Umowy, faktury, akta pracownicze, skany dowodów, dokumentacja medyczna czy listy klientów — prawie każdy plik, który firma trzyma na dysku, zawiera dane osobowe. Przeniesienie ich do chmury jest legalne i w praktyce zwykle bezpieczniejsze niż serwer w szafie w biurze. Pod jednym warunkiem: musisz umieć wykazać, komu powierzyłeś dane, jak są chronione i kto ma do nich dostęp.

1. Umowa powierzenia — bez niej ani kroku

Kiedy wrzucasz dokumenty z danymi osobowymi do zewnętrznej chmury, dostawca staje się podmiotem przetwarzającym (procesorem), a Ty pozostajesz administratorem. Artykuł 28 RODO wymaga, żeby relację tę opisywała umowa powierzenia przetwarzania danych. Musi określać m.in.:

• przedmiot, czas trwania i cel przetwarzania,
• kategorie danych i osób, których dane dotyczą,
• obowiązek zachowania poufności przez personel dostawcy,
• środki bezpieczeństwa (art. 32 RODO),
• zasady korzystania z podprzetwarzających (np. serwerowni),
• sposób usunięcia lub zwrotu danych po zakończeniu współpracy,
• obowiązek pomocy przy realizacji praw osób i przy zgłaszaniu naruszeń.

Praktyczna wskazówka: podpisz umowę powierzenia zanim wgrasz pierwszy plik, a jej skan trzymaj razem z dokumentacją RODO. Sprawdź też, gdzie fizycznie leżą dane — dla polskiej firmy najprościej, gdy serwery stoją w Polsce lub w UE, bo znika temat transferu do państw trzecich.

2. Rejestr czynności przetwarzania i lokalizacja danych

Chmura nie zwalnia z prowadzenia rejestru czynności przetwarzania. Wręcz przeciwnie — ułatwia go, bo zamiast „pliki na komputerach pracowników” wpisujesz jedno, konkretne miejsce. W rejestrze przyda się:

• nazwa dostawcy chmury i data umowy powierzenia,
• kraj przechowywania danych,
• kategorie dokumentów (kadrowe, księgowe, handlowe),
• okres retencji dla każdej kategorii,
• lista osób z dostępem i zakres uprawnień.

3. Środki techniczne, które musisz umieć wykazać

Artykuł 32 RODO mówi o „odpowiednich środkach technicznych i organizacyjnych”, ale nie podaje listy. W praktyce audytor i klient pytają o cztery rzeczy:

Szyfrowanie

Dane muszą być szyfrowane w tranzycie (HTTPS/TLS) i w spoczynku (na dyskach serwera). Szyfrowanie 256-bitowe to dziś standard — jeśli dostawca nie potrafi odpowiedzieć na pytanie „czym i gdzie szyfrujecie”, to zła prognoza.

Kontrola dostępu

Zasada minimalnych uprawnień: księgowa nie musi widzieć teczek osobowych, a handlowiec — umów z podwykonawcami. Potrzebujesz folderów z uprawnieniami na poziomie użytkownika lub grupy oraz możliwości natychmiastowego odcięcia dostępu, gdy ktoś odchodzi z firmy. Dwuskładnikowe logowanie (2FA) powinno być włączone przynajmniej dla kont z dostępem do danych wrażliwych.

Rozliczalność

Musisz wiedzieć, kto i kiedy otworzył, zmienił lub pobrał dokument. Historia wersji plików ratuje też w prozaicznych sytuacjach — ktoś nadpisał umowę złą wersją i trzeba wrócić do poprzedniej.

Ciągłość działania

Dostępność danych to również wymóg RODO, nie tylko wygoda. Kopie zapasowe i redundancja muszą być udokumentowane — jak często, gdzie, na jak długo. Rozwijamy ten temat w poradniku Backup 3-2-1 w małej firmie.

4. Udostępnianie na zewnątrz — najczęstszy wyciek

Najwięcej incydentów nie bierze się z włamań, tylko z maili. Załącznik do złego adresata, umowa wysłana „do wiadomości” całej liście, skan dowodu w skrzynce, która nigdy nie jest czyszczona. Bezpieczniej jest wysłać link z hasłem i datą wygaśnięcia — dostęp można cofnąć w każdej chwili, a plik nie rozchodzi się w kilkunastu kopiach. Jak to poukładać, opisujemy w tekście Bezpieczne udostępnianie plików klientom.

5. Retencja i usuwanie — o czym firmy zapominają

RODO każe usuwać dane, gdy cel przetwarzania ustał. Dokumenty kadrowe trzyma się 10 lat (dla zatrudnionych od 2019 r.), księgowe 5 lat od końca roku podatkowego, a CV z rekrutacji — tylko przez czas rekrutacji, chyba że kandydat zgodził się na dłużej. Pełną ściągę okresów przechowywania zebraliśmy w poradniku Archiwizacja dokumentów firmowych. W praktyce wystarczy struktura folderów rocznikowa i jeden przegląd w roku. Pamiętaj, że „usunięcie” obejmuje też kosz i kopie zapasowe — sprawdź w umowie, po jakim czasie dostawca kasuje kopie.

Checklista — 10 punktów przed przeniesieniem dokumentów

1. Podpisana umowa powierzenia przetwarzania danych.
2. Znana lokalizacja serwerów (najlepiej Polska/UE).
3. Szyfrowanie w tranzycie i w spoczynku.
4. 2FA dla kont z dostępem do danych osobowych.
5. Uprawnienia na folderach zgodne z zasadą minimalnego dostępu.
6. Historia wersji i możliwość odtworzenia pliku.
7. Udokumentowane kopie zapasowe i redundancja.
8. Procedura odbierania dostępu przy odejściu pracownika.
9. Ustalone okresy retencji dla każdej kategorii dokumentów.
10. Aktualny rejestr czynności przetwarzania.

Jak wygląda to w eDysko

eDysko powstało z myślą o firmach, które muszą te punkty odhaczyć bez zatrudniania działu IT: pliki są szyfrowane, leżą na serwerach w Polsce w modelu redundancji rozproszonej, dostęp nadajesz per użytkownik i grupa, a każdy plik ma historię wersji. Udostępnianie na zewnątrz działa przez linki z hasłem i terminem ważności, a konta pracowników odbierasz jednym kliknięciem. Szczegóły przetwarzania danych opisuje nasza polityka prywatności, a pojemności i limity użytkowników znajdziesz w cenniku.

Jeśli dopiero planujesz przeprowadzkę z lokalnego serwera lub Dropboxa, zacznij od poradnika Migracja plików firmowych do chmury — opisujemy w nim kolejność działań, żeby nie zgubić uprawnień i historii.