System awizacji przetwarza dane osobowe — imię i nazwisko kierowcy, numer telefonu, a także dane osób kontaktowych u przewoźników i kontrahentów. Magazyn korzystający z systemu jest w tej relacji administratorem tych danych, a dostawca oprogramowania działa jako podmiot przetwarzający, co wymaga zawarcia umowy powierzenia przetwarzania. Poza formalnościami trzeba rozstrzygnąć trzy rzeczy: jaki jest cel i podstawa przetwarzania, kto ma dostęp do których danych oraz jak długo są przechowywane. Poniższy tekst jest opracowaniem praktycznym, nie poradą prawną.
Jakie dane osobowe pojawiają się w awizacji
Warto zacząć od inwentaryzacji, bo bez niej trudno ocenić zakres obowiązków:
- Dane kierowcy: imię i nazwisko oraz numer telefonu kontaktowego. Numery PESEL oraz seria i numer dokumentów tożsamości (dowód, paszport) nie są polem awizacji, a AwizoSlot blokuje ich zapis w polach tekstowych.
- Podpis odręczny kierowcy: składany na telefonie przy dokumencie e-WZ i przechowywany w archiwum razem z dokumentem. Na ten sam numer telefonu wychodzi SMS z kodem do podpisu.
- Dane osób kontaktowych u przewoźnika i kontrahenta, w tym adresy e-mail i numery telefonów użyte do powiadomień.
- Dane użytkowników portalu partnerskiego: konta zakładane po przyjęciu zaproszenia.
- Dane w dzienniku audytu: kto, kiedy i z jakiego adresu IP wykonał operację w systemie.
Numer rejestracyjny pojazdu sam w sobie dotyczy rzeczy, ale w połączeniu z danymi kierowcy i czasem przyjazdu staje się elementem zbioru pozwalającego zidentyfikować konkretną osobę, więc traktowanie go łącznie z pozostałymi danymi jest bezpieczniejsze.
Kto jest administratorem, a kto podmiotem przetwarzającym
To rozróżnienie decyduje o podziale obowiązków i bywa mylone.
Magazyn decyduje o celach i sposobach przetwarzania — po co zbiera dane kierowcy, jakie pola są wymagane, komu nadaje dostęp. Jest więc administratorem.
Dostawca systemu przetwarza te dane w imieniu magazynu, na podstawie zawartej umowy i w zakresie z niej wynikającym. Jest podmiotem przetwarzającym. W AwizoSlot dostępny jest wzór umowy powierzenia przetwarzania danych, co skraca etap formalny przed uruchomieniem.
Przewoźnik jest zwykle odrębnym administratorem w stosunku do danych swoich kierowców, co oznacza, że przekazanie tych danych magazynowi wymaga własnej podstawy po jego stronie. Ten temat trzeba poruszyć w rozmowie o podłączeniu do portalu, zamiast zakładać, że jest oczywisty.
Podstawa i cel przetwarzania
Dane kierowców w awizacji nie są przetwarzane „bo tak trzeba”, lecz w konkretnych celach: umożliwienia wjazdu na teren, kontaktu w sprawie dostawy, potwierdzenia wydania towaru, zapewnienia bezpieczeństwa obiektu i rozliczenia realizacji. Każdy z tych celów trzeba nazwać, bo od niego zależy zakres danych i okres przechowywania.
Typowa pułapka to zbieranie danych „na wszelki wypadek”. W AwizoSlot numeru dokumentu tożsamości w ogóle nie wpisuje się do systemu — walidacja odrzuca takie wzorce. Dozwolone są numery operacyjne (np. zamówienia, WZ), które nie są dokumentami tożsamości. Ograniczenie zakresu jest najprostszym sposobem zmniejszenia ryzyka.
Dostęp do danych i zabezpieczenia
Kto ma widzieć które dane
Zasada minimalizacji dostępu ma w awizacji bardzo konkretne zastosowanie, bo w systemie funkcjonują użytkownicy z różnych organizacji.
Partner zewnętrzny po przyjęciu zaproszenia widzi wyłącznie własne awizacje, nie ma więc wglądu w dostawy innych przewoźników ani w nazwy ich kontrahentów. To rozwiązuje problem, którego nie da się rozwiązać przy wysyłaniu wspólnego arkusza — o czym pisaliśmy w tekście o awizacji w Excelu i systemie YMS.
Wewnątrz magazynu dostęp opiera się na rolach (właściciel, administrator, planista, operator bramy, audytor), więc zakres uprawnień można dopasować do stanowiska. Kierowca nie dostaje konta w ogóle: podpisuje e-WZ przez link z SMS-a i widzi tylko ten jeden dokument.
Zabezpieczenia techniczne
| Mechanizm | Czemu służy |
|---|---|
| Osobna baza danych dla każdej firmy | Rozdzielenie danych między klientami systemu |
| Kontrola dostępu oparta na rolach | Ograniczenie zakresu danych widocznych dla użytkownika |
| Logowanie dwuskładnikowe, włączane przez użytkownika dla własnego konta | Zabezpieczenie kont przed nieuprawnionym dostępem |
| Szyfrowanie sekretów i kopii zapasowych; blokada PESEL / nr dokumentów tożsamości | Ochrona haseł i sekretów aplikacji oraz minimalizacja danych identyfikacyjnych w bazie operacyjnej |
| Dziennik audytu | Możliwość odtworzenia, kto i kiedy wykonał operację |
| Rate limiting | Ograniczenie prób masowego odpytywania i nadużyć |
| Dane firmy zapraszającej widoczne w zaproszeniu | Ochrona przed podszywaniem się przy zaproszeniach dla partnerów |
Dziennik audytu pełni dwie funkcje naraz. Operacyjnie pozwala rozstrzygnąć, kto przesunął awizację. Z perspektywy ochrony danych stanowi element rozliczalności, czyli zdolności do wykazania, jak dane były przetwarzane.
Okres przechowywania i usuwanie danych
To obszar, w którym najłatwiej popełnić błąd przez zaniechanie. Dane awizacyjne nie powinny być przechowywane bezterminowo, ale różne kategorie mają różne uzasadnione okresy: dane potrzebne do rozliczenia dostawy, dokumenty potwierdzające wydanie towaru oraz zapisy służące bezpieczeństwu obiektu mogą podlegać innym terminom.
Praktyczne podejście to ustalenie polityki retencji przed uruchomieniem systemu, zapisanie jej i wskazanie osoby odpowiedzialnej za przeglądy. Szczegółowe terminy ustal z osobą odpowiadającą za ochronę danych w organizacji, bo zależą od kontekstu prawnego i charakteru działalności. Przy planowaniu pomaga wiedza, jak długo przechowuje dane sam system: w AwizoSlot archiwum e-WZ obejmuje 12 miesięcy w planie Start, 24 w Standardzie i 36 w Sieci, a w Enterprise okres ustala umowa.
Obowiązek informacyjny wobec kierowców
Kierowca, którego dane trafiają do systemu, powinien wiedzieć, kto je przetwarza, w jakim celu i jakie ma prawa. W praktyce realizuje się to zwykle przez informację dostępną w punkcie zgłoszenia, na stanowisku przy bramie albo przekazywaną przez przewoźnika.
Uzgodnij to z przewoźnikami przy podłączaniu ich do portalu, bo część treści informacyjnej naturalnie trafia do nich jako do podmiotu zatrudniającego kierowcę. Kolejność takich ustaleń w ramach projektu opisaliśmy w tekście o wdrożeniu systemu awizacji.
Lista kontrolna przed uruchomieniem
- Spisz, jakie dane osobowe faktycznie zbierasz w awizacji i po co.
- Usuń z formularza pola, które nie są potrzebne do żadnego z celów.
- Zawrzyj umowę powierzenia przetwarzania z dostawcą systemu.
- Ustal role i sprawdź, czy zakresy dostępu odpowiadają stanowiskom.
- Poproś osoby z szerokimi uprawnieniami, żeby włączyły logowanie dwuskładnikowe na swoich kontach.
- Ustal politykę retencji i wskaż osobę odpowiedzialną za przeglądy.
- Przygotuj treść informacji dla kierowców i uzgodnij sposób jej przekazywania.
- Uzgodnij z przewoźnikami podstawę przekazywania danych ich kierowców.
Osiem punktów wygląda na dużo, ale większość z nich to decyzje jednorazowe, podejmowane przed startem. Bez nich system działa, tylko ryzyko pozostaje nieopisane, a to gorsza sytuacja niż ryzyko znane i ograniczone.
Najczęstsze pytania
Czy z dostawcą systemu awizacji trzeba zawrzeć umowę powierzenia?
Tak. Dostawca przetwarza dane kierowców i osób kontaktowych w imieniu magazynu, więc wymaga tego art. 28 RODO. AwizoSlot udostępnia wzór takiej umowy.
Czy w awizacji można zapisać numer dowodu osobistego kierowcy?
Do samej awizacji nie jest on potrzebny, a zasada minimalizacji danych przemawia przeciwko jego zbieraniu. W AwizoSlot nie da się go zapisać: walidacja odrzuca numery PESEL oraz serie i numery dokumentów tożsamości w polach tekstowych.