Depozytor kluczy a RODO: jakie dane zapisuje i co ustalić

Elektroniczny depozytor kluczy zapisuje w rejestrze, kto pobrał lub oddał klucz, kiedy to zrobił i który to był klucz. Niektóre modele rejestrują też zdjęcie osoby pobierającej klucz. Gdy wpis da się przypisać do konkretnego pracownika, traktuje się go jak dane osobowe. Typowy zakres zapisów to:

• identyfikator użytkownika – imię i nazwisko albo numer karty lub użytkownika;
• data i godzina pobrania oraz zwrotu, a także czas przetrzymania klucza;
• klucz lub skrytka, której dotyczy zdarzenie;
• działania administratorów w oprogramowaniu – TrakaWEB rejestruje je w pełnym logu;
• w niektórych modelach zdjęcie osoby pobierającej klucz – taką funkcję ma według producenta Roger RKD32.

Dane nie są tylko na ekranie depozytora. Raporty możesz eksportować na pendrive lub przeglądać w programie. Depozytory Traka Touch Pro robią kopię danych na karcie microSD, a w trybie online historia trafia na serwer TrakaWEB. Polityka ochrony danych musi więc obejmować też pendrive’y, wydruki raportów i serwer, nie tylko samo urządzenie.

Zanim wdrożysz depozytor, ustal, jak długo trzymać historię zdarzeń i zdjęcia, kto ma wgląd w raporty i jak usunąć dane odchodzącego pracownika. Konkretne okresy i podstawy prawne wyznacza administrator danych razem z prawnikiem. Tu dostajesz tylko listę pytań do dostawcy.

• jak długo urządzenie przechowuje zdarzenia i czy można ustawić automatyczne kasowanie;
• czy zdjęcia z kamery są domyślnie włączone i czy da się je wyłączyć;
• czy usunięcie użytkownika usuwa jego dane z historii zdarzeń;
• kto ma uprawnienia administratora i czy ich działania trafiają do rejestru;
• jak zabezpieczyć raporty wyeksportowane na pendrive.

Niektórzy zamawiający publiczni opisują te kwestie w specyfikacji. Politechnika Śląska w 2022 roku wymagała kamery HD, przechowywania zdjęć przez maksymalnie 3 miesiące, automatycznego kasowania i trwałego usunięcia danych użytkownika po usunięciu go z systemu. KAS Szczecin żądała rejestracji zdarzeń przez co najmniej 3 miesiące. To wymagania tych zamawiających, nie norma dla każdego obiektu.

Raport z depozytora pokazuje, kto i kiedy pobierał klucz do konkretnego pomieszczenia, więc krąg osób z dostępem do raportów warto ograniczyć do niezbędnego minimum.TrakaWEB pozwala przydzielać uprawnienia do wybranych elementów i delegować administrację na poziomie działów, a działania administratorów trafiają do rejestru. Nadaj administratorom osobne konta zamiast jednego wspólnego loginu i hasła.

Urządzenie samo nie jest „zgodne z RODO” ani „niezgodne” – o zgodności decyduje, jak organizacja z niego korzysta: po co zapisuje zdarzenia, komu je udostępnia i jak długo trzyma. Producenci piszą o zgodności z RODO, ale traktuj to jako opis funkcji (na przykład rejestru zdarzeń), a nie jako gwarancję. Cel zapisu, informację dla pracowników i okresy przechowywania ustal z inspektorem ochrony danych lub prawnikiem.

Według opisu oprogramowanie TrakaWEB ma szyfrowaną komunikację z depozytorem, portal zabezpieczony TLS/SSL, automatyczne wylogowanie po bezczynności, wymuszanie silnych haseł i integrację z Active Directory. Kaba DPE zapisuje datę, godzinę i numer użytkownika. Dobór modelu do wymagań opisuje poradnik o depozytorach kluczy →