Na tej stronie (6)
Dostęp do danych w rejestrze wjazdów rozstrzygają dwie niezależne rzeczy: uprawnienie i zakres widoczności. Uprawnienie mówi, co użytkownik może zrobić: otworzyć rejestr, wystawić przepustkę, pobrać raport. Zakres mówi, czyje dane przy tym widzi: całego obiektu, jednej lokalizacji, jednej organizacji. Mieszanie tych dwóch pojęć jest najczęstszą przyczyną sytuacji, w której ktoś widzi dane, których widzieć nie powinien, mimo że uprawnienia były nadane rozsądnie.
Dlaczego samo uprawnienie nie wystarcza
Ochroniarz na bramie potrzebuje do pracy odpowiedzi na jedno pytanie: czy ten pojazd może teraz wjechać. Dostaje więc uprawnienie do rejestru wjazdów, bo bez niego nie wykona zadania.
Uprawnienie samo w sobie nie mówi jednak, ile ma zobaczyć. Bez ograniczenia zakresu ten sam ochroniarz może:
- przejrzeć historię wizyt dowolnego kierowcy sprzed roku,
- pobrać raport wszystkich wjazdów do wszystkich lokalizacji,
- zobaczyć skany dokumentów zebrane przy rejestracji.
Żadna z tych rzeczy nie jest mu potrzebna do podniesienia szlabanu, a każda z nich jest przetwarzaniem danych osobowych wykraczającym poza cel.
Kto widzi jakie dane: brama, kierownictwo i administracja
Ochrona na bramie widzi to, co dotyczy trwającej wizyty: kto przyjechał, czy ma awizację i czy nie ma ostrzeżeń. Nie widzi historii i nie pobiera raportów zbiorczych.
Kierownik obiektu i kierownik logistyki widzą raporty i historię w swoim zakresie odpowiedzialności. Potrzebują danych zagregowanych, bez skanów dokumentów.
Administracja, czyli IT i inspektor ochrony danych, widzi konfigurację, audyt i to, kto sięgał do danych. O tej warstwie zapomina się najczęściej, a bez niej nie da się odpowiedzieć na pytanie „kto oglądał dane tego kierowcy”, które pada przy każdym incydencie.
Audyt dostępu: kto zobaczył dane kierowcy
Rejestr audytowy odpowiada na pytanie, kto zobaczył dane kierowcy. Przed wdrożeniem rozmawia się o tym, kto może je zobaczyć, a po pierwszym incydencie pytanie brzmi już: kto je zobaczył. Bez audytu jedyną odpowiedzią jest lista osób, które teoretycznie mogły to zrobić, a taka odpowiedź nic nie daje.
Przykładowy podział ról i zakresów
| Rola | Uprawnienie | Zakres |
|---|---|---|
| Ochrona na bramie | rejestr wjazdów, obsługa bramy | bieżące wizyty, bez historii i raportów |
| Kierownik obiektu | rejestr, raporty | całość obiektu |
| Kierownik logistyki | awizacje, raporty ruchu | własny obszar |
| Najemca w parku | rejestr, raporty | wyłącznie własna organizacja |
| Inspektor ochrony danych | audyt, retencja | konfiguracja, bez potrzeby wglądu w treść |
Podział ról i zakresów trzeba skonfigurować, bo ustawienia domyślne go nie zawierają. Zakresy ustawia się przy zakładaniu ról i sprawdza przy odbiorze, najlepiej logując się na konto testowe każdej roli i patrząc na system jej oczami. Błędy wychodzą na ekranie użytkownika; przegląd listy uprawnień w konfiguracji ich nie wykrywa.
Decyzje, które należą do administratora danych
TraxSystem nie ustala, kto powinien mieć jaki zakres. To decyzja administratora danych, wynikająca z celów przetwarzania i struktury organizacji, a system ją odwzorowuje.
System sam z siebie nie zapewnia zgodności z RODO. Dostarcza mechanizmy potrzebne do zgodności: role, zakresy, audyt, retencję i anonimizację, a polityka należy do administratora. Nie prowadzi też rejestru czynności przetwarzania ani nie generuje dokumentacji RODO.
Opisane tu mechanizmy systemu nie stanowią porady prawnej. Podział ról warto potwierdzić z inspektorem ochrony danych.
Pytania i odpowiedzi
Ile jest uprawnień do rozdzielenia?
217 uprawnień w 24 grupach. Nadaje się je rolom, nie osobom, i są celowo drobne, więc da się dać dostęp do rejestru bez dostępu do skanów.
Czy zakres da się ograniczyć do jednej lokalizacji?
Tak. Filtrowanie danych zakresem wynikającym z roli obejmuje też raporty, więc użytkownik z zakresem lokalnym pobiera raport zawężony automatycznie i nie musi o tym pamiętać.
Czy ochroniarz zobaczy, że kierowca ma ostrzeżenie?
Tak, bo to informacja potrzebna do jego pracy. Ostrzeżenie ani zakaz nie blokują przy tym szlabanu samodzielnie: system pokazuje informację, a decyzję podejmuje operator.
Zobacz też: Dane kierowców na portierni: ile je przechowywać i co usuwać · Park magazynowy z najemcami: jak rozdzielić ruch i dane między firmami · Zakaz wstępu dla kierowcy: jak go egzekwować