Biuro przetwarza dane finansowe i osobowe kilkudziesięciu firm. Zakres odpowiedzialności jest tu większy niż w typowej działalności.
Powierzenie przetwarzania
Umowa z każdym klientem, określająca zakres i sposób przetwarzania danych. To podstawa całej relacji i punkt wyjścia dla wszystkiego, co biuro robi z tymi danymi dalej. Treść i zakres takiej umowy ustala się z prawnikiem. Rolą narzędzi jest wyłącznie trzymanie się tego, co w niej zapisano, a nie rozstrzyganie, co jest dopuszczalne.
Dalsze powierzenia
Każde narzędzie, z którego biuro korzysta, też przetwarza dane klientów: miejsce na skany, poczta, system obiegu dokumentów, usługa odczytu faktur, kopie zapasowe u zewnętrznego dostawcy. Wymagają zgody i własnych umów. Praktyczny wniosek: warto prowadzić spis narzędzi, w których lądują dane klientów, razem z informacją, gdzie te dane fizycznie są. Spis powstaje raz i aktualizuje się przy każdej zmianie w zestawie narzędzi biura rachunkowego.
Dostęp wewnątrz biura
Ograniczony do osób prowadzących danego klienta. Domyślny dostęp wszystkich do wszystkiego jest ryzykiem, które ujawnia się dopiero przy incydencie albo przy odejściu pracownika. Szczególnie dotyczy to danych kadrowych, o których mowa w tekście o kadrach i płacach. Dochodzi do tego rzecz często pomijana: odbieranie dostępów przy zmianie zakresu obowiązków, nie tylko przy odejściu z pracy.
Przechowywanie
Dokumentacja księgowa i kadrowa podlega ustawowym okresom przechowywania, różnym dla różnych rodzajów dokumentów. Ustalenie, co i jak długo trzeba trzymać oraz od kiedy liczy się ten czas, należy do księgowej i do prawnika. Z punktu widzenia narzędzi liczy się co innego: żeby dokument dał się odnaleźć po latach, żeby wiadomo było, którego okresu i którego klienta dotyczy, i żeby usunięcie po upływie terminu było czynnością wykonalną, a nie ręcznym przeglądaniem archiwum.
Narzędzia zewnętrzne
Przekazywanie dokumentów klientów do usług przetwarzających dane poza biurem wymaga sprawdzenia warunków i podstawy. Pytania są zawsze te same: gdzie dane trafiają, jak długo tam zostają, czy są wykorzystywane do czegokolwiek poza wykonaniem usługi, kto po stronie dostawcy ma do nich dostęp. Odpowiedzi warto mieć na piśmie przed wdrożeniem, a nie po nim. Brak odpowiedzi też jest odpowiedzią.
Incydent
Procedura zgłoszenia i powiadomienia klienta przygotowana wcześniej, nie w chwili zdarzenia. Powinna określać, kto podejmuje decyzję, kogo się zawiadamia, w jakiej kolejności i co się zapisuje. Terminy i zakres obowiązku zgłoszenia to kwestia przepisów i konsultacji prawnej. Procedura ma zapewnić, że w razie zdarzenia nikt nie będzie ich szukał od zera.
Czego automatyzacja tu nie zdejmie
Narzędzia mogą ograniczyć dostęp, prowadzić rejestr operacji, pilnować terminów przeglądu umów i wykrywać dokumenty leżące tam, gdzie nie powinny. Nie zastąpią oceny prawnej ani decyzji o tym, co wolno przetwarzać i na jakiej podstawie. Warto też pamiętać, że każde dołożone narzędzie powiększa obszar, którym trzeba zarządzać. Prostszy zestaw bywa łatwiejszy do utrzymania w ryzach niż rozbudowany.
