Bezpieczeństwo danych w helpdesk —
GDPR i PII w zgłoszeniach IT

Pracownik loguje się do helpdesku z problemem z laptopem — wpisuje numer PESEL dla identyfikacji, wspomina o problemach zdrowotnych, które wpływają na pracę. Ticket trafia do kilku techników, zostaje rozwiązany, ale dane zostają. Po latach mogą być dostępne dla byłych pracowników, mogą być wyeksportowane, mogą być w backupie bez kontroli dostępu. To ryzyko GDPR o wartości do 10 milionów złotych. W tym artykule pokazuję, jak **zdefiniować PII w helpdesku**, **jakie mają prawa użytkownicy** i **jak skonfigurować ManageEngine ServiceDesk Plus** aby danych nikt nie widział bez potrzeby.

Co to jest PII i dlaczego pojawia się w ticketach?

PII (Personally Identifiable Information) to każda informacja, która może jednoznacznie zidentyfikować lub stać się czynnikiem umożliwiającym identyfikację konkretnej osoby. W kontekście helpdesku polskiego to:

• Dane identyfikacyjne: imię i nazwisko, PESEL, numer paszportu, numer dowodu
• Dane kontaktowe: email, numer telefonu, adres domowy
• Dane techniczne: adres IP pracownika, MAC address maszyny, nazwa hosta, identyfikator usługi AD
• Dane zdrowotne: choroby, zaburzenia psychiczne, urazy, pobyt w szpitalu (SPECIAL CATEGORY — wymagane wzmocnione zabezpieczenia)
• Dane finansowe: wynagrodzenie (jeśli pojawia się w kontekście problemów z systemem HR), rachunek bankowy

Problemem jest, że pracownicy często dodają PII bez konieczności — „nie mogę pracować bo mam bół głowy" zamiast „nie mogę pracować bo laptop się nie włącza". Technik wtedy widzi zbędne dane, które zmuszają go do legalnego bycia Data Controller'em.

GDPR prawa — dostęp, usunięcie, przenoszenie danych

GDPR (RODO w Polsce) daje użytkownikowi 8 praw do swoich danych osobowych:

• Art. 15 — Right to Access: osoba ma prawo żądać dostępu do wszystkich swoich danych w ciągu 30 dni. Musisz dostarczyć kopię w machinereadable format (CSV, XML).
• Art. 17 — Right to Erasure ('Right to be Forgotten'): osoba może żądać usunięcia swoich danych. Wyjątek: jeśli są wymagane dla compliance (audit trail, legal hold).
• Art. 20 — Right to Data Portability: osoba może żądać eksportu danych w formacie, który może przenieść do innego systemu.
• Art. 21 — Right to Restrict Processing: osoba może ograniczyć przetwarzanie danych (read-only, bez analizy, bez profilowania).
• Art. 24 — Right to Notification: jeśli doszło do data breach involving osobiste dane, musisz powiadomić UODO w ciągu 72 godzin.

Dla helpdesku problem pojawia się gdy:

• Pracownik odchodzi — żąda usunięcia swoich danych z ticketów → musisz anonimizować lub usunąć
• Pracownik przenosi się do konkurencji — żąda Right to Portability → eksportujesz dane w neutral format
• Hack ticketów z PII → breach notification do UODO + do pracownika w 72 godziny

Tabela — rodzaje PII w ticketach i poziom ryzyka

RBAC i kontrola dostępu — tylko technik może widzieć PII

Pierwszą linią obrony jest Role-Based Access Control (RBAC). Nie wszyscy w firmie mogą widzieć ticket z PII:

• Level 1 (Help Desk): może widzieć ticket Subject + Description (bez PII fields)
• Level 2 (technician): może widzieć pełny ticket z PII fields (wymagana edukacja GDPR)
• Manager / Director: może widzieć raport agregowany (liczba ticketów), ale nie szczegóły PII
• HR / Outsourcer: brak dostępu do ticketów z PII (dostęp read-only do wybranych pól bez szczegółów)

W ManageEngine ServiceDesk Plus to konfiguruje się przez:

• Custom Fields + Field ACL: definiujesz pola PII (np. PESEL, data urodzenia) i ograniczasz kto je widzi
• Ticket ACL: technik widzi ticket, ale manager widzi tylko podsumowanie
• Audit Trail: logowanie kto otworzył ticket z PII i o której godzinie (niemodyfikowalny log)

Anonimizacja i retencja — jak długo przechowywać dane?

GDPR wymaga: przechowywaj dane nie dłużej niż konieczne. Dla ticketów IT standard to:

• 0–3 miesiące (Active phase): ticket otwarty i w rozwiązywaniu — pełne dane dostępne dla technika
• 3–12 miesięcy (Archive phase): ticket zamknięty — archiwizuj, usuń PII (anonimizuj PESEL→***-***-***, dane zdrowotne→[REDACTED])
• 1–3 lata (Compliance hold): przechowuj ticket w zanonimizowanej formie dla audytu (liczba ticketów, kategorie, czas rozwiązania), ale bez PII
• Po 3 latach: bezwarunkowe usunięcie (prawo do bycia zapomnianym)

Procedura anonimizacji w ManageEngine:

1. Ticket zamknięty 3 miesiące temu → trigger automatyczny w workflow
2. Workflow: \"Redact custom fields containing PESEL, phone, health data\"
3. Dane zapisane w encrypted archive (read-only backup)
4. PII fields replaced: PESEL → \"***-***-7890\" (ostatnie 4 cyfry dla referencji)
5. Po 3 latach → purge archive

Szyfrowanie wrażliwych pól w ManageEngine SDP

ManageEngine ServiceDesk Plus oferuje enkryptowanie na rest (AES-256) dla selected custom fields:

• Custom Field Encryption:

  Definiujesz pole (np. \"Employee_PESEL\") jako PII → ManageEngine enkryptuje wartość w bazie danych. Widoczne tylko dla role z permission.

• Audit Trail (immutable log):

  Każdy dostęp do encrypted field logowany — kto, kiedy, ile czasu patrzył — nie do modyfikacji.

• Data Subject Access Request (DSAR):

  Automated raport — filtruje wszystkie tickety dla konkretnej osoby, eksportuje w GDPR-compliant format, załącza audit trail.

• Right to Erasure Workflow:

  Pracownik żąda usunięcia danych → tickety anonimizowane lub usunięte (z zachowaniem audit trail dla compliance).

Checklist 10 punktów GDPR dla helpdesku

Przed wdrożeniem ManageEngine SDP sprawdź:

• ☐ Zdefiniowałeś które pola w ticketach to PII (PESEL, email, phone, health data)
• ☐ Skonfigurowałeś Field ACL — tylko autoryzowane role widzą PII
• ☐ Włączyłeś encryption AES-256 dla pól PESEL, numer telefonu, danych zdrowotnych
• ☐ Audit Trail aktywny i niezmienny (loguje kto widział PII i kiedy)
• ☐ Procedura anonimizacji — tickets starsze 3 miesiące mają redacted PII
• ☐ Polityka retencji — automatyczne usunięcie PII po 3 latach
• ☐ DSAR workflow — możliwość w 30 dni dostarczyć dane konkretnej osoby w machinereadable format
• ☐ Right to Erasure workflow — procedura anonimizacji ticketów dla konkretnego pracownika
• ☐ Data breach procedure — kto powiadamia UODO w ciągu 72 godzin jeśli dojdzie do wycieku
• ☐ Szkolenie techników — wiedzą co to PII i co robić jeśli pojawi się w tickecie

Najczęstsze pytania (FAQ)