Skuteczny offboarding: ochrona danych i bezpieczeństwo IT zgodnie z RODO

Natychmiastowa dezaktywacja wszystkich dostępówBlokowanie kont użytkowników, VPN, poczty e-mail, oprogramowania firmowego i dostępu do wrażliwych systemów (ERP, CRM, narzędzia HR) w ostatnim dniu pracy pracownika.
Zmiana hasłaW przypadku kont ogólnych lub współdzielonych należy zmienić hasła natychmiast po odejściu pracownika.
Przegląd systematycznySprawdzanie i odbieranie uprawnień w systemach operacyjnych (Windows, Linux itp.), aplikacjach (rejestracja czasu pracy, aplikacje specjalistyczne), usługach w chmurze (Microsoft 365, Google Workspace) i innych platformach.
DokumentacjaRejestrowanie wszystkich środków wycofania i dezaktywacji w celu zapewnienia zgodności z audytem i identyfikowalności.

Dezaktywacja lub przekierowanie konta e-mailZablokowanie służbowego konta e-mail natychmiast po odejściu lub przekierowanie na konto zastępcze. Stałe przekierowanie tylko wtedy, gdy jest to absolutnie konieczne i zgodne z zasadami przejrzystości.
Prywatne wiadomości e-mail:

Jeśli dozwolony był użytek prywatny, prywatne wiadomości e-mail powinny być przeglądane przez upoważnione osoby i koordynowane z (byłym) pracownikiem (jeśli nadal jest dostępny).
Przekazuj prywatne wiadomości e-mail pracownikom lub przekazuj je bezpiecznie na nośnikach danych.
Wszystkie prywatne wiadomości e-mail muszą zostać usunięte z konta służbowego.
Zapewnienie, że nie ma nieautoryzowanego dostępu do danych osobowych osób trzecich.

Archiwizacja lub uporządkowane przekazywanie danych następcom w celu zachowania zgodności z ustawowymi okresami przechowywania (np. HGB, AO).

Kontrola zapasówZapewnienie zwrotu wszystkich dostarczonych urządzeń (laptopów, smartfonów, pamięci USB, tokenów sprzętowych, kart dostępu).

Transfer danych: Sprawdź zwrócone urządzenia pod kątem przechowywanych danych, aby upewnić się, że wszystkie istotne informacje są dostępne w aktualnej lub bardziej aktualnej formie niż na istniejących dyskach sieciowych. Sprawdzić, czy istnieją dane, które należy przenieść lub zintegrować ze scentralizowanymi systemami.

Bezpieczne usuwanie danychBezpieczne usuwanie poufnych danych firmowych na zwróconych urządzeniach (np. przy użyciu certyfikowanych narzędzi), aby zapobiec nieautoryzowanemu dostępowi.
Osobiste certyfikaty i żetonyUsuwanie lub unieważnianie certyfikatów z serwerów i tokenów sprzętowych, które nie są już wymagane.

Przesyłanie danych biznesowychWszystkie dokumenty, pliki i dane istotne dla operacji biznesowych są przekazywane odpowiedzialnym współpracownikom, następcom lub przełożonym w zorganizowany sposób.
Zapobieganie nieautoryzowanemu przekazywaniu danychUpewnij się, że żadne istotne dane firmowe nie pozostają na prywatnych urządzeniach, zewnętrznych nośnikach pamięci lub w nieautoryzowanych usługach w chmurze.
Sprawdzanie kopii zapasowychNależy sprawdzić, czy dane osobowe pracownika są dostępne w kopiach zapasowych. Dane osobowe, które nie są już potrzebne, muszą, o ile jest to technicznie możliwe i prawnie dopuszczalne, być usuwane z kopii zapasowych lub przetwarzane w kontrolowany sposób przy użyciu odpowiednich koncepcji usuwania.

Informacje wewnętrzne i zewnętrznePoinformowanie pracowników i, w stosownych przypadkach, klientów o odejściu w celu zapewnienia jasnych informacji o nowych kontaktach.
Notatka poza biuremSkonfiguruj w systemie poczty elektronicznej notatkę o nieobecności, w której wskażesz nieobecność i nową osobę kontaktową.

Sprawdzanie zgódOdwołanie i udokumentowanie udzielonej zgody (np. na wykorzystanie zdjęć, profili na stronie internetowej lub w intranecie).
Usuwanie danych osobowych:

Prywatne dane osobowe byłego pracownika, które są przechowywane w firmie i nie są już potrzebne, muszą zostać usunięte zgodnie z art. 17 RODO. Wcześniej pracownik powinien otrzymać propozycję przekazania swoich danych osobowych na żądanie.
Przestrzeganie ustawowych obowiązków w zakresie przechowywania dokumentów (np. odcinków wypłat): Przechowywać tylko przez wyznaczony okres. Usuń lub zniszcz natychmiast po upływie terminów.

Pracownik ma prawo do uzyskania informacji o przechowywanych na jego temat danych osobowych. Na żądanie:

Dostarczenie w ustrukturyzowanym, powszechnym i nadającym się do odczytu maszynowego formacie (np. CSV, PDF).
Przed przekazaniem danych należy dokładnie sprawdzić, czy żadne dane osobowe osób trzecich nie zostały ujawnione niezgodnie z prawem. W razie potrzeby należy zminimalizować lub zredagować dane.
Dokumentowanie procesu ujawniania i przekazywania danych w celu wypełnienia obowiązków w zakresie rozliczalności wynikających z RODO.

Informatyka śledcza w przypadku podejrzeńJeśli istnieją oznaki niewłaściwego wykorzystania danych lub naruszenia zgodności, należy zainicjować analizy informatyki śledczej przed odejściem pracownika.
Rejestrowanie procesu offboardinguRejestruj wszystkie podjęte działania (dezaktywacje, rezygnacje, usunięcia).
Końcowa dyskusja i uwrażliwieniePoinformowanie pracownika, że zobowiązania do zachowania tajemnicy i poufności nadal obowiązują po odejściu ze spółki. Wskazanie możliwych konsekwencji prawnych w przypadku naruszeń.

Bezpieczeństwo fizyczneSprawdzanie praw dostępu do budynków i serwerowni; dezaktywacja lub wycofanie kart blokujących, kluczy i tokenów sprzętowych.
Monitorowanie sieci i systemuPo dezaktywacji wszystkich dostępów upewnij się, że nie ma miejsca nieautoryzowane korzystanie z zasobów (monitoruj dzienniki, używaj wykrywania anomalii).

Lista kontrolna dotycząca offboardingu
Dezaktywacja dostępuKonta użytkowników (AD, ERP, CRM, poczta), zdalny dostęp (VPN, chmura).
Odzyskiwanie zasobów firmySprzęt, licencje na oprogramowanie, dokumenty.
Zapewnienie transferu danychPrzekazywanie istotnych dla firmy plików i informacji odpowiednim współpracownikom.
Zarządzanie kontem e-mailPrzekazywanie zastępcom, tworzenie notatek poza biurem, usuwanie prywatnych wiadomości e-mail.
Komunikacja wewnętrzna/zewnętrznaInformacja o rezygnacji, wyznaczenie nowych osób kontaktowych.
Ochrona danych i bezpieczeństwo informacji:

Sprawdzanie i odwoływanie zgód
Przestrzegać prawa do informacji zgodnie z art. 15 RODO (w razie potrzeby podać dane)
Usuwanie lub przesyłanie prywatnych danych
Przestrzeganie obowiązków w zakresie przechowywania danych
Dokumentowanie i sprawdzanie środków bezpieczeństwa

DokumentacjaRejestrowanie wszystkich etapów offboardingu, decyzji i przekazań.