RODO: 5 rzeczy do sprawdzenia przed wysłaniem danych osobowych

Skan dowodu osobistego, teczka kadrowa, lista klientów: w chwili, gdy plik zawiera dane pozwalające zidentyfikować osobę, jego wysyłka staje się przetwarzaniem danych osobowych w rozumieniu RODO — a użyte narzędzie staje się ogniwem tego procesu. Oto pięć rzeczy, które warto sprawdzić, zanim klikniesz „wyślij”.

Czy to dotyczy Ciebie? (uprzedzamy: tak)

RODO nie dotyczy wyłącznie wielkich platform: biuro rachunkowe odbierające paski płacowe, fotograf dostarczający portrety, mała firma przesyłająca akta pracownicze — wszyscy przetwarzają dane osobowe. Odpowiedzialności nie da się scedować na narzędzie, ale wybór narzędzia już Cię zobowiązuje.

1. Gdzie są przechowywane dane

Pierwsze pytanie do usługi transferu plików: gdzie przechowywane są pliki? Hosting w Europejskim Obszarze Gospodarczym radykalnie upraszcza zgodność z przepisami; transfer poza EOG wymaga dodatkowych zabezpieczeń (decyzja o adekwatności, standardowe klauzule umowne). TransferNow przechowuje dane w Europie, a w zależności od planu możesz wybrać region.

2. Ramy umowne (DPA)

Jeśli działasz w imieniu firmy lub instytucji, usługa transferu jest Twoim podmiotem przetwarzającym w rozumieniu art. 28: relację musi regulować umowa powierzenia przetwarzania danych (DPA). Sprawdź, czy taka umowa istnieje i czy jest łatwo dostępna — to dokument, o który poprosi Twój inspektor ochrony danych. Nasza jest jawna, z odnośnikiem w polityce prywatności.

3. Okres przechowywania

RODO nakazuje nie przechowywać danych dłużej, niż to konieczne. W przełożeniu na transfer plików: link, który wygasa, to realny atut zgodności. Wybieraj czas dopasowany do faktycznej potrzeby — 7 dni często wystarczą — oraz usługę, która pozwala dezaktywować link, gdy tylko przekazanie plików dojdzie do skutku.

4. Możliwość prześledzenia dostępu

Kiedy pojawi się pytanie — od klienta albo od organu nadzorczego — musisz umieć powiedzieć, kto miał dostęp do danych. Imienne powiadomienie o każdym pobraniu daje ten ślad bez żadnej dodatkowej procedury: kto pobrał plik i kiedy.

5. Minimalizacja

Najprostsza i najczęściej zapominana zasada: wysyłaj tylko to, co konieczne. Cały folder „na wszelki wypadek” mnoży ryzyko. Przed każdą wrażliwą wysyłką jedno pytanie: czy ten odbiorca naprawdę potrzebuje wszystkich tych plików?

Te pięć punktów nie zastąpi porady prawnej — ale obejmuje to, co inspektor ochrony danych sprawdzi w pierwszej kolejności. Stronę techniczną uzupełnia nasza checklista bezpieczeństwa.