzania danymi i bezpieczeństwem. Detecto i Revelio automatycznie wykrywają i klasyfikują dane w systemach oraz dokumentach. Dzięki temu pomagają spełnić wymogi DORA związane z inwentaryzacją i ochroną zasobów. Nocturno umożliwia bezpieczne testowanie systemów na anonimowych danych, spełniając założenia o ochronie poufnych informacji podczas testów. Oblivio natomiast zarządza cyklem życia danych – automatyzując retencję, usuwanie i audyt operacji – co wspiera rozliczalność i zgodność z regulacjami. Stosując razem narzędzia Wizards, instytucje finansowe i dostawcy ICT spełniają wymagania DORA. Jednocześnie zwiększają odporność operacyjną i są lepiej przygotowani na incydenty cybernetyczne.
Współczesne firmy toną w danych. Ich ilość rośnie błyskawicznie. Według raportu AIIM, za dwa lata organizacje mogą przetwarzać nawet 4,5 razy więcej informacji niż dziś. Aż 92% firm przyznaje, że musi zmienić strategię zarządzania informacją. Powód? Kluczowe dane i dokumenty są rozproszone w różnych lokalizacjach. „Gdzie są dane w firmie?” – to pytanie zadaje sobie niejedna firma, zwłaszcza przed audytem RODO. Bez nowoczesnych narzędzi pojęcie porządkowania danych firmowych staje się abstrakcyjne, a kontrola nad informacjami – prawdziwym koszmarem. Brak jasnego przeglądu danych to nie tylko marnotrawstwo czasu (setki plików i folderów do ręcznego przejrzenia), ale też rosnące ryzyko chaosu i sankcji prawnych.
W praktyce oznacza to m.in. zachowanie plików z osobowymi danymi pracowników i klientów w zapomnianych folderach czy e-mailach, co naraża firmę na kary za naruszenie RODO. Ponadto dane cyfrowe bywają fragmentaryczne: faktury i dokumenty biznesowe często wprowadzane są do systemów bez odpowiedniego odnośnika do powiązanych informacji. Analiza pokazuje, że półki z fakturami nie mogą stać „luzem”. Kluczowe dane, takie jak nazwisko klienta, NIP czy kwota, trzeba skanować i powiązać z systemem. Gdy dokumenty nie są zsynchronizowane, powstaje chaos. Trudno je odnaleźć, a pracownicy tracą czas, szukając potrzebnych informacji.
Szukanie danych osobowych często przypomina szukanie igły w stogu siana. Działy HR i IT muszą ręcznie przeszukiwać bazy i pliki. Łatwo wtedy pominąć ważne informacje. Bez wsparcia technologii pytanie „gdzie są nasze dane?” staje się tylko retoryczne. Praca działów compliance to wtedy ciągły stres i obawa przed audytem.
Oblivio – kompleksowe rozwiązanie porządkujące dane
Jak przerwać ten niebezpieczny scenariusz? Odpowiedzią jest Oblivio – narzędzie do retencji danych osobowych i zarządzania informacją w organizacji. To gotowe, „wbudowane” narzędzie, które obejmuje wszystkie systemy firmy przetwarzające dane osobowe. Innymi słowy, Oblivio działa jak inteligentne narzędzie do lokalizacji danych – skanuje foldery, bazy i chmury, aby zidentyfikować, które dane wrażliwe i na jakich podstawach prawnych są przechowywane. Dzięki integracji z systemem Detecto można łatwo wyszukać wrażliwe informacje we wszystkich źródłach i bazach danych firmy.
Działając jak centralny menedżer retencji, Oblivio upraszcza przestrzeganie prawa do usunięcia danych. Dzięki Oblivio organizacje mogą ustalić jasne zasady retencji. System pozwala zdefiniować, jak długo przechowywać dokumenty, takie jak umowy czy akta pracownicze, i przypisać do nich podstawy prawne. Po upływie terminu Oblivio automatycznie usuwa lub anonimizuje dane. Działa to zgodnie z RODO. Każda operacja – skanowanie, anonimizacja, usunięcie – jest zapisywana w logach. Działy IT i compliance zyskują pełną kontrolę nad danymi i ich historią.
Jak działa Oblivio?
Oblivio oferuje automatyczne skanowanie plików i zasobów IT w poszukiwaniu danych osobowych. Można skonfigurować je do przeglądania wybranych lokalizacji, np. folderów sieciowych i serwerów plików (w tym SharePoint), bibliotek w chmurze (OneDrive, Google Drive itp.), relacyjnych baz danych czy skrzynek e-mail. System analizuje dokumenty (nawet zeskanowane) za pomocą OCR oraz zaawansowanych algorytmów przetwarzania języka, podobnie jak narzędzie Detecto. Dzięki temu wykryje nawet ukryte wzorce – np. numer PESEL lub dane kontaktowe wpisane w nietypowym miejscu.
Proces działania Oblivio przebiega zwykle trzystopniowo. Najpierw identyfikuje miejsca występowania danych osobowych i ustala ich podstawę prawną. System określa relacje między bazami, aby dane były spójne w różnych miejscach. Następnie decyduje, jak dane mają zostać zanonimizowane lub usunięte. Na końcu konfiguruje się reguły retencji – ustala się czas przechowywania oraz podstawy prawne przetwarzania. System odpowiada też na pytania opiekunów biznesowych, np. jak długo można trzymać dane i na jakiej podstawie. Reguły są elastyczne, aby oddawać rzeczywiste procesy w firmie – przy czym można je w każdej chwili modyfikować.
Dzięki temu firma zyskuje pełną widoczność nad swoimi zasobami. Oblivio centralizuje dane firmowe, automatycznie kategoryzuje dokumenty. Pliki według typu (np. faktura, CV, umowa, dokument medyczny), a w efekcie eliminuje ręczne porządki w plikach. Przykładowo, zamiast przeglądać dziesiątki folderów sieciowych, administrator jednego kliknięciem uzyskuje listę wszystkich dokumentów zawierających dane osobowe (np. PESEL, e-mail czy numer telefonu). Można też tworzyć automatyczne raporty – system sam śledzi, gdzie i jakie dane zalegają w firmie.
Kto skorzysta?
Oblivio sprawdzi się w każdej organizacji przetwarzającej dane osobowe, szczególnie w sektorach generujących duże wolumeny informacji i podlegających surowym regulacjom RODO. Przykładowe grupy odbiorców to:
- Finanse i ubezpieczenia: banki, fundusze, firmy ubezpieczeniowe – wszystkie te podmioty codziennie operują setkami umów i rozliczeń z danymi osobowymi. Dla nich centralna retencja i porządkowanie danych to podstawa zgodności RODO.
- Ochrona zdrowia i medycyna: gabinety lekarskie, szpitale, firmy farmaceutyczne – tradycyjnie gromadzą wrażliwe dane pacjentów, które muszą być odpowiednio zabezpieczone i usuwane po zakończeniu leczenia.
- Administracja publiczna: urzędy, samorządy, szkoły – organizacje te mają liczne systemy rejestrujące dane obywateli (PESEL, dane kontaktowe, historię usług) i potrzebują scentralizowanej kontroli nad retencją dokumentów.
- Korporacje i średnie przedsiębiorstwa: firmy powyżej kilkudziesięciu pracowników, które mają wiele działów (HR, IT, księgowość) z odrębnymi repozytoriami danych. To typowy przykład „gdzie są dane” – bez Oblivio trudno im szybko zapewnić spójność polityki retencji.
Niezależnie od branży, każdy podmiot dla którego zgodność z RODO i porządkowanie danych firmowych są priorytetem, zyska na rozwiązaniu takim jak Oblivio
Co zyskujesz wdrażając Oblivio?
Wdrożenie Oblivio przynosi firmie wymierne korzyści:
- Pełna widoczność danych: dzięki automatycznym raportom wiesz, które systemy i pliki zawierają dane osobowe – „na bieżąco śledzić statystyki związane z retencją danych i działaniem wszystkich systemów”. Uporządkowane dane (wraz z ich klasyfikacją) pozwalają łatwo zlokalizować każdą informację.
- Porządek i zgodność RODO: centralne narzędzie do zarządzania retencją oznacza, że prawo do zapomnienia jest realizowane kompleksowo – we wszystkich systemach jednocześnie. Wiadomo, że gdy nadejdzie dzień usunięcia danych (po określonym czasie), proces ten przebiega spójnie i według wcześniej ustalonych reguł.
- Minimalizacja ryzyka sankcji: system automatycznie pilnuje terminów retencji i usuwa nieaktualne dane – co znacząco obniża ryzyko naruszeń RODO. Dzięki logom wszystkich operacji firma łatwiej udowadnia w razie kontroli, że postępowała zgodnie z przepisami.
- Automatyzacja i oszczędność czasu: wszystkie etapy od skanowania po anonimizację przeprowadzane są automatycznie. Oznacza to koniec ręcznego przeglądania setek dokumentów. Zaoszczędzony czas pracowników można przeznaczyć na ważniejsze zadania, nie zaś na żmudne porządkowanie danych.
- Rozliczalność i audytowalność: każdy ruch w systemach (usunięcie czy zmiana danych) jest rejestrowany, zapewniając pełną rozliczalność wszystkich operacji. Dzięki temu menedżerowie mają pewność, kto i kiedy dokonał modyfikacji, co upraszcza proces audytu wewnętrznego czy zewnętrznego.
Przykładowy scenariusz użycia Oblivio
Wyobraź sobie firmę z systemem sprzedażowym A oraz marketingowym B, które zawierają dane tych samych klientów. Gdy umowa przetwarzania w systemie A wygaśnie, Oblivio natychmiast wykrywa brak podstawy prawnej do dalszego przechowywania danych w obu systemach. Po upływie skonfigurowanego okresu retencji (np. 30 dni) rozpoczyna się proces anonimizacji. System pyta opiekuna systemu, czy usunąć dane – a po jego akceptacji generuje fikcyjną postać i zastępuje nią dane klienta w A i B. Wynik: w obu aplikacjach dane klienta zostają bezpowrotnie usunięte (zastąpione pseudodanymi), co zapewnia zgodność z RODO. Bez Oblivio każdorazowe stwierdzenie wygaśnięcia umowy i usunięcie danych musiałoby być wykonywane ręcznie przez pracowników działu IT – co trwałoby dni i narażałoby firmę na błędy.
Skontaktuj się z zespołem Wizards
Oblivio to system, który przejmuje nadzór nad Twoimi danymi. Dzięki niemu zapanujesz nad rozproszonymi zasobami informacji, zminimalizujesz ryzyko kar RODO i wprowadzisz porządek w środowisku IT. Gotowy uporządkować dane firmowe? Umów się na rozmowę z zespołem Wizards już dziś, aby poznać szczegóły wdrożenia.
W świecie cyfryzacji dane osobowe stały się równie cenne co złoto. Firmy każdej wielkości gromadzą informacje na temat swoich klientów, partnerów oraz pracowników, stając przed wyzwaniami związanymi z ich odpowiednim przechowywaniem i zabezpieczaniem. Jak zatem zagwarantować bezpieczeństwo tych wartościowych danych? Sprawdź nasze rekomendacje. Zarządzanie i przechowywanie danych może być proste.
Kiedy przetwarzamy dane osobowe?
Każdego dnia w miejscu pracy, często nie zdając sobie z tego sprawy, przetwarzamy dane osobowe. Przykładem jest wprowadzanie informacji klienta do systemu CRM podczas zawierania umowy czy rejestracji nowego zlecenia. Takie dane mogą obejmować imię i nazwisko, adres, numer telefonu czy adres e-mail. Inna codzienna praktyka to udostępnianie danych w e-mailach – kiedy przesyłamy koleżance czy koledze z pracy listę uczestników nadchodzącego szkolenia lub raport zawierający wyniki ankiety wśród klientów, niejako automatycznie dzielimy się danymi osobowymi.
Procesy takie jak weryfikacja tożsamości są ważne. Chodzi o weryfikację pracownika przy rezerwacji podróży. Aktualizacja danych kontaktowych też jest istotna. Dotyczy to danych w systemie HR. Skanowanie wizytówek jest kolejnym przykładem. Te zdobywane są podczas konferencji. Są przetwarzane do elektronicznej bazy kontaktów. W tych momentach trzeba być ostrożnym. Kluczowe jest rozumienie charakteru danych. Trzeba też zachować standardy ich ochrony.
Gdzie znajdę dane osobowe?
Na firmowym laptopie gromadzimy mnóstwo informacji, począwszy od korespondencji e-mailowej, a kończąc na kluczowych dokumentach. Nierzadko, nawet nie zdając sobie z tego sprawy, przechowujemy w nich wrażliwe dane – niech przykładem będzie arkusz kalkulacyjny z kontaktami klientów czy roczne zestawienie wynagrodzeń pracowników.
Chociaż chmury obliczeniowe, takie jak Dropbox czy Google Drive, upraszczają przechowywanie i udostępnianie plików, niosą ze sobą pewne zagrożenia. Pomimo dostępnych zaawansowanych opcji zabezpieczeń, zdarza się, że użytkownicy nie przywiązują wagi do mocnych haseł do swoich kont. Również smartfony, które stały się niezbędnym narzędziem w pracy, są źródłem ogromnej ilości danych – od wiadomości e-mail po specjalistyczne aplikacje firmowe.
Jak łatwo udostępnić dane osobowe?
Nie każdy wyciek danych to wynik działania złych intencji. W rzeczywistości błędy ludzkie są jednym z głównych sprawców nieautoryzowanego udostępniania informacji. Wyobraźmy sobie sytuację, gdy przez pomyłkę wysyłamy e-mail z ważnym załącznikiem do osoby, która nigdy nie powinna go zobaczyć. Albo gdy przez nieuwagę udostępniamy wewnętrzny dokument firmowy wszystkim pracownikom, zamiast ograniczonej grupie. Takie zaniedbania mogą prowadzić do poważnych konsekwencji, zarówno dla firmy, jak i dla osób, których dane zostały ujawnione.
Istnieją mniej oczywiste, ryzykowne sytuacje. Mogą prowadzić do utraty danych. Korzystanie z otwartych sieci Wi-Fi jest ryzykowne. Sieci w kawiarniach czy na lotniskach są wygodne. Jednak niosą ryzyko. Ataki hakerskie, podsłuchy czy próby włamania do naszego urządzenia są znacznie bardziej prawdopodobne w takich miejscach. Nawet jedno nieostrożne połączenie może stać się przyczyną kradzieży cennych informacji.
Skontaktuj się z nami
Stając wobec ciągłych wyzwań związanych z ochroną i zarządzaniem danymi osobowymi, znaleźliśmy odpowiedź w produkcie firmy Wizards – Oblivio. Dla nas to nie tylko zaawansowane narzędzie, ale przede wszystkim gwarant bezpieczeństwa naszych danych. Oblivio doskonale integruje się z wieloma systemami w naszej organizacji, czyniąc proces przetwarzania danych prostszym i bardziej efektywnym.
W świecie informacja to cenny zasób. Dzięki Oblivio czujemy się bezpieczni. Zapewnia zarządzanie i zabezpieczenie danych. Skala działalności nie ma znaczenia. Oblivio dostarcza odpowiednie narzędzia. Są one dostosowane do naszych potrzeb. Gwarantują najwyższy standard bezpieczeństwa.
Zamiast nieustannie martwić się o bezpieczeństwo i zgodność z przepisami, postawiliśmy na sprawdzone rozwiązanie oferowane przez firmę Wizards. Dzięki Oblivio mamy pewność, że dane naszych klientów, współpracowników i partnerów są chronione w najlepszy możliwy sposób.