Ewidencja ruchu na terenie zakładu jest zbiorem danych osobowych i tak trzeba ją zaprojektować. Pole zbierane bez uzasadnienia oraz zapis trzymany bezterminowo to dwa najczęstsze braki.
Jakie dane trafiają do przepustki
Przepustka powstaje po to, żeby ustalić, kto przebywa na terenie obiektu. Do tego celu wystarczy zestaw wąski, a w praktyce formularze rozrastają się o pola dokładane przez kolejne działy.
Sprawdzenie zakresu polega na zadaniu przy każdym polu pytania, do czego jest potrzebne. Pole bez odpowiedzi usuwa się z formularza, bo jego obecność tworzy obowiązek, którego nic nie równoważy.
| Dana | Do czego służy | Czy jest niezbędna |
|---|---|---|
| Imię i nazwisko | Identyfikacja osoby na terenie | Tak |
| Firma i cel wizyty | Wskazanie osoby przyjmującej | Tak |
| Numer rejestracyjny pojazdu | Powiązanie wjazdu ze zgłoszeniem | Przy wjeździe pojazdem |
| Numer dokumentu tożsamości | Weryfikacja przy obiektach o wyższym rygorze | Rzadko |
Przegląd formularza warto powtarzać po każdej większej zmianie organizacyjnej, bo pola dokładają się stopniowo i pojedynczo nigdy nie wyglądają na nadmiar. Dopiero zestawienie całości pokazuje, ile z nich nikt nigdy nie odczytał.
Ostatni wiersz bywa wpisywany odruchowo, na zasadzie dotychczasowej praktyki wartowni. W większości zakładów wystarczy okazanie dokumentu bez przepisywania jego numeru do rejestru, co usuwa z bazy dane o podwyższonej wrażliwości.
Po co obiekt prowadzi ewidencję
Powody są dwa i oba dają się nazwać wprost. Pierwszy to bezpieczeństwo, w tym możliwość ustalenia po zdarzeniu, kto znajdował się na terenie. Drugi to rozliczenie czasu pojazdów, na którym opiera się rozmowa z przewoźnikami o postojach.
Nazwanie powodu ma znaczenie praktyczne, bo wyznacza zarazem okres przechowywania. Dane zbierane dla bezpieczeństwa tracą przydatność po czasie potrzebnym na reakcję, a zbierane dla rozliczeń - po zamknięciu okresu rozliczeniowego.
Zasady prowadzenia samego ruchu na bramie opisuje strona o kontroli wjazdu i wyjazdu pojazdów. Wskazówki dotyczące przetwarzania danych osobowych publikuje Urząd Ochrony Danych Osobowych.
Okres przechowywania
Zapis o wizycie sprzed trzech lat nie służy niczemu, a stanowi zobowiązanie. Ustalenie okresu przechowywania jest więc decyzją o zmniejszeniu ryzyka, nie formalnością.
Okres wyznacza się osobno dla każdej grupy zapisów, bo różnią się przydatnością. Ewidencja wejść pieszych przestaje być potrzebna szybciej niż historia obsługi transportów, na której opiera się analiza czasów.
Mechanizm usuwania musi działać sam. Reguła wymagająca, by ktoś raz na kwartał uruchomił czyszczenie, przestaje być wykonywana po pierwszej zmianie na stanowisku. Zadanie wykonywane według rozkładu opisuje strona o czynnościach cyklicznych w instalacji.
Uruchomienie takiego mechanizmu na zbiorze prowadzonym od lat wymaga ostrożności. Pierwsze wykonanie usunie naraz wszystko, co przekroczyło ustalony okres, czyli zwykle większość zawartości. Warto więc najpierw policzyć, ile zapisów obejmie, i sprawdzić, czy nic z tego nie jest potrzebne do rozliczeń w toku.
Sam fakt usunięcia zapisów wypada odnotować. Krótka informacja o liczbie usuniętych pozycji i dacie operacji wystarcza, żeby po roku dało się wykazać, że okres przechowywania rzeczywiście obowiązuje, a nie figuruje wyłącznie w dokumencie.
Zbiór, który tylko rośnie, staje się z czasem największym pojedynczym ryzykiem w systemie. Usuwanie zapisów po ustalonym czasie jest funkcją, nie zaniedbaniem.
Usunięcie a pozbawienie danych osobowych
Skasowanie całego zapisu niszczy także liczby, na których opierają się zestawienia. Średni czas obsługi transportu w ubiegłym roku przestaje być policzalny, choć nie wymagał do tego niczyjego nazwiska.
Rozwiązaniem jest usunięcie pól wskazujących osobę przy zachowaniu znaczników czasu i identyfikatora przewoźnika. Zapis przestaje wtedy dotyczyć człowieka, a nadal nadaje się do analizy.
Operację wykonuje się na tych samych zasadach co usuwanie, czyli automatycznie po upływie ustalonego okresu. Wynik warto sprawdzić, bo nazwisko zapisane dodatkowo w polu opisowym przetrwa czyszczenie kolumn, na które nikt nie patrzy.
Kto ma wgląd
Dostęp do ewidencji bywa nadawany szerzej, niż wynika z potrzeb. Wartownik potrzebuje widoku osób obecnych teraz, a kierownik magazynu - zestawienia transportów, przy czym żaden z nich nie potrzebuje pełnej historii wizyt sprzed roku.
Podział na role rozwiązuje to bez negocjacji przy każdym koncie. Rola opisuje zakres widoczności raz, a konta dziedziczą go wraz z przypisaniem, dzięki czemu zmiana zasad dotyczy od razu wszystkich osób na danym stanowisku.
Osobną kwestią jest zapis odczytów. Wgląd w dane osobowe warto rejestrować tak samo jak ich zmianę, bo pytanie o to, kto przeglądał historię konkretnej osoby, pada rzadko i wymaga wtedy konkretnej odpowiedzi. Zasady nadawania uprawnień opisuje strona o administrowaniu systemem awizacji.
Kamery i odczyty tablic rejestracyjnych
Odczyt tablicy rejestracyjnej powiązany ze zgłoszeniem staje się informacją o tym, kto i kiedy wjechał na teren. Traktowanie go jako danych technicznych jest błędem, który ujawnia się przy pierwszym pytaniu o zakres zbiorów.
Nagrania obrazu mają własny okres przechowywania, zwykle znacznie krótszy niż ewidencja zdarzeń. Rozdzielenie tych dwóch zbiorów upraszcza całość, bo pozwala usuwać obraz szybko, zachowując sam zapis o wjeździe.
Warto też ograniczyć pole widzenia kamer do tego, co jest potrzebne. Urządzenie obejmujące przy okazji parking pracowniczy albo drogę publiczną zbiera materiał, którego nikt nie zamawiał. Sposób prezentacji zajętości terenu opisuje strona o wizualizacji miejsc parkingowych.
Brama obsługiwana przez firmę zewnętrzną
Wartownia powierzona agencji ochrony oznacza, że dane osób wchodzących na teren przetwarza podmiot spoza zakładu. Zakres jego dostępu ustala się umową, a nie ustnym porozumieniem przy przekazaniu obiektu.
Praktycznie sprowadza się to do trzech ustaleń: jakie ekrany widzi obsługa, jak długo ma dostęp po zakończeniu umowy i co się dzieje z kontami po zmianie pracownika agencji. Ostatnie bywa pomijane i kończy się aktywnymi kontami osób, które od dawna pracują gdzie indziej.
Przegląd listy kont raz na kwartał rozwiązuje to bez żadnego mechanizmu. Wymaga natomiast wskazania osoby po stronie zakładu, która ten przegląd wykonuje, bo agencja nie zgłosi się z tym sama.
Zakres widoczności warto zawęzić do bieżącej doby. Obsługa bramy nie potrzebuje historii sprzed miesiąca, a jej brak usuwa większość ryzyka związanego z szerokim dostępem.
Kilka lokalizacji w jednym systemie
Firmy prowadzące więcej niż jeden obiekt zwykle obsługują je we wspólnej instalacji. Rozdzielenie danych między lokalizacje jest wtedy wymaganiem, nie udogodnieniem.
Wartownik jednego zakładu nie powinien widzieć ruchu w drugim, bo nie wynika to z jego zadań. Przypisanie konta do lokalizacji załatwia sprawę raz, bez ustawiania widoczności przy każdym ekranie osobno.
Wyjątkiem są konta o zasięgu ogólnym, potrzebne osobom nadzorującym całość. Ich liczba powinna być mała i znana, a nadanie takiego zakresu - decyzją, a nie następstwem kopiowania ustawień z innego konta.
Osobną sprawą są okresy przechowywania, które bywają różne w różnych obiektach ze względu na rodzaj działalności. System musi dopuszczać ustawienie ich niezależnie, inaczej najdłuższy okres narzuci się wszystkim pozostałym.
Instalacja u siebie a usługa zewnętrzna
Wybór między serwerem w zakładzie a usługą u dostawcy zmienia rozkład obowiązków, nie ich zakres. W obu układach to zakład decyduje, jakie dane zbiera i jak długo je trzyma.
Instalacja własna daje pełną kontrolę nad miejscem przechowywania i kosztuje pracę utrzymania: kopie zapasowe, aktualizacje oraz obsługę awarii sprzętu. Usługa zewnętrzna zdejmuje tę pracę i wymaga umowy opisującej powierzenie przetwarzania.
Kryterium wyboru bywa proste. Zakłady o własnym dziale informatyki zwykle wolą instalację u siebie, a obiekty bez takiego zaplecza - usługę, bo utrzymanie serwera przez firmę zewnętrzną i tak byłoby powierzeniem. Warstwę techniczną instalacji opisuje strona o platformie VSS.
Informacja przy bramie
Osoba wchodząca na teren powinna wiedzieć, kto zbiera jej dane i po co. Realizuje się to zwykle tablicą przy wjeździe oraz informacją na formularzu zgłoszenia, bez konieczności wręczania dokumentu każdemu kierowcy.
Treść warto utrzymać krótką i zrozumiałą. Kilka zdań o celu, okresie przechowywania i sposobie kontaktu działa lepiej niż strona tekstu prawnego, której nikt nie czyta pod szlabanem.
Przy zgłoszeniach zakładanych przez przewoźnika informacja pojawia się raz, przy zakładaniu konta. Dane kierowcy wprowadza wtedy pracodawca, co przenosi część obowiązku na niego. Zakres danych kierowcy opisuje strona o awizacji kierowcy.
Gość a kierowca
Obie grupy wchodzą na teren i na tym podobieństwo się kończy. Kierowca przyjeżdża do zapowiedzianego transportu, więc jego dane są już w systemie i wystarczy je potwierdzić. Gość przychodzi do konkretnej osoby, często bez wcześniejszego zapowiedzenia.
Ścieżki warto rozdzielić, bo formularz wspólny dla obu grup zbiera od każdej pola potrzebne tej drugiej. Kierowca nie ma osoby przyjmującej, a gość nie ma numeru zgłoszenia ani rampy.
Rozdzielenie upraszcza też zestawienia. Liczba wizyt gości mówi o obciążeniu recepcji, liczba wjazdów o obciążeniu bramy, a suma obu nie mówi o niczym. Zakres obsługi terenu opisuje strona o zarządzaniu placem.
Wykonawcy zewnętrzni
Osobną kategorią są pracownicy firm wykonujących prace na terenie, obecni przez tygodnie albo miesiące. Traktowanie ich jak gości oznacza rejestrowanie tej samej osoby codziennie od nowa.
Właściwszy układ opiera się na przepustce okresowej z datą ważności. Osoba jest zapisana raz, a rejestr odnotowuje wejścia i wyjścia bez powtarzania danych. Wygaśnięcie daty zamyka dostęp bez niczyjej interwencji.
Do tej grupy przypisuje się zwykle dokumenty wymagane przed dopuszczeniem do prac, z terminem ważności każdego z nich. System sprawdza je przy wejściu i odmawia przepustki, gdy termin minął, co zdejmuje tę kontrolę z wartowni.
Dane wykonawców podlegają tym samym zasadom przechowywania co reszta ewidencji, z jedną różnicą: okres liczy się od zakończenia prac, a nie od pojedynczego wejścia.
Lista obecnych na terenie
Najbardziej wymierna wartość ewidencji ujawnia się w sytuacji, w której nikt nie chce się znaleźć. Podczas ewakuacji potrzebna jest odpowiedź na jedno pytanie: kto jest teraz na terenie.
Odpowiedź musi być dostępna poza budynkiem i poza siecią zakładową. Lista widoczna wyłącznie na komputerze w portierni nie spełni swojej funkcji dokładnie wtedy, gdy będzie potrzebna.
Warunkiem wiarygodności jest odnotowywanie wyjść z taką samą starannością co wejść. Rejestr, w którym połowa wizyt nie ma zamknięcia, pokazuje po miesiącu setki osób rzekomo obecnych. Mechanizm zamykania wizyty opisuje strona o kontroli wjazdu i wyjazdu pojazdów.
Kopie zapasowe a okres przechowywania
Usunięcie zapisu z bazy nie usuwa go z kopii zapasowych wykonanych wcześniej. Zbiór, który miał zniknąć po roku, istnieje dalej w archiwum sprzed pół roku i będzie istniał tak długo, jak długo trzymane są kopie.
Rozwiązaniem nie jest rezygnacja z kopii, bo te chronią przed utratą danych. Rozwiązaniem jest ustalenie okresu ich przechowywania oraz odnotowanie tej zależności w opisie zbiorów.
Praktyczna zasada mówi, że kopie żyją krócej niż dane produkcyjne. Archiwum trzymane pięć lat przy rocznym okresie przechowywania ewidencji czyni ten okres pozornym.
Przy odtworzeniu bazy z kopii po awarii wraca również to, co zostało wcześniej usunięte. Czynność czyszczącą warto więc uruchomić od razu po odtworzeniu, zamiast czekać na kolejny cykl. Utrzymanie instalacji opisuje strona o wersjach i aktualizacjach systemu.
Dokumenty okazywane przy bramie
Obsługa sprawdza zwykle list przewozowy albo dokument dostawy, żeby potwierdzić zgodność ładunku ze zgłoszeniem. Sprawdzenie nie wymaga zachowania kopii i właśnie na tym rozróżnieniu opiera się różnica w zakresie zbieranych danych.
Skanowanie dokumentów przy bramie bywa wprowadzane z myślą o wygodzie późniejszych wyjaśnień. Tworzy jednak zbiór zawierający dane osobowe kierowcy, dane handlowe dostawcy i podpisy, przechowywany zwykle bez żadnego ustalonego okresu.
Rozsądniejsze jest odnotowanie numeru dokumentu wraz z wynikiem sprawdzenia. Przy sporze wystarcza to do odnalezienia oryginału u strony, która nim dysponuje, bez trzymania kopii przez lata.
Gdy kopia jest naprawdę potrzebna, na przykład przy przewozach wymagających potwierdzenia odbioru, powinna trafiać do zbioru dokumentów przyjęcia z własnym okresem przechowywania, a nie do ewidencji bramowej.
Przepustka papierowa i jej los
Wydruk pozostaje wygodny przy kontroli wewnątrz obiektu, gdzie nie ma dostępu do systemu. Tworzy jednak kopię danych poza bazą i o tej kopii trzeba zdecydować.
Prosty układ polega na zwrocie przepustki przy wyjeździe i zniszczeniu jej na miejscu. Egzemplarze gromadzone w segregatorze przy wartowni stają się zbiorem równoległym, prowadzonym bez żadnej z reguł ustalonych dla systemu.
Alternatywą jest ograniczenie treści wydruku do numeru zgłoszenia i numeru rejestracyjnego. Osoba kontrolująca odczytuje resztę z systemu, a sam dokument przestaje nieść dane osobowe. Widok stanu bieżącego opisuje strona o systemie YMS w obsłudze obiektu.
Podstawa zbierania danych
Formularze wjazdowe bywają wyposażane w pole z prośbą o zgodę, które w tym miejscu niczego nie załatwia. Kierowca odmawiający zgody i tak musi wjechać, żeby wykonać swoją pracę, więc wybór jest pozorny.
Podstawą zbierania danych przy bramie jest potrzeba samego obiektu: wiedza o tym, kto przebywa na terenie, oraz rozliczenie czasu pojazdów. Nazwanie tej podstawy wprost jest uczciwsze i prostsze w obsłudze niż zgoda, którą trzeba by dać możliwość wycofania.
Pole zgody ma sens przy danych wykraczających poza tę potrzebę, na przykład przy numerze telefonu prywatnego zbieranym dla wygody kontaktu. Takich pól warto mieć jak najmniej, bo każde wymaga osobnej obsługi.
Rozstrzygnięcie zapada przed uruchomieniem systemu, razem z ustaleniem zakresu pól. Wprowadzanie go później oznacza przegląd zapisów już zebranych. Zakres decyzji wymaganych przy wdrożeniu opisuje strona o roli systemu YMS.
Konta wspólne na wartowni
Stanowisko obsługiwane przez kilka osób na zmiany bywa wyposażone w jedno konto, bo tak jest wygodniej przy przekazywaniu służby. Konsekwencja jest jednak poważna: każdy zapis w rejestrze wskazuje stanowisko, a nie człowieka.
Przy pytaniu o to, kto wpuścił konkretny pojazd albo kto przeglądał dane osoby, odpowiedź brzmi wtedy, że wartownia. Historia zmian traci wartość dowodową, choć technicznie istnieje.
Rozwiązaniem jest konto osobiste z szybkim przełączaniem, na przykład kartą zbliżeniową przy stanowisku. Czas logowania skraca się do sekundy, a zapis odzyskuje sens. Opór wobec tej zmiany bywa spory i zwykle mija po pierwszym tygodniu pracy z kartą.
Przy okazji znika problem z odebraniem dostępu osobie, która przestała pracować. Wspólne konto wymaga wtedy zmiany hasła i poinformowania wszystkich pozostałych, co w praktyce bywa odkładane.
Pytanie o własne dane
Osoba, której dane znalazły się w ewidencji, może zapytać, co obiekt o niej przechowuje. Odpowiedź wymaga odnalezienia wszystkich zapisów jej dotyczących, co bywa trudniejsze, niż wygląda.
Trudność bierze się z rozproszenia. Nazwisko kierowcy występuje w zgłoszeniu, w ewidencji wejść, w wydrukach przepustek oraz czasem w polu opisowym wpisanym ręcznie przez obsługę. Wyszukiwanie po kartotece znajdzie pierwsze dwa miejsca.
Przygotowanie polega na ustaleniu, gdzie dane osobowe mogą wystąpić, i zapewnieniu wyszukiwania obejmującego te miejsca. Prace wykonuje się raz, a korzysta z nich przy każdym takim pytaniu.
Warto przy tym ograniczyć pola opisowe, do których wpisuje się swobodny tekst. To one najczęściej gromadzą dane poza wszelkim porządkiem, bo nikt nie sprawdza, co obsługa wpisała w uwagach.
Dane w zgłoszeniu a dane przy bramie
Zgłoszenie zakładane z wyprzedzeniem zawiera zwykle więcej informacji, niż potrzeba przy samym wjeździe. Rozdzielenie obu zbiorów pozwala ograniczyć to, co widzi wartownik, do rzeczy potrzebnych na miejscu.
W praktyce oznacza to widok bramowy z numerem pojazdu, godziną i miejscem rozładunku, bez pozycji towarowych ani warunków handlowych. Osoba przy szlabanie wykonuje swoje czynności szybciej, a zakres ujawnianych danych maleje.
Układ ten ma jeszcze jedną zaletę przy obiektach obsługujących wielu zleceniodawców, gdzie dane jednego kontrahenta nie powinny trafiać do rąk obsługi pracującej dla drugiego. Zakres pól zgłoszenia opisuje strona o danych do awizacji.