Każda firma, która przetwarza dane osobowe klientów, pracowników, kandydatów, współpracowników, przedstawicieli kontrahentów lub użytkowników strony internetowej, musi stosować RODO. W praktyce oznacza to, że obowiązki wynikające z przepisów o ochronie danych dotyczą niemal każdego aktywnego przedsiębiorstwa, niezależnie od jego wielkości, formy prawnej czy liczby zatrudnionych osób.
Pytanie nie powinno więc brzmieć wyłącznie: „czy moja firma podlega RODO?”. Znacznie ważniejsze jest ustalenie, jakie dane firma przetwarza, w jakich procesach, na jakiej podstawie prawnej, przez jaki okres oraz z udziałem jakich systemów i dostawców.
Wdrożenie RODO nie polega bowiem na zakupie zestawu polityk, procedur i formularzy. Jest procesem uporządkowania sposobu, w jaki organizacja wykorzystuje informacje o osobach fizycznych. Dokumentacja powinna być rezultatem tej analizy, a nie jej substytutem.
Czy każda firma musi wdrożyć RODO?
RODO ma zastosowanie do organizacji przetwarzających dane osobowe w sposób zautomatyzowany oraz do danych przetwarzanych w sposób tradycyjny, jeżeli stanowią lub mają stanowić część uporządkowanego zbioru. Europejska Rada Ochrony Danych wskazuje, że obowiązek stosowania RODO dotyczy organizacji niezależnie od ich wielkości i sektora, jeżeli przetwarzają dane osobowe w zakresie objętym rozporządzeniem.
Nie ma przy tym znaczenia, czy przedsiębiorstwo działa w formie spółki kapitałowej, spółki osobowej czy jednoosobowej działalności gospodarczej. Istotne jest to, czy w związku z działalnością gospodarczą dochodzi do przetwarzania informacji pozwalających zidentyfikować konkretną osobę.
Danymi osobowymi mogą być między innymi:
• imię i nazwisko klienta lub pracownika,
• służbowy adres e-mail zawierający imię i nazwisko,
• numer telefonu,
• adres dostawy,
• dane znajdujące się na fakturze wystawionej osobie fizycznej,
• adres IP i identyfikatory internetowe,
• nagranie z monitoringu,
• informacje zawarte w CV,
• dane o lokalizacji, aktywności lub preferencjach użytkownika,
• dane osób reprezentujących kontrahentów.
Firma nie musi prowadzić sklepu internetowego ani rozbudowanej bazy marketingowej, aby podlegać RODO. Wystarczy, że zatrudnia pracowników, prowadzi rekrutację, wystawia faktury osobom fizycznym, utrzymuje kontakty z przedstawicielami klientów biznesowych albo korzysta z formularza kontaktowego.
Dlaczego firma jest administratorem danych osobowych?
Administratorem jest podmiot, który ustala cele i sposoby przetwarzania danych osobowych. W uproszczeniu oznacza to organizację decydującą, dlaczego dane są potrzebne, jaki ich zakres zostanie zebrany, jak długo będą przechowywane oraz kto otrzyma do nich dostęp.
Jeżeli firma decyduje, że:
• zbiera dane klientów w celu realizacji zamówień,
• prowadzi rekrutację pracowników,
• wdraża monitoring wizyjny,
• wysyła komunikację marketingową,
• prowadzi program lojalnościowy,
• korzysta z systemu CRM,
• analizuje zachowania użytkowników strony,
• przechowuje dokumentację pracowniczą,
to co do zasady działa jako administrator danych w tych procesach.
W praktyce niemal każda działająca firma jest administratorem przynajmniej w odniesieniu do części przetwarzanych informacji. W innych relacjach może natomiast występować jako podmiot przetwarzający, na przykład wtedy, gdy realizuje usługę wyłącznie na udokumentowane polecenie swojego klienta.
Prawidłowe określenie tych ról jest jednym z pierwszych elementów profesjonalnego wdrożenia RODO. Błędne uznanie firmy za procesora albo zawieranie umów powierzenia z każdym kontrahentem „na wszelki wypadek” prowadzi do niespójności dokumentacji i niewłaściwego przypisania odpowiedzialności.
Zapraszamy do współpracy
Szczegółowe informacje o ofercie i warunkach współpracy można uzyskać telefonicznie lub wysyłając zapytanie za pomocą formularza kontaktowego.
Kiedy firma musi wdrożyć RODO?
Firma powinna wdrożyć wymagania RODO od momentu rozpoczęcia procesów obejmujących dane osobowe. Nie jest to obowiązek, który powstaje dopiero po przekroczeniu określonej liczby klientów, pracowników albo dokumentów.
Wdrożenie powinno nastąpić najpóźniej przed rozpoczęciem przetwarzania. Wynika to między innymi z zasady ochrony danych w fazie projektowania, zgodnie z którą odpowiednie środki prawne, organizacyjne i techniczne należy uwzględniać już podczas tworzenia procesu, usługi lub systemu.
W praktyce potrzeba wdrożenia lub aktualizacji systemu ochrony danych pojawia się szczególnie wtedy, gdy firma:
Rozpoczyna działalność gospodarczą
Już na początku działalności przedsiębiorca korzysta z poczty elektronicznej, wystawia faktury, zawiera umowy i przechowuje dane kontaktowe. Powinien więc określić podstawy przetwarzania, przygotować właściwe informacje dla osób oraz ustalić zasady retencji i zabezpieczenia danych.
Zatrudnia pierwszego pracownika
Proces zatrudnienia obejmuje dane kandydatów, pracowników, członków ich rodzin, a niekiedy także dane o zdrowiu. Wymaga to wdrożenia zasad dostępu, upoważnień, retencji, realizacji obowiązku informacyjnego oraz zabezpieczenia dokumentacji.
Uruchamia stronę internetową
Formularz kontaktowy, analityka, narzędzia reklamowe, newsletter, pliki cookies i system rezerwacji mogą prowadzić do przetwarzania danych osobowych. Sama publikacja polityki prywatności nie rozwiązuje problemu, jeżeli faktyczne działanie witryny nie zostało przeanalizowane.
Rozpoczyna sprzedaż internetową
Sklep internetowy przetwarza dane klientów, odbiorców przesyłek, osób składających reklamacje oraz użytkowników kont. Korzysta również z usług operatorów płatności, firm kurierskich, hostingu, systemów mailingowych i dostawców oprogramowania.
Wdraża CRM, system HR lub rozwiązania chmurowe
Nowe narzędzie zmienia sposób przechowywania, udostępniania i zabezpieczenia danych. Przed jego uruchomieniem należy sprawdzić między innymi role dostawców, lokalizację danych, warunki dalszego powierzania, transfery poza Europejski Obszar Gospodarczy oraz mechanizmy retencji.
Korzysta ze sztucznej inteligencji
Narzędzia AI mogą analizować wiadomości, dokumenty, rozmowy, dane klientów lub aktywność pracowników. Ich wdrożenie wymaga oceny celu, podstawy prawnej, zakresu danych, ryzyka, transparentności oraz relacji z dostawcą technologii.
Prowadzi marketing lub profilowanie
Newsletter, telemarketing, reklamy behawioralne, programy lojalnościowe i integracje z platformami reklamowymi wymagają skoordynowania RODO z przepisami dotyczącymi komunikacji elektronicznej. Nie każda zgoda marketingowa jest jednocześnie zgodą na przetwarzanie danych, a nie każde działanie marketingowe wymaga tej samej podstawy prawnej.
Instaluje monitoring
Monitoring wizyjny nie jest neutralnym rozwiązaniem technicznym. Firma powinna określić jego cel, zakres, czas przechowywania nagrań, dostęp do systemu, sposób oznakowania stref oraz podstawę prawną przetwarzania.
Rozpoczyna współpracę z dużym kontrahentem
Coraz częściej partnerzy biznesowi wymagają przedstawienia rejestru czynności, procedury naruszeń, informacji o zabezpieczeniach, zasad retencji, umów powierzenia i wyników oceny ryzyka. Brak uporządkowanego systemu ochrony danych może opóźnić negocjacje lub ograniczyć możliwość udziału w projektach.
Otrzymuje wniosek, skargę albo pytanie organu
Wniosek o dostęp do danych, żądanie usunięcia informacji, sprzeciw wobec marketingu albo incydent bezpieczeństwa szybko ujawniają, czy firma wie, gdzie znajdują się dane i kto jest odpowiedzialny za ich obsługę.
Jakie obowiązki ma firma jako administrator danych?
RODO nie określa jednego katalogu dokumentów, który każda firma powinna kupić i podpisać. Nakłada natomiast konkretne obowiązki, które należy przełożyć na sposób działania organizacji.
Administrator powinien w szczególności:
• zidentyfikować procesy przetwarzania danych,
• określić cele i podstawy prawne,
• przestrzegać zasady minimalizacji danych,
• ustalić okresy przechowywania informacji,
• realizować obowiązki informacyjne,
• zapewnić obsługę praw osób fizycznych,
• uregulować współpracę z dostawcami,
• prowadzić wymagane rejestry,
• wdrożyć adekwatne zabezpieczenia,
• oceniać ryzyko dla praw i wolności osób,
• identyfikować i dokumentować naruszenia,
• przeprowadzać ocenę skutków, gdy operacja może powodować wysokie ryzyko,
• wyznaczyć Inspektora Ochrony Danych, jeżeli spełnione są ustawowe kryteria,
• szkolić osoby mające dostęp do danych,
• regularnie weryfikować skuteczność wdrożonych środków.
Europejska Rada Ochrony Danych podkreśla, że środki bezpieczeństwa powinny odpowiadać ryzyku związanemu z konkretnymi operacjami, a organizacja powinna najpierw zidentyfikować możliwe konsekwencje przetwarzania dla osób fizycznych.
Zakres wdrożenia będzie więc inny w kancelarii, zakładzie produkcyjnym, gabinecie medycznym, firmie technologicznej, sklepie internetowym i organizacji prowadzącej rekrutację na dużą skalę.
Dlaczego gotowy pakiet RODO nie jest wdrożeniem?
Gotowy pakiet RODO zazwyczaj składa się z uniwersalnych polityk, procedur, klauzul, rejestrów i wzorów umów. Dokumenty są przygotowane tak, aby mogły zostać sprzedane możliwie szerokiej grupie odbiorców. Właśnie dlatego nie odzwierciedlają procesów konkretnej firmy.
Pakiet nie wie:
• jakie systemy wykorzystuje organizacja,
• które działy mają dostęp do danych,
• jakie dane faktycznie są zbierane,
• gdzie znajdują się serwery,
• z jakimi dostawcami współpracuje firma,
• czy dane są przekazywane poza EOG,
• jak działa proces reklamacji, rekrutacji lub marketingu,
• jakie są rzeczywiste okresy retencji,
• które operacje powodują podwyższone ryzyko,
• czy firma jest administratorem, procesorem czy współadministratorem,
• jakie zabezpieczenia zostały faktycznie wdrożone.
W konsekwencji dokument może wyglądać profesjonalnie, a jednocześnie opisywać rozwiązania, których firma nie stosuje. Może także pomijać procesy generujące najistotniejsze ryzyko.
Taki model tworzy pozór zgodności, ale nie zapewnia rozliczalności.
Dlaczego dokumenty skopiowane z internetu są łatwe do zakwestionowania?
Jedną z podstawowych zasad RODO jest rozliczalność. Administrator nie tylko ma przestrzegać przepisów, lecz również musi być w stanie wykazać, że robi to w sposób skuteczny.
Prezes UODO i sądy administracyjne konsekwentnie wskazują, że ciężar przedstawienia dowodów zgodności spoczywa na administratorze. Nie wystarczy więc złożyć oświadczenia, że organizacja działa zgodnie z RODO. Firma powinna przedstawić rozwiązania, dokumenty i działania odpowiadające jej rzeczywistym operacjom.
Podczas kontroli lub postępowania znaczenie może mieć między innymi to:
• czy rejestr czynności odpowiada faktycznym procesom,
• czy wskazane podstawy prawne są prawidłowe,
• czy firma potrafi uzasadnić okresy retencji,
• czy osoby zostały właściwie poinformowane,
• czy dostawcy zostali prawidłowo zakwalifikowani,
• czy przeprowadzono analizę ryzyka,
• czy zabezpieczenia są adekwatne i rzeczywiście stosowane,
• czy pracownicy znają procedury,
• czy incydenty były dokumentowane i oceniane,
• czy dokumentacja była aktualizowana po zmianach organizacyjnych.
Gotowa polityka, która wskazuje nieistniejące stanowiska, nieużywane systemy albo nieprawdziwe zabezpieczenia, może działać na niekorzyść przedsiębiorcy. Pokazuje bowiem, że dokumentacja została przyjęta bez analizy i nie funkcjonuje jako element rzeczywistego systemu zarządzania.
Pakiet wzorów może być materiałem pomocniczym. Nie może jednak zastąpić audytu, decyzji administratora ani wdrożenia rozwiązań odpowiadających ryzyku.
RODO nie jest projektem dokumentacyjnym
Dojrzałe organizacje nie traktują ochrony danych jako zbioru formularzy. Zarządzają nią podobnie jak innymi obszarami compliance, cyberbezpieczeństwa, kontroli wewnętrznej i ryzyka operacyjnego.
Prawidłowe wdrożenie powinno łączyć cztery perspektywy:
Perspektywę prawną
Firma musi ustalić role podmiotów, podstawy prawne, zasady transparentności, warunki powierzania danych oraz wymagania dotyczące realizacji praw osób.
Perspektywę procesową
Należy zrozumieć, jak dane przepływają pomiędzy działami, systemami, dostawcami i odbiorcami. Dokumentacja powinna opisywać rzeczywisty model działania, a nie model hipotetyczny.
Perspektywę technologiczną
RODO obejmuje sposób konfigurowania systemów, zarządzania dostępami, wykonywania kopii zapasowych, usuwania danych, rejestrowania operacji i reagowania na incydenty.
Perspektywę zarządczą
Ochrona danych wymaga przypisania odpowiedzialności, określenia właścicieli procesów, okresowych przeglądów i raportowania ryzyka do osób podejmujących decyzje.
Takie podejście jest standardem w profesjonalnym doradztwie dla biznesu. Pozwala połączyć zgodność regulacyjną z efektywnością operacyjną, zamiast budować równoległy system procedur, którego pracownicy nie rozumieją i nie stosują.
Od czego rozpocząć wdrożenie RODO?
Punktem wyjścia powinien być profesjonalny audyt RODO, którego celem jest identyfikacja faktycznych procesów, systemów, kategorii danych, dostawców oraz obszarów ryzyka.
Audyt nie powinien ograniczać się do sprawdzenia, czy firma posiada określone dokumenty. Powinien odpowiedzieć na pytania:
• jakie dane są przetwarzane,
• kto i w jakim celu z nich korzysta,
• gdzie dane są przechowywane,
• komu są udostępniane,
• jak długo pozostają w systemach,
• jakie podstawy prawne znajdują zastosowanie,
• czy informacje przekazywane osobom są kompletne,
• czy środki bezpieczeństwa odpowiadają ryzyku,
• jakie działania należy wdrożyć w pierwszej kolejności.
W BPPZ audyt jest traktowany jako etap diagnostyczny, który pozwala zbudować zakres dalszych prac na podstawie rzeczywistych potrzeb organizacji, a nie wcześniej przygotowanego katalogu dokumentów.
Jak wygląda profesjonalne wdrożenie RODO w firmie?
Pełne wdrożenie RODO dla firmy powinno obejmować zarówno przygotowanie dokumentacji, jak i przełożenie jej na praktykę operacyjną.
Proces może obejmować:
- Inwentaryzację czynności przetwarzania.
- Mapowanie przepływów danych.
- Określenie ról administratorów i procesorów.
- Weryfikację podstaw prawnych.
- Przygotowanie rejestrów czynności.
- Ustalenie zasad retencji.
- Przygotowanie obowiązków informacyjnych.
- Weryfikację zgód i komunikacji marketingowej.
- Uregulowanie współpracy z dostawcami.
- Analizę ryzyka.
- Ocenę potrzeby przeprowadzenia DPIA.
- Przygotowanie procedury obsługi praw osób.
- Przygotowanie procedury reagowania na naruszenia.
- Wdrożenie zasad nadawania i odbierania dostępów.
- Przeszkolenie pracowników.
- Ustalenie modelu nadzoru i przeglądów.
Rezultatem nie powinien być segregator dokumentów. Powinien nim być system, który działa w organizacji, wspiera pracowników i pozwala zarządowi wykazać kontrolę nad sposobem wykorzystywania danych.
BPPZ prowadzi wdrożenia w modelu łączącym analizę prawną z rozumieniem procesów biznesowych, technologii i zarządzania ryzykiem. Celem jest stworzenie rozwiązań możliwych do stosowania w codziennej działalności oraz możliwych do obrony podczas kontroli, postępowania lub audytu kontrahenta.
Czy każda firma musi wyznaczyć Inspektora Ochrony Danych?
Nie każda firma ma obowiązek wyznaczenia IOD. Obowiązek powstaje między innymi wtedy, gdy główna działalność organizacji polega na regularnym i systematycznym monitorowaniu osób na dużą skalę albo na przetwarzaniu na dużą skalę szczególnych kategorii danych lub danych dotyczących wyroków skazujących i naruszeń prawa.
Brak ustawowego obowiązku wyznaczenia IOD nie oznacza jednak, że firma nie potrzebuje stałego nadzoru nad ochroną danych.
Zewnętrzny Inspektor Ochrony Danych lub stałe wsparcie eksperckie może być uzasadnione, gdy organizacja:
• prowadzi wiele procesów wykorzystujących dane,
• działa w sektorze regulowanym,
• przetwarza dane klientów lub pracowników na dużą skalę,
• wdraża nowe technologie,
• regularnie odpowiada na wnioski osób,
• współpracuje z międzynarodowymi dostawcami,
• potrzebuje niezależnego monitorowania zgodności,
• chce przygotować się do kontroli lub audytów kontrahentów.
Do zadań IOD należy między innymi informowanie i doradzanie organizacji, monitorowanie przestrzegania przepisów, wspieranie ocen skutków oraz współpraca z organem nadzorczym. IOD powinien być włączany odpowiednio wcześnie we wszystkie sprawy dotyczące ochrony danych.
Dlaczego przedsiębiorstwa wybierają BPPZ?
BPPZ koncentruje się na wdrożeniach RODO dostosowanych do sposobu działania konkretnej organizacji. Model współpracy opiera się na analizie prawnej, doświadczeniu audytorskim oraz zrozumieniu procesów biznesowych i technologicznych.
Nie rozpoczynamy projektu od wyboru pakietu dokumentów. Rozpoczynamy go od poznania organizacji.
Pozwala to projektować rozwiązania, które:
• odpowiadają skali i profilowi ryzyka,
• uwzględniają wykorzystywane systemy,
• są zrozumiałe dla pracowników,
• nie tworzą zbędnej biurokracji,
• wspierają zarządzanie relacjami z dostawcami,
• pozwalają wykazać zgodność,
• mogą być rozwijane wraz z organizacją.
To podejście odpowiada standardowi profesjonalnego doradztwa dla biznesu, w którym prawnik nie ogranicza się do opisywania regulacji, lecz pomaga przełożyć je na decyzje operacyjne, odpowiedzialność i kontrolę ryzyka.
Czy wdrożenie RODO jest jednorazowe?
RODO nie jest jednorazowym projektem. Firma zmienia systemy, zatrudnia pracowników, angażuje nowych dostawców, rozwija marketing, uruchamia produkty i wykorzystuje nowe technologie. Każda z tych zmian może wpływać na zgodność.
System ochrony danych powinien być aktualizowany szczególnie wtedy, gdy:
• uruchomiono nową usługę,
• zmieniono system informatyczny,
• rozpoczęto zbieranie nowych kategorii danych,
• wdrożono monitoring lub AI,
• zmieniono dostawcę hostingu lub CRM,
• rozszerzono działalność na inne rynki,
• doszło do naruszenia,
• wpłynęła skarga albo wniosek osoby,
• zmieniła się struktura organizacyjna,
• dotychczasowa dokumentacja nie była przeglądana od kilku lat.
Bieżące zarządzanie zgodnością może zostać powierzone wewnętrznemu specjaliście, zewnętrznemu IOD albo wyspecjalizowanemu doradcy. Wybór modelu powinien odpowiadać skali przetwarzania i ryzyku organizacji.
Jak sprawdzić, czy firma rzeczywiście wdrożyła RODO?
Posiadanie dokumentacji nie oznacza jeszcze, że RODO zostało wdrożone.
Warto sprawdzić, czy firma potrafi odpowiedzieć na następujące pytania:
- Czy wiemy, jakie dane przetwarzamy?
- Czy znamy cele i podstawy prawne każdego procesu?
- Czy wiemy, gdzie znajdują się dane?
- Czy znamy wszystkich dostawców mających do nich dostęp?
- Czy mamy uzasadnione okresy przechowywania?
- Czy potrafimy odnaleźć dane konkretnej osoby?
- Czy wiemy, jak odpowiedzieć na jej wniosek?
- Czy pracownicy wiedzą, jak zgłosić incydent?
- Czy oceniamy ryzyko nowych projektów?
- Czy dokumentacja odpowiada temu, jak firma faktycznie działa?
Jeżeli odpowiedź na część tych pytań brzmi „nie”, samo posiadanie pakietu RODO nie zapewnia zgodności. Organizacja potrzebuje audytu i uporządkowania faktycznych procesów.
Kiedy firma musi wdrożyć RODO? Podsumowanie
Firma musi wdrożyć RODO, jeżeli w ramach działalności przetwarza dane osobowe. W praktyce obowiązek ten dotyczy niemal każdego przedsiębiorstwa, ponieważ prowadzenie działalności wiąże się co najmniej z przetwarzaniem danych klientów, pracowników, kandydatów, współpracowników lub przedstawicieli kontrahentów.
Zakres wdrożenia nie jest jednak taki sam dla każdej organizacji. Powinien wynikać z charakteru działalności, skali przetwarzania, wykorzystywanych technologii, struktury firmy oraz ryzyka dla osób fizycznych.
Dlatego uniwersalny pakiet dokumentów nie zastępuje wdrożenia RODO. Nie identyfikuje rzeczywistych procesów, nie ocenia ryzyka i nie pokazuje, czy przyjęte rozwiązania są faktycznie stosowane. Może stworzyć formalny pozór zgodności, ale nie zapewni administratorowi dowodów wymaganych przez zasadę rozliczalności.
Profesjonalne wdrożenie rozpoczyna się od audytu, a kończy dopiero wtedy, gdy dokumentacja, procedury, systemy i sposób działania pracowników tworzą jeden spójny model ochrony danych.
BPPZ wspiera firmy w całej Polsce w prowadzeniu audytów, projektowaniu wdrożeń RODO oraz organizowaniu funkcji Inspektora Ochrony Danych. Projekty są dostosowywane do modelu operacyjnego organizacji, jej technologii i rzeczywistych ryzyk.
Nie wiesz, czy rozwiązania stosowane w Twojej firmie spełniają wymagania RODO? Umów wstępną analizę i sprawdź, jaki zakres wdrożenia jest rzeczywiście potrzebny Twojej organizacji.
Najczęściej zadawane pytania
Czy jednoosobowa działalność gospodarcza musi wdrożyć RODO?
Tak, jeżeli w ramach działalności przetwarza dane osobowe klientów, kontrahentów, kandydatów, pracowników lub użytkowników strony. Brak pracowników nie oznacza automatycznego zwolnienia z RODO.
Czy firma bez strony internetowej podlega RODO?
Tak. RODO może mieć zastosowanie do danych przechowywanych w poczcie elektronicznej, programie księgowym, dokumentach papierowych, umowach, telefonie służbowym albo systemie kadrowym.
Czy mała firma musi prowadzić rejestr czynności przetwarzania?
Zwolnienie przewidziane dla podmiotów zatrudniających mniej niż 250 osób jest ograniczone. Nie znajduje zastosowania między innymi wtedy, gdy przetwarzanie nie ma charakteru sporadycznego, może powodować ryzyko albo obejmuje szczególne kategorie danych. W praktyce wiele stałych procesów biznesowych powinno zostać uwzględnionych w rejestrze.
Czy zakup dokumentacji oznacza wdrożenie RODO?
Nie. Dokumentacja powinna opisywać rzeczywiste procesy, systemy, role, okresy retencji i zabezpieczenia. Bez analizy organizacji gotowe wzory nie potwierdzają, że firma spełnia wymagania RODO.
Czy każda firma musi mieć Inspektora Ochrony Danych?
Nie. Obowiązek wyznaczenia IOD dotyczy określonych przypadków wskazanych w art. 37 RODO. Firma może jednak dobrowolnie korzystać ze stałego wsparcia eksperta lub zewnętrznego IOD.
Ile trwa wdrożenie RODO?
Czas zależy od wielkości firmy, liczby procesów, wykorzystywanych systemów, struktury dostawców oraz stanu obecnej dokumentacji. Rzetelny zakres i harmonogram można określić dopiero po wstępnej diagnozie lub audycie.
