Jak wygląda rejestr czynności przetwarzania, gdy system stoi w twoim biurze

Kierownicy instytutów opiniujących i szefowie kancelarii pytają, jak udokumentować przepływ danych, kiedy narzędzie AI stoi fizycznie w biurze, a nie działa jako chmurowy abonament. Poniżej opisujemy techniczną stronę tego przepływu — nie jest to porada prawna.

Zastrzeżenie na start

Ostateczny kształt rejestru czynności przetwarzania oraz ocena zgodności z RODO należą do inspektora ochrony danych lub prawnika kancelarii czy instytutu. Ten tekst opisuje wyłącznie to, co technicznie dzieje się z danymi — punkt wyjścia do rozmowy z osobą odpowiedzialną za zgodność, nie jej zastępstwo.

Jeden, opisywalny przepływ

Gdy urządzenie stoi na miejscu, przepływ danych sprowadza się do kilku jasno nazwanych kroków: plik trafia na lokalny dysk, dane identyfikujące są wykrywane i ukrywane lokalnie, a poza urządzenie wychodzi wyłącznie tekst pseudonimizowany — i tylko wtedy, gdy dana sprawa wymaga etapu analizy w chmurze. Nie ma tu dziesięciu podwykonawców do wymienienia w rejestrze — jest jeden zatwierdzony host chmurowy, dla jednego konkretnego etapu.

Co to zmienia dla dokumentacji

Łatwiej opisać kategorie przetwarzanych danych, cel przetwarzania, podstawę prawną i odbiorców, bo lista odbiorców jest krótka i stała, a nie „zależy, który dostawca akurat przetwarza kopię zapasową w danym tygodniu”. Mapa oznaczeń łącząca pseudonim z prawdziwym nazwiskiem nigdy nie opuszcza urządzenia i nie ma do niej dostępu żaden zewnętrzny podmiot — to też jest fakt techniczny, który warto mieć spisany przy rozmowie o zgodności.

Co warto sprawdzić u każdego dostawcy

Niezależnie od tego, z jakiego systemu korzysta kancelaria, warto zapytać wprost: które dane opuszczają urządzenie, na jakim etapie, do jakiego adresu, i czy tę listę da się zamknąć na jednej stronie, czy trzeba przeglądać wielostronicową politykę podwykonawców.

Porozmawiajmy o wdrożeniu →