RODO a automatyzacja procesów. Na co uważać, łącząc systemy z danymi osobowymi

„Chcielibyśmy to zautomatyzować, ale boimy się RODO.” Słyszymy to zdanie regularnie, zwykle od firm, które dziś przesyłają dane klientów mailem, trzymają je w arkuszach udostępnionych całemu zespołowi i kopiują ręcznie między systemami.

Paradoks polega na tym, że ręczna praca na danych osobowych często jest bardziej ryzykowna niż dobrze zaprojektowana automatyzacja. Człowiek wyśle arkusz nie do tej osoby, zapisze plik na prywatnym dysku, zapomni usunąć dane po zakończeniu współpracy. Automat robi zawsze to samo i zostawia ślad.

RODO nie zabrania automatyzacji. Wymaga, żeby była przemyślana. Poniżej opisujemy, na co zwracamy uwagę przy każdym projekcie, w którym przez przepływ przechodzą dane osobowe.

Automatyzacja to nowy sposób przetwarzania danych

Z punktu widzenia RODO każdy przepływ, w którym dane osobowe przechodzą z jednego systemu do drugiego, to przetwarzanie. Formularz ze strony, który zapisuje kontakt w CRM i wysyła powiadomienie na komunikator, przetwarza dane w trzech miejscach.

Każde takie przetwarzanie musi mieć określony cel i podstawę prawną, np. przygotowanie oferty na prośbę klienta, wykonanie umowy albo obowiązek prawny. Zanim zbudujesz automatyzację, upewnij się, że cel, dla którego zbierasz dane, obejmuje też to, co automat będzie z nimi robił.

Zacznij od mapy przepływu danych

Najbardziej praktyczny krok to rozrysowanie, jakie dane i dokąd płyną. Dla każdego przepływu odpowiedz na pięć pytań:

1. 1Jakie dane osobowe przechodzą przez przepływ (imię, e-mail, telefon, PESEL, dane o zdrowiu)?
2. 2Z którego systemu wychodzą i do których trafiają?
3. 3Po co każdy z tych systemów je dostaje?
4. 4Kto ma dostęp do danych w każdym miejscu, łącznie z samym narzędziem do automatyzacji?
5. 5Jak długo dane są tam przechowywane i kto je usuwa?

Taka mapa przyda się trzy razy: przy projektowaniu, przy aktualizacji rejestru czynności przetwarzania (art. 30 RODO) i wtedy, gdy klient poprosi o usunięcie swoich danych. Jeśli nie wiesz, jak do tego podejść, zajrzyj do artykułu o mapowaniu procesów. Mapa danych to ten sam warsztat, tylko z inną perspektywą. Jeśli dane firmy są jeszcze w dużej części na papierze i w mailach, przy okazji warto zaplanować cyfryzację danych.

Przenoś tylko to, co jest potrzebne

Zasada minimalizacji danych (art. 5 RODO) w automatyzacji jest bardzo konkretna. Jeśli przepływ wysyła handlowcowi powiadomienie o nowym zapytaniu, wystarczy mu imię, firma i temat. Nie potrzebuje pełnej treści wiadomości z numerem telefonu na kanale, który czyta cały zespół.

W praktyce to najczęstsza poprawka, jaką wprowadzamy przy audycie istniejących automatyzacji. Ktoś kiedyś przekazał „wszystkie pola”, bo tak było szybciej, i od tamtej pory dane klientów lądują w pięciu narzędziach zamiast w dwóch.

Umowy powierzenia i serwery poza Unią

Narzędzia takie jak Make, Zapier, n8n w chmurze, CRM czy program do mailingu przetwarzają dane w twoim imieniu. Z każdym z tych dostawców potrzebujesz umowy powierzenia przetwarzania (art. 28 RODO). Duzi dostawcy udostępniają ją jako DPA (Data Processing Agreement) do zaakceptowania online. Warto ją pobrać i przechowywać w dokumentacji.

Druga sprawa to miejsce przetwarzania. Część narzędzi działa na serwerach w USA. Transfer danych poza Europejski Obszar Gospodarczy jest dopuszczalny, ale wymaga podstawy: np. certyfikacji dostawcy w unijno-amerykańskim programie ochrony danych (EU-US Data Privacy Framework) albo standardowych klauzul umownych. Część platform pozwala też wybrać region serwerów w Unii.

Jeśli przez przepływy przechodzą szczególnie wrażliwe dane, rozważ narzędzie, które można uruchomić na własnym serwerze, np. n8n. Porównanie platform pod tym kątem znajdziesz w artykule jak wybrać narzędzie do automatyzacji.

Decyzje podejmowane automatycznie

Większość automatyzacji przenosi dane i wysyła powiadomienia. Czasem jednak automat podejmuje decyzję o człowieku: odrzuca wniosek kredytowy, odsiewa kandydata w rekrutacji, blokuje konto klienta. Tu wchodzi art. 22 RODO.

Osoba ma prawo nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, jeśli wywołuje ona wobec niej skutki prawne lub w podobny sposób istotnie na nią wpływa. Takie decyzje są dopuszczalne tylko w określonych sytuacjach, a osoba powinna mieć możliwość zakwestionowania decyzji i uzyskania interwencji człowieka.

Najprostsze rozwiązanie w praktyce: automat przygotowuje rekomendację, a decyzję zatwierdza człowiek. Przepływ zostaje szybki, a odpowiedzialność jest tam, gdzie powinna być.

AI i dane osobowe

Coraz więcej automatyzacji korzysta z modeli językowych: do klasyfikacji maili, streszczeń, wyciągania danych z dokumentów. Tu obowiązują te same zasady, plus kilka dodatkowych.

• Nie wklejaj danych klientów do publicznych, darmowych czatów AI. Korzystaj z wersji biznesowych albo z API, w których dostawca deklaruje, że nie trenuje modeli na przesłanych danych.
• Sprawdź, gdzie przetwarzane są zapytania do modelu i czy dostawca podpisuje umowę powierzenia.
• Przed wysłaniem tekstu do modelu usuń dane, które nie są potrzebne do zadania, np. numery PESEL czy konta.
• Wyniki pracy AI dotyczące ludzi traktuj jako podpowiedź, nie decyzję.

Więcej o tym, gdzie AI w firmie ma sens, piszemy w artykule AI w codziennej pracy zespołu.

Dostęp, logi i konta techniczne

Narzędzie do automatyzacji ma zwykle szerokie uprawnienia: czyta CRM, pisze do systemu księgowego, wysyła maile. Dlatego samo narzędzie trzeba chronić jak system z danymi.

• Dostęp do edycji przepływów tylko dla osób, które ich potrzebują, z logowaniem dwuskładnikowym.
• Połączenia z systemami przez osobne konta techniczne z minimalnymi uprawnieniami, a nie przez prywatne konto pracownika.
• Logi wykonań przechowywane tak krótko, jak to możliwe, bo często zawierają pełne dane rekordów.
• Historia zmian w przepływach: kto i kiedy zmodyfikował regułę.

Konto techniczne rozwiązuje też problem, który wraca przy każdym odejściu pracownika: automatyzacje przestają działać, bo były podpięte pod jego konto.

Prawa osób, których dotyczą dane

Klient może poprosić o dostęp do swoich danych, ich poprawienie albo usunięcie. Jeśli automatyzacja rozesłała jego dane do pięciu systemów, trzeba je znaleźć i obsłużyć wszędzie, w tym w logach narzędzia do automatyzacji.

Tu znowu przydaje się mapa przepływu. Jeszcze lepiej, gdy samo usunięcie też jest zautomatyzowane: prośba o usunięcie danych uruchamia przepływ, który czyści rekord we wszystkich połączonych systemach i zostawia potwierdzenie.

Przykład: formularz kontaktowy połączony z CRM

Weźmy jeden z najczęstszych przepływów: formularz na stronie zapisuje kontakt w CRM, handlowiec dostaje powiadomienie, a klient potwierdzenie. Tak wygląda on po przejściu przez zasady opisane wyżej:

• formularz informuje, kto jest administratorem danych, w jakim celu je przetwarza i gdzie znaleźć pełną informację (link do polityki prywatności),
• zgoda na wiadomości marketingowe jest osobnym, niezaznaczonym domyślnie polem, a jej treść i data zapisują się w CRM,
• powiadomienie dla handlowca na komunikatorze zawiera imię, firmę i temat, ale nie pełną treść wiadomości ani numeru telefonu,
• narzędzie do automatyzacji przechowuje logi wykonań przez krótki czas, a połączenia działają na koncie technicznym,
• w CRM jest ustawiony termin usunięcia danych osób, które nie zostały klientami,
• prośba o usunięcie danych uruchamia przepływ, który usuwa kontakt z CRM, listy mailingowej i arkusza raportowego.

Żaden z tych elementów nie spowalnia obsługi klienta. Za to przy kontroli albo skardze wszystko da się pokazać i wyjaśnić. Jak zbudować cały proces obsługi zapytań, opisujemy w artykule o automatyzacji obsługi leadów. Podobne zasady dotyczą integracji systemów finansowych, np. CRM z programem do faktur.

Checklista przed uruchomieniem automatyzacji

Zanim włączysz przepływ z danymi osobowymi, sprawdź:

• czy cel przetwarzania i podstawa prawna obejmują to, co robi automatyzacja,
• czy przepływ przenosi tylko niezbędne pola,
• czy masz umowy powierzenia ze wszystkimi dostawcami narzędzi,
• czy wiesz, gdzie fizycznie przetwarzane są dane i na jakiej podstawie trafiają poza EOG,
• czy decyzje o ludziach zatwierdza człowiek,
• czy dostęp do przepływów jest ograniczony, a połączenia działają na kontach technicznych,
• czy wiesz, jak usunąć dane jednej osoby ze wszystkich systemów,
• czy przepływ jest opisany w dokumentacji i rejestrze czynności przetwarzania.

RODO jako argument za automatyzacją

Dobrze zaprojektowana automatyzacja porządkuje przetwarzanie danych w firmie. Zamiast arkusza krążącego mailem jest jeden przepływ o opisanym przeznaczeniu, ograniczonym dostępem i historią zmian. Zamiast ręcznego szukania danych klienta przy żądaniu usunięcia jest jeden przycisk.

Przy każdym projekcie doradztwa i optymalizacji procesów projektujemy przepływ razem z mapą danych, a przy procesach z AI lub nietypowymi systemami dobieramy architekturę tak, żeby dane zostawały tam, gdzie powinny. Szczegóły znajdziesz na stronie automatyzacja oraz AI w niestandardowych procesach.