Prowadziłem sklep internetowy z artykułami biurowymi. Przez trzy lata nie myślałem o ochronie danych klientów. Używałem prostego formularza kontaktowego bez szyfrowania. Myślałem, że to wystarczy, bo przecież nie jestem bankiem. Dopiero gdy znajomy dostał 50 tysięcy złotych kary od UODO za wyciek adresów, oprzytomniałem. Sprawdziłem swoją sytuację i okazało się, że przechowuję numery kart kredytowych w plikach tekstowych na serwerze. Panika była całkowita. Wtedy zacząłem szukać pomocy i trafiłem na portal-ochrony.pl, który oferuje proste porównanie rozwiązań. Nie spodziewałem się, że znajdę coś tak konkretnego dla małych firm.

Strona okazała się zaskakująco rzeczowa. Zamiast ogólnikowych porad pokazywała konkrety: ile kosztuje certyfikowany audyt, jakie oprogramowanie do szyfrowania działa na budżecie 100 złotych miesięcznie, i które urzędy wymagają zgłoszenia inspektora ochrony danych. Przejrzałem trzy poradniki w dwie godziny. To wystarczyło, żebym wiedział, co zrobić najpierw.

Czego dowiedziałem się o monitoringu dostępu

Największym zaskoczeniem było to, że ochrona danych to nie tylko hasła i firewall. Chodzi też o fizyczny dostęp do serwerowni i dokumentów. W moim biurze każdy mógł wejść do pomieszczenia z komputerem, gdzie stał serwer. Drzwi nie były zamykane na klucz. Portal-ochrony.pl opisał konkretne przypadki firm, które straciły dane przez brak elektronicznych zamknięć. Jeden przykład: firma kurierska straciła listę adresów klientów, bo ochroniarz zostawił drzwi otwarte na godzinę. To brzmi głupio, ale ja robiłem dokładnie to samo. Koszt zamontowania czytnika kart i dwóch zamków szyfrowych wyniósł 1200 złotych. To mniej niż jedna dziesiąta potencjalnej kary.

Kolejna rzecz to polityka haseł. Miałem jedno hasło do wszystkich kont. Po lekturze artykułów zmieniłem to. Teraz każdy pracownik ma własne loginy, a dostęp do danych klientów jest logowany. System pokazuje, kto i kiedy przeglądał fakturę. To proste narzędzie, które kosztuje 50 złotych miesięcznie za chmurę. Przez rok nie zdarzył się żaden incydent, a ja śpię spokojniej.

Jakie błędy popełniłem i co zmieniłem

Pierwszy błąd: myślałem, że ochrona danych to sprawa dla informatyków albo prawników. Prawda jest taka, że jeśli sam nie ogarniesz podstaw, żaden specjalista ci nie pomoże. Drugi błąd: ignorowałem terminy. Zgodnie z RODO musisz zgłosić naruszenie w ciągu 72 godzin. Gdybym tego nie wiedział, mógłbym dostać karę za opóźnienie, nawet jeśli wyciek był mały. Portal-ochrony.pl podaje tabelki z terminami i przykładami z firmy produkcyjnej, która zgłosiła naruszenie po 4 dniach i dostała 30 tysięcy kary. To działa jak zimny prysznic.

Trzeci błąd: oszczędzałem na szkoleniach. Myślałem, że wystarczy wysłać pracownikom e-maila z zasadami. Okazało się, że muszą podpisać oświadczenie i przejść krótki kurs. Znalazłem na stronie szablon takiego oświadczenia i listę darmowych szkoleń online. W sumie wydałem 300 złotych na trzy godziny kursu dla pięciu osób. Teraz każdy wie, że nie wolno zostawiać laptopa z danymi klientów na stoliku w kawiarni. To brzmi jak oczywistość, ale dopóki nie zobaczyłem realnych statystyk – 40% naruszeń w małych firmach wynika z zaniedbań pracowników – nie przykładałem do tego wagi.

Od tamtej pory minął rok. Nie dostałem żadnej kary. Klienci częściej ufają mojemu sklepowi, bo na stronie podałem informację o certyfikacie bezpieczeństwa. Portal, który znalazłem, nie jest cudownym rozwiązaniem, ale dał mi konkretne narzędzia i wiedzę, której brakowało. Gdybym czekał na fachowca, nadal bym siedział na beczce prochu.