Fałszywe wezwanie UODO o monitoring - co zrobić, gdy firma ma kamery
czytaj więcej
Klient ma Ci przysłać dokumentację RODO, umowy, formularze do rozliczeń, skany w PDF, Wordy, paczki ZIP albo zdjęcia dokumentów. Pyta: „Mogę mailem?”. Albo od razu pisze: „Wrzucę na WeTransfer”. Wygodne dla obu stron i… od tej chwili dokumenty z danymi osobowymi leżą w miejscach, nad którymi nie masz kontroli.
Przyjmowanie dokumentów od klientów to też przetwarzanie danych osobowych, a za ich bezpieczeństwo odpowiadasz Ty: jako administrator albo jako podmiot przetwarzający, jeśli przetwarzasz dane na zlecenie klienta. Wyjaśniam, gdzie mail i WeTransfer zawodzą i jak powinien działać bezpieczny link do wysyłania plików, żeby spełniał wymagania RODO.
Spis treści
Przesyłanie danych osobowych mailem i przez WeTransfer: gdzie jest ryzyko?
RODO nie zakazuje maila ani żadnego konkretnego narzędzia. Każe za to dobrać zabezpieczenia do ryzyka, w tym chronić dane przed nieuprawnionym ujawnieniem i dostępem podczas przesyłania (art. 32 ust. 1 i 2 RODO). I tu oba popularne sposoby mają słabe punkty.
Mail: literówka w adresie i skrzynka jako archiwum
W Biuletynie Urzędu Ochrony Danych Osobowych (UODO) czytamy, że poczta elektroniczna służy do bieżącej komunikacji, a nie do długoterminowego przechowywania danych. Tymczasem załączniki od klientów często zostają w skrzynkach na lata, i to w kilku kopiach: u nadawcy, u Ciebie, u współpracownika, któremu przesłałeś wiadomość dalej.
Do tego jedna literówka w adresie i dokumenty lądują u przypadkowej osoby. Biuletyn wymienia błędy w adresach e-mail wśród źródeł naruszeń i radzi: jeśli już przesyłasz plik mailem, zaszyfruj go, a hasło podaj innym kanałem (SMS, telefon), nigdy w tej samej wiadomości.
WeTransfer: kto ma link, ten pobiera
Link do pobrania z WeTransfera działa u każdego, kto go dostanie. Klient może go przesłać dalej, wkleić w złe okno czatu, a wiadomość z linkiem może trafić do niewłaściwej skrzynki. Dopóki link jest aktywny, otwiera dokumenty każdemu, chyba że nadawca zabezpieczy go hasłem (jeśli jego plan na to pozwala).
Drugi problem to umowa powierzenia. Gdy ktoś przechowuje dane osobowe w Twoim imieniu, musisz mieć z nim taką umowę (art. 28 ust. 3 RODO). Polityka prywatności WeTransfera mówi, że jako podmiot przetwarzający na podstawie umowy powierzenia (Data Processing Agreement) działa on przy subskrypcji firmowej, a przy koncie indywidualnym jest administratorem danych użytkownika. Tyle że pliki wysyła klient ze swojego konta: darmowego, prywatnego, a czasem nawet firmowego. Ty nie jesteś wtedy stroną żadnej umowy z WeTransferem, więc nie masz z nim umowy powierzenia.
Inaczej jest, gdy masz firmową subskrypcję i sam wyślesz klientowi prośbę o pliki (funkcja File requests). Wtedy transfer trafia na Twoje konto, a WeTransfer według swojej polityki działa jako podmiot przetwarzający.
Ta sama polityka mówi też o współpracy z firmami i partnerami spoza Europejskiego Obszaru Gospodarczego, do których mogą trafiać niektóre dane osobowe. To już temat przekazywania danych za granicę, który opisujemy we wpisie Transfer danych osobowych poza UE. A jeśli dokumenty i tak przychodzą mailem, sprawdź, czy dostawca Twojej skrzynki daje umowę powierzenia, o czym piszemy w tekście Firmowy e-mail a RODO.
| Mail albo darmowy WeTransfer | Link do wysyłania od Ciebie | |
|---|---|---|
| Kto może otworzyć dokumenty | warning Każdy, kto ma link albo dostęp do skrzynki | check_circle Tylko Ty, w swoim panelu |
| Wiesz, kto przysłał pliki | warning Tylko po adresie nadawcy | check_circle Tak, każdy klient ma swój link |
| Braki i poprawki | cancel Kolejne maile i kolejne wersje plików | check_circle Dosyłane pod tym samym linkiem |
| Usunięcie po sprawie | warning Kopie w skrzynkach i na dyskach odbiorców | check_circle Jedno miejsce, jedno kliknięcie |
Osobny link dla każdego klienta
Bezpieczne przesyłanie plików zaczyna się od prostej zasady: każdy klient dostaje swój link. Nie jeden formularz „prześlij dokumenty” dla wszystkich, tylko adres przypisany do konkretnej osoby albo firmy i konkretnej sprawy. Taki link może dawać moduł na Twojej stronie albo usługa w chmurze, która ma funkcję przyjmowania plików i z której dostawcą podpiszesz umowę powierzenia.
Co Ci to daje? Od razu wiesz, kto przysłał plik, bez zgadywania po nazwie „skan001.pdf”. A gdy coś pójdzie nie tak, na przykład klient zgłosi, że link trafił do obcej osoby, zamykasz dostęp jednemu klientowi i nie ruszasz pozostałych. Przy jednym wspólnym adresie musiałbyś wyłączyć go wszystkim naraz.
Sam link powinien być długim, losowym ciągiem znaków. Bez adresu e-mail klienta, bez kolejnego numeru, bez daty, czyli bez niczego, co dałoby się zgadnąć, zmieniając jedną cyfrę.
Link do wysyłania nie może służyć do pobierania
To najważniejsza różnica między linkiem do przyjmowania dokumentów a linkiem z WeTransfera. Klient pod swoim linkiem może pliki wgrać, ale nie może ich z powrotem pobrać ani otworzyć. Widzi tylko listę: nazwę pliku, rozmiar i datę wgrania.
Po co? Jeśli link wycieknie, osoba, która go przejmie, nie ściągnie z niego dokumentów z danymi osobowymi. Najwyżej zobaczy nazwy plików.
RODO nazywa to domyślną ochroną danych: administrator ma tak ustawić swoje narzędzia, żeby domyślnie przetwarzać tylko dane niezbędne do celu, także pod względem ich dostępności i okresu przechowywania (art. 25 ust. 2 RODO). Link, który otwiera dokumenty każdemu, kto go zna, daje dostęp dużo szerszy, niż potrzeba.
Pliki pobierasz tylko Ty, po zalogowaniu do panelu narzędzia. Pojedynczo albo wszystkie naraz, jako jedną paczkę ZIP.
Link musi wygasać
Link, który daje dostęp do wysyłania dokumentów z danymi osobowymi, nie powinien działać bez końca. RODO nie mówi wprost o ważności linków. Domyślna ochrona danych (art. 25 ust. 2) obejmuje jednak ich dostępność, a im dłużej link działa, tym dłużej może z niego korzystać ktoś, kto go przejmie.
W przepisach nie ma też konkretnej liczby dni, więc termin ustalasz sam. Przykład rozsądnego ustawienia: link zamyka się, gdy zaakceptujesz komplet dokumentów, albo najpóźniej po 30 dniach. Jeśli klient nie zdążył albo musi coś dosłać, przedłużasz link albo go odblokowujesz, zamiast generować nowy i tłumaczyć, którego adresu używać.
Dokumenty w kilku podejściach i przycisk „wysłałem wszystko”
Klient rzadko ma wszystko od ręki. Dziś wyśle umowy, jutro skany, za tydzień brakujący formularz. Dlatego link nie może się zamykać po pierwszym wgraniu. Klient wraca pod ten sam adres i dogrywa kolejne pliki.
Gdy uzna, że to już komplet, klika „Wysłałem wszystko” i dopiero wtedy dostajesz sygnał, że możesz sprawdzić dokumenty. Brakuje czegoś? Odsyłasz mu link do uzupełnienia z komentarzem, na przykład „brakuje umowy z biurem rachunkowym”, a on widzi tę uwagę pod swoim linkiem.
Dzięki temu wszystkie pliki jednej sprawy są w jednym miejscu. Nie krążą po skrzynkach trzy wersje tej samej umowy, a Ty nie szukasz, w którym mailu był aktualny skan.
Usunięcie plików po zakończeniu sprawy
RODO każe przechowywać dane osobowe nie dłużej, niż to potrzebne do celu, w którym je zebrałeś (art. 5 ust. 1 lit. e RODO). Sprawa zamknięta, dokumenty przeniesione tam, gdzie mają być przechowywane, więc pliki z linku powinny zniknąć z serwera. Wyjątek: dokumenty, które inny przepis każe Ci przechowywać dłużej (art. 17 ust. 3 lit. b RODO). Jeśli działasz na zlecenie klienta, po zakończeniu usługi usuwasz albo zwracasz mu dane, zależnie od jego decyzji (art. 28 ust. 3 lit. g RODO).
Żeby o tym nie zapomnieć, na liście linków musisz widzieć, jak długo pliki już leżą na serwerze. Plik, o którym nikt nie pamięta, i tak jest Twoją odpowiedzialnością. Gdy sprawa jest zakończona, usuwasz pliki jednym przyciskiem, a sam link może zostać na liście jako ślad, że dokumenty były przyjęte.
Dla porównania: przy zwykłym transferze WeTransfera datę wygaśnięcia wybiera nadawca, czyli klient. Przy prośbie o pliki ustawiasz ją Ty, w granicach swojego planu: do 30 dni w planach Teams i Ultimate, do 3 dni w Free i Starter. Według polityki prywatności WeTransfera pliki znikają z jego serwerów w ciągu 48 godzin od tej daty, a jeśli transfer był ustawiony jako możliwy do odzyskania, w ciągu roku.
Najczęstsze pytania o przyjmowanie dokumentów od klientów
Czy można wysyłać dane osobowe mailem?+
Tak, RODO nie zakazuje maila, ale wymaga zabezpieczeń dopasowanych do ryzyka (art. 32). Biuletyn UODO zaleca przy dokumentach z danymi osobowymi szyfrowanie załącznika i podanie hasła innym kanałem, na przykład SMS-em albo telefonicznie, a skrzynka nie powinna służyć za archiwum.
Czy WeTransfer jest zgodny z RODO?+
To zależy od konta i od tego, kto wysyła. Według polityki prywatności WeTransfera przy subskrypcji firmowej działa on jako podmiot przetwarzający na podstawie umowy powierzenia. Gdy dokumenty przysyła Ci klient ze swojego darmowego albo prywatnego konta, Ty takiej umowy z WeTransferem nie masz (wyjątek: prośba o pliki wysłana z Twojej firmowej subskrypcji), a link do plików otworzy każdy, kto go dostanie.
Jak długo mogę przechowywać dokumenty przysłane przez klienta?+
Tak długo, jak są potrzebne do sprawy, dla której je dostałeś, chyba że inny przepis każe trzymać je dłużej. Okres przechowywania, a gdy nie da się go określić, kryteria jego ustalenia, administrator podaje w obowiązku informacyjnym (art. 13 lub 14 RODO). Jeśli przetwarzasz dane na zlecenie klienta, ten obowiązek ma klient, a Ty usuwasz albo zwracasz pliki po zakończeniu usługi.
Co zrobić, gdy link do wysyłania dokumentów trafił do obcej osoby?+
Od razu wyłącz ten link i sprawdź, co było pod nim widać. Jeśli obca osoba mogła zobaczyć dane osobowe, to naruszenie ochrony danych. Administrator zgłasza je do UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w 72 godziny od stwierdzenia naruszenia, chyba że ryzyko dla osób, których dane dotyczą, jest mało prawdopodobne (art. 33 ust. 1 RODO). Jeśli przetwarzasz dane na zlecenie klienta, zgłaszasz naruszenie jemu (art. 33 ust. 2). Każde naruszenie trzeba też udokumentować, nawet takie, którego nie zgłaszasz (art. 33 ust. 5).
Pamiętaj
Dokumenty od klientów to dane osobowe także wtedy, gdy dopiero do Ciebie jadą. Osobny link dla każdego klienta, tylko do wysyłania, z terminem ważności i z usuwaniem plików po sprawie załatwia większość ryzyk, które daje mail i darmowy WeTransfer.
Jeśli chcesz opisać ten sposób przyjmowania dokumentów w swojej dokumentacji RODO albo sprawdzić, czy obecny obieg plików w firmie spełnia wymagania, napisz do nas - pomożemy to uporządkować.
