RODO w obiegu dokumentów: 15 pytań, na które musisz znać odpowiedź przed kontrolą UODO

Inspektor PIP przychodzi sprawdzić nadgodziny. Prosi o dokumentację. Kadry podają teczki osobowe, całe. I w tej sekundzie, zanim ktoś w ogóle spojrzał na wyliczenia, firma złamała RODO…

Wdrażając DocuWare u Klientów zawsze jak mantrę powtarzamy, że kontrola ma mieć dostęp do tak małej ilości informacji, jak to tylko jest możliwe. Innymi słowy inspektor ma prawo zobaczyć to, co wiąże się z zakresem z jego upoważnienia, i nic więcej. Dane rodziny zgłoszonej do ubezpieczenia, orzeczenie lekarskie, zajęcie komornicze wpisane na świadectwie pracy: to wszystko trzeba było wyłączyć albo zanonimizować wcześniej. Nie przy stole w trakcie wizyty…

Umiesz wyjąć trzy kartki z teczki tak, żeby pozostałych siedemnastu nikt nie zobaczył? Przy segregatorze i przy folderze na dysku sieciowym nie umiesz, niezależnie od tego, jak pięknie masz opisaną w swojej firmie politykę prywatności. Dwa lata temu można było jeszcze liczyć na pobłażliwość organu. Według sprawozdania z działalności Prezesa UODO za rok 2025, w 2024: urząd nałożył 27 kar na łączną kwotę 13,9 mln zł. W 2025 były to 32 kary, których suma kar wyniosła 64,4 mln zł. Kwota z mandatów zwiększyła się o 363% w ciągu roku. A samych zgłoszeń naruszeń przybyło ponad 50% więcej rok do roku, z 14 842 do 22 435.

Poniżej piętnaście pytań, na które warto, żebyś znał odpowiedź zanim jeszcze do Twojej firmy zapuka inspektor Urzędu Ochrony Danych Osobowych.

1. Umiesz pokazać jeden dokument, nie pokazując reszty?

Trzy lata temu stanęliśmy przed tym pytaniem razem z HR Navigator, krakowską agencją pracy tymczasowej wysyłającą ludzi do pracy do Niemiec. Wszystkie dostępne wówczas narzędzia do e-podpisu składały jeden podpis na cały pakiet. Pakiet nierozdzielny, więc pokazanie kontrolerowi dwóch dokumentów oznaczało pokazanie wszystkich. Nikt tego wtedy na rynku nie rozwiązywał, więc zbudowaliśmy to sami: każdy dokument w pakiecie dostaje własny, ważny podpis elektroniczny, a pracownik składa je wszystkie jednym kodem. Po rozdzieleniu pakietu każda kartka broni się osobno. To nie jest problem techniczny, lecz art. 5 ust. 1 lit. c RODO w wersji, w której faktycznie się go spotyka.

2. Kto dziś ma dostęp do akt kadrowych?

Nie lista upoważnień w segregatorze. Faktyczne uprawnienia w systemie i lista osób mających klucz do szafy. Te dwa zbiory prawie nigdy się nie pokrywają.

3. Twoje upoważnienia ktoś podpisał, czy one się wygenerowały?

Spółka logistyczno-kurierska nadawała upoważnienia zautomatyzowanymi plikami systemowymi, bez formalnego umocowania. Przy okazji wpuściła podwykonawców do dokumentacji przesyłkowej bez umów powierzenia. Efekt? Kara 5 209 000 zł w decyzji Prezesa UODO o sygnaturze DKN.5112.1.2023.

Mała dygresja, żebyś nie musiał zgadywać przy kolejnych przykładach: sygnatury zaczynające się od DKN to sprawy prowadzone przez Departament Kar i Naruszeń UODO, a po skrócie idzie numer sprawy i rok jej wszczęcia. Każdą z nich znajdziesz po tym numerze w wyszukiwarce decyzji na uodo.gov.pl.

Jeśli u Ciebie uprawnienia nadaje IT na zgłoszenie w Jirze, a nikt tego nie podpisuje, masz dokładnie ten sam mechanizm.

4. Co dzieje się z dostępem, gdy ktoś zmienia dział?

Odebranie uprawnień przy odejściu z firmy działa prawie wszędzie, bo to zadanie jest elementem offboardingu. Zmiana stanowiska i przejście na przykład z kadr do controllingu to coś innego, na co często nie ma procesu związanego ze zmianą uprawnień. I w takich miejscach narastają konta widzące trzy obszary naraz, których nikt nie czyści, bo formalnie nic się nie zmieniło i ten pracownik nadal jest zatrudniony. A, że w innym dziale? No cóż…

5. Gdzie w tej chwili jest teczka, która jedzie do archiwum?

Przedsiębiorca z branży funeralnej wiózł pudła z danymi wrażliwymi na otwartej skrzyni. Część wypadła na jezdnię. Braków nie zauważył, bo przed załadunkiem nikt nie policzył teczek. WSA podtrzymał karę 33 673 zł i dodał coś, co warto powiesić na ścianie: kierowca nie zastępuje administratora w zarządzaniu ryzykiem (decyzja Prezesa UODO DKN.5131.10.2023).

6. Kto jeszcze dotyka Twoich dokumentów?

Niszczarnia, archiwum zewnętrzne, biuro rachunkowe, firma skanująca, serwis kopiarek z dyskiem w środku. Art. 28 RODO nie zna kategorii „tylko wożą” ani „tylko niszczą”.

7. Kiedy znika konkretna teczka pracownicza?

Zatrudnieni od 2019 roku: 10 lat od końca roku, w którym ustał stosunek pracy (art. 94 pkt 9b Kodeksu pracy). Zatrudnieni w latach 1999–2018: też 10 lat, ale dopiero po raportach ZUS OSW i RIA, a bez nich 50. Zatrudnieni przed 1999: 50 lat. W jednej szafie muszą tykać trzy zegary, choć w większości firm żaden z nich tak naprawdę nie chodzi…

8. Co zrobiłeś z CV po ostatniej rekrutacji?

NSA w lutym 2024 trochę poluzował przepisy i dopuścił trzymanie danych kandydata do 3 lat, ale wyłącznie po to, żeby bronić się przed zarzutem dyskryminacji (III OSK 2700/22). Nic więcej. Baza CV prowadzona pod hasłem „kiedyś się przyda” nie ma żadnej podstawy i nigdy jej nie miała.

9. Usuwanie dzieje się samo, czy ktoś o nim pamięta?

Jeśli odpowiedzią jest czyjeś nazwisko, to znaczy, że nie dzieje się wcale.

10. Masz dowód, że dokument faktycznie zniknął?

Największa polska kara w tym obszarze w dużej mierze dotyczy właśnie tego. Poczta Polska, 27 000 000 zł, Minister Cyfryzacji dodatkowo 100 000 zł, dane 30 milionów obywateli wydane na płytach DVD. Organ wytknął między innymi to, że nośniki leżały u podmiotu jeszcze przez prawie miesiąc po tym, jak cel przetwarzania minął, a niszczenia nikt nie kontrolował i nie dokumentował (decyzja Prezesa UODO DKN.5131.1.2025).

Choć to naruszenie „wywala skalę” i to jest zupełnie inny poziom niż u Ciebie, mechanizm jest identyczny: dane zostały dłużej, niż powinny, i nikt nie potrafił wykazać, co się z nimi stało.

11. Kadry i księgowość mają osobne zegary?

Księgi i dowody księgowe przechowuje się co do zasady 5 lat (art. 74 ust. 2 ustawy o rachunkowości). Dokumentację podatkową również 5 lat, ale liczone inaczej, od końca roku, w którym minął termin płatności (art. 70 § 1 Ordynacji). Wspólny folder „Archiwum” dla obu oznacza, że przynajmniej jeden z tych terminów łamiesz.

12. Kto otworzył ten dokument w zeszły wtorek?

Bez odpowiedzi na to pytanie nie udowodnisz ani naruszenia, ani jego braku. Przy kontroli obie te rzeczy są równie potrzebne.

13. Prowadzisz protokół udostępnienia dokumentów kontrolerowi?

Kto przyszedł, z jakim upoważnieniem, co dostał do ręki, na jakiej podstawie prawnej. Tego wymaga rozliczalność z art. 5 ust. 2 RODO i tego prawie nikt nie robi, bo przez lata nikt o to nie poprosił. A co, jak w końcu ktoś poprosi?

14. Poznasz naruszenie, które nie wygląda na naruszenie?

Esselmann Technika Pojazdowa zgubiła jedną kartkę z akt osobowych, świadectwo pracy. Broniła się tym, że jeden arkusz nikomu nie szkodzi, a pracownik nawet nie wnosił roszczeń. Tyle że na tym świadectwie była informacja o zajęciu komorniczym. UODO i WSA uznali, że samo ryzyko wglądu obcej osoby uruchamia obowiązek zgłoszenia z art. 33. Efekt? 15 994 zł kary za jedną zgubioną kartkę (decyzja Prezesa UODO DKN.5110.12.2021, podtrzymana wyrokiem Wojewódzkiego Sądu Administracyjnego w Warszawie z 26.04.2023, sygn. akt II SA/Wa 1272/22).

15. Intranet czy mail do każdego z osobna?

Santander Bank Polska po wycieku dokumentów kadrowych wybrał komunikat w intranecie. NSA w marcu 2026 oddalił skargę kasacyjną banku w całości i zostawił karę 545 748 zł (decyzja Prezesa UODO DKN.5131.33.2021). Wyciek akt osobowych to wysokie ryzyko dla pracownika, a ogłoszenie w sieci wewnętrznej nie jest zawiadomieniem w rozumieniu art. 34 ust. 1.

A teraz policz krzyżyki

Jeśli „nie wiem” skupiło się w pytaniach 1, 2, 9, 10 i 12, masz problem konstrukcyjny, a nie proceduralny. Tych pięciu luk nie zamkniesz dokumentem. Wszystkie dotyczą tego, co Twój sposób trzymania dokumentów w ogóle potrafi, a nie tego, co ludzie obiecali robić.

Dane mówią to samo. Verizon w Data Breach Investigations Report z 2024 roku liczy, że 68% naruszeń ma w sobie czynnik ludzki. Wśród zgłoszeń trafiających do UODO dominują dokumenty wysłane na zły adres, korespondencja bez ukrytych odbiorców i teczki zostawione tam, gdzie chodzą wszyscy. Żadnego włamania. Ktoś po prostu miał szerszy dostęp, niż potrzebował do swojej pracy.

Dlatego w DocuWare uprawnienia są na pojedynczym dokumencie i na polu indeksowym, a nie na folderze. Kadrowa od umów nie widzi orzeczeń lekarskich. Kontroler dostaje wyciąg z trzech pozycji zamiast całej teczki. Retencja liczy się od zdarzenia, czyli od ustania stosunku pracy albo zatwierdzenia sprawozdania, i usuwa dokument sama, zostawiając zapis. Każde otwarcie i pobranie zostawia ślad, który da się wydrukować jako gotowa odpowiedź na pytania 12 i 13. E-teczka chodzi z podziałem na części akt i metadanymi XML wymaganymi przez § 13 rozporządzenia o dokumentacji pracowniczej, z pełnym eksportem z § 12, żebyś nie został uwiązany do jednego dostawcy.

System, tak samo jak każdy inny, działa tak, jak go zaprogramujemy. A więc DocuWare sam nie zdecyduje, jak długo trzymasz dokument, to decyzja prawna i ktoś w firmie musi ją podjąć i podpisać nazwiskiem. Nie pomoże też, jeśli skany umów dalej krążą w prywatnych skrzynkach handlowców. Sama migracja papieru to nie jest przerzucenie plików: każdy skan dostaje kwalifikowany podpis albo pieczęć pracodawcy (art. 94(8) Kodeksu pracy), a pracownikom należy się termin na odbiór poprzedniej postaci akt. Te decyzje trzeba podjąć i pod ich egzekwowanie ustawić program, a także wszystkie „stare” dokumenty zeskanować i ustanowić częścią nowego obiegu. To na szczęście jest zadanie, które, choć długie i żmudne, wykonujesz raz.

A jeśli w odpowiedziach na te pytania wyszło Ci więcej krzyżyków, niż się spodziewałeś? To znak, że powinniśmy porozmawiać. Porównajmy to z tym, co widzieliśmy w firmach o podobnej skali. Jedna rozmowa wystarczy, żeby oddzielić luki kosmetyczne od tych, które przy kontroli będą kosztować.