Jak zabezpieczyć akta osobowe przed dostępem osób trzecich?

Akta osobowe trzeba chronić nie tylko przed osobami z zewnątrz, lecz także przed nieuprawnionym dostępem innych pracowników. Zamykana szafa jest potrzebna, ale sama nie zapewnia zgodności z RODO ani z Kodeksem pracy. Bez ograniczenia uprawnień, rejestru kluczy i procedury postępowania dokumenty nadal mogą zostać ujawnione.

Dlaczego zabezpieczenie akt osobowych ma znaczenie?

Akta osobowe zawierają dokumenty dotyczące rekrutacji, zatrudnienia, przebiegu pracy i jej zakończenia. Mogą obejmować między innymi umowy, informacje o wynagrodzeniu, orzeczenia lekarskie, dokumenty dotyczące kar porządkowych oraz dane związane z kontrolą trzeźwości. Dostęp do nich powinny mieć wyłącznie osoby upoważnione do obsługi dokumentacji pracowniczej.

Obowiązek prowadzenia i ochrony dokumentacji wynika z Kodeksu pracy oraz przepisów wykonawczych dotyczących dokumentacji pracowniczej. RODO wymaga natomiast zastosowania środków technicznych i organizacyjnych adekwatnych do ryzyka. Ochrona obejmuje poufność, integralność, kompletność i dostępność dokumentów.

Za osobę nieuprawnioną może zostać uznany nie tylko gość, serwisant czy pracownik firmy zewnętrznej. Także pracownik innego działu, który nie potrzebuje dostępu do akt, jest osobą trzecią w rozumieniu organizacji dostępu. Nieumyślne ujawnienie danych może prowadzić do odpowiedzialności na zasadach określonych w art. 51 ustawy o ochronie danych osobowych, dlatego zaniedbanie zabezpieczeń nie jest wyłącznie problemem porządkowym.

Jaką szafę wybrać do akt osobowych?

Wybór zależy od formatu dokumentów, częstotliwości korzystania z akt, liczby użytkowników i konsekwencji nieuprawnionego dostępu. Do zwykłych segregatorów nie zawsze potrzebny jest sejf, ale przypadkowa szafka biurowa może nie zapewniać wystarczającej kontroli.

Typ szafy	Ryzyko i zastosowanie	Najważniejsze zalety	Ograniczenia
Szafa aktowa	Standardowe akta osobowe, segregatory i dokumentacja administracyjna w kontrolowanym dziale HR	Duża pojemność, półki i łatwe uporządkowanie teczek	Nie jest automatycznie sejfem ani szafą ognioodporną
Szafa kartotekowa	Teczki zawieszkowe i dokumentacja często wyszukiwana	Szybki dostęp do pojedynczej teczki oraz czytelny układ szuflad	Mniejsza uniwersalność przy przechowywaniu segregatorów
Szafa wzmocniona lub sejf	Dokumenty szczególnie poufne, nośniki danych i akta o wysokim ryzyku ujawnienia	Wyższy poziom kontroli dostępu i odporności konstrukcyjnej	Wyższy koszt, większa masa i mniejsza elastyczność

Przewiń tabelę w bok →

Szafa aktowa, na przykład z rodziny SBM, sprawdzi się przy aktach w segregatorach i teczkach. Szafa kartotekowa jest wygodniejsza, gdy dokumentacja jest codziennie pobierana i odkładana. Przy dokumentach zdrowotnych, danych płacowych, nośnikach lub materiałach o ograniczonym dostępie można rozważyć szafę wzmocnioną albo sejf.

RODO nie wprowadza formalnej kategorii „szafy RODO” i nie wskazuje jednego typu zamka ani jednej klasy mebla. To określenie skrótowe, używane przy wyborze zamykanych szaf do dokumentów zawierających dane osobowe. O zgodności decyduje cały sposób organizacji dostępu, a nie nazwa produktu.

Czy potrzebna jest ochrona przeciwpożarowa?

Nie każda szafa do akt osobowych musi być ognioodporna. Trzeba jednak ocenić, jak długo dokumentacja jest przechowywana, czy jej utrata może utrudnić wykazanie obowiązków pracodawcy i jakie zagrożenia występują w pomieszczeniu. Zwykła szafa metalowa chroni przed dostępem i częściowo przed uszkodzeniami mechanicznymi, ale nie zapewnia automatycznie ochrony podczas pożaru.

Jeżeli ryzyko pożaru jest podwyższone albo wymagania ubezpieczyciela lub wewnętrznej polityki bezpieczeństwa są bardziej rygorystyczne, należy wybrać rozwiązanie o potwierdzonych parametrach odporności. Dokumenty papierowe powinny być też oddalone od źródeł wilgoci, zalania i zapłonu. W laboratoriach akta trzeba przechowywać oddzielnie od substancji chemicznych i łatwopalnych.

Jak zarządzać dostępem, żeby szafa faktycznie chroniła dokumenty?

Najczęstszy błąd polega na zakupie zamykanej szafy bez ustalenia, kto odpowiada za klucz i udostępnianie akt. W praktyce warto przypisać każdej szafie właściciela procesu, zastępcę oraz konkretną listę osób uprawnionych.

Minimalny standard organizacyjny powinien obejmować:

Rejestr kluczy – numer klucza, osoba pobierająca, data i godzina wydania, data zwrotu oraz podpis.
Depozyt zapasowego kompletu – przechowywany w kontrolowanym miejscu, a nie w szufladzie wspólnego biurka.
Upoważnienia imienne – zakres dostępu powinien wynikać z obowiązków, a nie z samego faktu pracy w HR.
Zasada zamykania dokumentów po użyciu – akta nie powinny pozostawać na biurku, w drukarce ani w otwartym segregatorze.
Kontrolę lokalizacji – szafa nie powinna stać w recepcji, korytarzu ani w otwartej przestrzeni dostępnej dla gości.

Akta osobowe warto rozdzielić od pozostałej dokumentacji pracowniczej. Dokumentacja BHP, listy płac, dokumenty finansowe i akta osobowe mają różne kręgi osób uprawnionych. Wspólna szafa może niepotrzebnie rozszerzać dostęp. Należy też zachować rozróżnienie między aktami osobowymi a dokumentacją w sprawach związanych ze stosunkiem pracy, taką jak ewidencja czasu pracy, dokumentacja urlopowa czy dokumenty dotyczące wynagrodzeń.

Kiedy zamek kluczowy przestaje wystarczać?

Sam zamek kluczowy może być niewystarczający, gdy wiele osób pracuje w jednym pomieszczeniu, do biura wchodzą ekipy zewnętrzne albo dokumenty dotyczą zdrowia, wynagrodzeń, postępowań dyscyplinarnych lub kontroli trzeźwości. W takich warunkach warto rozważyć wydzielenie pomieszczenia, szafę wzmocnioną, system kontroli dostępu albo zamek elektroniczny.

Zamek elektroniczny również wymaga procedury. Trzeba ustalić, kto nadaje kody, jak są zmieniane, co dzieje się po odejściu pracownika i jak wygląda awaryjne otwarcie. W małym dziale dobrze prowadzony rejestr kluczy może zapewniać lepszą kontrolę niż wspólny kod znany całemu zespołowi.

Audyt bezpieczeństwa akt w 60 minut

Krótki audyt pozwala wykryć najpoważniejsze luki bez rozpoczynania dużego projektu. Przejdź przez biuro i odpowiedz na każde pytanie „tak” albo „nie”:

Czy wszystkie papierowe akta osobowe znajdują się w zamykanej szafie lub kontrolowanym pomieszczeniu?
Czy szafa stoi poza zasięgiem gości, serwisantów i pracowników bez upoważnienia?
Czy wiadomo, kto ma klucz lub kod dostępu?
Czy istnieje aktualny rejestr wydania i zwrotu kluczy?
Czy klucze byłych pracowników zostały odebrane albo unieważnione?
Czy dokumenty HR są oddzielone od akt BHP, finansów i materiałów ogólnych?
Czy na biurkach, w kartonach lub na drukarkach nie pozostają akta po zakończeniu pracy?
Czy etykiety na szafach i segregatorach nie ujawniają nadmiernie informacji, takich jak wynagrodzenia lub stan zdrowia?
Czy szafa ma pojemność wystarczającą dla dokumentów bieżących i archiwalnych?
Czy firma ma procedurę utraty klucza, niszczenia dokumentów i okresowego przeglądu uprawnień?

Jeżeli na którekolwiek pytanie odpowiedź brzmi „nie”, zacznij od trzech działań: ogranicz dostęp, uporządkuj rejestr kluczy i przenieś dokumenty pozostawione poza szafą.

Co zrobić po zgubieniu klucza lub podejrzeniu dostępu?

Utrata klucza nie oznacza automatycznie naruszenia ochrony danych, ale zawsze wymaga oceny ryzyka i udokumentowania decyzji. Procedura powinna być uruchomiona natychmiast:

Osoba, która zauważyła utratę, zgłasza ją przełożonemu, HR lub administratorowi dokumentacji.
Właściciel procesu zabezpiecza szafę i ustala, czy klucz mógł zostać powiązany z konkretną lokalizacją.
Wyznaczona osoba ocenia, czy mogło dojść do dostępu do akt i jakie dokumenty były zagrożone.
Administracja wymienia wkładkę, zamek albo zmienia uprawnienia w systemie elektronicznym, jeżeli dotychczasowe zabezpieczenie nie daje kontroli.
Rejestr kluczy zostaje zaktualizowany, a zdarzenie opisane w notatce wraz z podjętymi decyzjami.
Administrator danych lub inspektor ochrony danych ocenia, czy zdarzenie jest naruszeniem ochrony danych i czy wymaga dalszych działań.

Podobnie należy postąpić po stwierdzeniu otwartej szafy, brakującej teczki albo wejścia osoby nieuprawnionej do pomieszczenia. Nie należy zacierać śladów ani samodzielnie usuwać dokumentów z obiegu. Trzeba zabezpieczyć miejsce, ustalić zakres zdarzenia i zachować informacje potrzebne do oceny ryzyka.

Bezpieczeństwo akt wymaga stałej kontroli

Szafa jest tylko narzędziem. Ochronę zapewnia dopiero połączenie właściwego mebla, kontrolowanej lokalizacji, imiennych upoważnień, rejestru kluczy i regularnego przeglądu dostępu. Raz na określony czas trzeba sprawdzić, czy osoby wskazane w rejestrze nadal pracują z dokumentacją i czy sposób przechowywania odpowiada aktualnej liczbie akt.

Najprostszy standard to zamykana szafa, ograniczona lista użytkowników, brak klucza pozostawionego w zamku oraz udokumentowana procedura na wypadek incydentu. Przy większej skali dokumentacji warto ustandaryzować szafy, oznaczenia, podział na działy i zasady archiwizacji.

Artykuł ma charakter informacyjny i nie zastępuje indywidualnej analizy prawnej ani oceny ryzyka ochrony danych w konkretnej organizacji.