1 dzień temu
Utrata bazy klientów rzadko zaczyna się od spektakularnego ataku hakerskiego. Częściej źródłem problemu jest były handlowiec, współpracownik z nadmiernymi uprawnieniami albo dostawca narzędzia CRM, którego rola w obiegu danych nie została adekwatnie uregulowana. Pytanie, jak zabezpieczyć bazę klientów, dotyczy więc równocześnie ochrony danych osobowych, tajemnicy przedsiębiorstwa, cyberbezpieczeństwa oraz jakości wewnętrznego governance.
Błąd polega na traktowaniu bazy jako jednego rodzaju aktywa. Z prawnego punktu widzenia może ona zawierać dane osobowe, informacje objęte tajemnicą przedsiębiorstwa, dane kontraktowe, historię negocjacji i analitykę sprzedażową. Każda z tych kategorii wymaga częściowo innych środków ochrony. Samo wdrożenie CRM, podpisanie standardowej klauzuli poufności albo nadanie hasła do pliku nie przesądza o zgodności z prawem ani o realnej odporności organizacji na incydent.
Jak zabezpieczyć bazę klientów: dwa reżimy ochrony
Pierwszy reżim wynika z RODO. o ile baza obejmuje osoby fizyczne – nie tylko konsumentów, ale także kontakty służbowe przypisane do konkretnych osób – przedsiębiorca przetwarza dane osobowe. Musi wtedy wykazać legalność przetwarzania, spełnienie obowiązku informacyjnego, ograniczenie celu i okresu przechowywania danych oraz wdrożenie odpowiednich zabezpieczeń.
Drugi reżim dotyczy tajemnicy przedsiębiorstwa. Na gruncie ustawy o zwalczaniu nieuczciwej konkurencji ochroną może być objęta informacja techniczna, handlowa, organizacyjna lub inna informacja mająca wartość gospodarczą, która nie jest powszechnie znana, o ile przedsiębiorca podjął przy zachowaniu należytej staranności działania w celu utrzymania jej w poufności. Wartość ma nie tylko lista adresów e-mail. Często bardziej wrażliwe są informacje o osobach decyzyjnych, stawkach, marżach, warunkach odnowienia umów, preferencjach zakupowych czy statusie konkretnych rozmów handlowych.
Te porządki prawne nie zastępują się wzajemnie. RODO chroni osobę, której dane dotyczą. Tajemnica przedsiębiorstwa chroni interes gospodarczy firmy. Co istotne, baza może pozostawać tajemnicą przedsiębiorstwa również wtedy, gdy część jej elementów zawiera dane osobowe. Nie wolno jednak uzasadniać potrzebą ochrony tajemnicy przedsiębiorstwa naruszenia praw podmiotów danych, na przykład przez bezterminowe przechowywanie nieaktualnych kontaktów marketingowych.
Zacznij od mapy danych, nie od zakupu narzędzia
Rozsądne zabezpieczenie zaczyna się od odpowiedzi na kilka konkretnych pytań: jakie dane są w bazie, skąd pochodzą, kto z nich korzysta, w jakim systemie są przechowywane i komu są ujawniane. W spółkach technologicznych ten przepływ bywa rozproszony między CRM, systemem ticketowym, narzędziem do newslettera, platformą fakturową, chmurą dokumentową i komunikatorami zespołowymi.
W praktyce warto rozdzielić co najmniej dane niezbędne do realizacji umowy, dane wykorzystywane do marketingu, dane kontaktowe partnerów B2B oraz wewnętrzne informacje handlowe. Taki podział ułatwia ustalenie podstawy prawnej przetwarzania, retencji oraz zakresu dostępu. Ułatwia też reakcję, gdy klient zażąda dostępu do danych albo gdy dojdzie do incydentu.
Szczególnej ostrożności wymaga popularna praktyka eksportowania kontaktów do arkuszy kalkulacyjnych. Plik pobrany „na chwilę” na prywatny komputer handlowca może wymknąć się spod kontroli, zostać przesłany dalej lub trafić do nieautoryzowanej kopii zapasowej. o ile eksport jest biznesowo potrzebny, powinien być ograniczony zakresem, rejestrowany i objęty jasno określonym terminem usunięcia.
Dostęp według roli, a nie według wygody
Art. 32 RODO wymaga zastosowania środków technicznych i organizacyjnych adekwatnych do ryzyka. Nie oznacza to obowiązku wdrożenia identycznego zestawu technologii w każdej firmie. Inne ryzyko ponosi lokalna spółka usługowa z kilkudziesięcioma kontaktami, a inne fintech obsługujący tysiące klientów i korzystający z wielu dostawców chmurowych. W obu przypadkach trzeba jednak umieć uzasadnić, dlaczego przyjęte środki są wystarczające.
Podstawową zasadą powinien być dostęp oparty na rolach. Handlowiec potrzebuje danych niezbędnych do obsługi własnego portfela, ale niekoniecznie pełnego wglądu w warunki wszystkich kontraktów. Osoba z działu marketingu może potrzebować segmentów odbiorców, ale nie historii reklamacji czy danych rozliczeniowych. Administrator systemu powinien mieć uprawnienia techniczne, jednak jego dostęp do treści danych powinien podlegać kontroli.
W praktyce minimalny standard obejmuje silne, unikalne hasła, uwierzytelnianie wieloskładnikowe, regularny przegląd kont użytkowników, rejestrowanie istotnych operacji oraz szyfrowanie transmisji i nośników. Krytyczny jest proces odejścia pracownika lub współpracownika. Dostęp należy odebrać bez zwłoki, a nie przy okazji najbliższego cyklicznego przeglądu. Warto także przeanalizować, czy dana osoba nie posiadała aktywnych tokenów API, przekierowań poczty, prywatnych kopii plików albo kont w narzędziach zewnętrznych.
Umowy nie są dodatkiem do bezpieczeństwa
Największą lukę często tworzy nie pracownik, ale podmiot przetwarzający dane na zlecenie przedsiębiorcy. Dostawca CRM, systemu mailingowego, hostingu, wsparcia IT lub zewnętrznej obsługi sprzedaży może uzyskać faktyczny dostęp do bazy. Gdy działa jako procesor, relacja wymaga umowy powierzenia przetwarzania spełniającej wymogi art. 28 RODO. Dokument powinien precyzyjnie opisywać przedmiot, czas, cel i zakres przetwarzania, a także zasady korzystania z dalszych podmiotów przetwarzających.
Nie należy automatycznie zakładać, iż każdy dostawca jest procesorem. Niekiedy samodzielnie określa cele i sposoby przetwarzania określonych danych, co może oznaczać odrębną rolę administratora lub współadministrowanie. To rozróżnienie ma znaczenie dla obowiązków informacyjnych, odpowiedzialności i rozliczalności.
W umowach z pracownikami, członkami zarządu, konsultantami i partnerami B2B trzeba natomiast zadbać o odpowiednio skonstruowane obowiązki poufności. Ogólne zdanie o „zachowaniu tajemnicy” może nie wystarczyć w sporze. Postanowienia powinny wskazywać, jakie informacje są poufne, do jakich celów można ich używać, jak długo obowiązek trwa po zakończeniu współpracy oraz co dzieje się z dokumentami i kopiami danych przy jej zakończeniu. Zakaz konkurencji może być użyteczny, ale nie jest substytutem dla ochrony tajemnicy przedsiębiorstwa i wymaga odrębnej oceny, zwłaszcza w relacji pracowniczej.
Retencja i kopie zapasowe: obszar pomijany w praktyce
Baza klientów nie powinna rosnąć bez ograniczeń tylko dlatego, iż pojemność chmury jest tania. Zasada ograniczenia przechowywania z RODO wymaga określenia, jak długo dane są potrzebne dla danego celu. Dane niezbędne do realizacji umowy lub obrony przed roszczeniami mogą być przechowywane inaczej niż kontakty pozyskane w celach marketingowych. Automatyczne oznaczanie rekordów jako „nieaktywne” nie zawsze jest równoznaczne z ich usunięciem.
Polityka retencji musi uwzględniać także backupy. Kopia zapasowa jest przez cały czas przetwarzaniem danych, choćby jeżeli jej techniczne usunięcie nie następuje natychmiast. Organizacja powinna wiedzieć, przez jaki czas backup istnieje, kto ma do niego dostęp i jak wygląda odtwarzanie. Dobrze zaprojektowany proces dopuszcza usunięcie danych z systemu operacyjnego przy naturalnym wygaśnięciu kolejnych kopii, o ile jest to uzasadnione i udokumentowane.
Incydent wymaga decyzji, nie improwizacji
Wyciek nie zawsze oznacza publiczne opublikowanie całej bazy. Incydentem może być wysłanie pliku do niewłaściwego adresata, przejęcie konta handlowca, pozostawienie otwartego dostępu do folderu w chmurze albo wykorzystanie kontaktów przez byłego współpracownika. Trzeba odróżnić naruszenie ochrony danych osobowych od naruszenia poufności informacji handlowych, ale często oba zdarzenia występują jednocześnie.
Jeżeli doszło do naruszenia ochrony danych osobowych, administrator ocenia ryzyko naruszenia praw i wolności osób fizycznych. W określonych sytuacjach zgłoszenie do Prezesa UODO powinno nastąpić bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Przy wysokim ryzyku konieczne może być także zawiadomienie osób, których dane dotyczą. Termin ten pokazuje, dlaczego plan reakcji musi istnieć przed incydentem, a nie po nim.
Plan powinien wskazywać osoby odpowiedzialne za działania techniczne, ocenę prawną, komunikację oraz zabezpieczenie dowodów. W sporze z byłym współpracownikiem szczególne znaczenie ma legalne zabezpieczenie logów, historii eksportów, korespondencji i wersji dokumentów. Pochopne kasowanie materiału w imię „sprzątania systemu” może osłabić pozycję firmy.
Baza klientów jest zapisem relacji, wiedzy i przyszłych przychodów, a nie zwykłym plikiem kontaktów. Najlepsza ochrona powstaje wtedy, gdy procedury RODO, kontrola dostępu, umowy i dyscyplina operacyjna tworzą jeden system – możliwy do wykazania przed klientem, organem nadzorczym i sądem.
