RODO w usługach sprzątania: dostęp do biura, kluczy i danych klientów

Czy firma sprzątająca w ogóle przetwarza dane osobowe?

To pierwsze pytanie, od którego trzeba zacząć, bo od odpowiedzi zależy cała konstrukcja umowy. Serwis sprzątający wchodzi do biura, w którym na biurkach leżą teczki kadrowe, na monitorach świecą się CRM-y, a w koszach lądują wydruki z danymi kontrahentów. Dostęp do danych jest więc realny, ale nie o dostęp tu chodzi, tylko o cel.

Europejska Rada Ochrony Danych w wytycznych 07/2020 dotyczących pojęć administratora i podmiotu przetwarzającego wprost wskazuje usługi porządkowe jako przykład sytuacji, w której nie dochodzi do powierzenia przetwarzania. Sprzątanie nie ma celu związanego z danymi: celem jest czystość podłogi, a kontakt z dokumentami jest ubocznym efektem obecności w pomieszczeniu. Dlatego w standardowym kontrakcie na sprzątanie biura nie podpisuje się umowy powierzenia z art. 28 RODO.

Nie znaczy to, że temat znika. Administrator, czyli klient, nadal odpowiada za bezpieczeństwo danych i musi wykazać, że dopuszczenie obcych osób do pomieszczeń odbywa się w kontrolowanych warunkach. Stąd klauzule poufności, procedury dostępu i ewidencja osób wykonujących usługę.

Kiedy umowa powierzenia jednak jest konieczna?

Są sytuacje, w których zakres usługi wychodzi poza mycie i odkurzanie, a firma zaczyna realnie operować na danych. Wtedy art. 28 RODO wchodzi do gry i umowa powierzenia jest obowiązkowa.

Typowe przypadki z praktyki:

• Niszczenie dokumentów. Jeśli serwis opróżnia niszczarki, zbiera makulaturę z danymi, transportuje ją i przekazuje do utylizacji, to już jest operacja na danych osobowych.
• Obsługa archiwum lub magazynu akt. Przenoszenie segregatorów, porządkowanie regałów z teczkami, przygotowanie pomieszczenia do przeprowadzki.
• Recepcja i usługi dodatkowe. Część firm sprzątających obsługuje też recepcję, rejestruje gości, wydaje identyfikatory. To przetwarzanie danych w czystej postaci.
• Sprzątanie w placówkach medycznych, kancelariach, HR. Gdy usługa obejmuje pomieszczenia z danymi szczególnych kategorii i wykonawca realnie ma je porządkować, ryzyko jest na tyle wysokie, że wiele podmiotów decyduje się na umowę powierzenia dla bezpieczeństwa.
• Zarządzanie systemem kontroli dostępu. Jeśli wykonawca prowadzi listy kart, loguje wejścia, obsługuje monitoring obiektu.

Odrębna rzecz: firma sprzątająca zawsze jest administratorem danych własnych pracowników oraz danych kontaktowych osób po stronie klienta. Tego nikt nie powierza, to jej własny obowiązek, łącznie z rejestrem czynności i obowiązkiem informacyjnym.

U klientów indywidualnych sprawa wygląda inaczej. Osoba fizyczna sprzątająca mieszkanie w ramach czynności czysto osobistych nie podlega RODO, ale firma, która przyjmuje zlecenie na sprzątanie mieszkań i domów, już tak. Musi mieć podstawę przetwarzania adresu, telefonu i danych do faktury oraz poinformować klienta, jak długo je trzyma.

Jak opisać dostęp do pomieszczeń z danymi?

Najwięcej problemów rodzi nie sama umowa, tylko brak opisu tego, co dzieje się w praktyce po godzinie 18:00. Dobra dokumentacja rozbija obiekt na strefy i przypisuje im reguły.

Strefa otwarta to korytarze, kuchnie, sale konferencyjne bez dokumentów, toalety. Sprzątanie bez ograniczeń, w ustalonych godzinach.

Strefa z danymi to open space, gabinety, sekretariat. Tu stosuje się zasadę czystego biurka i czystego ekranu po stronie klienta: dokumenty w szafach, stacje zablokowane. Personel sprzątający ma zakaz przeglądania, przenoszenia i fotografowania jakichkolwiek papierów, a wydruki pozostawione na drukarce nie są wyrzucane, tylko zgłaszane koordynatorowi.

Strefa ograniczona to serwerownia, archiwum, kadry, pomieszczenie z monitoringiem. Standard rynkowy: sprzątanie wyłącznie w obecności wyznaczonego pracownika klienta albo w określonych oknach czasowych z wpisem do rejestru wejść. Częstotliwość zwykle rzadsza, raz w tygodniu lub raz w miesiącu, i osobno wyceniana.

Warto ten podział wpisać do załącznika z zakresem prac, bo wtedy jest jasne, że personel po prostu nie ma prawa wejść tam, gdzie nie powinien. Przy wyborze wykonawcy do sprzątania biur pytanie o strefy dostępu jest dobrym testem, czy firma ma doświadczenie w obiektach z wymaganiami bezpieczeństwa.

Klucze, karty i kody — kto za co odpowiada?

Wydanie kompletu kluczy obcej firmie to decyzja, którą trzeba udokumentować. Minimum, które powinno znaleźć się w kontrakcie:

• protokół przekazania kluczy lub kart z numerami i datą, podpisany przez obie strony,
• imienna lista osób uprawnionych do pobierania kluczy, aktualizowana przy każdej zmianie w składzie brygady,
• zakaz dorabiania kluczy i wynoszenia ich poza obiekt bez zgody klienta, jeśli obowiązuje depozyt,
• obowiązek zgłoszenia zgubienia karty lub klucza w ciągu kilku godzin, wraz z pokryciem kosztów wymiany wkładki lub przekodowania systemu,
• zwrot wszystkich nośników dostępu w dniu zakończenia umowy, z protokołem.

Karty zbliżeniowe są wygodniejsze od kluczy, bo zostawiają ślad w logach i można je dezaktywować w minutę. Jeśli obiekt ma system kontroli dostępu, rozsądniej wydać karty imienne niż jedną wspólną na całą ekipę. Koszt takiej dyscypliny jest zerowy, a przy incydencie różnica jest ogromna.

Jakie klauzule wpisać do kontraktu?

Umowa na sprzątanie biura z elementami ochrony danych powinna zawierać co najmniej kilka punktów, które da się wyegzekwować.

1. Zobowiązanie do poufności obejmujące wszystkie informacje, z którymi personel zetknie się w obiekcie, obowiązujące także po zakończeniu umowy, zwykle przez 3 lata.
2. Oświadczenie o zobowiązaniu personelu. Wykonawca oświadcza, że każda osoba kierowana do obiektu podpisała zobowiązanie do zachowania poufności, i przedstawia je na żądanie.
3. Imienna lista personelu. Klient dostaje wykaz osób wraz z aktualizacjami, ma prawo nie wpuścić osoby spoza listy. W obiektach wrażliwych dochodzi wymóg zgłoszenia zmiany z wyprzedzeniem 24 lub 48 godzin.
4. Zakaz korzystania ze sprzętu klienta. Komputery, drukarki, telefony, sieć Wi-Fi. Brzmi banalnie, dopóki ktoś nie podłączy pendrive'a do firmowego laptopa.
5. Zakaz fotografowania i nagrywania wnętrz, dokumentów i ekranów, również na potrzeby raportów jakościowych. Jeśli wykonawca robi zdjęcia kontrolne, musi mieć zgodę i wskazane miejsca, w których to dopuszczalne.
6. Obowiązek zgłoszenia incydentu w ciągu 12 lub 24 godzin od stwierdzenia. Dotyczy zgubionego klucza, otwartej szafy, wyniesionego dokumentu, obcej osoby w obiekcie. Klient ma tylko 72 godziny na zgłoszenie naruszenia do UODO, więc szybka informacja od wykonawcy jest krytyczna.
7. Zgoda na podwykonawców. Sporo serwisów pracuje z podwykonawcami. Umowa powinna wymagać pisemnej zgody klienta i przeniesienia tych samych obowiązków na podmiot trzeci.
8. Prawo do kontroli. Możliwość weryfikacji zobowiązań personelu i procedur wykonawcy, bez uciążliwych audytów w każdym kwartale.
9. Odpowiedzialność i ubezpieczenie OC. Polisa na poziomie 500 tys. do 1 mln zł jest w tej branży standardem dla obsługi biur.

Gdy zakres obejmuje niszczenie dokumentów lub archiwum, do tego dochodzi pełna umowa powierzenia z elementami z art. 28 ust. 3: przedmiot i czas przetwarzania, kategorie danych, środki bezpieczeństwa, zasady usuwania lub zwrotu danych po zakończeniu współpracy.

Czy zgodność z RODO podnosi cenę usługi?

Same klauzule nic nie kosztują. Cenę podnosi organizacja pracy: sprzątanie serwerowni pod nadzorem, praca w godzinach obecności pracowników klienta, stała brygada bez rotacji, imienne karty dostępu. W praktyce obsługa biura mieści się w widełkach 3–8 zł/m² miesięcznie, a obiekty z podwyższonymi wymaganiami bezpieczeństwa lądują w górnej części tego przedziału. Przy rozliczeniu godzinowym firma sprzątająca kosztuje 45–80 zł za godzinę, a stawka rośnie, gdy wymagana jest stała, weryfikowana ekipa zamiast zmieniających się osób. Porównanie stawek znajdziesz w cenniku sprzątania.

Wybierając wykonawcę, zapytaj wprost o trzy rzeczy: czy ma wzór zobowiązania do poufności dla personelu, jak prowadzi ewidencję kluczy i kto odpowiada za zgłoszenie incydentu. Firma, która obsługuje biura od lat, odpowie bez namysłu. Sprawdzone serwisy z całej Polski znajdziesz w katalogu firm sprzątających, a w największych rynkach, jak Warszawa, wybór wykonawców z doświadczeniem w obiektach biurowych i medycznych jest szczególnie duży.