Comarch RODO: sankcje za naruszenie obowiązków

W dobie powszechnej cyfryzacji i automatyzacji procesów biznesowych, systemy klasy ERP (Enterprise Resource Planning), takie jak te oferowane przez firmę Comarch, stanowią serce operacyjne tysięcy przedsiębiorstw w Polsce. Przechowują one i przetwarzają ogromne ilości danych osobowych – od szczegółowych informacji o pracownikach, przez dane kontaktowe klientów, aż po historię transakcji i profile behawioralne kontrahentów. W związku z tym, prawidłowa konfiguracja systemu Comarch pod kątem zgodności z Ogólnym Rozporządzeniem o Ochronie Danych (RODO) nie jest jedynie kwestią techniczną, ale przede wszystkim kluczowym obowiązkiem prawnym. Zaniedbania w tym obszarze mogą prowadzić do dotkliwych konsekwencji finansowych, prawnych oraz wizerunkowych. W niniejszym artykule szczegółowo analizujemy, jakie sankcje grożą za naruszenie obowiązków związanych z RODO w kontekście korzystania z oprogramowania Comarch, jakie są najczęstsze błędy wdrożeniowe oraz jak skutecznie minimalizować ryzyko kontroli ze strony organu nadzorczego.

Rola systemów ERP w świetle przepisów o ochronie danych

Systemy ERP, takie jak Comarch ERP Optima, Comarch ERP XL czy Comarch ERP Altum, integrują różne obszary funkcjonowania przedsiębiorstwa: kadry i płace, księgowość, magazyn, sprzedaż oraz relacje z klientami (CRM). W każdym z tych modułów dochodzi do operacji przetwarzania danych osobowych. Z punktu widzenia RODO, przedsiębiorstwo korzystające z takiego oprogramowania występuje jako administrator danych osobowych (ADO). To na administratorze spoczywa pełna odpowiedzialność za to, aby system informatyczny gwarantował odpowiedni poziom bezpieczeństwa, integralności i poufności danych.

Oprogramowanie dostarczane przez Comarch posiada liczne wbudowane narzędzia wspierające zgodność z RODO, takie jak mechanizmy odnotowywania sprzeciwu, rejestry zgód, narzędzia do anonimizacji danych czy zaawansowane zarządzanie uprawnieniami użytkowników. Należy jednak pamiętać, że samo posiadanie nowoczesnego oprogramowania nie gwarantuje automatycznej zgodności z prawem. Kluczowy jest sposób, w jaki system został wdrożony, skonfigurowany oraz jak na co dzień korzystają z niego pracownicy. Wadliwa konfiguracja lub brak procedur wewnętrznych mogą sprawić, że nawet najlepsze narzędzie nie uchroni firmy przed naruszeniem przepisów.

Kluczowe obowiązki administratora danych w systemach Comarch

Aby uniknąć sankcji, administrator danych musi realizować szereg obowiązków wynikających bezpośrednio z przepisów RODO. W kontekście systemów Comarch, najistotniejsze z nich dotyczą zarządzania dostępem, realizacji praw osób, których dane dotyczą, oraz terminowości działania.

Zarządzanie uprawnieniami i rozliczalność

Jedną z podstawowych zasad RODO jest zasada integralności i poufności, a także zasada minimalizacji danych. W praktyce oznacza to, że dostęp do danych osobowych w systemie Comarch powinny mieć wyłącznie te osoby, których obowiązki służbowe tego wymagają. Administrator musi wdrożyć precyzyjną politykę uprawnień. Na przykład, pracownik działu logistyki nie powinien mieć wglądu w dane płacowe pracowników, a zewnętrzny serwisant powinien mieć dostęp ograniczony wyłącznie do niezbędnych baz testowych, pozbawionych realnych danych osobowych (poddanych uprzednio pseudonimizacji). Systemy Comarch umożliwiają szczegółowe logowanie operacji na danych, co pozwala na realizację zasady rozliczalności – w każdej chwili administrator musi być w stanie wykazać, kto, kiedy i w jakim celu modyfikował lub przeglądał określone rekordy.

Realizacja wniosków osób, których dane dotyczą

Osoby fizyczne posiadają szereg uprawnień, w tym prawo do dostępu do swoich danych, ich sprostowania, usunięcia (prawo do bycia zapomnianym) oraz ograniczenia przetwarzania. Kiedy klient lub były pracownik składa wniosek o realizację swoich praw, administrator musi podjąć natychmiastowe działania. W systemach Comarch wymaga to sprawnego wyszukania wszystkich powiązanych rekordów (np. w kartotekach kontrahentów, fakturach, historii kontaktów) i podjęcia odpowiedniej akcji. O ile dane na fakturach VAT muszą być przechowywane przez okresy wynikające z przepisów podatkowych, o tyle dane marketingowe w module CRM powinny zostać niezwłocznie usunięte lub zanonimizowane na żądanie użytkownika. Narzędzia Comarch ułatwiają ten proces, jednak to po stronie personelu leży obowiązek prawidłowej oceny, które dane można usunąć, a które należy zachować ze względu na inne podstawy prawne.

Zachowanie terminów ustawowych

Zgodnie z art. 12 RODO, administrator ma obowiązek udzielić odpowiedzi na wniosek osoby, której dane dotyczą, bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od otrzymania żądania. W skomplikowanych przypadkach termin ten może zostać przedłużony o kolejne dwa miesiące, jednak wymaga to poinformowania wnioskodawcy o przyczynach opóźnienia w ciągu pierwszego miesiąca. Opóźnienie w realizacji wniosku, ignorowanie korespondencji lub udzielenie niepełnej odpowiedzi stanowi bezpośrednie naruszenie przepisów i jest jedną z najczęstszych przyczyn składania skarg do Urzędu Ochrony Danych Osobowych (UODO).

Sankcje za naruszenie RODO – wymiar finansowy i prawny

Naruszenie obowiązków w zakresie ochrony danych osobowych wiąże się z ryzykiem nałożenia bardzo surowych sankcji przez organ nadzorczy, którym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych (PUODO). Kary te można podzielić na administracyjne kary pieniężne, sankcje upominawcze oraz odpowiedzialność cywilną i karną.

Administracyjne kary pieniężne

RODO przewiduje dwa progi maksymalnych kar finansowych, w zależności od rodzaju i wagi naruszenia:

Do 10 000 000 EUR lub do 2% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego – m.in. za naruszenie obowiązków administratora i podmiotu przetwarzającego, w tym brak odpowiednich zabezpieczeń technicznych i organizacyjnych w systemach takich jak Comarch, brak rejestru czynności przetwarzania czy nieprawidłowe powierzenie przetwarzania danych.
Do 20 000 000 EUR lub do 4% całkowitego rocznego światowego obrotu przedsiębiorstwa – m.in. za naruszenie podstawowych zasad przetwarzania danych (w tym zasad legalności, rzetelności, przejrzystości, minimalizacji), niedopełnienie obowiązków wobec osób, których dane dotyczą (np. ignorowanie wniosków o usunięcie danych), lub niezastosowanie się do nakazów organu nadzorczego.

Organ nadzorczy, ustalając wysokość kary, bierze pod uwagę szereg czynników łagodzących i obciążających, takich jak charakter, waga i czas trwania naruszenie, liczba poszkodowanych osób, stopień odpowiedzialności administratora (np. czy naruszenie było umyślne, czy wynikało z niedbalstwa), podjęte działania w celu zminimalizowania szkody oraz stopień współpracy z organem.

Sankcje naprawcze i upomnienia

Warto pamiętać, że nałożenie kary finansowej to nie jedyne uprawnienie, jakim dysponuje organ nadzorczy. PUODO może również zastosować środki naprawcze, które często są dla przedsiębiorstwa równie uciążliwe. Należą do nich: ostrzeżenia, upomnienia, nakazanie administratorowi dostosowania operacji przetwarzania do przepisów RODO w określonym terminie i w określony sposób, a także wprowadzenie czasowego lub całkowitego ograniczenia przetwarzania, w tym zakazu przetwarzania danych. Taki zakaz w praktyce oznacza paraliż operacyjny przedsiębiorstwa, ponieważ uniemożliwia korzystanie z bazy danych klientów czy systemu kadrowo-płacowego Comarch.

Odpowiedzialność cywilna i odszkodowania

Niezależnie od kar nakładanych przez UODO, każda osoba, która poniosła szkodę majątkową lub niemajątkową (krzywdę) w wyniku naruszenia przepisów RODO, ma prawo żądać od administratora odszkodowania przed sądem cywilnym. W sprawach tych coraz częściej zasądzane są zadośćuczynienia za sam fakt utraty kontroli nad własnymi danymi osobowymi, co dla firm przetwarzających dane masowe w systemach ERP może oznaczać ryzyko pozwów grupowych.

Analiza ryzyka i ocena skutków dla ochrony danych (DPIA) w systemach Comarch

Wdrożenie systemu ERP lub jego głęboka modyfikacja (np. migracja z wersji lokalnej do chmury Comarch) często wiąże się z koniecznością przeprowadzenia oceny skutków dla ochrony danych (DPIA - Data Protection Impact Assessment). Zgodnie z art. 35 RODO, taka analiza jest wymagana, gdy dany rodzaj przetwarzania – w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst i cele może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych.

Przedsiębiorstwa korzystające z modułów Comarch ERP do profilowania klientów, automatycznego podejmowania decyzji kredytowych czy przetwarzania danych wrażliwych (np. danych o stanie zdrowia pracowników w module kadrowym) muszą rzetelnie udokumentować proces DPIA. Brak przeprowadzenia takiej analizy, gdy była ona wymagana, stanowi bezpośrednie naruszenie przepisów RODO i może skutkować nałożeniem kary finansowej przez organ nadzorczy. Prawidłowo przeprowadzona DPIA pozwala zidentyfikować luki bezpieczeństwa w konfiguracji systemu Comarch jeszcze przed uruchomieniem produkcyjnym, co chroni firmę przed późniejszymi incydentami.

Rola partnera wdrożeniowego Comarch jako podmiotu przetwarzającego

Większość przedsiębiorstw nie wdraża ani nie serwisuje systemów Comarch samodzielnie. Zadania te powierzane są wyspecjalizowanym partnerom wdrożeniowym (integratorom IT). W świetle RODO, taki partner, uzyskując dostęp do bazy danych systemu ERP w celu jego konfiguracji, naprawy błędów czy wykonania kopii zapasowej, staje się podmiotem przetwarzającym (procesorem). Zgodnie z art. 28 RODO, powierzenie przetwarzania danych osobowych takiemu podmiotowi wymaga zawarcia na piśmie lub w formie elektronicznej umowy powierzenia przetwarzania danych (DPA - Data Processing Agreement).

Przekazanie dostępu do systemu Comarch partnerowi wdrożeniowemu bez podpisanej umowy DPA stanowi rażące naruszenie RODO, za które odpowiedzialność ponosi zarówno administrator (za brak weryfikacji i brak umowy), jak i procesor (za przetwarzanie danych bez upoważnienia). W umowie tej należy precyzyjnie określić zakres i cel przetwarzania, obowiązki partnera w zakresie bezpieczeństwa oraz procedury zgłaszania incydentów. Brak takiej umowy to jeden z pierwszych elementów weryfikowanych przez organ nadzorczy podczas kontroli.

Bezpieczeństwo bazy danych MS SQL Server a RODO

Systemy Comarch ERP w wersjach stacjonarnych opierają swoje działanie na relacyjnych bazach danych Microsoft SQL Server. Bezpieczeństwo danych osobowych musi być zatem zapewnione nie tylko na poziomie interfejsu aplikacji Comarch, ale również bezpośrednio w warstwie bazodanowej. Administrator danych ma obowiązek wdrożyć odpowiednie zabezpieczenia techniczne, takie jak:

Szyfrowanie połączeń: Transmisja danych pomiędzy stacjami roboczymi pracowników a serwerem SQL musi być szyfrowana przy użyciu protokołów SSL/TLS, aby zapobiec podsłuchiwaniu pakietów w sieci lokalnej.
Szyfrowanie baz danych (TDE): W przypadku baz zawierających dane szczególnie wrażliwe, warto rozważyć technologię Transparent Data Encryption, która chroni pliki bazy danych przed nieautoryzowanym odczytem w przypadku fizycznej kradzieży serwera lub nośników kopii zapasowych.
Bezpieczeństwo kopii zapasowych: Backupy baz danych Comarch muszą być przechowywane w bezpiecznym miejscu, a dostęp do nich powinien być ściśle kontrolowany i szyfrowany. Zgubienie niezaszyfrowanego dysku z kopią zapasową bazy Comarch ERP XL to klasyczny przykład naruszenia bezpieczeństwa, który wymaga zgłoszenia do UODO w ciągu 72 godzin.
Zarządzanie kontami SQL: Użytkownicy aplikacji nie powinni łączyć się z bazą danych za pomocą jednego, wspólnego konta administratora (np. konta 'sa'). Każdy użytkownik lub usługa powinna posiadać dedykowane uprawnienia o najniższym niezbędnym poziomie.

Najczęstsze błędy w konfiguracji Comarch ERP generujące ryzyko kar

Analiza decyzji organu nadzorczego oraz audytów bezpieczeństwa pozwala wskazać najczęstsze uchybienia związane bezpośrednio z eksploatacją systemów Comarch:

Brak aktualizacji oprogramowania: Starsze wersje systemów mogą nie posiadać najnowszych łatek bezpieczeństwa ani narzędzi ułatwiających realizację nowych interpretacji prawnych. Korzystanie z nieaktualnego oprogramowania jest traktowane jako rażące zaniedbanie zasady rozliczalności i bezpieczeństwa.
Zbyt szerokie uprawnienia użytkowników: Przyznawanie wszystkim pracownikom uprawnień administratora bazy danych lub pełnego wglądu w moduły kadrowo-płacowe i handlowe ułatwia codzienną pracę, ale drastycznie zwiększa ryzyko wycieku danych lub ich nieuprawnionej modyfikacji.
Niewłaściwe zarządzanie bazami testowymi: Częstym błędem podczas wdrożeń lub prac serwisowych jest kopiowanie produkcyjnej bazy danych (zawierającej realne dane klientów i pracowników) do środowiska testowego, do którego dostęp mają programiści, wdrożeniowcy lub podmioty trzecie bez podpisanych umów powierzenia danych (DPA).
Brak procedur retencji danych: Przechowywanie danych byłych klientów lub kandydatów do pracy przez czas nieokreślony, bez wyznaczonych terminów ich automatycznego usuwania lub anonimizacji w systemie Comarch, stanowi bezpośrednie naruszenie zasady ograniczenia przechowywania.
Ignorowanie logów systemowych: Brak monitorowania i analizowania logów dostępu do baz danych uniemożliwia szybkie wykrycie incydentów bezpieczeństwa (np. masowego pobierania danych przez odchodzącego pracownika).

Jak zminimalizować ryzyko? Procedura wdrożenia zgodności

Aby skutecznie zabezpieczyć system Comarch przed ryzykiem sankcji, należy wdrożyć systematyczną procedurę weryfikacji i dostosowania środowiska IT:

Krok 1: Przeprowadzenie audytu uprawnień. Należy zweryfikować konta wszystkich użytkowników w systemie Comarch ERP i ograniczyć ich uprawnienia wyłącznie do ról niezbędnych do wykonywania pracy. Konta byłych pracowników muszą być natychmiast dezaktywowane.

Krok 2: Wdrożenie procedury realizacji wniosków RODO. Należy opracować jasną instrukcję dla pracowników, jak krok po kroku wyszukiwać, modyfikować, eksportować i anonimizować dane w systemie Comarch w odpowiedzi na wniosek klienta lub pracownika, dbając o zachowanie ustawowego terminu jednego miesiąca.

Krok 3: Regularne aktualizacje i asysta techniczna. Utrzymywanie aktywnej asysty technicznej Comarch pozwala na bieżąco instalować poprawki bezpieczeństwa oraz korzystać z najnowszych modułów dedykowanych ochronie danych.

Krok 4: Podpisywanie umów powierzenia przetwarzania danych. Każda firma zewnętrzna (np. partner wdrożeniowy Comarch, biuro rachunkowe, dostawca hostingu), która ma dostęp do systemu ERP, musi podpisać z administratorem umowę powierzenia przetwarzania danych (art. 28 RODO).

Praktyczny przykład (case study)

Spółka handlowa korzystała z systemu Comarch ERP Optima. Były klient spółki skierował drogą mailową wniosek o usunięcie jego danych osobowych z bazy marketingowej (realizacja prawa do bycia zapomnianym). Pracownik działu obsługi klienta odczytał wiadomość, jednak ze względu na brak wewnętrznych procedur i natłok obowiązków, nie przekazał sprawy do działu IT ani do Inspektora Ochrony Danych. Wniosek nie został zrealizowany w ustawowym terminie jednego miesiąca. Po sześciu tygodniach klient, nie otrzymawszy żadnej odpowiedzi, złożył skargę do Prezesa Urzędu Ochrony Danych Osobowych. Organ nadzorczy wszczął postępowanie wyjaśniające. W toku kontroli okazało się, że spółka nie tylko nie zrealizowała wniosku w terminie, ale również nie posiadała wdrożonej procedury obsługi takich żądań, a w systemie Comarch uprawnienia do usuwania i anonimizacji danych nie były przypisane do żadnej konkretnej roli. W rezultacie PUODO nałożył na spółkę administracyjną karę pieniężną za naruszenie art. 12 i art. 17 RODO oraz nakazał natychmiastowe dostosowanie procedur i przeszkolenie personelu. Spółka poniosła nie tylko koszty finansowe kary, ale również straty wizerunkowe, gdy informacja o nałożeniu kary została opublikowana na stronie organu nadzorczego.

Podsumowanie

Zgodność systemu Comarch z RODO to proces ciągły, wymagający ścisłej współpracy działu prawnego, IT oraz kadry zarządzającej. Narzędzia dostarczane przez Comarch ułatwiają realizację obowiązków prawnych, jednak ich skuteczność zależy od prawidłowej konfiguracji, regularnych audytów oraz świadomości pracowników. Ignorowanie obowiązków, uchybianie terminom czy brak odpowiednich zabezpieczeń technicznych naraża przedsiębiorstwo na dotkliwe sankcje finansowe ze strony organu nadzorczego oraz utratę zaufania na rynku. Inwestycja w prawidłowe wdrożenie i utrzymanie zgodności z RODO jest zatem nieodzymym elementem bezpiecznego zarządzania nowoczesnym biznesem.