RODO w codziennej pracy ochrony: dane pracowników i gości

Kiedy w branży pada hasło ochrona danych, rozmowa niemal zawsze schodzi na monitoring wizyjny: tabliczki, okresy przechowywania nagrań, kto ma dostęp do rejestratora. Tymczasem RODO w firmie ochroniarskiej dotyka dziesiątek innych miejsc, o których myśli się rzadziej — a to właśnie one generują codzienne ryzyko, bo dane przepływają tam przez ręce wielu osób i przez prywatne telefony.

Ten tekst świadomie pomija kamery. Zajmuje się resztą: rejestrem gości na recepcji, dokumentami zespołu, lokalizacją podczas służby, zdjęciami w raportach, wiadomościami zawierającymi dane osób trzecich oraz tym, co dzieje się z całym tym materiałem, gdy kończy się umowa ze zleceniodawcą. Kryteria są praktyczne, a każde z nich trzeba potwierdzić z doradcą, bo szczegóły zależą od rodzaju obiektu i treści umowy.

RODO w firmie ochroniarskiej: kto jest kim wobec danych

Zanim ustali się cokolwiek innego, trzeba wiedzieć, w czyim imieniu przetwarzacie dane. Część danych należy do Waszej agencji ochrony jako pracodawcy — dokumenty ludzi, ewidencja czasu służby, szkolenia. Część powstaje na obiekcie i wynika z umowy: rejestr gości, ewidencja wjazdów, zapisy zdarzeń dotyczące osób postronnych. Te dwie kategorie mają różne podstawy, różne okresy przydatności i różne kręgi osób, które mogą je oglądać.

Rozdzielenie ról między agencją a zleceniodawcą — kto decyduje o celach przetwarzania, a kto działa na jego polecenie — powinno wynikać z umowy, a nie z domysłu. To pierwszy dokument, o który warto zapytać doradcę przed rozpoczęciem usługi, bo od niego zależy również to, komu przekazujecie zapisy i na jakich zasadach.

Rejestr gości: mniej danych, więcej porządku

Recepcja to miejsce, w którym najłatwiej zebrać za dużo. Zeszyt leżący na blacie ma tę wadę, że każdy kolejny gość widzi wpisy poprzednich: nazwiska, firmy, numery telefonów, cel wizyty. Wersja elektroniczna rozwiązuje to samym mechanizmem — wpis znika z ekranu po zapisaniu.

Kryteria, które warto ustalić raz i stosować na wszystkich obiektach:

• Zakres. Zbierajcie tylko to, co jest potrzebne do wpuszczenia i odnalezienia osoby: imię i nazwisko, firmę, gospodarza wizyty, godzinę wejścia i wyjścia. Numer dokumentu tożsamości spisujcie wyłącznie wtedy, gdy zleceniodawca wymaga tego świadomie i ma do tego podstawę.
• Widoczność. Dane jednego gościa nie mogą być widoczne dla następnego.
• Dostęp. Kto z Waszej strony i kto ze strony zleceniodawcy może przeglądać rejestr wstecz. To pytanie zadaje się na starcie, nie po incydencie.
• Czas. Rejestr gości nie jest archiwum. Powinien mieć określony okres przydatności, po którym wpisy przestają być dostępne.

Osobny przypadek to lista osób obecnych w budynku na potrzeby ewakuacji. Ma sens operacyjny i zwykle uzasadnia prowadzenie rejestru, ale nie uzasadnia trzymania go bez końca.

Dane zespołu: to, co macie jako pracodawca

Dokumentacja pracownika ochrony jest obszerna: uprawnienia, badania, szkolenia, umowy, ewidencja czasu służby, czasem dane do wypłaty. Trzy zasady wystarczają, żeby uniknąć większości problemów.

Jedno miejsce zamiast wielu kopii. Największym ryzykiem nie jest system, tylko rozproszenie: skany w skrzynkach pocztowych koordynatorów, pliki na prywatnych dyskach, kopie w kilku wersjach. Dokument, który istnieje w jednym miejscu z określonym dostępem, jest bezpieczniejszy niż ten sam dokument w pięciu.

Dostęp według roli. Koordynator obsady musi wiedzieć, czy dana osoba ma ważne uprawnienia — nie musi widzieć jej danych płacowych ani skanu orzeczenia lekarskiego. Ograniczenie widoczności nie jest brakiem zaufania, tylko zmniejszeniem powierzchni ryzyka.

Ślad dostępu. Kiedy wiadomo, kto i kiedy otwierał kartę pracownika, spory o wyciek danych rozstrzyga się faktami. Bez takiego zapisu zostaje słowo przeciwko słowu.

Lokalizacja podczas służby: cel wąski, zakres wąski

Lokalizacja jest tematem najbardziej drażliwym w zespole, więc warto go postawić otwarcie. Uzasadnieniem operacyjnym jest potwierdzenie obecności na posterunku, bezpieczeństwo osoby pracującej samotnie oraz weryfikacja obchodów. Wszystkie te cele da się zrealizować bez śledzenia człowieka poza służbą.

W praktyce oznacza to kilka konkretnych ustaleń: położenie zapisywane w związku z konkretnymi czynnościami — objęciem służby, potwierdzeniem punktu kontrolnego, zdaniem służby, wezwaniem pomocy — a nie w sposób ciągły przez dobę; brak zapisu poza godzinami pracy; jasna informacja dla zespołu, co dokładnie jest zapisywane i kto to widzi; określony okres przechowywania zapisów. Więcej o samym mechanizmie i jego ograniczeniach opisuje tekst o lokalizacji GPS w ochronie.

Uczciwość wobec zespołu opłaca się także operacyjnie. Ludzie, którym nikt nie wyjaśnił zasad, zakładają najgorsze — a wtedy telefon służbowy zostaje w szafce i cały mechanizm przestaje działać.

Zdjęcia w raportach i wiadomości z danymi osób trzecich

Zdjęcie dołączone do zapisu zdarzenia jest najlepszym dowodem, jaki może wytworzyć służba, i jednocześnie najczęstszym źródłem nadmiaru danych. Uszkodzone drzwi, zerwana plomba, wyciek — obraz mówi wszystko. Problem zaczyna się, gdy w kadrze przypadkowo znajdą się osoby niezwiązane ze zdarzeniem albo gdy fotografuje się dokument tożsamości „na wszelki wypadek”.

Zasada praktyczna jest prosta: fotografujemy rzecz, nie człowieka, chyba że opis zdarzenia bez tego traci sens i istnieje ku temu wyraźna podstawa. Druga zasada dotyczy nośnika: zdjęcie ze służby powinno trafiać bezpośrednio do zapisu w systemie, a nie do galerii prywatnego telefonu i stamtąd do komunikatora. Ta druga droga jest najczęstszą realną drogą wycieku w branży i nie rozwiązuje jej żaden regulamin — rozwiązuje ją tylko wygodniejsza alternatywa.

Ta sama uwaga dotyczy wiadomości. Ustalenia dotyczące konkretnej osoby — gościa, kontrahenta, sprawcy zdarzenia — powinny zostawać w elektronicznej książce służby przy właściwym wpisie, a nie krążyć w prywatnych grupach, z których nikt ich później nie usunie.

Dostęp zleceniodawcy: udostępniać, nie wysyłać

Kontrahent ma prawo wiedzieć, co dzieje się na jego obiekcie, ale nie każde takie prawo oznacza wysyłkę plików pocztą. Wysłany raport przestaje być pod Waszą kontrolą: kopiuje się, przekazuje dalej i zostaje na dyskach osób, które dawno zmieniły stanowisko.

Rozsądniejszym rozwiązaniem jest dostęp do wglądu w zakresie ograniczonym do jednego obiektu i jednego okresu, z możliwością odebrania go, gdy zmienia się osoba kontaktowa albo kończy umowa. Tak działa portal klienta i to jest jego główna zaleta z perspektywy ochrony danych, a nie sama wygoda.

Koniec umowy: moment, o którym się zapomina

Zakończenie współpracy ze zleceniodawcą to najczęściej pomijany etap. Obiekt przechodzi do innej firmy, ludzie zostają przeniesieni, a dane zostają — w systemie, w skrzynkach, w telefonach, w portalu, do którego ktoś ze strony klienta wciąż ma dostęp.

Warto mieć na to krótką listę wykonywaną zawsze: odebranie dostępów osobom po stronie kontrahenta, wyłączenie dostępu pracowników do zapisów z tego obiektu, ustalenie, co przekazujecie klientowi, a co zachowujecie dla własnych celów rozliczeniowych i dowodowych, oraz określenie, kiedy reszta ma zostać usunięta. Ostatni punkt wymaga decyzji, a nie odruchu — część materiału może być potrzebna dłużej niż sama umowa, ale nie w nieskończoność.

Uwaga o przepisach

Podstawy przetwarzania danych, role administratora i podmiotu przetwarzającego, obowiązki informacyjne, okresy przechowywania oraz zasady udostępniania zapisów zleceniodawcy wynikają z przepisów o ochronie danych osobowych i z treści umowy, a wymagania te zmieniają się w czasie i bywają odmiennie oceniane w zależności od rodzaju obiektu i zakresu usługi. Przed ustaleniem własnych zasad zweryfikujcie stan prawny u właściwego organu i skonsultujcie się z doradcą. Ten artykuł nie stanowi porady prawnej.

Najczęstsze pytania

Czy można zapisywać lokalizację pracownika ochrony podczas służby? Cel musi być konkretny i związany z wykonywaniem zadań, zakres wąski, a zespół poinformowany. Zapis powiązany z określonymi czynnościami służbowymi to co innego niż ciągłe śledzenie osoby, także poza godzinami pracy. Zasady warto potwierdzić z doradcą.

Czy rejestr gości można prowadzić w zeszycie? Można, ale zeszyt ma wadę trudną do usunięcia: ujawnia dane wcześniejszych gości każdemu kolejnemu. Wersja elektroniczna ogranicza widoczność do osób uprawnionych i pozwala ustawić okres przechowywania wpisów.

Co zrobić ze zdjęciami ze służby w prywatnych telefonach? Doprowadzić do tego, żeby nie powstawały — zdjęcie powinno trafiać od razu do zapisu zdarzenia w systemie. Sam zakaz nie działa, jeżeli droga oficjalna jest wolniejsza niż komunikator.

Kto powinien mieć dostęp do zapisów z obiektu po stronie zleceniodawcy? Wyłącznie osoby wskazane w umowie, w zakresie tego obiektu, z możliwością odebrania dostępu przy zmianie osoby kontaktowej lub zakończeniu współpracy.

Jeżeli chcecie zobaczyć, jak wygląda praca ze zdarzeniami i rejestrem służby, w której dane zostają w jednym miejscu z określonym dostępem, zajrzyjcie do elektronicznej książki służby.