Branża centrów usług wspólnych stoi przed wyjątkowymi wyzwaniami związanymi z RODO, głównie z uwagi na skalę i złożoność procesów. SSC i BPO przetwarzają dane osobowe w imieniu wielu jednostek, często działających w różnych krajach i jurysdykcjach. Problemy pojawiają się tam, gdzie automatyzacja w systemach ERP koliduje z zasadą minimalizacji, a brak spójnej odpowiedzialności między działami operacyjnymi, HR, IT i prawnymi prowadzi do niekontrolowanego dostępu do danych. Przy takiej skali nawet drobne błędy mogą skutkować naruszeniem praw tysięcy osób i poważnymi konsekwencjami prawnymi.
ODO 24 realizowało projekty dla centrów usług wspólnych świadczących usługi kadrowe, księgowe i informatyczne dla dużych grup kapitałowych. W ramach wdrożeń opracowaliśmy jednolite standardy powierzeń przetwarzania danych, przygotowaliśmy matryce odpowiedzialności i przeprowadziliśmy wielojęzyczne szkolenia, dopasowane do różnych poziomów organizacyjnych. Obsługiwaliśmy również „grupowe” naruszenia, co wymagało zebrania informacji i koordynacji działań czasem kilku spółek z grupy. Ustaliliśmy również spójne zasady retencji danych dla różnych systemów, wykorzystywanych do przetwarzania danych „należących” do różnych administratorów. Niejednokrotnie też regulowaliśmy zasady przekazywania danych pomiędzy poszczególnymi spółkami z grupy, które to dane wcześniej „swobodnie” przepływały bez analizy istnienia ku temu podstaw prawnych. Obsługiwaliśmy wspólne grupowe projekty, jak np. eventy wiążące się z nagrywaniem filmów / robieniem zdjęć. Niejednokrotnie też analizowaliśmy spójność polityk stosowanych przez obsługiwaną przez nas spółkę z politykami „spółki-matki” znajdującej się w innym kraju, w tym poza Unią Europejską. Zdajemy sobie bowiem sprawę z tego, że czasem obsługa CUW-u oznacza de facto obsługę całej grupy. Dzięki naszym działaniom nasi klienci z branży SSC zyskali pełną kontrolę nad procesami przetwarzania danych, zgodność z RODO oraz odporność organizacyjną na wypadek audytu lub incydentu. Czasem musieliśmy też nieco „wyhamować” oczekiwania innych spółek z grupy względem CUW, np. kiedy żądały one weryfikacji kandydatów do pracy i pracowników pracujących w dziale IT Security poprzez zaświadczenia z KRK, ale też poprzez kontaktowanie się z podmiotami, w których zdobywane było wykształcenie, jak również ich byłymi pracodawcami. Przygotowaliśmy rekomendację, w której wyjaśniliśmy, dlaczego spółka w Polsce, zgodnie z polskim prawem nie może realizować takich działań.
Obsługujemy lub obsługiwaliśmy m.in. ENERGA Centrum Usług Wspólnych Sp. z o.o., Veolia Centrum Usług Wspólnych Sp. z o.o., CENTRUM INFORMATYCZNYCH USŁUG WSPÓLNYCH OLSZTYNA czy CUW Grupy Kapitałowej IGLOTEX.
