Zarządzanie dokumentami i RODO: na co zwrócić uwagę

System zarządzania dokumentami prawie nieuchronnie przetwarza dane osobowe – nazwiska na fakturach, adresy w umowach, dane wynagrodzenia w dokumentacji kadrowej. Dlatego obowiązują przepisy RODO: potrzebujesz bezpiecznego przetwarzania, określonych uprawnień dostępu, umowy z dostawcą oraz koncepcji, która wyraźnie oddziela obowiązki przechowywania od obowiązków usunięcia danych.

Dlaczego system zarządzania dokumentami automatycznie staje się zagadnieniem ochrony danych

RODO nie rozróżnia między „bazą danych“ a „archiwem dokumentów“. Zeskanowany list z nazwiskiem nadawcy jest tak samo danymi osobowymi jak wpis w systemie CRM. Kto przechowuje dokumenty centralnie, udostępnia możliwość wyszukiwania i dzieli je z zespołem, przetwarza te dane – i musi robić to odpowiedzialnie. To nie powód przeciwko systemowi zarządzania dokumentami, wręcz przeciwnie: centralne, uregulowane archiwum jest znacznie łatwiejsze do prowadzenia zgodnie z RODO niż rozproszone foldery, lokalne kopie i prywatne skrzynki pocztowe.

Pięć najważniejszych punktów do sprawdzenia przy wyborze

• Lokalizacja hostingu i prawo mające zastosowanie: Gdzie fizycznie znajdują się dane, jakie prawo obowiązuje dostawcę? Hosting w Niemczech lub w UE oszczędza Ci badania transferu danych do państw trzecich.
• Umowa o przetwarzaniu w zleceniu (UPZ): Dostawca przechowuje dokumenty w Twoim imieniu i z reguły jest przetwarzającym. Bez UPZ brakuje podstawy umownej.
• Kontrola dostępu: Nie każdy w zespole powinien widzieć wszystko. Zwróć uwagę na role i reguły widoczności – dokumentacja kadrowa powinna być dostępna dla innych osób niż faktury przychodzące.
• Szyfrowanie i bezpieczne logowanie: Transmisja szyfrowana, dostępy chronione – na przykład za pomocą kodów jednorazowych zamiast współdzielonych haseł.
• Możliwość śledzenia: Powinno być możliwe ustalenie, co stało się z dokumentami. Pomaga to również przy żądaniach dostępu od osób, których dane dotyczą.

Konflikt: usunięcie kontra przechowywanie

RODO wymaga usunięcia danych osobowych, gdy cel przetwarzania przestaje istnieć. Jednocześnie prawo podatkowe i handlowe wymaga przechowywania dokumentów przez wiele lat. Rozwiązanie: ustawowe obowiązki przechowywania stanowią odrębną podstawę prawną – dokumenty istotne dla podatków pozostają w archiwum do upływu terminu. Następnie wchodzi w życie obowiązek usunięcia. Dobry system zarządzania dokumentami wspiera dokładnie ten cykl życia: zdefiniowane przechowywanie zamiast „leży sobie gdzieś“. Jak działa niezmienialne archiwizowanie, wyjaśnia artykuł Archiwizowanie zgodne z wymogami rewizji.

Jak webRichtung documents to wdrażał

webRichtung documents łączy archiwizację, import e-maili, przetwarzanie wsadowe i wyszukiwanie w archiwum w jednym obszarze dokumentów. Dzięki temu możesz wdrożyć i sprawdzić swoje reguły organizacyjne dla wejścia, przechowywania i dostępu w jednym centralnym miejscu, zamiast rozpowszechniać dokumenty w lokalnych folderach. Szczegóły dotyczące obsługi znajdziesz w dokumentacji.

Praktyczny początek

Zacznij od krótkiej analizy stanu: jakie rodzaje dokumentów z danymi osobowymi masz (dokumenty finansowe, umowy, teczki pracowników)? Kto powinien mieć dostęp do czego? Jakie okresy przechowywania obowiązują dla każdego typu? Na podstawie tych trzech odpowiedzi możesz metodycznie ocenić system zarządzania dokumentami – i udokumentować wdrożenie w przypadku, gdyby pytała władza nadzorcza. Ponadto określ, jak dostęp wygasa, gdy ktoś opuszcza zespół. Te centralne wytyczne przemawiają za wspólnym systemem operacyjnym zamiast lokalnie kopiowanych folderów, których ostateczne umiejscowienie nikt nie potrafi już śledzić.

Ten artykuł zawiera informacje ogólne i nie zastępuje poradnictwa prawnego ani podatkowego.