Złe pytanie

Nikt nie pyta, czy poczta jest zgodna z RODO. Pytanie dotyczy konkretnej konfiguracji: czyje dane, w jakim celu, gdzie leżą i kto ma do nich dostęp.

Oceniajmy więc konkretne wdrożenie, nie sam model. Ten sam model może być w jednym układzie całkowicie w porządku, a w drugim nie do przyjęcia — różnica nie leży w modelu, tylko w tym, dokąd trafiają dane osobowe i kto staje się ich odbiorcą.

Dwie konfiguracje, różne obowiązki

**Dane wychodzą z firmy.** Jeśli dostawca jest podmiotem przetwarzającym, wybór chmury oznacza także obowiązki: powierzenie, zasady dalszego przekazywania poza Europejski Obszar Gospodarczy, okres retencji i sposób usuwania danych na żądanie. Wszystko to jest wykonalne, ale to praca do wykonania i dokumentacja, którą trzeba utrzymywać — a nie jednorazowy podpis.

**Dane zostają w firmie.** Jeśli dane osobowe pozostają wyłącznie u ciebie, nie dochodzi zewnętrzny odbiorca tych danych. Twoje własne obowiązki nie znikają — rejestr, zasady dostępu, retencja, bezpieczeństwo zostają — ale znika cała warstwa powierzenia i przekazywania, bo nie ma komu powierzać.

Warto powiedzieć to wprost: pierwsza konfiguracja nie jest błędem. Jest wyborem, który trzeba umieć opisać, i dla wielu firm tańszym w utrzymaniu niż własne środowisko.

Co to zmienia w praktyce

Trzy rzeczy wracają w każdym wdrożeniu, niezależnie od branży.

**Kontekst agenta jest kopią danych.** Jeśli agent czyta skrzynkę, jego kontekst zawiera treść tej poczty. Żądanie usunięcia danych musi więc dotrzeć także tam — do historii rozmów, do pamięci, do logów. Sposobu, w jaki się to robi, nie da się założyć; trzeba go zaprojektować, zanim pojawi się pierwsze żądanie.

**Logi są danymi osobowymi.** Jeśli zapisujesz, kto o co pytał i co dostał, to jest zbiór danych osobowych — nawet jeśli nigdy nie było w nim ani jednej faktury.

**Zakres dostępu trzeba sprawdzić, nie tylko opisać.** „Agent widzi tylko to, do czego ma uprawnienia" musi być zdaniem, które da się zweryfikować testem — nie opisem intencji w dokumentacji.

Kiedy chmura wystarcza

Kiedy dane nie są wrażliwe, wolumen jest mały, a ryzyko zostało realnie ocenione — nie odrzucone zdaniem „to tylko narzędzie do podsumowań". Hostowane modele są często właściwym wyborem: tańszym i szybszym we wdrożeniu, z gotowymi mechanizmami umów i rozliczeń po stronie dostawcy.

Utrzymywanie własnego środowiska po to, żeby przetwarzać publiczne ogłoszenia, jest kosztownym odruchem, a nie ostrożnością.

Kiedy architektura bywa odpowiedzią

W ochronie zdrowia, w kancelarii, w sektorze publicznym, w firmie, której polityka wewnętrzna zakazuje wysyłania danych na zewnątrz. Wtedy nie szukasz dostawcy, który „też ma RODO" — szukasz układu, w którym dane osobowe nie mają drogi wyjścia. Nie dlatego, że to ładniej wygląda w dokumentacji, ale dlatego, że dokumentacja opisuje wtedy stan faktyczny.

Z własną infrastrukturą twoja firma bierze jednak na siebie utrzymanie modelu, aktualizacje i pracę nad dokładnością. Odcięcie od sieci jest decyzją architektoniczną z konsekwencjami operacyjnymi i trzeba je policzyć razem z resztą kosztów.

To nie jest porada prawna

Powyższe to opis architektury i pytań, które warto zadać — nie ocena zgodności konkretnego wdrożenia. Kto odpowiada za dane i na jakiej podstawie, ustala się z prawnikiem i z dokumentacją twojej organizacji, nie z artykułem na stronie dostawcy.

Co to znaczy dla twojej firmy

Zanim wybierzesz narzędzie, odpowiedz na trzy pytania: jakie dane osobowe w ogóle wejdą do systemu, kto ma być ich odbiorcą poza twoją firmą, i jak wygląda usunięcie danych w każdym miejscu, w którym się znajdą — także w kontekstach i logach agenta.

Jeśli na trzecie pytanie nie ma odpowiedzi, nie masz wdrożenia. Masz demo.