Kiedy cała kancelaria loguje się do jednego wspólnego konta w CRM, każdy prawnik i asystent widzi sprawy wszystkich klientów — także te zamknięte trzy lata temu. To nie jest tylko niewygodne: RODO wymaga, żeby administrator danych kontrolował, kto i w jakim zakresie ma dostęp, a nie zostawiał to przypadkowi wspólnego hasła. Dla małej kancelarii z kilkoma prawnikami i asystentami pytanie wraca przy każdym nowym pracowniku i przy każdej kontroli: komu nadać dostęp, kiedy go zawęzić i kiedy wolno w ogóle usunąć dane klienta, którego sprawa dawno się skończyła.
Dalej: co konkretnie mówią art. 29 i art. 17 RODO o kontroli dostępu i usuwaniu danych, gdzie kończy się odpowiedzialność kancelarii, a zaczyna dostawcy CRM, i jak wygląda w praktyce zamknięcie sprawy — od zawężenia dostępu do przypomnienia o przeglądzie.
Jedno wspólne konto w CRM kancelarii widzi wszystko
W wielu kancelariach CRM ma jedno konto na cały zespół albo każdy loguje się pod tym samym dostępem administracyjnym. Skutek: asystentka, która dołączyła w tym miesiącu, widzi w tym samym widoku sprawę sprzed trzech lat, dawno zamkniętą i rozliczoną. Nikt tego nie planował — po prostu nikt nie wyłączył dostępu, bo nie było takiego przełącznika ani takiej procedury.
Przykład na liczbach umownych — podstaw swoje: jeśli kancelaria prowadzi umownie 40 spraw rocznie, a dostęp do zamkniętej sprawy nikt świadomie nie zawęża, to po 3 latach w jednym wspólnym koncie wisi dostęp do około 120 zamkniętych spraw, które widzi cały zespół, łącznie z osobami, które przy tych sprawach nigdy nie pracowały.
Problem nie jest teoretyczny: im więcej osób ma dostęp do sprawy, po której minął sens jej dalszego udostępniania, tym trudniej odpowiedzieć na pytanie kontrolera UODO, kto i dlaczego mógł te dane zobaczyć. Odpowiedź „każdy, bo tak było wygodniej” nie jest odpowiedzią, którą da się obronić.
Art. 29 RODO: upoważnienie i kontrola dostępu
Co dokładnie mówi art. 29 RODO
Art. 29 RODO w skrócie: podmiot przetwarzający i każda osoba działająca z upoważnienia administratora, mająca dostęp do danych, przetwarzają je wyłącznie na polecenie administratora (UODO — upoważnienia do przetwarzania danych). Innymi słowy: dostęp do danych klienta kancelarii nie jest prawem pracownika, tylko poleceniem, które administrator — czyli kancelaria — świadomie wydaje i może w każdej chwili cofnąć.
Upoważnienie jako środek organizacyjny, nie formalność
UODO wprost wskazuje, że wydawanie upoważnień może być jednym ze środków organizacyjnych, których celem jest kontrola nad tym, kto ma dostęp do danych i w jakim zakresie (tamże). W CRM przekłada się to wprost na role: prawnik prowadzący sprawę widzi jej akta, osoba spoza zespołu nie widzi ich wcale, dopóki ktoś świadomie nie zmieni tego ustawienia. Upoważnienie na papierze bez odzwierciedlenia w ustawieniach systemu to fikcja, która nie wytrzyma pytania kontrolera o to, jak wygląda to w praktyce.
Kto administratorem, a kto podmiotem przetwarzającym w CRM
Kancelaria, która zbiera dane klientów, jest administratorem tych danych. Jeśli CRM prowadzi zewnętrzny dostawca oprogramowania, ten dostawca zwykle działa jako podmiot przetwarzający — przetwarza dane na polecenie kancelarii, a nie na własny rachunek. To rozróżnienie nie jest formalnością na potrzeby umowy, tylko realnym podziałem odpowiedzialności.
Gdy CRM prowadzi zewnętrzny dostawca
UODO w komunikacie o karach dla McDonald's Polska i podmiotu przetwarzającego jego dane przypomina zasadę ogólną: za ochronę danych osobowych odpowiadają zarówno administrator, jak i podmiot przetwarzający (UODO, 21.07.2025). Dla kancelarii oznacza to, że wybór dostawcy CRM i sprawdzenie, jak ten dostawca zabezpiecza dostęp do danych, nie jest formalnością do podpisania raz i zapomnienia — to część odpowiedzialności, której nie da się w całości przenieść na dostawcę. Zanim podpiszecie taką umowę, warto sprawdzić, co dany system w ogóle udostępnia na zewnątrz — czasem odpowiedź brzmi „nic”, i lepiej wiedzieć to na starcie niż po incydencie, tak jak sprawdza się to przy każdej Integracje dwóch systemów. O tym, gdzie fizycznie lądują dane klientów przy takich połączeniach, piszemy osobno w tekście o automatyzacji a RODO.
Art. 17 RODO: obowiązek usunięcia danych i wyjątek na roszczenia
Art. 17 RODO nakłada na administratora obowiązek usunięcia danych między innymi wtedy, gdy dane są już niepotrzebne do celu, dla którego je zebrano (UODO — prawo do usunięcia danych w praktyce). Dla zamkniętej sprawy klienta pytanie brzmi wprost: czy dane z tej sprawy są jeszcze do czegoś kancelarii potrzebne?
Prawo do usunięcia danych nie jest jednak bezwzględne. Administrator może odmówić usunięcia, jeśli dane są niezbędne między innymi do ustalenia, dochodzenia lub obrony roszczeń (tamże) — a to dla kancelarii sytuacja codzienna: sprawa zamknięta dziś może wrócić jako podstawa roszczenia klienta albo strony przeciwnej za rok czy dwa.
Jeśli klient sam poprosi o usunięcie swoich danych, administrator powinien odpowiedzieć niezwłocznie, najpóźniej w ciągu miesiąca; przy sprawie skomplikowanej termin można wydłużyć o kolejne dwa miesiące, informując o tym przed upływem pierwszego miesiąca (tamże). To realny termin, na który trzeba mieć w kancelarii ustaloną procedurę, a nie improwizować przy pierwszym takim wniosku.
Dostęp po sprawie, nie do całej bazy klientów
Praktyczna zasada, która wynika wprost z art. 29 RODO, brzmi prościej niż przepis: dostęp nadaje się do konkretnej sprawy, a nie do całej bazy klientów kancelarii. Prawnik prowadzący spór o zapłatę nie potrzebuje wglądu w sprawę rozwodową innego klienta obsługiwaną przez kolegę z tego samego zespołu.
Dostęp nadaje się i odbiera po stronie uprawnień, a nie przez wysłanie komuś hasła — to dokładnie ten sam mechanizm, na którym stoi API w systemach, które rozdzielają dostęp do danych według ról, a nie według tego, kto akurat zna login. Zakres ustala się wprost: co dana osoba widzi, a co zostaje poza jej zasięgiem, zamiast domyślnego „widzi wszystko, bo jest w zespole”.
Czego system nie rozstrzyga za prawnika
Żaden system CRM nie potrafi ocenić, czy dane z zamkniętej sprawy klienta są jeszcze potrzebne kancelarii do obrony przed roszczeniem, czy już nie. To wymaga oceny konkretnej sprawy — kto był stroną, jaki był przedmiot sporu, czy istnieje jeszcze podstawa, by liczyć się z roszczeniem — a taką ocenę robi prawnik, nie automat.
System może najwyżej przypomnieć, że warto tę ocenę zrobić w ustalonym terminie po zamknięciu sprawy; samej decyzji o usunięciu albo zatrzymaniu danych nie podejmuje za nikogo. To rozróżnienie warto mieć jasno zapisane w wewnętrznej procedurze kancelarii, żeby nikt nie założył, że „system by zablokował, gdyby coś było nie tak”.
Jak wygląda zamknięcie sprawy w CRM krok po kroku
W praktyce zamknięcie sprawy w CRM da się rozłożyć na kilka stanów, które różnią się tym, kto i co widzi:
| Status sprawy | Kto ma dostęp | Co może robić |
|---|---|---|
| Sprawa otwarta | cały zespół przypisany do sprawy | widzi i edytuje akta na bieżąco |
| Sprawa zamknięta, mniej niż rok | zespół, który ją prowadził | widzi bez prawa edycji |
| Sprawa zamknięta, ponad rok | tylko rola archiwalna | ma podgląd, bez edycji |
| Zgłoszona do oceny prawnika | osoba wyznaczona do przeglądu | decyduje: zatrzymać czy usunąć dane |
Przejście między tymi stanami nie dzieje się samo z powodu upływu czasu — to ustawienie, które kancelaria świadomie wybiera, a system dopiero pilnuje, że nikt go nie pominął dla konkretnej sprawy.
Sprawdź sam: lista spraw zamkniętych rok temu i dłużej
- Wypisz z CRM wszystkie sprawy zamknięte ponad rok temu — nie tylko po dacie zamknięcia, ale i po tym, czy ktoś w nich robił cokolwiek od tamtej pory.
- Przy każdej sprawie odpowiedz jednym zdaniem: czy jest podstawa, żeby dane wciąż leżały dostępne dla całego zespołu, na przykład otwarty spór, w którym sprawa może być dowodem.
- Tam, gdzie podstawy nie ma, zawęź dostęp do osoby, która faktycznie odpowiada za archiwum, zamiast zostawiać go całemu zespołowi.
- Zapisz przy sprawie termin, kiedy ktoś do niej wróci i zdecyduje ostatecznie: zatrzymać dane dłużej czy je usunąć.
Ten przegląd łatwiej przypilnować, kiedy zamienia się w zwykłe zadanie z terminem i osobą odpowiedzialną, a nie w dobrą wolę, o której zapomina się przy nawale bieżących spraw (Zadania). Przy okazji takiego przeglądu często się okazuje, że ten sam klient ma dwie karty w CRM — raz z dawnej sprawy, raz z nowej. Dane klientów łączy takie zapisy po tym, co naprawdę identyfikuje osobę, po telefonie albo adresie e-mail, żeby obok siebie nie żyły dwa niezależne profile tej samej osoby. Ogólniej o tym, co z takich porządków realnie da się oddać systemowi, a co zawsze zostaje po stronie zespołu, piszemy w tekście co realnie da się oddać systemowi, a czego nie.
Jak to wygląda, gdy dostępem zarządza system
- 01Sprawa zamknięta
- →02dostęp zwężony do archiwum
- →03przypomnienie o przeglądzie
Aura w tym scenariuszu nie decyduje, co zrobić z danymi — to i tak zostaje po stronie prawnika. System pilnuje tylko, żeby zamknięcie sprawy realnie zawężało dostęp, a przypomnienie o przeglądzie terminu nie zależało od tego, czy ktoś o nim pamięta. To ten sam mechanizm ról i uprawnień, na którym stoją Panele admina — jedna wspólna struktura dostępu zamiast osobnych ustawień dla każdej sprawy z osobna. Podobny mechanizm przypominania stoi za automatyzacją raportowania, która pilnuje, żeby liczby same trafiały do właściciela, zamiast czekać, aż ktoś otworzy panel.
Jeśli chcecie zobaczyć, jak wygląda takie zawężanie dostępu i przypomnienia w praktyce, można to sprawdzić na przykładzie Integracje albo przejrzeć, jak działa cała struktura danych klienta w usłudze Dane klientów. Jeśli to dopiero pierwszy krok kancelarii w stronę automatyzacji, warto zacząć od czterech progów zamiast ogólnej analizy; a zanim zapytacie o wycenę, zerknijcie na widełki cen automatyzacji procesów w 2026.
Najczęściej zadawane pytania
Czy dostęp do CRM kancelarii musi być jednym wspólnym kontem dla całego zespołu?
Nie musi i zgodnie z art. 29 RODO nie powinien — administrator ma kontrolować, kto i w jakim zakresie ma dostęp do danych (UODO). Jedno wspólne konto sprawia, że tej kontroli w praktyce nie ma, bo nikt nie wie, kto faktycznie otworzył konkretną sprawę.
Kto odpowiada za bezpieczeństwo danych, jeśli CRM prowadzi zewnętrzny dostawca?
Za ochronę danych osobowych odpowiadają zarówno administrator, czyli kancelaria, jak i podmiot przetwarzający, czyli dostawca CRM (UODO, 21.07.2025). Wybór dostawcy i sprawdzenie jego zabezpieczeń nie jest więc formalnością, którą można w całości przenieść na jego barki.
Czy trzeba usunąć dane klienta zaraz po zakończeniu sprawy?
Nie automatycznie. Administrator musi usunąć dane, gdy stają się niepotrzebne, ale może je zatrzymać, jeśli są niezbędne do ustalenia, dochodzenia lub obrony roszczeń (UODO) — a w kancelarii to bardzo częsty przypadek.
Ile czasu ma kancelaria na odpowiedź, jeśli klient poprosi o usunięcie swoich danych?
Odpowiedź powinna paść niezwłocznie, najpóźniej w ciągu miesiąca; jeśli sprawa jest skomplikowana, termin można wydłużyć o kolejne dwa miesiące, informując o tym przed upływem pierwszego miesiąca (UODO).
Czy system CRM może sam zdecydować o usunięciu danych klienta?
Nie — system może najwyżej przypomnieć o terminie przeglądu sprawy. Decyzję, czy dane są jeszcze potrzebne do obrony interesów kancelarii, podejmuje prawnik, a nie automatyka.
Co powinien widzieć nowy pracownik kancelarii w CRM pierwszego dnia?
Tylko sprawy, do których został formalnie przypisany, a nie całą historię kancelarii. To bezpośrednie zastosowanie zasady z art. 29 RODO: dostęp wynika z upoważnienia do konkretnego zakresu danych, a nie z samego faktu zatrudnienia (UODO).