Dokument poufny nie musi mieć pieczęci „POUFNE”, aby wymagał odpowiedniego zabezpieczenia. W przedsiębiorstwach są to m.in. dokumenty zawierające dane pracowników i klientów, informacje finansowe, warunki umów, dane dotyczące kontrahentów, dokumentację księgową, informacje handlowe czy wewnętrzne materiały organizacyjne. Ochrona informacji poufnych powinna obejmować cały cykl życia dokumentu – również moment, w którym przestaje być potrzebny i zostaje przeznaczony do zniszczenia. Wyrzucenie takich materiałów do zwykłego kosza lub pozostawienie ich w niezabezpieczonym miejscu może stworzyć możliwość dostępu do informacji przez osoby nieuprawnione.
Dlatego firmy powinny ustalić nie tylko zasady tworzenia, udostępniania i przechowywania dokumentacji, lecz także procedurę jej wycofywania i bezpiecznego niszczenia. Ma to szczególne znaczenie w organizacjach, w których każdego dnia powstają dziesiątki lub setki wydruków zawierających informacje, które nie powinny opuścić firmy w możliwej do odczytania postaci.
Czym właściwie są dokumenty poufne?
Pojęcie dokumentu poufnego jest szersze, niż może się wydawać. W codziennym funkcjonowaniu przedsiębiorstwa może nim być każdy dokument zawierający informacje, do których dostęp powinien mieć ograniczony krąg osób.
Nie chodzi więc wyłącznie o dokumenty zawierające dane osobowe. Poufny charakter mogą mieć również informacje biznesowe, finansowe, organizacyjne, technologiczne czy handlowe.
Przykładem może być dokument zawierający warunki współpracy z ważnym kontrahentem. Nawet jeśli nie występuje w nim duża liczba danych osobowych, informacje dotyczące cen, rabatów, terminów czy warunków handlowych mogą mieć znaczenie biznesowe.
Podobnie jest z wydrukiem wewnętrznego zestawienia finansowego, planem budżetowym, projektem umowy czy raportem dotyczącym działalności przedsiębiorstwa.
Dlatego decyzji o sposobie postępowania z dokumentem nie powinno się podejmować wyłącznie na podstawie tego, czy znajduje się na nim oznaczenie „poufne”.
Jakie informacje wymagają szczególnej ochrony?
Zakres dokumentacji wymagającej zabezpieczenia zależy od rodzaju działalności organizacji. Inne dokumenty będą szczególnie istotne w placówce medycznej, inne w biurze rachunkowym, kancelarii, zakładzie produkcyjnym czy przedsiębiorstwie zatrudniającym kilkuset pracowników.
Można jednak wyróżnić kilka grup informacji, które wymagają szczególnej uwagi.
Dokumentacja pracownicza i kadrowa
Działy HR i kadr przetwarzają wiele informacji dotyczących pracowników i kandydatów. Mogą to być akta osobowe, dokumenty związane z zatrudnieniem, wynagrodzeniami, rekrutacją czy przebiegiem zatrudnienia.
Ryzyko nie kończy się w chwili wyjęcia dokumentu z aktywnej teczki. Jeżeli po upływie właściwego okresu przechowywania dokument zostaje przeznaczony do usunięcia, nadal powinien być zabezpieczony aż do momentu skutecznego zniszczenia.
Dokumentacja klientów
Formularze, umowy, korespondencja, reklamacje, zamówienia i inne materiały dotyczące klientów mogą zawierać informacje pozwalające na identyfikację konkretnych osób.
Część przedsiębiorstw generuje takie dokumenty codziennie. Nawet pojedynczy wydruk pozostawiony przy drukarce lub wrzucony do zwykłego pojemnika na papier może oznaczać utratę kontroli nad zawartymi w nim informacjami.
Dokumentacja księgowa i finansowa
Faktury, rozliczenia, zestawienia, raporty, dokumenty bankowe i inne materiały finansowe również wymagają kontrolowanego obiegu.
Mogą zawierać zarówno dane osobowe, jak i informacje dotyczące sytuacji finansowej przedsiębiorstwa, wartości transakcji czy współpracy z poszczególnymi kontrahentami.
Umowy i dokumentacja handlowa
Umowy z klientami i kontrahentami mogą zawierać dane kontaktowe, warunki współpracy, ceny, rabaty, terminy realizacji, zasady rozliczeń oraz inne informacje o znaczeniu gospodarczym.
Podobny charakter mogą mieć oferty przygotowywane indywidualnie dla klientów, dokumentacja przetargowa, negocjowane cenniki czy zestawienia dotyczące sprzedaży.
Dokumentacja medyczna
Dokumentacja związana ze zdrowiem należy do materiałów wymagających szczególnie odpowiedzialnego postępowania. Dostęp do zawartych w niej informacji powinien być odpowiednio kontrolowany również wtedy, gdy dokumentacja została już prawidłowo zakwalifikowana do zniszczenia.
Dokumenty dotyczące działalności wewnętrznej firmy
Nie wszystkie informacje wymagające ochrony dotyczą bezpośrednio konkretnego klienta lub pracownika.
Mogą to być również strategie, procedury wewnętrzne, raporty zarządcze, dokumentacja projektowa, informacje o dostawcach, kalkulacje kosztów, plany inwestycyjne czy materiały dotyczące nowych produktów i usług.
Z punktu widzenia przedsiębiorstwa ich ujawnienie może być równie problematyczne jak utrata dokumentacji zawierającej dane osobowe.
Czy każdy dokument z danymi osobowymi jest dokumentem poufnym?
W praktyce firmowej warto przyjąć zasadę, że dokument zawierający dane osobowe powinien być chroniony przed dostępem osób nieuprawnionych. Nie oznacza to jednak, że wszystkie dokumenty należy przechowywać i niszczyć w identyczny sposób.
Zakres zastosowanych środków powinien uwzględniać m.in. rodzaj informacji, ryzyko związane z ich ujawnieniem, obowiązujące okresy przechowywania oraz procedury funkcjonujące w danej organizacji.
RODO wprowadza m.in. zasadę ograniczenia przechowywania danych oraz wymaga zapewnienia odpowiedniego bezpieczeństwa danych osobowych. Z punktu widzenia zarządzania dokumentacją oznacza to konieczność kontrolowania również ostatniego etapu jej cyklu życia – usuwania informacji, które nie powinny być już dalej przechowywane.
Dlaczego wyrzucenie dokumentów do zwykłego kosza jest ryzykowne?
Moment, w którym dokument przestaje być potrzebny pracownikowi, nie oznacza automatycznie, że zawarte w nim informacje przestają wymagać ochrony.
Kartka znajdująca się w koszu nadal może być przeczytana, sfotografowana albo zabrana. Podobny problem występuje wtedy, gdy dokumenty przeznaczone do zniszczenia są przez długi czas gromadzone w otwartych kartonach, workach lub dostępnych dla wielu osób pomieszczeniach.
Ryzyko może pojawić się również podczas transportu. Jeżeli duża partia dokumentacji opuszcza siedzibę firmy, organizacja powinna wiedzieć, co dzieje się z nią pomiędzy odbiorem a faktycznym zniszczeniem.
Dlatego bezpieczne niszczenie należy rozpatrywać jako proces, a nie wyłącznie moment fizycznego rozdrobnienia papieru.
Jakie mogą być konsekwencje niewłaściwego niszczenia dokumentów?
Najbardziej oczywistym zagrożeniem jest uzyskanie dostępu do informacji przez osobę, która nie powinna ich znać. Dalsze konsekwencje zależą już od rodzaju dokumentacji.
Ujawnienie danych może prowadzić do naruszenia prywatności klientów lub pracowników. Utrata informacji handlowych może natomiast oznaczać ujawnienie warunków współpracy, cen, strategii lub innych danych istotnych z punktu widzenia przedsiębiorstwa.
Dochodzi do tego ryzyko organizacyjne i prawne. W przypadku danych osobowych administrator powinien stosować odpowiednie środki zapewniające bezpieczeństwo przetwarzanych informacji.
Właśnie dlatego ochrona informacji poufnych nie powinna kończyć się na zamykanej szafie, kontroli dostępu do systemu czy haśle do komputera. Procedury powinny określać również, co dzieje się z dokumentacją wtedy, gdy zostaje wycofana z użytkowania.
Czy niszczarka biurowa zawsze wystarczy?
Niszczarka może być praktycznym rozwiązaniem w przypadku niewielkiej ilości bieżących wydruków, ale przy większej skali dokumentacji pojawiają się dodatkowe problemy organizacyjne.
Pracownik musi poświęcić czas na niszczenie kolejnych partii papieru, urządzenie ma ograniczoną wydajność, a firma powinna również ustalić, gdzie dokumentacja będzie przechowywana przed zniszczeniem oraz kto będzie miał do niej dostęp.
Przy kilku kartkach problem może być niewielki. Sytuacja wygląda inaczej w przypadku dziesiątek segregatorów, likwidacji archiwum, przeprowadzki biura czy regularnego powstawania dużej ilości dokumentów.
Wtedy istotna staje się organizacja całego procesu: od wytypowania dokumentacji, przez jej bezpieczne gromadzenie i transport, aż do trwałego zniszczenia.
Kiedy dokument można przeznaczyć do zniszczenia?
Samo stwierdzenie, że dokument „jest stary”, nie powinno być podstawą jego usunięcia.
W przedsiębiorstwach funkcjonują różne okresy przechowywania dokumentacji wynikające z przepisów, charakteru dokumentu, zawartych umów lub wewnętrznych procedur.
Przed rozpoczęciem większego procesu niszczenia należy więc ustalić, które materiały rzeczywiście mogą zostać usunięte. Ma to szczególne znaczenie podczas porządkowania wieloletnich archiwów, gdzie obok dokumentów niepotrzebnych mogą znajdować się materiały nadal podlegające obowiązkowi przechowywania.
Z tego względu niszczenie może zostać poprzedzone brakowaniem dokumentacji, czyli jej uporządkowaniem i kwalifikacją.
Kiedy warto zlecić niszczenie dokumentów profesjonalnej firmie?
Nie każda organizacja potrzebuje zewnętrznej obsługi każdej pojedynczej kartki. Profesjonalna usługa staje się szczególnie przydatna wtedy, gdy ilość dokumentacji albo poziom ryzyka powodują, że samodzielne niszczenie jest trudne do właściwego zorganizowania.
Dotyczy to m.in. okresowych porządków w archiwum, przeprowadzki firmy, zakończenia dużego projektu, likwidacji części dokumentacji czy jednorazowego nagromadzenia dużej liczby segregatorów.
Inna sytuacja występuje w przedsiębiorstwach, które stale generują dokumentację poufną. Tutaj problemem nie jest jednorazowa partia papieru, ale zapewnienie bezpiecznego postępowania z dokumentami każdego dnia.
W takim przypadku warto rozważyć system pojemnikowy i regularny odbiór dokumentacji.
Vexar realizuje zarówno jednorazowe, jak i cykliczne niszczenie dokumentów. Usługa może obejmować odbiór dokumentacji z siedziby klienta, jej zabezpieczenie na czas transportu, trwałe zniszczenie oraz wydanie certyfikatu potwierdzającego realizację procesu. Dla przedsiębiorstw regularnie generujących dokumenty poufne dostępny jest również model abonamentowy z pojemnikami przeznaczonymi do ich bieżącego gromadzenia.
Dlaczego bezpieczny pojemnik na dokumenty może mieć znaczenie?
Jednym z najsłabszych punktów procesu bywa czas pomiędzy decyzją „tego dokumentu już nie potrzebujemy” a jego faktycznym zniszczeniem.
Jeżeli pracownik wyrzuca dokument do zwykłego kosza albo odkłada go do otwartego kartonu, przedsiębiorstwo może utracić kontrolę nad tym, kto będzie miał do niego dostęp.
Dedykowany pojemnik pozwala stworzyć prostą procedurę: dokument przeznaczony do zniszczenia trafia od razu w wyznaczone miejsce i oczekuje tam na odbiór.
Rozwiązanie jest szczególnie przydatne w biurach, w których poufne wydruki powstają każdego dnia – np. w działach HR, księgowości, administracji czy obsługi klienta.
Niszczenie jednorazowe czy stała obsługa – co wybrać?
Wybór powinien wynikać przede wszystkim z ilości dokumentacji i częstotliwości jej powstawania.
Jednorazowa usługa może być odpowiednia, gdy firma przeprowadza porządki w archiwum, zmienia siedzibę, kończy projekt albo zgromadziła większą partię dokumentów przeznaczonych do zniszczenia.
Model cykliczny lepiej odpowiada organizacjom, w których dokumentacja poufna powstaje regularnie. Zamiast organizować duże akcje niszczenia raz na kilka miesięcy, można stworzyć stały proces obejmujący bezpieczne gromadzenie i okresowy odbiór materiałów.
Ważne jest więc nie tyle pytanie „jak często niszczyć dokumenty?”, ile „jak długo dokument przeznaczony do zniszczenia pozostaje dostępny i kto może mieć do niego dostęp?”.
Jak przygotować firmę do bezpiecznego niszczenia dokumentów?
Dobrze zaprojektowana procedura nie musi być skomplikowana. Powinna jednak jednoznacznie odpowiadać na kilka pytań: jakie dokumenty podlegają szczególnej ochronie, kto może zdecydować o ich zniszczeniu, gdzie są odkładane po wycofaniu z użytkowania, kto ma do nich dostęp i w jaki sposób następuje ostateczne zniszczenie.
Pracownicy powinni również wiedzieć, że „niepotrzebny wydruk” nie zawsze jest zwykłą makulaturą. Jeżeli znajdują się na nim informacje wymagające ochrony, powinien trafić do procesu przewidzianego dla dokumentacji poufnej.
Szczególnej uwagi wymagają drukarki i urządzenia wielofunkcyjne, biurka, sale konferencyjne oraz stanowiska obsługi klienta. To właśnie tam mogą pozostawać robocze wydruki, kopie umów, notatki czy zestawienia, które formalnie nie są już potrzebne, ale nadal zawierają informacje wymagające zabezpieczenia.
Ochrona informacji poufnych obejmuje także ostatni etap życia dokumentu
Bezpieczeństwo dokumentacji nie kończy się w chwili zakończenia umowy, zamknięcia projektu czy przeniesienia danych do systemu elektronicznego. Dopóki papierowy dokument istnieje w czytelnej postaci, zawarte w nim informacje mogą zostać ujawnione.
Dlatego proces powinien obejmować cały cykl życia dokumentu: jego utworzenie, wykorzystanie, przechowywanie, archiwizację, kwalifikację do usunięcia oraz ostateczne zniszczenie.
Dopiero trwałe usunięcie informacji zamyka ostatni etap tego procesu.
FAQ – ochrona i niszczenie dokumentów poufnych
Co zalicza się do dokumentów poufnych?
Mogą to być dokumenty zawierające dane osobowe, informacje finansowe, kadrowe, handlowe, organizacyjne lub inne informacje, do których dostęp powinien być ograniczony. Zakres zależy od działalności konkretnej organizacji.
Czy faktury należy traktować jako dokumenty wymagające ochrony?
Faktury mogą zawierać dane klientów, kontrahentów oraz informacje dotyczące transakcji. Powinny więc być przechowywane i usuwane w sposób odpowiadający rodzajowi zawartych w nich informacji oraz obowiązującym okresom przechowywania.
Czy dokument poufny można wyrzucić do kosza po zakończeniu sprawy?
Nie należy traktować zakończenia sprawy jako automatycznej zgody na wyrzucenie dokumentu. Najpierw trzeba ustalić, czy upłynął wymagany okres jego przechowywania i czy dokument może zostać przeznaczony do zniszczenia. Jeżeli zawiera chronione informacje, nie powinien trafiać do zwykłego kosza w czytelnej postaci.
Jak przechowywać dokumenty oczekujące na zniszczenie?
Powinny być zabezpieczone przed dostępem osób nieuprawnionych. W firmach regularnie generujących poufną dokumentację można wykorzystać przeznaczone do tego zamykane pojemniki.
Kiedy warto skorzystać z profesjonalnego niszczenia dokumentów?
Przede wszystkim przy dużej ilości dokumentacji, porządkowaniu archiwum, przeprowadzce, zakończeniu projektu lub wtedy, gdy firma regularnie generuje dokumenty zawierające informacje wymagające ochrony.
Co daje certyfikat zniszczenia dokumentów?
Stanowi potwierdzenie wykonania procesu niszczenia przekazanej dokumentacji. W przypadku usługi Vexar certyfikat jest wydawany klientowi po przeprowadzeniu procesu.
Czy profesjonalna usługa może obejmować odbiór dokumentów z firmy?
Tak. Vexar oferuje odbiór dokumentacji z siedziby klienta oraz jej zabezpieczenie podczas transportu do miejsca realizacji usługi.
Czy można regularnie przekazywać dokumenty do niszczenia?
Tak. Oprócz zleceń jednorazowych możliwy jest model abonamentowy, obejmujący pojemniki na dokumenty poufne, ich regularny odbiór i cykliczne niszczenie.