Reguła działa, gdy jest listą konkretnych rzeczy, a nie zasadą wymagającą oceny. Ocena zawsze wypada na korzyść wygody.
Lista wykluczeń
- dane osobowe klientów i pracowników,
- hasła, klucze i dane dostępowe,
- dokumenty objęte umową o poufności,
- dane finansowe przed publikacją,
- dokumentacja techniczna stanowiąca tajemnicę,
- materiały powierzone przez klientów.
Lista ma być krótka i dosłowna. Każda pozycja powinna dać się rozpoznać po nazwie pliku albo katalogu, bez zastanawiania się nad definicją. Jeśli pracownik musi rozważać, czy coś należy do kategorii, lista jest napisana za ogólnie.
Przypadki graniczne
Zapytanie klienta zawierające jego dane, zrzut ekranu z widocznymi nazwiskami, plik z ukrytą zakładką. Warto je omówić wprost, bo zdarzają się najczęściej.
Do tego dochodzą załączniki w wiadomościach przekazywanych dalej, wyeksportowane raporty z systemu i dokumenty z historią zmian. W każdym z tych przypadków wysyłający widzi jedno, a przekazuje więcej.
Zrzuty ekranu
Najczęstsze źródło przypadkowego przekazania. Widać na nich więcej, niż zamierzał wysyłający — nazwiska, kwoty, adresy.
Prosta reguła: zrzut robimy z zawężeniem do jednego okna, nigdy całego ekranu, a przed wysłaniem patrzymy na paski boczne i powiadomienia. Przy powtarzalnych zadaniach lepiej opisać problem słowami niż pokazywać obraz.
Jak pracować mimo ograniczeń
Zastąpienie nazwisk oznaczeniami, wycięcie fragmentu zamiast całego dokumentu, opis sytuacji zamiast danych. W większości zadań wystarcza.
Warto pokazać zespołowi kilka gotowych sposobów zamiast samego zakazu. Człowiek, który wie, jak zadać pytanie bez danych, nie szuka obejścia.
Przy zadaniach powtarzalnych warto pójść dalej i przygotować gotowe polecenia z pustymi miejscami na dane, których i tak nie wolno wpisać. Pracownik wypełnia tylko to, co dozwolone, i nie musi pamiętać reguły przy każdym zapytaniu. Tam, gdzie zadanie wymaga pełnych danych, sensowniejsza bywa rezygnacja z narzędzia niż szukanie sposobu na ominięcie zakazu.
Narzędzie dopuszczone
Część danych wolno przekazać do rozwiązania z umową powierzenia, a nie wolno do dowolnego. Lista zakazów musi rozróżniać narzędzia.
Najczytelniejszą postacią jest tabela: poziom z klasyfikacji danych w wierszach, dopuszczone narzędzia w kolumnach. Sprawdzenie zajmuje wtedy chwilę i nie wymaga niczyjej interpretacji. Które narzędzia trafią do której kolumny, ustala się wcześniej — z prawnikiem albo inspektorem ochrony danych, raz, a nie przy każdym zapytaniu.
Gdy ktoś się pomyli
Potrzebna jasna ścieżka zgłoszenia. Ukryte naruszenie jest gorsze niż zgłoszone.
Zgłoszenie ma trafiać do jednej wskazanej osoby i nie kończyć się karą za samo zgłoszenie. Dalsze postępowanie opisuje procedura reagowania na incydent.
Aktualizacja listy
Lista starzeje się razem z narzędziami i procesami. Każdy przypadek graniczny, który wywołał dyskusję, warto dopisać jako rozstrzygnięty przykład. Po roku lista przestaje być dokumentem teoretycznym, a staje się zapisem rzeczywistych decyzji firmy.
