Logowanie audytowe: prowadzenie dokumentacji nadającej się do obrony

Dlaczego to zasługuje na osobne omówienie, nie tylko wzmiankę gdzie indziej

Logowanie audytowe pojawia się w tej bazie wiedzy przez cały czas jako szczegół pomocniczy — zabezpieczenie prawne jest logowane, rozwiązanie zgłoszenia działań odwetowych jest logowane, usunięcie jest logowane. To, co nigdzie nie zostało powiedziane wprost, to dlaczego to logowanie jest tym, co faktycznie ma znaczenie, nie sama czynność, do której jest przypisane. Zasada rozliczalności RODO (art. 5 ust. 2) nie wymaga tylko, by firma przestrzegała prawa o ochronie danych — wymaga, by mogła wykazać zgodność, a art. 24 przekłada to na konkretny obowiązek wdrożenia środków umożliwiających jej wykazanie. Uczciwie prowadzony zapis tego, co się wydarzyło, jest tym, jak "obsłużyliśmy to prawidłowo" przestaje być twierdzeniem, a staje się czymś, co faktycznie możesz pokazać.

Co faktycznie musi rejestrować dokumentacja nadająca się do obrony

Użyteczny test dla każdego dziennika audytu, niezależnie od tego, jaka platforma go tworzy: czy ktoś spoza firmy — organ regulacyjny, sąd, pracownik uważający, że został potraktowany niesprawiedliwie — mógłby na jego podstawie odtworzyć, co się wydarzyło i kiedy, bez konieczności polegania na czyimś słowie? Zwykle oznacza to rejestrowanie, dla każdej istotnej czynności:

• Kto to zrobił. Nie "osoba obsługująca", tylko konkretna, możliwa do przypisania osoba lub konto.
• Kiedy. Prawdziwy znacznik czasu, nie przybliżone wspomnienie zrekonstruowane później.
• Co się zmieniło. Faktyczny stan przed i po, nie tylko fakt, że coś się wydarzyło.
• Dlaczego, w przypadku wszystkiego, co wymagało oceny. Zmiana statusu lub rutynowa aktualizacja mogą nie wymagać dołączonego powodu — ale zabezpieczenie prawne, usunięcie lub rozwiązanie zgłoszenia działań odwetowych powinny go mieć, ponieważ to dokładnie te czynności, o które ktoś mógłby później zapytać "dlaczego to zrobiłeś". Zobacz kiedy zastosować blokadę prawną (legal hold) oraz obsługę zgłoszenia działań odwetowych po dwa konkretne przykłady decyzji, które potrzebują powodu w dokumentacji, nie tylko znacznika czasu.

Luka, którą ma większość logów: kto patrzył, nie tylko kto zmienił

Log rejestrujący wyłącznie zmiany — przesunięcia statusu, dodane notatki, zapisany wynik — pomija połowę tego, czego faktycznie wymaga poufność. Obowiązek bezpieczeństwa kanału z art. 9 ust. 1 lit. a dotyczy zapobiegania dostępowi nieupoważnionego personelu, co oznacza, że kto przeglądał sprawę jest faktem równie istotnym dla poufności jak to, kto ją edytował. Jeśli firma potrafi pokazać, kto zmienił sprawę, ale nie kto na nią patrzył, nie potrafi faktycznie odpowiedzieć na pytanie, które jako pierwsze zadałoby dochodzenie w sprawie naruszenia poufności: kto miał na to wgląd. Dokumentacja nadająca się do obrony obejmuje dostęp, nie tylko edycje.

Dokumentacja to to, co znosi ciężar dowodu, nie tylko go wspiera

Ma to najbardziej konkretne znaczenie dokładnie w sytuacji omawianej w co uznaje się za działania odwetowe: gdy zgłaszający wykaże, że dokonał zgłoszenia i następnie doznał szkody, art. 21 ust. 5 przyjmuje, że szkoda została wyrządzona w ramach działań odwetowych, a to firma musi udowodnić coś przeciwnego. W tym momencie udokumentowany, opatrzony datą zapis tego, dlaczego podjęto decyzję, nie jest miłym dodatkiem wspierającym stanowisko firmy — to jedyna rzecz, która może znieść ten ciężar dowodu. Firma polegająca na pamięci lub na nieformalnych wiadomościach Slack, o których nikt nie pomyślał, by je zachować, próbuje udowodnić coś negatywnego po fakcie, nie mając niczego zbudowanego w tym celu.

Jak Provoxis to wdrożył

Provoxis zapisuje każdą z tych czynności — ustanowienie lub zniesienie zabezpieczenia prawnego, zgłoszenie lub rozwiązanie incydentu działań odwetowych, usunięcie zgłoszenia — jako wpis w dzienniku audytu tworzony w tej samej transakcji bazodanowej co sama czynność. To gwarancja strukturalna, nie procesowa: system jest zbudowany tak, że czynność nigdy nie może się powieść bez odpowiadającego jej zalogowanego zapisu tego, kto ją wykonał, kiedy i dlaczego, zamiast by logowanie było osobnym krokiem, który mógłby się nie powieść, zostać pominięty lub dodany po fakcie. Firma prowadząca własny proces na bazie wspólnej skrzynki pocztowej lub arkusza kalkulacyjnego polega na tym, że ktoś pamięta, by zrobić notatkę — dokumentacja nadająca się do obrony nie powinna od tego zależeć.

Podstawa prawna

• Art. 5 ust. 2, RODO — zasada rozliczalności: administrator musi umieć wykazać zgodność, nie tylko ją zachowywać.
• Art. 24, RODO — obowiązek wdrożenia środków umożliwiających wykazanie tej zgodności.
• Art. 21 ust. 5, dyrektywa (UE) 2019/1937 — odwrócenie ciężaru dowodu, które udokumentowany zapis faktycznie znosi.