RODO i dostawcy
RODO a onboarding dostawców B2B: co naprawdę trzeba umieć udowodnić.
Nie kolejny ogólny poradnik „jak wdrożyć RODO”. To, czego faktycznie potrzebujecie, gdy dostawca przysyła Wam dokumenty z danymi osobowymi w środku — i jak wygląda różnica między „mamy politykę” a „możemy to udowodnić”.
Czego RODO właściwie wymaga przy weryfikacji dostawcy
Onboarding dostawcy prawie zawsze wiąże się z przetwarzaniem danych osobowych, nawet jeśli firma jako taka nie jest „danymi osobowymi” — polisa ubezpieczeniowa ma w sobie nazwisko brokera, dokument rejestrowy ma dane reprezentanta, formularz kontaktowy ma imię i telefon osoby, z którą się kontaktujecie. RODO nie pyta, czy zbieracie te dane celowo — pyta, czy macie podstawę prawną do ich przetwarzania, czy wiecie, jak długo je trzymacie, i czy potraficie odpowiedzieć, kto miał do nich dostęp.
W praktyce dla onboardingu dostawców oznacza to trzy konkretne obowiązki: podstawę prawną (zwykle art. 6 ust. 1 lit. b lub f — wykonanie umowy albo prawnie uzasadniony interes weryfikacji kontrahenta), jasną granicę tego, kto w firmie widzi które dane, i zdolność do odtworzenia historii — kto zatwierdził dostawcę, na podstawie jakich dokumentów, i kiedy.
To ostatnie jest tym, co najczęściej brakuje. Polityka prywatności na stronie internetowej to jedna strona medalu. Druga to pytanie, które zadaje audytor albo inspektor: „pokażcie mi, jak wyglądał proces zatwierdzenia tego konkretnego dostawcy, sześć miesięcy temu”.
Gdzie to najczęściej się psuje
Typowy scenariusz: dostawca wysyła dokumenty mailem, ktoś je przegląda, zatwierdzenie pada w rozmowie na Teams albo w wątku mailowym, a decyzja trafia do arkusza jako jedna komórka „zatwierdzony”. Pół roku później nikt nie pamięta, kto dokładnie zaakceptował, na podstawie jakiej wersji dokumentu, i czy ktokolwiek w ogóle sprawdził datę ważności polisy.
To nie jest hipotetyczne ryzyko. To jest dokładnie ten moment, w którym audyt zakupowy albo kontrola RODO zamienia się z formalności w problem — nie dlatego, że firma zrobiła coś złego, tylko dlatego, że nie potrafi tego udowodnić. Brak dowodu wygląda dla audytora identycznie jak brak procesu, nawet jeśli proces faktycznie istniał w czyjejś głowie.
Jak niezmienialna historia audytowa zmienia to, co można udowodnić
To jest miejsce, w którym VendoCerta różni się od arkusza i skrzynki mailowej w sposób, który ma znaczenie prawne, a nie tylko organizacyjny: każde zapisane działanie — zmiana statusu dostawcy, decyzja o dokumencie, zatwierdzenie, wysłane zaproszenie, pobrany plik — staje się wpisem w historii audytowej. W interfejsie nie ma nigdzie funkcji edycji ani usunięcia wpisu, w żadnej roli, łącznie z właścicielem firmy. System nigdy nie nadpisuje istniejącego zdarzenia.
W praktyce oznacza to, że pytanie „pokażcie mi, jak wyglądał proces zatwierdzenia tego dostawcy” ma odpowiedź w postaci konkretnego zapisu: kto, co, kiedy — a przy zmianie danych także to, jak wyglądały wartości przed i po. Nawet próby dostępu bez uprawnień są zapisywane jako osobne zdarzenie, więc powtarzające się próby są widoczne, a nie ciche.
Filtry historii trafiają do adresu strony, więc konkretny wycinek — na przykład cała historia jednego dostawcy albo jednej sprawy onboardingowej — można przekazać audytorowi jako zwykły link, bez tłumaczenia, gdzie czego szukać.
Rozdzielenie ról jako realna kontrola RODO, nie tylko wygoda
RODO mówi wprost o zasadzie minimalizacji dostępu — dane osobowe powinny widzieć tylko osoby, którym są rzeczywiście potrzebne do wykonania zadania. VendoCerta wymusza to strukturalnie, a nie na zasadzie dobrej woli: dokumenty oznaczone jako wrażliwe (przede wszystkim związane z płatnościami) wymagają osobnego uprawnienia, które w praktyce ma tylko właściciel i administrator biznesowy. Administrator systemu — rola odpowiedzialna za konfigurację, diagnostykę i kopie zapasowe — nie ma wglądu w dostawców, dokumenty ani rachunki bankowe. To rozdzielenie jest zaprojektowane, nie skonfigurowane opcjonalnie.
Dwuskładnikowe uwierzytelnianie jest obowiązkowe dla ról z dostępem do danych biznesowych i nie da się go pominąć — to kolejna rzecz, którą trzeba potrafić wykazać przy pytaniu o środki techniczne i organizacyjne z art. 32 RODO, a nie tylko zadeklarować w polityce.
Czego to nie rozwiązuje — uczciwie
VendoCerta jest zapisem i mechanizmem kontroli, nie poradą prawną. Nie zdecyduje za Was, czy dana kategoria danych wymaga oceny skutków dla ochrony danych (DPIA), nie wypełni za Was rejestru czynności przetwarzania i nie zastąpi rozmowy z prawnikiem przy podpisywaniu umowy powierzenia z dostawcą, który sam przetwarza dane w Waszym imieniu.
To, co daje: moment, w którym te decyzje faktycznie da się udokumentować — kto zdecydował, kiedy, na jakiej podstawie — zamiast rekonstruować to z pamięci sześć miesięcy później.