Rynkowa luka w RODO. Duzi mają korporacyjne systemy, mali za to dziurawego Excela i ryzyko kar – Tomasz Śmieja (ROWPA)

O tym, jak tę niszę zmienia AI, rozmawiamy z Tomaszem Śmieją, ex-menadżerem OneTrust i twórcą startupu ROWPA. Ekspert zdradza najczęstsze błędy małych firm, obala mit o wyłączeniach dla MŚP i wyjaśnia, dlaczego AI w ochronie danych powinno pełnić rolę asystenta, a nie ostatecznego sędziego.

Skąd się wziął pomysł na Rowpa?

Z sześciu lat pracy w OneTrust.

Wdrażałem tam systemy ochrony prywatności u klientów, najpierw jako konsultant, potem jako menedżer zespołu wdrożeń. Stamtąd mam wiedzę, certyfikaty, w tym CIPP/E i tytuł Fellow of Information Privacy przyznawany przez IAPP, i całe zawodowe doświadczenie w prywatności. I stamtąd mam też pomysł.

Bo Rowpa nie powstała przeciwko OneTrust. Powstała tam, gdzie OneTrust nie idzie. To świetne oprogramowanie i dobrze wspominam te lata, ale klientem jest tam korporacja z działem prawnym i budżetem, przy którym pięć tysięcy dolarów na start to pozycja w arkuszu, a nie decyzja. Tymczasem RODO obowiązuje tak samo firmę zatrudniającą trzy osoby, jak i korporację zatrudniającą trzy tysiące. Obowiązki są niemal identyczne, a cały rynek narzędzi obsługuje wyłącznie tę drugą. Zdecydowana większość firm w Polsce to mikro, małe i średnie przedsiębiorstwa i dla nich nie było nic pomiędzy arkuszem w Excelu a systemem klasy korporacyjnej. Ten segment nie jest źle obsługiwany. On jest pomijany. Wiem to nie z raportów, tylko z sześciu lat pracy po drugiej stronie.

Odszedłem z OneTrust pewny jednej rzeczy: ta luka jest prawdziwa, a AI po raz pierwszy pozwala obsłużyć firmy, których nikt nie chciał obsługiwać pojedynczo, bo się to nie spinało. Oprogramowanie naprawia właśnie to „pojedynczo”.

Drugą rzecz zrozumiałem, dopiero budując Rowpa. Właściciel małej firmy nie ma ani dwudziestu tysięcy na system, ani trzech wieczorów na czytanie rozporządzenia. Pieniądze można pożyczyć. Wieczorów nie. Rowpa oszczędza jedno i drugie, ale to drugie jest tym, za co ludzie faktycznie dziękują.

Jakie największe błędy popełniają małe firmy, które próbują ogarnąć RODO same?

Pierwszy: kopiują politykę prywatności od kogoś większego. Zdarza się, że razem z nazwą tamtej firmy. Taka polityka opisuje procesy, których u nich nie ma, i milczy o tych, które mają.

Drugi: mylą politykę prywatności z rejestrem czynności przetwarzania. Polityka to witryna sklepowa, rejestr to magazyn. Kontrola zagląda na zaplecze.

Trzeci: wierzą w wyłączenie z art. 30 ust. 5 dla firm zatrudniających mniej niż 250 osób. Ono prawie nigdy nie ma zastosowania, bo dotyczy przetwarzania sporadycznego, a kadry i baza klientów sporadyczne nie są. To chyba najczęściej powtarzany mit w polskim MŚP.

Czwarty, i najdroższy: brak umów powierzenia z narzędziami, których używa się codziennie. W głośnej sprawie DPD z kary sięgającej 11 mln zł ponad 6 mln dotyczyło właśnie braku takich umów. Firma, która korzysta z hostingu, newslettera, czatu i systemu do faktur, ma zwykle kilkanaście takich relacji i nie wie o połowie z nich.

Piąty: traktują RODO jak certyfikat, a nie jak stan. Zgodności się nie zdobywa. Ona się psuje, kiedy zmieniasz narzędzie.

Gdybyś miał wyjaśnić w trzech prostych krokach osobie bez wiedzy prawniczej: jak dokładnie działa to narzędzie?

Krok pierwszy: wpisujesz adres swojej strony, jeszcze przed założeniem konta. Rowpa ją skanuje, ponad sto wzorców rozpoznawania, i pokazuje, kto zbiera przez nią dane. Analytics, piksel Meta, Przelewy24, formularz newslettera, czat, kurier. Zwykle jest tego więcej, niż właściciel pamięta. Wynik widzisz, zanim się zarejestrujesz, i to jest celowe: nie chcę, żeby ktoś zakładał konto w ciemno.

Krok drugi: Rowpa buduje z tego rejestr czynności przetwarzania. Co zbierasz, w jakim celu, na jakiej podstawie prawnej, jak długo trzymasz, komu przekazujesz. Ty to czytasz i poprawiasz, bo to Twoja firma, nie moja. Przy każdym polu jest oznaczenie pewności, więc od razu widać, czemu przyjrzeć się uważniej.

Krok trzeci: z tego samego rejestru powstaje polityka prywatności i lista rzeczy do naprawienia, ułożona według ryzyka. Nie alfabetycznie, tylko od tego, co faktycznie może się zemścić.

Tak, pod spodem pracuje AI. I właśnie dlatego każde pole ma oznaczenie pewności, a rejestr zatwierdzasz Ty, nie model. AI robi wersję roboczą w kwadrans, człowiek podejmuje decyzję. W drugą stronę to nie działa.

Krok czwarty jest nieoficjalny i polega na tym, że przestajesz o tym myśleć.

Ile to zajmuje?

Skan trwa około minuty. Pierwszy komplet dokumentów, czyli rejestr czynności, rejestr dostawców i polityka, powstaje w kwadrans. Pełne przejście, czyli zamknięcie także listy ryzyk i dojście do stu punktów we wskaźniku zgodności, zajmuje jakąś godzinę od rejestracji.

Uczciwe zastrzeżenie: te sto punktów to nasz wskaźnik, a nie certyfikat i nie opinia prawna. Oznaczają, że firma ma komplet dokumentów i nie ma otwartych flag ryzyka. Bardzo dużo, ale nie wszystko.

Dla porównania: to mniej niż jedna rozmowa telefoniczna o tym, czy RODO w ogóle Cię dotyczy. I zdecydowanie mniej niż wdrożenie czegokolwiek, co sprzedaje się przez formularz „skontaktuj się z działem sprzedaży”. Wdrażałem takie systemy sześć lat, więc mówię to z czułością.

Czym to się różni od zwykłego pliku w Wordzie albo Excelu?

Zacznę od tego, że realnie ten plik to prawie zawsze Excel. Rejestr czynności przetwarzania ma formę tabeli, więc firma bez narzędzia zakłada arkusz, wypełnia go raz i ma spokój. Word pojawia się obok, na politykę prywatności. Problem w tym, że arkusz nie wie, że istnieje. Nikt mu nie powie, że firma właśnie podpięła nowy czat albo zmieniła kuriera. Leży w folderze i cierpliwie staje się nieprawdą.

Trzy konkretne różnice. Po pierwsze, rejestr, polityka i lista ryzyk to u nas jedna baza, a nie trzy pliki. Poprawiasz rejestr i polityka aktualizuje się sama, więc dokumenty nie zaczną sobie nawzajem przeczyć. Po drugie, jest historia zmian: kto, co i kiedy poprawił. A o to właśnie pyta urząd i tego arkusz nie ma nigdy. Po trzecie, Rowpa codziennie sprawdza komunikaty UODO i EDPB i tłumaczy je na ludzki, w języku klienta. Arkusz nie czyta stron urzędów. Ja też nie, dlatego to zautomatyzowałem.

Warto dodać jedno. Systemy klasy korporacyjnej rozwiązują ten problem naprawdę dobrze i kosztują odpowiednio. Znam je od środka i właśnie dlatego wiem, że małe firmy zostają przy Excelu nie z miłości do arkuszy, tylko dlatego, że między Excelem a taką platformą nie było dotąd nic.

Do kogo jest Rowpa i co z bezpieczeństwem danych?

Do firm od jednej do mniej więcej pięćdziesięciu osób, które nie mają inspektora ochrony danych, a dane przetwarzają, bo prowadzą normalny biznes. Sklepy na Shoperze, IdoSellu czy WooCommerce, agencje, software house’y, biura rachunkowe, freelancerzy. Osobno agencje i biura, które pilnują zgodności u swoich klientów i potrzebują tego w jednym miejscu.

To ten sam segment, o którym mówiłem na początku. Zbyt duży, żeby RODO go nie dotyczyło, i zbyt mały, żeby ktokolwiek chciał mu cokolwiek sprzedać.

Co do bezpieczeństwa, zacznę od rzeczy najważniejszej. Do zbudowania rejestru i polityki Rowpa nie potrzebuje danych osobowych Twoich klientów i o nie nie prosi. Rejestr opisuje kategorie danych, a nie same dane. Nie wgrywasz do nas bazy mailingowej.

Jest jeden wyjątek i wolę wskazać go sam, niż udawać, że go nie ma. Jeśli korzystasz z naszego formularza do obsługi wniosków osób, których dane dotyczą, to wpływają przez niego imię i nazwisko, adres e-mail oraz treść wniosku. To jedyne miejsce, w którym trafiają do nas dane Twoich klientów, i jedyne, w którym jesteśmy Twoim podmiotem przetwarzającym. Korzystanie z tego formularza jest opcjonalne.

Reszta: dane siedzą w bazie Postgres w regionie unijnym we Frankfurcie, aplikacja działa w Londynie, wszystko szyfrowane w tranzycie i w spoczynku. Izolacja między klientami jest wymuszona na poziomie bazy danych, a nie aplikacji, co jest istotne, bo błąd w aplikacji nie otwiera wtedy cudzych danych. Logowanie działa magicznym linkiem, więc nie przechowujemy haseł, bo najbezpieczniejsze hasło to takie, którego nie ma. Do analizy używamy modeli Anthropic przez API, a dane przesyłane przez API nie służą do trenowania modeli.

Byłoby dość niezręcznie, gdyby narzędzie do RODO okazało się największym ryzykiem w firmie klienta.

Na jakim etapie jest Rowpa i jakie są cele na najbliższe miesiące?

Produkt jest żywy i płatny, działa od wiosny na rynku brytyjskim. Polska wersja ma kilka tygodni i nie jest tłumaczeniem: podstawy prawne, terminy retencji i taksonomie są zmapowane na polskie przepisy, łącznie z ustawą o rachunkowości.

Najlepiej widać to po bibliotece dostawców. Jest w niej 410 narzędzi, w tym 36 polskich, a przy 358 mamy sprawdzony link do umowy powierzenia. Anglojęzyczna konkurencja nie widzi Przelewów24, Tpay, Apaczki ani InPostu, bo nie ma powodu ich znać. Dla polskiego sklepu to jest właśnie ta połowa rejestru, której brakuje. Tu się wygrywa szczegółem, a nie hasłem.

Za całością stoi TeZe Ltd, czyli formalnie spółka, a praktycznie ja.

Cele na najbliższe miesiące są nudne i dlatego prawdziwe. Pięć polskich firm pilotażowych, za darmo, w zamian za szczerą opinię, łącznie z tą niewygodną. Pierwsi polscy płacący klienci. Dalsza rozbudowa polskiej części biblioteki.

Cel dalszy jest jeden i nie zmienił się od pierwszego dnia: żeby pięcioosobowa firma miała w kwestii RODO to samo, co ma korporacja, tylko za cenę, której nie trzeba tłumaczyć księgowej.