Alternatywa dla OneTrust zależy od tego, którą część pracy chcesz zastąpić. Zarządzanie zgodami na stronie, prowadzenie rejestru czynności, obsługa wniosków osób i oceny ryzyka to różne zadania. Narzędzie dobre do banera cookies nie staje się przez to systemem do dokumentacji RODO. Z kolei rozbudowana platforma privacy może okazać się zbędna, jeżeli jedynym problemem jest wybór dotyczący analityki internetowej. Punktem wyjścia nie powinna być kolejność marek, lecz lista decyzji i dowodów, które Twoja organizacja musi umieć odtworzyć.
Ten przewodnik pomaga polskiemu administratorowi lub podmiotowi przetwarzającemu porównać kategorie produktów i zaplanować demonstrację. Nie jest aktualnym cennikiem ani niezależnym testem wszystkich ofert. Wskazanie dostawcy oznacza profil deklarowany na jego stronie, nie potwierdzenie działania w Twojej konfiguracji, języka każdego modułu czy wyniku kontroli UODO. Jeśli potrzebujesz bezpośredniego porównania dwóch ofert, osobne porównanie platform privacy przedstawia ramę oceny; tutaj ważniejsza jest możliwość odejścia także od błędnie dobranego typu narzędzia.
Najpierw ustal, co obecne rozwiązanie miało robić
Zapisz trzy sytuacje z ostatniego kwartału, w których brakowało Ci informacji: zmianę dostawcy z dostępem do danych, wniosek klienta o dostęp oraz nowy formularz marketingowy. Dla każdej sytuacji wskaż źródło faktów, osobę zatwierdzającą i wynik, który można pokazać po kilku miesiącach. Jeżeli problemem jest to, że nikt nie potrafi zaktualizować rejestru czynności przetwarzania, liczy się utrzymanie wpisów i historia zmian. Jeżeli problemem jest niezastosowanie wyboru użytkownika na witrynie, sprawdzaj CMP i zachowanie skryptów. Jeżeli problemem jest łączenie obu obszarów, potrzebna może być integracja, ale samo wspólne logo jej nie dowodzi.
Oddziel również niezadowolenie z produktu od niezadowolenia z procesu. Gdy właściciele działań nie odpowiadają na pytania IOD, nowa platforma nie wymyśli poprawnej podstawy prawnej ani czasu retencji. Gdy odpowiedzi są gotowe, lecz w wielu spółkach giną wersje i zatwierdzenia, funkcja przepływu pracy może mieć większą wartość niż kolejny szablon. Przygotuj dwa zestawy wymagań: prawne minimum, którego nie można pominąć, oraz wygodę, za którą warto zapłacić. Dzięki temu demonstracja nie zamieni się w wyścig liczby modułów.
Prawo nie nakazuje kupowania OneTrust ani jego zamiennika. UODO wyjaśnia, że odpowiedzialność za rejestr z art. 30 RODO należy do administratora lub procesora, a nie automatycznie do IOD. Rejestr ma być prowadzony pisemnie, również elektronicznie; wskazówki UODO dopuszczają różne czytelne struktury. Narzędzie ma ułatwiać utrzymanie wymaganych informacji, nie stanowić certyfikatu ich poprawności. Mała organizacja może używać arkusza, jeżeli potrafi pilnować właścicieli, wersji i udostępnić właściwe dane na żądanie organu.
Jakie rodzaje alternatyw naprawdę porównujesz
| Rodzaj rozwiązania | Główne zastosowanie do sprawdzenia | Ryzyko błędnego zakupu |
|---|---|---|
| Platforma privacy, np. OneTrust, TrustArc lub inny dostawca | Kilka powiązanych procesów, spółek i zespołów | Moduły w ofercie nie odpowiadają używanym przepływom |
| Narzędzie skoncentrowane na dokumentacji RODO | Rejestr, oceny i powiązane decyzje | Brak potwierdzonej obsługi szczególnego przypadku klienta |
| Rozwiązanie data discovery | Wyszukiwanie i mapowanie zbiorów w rozproszonych systemach | Mapa techniczna nie zastępuje oceny celu i podstawy prawnej |
| CMP, np. Didomi albo Usercentrics/Cookiebot | Wybory dotyczące urządzenia i zgód cyfrowych | Baner nie prowadzi rejestru, umów ani wniosków |
| Pakiet lokalny lub obsługiwany przez konsultanta | Polski język i pomoc we wdrożeniu | Dokument może być jednorazowym plikiem bez właściciela zmian |
| Arkusz i istniejący system zadań | Mała, stabilna skala i ręczna kontrola | Wersje i terminy rozchodzą się między osobami |
OneTrust opisuje kilka linii produktów, między innymi privacy operations, wnioski osób oraz zgody. TrustArc przedstawia rozwiązania do ocen i mapowania. Didomi dokumentuje CMP i inne własne moduły; nie należy sprowadzać całej jego oferty do banera. Profile te pomagają wskazać pytania do demonstracji, ale nie pozwalają twierdzić, że konkretna funkcja, integracja, język lub miejsce przetwarzania jest dostępne w wybranej umowie. Podobnie rozwiązanie GRC może być odpowiednie dla kilku reżimów ryzyka, lecz wymaga sprawdzenia, czy zawiera pola i eksport potrzebne do art. 30, a nie tylko ogólną kartę ryzyka.
Nie nazywaj CMP pełnym zamiennikiem platformy privacy, jeśli po wyłączeniu OneTrust nie masz gdzie utrzymywać rejestru lub wniosków. Platforma zarządzania zgodami ma sens tam, gdzie rzeczywistym celem jest egzekwowanie wyborów dla strony i aplikacji. Test dotyczy stanu przed zgodą, odmowy, późniejszego wycofania i rzeczywistego zachowania kodu, nie tylko wyglądu okna. Osobno oceniaj zgodę na pliki cookies i podstawę późniejszego przetwarzania danych osobowych. Organizacja może używać CMP obok rejestru prowadzonego w arkuszu albo w innej aplikacji.
Polski rejestr: poprawne role zamiast hasła „gotowy dla UODO”
W próbie porównawczej użyj trzech fikcyjnych czynności: własnej obsługi klientów, naliczania wynagrodzeń i usługi hostingu wykonywanej dla innego administratora. Pierwsze dwie sprawdzają rejestr administratora z art. 30 ust. 1. Trzecia może wymagać rejestru kategorii czynności procesora z art. 30 ust. 2. Poproś o wyjaśnienie, kto w danej relacji ustala cele i sposoby przetwarzania. Program nie powinien utożsamiać procesora z każdym dostawcą technologii ani kopiować tych samych pól bez względu na rolę. Porównaj wynik z poradnikiem o RODO dla małych firm, lecz rozstrzygnięcie oprzyj na własnych relacjach.
Sprawdź cele, kategorie osób i danych, odbiorców, transfery, przewidywane terminy usunięcia tam, gdzie możliwe, oraz ogólny opis środków bezpieczeństwa. Podstawa prawna bywa użytecznym dodatkowym polem, ale nie należy przedstawiać jej jako dosłownego obowiązkowego pola art. 30. Nadaj właściciela każdej czynności i zleć mu zmianę jednego odbiorcy. Po aktualizacji poproś o eksport obecnego stanu i wersji sprzed zmiany. Jeśli program potrafi jedynie wygenerować estetyczny PDF bez źródła decyzji, trudniej wyjaśnić, kto i dlaczego zmodyfikował wpis.
UODO nie zatwierdza handlowego formatu eksportu ani nie żąda rejestru jako pierwszego dokumentu w każdej kontroli. Art. 30 ust. 4 wymaga udostępnienia rejestru organowi na żądanie. Objaśnienia UODO wskazują przy tym, że nie jest to dokument, który trzeba publikować na stronie. Dlatego testuj czytelny, kompletny wynik i możliwość szybkiego wyjaśnienia braków, zamiast szukać pieczęci „format UODO”. Ta sama logika pomaga ocenić oprogramowanie RODO dla MŚP bez deklarowania, że dowolna marka sama zapewni zgodność.
Obsługa wniosków i umów w tej samej próbie
Do fikcyjnego wniosku o dostęp dodaj dwie aplikacje, jednego procesora i załącznik zawierający dane innej osoby. Zmierz, czy zespół potrafi zidentyfikować miejsca danych, ocenić ograniczenia dostępu i przedstawić odpowiedź w terminie wynikającym z art. 12 RODO. Zasadą jest działanie bez nieuzasadnionej zwłoki i najpóźniej w miesiąc od otrzymania wniosku; przedłużenie o dwa miesiące jest warunkowe, wymaga uzasadnienia i poinformowania w pierwszym miesiącu. Jeśli administrator nie podejmuje działania, art. 12 ust. 4 wymaga przekazania powodów bez zwłoki, najpóźniej w miesiąc, oraz informacji o skardze i środku sądowym. Sam licznik bez osoby odpowiadającej za treść i sprawdzenie tożsamości nie rozwiąże sprawy. Przewodnik po prawie dostępu rozwija ten osobny proces.
W teście dostawcy wyślij też projekt umowy powierzenia. Artykuł 28 wymaga umowy na piśmie, również elektronicznie, albo innego wiążącego aktu prawa Unii lub państwa członkowskiego regulującego relację. Ocena obejmuje instrukcje, poufność, bezpieczeństwo, dalszych procesorów, pomoc i koniec usługi. Po zakończeniu przetwarzania procesor zwraca albo usuwa dane według wyboru administratora i usuwa istniejące kopie, chyba że prawo Unii lub państwa członkowskiego nakazuje mu przechowywanie. Wymagaj opisania kopii zapasowych i realnego cyklu technicznego, nie obietnicy natychmiastowego zniknięcia każdego bloku danych. Funkcja „dodaj DPA” nie dowodzi, że zapisy odpowiadają temu dostawcy.
Lokalizacja językowa jest osobnym testem użyteczności. Poproś o polską klauzulę informacyjną z prawdziwymi celami, odbiorcami i terminami, a nie o pokazowy wzór z pustymi nawiasami. Osoba, której dane dotyczą, musi rozumieć informację; wewnętrzna decyzja zakupowa może odbywać się po angielsku. Nie ma jednak uniwersalnej zasady, że każdy ekran całej platformy musi być po polsku. Oceń konkretne dokumenty, ich redakcję, dostępność dla zespołu i możliwość poprawek po zmianie procesu.
Koszt całkowity i bezpieczne wyjście
Porównuj wyceny dla identycznego scenariusza: liczba spółek i użytkowników, moduły, import, szkolenie, wsparcie, integracje, przechowywanie dowodów oraz eksport przy wypowiedzeniu. Publiczna strona dostawcy nie wystarcza do ustalenia aktualnego kosztu Twojej konfiguracji. Nie przypisuj OneTrust ani konkurentom jednego „typowego” rachunku dla polskiej MŚP. Metoda liczenia kosztu oprogramowania RODO pomaga zestawić także czas zespołu. Arkusz o niskiej opłacie może wymagać wielu godzin ręcznych korekt; droga licencja może obejmować funkcje, których nikt nie użyje. Uczciwy rachunek powinien uwzględniać oba warianty.
Sprawdź warunki zmiany dostawcy jeszcze przed zakupem. Poproś o przykład eksportu rejestru, historii wniosków, decyzji dotyczących ocen i listy procesorów w formacie, który otworzysz bez starej licencji. Zapytaj, czy dane powiązane z jedną spółką da się oddzielić od grupowych, kto dostaje kopię oraz jakie ograniczenia techniczne i prawne pozostają. Przeprowadź odczyt pliku z osobą, która nie brała udziału w prezentacji. Eksport, który wygląda kompletnie wyłącznie we własnym interfejsie dostawcy, nie jest dobrym planem wyjścia.
Hosting w Europejskim Obszarze Gospodarczym jest przydatną informacją, ale nie rozstrzyga samodzielnie o transferach. Sprawdź dostęp personelu wsparcia, podwykonawców, kopie i podstawy ewentualnego dostępu z państw trzecich. Europejskie pochodzenie spółki nie dowodzi lokalizacji każdej operacji, a dostawca spoza UE nie jest automatycznie zakazany. Wymagaj udokumentowanego przepływu danych i właściwych zabezpieczeń, zamiast traktować geograficzny przymiotnik jak gwarancję.
Jeden scenariusz dla każdego oferenta
Wyobraź sobie polską spółkę handlową z dwiema stronami internetowymi i obsługą płac u zewnętrznego biura. Zmienia dostawcę CRM, a jednocześnie klient wnosi o dostęp do danych. Ta sytuacja sprawdza więcej niż pojedynczy ekran programu: aktualizację odbiorców w rejestrze, ocenę relacji z procesorem, wyszukanie kopii danych, decyzję o treści odpowiedzi i ślad zatwierdzenia. Nie używaj w próbie prawdziwych danych klienta. Nadaj fikcyjne identyfikatory, ale zachowaj realistyczne zależności między usługami. Dostawca, który w demonstracji nie umie połączyć zdarzeń, powinien wyjaśnić, czy jest to brak produktu, niedostępny moduł, czy kwestia konfiguracji. Odpowiedź wpływa na koszt i harmonogram, więc zapisz ją razem z wersją oferty.
Przygotuj arkusz oceny jeszcze przed pierwszym spotkaniem. Przy każdym wymaganiu wpisz, czy wynika z prawa, z procesu wewnętrznego czy z wygody zespołu. Po demonstracji dopisz odnośnik do uzyskanego eksportu, zapis ekranu lub konkretny paragraf umowy. Sama odpowiedź „tak, obsługujemy RODO” nie powinna otrzymać punktu za funkcję rejestru, dopóki nie widać pól i sposobu aktualizacji. Nie porównuj też urządzenia testowego dostawcy z własnym niedokończonym arkuszem: zapewnij obu wariantom te same dane wejściowe i ten sam czas pracy. Jeżeli ręczny proces wypada dobrze, to wartościowa informacja o tym, że zakup nie jest dziś konieczny.
Załóż osobno próbę błędu. Jeden wpis powinien zawierać niejasną rolę strony, drugi przestarzałą kategorię odbiorców, a trzeci pusty okres retencji. Oceń, czy narzędzie sygnalizuje brak, pozwala odroczyć decyzję i przypisuje odpowiedzialnego, zamiast zgadywać odpowiedź lub blokować całą pracę. Po tygodniu poproś o wersję raportu pokazującą, co zostało wyjaśnione. Ta próba jest istotna, bo rzeczywiste organizacje rzadko zaczynają od idealnego rejestru. Platforma, która dobrze pokazuje stan niepewności, bywa bardziej użyteczna niż ta, która prezentuje całkowicie wypełnioną próbkę stworzoną przez zespół sprzedaży.
Przejście bez utraty odpowiedzialności
Migracja z OneTrust albo innej platformy powinna zacząć się od spisu obiektów, nie od polecenia „eksportuj wszystko”. Ustal, które rejestry, oceny, wnioski, zgody i umowy są aktywne oraz jakie powiązania między nimi mają znaczenie. Zdecyduj, które stare decyzje trzeba zachować dla wyjaśnienia przeszłości, a których danych nie wolno przenosić bez potrzeby. W systemie docelowym odtwórz małą próbkę i porównaj liczbę wpisów, role, daty oraz załączniki. Jeśli brakuje historii, nie zamieniaj jej cicho na datę importu. Oznacz ograniczenie i zachowaj źródło zgodnie z uzasadnioną polityką przechowywania. Tak powstaje wiarygodna ścieżka od poprzedniej decyzji do bieżącego stanu.
W okresie przejściowym potrzebujesz jednego źródła prawdy dla zmian. Wyznacz datę, po której właściciele edytują już nowy rejestr; stare narzędzie pozostaje do odczytu albo jest zamykane według planu. Przetestuj wniosek o dostęp złożony dzień przed zmianą i odpowiedź wysłaną dzień po niej. Termin z art. 12 nie zaczyna się od nowa z powodu migracji, a potwierdzenie otrzymania, dodatkowe informacje i decyzje muszą być dostępne dla osób przygotowujących odpowiedź. Ten test ujawnia luki, których nie pokazuje sam import listy czynności. Jeśli zmieniasz także CMP, sprawdź odrębnie, czy wybory użytkowników są respektowane podczas przełączenia skryptów i jak dokumentujesz decyzję o przeniesieniu albo ponownym zebraniu sygnałów.
Po zamknięciu starej usługi sprawdź, kto ma prawo dostępu do archiwum i jak zostaną usunięte niepotrzebne kopie. Potwierdzenie zakończenia w umowie nie zastępuje wykazu danych, które faktycznie pozostały u procesora. Przekaż właścicielom nowego procesu prostą instrukcję: kiedy aktualizować rejestr, komu zgłaszać nowy cel, gdzie zapisać decyzję o procesorze i jak otworzyć eksport bez pomocy zespołu zakupowego. Jeżeli te czynności nie są jasne, migracja techniczna może się udać, a utrzymanie zgodności znów stanie się zależne od jednej osoby.
Decyzja po demonstracji
Zapisz wynik każdej próby jako „działa i pokazano dowód”, „wymaga konfiguracji”, „brak potwierdzenia” lub „nie dotyczy”. Osoba odpowiedzialna za rejestr powinna zatwierdzić próbkę eksportu; osoba od strony internetowej — sprawdzić zachowanie CMP; prawnik albo IOD — ocenić dokumenty i wyjątki. Jeżeli dwaj dostawcy wypadają podobnie, rozstrzygnij przez koszt wdrożenia, zmianę dostawcy i możliwość odtworzenia decyzji, nie przez długość listy funkcji. Wybór jest decyzją organizacji; dostawca może dostarczyć dowody możliwości produktu, ale nie przejąć odpowiedzialności za prawdziwość wpisów.
Warto powtórzyć próbę na wersji umowy, którą zamierzasz podpisać. Demonstracja często odbywa się na środowisku z innym zakresem licencji niż oferta. Zapisz niepotwierdzone funkcje jako warunek odbioru albo świadomie usuń je z oceny. Gdy problem ogranicza się do kilku stabilnych czynności, przetestuj także dobrze prowadzony arkusz i proces właścicieli. Gdy potrzebujesz wspólnego dowodu dla kilku spółek, dopiero wtedy wyceń wspólną platformę. To bardziej użyteczna odpowiedź na pytanie o alternatywę niż bezwarunkowe wskazanie zwycięzcy.
Pytania często zadawane
Czy istnieje jedna najlepsza alternatywa dla OneTrust?
Nie bez wskazania zakresu. CMP odpowiada na inną potrzebę niż narzędzie do rejestru; platforma privacy może obsłużyć kilka obszarów, ale wymaga potwierdzenia ich działania i ceny w konkretnej ofercie. Zastosuj tę samą fikcyjną zmianę rejestru, wniosek o dostęp oraz test wyjścia u wszystkich kandydatów. Przegląd kategorii oprogramowania RODO może pomóc zbudować listę, nie zastąpi jednak odbioru produktu.
Czy mała firma musi kupić program do rejestru?
Nie. Musi ocenić obowiązek prowadzenia rejestru dla swoich czynności, a tam gdzie art. 30 ma zastosowanie, utrzymywać wymagane informacje w formie pisemnej, również elektronicznej. Wyjątek dla podmiotów poniżej 250 pracowników ocenia się dla czynności i nie obejmuje między innymi przetwarzania nieokazjonalnego, mogącego powodować ryzyko dla praw i wolności ani danych z art. 9 lub 10. Arkusz może być wystarczający, jeżeli pozostaje poprawny i dostępny na żądanie.
Czy polski szablon wystarczy do spełnienia RODO?
Szablon ułatwia zapis decyzji, ale nie ustala sam właściwego celu, podstawy, okresu retencji ani roli dostawcy. Wypełnij go na rzeczywistych procesach i przydziel właściciela zmian. Nawet bardzo dobry produkt nie przekształca błędnych danych wejściowych w prawidłowe informacje dla osób.
Czy przejście do europejskiego dostawcy usuwa problem transferów?
Nie automatycznie. Trzeba zbadać faktyczne lokalizacje i dostęp oraz ewentualne transfery w całym łańcuchu podwykonawców. Wybór dostawcy może uprościć niektóre przepływy, lecz ocena pozostaje konkretna i udokumentowana.
Jeśli chcesz porównać pracę nad rejestrem z innymi obowiązkami, przewodnik po zgodności RODO pozwala ustalić, które dowody mają właściciela i aktualną wersję. Oferta powinna odpowiadać na te potrzeby, a nie obiecywać automatycznej zgodności.