Ekspertyza · Zgodność z RODO i Ustawą 195/2024

Przynosimy system, który rozmawia z klientami w stanie, w jakim może zostać pokazany kontrolerowi, i sprawdzamy to z kodu, a nie z ankiety.

Legea nr. 195/2024 stosuje się w Republice Mołdawii od 23 sierpnia 2026 i wdraża GDPR. Robimy część inżynierską: inwentaryzujemy, co system faktycznie zbiera, sprawdzamy rzeczywiste zachowanie strony, zapisujemy rejestr czynności przetwarzania i wdrażamy retencję, zgodę oraz usuwanie jako funkcje, które działają. Nie udzielamy porad prawnych.

Omów projekt

Już zbudowaneDwie własne implementacje, plus praca wykonana nad nami samymi. Pierwsza: `gdpr-scan-md`, deterministyczny skaner, bez komponentu sztucznej inteligencji, publiczny pod `ongdpr.md` (sprawdzone przez curl 06.09.2026: przekierowanie 308 do `/ro`, potem 200 z 95.131 bajtów). Ma siedem modułów, wagi i progi zapisane w jednym pliku jako pojedyncze źródło prawdy oraz 488 przypadków testowych `it()`/`test()` w katalogu testów silnika. Druga: pełny tekst Ustawy 195/2024 ujęty w formacie maszynowym — 90 artykułów, 384 ustępy, 408 liter, 9 rozdziałów, 16 sekcji — z MD5 pliku PDF źródłowego i metodą ekstrakcji zapisanymi w pliku, tak aby cytat można było zweryfikować aż do strony. Trzeci dowód, mówiący najwięcej: rejestr art. 30 tej strony, napisany dla nas, z własnymi deklarowanymi ograniczeniami i ośmioma punktami nadal otwartymi. Obowiązkowe zastrzeżenie: nie jesteśmy kancelarią prawną i nie wydajemy opinii prawnych. Narzędzie techniczne nie zastępuje prawnika, a my mówimy to także w produkcie, nie tylko tutaj.

Ustawa nr 195/2024 dotycząca ochrony danych osobowych została uchwalona 25 lipca 2024, opublikowana w Monitorze Urzędowym nr 367-369 z 23 sierpnia 2024 i weszła w życie 23 sierpnia 2026. Wprowadza w życie Rozporządzenie (UE) 2016/679. Dla firmy z Mołdawii oznacza to, że obowiązki, o których dotąd mówiono jako o „czymś europejskim”, są od dziś obowiązkami lokalnymi, z lokalnym organem i z karami liczonymi w lei albo jako procent od obrotu, przyjmując wyższą wartość.

Część, którą się zajmujemy, jest inżynieryjna. System, który rozmawia z klientami — strona z formularzem, asystent czatu, agent odpowiadający przez telefon, CRM — zbiera dane w miejscach, których nikt nie pamięta po drugim roku. Opublikowana polityka mówi jedno, kod robi drugie, a rozbieżność nie jest widoczna, dopóki ktoś nie zapyta. Praca zaczyna się więc od kodu i od rzeczywistego zachowania strony, a nie od ankiety wypełnionej przez kogoś, kto pamięta, jak było w zeszłym roku.

Mówimy wprost, czego nie robimy: nie udzielamy porad prawnych, nie wydajemy opinii, nie sporządzamy obron i nie zastępujemy prawnika ani osoby odpowiedzialnej za ochronę danych. Jesteśmy wykonawcami. Tworzymy zweryfikowany inwentarz, dowód techniczny, rejestr i wdrożenie — materiał, z którym prawnik może pracować, zamiast zaczynać od deklaracji. Tam, gdzie pytanie staje się prawne, oznaczamy je jako takie i przekazujemy dalej.

Wynik mierzy się inaczej, niż zwykle się przyjmuje. Nie liczbą sporządzonych dokumentów, lecz tym, ile publicznych stwierdzeń utrzymało się po weryfikacji. Na naszej własnej stronie to ćwiczenie oznaczało przede wszystkim skreślenia: roczny niezależny test penetracyjny, 180-dniowy dziennik audytu, szyfrowanie wszystkich baz danych, codzienne kopie zapasowe poza siedzibą, czternastu podprocesorów i dwie lokalizacje hostingu — żadnego z tych elementów nie dało się poprzeć dowodem, więc żaden nie pozostał na stronie.

Zgodność z RODO i Ustawa nr 195/2024 — część inżynieryjna · wideo po rumuńsku, z napisami i transkrypcją po polsku

Pełna transkrypcja

Wejdźmy prosto w temat. Witajcie przy nowej analizie, dziś podejmujemy ogromne wyzwanie dla wszystkiego, co oznacza środowisko biznesowe, zwłaszcza w kontekście nowych regulacji w Republice Mołdawii. Naszym absolutnym fokusie dziś jest to, jak sprawdzać zgodność bezpośrednio z kodu, a nie z nieskończonych stosów papierów. Bardzo często, gdy chodzi o poufność, wszyscy patrzą na dokumenty prawne wrzucone na stronę, ale, niespodzianka, dokumenty prawie nigdy nie odzwierciedlają rzeczywistości technicznej systemu, więc dziś dokładnie badamy, jak możemy wydobyć czystą prawdę bezpośrednio z infrastruktury. Sekcja 1. Iluzja deklaratywnej zgodności. Albo, innymi słowy, co oficjalnie deklarujemy na papierze versus co naprawdę robimy w praktyce. Pomyślcie chwilę, co tak naprawdę robi strona w tle, kiedy nikt na nią nie patrzy. Wirtualny asystent albo sklep internetowy wycieka dane przez różne zakamarki, o których, bądźmy szczerzy, zespół techniczny prawdopodobnie całkiem zapomniał dwa lata po uruchomieniu.

Dziesiątki zewnętrznych narzędzi, skrypty analityczne, kody marketingowe — wszystko to działa cicho w tle, bez technicznego spojrzenia pod maskę, po prostu nie da się dokładnie wiedzieć, kto i jakie dane pobiera albo gdzie je wysyła. I właśnie tu jest pułapka. Z jednej strony mamy teorię, tę statyczną politykę prywatności, niezmienianą od lat i najczęściej opartą na szablonie. A z drugiej? Cóż, z drugiej jest rzeczywistość. Kod żyje, jest bardzo dynamiczny, stale się aktualizuje i zasysa dane w tle. To rozdarcie między teorią a praktyką jest niewidoczne aż do momentu ostrego audytu albo, co znacznie gorsze, przy naruszeniu bezpieczeństwa, gdy nikt już nie może ignorować słonia w pokoju. Idziemy dalej do sekcji 2, MISA, czyli ustawy nr 195/2024, z bezpośrednim i dość dotkliwym wpływem od 23 sierpnia 2026.

Mówimy tu praktycznie o europejskich obowiązkach przeniesionych tutaj, pod postacią lokalnych, surowych zasad w Republice Mołdawii, a maksymalny pułap kar? 2 miliony lei. Tak, dobrze słyszeliście? 2 miliony. Te sankcje są pomyślane specjalnie po to, by zniechęcać do ignorancji. Biedny baner cookies, który technicznie nie działa poprawnie, to już nie jest zwykły błąd projektowy. To ogromna luka prawna i finansowa. Prawo jest bardzo jasne i właściwie nie wybacza. Zawsze stosuje się najwyższą wartość między kwotą stałą a procentem od obrotu. Dla podstawowych obowiązków sankcje sięgają 1 miliona lei albo 1% obrotu. Ale uwaga, elementy kluczowe, czyli wszystko, co dotyczy zgody, praw osób i transferów danych, automatycznie przechodzą do wyższego zakresu, maksymalnie 2 miliony lei albo 2%. Wniosek, który warto stąd zapamiętać: każdy błąd techniczny po stronie zgody jest karany bez żadnych ustępstw na poziomie maksimum.

To prowadzi nas do trzeciej sekcji, weryfikacji z kodu albo, jak lubię to nazywać, wydobywania absolutnej prawdy technicznej. Biorąc pod uwagę te ogromne kary, po prostu nie możemy już opierać się na pamięci ludzi ani na jakichś pospiesznie odhaczonych kwestionariuszach. Rozwiązanie tkwi w inżynierii, a proces ma trzy żelazne kroki. Krok 1. Czytamy źródło. Pytamy serwer, żeby wyraźnie zobaczyć, co trafia do pamięci. Krok 2. Bardzo ważny. Naciskamy przycisk odrzucenia cookie i słuchamy ruchu sieciowego przez około 3 sekundy. Jeśli narzędzia w tle nadal wysysają dane, sprawa jest jasna, to problem. A krok 3. Sporządzamy słynny Rejestr Czynności Przetwarzania, opierając się wyłącznie na tych niepodważalnych dowodach technicznych. W ten sposób dokument staje się zakotwiczony w rzeczywistości. Aby całą tę historię ustandaryzować, narzędzia techniczne, takie jak scanner GDP Scan MD, używają stałego wyniku matematycznego, z maksimum 1.

Ale jest tu złota zasada, zasada naprawdę twarda. Jeden krytyczny element, który nie przejdzie, natychmiast obniża wynik końcowy do 0,49. Bam, niezgodne. To znaczy, że możesz mieć najpiękniejszą i najlepiej napisaną politykę prywatności na świecie, ale jeśli tracker uruchomi się, zanim odwiedzająca osoba kliknie akceptację, test jest oblany. Dokumenty po prostu nie są w stanie uratować źle napisanego kodu. Przechodzimy do sekcji 4. Rzeczywisty przypadek na własnej platformie. Techniczny audyt o radykalnej przejrzystości. Żeby pokazać, że to działa, zespół stojący za metodologią postanowił przetestować własne narzędzie właśnie na swojej stronie. I co się okazało? Przez lata na ich publicznej stronie zebrały się różne fantastyczne korporacyjne twierdzenia. Dziennik audytu 180 dni, szyfrowanie na absolutnie wszystkich bazach danych, około 14 podmiotów przetwarzających.

Brzmiało bardzo profesjonalnie, prawda? Tyle że pojawiło się tam z rozpędu. Po prostu skopiowano to z jednego wewnętrznego dokumentu do drugiego, bez sprawdzania przez kogokolwiek z kodu źródłowego, czy te rzeczy nadal były aktualne. Więc zastosowano regułę techniczną z absolutną rygorystycznością. Nie masz pierwotnego dokumentu wyciągniętego bezpośrednio z kodu dla jakiegoś stwierdzenia? Usuwa się! Zrobiono wielkie generalne porządki. Masa napuszonych zdań o starych testach albo nieistotnych kopiach zapasowych zniknęła całkowicie. Powód? Prosty. Dużo, dużo bezpieczniej jest mieć krótszą, uczciwą i w 100% zakotwiczoną w realnych faktach stronę o zgodności niż dossier pełne obietnic, których nie da się udowodnić w razie kontroli. Aha, i oprócz tych porządków samodzielny audyt ujawnił coś fascynującego związanego z inteligentnymi chatbotami opartymi na AI. Niosą ze sobą trzy główne ryzyka.

1. Po pierwsze, zatrzymują wszelkiego rodzaju wrażliwe dane, które odwiedzające osoby wrzucają tam całkowicie niespodziewanie. 2. Niezależne przekazywanie tych tekstów do zewnętrznego dostawcy modelu, zwykle z innego kraju. I 3. Najbardziej krytyczny aspekt, posłuchajcie tutaj. Zapis do pamięci przeglądarki przy samym otwarciu strony, zanim osoba kliknie. Jedyna rozwiązanie? Wejść do kodu i zablokować ładowanie modelu, aż odwiedzająca osoba faktycznie zdecyduje się nacisnąć przycisk startu rozmowy. Docieramy też do sekcji 5, ograniczeń technicznych i prawnych. Jak daleko sięga inżynieria i gdzie trzeba zostawić specjalistom od legalu, żeby wykonali swoją pracę. Jest absolutnie jasne, że metodologia w kodzie jest kluczowa, ale nie oszukujmy się, nie rozwiązuje wszystkiego sama z siebie. Narzędzie techniczne zajmuje się rzeczami namacalnymi. Inwentaryzuje infrastrukturę, zagląda do kodu i wydobywa jasne dowody na to, jak zachowuje się system.

Jednak, uwaga, nie stanowi opinii prawnej. Narzędzie techniczne nie może zdecydować o podstawach prawnych w umowie i nie interpretuje ustaw. Ta część to wyłączny teren prawników. Krótko mówiąc, technologia wylewa supersolidny betonowy fundament, z dowodów, a prawnicy przychodzą i budują na nim legalność. To rozróżnienie wydobywa na światło dzienne coś niezwykłego o słynnym art. 30, Rejestrze Czynności Przetwarzania. Powiem wam sekret: żywy rejestr naprawdę generowany z kodu nigdy nie będzie wyglądał nieskazitelnie przy pierwszym skanie. Te wiersze oznaczone jako niezweryfikowane, które wymagają ludzkiej, prawnej decyzji, właśnie one pokazują prawdziwą przejrzystość organizacji. Każdy rejestr, który od pierwszego dnia wygląda na idealny, kompletny i bez żadnego otwartego błędu, jest w prawie wszystkich przypadkach tanią iluzją, zwykłą kartą wypełnioną z szablonu, która całkowicie ignoruje rzeczywistą złożoność oprogramowania.

Więc podsumowując wszystko, o czym opowiedzieliśmy, widząc tę kolosalną różnicę między tym, co jest napisane na papierze, a tym, co faktycznie wykonuje maszyna, jak u was w organizacji wygląda proces weryfikacji? Czy zgodność opiera się na jakichś zakurzonych dokumentach, zapomnianych gdzieś w piwnicy strony, czy na niepodważalnych pewnikach wyciągniętych bezpośrednio z aktywnego kodu? Przejście na weryfikację techniczną to nie tylko odhaczenie pola na papierze, żeby obejść Ustawę nr 195/2024. To najwyższa gwarancja, że naprawdę przestrzegacie danych ludzi. Zmiana perspektywy, która po prostu zmienia sposób, w jaki myślimy o bezpieczeństwie.

Co obejmuje

Praca, komponent po komponencie

Inwentarz powstaje z kodu i z działającego serwera, a nie z kwestionariusza

Pierwszy etap oznacza czytanie źródła i sprawdzanie produkcji: jakie pola są faktycznie zapisywane, gdzie trafiają, co jest umieszczane w pamięci przeglądarki i w jakim momencie, jakie usługi zewnętrzne ładują stronę, co zapisuje dziennik serwera i jak długo. Jeden konkretny przykład z naszego własnego inwentarza: asystent czatu na stronie ładował się przy każdym wyświetleniu strony i zapisywał identyfikator sesji oraz historię w lokalnej pamięci przeglądarki **zanim** odwiedzający o cokolwiek poprosił. Żaden kwestionariusz nie ujawniłby tego, bo nikt tego nie wiedział.

Weryfikacja behawioralna: naciskamy przycisk odmowy i nasłuchujemy sieci

Obecność banera zgody niczego nie dowodzi. Nasz skaner znajduje baner, faktycznie naciska kontrolkę odmowy, a następnie nasłuchuje ruchu sieciowego przez trzy sekundy. Narzędzie śledzące liczy się jako naruszenie tylko wtedy, gdy zbierało dane już przed jakąkolwiek zgodą i nadal zbiera je po odmowie, bez sygnału odmowy zgody. Strona, która prawidłowo obsługuje domyślną odmowę, nie jest karana za swoje pingi bez plików cookie — reguła została dodana wyraźnie po to, by nie sprzeciwiać się weryfikacji, która nagradza dokładnie takie zachowanie.

Rejestr czynności przetwarzania, napisany jako dokument żywy

Artykuł 30 wymaga ewidencji czynności przetwarzania z celami, kategoriami osób i danych, odbiorcami, transferami, terminami usunięcia oraz opisem środków bezpieczeństwa. Spisujemy ją wiersz po wierszu z zweryfikowanego inwentarza, a to, czego nie udało się zweryfikować, pozostaje oznaczone jako „nieweryfikowane”, a nie uzupełnione z szablonu. Reguła utrzymania jest zapisana w dokumencie: jeśli zmiana kodu zmienia to, co jest zbierane, komu trafia lub jak długo jest przechowywane, rejestr i opublikowana polityka są zmieniane **w tym samym commitcie**. Rozbieżność między kodem a polityką jest dokładnie tym problemem, który generuje dokument.

Wynik, który da się odtworzyć, a nie odhaczka

Siedem kategorii ma stałe wagi: pliki cookie 0,25, mechanizm zgody 0,20, polityka 0,20, transmisja 0,15, formularze 0,08, jurysdykcja 0,07, tożsamość administratora 0,05 — suma dokładnie 1,0, sprawdzona testem. Ustalenie, które nie przeszło, obniża swoją kategorię proporcjonalnie do wagi: krytyczne 1,0, wysokie 0,6, średnie 0,3, niskie 0,15; ostrzeżenie kosztuje połowę. Powyżej 80 jest zgodność, powyżej 50 jest ryzyko, poniżej — niezgodność. Wszystkie liczby znajdują się w jednym pliku, jako jedyne źródło prawdy, właśnie po to, by każda osoba mogła odtworzyć obliczenie.

Twarda reguła dla naruszeń, które dzieją się właśnie teraz

Jedno niezaliczone ustalenie krytyczne wymusza werdykt „niezgodne” i ogranicza wynik do 49, niezależnie od tego, co powiedziałby wzór ważony. Powód jest prosty: narzędzia śledzące, które działają przed zgodą, albo przycisk odmowy, który niczego nie zatrzymuje, wpływają na każdą odwiedzającą osobę w tej chwili. Nienaganna polityka prywatności nie ma prawa podnosić średniej ponad to.

Retencja jako automatyczne zadanie, które zostawia ślad, a nie jako obietnica z polityki

„Przechowujemy dane przez 24 miesiące” to stwierdzenie, które da się zweryfikować tylko w jeden sposób: uruchamiając usuwanie. U nas dziennik zgłoszeń na stronie ma termin odczytywany z konfiguracji (`LEAD_RETENTION_DAYS`, domyślnie 730 dni) i czyści się przy każdym zapisie. W większej platformie czyszczenie to zadanie zaplanowane, które uruchamia się **po** kopii zapasowej i tylko wtedy, gdy ta się powiodła — usunięcie bez świeżej kopii jest jedyną formą usunięcia, z której nie ma powrotu — i zapisuje wiersz w tabeli uruchomień. Ten wiersz jest dowodem zgodności wymaganym przez art. 5 ust. 2. Przed pierwszym rzeczywistym uruchomieniem zadanie działa próbnie co najmniej przez tydzień i odczytywany jest dziennik.

Transfery: gdzie obowiązek się kończy, a gdzie zaczyna

Art. 44 ust. 2 mówi, że cały rozdział o transferach **nie ma zastosowania** do transferów do państw Europejskiego Obszaru Gospodarczego, gdzie nie są potrzebne specjalne zezwolenia. To całkowicie zmienia analizę: hosting w Unii Europejskiej nie jest preferencją estetyczną, lecz różnicą między „nic do uzasadnienia” a „akta gwarancji”. W pozostałych przypadkach sprawdzamy konkretnie: który dostawca otrzymuje co, na jakiej podstawie i czy przywołane odstępstwo pasuje. Przykład z naszego własnego rejestru: powiadomienie przez Telegram jest transferem do państwa trzeciego, a my zapisaliśmy w rejestrze, że przywołane odstępstwo jest przeznaczone dla transferów okazjonalnych, podczas gdy nasz jest systematyczny. To uznane ograniczenie, z techniczną alternatywą zapisaną obok niego.

Wykrywanie banera, który nie udaje, że widzi wszystko

Osiemnaście selektorów znanych platform zgody, każdy z cytowanym źródłem, plus heurystyka dla ręcznie pisanych banerów — bardzo częstych w małych firmach w Mołdawii — która odczytuje wyliczone style z żywej strony, a nie ze statycznego HTML-u. Przejście wchodzi do otwartego shadow DOM i do iframe’ów, ponieważ niektóre banery działają tam w całości. Zamknięte shadow root pozostają z definicji niewidoczne: mówimy to wprost i mamy test, który utrzymuje to stwierdzenie w mocy.

Usuwanie twierdzeń, których nie możemy poprzeć

Najmniej przyjemna i najbardziej użyteczna część. Strona zgodności, która wymienia nieistniejące certyfikacje, audyty i praktyki, jest większym ryzykiem niż krótka, ponieważ każdy wiersz staje się sprawdzalnym oświadczeniem wobec organu. Reguła, którą stosujemy: publiczne twierdzenie ma jeden wiersz w rejestrze dowodów, z dokumentem pierwotnym — a nie z dokumentem wewnętrznym, który je powtarza. Twierdzenia bez dokumentu pierwotnego są usuwane, dopóki dokument się nie pojawi.

Jak to wygląda

Trasa, krok po kroku.

Skanujemy z zewnątrz i czytamy od wewnątrz, równolegle

Automatyczne skanowanie daje stan publiczny w kilka sekund: transport, pliki cookie przed zgodą, rzeczywiste zachowanie banera, elementy treści polityki, formularze, jurysdykcję, tożsamość operatora. Równolegle czytany jest kod. Dostarczamy raport z ustaleniami, dowodami i odwołaniem do odpowiedniego artykułu z Legea 195/2024 — oraz listę rozbieżności między tym, co mówi opublikowana polityka, a tym, co robi system.

Piszemy rejestr i zaznaczamy to, czego nie dało się zweryfikować

Rejestr czynności przetwarzania, jedna czynność na wiersz, z celem, podstawą, kategoriami, odbiorcami, transferami, lokalizacją, terminem, środkami i odwołaniem do pliku w kodzie, gdzie jest zaimplementowana. Dostarczamy też listę punktów, które pozostały otwarte, z nazwą osoby, która musi zdecydować. Rejestr bez otwartych punktów przy pierwszym przejściu jest zwykle rejestrem wypełnionym z szablonu.

Naprawiamy w kodzie to, co naprawia się w kodzie

Domyślnie odrzucona zgoda, komponenty zewnętrzne ładowane dopiero po akceptacji, minimalizacja stosowana przy zapisie, retencja jako zadanie automatyczne z dziennikiem, punkty sprawdzania stanu, prawa do plików. Każda naprawa trafia razem ze zmianą dokumentu, który ją opisuje, w tym samym przejściu. Dostarczamy kod i wynik ponownego skanowania, aby różnica była mierzalna, a nie deklarowana.

Przekazujemy dossier i procedurę, która utrzymuje je przy życiu

Rejestr, procedurę zgłaszania naruszeń, ocenę skutków tam, gdzie jest wymagana, listę podmiotów przetwarzających z tym, co każdy otrzymuje, oraz rejestr dowodów dla publicznych twierdzeń. Plus zasada, która utrzymuje je aktualne: polityka i kod są zmieniane razem. To, co należy do interpretacji prawnej, trafia do prawnika, z przygotowanym materiałem technicznym.

Ścieżka prac zgodności: skan z zewnątrz i czytanie kodu równolegle, potem lista rozbieżności między opublikowaną polityką a rzeczywistym zachowaniem, potem rejestr tego, co sprawdzono i co pozostało otwarte, potem poprawki w kodzie — z ponownym skanem na końcu, aby różnica była zmierzona, a nie zadeklarowana.

Dane

Czego dotykamy, gdzie to leży i jak długo zostaje

Pytania, które zadaje każdy, kto ma inspektora ochrony danych — postawione tutaj, zanim on je zada.

Co faktycznie widzi automatyczne skanowanie: Tylko publiczna powierzchnia analizowanej strony: nagłówki odpowiedzi, zapisane pliki cookie, żądania sieciowe wywołane przez stronę, tekst polityki, pola formularzy, wywoływane domeny zewnętrzne. Nie loguje się, nie wypełnia formularzy prawdziwymi danymi i nie dotyka obszarów chronionych hasłem. Skanowanie publicznej strony jest dokładnie tym, co robi każdy odwiedzający, z włączonym stoperem.
Jak zachowuje się nasz robot: Budżet 45 sekund na skanowanie. Własny user-agent, który się identyfikuje i odsyła do strony wyjaśniającej, co robi skanowanie i jak się go odmówić. `robots.txt` strony docelowej jest respektowany domyślnie, z osobnym odczytem ograniczonym do 8 sekund, aby wolny `robots.txt` nie zjadał budżetu audytu. Przed każdym żądaniem straż blokuje adresy wewnętrzne, sieć lokalną i punkt metadanych infrastruktury chmurowej.
Czego dotykamy w pracy zgodności na systemie klienta: Schemat bazy danych, konfiguracja, kod i dzienniki — nie zawartość danych osobowych. Gdy weryfikacja mimo to wymaga prawdziwego przykładu (na przykład, co faktycznie trafia do powiadomienia), odbywa się to na przypadkowym teście utworzonym do tego celu, a nie na żywym kliencie. Dostęp jest przyznawany na czas pracy i odbierany na koniec, a odebranie jest weryfikowane.
Gdzie przechowujemy nasze dane i dlaczego ma to znaczenie: Ta strona działa na OVHcloud, Bukareszt, Rumunia — Europejski Obszar Gospodarczy. Platforma asystentów działa na Microsoft Azure, Poland Central, co zostało potwierdzone przez zapytanie do usługi metadanych maszyny wirtualnej, a nie z dokumentacji dostawcy. Dzienniki serwera są rotowane codziennie, z zachowaniem 14 egzemplarzy, z ograniczonymi uprawnieniami do odczytu. Te trzy wiersze zastąpiły znacznie dłuższą listę lokalizacji, których nie udało nam się potwierdzić.
Minimalizacja, stosowana także u nas: Adres IP odwiedzającej osoby nie jest zapisywany w całości: przed zapisaniem jest skracany do prefiksu sieci — /24 dla IPv4, /48 dla IPv6 — ponieważ opublikowana polityka mówi, że adresy IP są anonimizowane, a to stwierdzenie musi być prawdziwe w kodzie. Dziennik żądań jest przechowywany z uprawnieniami 0600 w katalogu 0700. Punkt sprawdzania stanu formularza zwraca wyłącznie wartości logiczne, nigdy tokena, identyfikatora czatu ani nazwy bota.

Przykład

To, co zostało ze strony zgodności po zażądaniu dokumentu źródłowego dla każdego wiersza

Sytuacja

Praca została wykonana na nas samych, nie na kliencie. Publiczna strona zgodności firmy została napisana przez nagromadzenie: stwierdzenia pojawiały się w dokumencie wewnętrznym, były powtarzane w drugim, przejmowane w trzecim i trafiały na stronę bez tego, by ktokolwiek kiedykolwiek zażądał oryginału. Wszystko brzmiało równie pewnie.

Co zbudowaliśmy

Zastosowaliśmy jedną zasadę: każde publiczne stwierdzenie otrzymuje jeden wiersz w rejestrze dowodów, z dokumentem źródłowym — nie z dokumentem, który je powtarza. Równolegle zweryfikowano rzeczywiste zachowanie: jakie pliki cookie są zapisywane przed akceptacją, przy wyczyszczonej pamięci przeglądarki; co ładuje się po otwarciu strony; jaki okres retencji faktycznie istnieje w kodzie; gdzie znajdują się serwery, poprzez zapytanie do usługi metadanych maszyny, a nie do dokumentacji dostawcy.

Co z tego wyszło

Odpadły między innymi: roczny niezależny test penetracyjny, 180-dniowy dziennik audytu, deklarowane szyfrowanie wszystkich baz danych, uwierzytelnianie dwuskładnikowe dla wszystkich kont administracyjnych, codzienna zaszyfrowana kopia zapasowa poza siedzibą, liczba podprocesorów trzykrotnie większa od rzeczywistej oraz dwie nieistniejące lokalizacje hostingu. Zostały dwie lokalizacje, obie potwierdzone w Europejskim Obszarze Gospodarczym. Osobno znaleziono i naprawiono też realny problem, o którym nikt nie wiedział: asystent czatu ładował się przy każdym wyświetleniu strony i zapisywał sesję oraz historię w pamięci przeglądarki, zanim odwiedzająca osoba o cokolwiek poprosiła. Teraz ładuje się po naciśnięciu przycisku.

Czego nie mówi ten przypadek

Powstały rejestr nie jest czysty i nie musi taki być: ma osiem otwartych punktów, oznaczonych nazwą roli, która ma podjąć decyzję, oraz jedno wyraźnie przyznane ograniczenie dotyczące systematycznego transferu, objętego derogacją pomyślaną dla transferów okazjonalnych. Rejestr bez otwartych punktów, napisany za pierwszym razem, jest niemal zawsze rejestrem uzupełnionym z szablonu. Wartość dokumentu leży w wierszach, które mówią „niezweryfikowano”.

Pytania

O co pytają ludzie, zanim zadzwonią

Czy świadczycie doradztwo prawne?

Nie, i ważne jest, aby było to jasne od początku. Nie jesteśmy kancelarią, nie wydajemy opinii prawnych i nie zastępujemy osoby odpowiedzialnej za ochronę danych. Robimy część techniczną: zweryfikowany inwentarz z kodu, dowód rzeczywistego zachowania systemu, rejestr art. 30 i wdrożenie. To jest materiał, z którym może pracować prawnik. Nasze publiczne narzędzie mówi o sobie to samo — jest analizą techniczną, a nie oceną prawną.

Od jakiej daty obowiązuje prawo i jakie konkretne ryzyko istnieje?

Legea nr. 195/2024 weszła w życie 23 sierpnia 2026. Kary mają dwa progi, a tekst mówi, że bierze się wyższą wartość między kwotą a procentem: do 1.000.000 lei lub 1% całkowitego obrotu z poprzedniego roku za obowiązki administratora i podmiotu przetwarzającego; do 2.000.000 lei lub 2% za podstawowe zasady przetwarzania i warunki zgody, za prawa osób, których dane dotyczą, oraz za transfery do innych państw. Zgoda i prawa osób znajdują się w wyższym przedziale — dlatego baner, który nie działa, ma większe znaczenie, niż się wydaje.

Hostujemy w Unii Europejskiej. Czy nadal mamy obowiązki związane z transferem?

W przypadku transferów do państw w Europejskim Obszarze Gospodarczym — nie. Art. 44 ust. (2) mówi wprost, że cały rozdział dotyczący transferów nie ma zastosowania do tych transferów i że nie są potrzebne specjalne zezwolenia. To czyni wybór hostingu decyzją zgodności, a nie tylko opóźnień. Obowiązki pozostają jednak w odniesieniu do każdego dostawcy spoza EOG — także dla małych usług, których nikt nie wpisuje na listę: powiadomień przez komunikator, statystyk ruchu, usługi e-mail transakcyjnego.

Czy trzeba wyznaczyć inspektora ochrony danych?

Prawo wymaga tego w trzech sytuacjach: organ lub instytucja publiczna; główne działania obejmujące regularne i systematyczne monitorowanie osób, których dane dotyczą, na dużą skalę; albo przetwarzanie na dużą skalę szczególnych kategorii danych lub danych dotyczących skazań karnych. Jeśli nie mieścicie się w tych przypadkach, wyznaczenie pozostaje opcjonalne — ale uwaga na pułapkę, którą znaleźliśmy u nas samych: jeśli publicznie deklarujecie wyznaczonego inspektora, pojawia się obowiązek zgłoszenia towarzyszący wyznaczeniu. Opublikowane stanowisko i wewnętrzna ocena nie mogą sobie przeczyć. To, czy się mieścicie, jest pytaniem prawnym; my je sygnalizujemy, nie rozstrzygamy.

Ile mamy czasu, jeśli dojdzie do naruszenia?

Zawiadomienie do Centrum składa się bez nieuzasadnionej zwłoki i, jeśli to możliwe, w terminie nie dłuższym niż 72 godziny od chwili uzyskania informacji; po upływie tego terminu zawiadomienie musi zawierać uzasadnione wyjaśnienie opóźnienia. Osoba upoważniona zawiadamia operatora bez nieuzasadnionej zwłoki. Trudna część to nie termin, lecz to, co zawiadomienie ma zawierać: charakter naruszenia, kategorie i przybliżona liczba osób oraz wpisów, których dotyczy. Bez prawidłowego rejestru tego, jakie dane gdzie się znajdują, 72 godziny mijają na poszukiwaniach. Dlatego rejestr sporządza się przed incydentem.

Czy asystent AI rozmawiający z klientami komplikuje sprawy?

Tak, w trzech konkretnych punktach. Pierwszy: rozmowa zawiera to, co pisze klient, a klienci piszą wszystko, w tym dane wrażliwe, o które nigdy nie prosiliście — to wymaga wyraźnej instrukcji dla personelu i terminu przechowywania. Drugi: asystent wysyła tekst do dostawcy modelu, więc pojawia się podprocesor i, co do zasady, transfer. Trzeci, najczęściej pomijany: komponent często ładuje się przy otwarciu strony i zapisuje w pamięci przeglądarki, zanim odwiedzająca osoba cokolwiek zażąda. Właśnie to znaleźliśmy na własnej stronie i naprawiliśmy, ładując dopiero po naciśnięciu przycisku.

Czy wynik 100 oznacza, że pod względem prawnym wszystko jest w porządku?

Nie. Wynik mierzy to, co można automatycznie zmierzyć z publicznej powierzchni: transport, pliki cookie, działanie banera, elementy treści polityki, formularze, jurysdykcję, tożsamość operatora. Nie widzi rzeczywistej podstawy przetwarzania w tle, umów z podprocesorami, ewidencji zgód w bazie danych, faktycznego okresu przechowywania ani tego, jak odpowiadacie na wniosek o dostęp. Dobry wynik mówi, że powierzchnia jest czysta. Resztę sprawdza się od środka, a interpretacja pozostaje prawna.

Czy możecie przeskanować naszą stronę, nie psując niczego?

Skanowanie to wizyta, nie test penetracyjny: ładuje się publiczna strona, naciska się kontrolkę odmowy w banerze i nasłuchuje ruch, przy łącznym budżecie 45 sekund. Robot identyfikuje się własnym user-agentem i domyślnie respektuje `robots.txt` strony. Nie loguje się, nie wypełnia formularzy prawdziwymi danymi, nie dotyka chronionych obszarów. Jeśli wolicie, aby nie być skanowanymi, blokowanie przez `robots.txt` działa i jest respektowane.

Dlaczego usunęliście stwierdzenia z własnej strony o zgodności zamiast dodawać kolejne?

Ponieważ każde publiczne stwierdzenie jest deklaracją możliwą do zweryfikowania. Nasza strona wymieniała coroczny niezależny test penetracyjny, 180-dniowy dziennik audytu, szyfrowanie wszystkich baz, uwierzytelnianie dwuskładnikowe na wszystkich kontach administracyjnych, codzienne szyfrowane kopie zapasowe poza siedzibą, czternastu podprocesorów i więcej niż jedną lokalizację hostingu. Żadnej z tych rzeczy nie dało się poprzeć dokumentem pierwotnym. Usunęliśmy je i zostawiliśmy to, co da się pokazać. Krótka i prawdziwa dokumentacja wytrzymuje weryfikację; długa i dekoracyjna — nie.

Na czym opierają się powyższe stwierdzenia (25 źródeł)

ongdpr.md odpowiada 308 do /ro, następnie 200 z 95.131 bajtamihttps://ongdpr.md · 2026-09-06

24 z nich to kod i pliki z naszych repozytoriów. Nie publikujemy ich nazw ani numerów linii: razem, na jednej stronie, opisałoby to zbyt dokładnie, jak zbudowane są systemy, które nie należą tylko do nas. Przechodzimy je razem z Tobą, w repozytorium, na życzenie — weryfikacja pozostaje możliwa, tylko odbywa się w rozmowie.

Jak pracujemy Wszystkie usługi

Co chcesz, żeby działało lepiej?

Opowiedz nam o swoim procesie. Wspólnie ustalimy, co warto zbudować, co da się połączyć i jak sprawdzimy wynik.

Porozmawiajmy