Sprawdź rolki swojej firmy. Serio.

Reel trwa 15 sekund. Postępowanie UODO trwa 2 lata.

Jest taka kategoria naruszeń ochrony danych którą szczególnie lubię.

Nie dlatego że jest groźna. Dlatego że jest tak absurdalna że aż trudno uwierzyć że to się naprawdę zdarza.

Nazywam ją naruszeniem przez entuzjazm.

Firma postanawia być nowoczesna. Firma postanawia tworzyć content. Ktoś z działu HR albo marketingu dostaje telefon i misję: "nagraj coś fajnego o tym jak u nas pracujemy." Włącza kamerę. Uśmiecha się. Nagrywa. Montuje. Publikuje.

I gdzieś między kadrem z open space'u a ujęciem z firmowej kuchni – w tle, na biurku, centralnie w kadrze – leży wydrukowane CV kilkunastu kandydatów do pracy.

Z imionami. Z nazwiskami. Z adresami. Z numerami telefonów.

Opublikowane na LinkedIn. Polubione 200 razy. Udostępnione przez prezesa z podpisem "świetna atmosfera w zespole."

To nie jest scenariusz z podręcznika. To się naprawdę zdarza.

Widziałem taką rolkę. Prawdziwą. Opublikowaną przez prawdziwą firmę. Z prawdziwymi danymi prawdziwych kandydatów widocznymi w tle przez całe 23 sekundy materiału.

Firma prawdopodobnie do tej pory nie wie że to zrobiła.

Kandydaci prawdopodobnie do tej pory nie wiedzą że ich dane wyciekły.

A reel prawdopodobnie wciąż gdzieś krąży w cache'u wyszukiwarek nawet jeśli ktoś w końcu go usunął.

Bo internet nie zapomina. W przeciwieństwie do działów HR które zapominają schować dokumenty przed nagraniem.

Dlaczego to jest poważniejsze niż myślisz

Intuicja podpowiada że to "drobna wpadka." Przypadek. Nikt nie chciał źle.

RODO nie pyta o intencje.

Art. 5 RODO wymaga żeby dane osobowe były przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo – w tym ochronę przed nieuprawnionym ujawnieniem. Opublikowanie danych kandydatów w materiale wideo bez ich wiedzy i zgody to nieuprawione ujawnienie. Bez względu na to czy ktoś to zrobił celowo czy przez nieuwagę.

Co więcej – dane kandydatów to dane które firma zebrała w konkretnym celu: przeprowadzenia rekrutacji. Nie w celu dekorowania tła firmowych rolek. Naruszenie zasady celowości jest tu oczywiste.

Do tego dochodzi obowiązek zgłoszenia naruszenia. Jeśli firma stwierdza że doszło do nieuprawnionego ujawnienia danych osobowych – ma 72 godziny na zgłoszenie tego do UODO. Większość firm które wpadają w tę pułapkę albo nie wie że wpadła albo wie ale liczy że nikt nie zauważył.

Ktoś zawsze zauważa.

Anatomia naruszenia przez entuzjazm

Naruszenie przez entuzjazm ma kilka charakterystycznych cech które odróżniają je od innych kategorii incydentów.

Sprawca jest niewinny. Osoba która nagrała rolkę naprawdę chciała dobrze. Chciała pokazać firmę od środka. Nie miała złych intencji. Miała tylko brudne biurko i brak procedury.

Nikt nie sprawdził. Reel przeszedł przez ręce osoby nagrywającej. Może przez kogoś kto montował. Może przez kogoś kto zatwierdzał publikację. Nikt z nich nie pomyślał żeby sprawdzić co jest w tle.

Dane były widoczne przez chwilę. 23 sekundy. Ktoś musiał zatrzymać film, powiększyć kadr i odczytać dane żeby w ogóle wiedzieć że tam są. To sprawia że firma traktuje to jako "prawie niewidoczne." UODO nie podziela tego poglądu.

Materiał żyje własnym życiem. Reel opublikowany na socialachjest indeksowany przez Google. Jest zapisywany przez użytkowników. Jest archiwizowany przez Wayback Machine. Usunięcie go z profilu firmy nie usuwa go z internetu.

Co konkretnie powinno się sprawdzić

Zanim firma opublikuje jakikolwiek materiał wideo nagrany w biurze – ktoś powinien przejrzeć każdą sekundę materiału pod kątem danych osobowych w tle.

Nie chodzi tylko o CV kandydatów. Chodzi o wszystko co może być widoczne na biurkach i ekranach w kadrze.

Dokumenty z danymi pracowników lub klientów. Wydruki maili z danymi osobowymi. Ekrany komputerów z otwartymi systemami CRM albo HR. Tablice z nazwiskami pracowników i harmonogramami. Karteczki z hasłami przyklejone do monitorów – to osobny problem ale przy okazji warto je schować. Listy obecności. Wydruki raportów sprzedażowych z danymi kontrahentów.

Wszystko to było już widoczne w opublikowanych materiałach różnych firm. Żadna z nich nie zrobiła tego celowo.

Procedura której większość firm nie ma

Rozwiązanie jest banalnie proste. Tak proste że aż wstyd że trzeba o nim pisać.

Przed nagraniem: sprzątnij biurko. Schowaj dokumenty. Wyłącz lub odwróć ekrany które nie są częścią kadru. Poproś współpracowników żeby zrobili to samo w swoich miejscach pracy.

Po nagraniu a przed publikacją: obejrzyj materiał kadr po kadrze z pytaniem "co jest widoczne w tle." Nie "czy coś jest widoczne" – tylko "co jest widoczne." Różnica jest istotna bo pierwsza wersja pytania zakłada że nic nie ma a druga zakłada że coś może być.

Jeśli firma regularnie produkuje content wideo: wpisz weryfikację tła materiałów wideo do procedury publikacji. Jedna linijka w checkliście. Pięć sekund przy każdej publikacji. Dwa lata postępowania UODO mniej.

Dla tych którzy myślą "u nas to niemożliwe"

Zrób teraz jeden eksperyment.

Wejdź na profil LinkedIn swojej firmy. Znajdź ostatnie trzy materiały wideo opublikowane przez pracowników z terytorium biura. Zatrzymaj każdy z nich w losowym miejscu. Powiększ kadr.

Co widzisz w tle?

Jeśli odpowiedź brzmi "nic szczególnego" – świetnie. Masz procedurę która działa nawet jeśli nie wiesz że ją masz.

Jeśli odpowiedź brzmi "kurczę, coś tam jest" – wiesz co zrobić. Usuń materiał. Oceń czy doszło do naruszenia. Jeśli tak – masz 72 godziny.

Jeśli odpowiedź brzmi "nie sprawdziłem bo to niemożliwe żebyśmy coś takiego opublikowali" – to jest dokładnie ten moment w którym zaczynają się wszystkie naruszenia przez entuzjazm.

Podsumowanie dla tych którzy prześlą ten artykuł do działu marketingu

Reel trwa 15 sekund. Postępowanie UODO trwa dwa lata.

Procedura weryfikacji tła materiałów wideo zajmuje pięć minut. Zgłoszenie naruszenia danych kandydatów zajmuje znacznie więcej – i to zanim zaczną się przeprosiny wobec osób których dane wyciekły.

Content marketing jest świetnym narzędziem. Pokazywanie firmy od środka buduje zaufanie i przyciąga kandydatów.

Pod warunkiem że w kadrze nie ma CV poprzednich kandydatów.

Sprawdź rolki swojej firmy.

Serio.

Artykuły stanowią "wydłużoną wersję" najpopularniejszych treści tworzonych przeze mnie w innych serwisach social media. Artykuł oraz grafika główna powstały przy wsparciu AI.