Bezpieczeństwo danych klientów: Obligacje dostawcy online

Jakie szyfrowanie danych powinien zapewnić dostawca narzędzia online?

Szyfrowanie to pierwsza linia obrony, o którą warto zapytać, zanim jeszcze zalogujesz się do testowej wersji narzędzia. Dla trenera czy coacha, który na sesji 1:1 zbiera notatki z rozmowy o sytuacji zawodowej klienta, albo dla korepetytora przechowującego dane kontaktowe rodziców uczniów, to nie jest abstrakcyjny temat IT. To dane, za które odpowiadasz.

Dobry dostawca powinien stosować szyfrowanie na dwóch poziomach. Pierwszy to szyfrowanie danych w trakcie przesyłania, czyli połączenie między twoją przeglądarką a serwerem dostawcy (standardem jest tu protokół TLS). Drugi to szyfrowanie danych w spoczynku, czyli tych, które leżą na dyskach serwera, nawet gdy nikt akurat z nich nie korzysta. Jeśli platforma do prowadzenia sesji online przechowuje nagrania, transkrypcje albo notatki z tablicy, oba te mechanizmy powinny działać jednocześnie, a nie tylko jeden z nich.

Warto też zapytać, gdzie fizycznie znajdują się serwery. Dane klientów z Unii Europejskiej najbezpieczniej czują się na serwerach w Europejskim Obszarze Gospodarczym. Jeśli dostawca przechowuje dane poza EOG, powinien zadbać o standardowe klauzule umowne (tak zwane SCC), które zabezpieczają transfer danych zgodnie z wymogami prawa. Brak takich klauzul to sygnał ostrzegawczy, nie szczegół techniczny do pominięcia.

Eksperci zajmujący się bezpieczeństwem narzędzi do spotkań online rekomendują sprawdzenie, czy platforma oferuje szyfrowanie end-to-end, obsługę logowania przez SSO oraz uwierzytelnianie dwuskładnikowe (MFA), a także poczekalnię dla gości, zanim dołączą do spotkania. To właśnie te elementy odróżniają narzędzie zaprojektowane z myślą o poufnych rozmowach od zwykłego komunikatora wideo.

Szyfrowanie dotyczy nie tylko samej rozmowy, ale też nagrań, które zostają po sesji. Jeśli nagrywasz spotkania z klientami, a potem przechowujesz je w chmurze, temat zabezpieczenia takich materiałów przed wyciekiem zasługuje na osobną uwagę i warto przeczytać, jak zabezpieczyć nagrania sesji online przed wyciekiem, zanim zdecydujesz się na stałe archiwizowanie materiałów w jednym miejscu.

Czy dostawca narzędzia podpisze z tobą umowę powierzenia danych (DPA)?

To pytanie, które powinno paść zanim podpiszesz jakąkolwiek umowę abonamentową. Jeśli korzystasz z narzędzia online do prowadzenia sesji, zbierasz tam dane kontaktowe klientów, notatki, czasem nagrania rozmów, działasz jako administrator tych danych. Dostawca platformy, który je hostuje, pełni rolę procesora, a to oznacza, że zgodnie z artykułem 28 RODO musicie mieć podpisaną umowę powierzenia przetwarzania danych, w formie pisemnej lub elektronicznej.

Brak takiej umowy to nie formalność do pominięcia. W 2025 roku UODO nałożył w Polsce łącznie 32 kary o wartości 64,5 mln złotych, co oznacza wzrost aż o 364 procent w porównaniu z rokiem poprzednim. Brak umowy powierzenia odpowiadał za 11 procent przyczyn tych kar. Warto dodać, że sama umowa nie zawsze chroni przed konsekwencjami: jedną z największych kar w 2025 roku, sięgającą blisko 17 mln złotych, nałożono na firmę, której dane pracowników ujawnił dostawca usług IT, mimo że DPA było formalnie podpisane. To pokazuje, że sama umowa to nie wszystko, liczy się też to, co dostawca faktycznie robi na co dzień z danymi.

Dobra umowa powierzenia nie kończy się na jednej stronie z podpisami. Powinna zawierać załącznik opisujący środki techniczne i organizacyjne (w branży nazywane TOMs), czyli konkretny opis tego, jak dostawca chroni dane: jakie ma procedury, jak reaguje na incydenty, kto ma dostęp do infrastruktury. Jeśli dostawca przesyła dane poza Europejski Obszar Gospodarczy, umowa musi zawierać także standardowe klauzule umowne.

Praktyczna wskazówka: jeśli wybierasz narzędzie do prowadzenia warsztatów, konsultacji czy lekcji online, zapytaj dostawcę wprost, czy oferuje gotowy wzór DPA do podpisania. Poważni dostawcy mają taki dokument przygotowany i udostępniają go na żądanie, często wręcz publicznie na stronie z dokumentacją prawną. Jeśli w odpowiedzi dostajesz ciszę albo niejasne tłumaczenie, że "nie ma takiej potrzeby", to wyraźny sygnał, żeby szukać dalej.

Jak powinna wyglądać kontrola dostępu i zarządzanie uprawnieniami w zespole?

Wyobraź sobie sytuację: prowadzisz szkolenia grupowe i współpracujesz z asystentką, która pomaga ci przygotowywać materiały. Albo jesteś częścią zespołu trenerskiego, gdzie kilka osób korzysta z tego samego konta narzędzia do planowania sesji. Kto wtedy widzi dane klientów? Kto może je edytować, usuwać, eksportować?

Dobry dostawca narzędzia online powinien dawać ci realną kontrolę nad tym, kto ma dostęp do czego. W praktyce oznacza to kilka konkretnych funkcji:

1. Możliwość przypisywania ról użytkownikom (na przykład administrator, edytor, osoba z dostępem tylko do odczytu).
2. Rejestr aktywności, czyli historię tego, kto i kiedy logował się do systemu oraz jakie zmiany wprowadzał.
3. Możliwość natychmiastowego odebrania dostępu, gdy ktoś przestaje współpracować z twoim zespołem.
4. Oddzielenie danych klientów od danych wewnętrznych zespołu, tak żeby asystent administracyjny nie musiał mieć wglądu w notatki terapeutyczne czy coachingowe.

Wielu trenerów i korepetytorów na starcie działalności korzysta z jednego wspólnego konta na cały zespół, bo to po prostu wygodniejsze i tańsze. Problem pojawia się, gdy ktoś odchodzi ze współpracy, a hasło zostaje to samo. Teoretycznie była osoba nadal ma dostęp do danych klientów, nagrań sesji, kalendarza spotkań. To nie jest scenariusz czysto teoretyczny, to codzienność małych firm szkoleniowych i gabinetów coachingowych, które rosną szybciej niż ich procedury bezpieczeństwa.

Dlatego warto wybierać narzędzia, które pozwalają na tworzenie osobnych kont dla każdego członka zespołu z osobnymi uprawnieniami, a nie tylko jednego loginu do współdzielenia. Jeśli planujesz pracę z grupą, w której część uczestników ma dostęp do materiałów, a część tylko do samej sesji, platforma powinna też rozróżniać uczestników od prowadzącego i nie dawać im przypadkiem dostępu do panelu administracyjnego. To szczególnie istotne przy pracy z młodzieżą albo klientami korporacyjnymi, gdzie wymogi bezpieczeństwa bywają dużo bardziej restrykcyjne niż przy standardowych korepetycjach.

Jakie certyfikaty i audyty bezpieczeństwa świadczą o wiarygodności dostawcy?

Certyfikat bezpieczeństwa sam w sobie niczego nie gwarantuje, ale jego brak powinien budzić czujność. Najbardziej rozpoznawalnym standardem w branży jest ISO/IEC 27001, obecnie w wersji z 2022 roku. Dostawcy, którzy mieli jeszcze certyfikat w starszej wersji z 2013 roku, powinni byli przejść na nową normę do 31 października 2025 roku, więc jeśli trafisz na dostawcę powołującego się na starą wersję certyfikatu, to znak, że coś przeoczył albo świadomie nie zaktualizował dokumentacji.

Certyfikat ISO 27001 wydawany jest zwykle na trzy lata, ale to nie znaczy, że dostawca przez ten czas może odpocząć od audytów. Co roku musi przechodzić audyt nadzorczy, który potwierdza, że faktycznie utrzymuje zgodność z normą, a nie tylko posiada papier w szufladzie. Warto zapytać dostawcę, kiedy odbył się ostatni taki audyt i czy może udostępnić podsumowanie wyników.

Oprócz ISO 27001 na rynku funkcjonuje też raport SOC 2 Type II, szczególnie popularny wśród dostawców z rynku amerykańskiego, ale coraz częściej spotykany też w Europie. Różnica między Type I a Type II jest istotna: Type I sprawdza zabezpieczenia w jednym konkretnym momencie, natomiast Type II ocenia, czy te zabezpieczenia faktycznie działały skutecznie przez dłuższy okres, zwykle od sześciu do dwunastu miesięcy. Dla ciebie jako klienta narzędzia to oznacza, że raport Type II daje dużo mocniejszą gwarancję niż jednorazowy przegląd.

Transparentność dostawcy objawia się też w drobniejszych rzeczach: czy publikuje historię incydentów bezpieczeństwa, czy ma jasno opisaną politykę prywatności dostępną bez logowania, czy odpowiada konkretnie na pytania o lokalizację serwerów. Dostawca, który unika takich pytań albo odpowiada ogólnikami w stylu "stosujemy najwyższe standardy bezpieczeństwa" bez żadnych konkretów, prawdopodobnie nie ma czego pokazać. Polscy dostawcy narzędzi do prowadzenia sesji online, działający zgodnie z RODO i przechowujący dane na serwerach w Europie, często stanowią tu bezpieczniejszy wybór niż platformy, których polityka prywatności liczy dwadzieścia stron drobnego druku po angielsku.

Checklista: jak zweryfikować bezpieczeństwo narzędzia przed podpisaniem umowy

Zanim zdecydujesz się na konkretne narzędzie do prowadzenia sesji, warsztatów czy korepetycji online, przejdź przez poniższą listę. Notatka z takiej weryfikacji to nie formalność, to realny dowód należytej staranności, który może się przydać, gdyby kiedykolwiek doszło do kontroli albo pytań ze strony klienta o bezpieczeństwo jego danych.

1. Sprawdź, czy dostawca szyfruje dane zarówno podczas przesyłania, jak i w spoczynku, oraz czy stosuje uwierzytelnianie dwuskładnikowe przy logowaniu.
2. Zapytaj o lokalizację serwerów. Dane w Europejskim Obszarze Gospodarczym to mniejsze ryzyko formalne niż serwery w innych regionach świata.
3. Poproś o wzór umowy powierzenia przetwarzania danych (DPA) wraz z załącznikiem opisującym środki techniczne i organizacyjne.
4. Zweryfikuj aktualność certyfikatu ISO 27001 (wersja z 2022 roku) albo poproś o podsumowanie raportu SOC 2 Type II, jeśli dostawca się nim posługuje.
5. Sprawdź, czy narzędzie pozwala na tworzenie osobnych kont z różnymi poziomami uprawnień dla każdego członka zespołu.
6. Upewnij się, że dostawca ma jasno opisaną procedurę reagowania na incydenty bezpieczeństwa i informowania klientów o ewentualnym naruszeniu.
7. Przeczytaj politykę prywatności pod kątem tego, jak długo przechowywane są dane po zakończeniu współpracy i czy można je łatwo wyeksportować lub usunąć.

Pamiętaj, że konsekwencje zaniedbań w tym obszarze bywają poważne nie tylko wizerunkowo. RODO przewiduje kary do 20 milionów euro albo 4 procent całkowitego rocznego obrotu firmy za naruszenia, w tym za niewdrożenie odpowiednich środków bezpieczeństwa. Dla jednoosobowej działalności trenerskiej taka kara brzmi abstrakcyjnie, ale sam fakt, że przepisy traktują bezpieczeństwo danych tak poważnie, powinien zmienić twoje podejście do wyboru narzędzia z "wezmę to, co najtańsze" na "sprawdzę, co faktycznie oferuje ochronę".

Warto też pamiętać, że bezpieczeństwo danych klienta to nie tylko kwestia samego narzędzia do spotkań wideo. Dotyczy też tego, jak organizujesz całą pracę: gdzie trzymasz kalendarz spotkań, jak zarządzasz bazą kontaktów, czy materiały szkoleniowe krążą w bezpiecznym miejscu, czy w przypadkowych plikach na dysku. Im bardziej uporządkowany masz ten obszar organizacyjny, tym łatwiej też wychwycić słabe punkty w zabezpieczeniach, zanim staną się problemem.

Najczęściej zadawane pytania

Czy mały gabinet coachingowy albo jednoosobowa działalność też musi mieć umowę DPA z dostawcą narzędzia?

Tak, obowiązek wynika z przepisów RODO, a nie z wielkości firmy. Jeśli przetwarzasz dane klientów za pomocą narzędzia online, które hostuje je u siebie dostawca, musicie mieć podpisaną umowę powierzenia, niezależnie od tego, czy prowadzisz jednoosobową działalność, czy większą firmę szkoleniową.

Czy certyfikat ISO 27001 u dostawcy gwarantuje pełne bezpieczeństwo danych?

Nie, certyfikat potwierdza, że dostawca wdrożył określone procedury zarządzania bezpieczeństwem informacji i poddaje się regularnym audytom, ale nie eliminuje ryzyka całkowicie. Warto traktować go jako jeden z elementów oceny, a nie jedyny dowód bezpieczeństwa.

Co zrobić, jeśli dostawca narzędzia odmawia podpisania umowy powierzenia danych?

W takiej sytuacji najlepiej zrezygnować ze współpracy i poszukać innego dostawcy. Brak gotowości do podpisania DPA to sygnał, że dostawca albo nie rozumie swoich obowiązków jako procesora danych, albo świadomie unika odpowiedzialności za ich bezpieczeństwo.

Czy dane klientów powinny być przechowywane wyłącznie na serwerach w Polsce?

Nie musi to być wyłącznie Polska, ale lokalizacja w Europejskim Obszarze Gospodarczym znacznie upraszcza kwestie formalne. Jeśli dane trafiają poza EOG, dostawca musi zabezpieczyć taki transfer standardowymi klauzulami umownymi zgodnie z wymogami RODO.