Wystarczyło jedno kliknięcie.
Prywatna placówka opiekuńcza chciała tylko przyspieszyć pracę recepcji. Nowa pracownica dostała dostęp do wspólnej skrzynki mailowej, „żeby mogła szybciej odpisywać rodzicom i opiekunom”. Brzmiało rozsądnie.
Przez kilka dni wszystko działało bez zarzutu.
Aż do momentu, gdy jeden z rodziców dostał wiadomość z załącznikiem… zawierającym dane medyczne innego dziecka.
Nie było włamania.
Nikt nie zgubił laptopa.
Nie zawiódł system IT.
Problemem okazał się zbyt szeroki dostęp, brak jasnych zasad pracy na skrzynce i zwykły pośpiech. Jedna osoba otwierała korespondencję, druga odpowiadała, trzecia pobierała załączniki „na później”. W tle były dane szczególnej kategorii, wizerunki dzieci i informacje, które powinny być dostępne tylko dla wąskiego grona osób.
To właśnie dlatego w jednostkach prywatnych RODO nie kończy się na klauzuli informacyjnej.
Największe ryzyko często nie wynika z ataku, tylko z codziennych nawyków.
Co można było zrobić inaczej?
• ograniczyć dostęp tylko do niezbędnych osób
• rozdzielić role i odpowiedzialność za obsługę korespondencji
• wdrożyć prostą procedurę pracy z załącznikami i danymi szczególnej kategorii
• przeszkolić zespół na realnych scenariuszach, nie tylko „na papierze”
• regularnie sprawdzać, kto ma dostęp do skrzynek i dokumentów
Takie sytuacje zaczynają się niewinnie, a kończą utratą zaufania, stresem i koniecznością tłumaczenia się przed rodzicami.
Jeśli chcesz lepiej przygotować swoją organizację, zapraszamy na spotkania sprawozdawcze Grupy Format.
Skontaktuj się z nami przez stronę internetową — link znajdziesz w komentarzu.
