Praca zdalna a RODO. Jak chronić dane osobowe, kiedy pracownicy pracują w domu

• Praca zdalna – ochrona danych osobowych 
• Praca zdalna – ponowne przeszkolenie pracowników
• Praca zdalna – obowiązki informacyjne
• Praca zdalna – jak chronić dane przed domownikami

Możliwość pracy zdalnej niewątpliwie ułatwi życie zarówno pracownikom jak i niektórym pracodawcom. Z rozmysłem użyłam słowa niektórym ponieważ sama wśród swoich klientów obserwuję sytuację, kiedy chęć pójścia pracownika na tzw. zdalne przysparza niemałych problemów pracodawcy. 

Praca zdalna – ochrona danych osobowych 

Nie da się ukryć że wprowadzenie pracy zdalnej generuje dodatkowe obowiązki ze strony ochrony danych osobowych. Pracodawca bowiem występuje w roli administratora danych osobowych (ADO) swoich pracowników, kontrahentów, klientów.  Równocześnie, może występować w roli podmiotu przetwarzającego dane – z uwagi na wykonywanie umów.

Przetwarzanie danych osobowych przez pracownika w formie pracy zdalnej trzeba uznać za dodatkowy proces przetwarzania danych osobowych. Mamy zatem obowiązek wpisania takiego procesu do rejestru czynności przetwarzania, a także przeprowadzenia analizy ryzyka i zweryfikowania aktywów, które mogę stanowić wysokie ryzyko naruszenia praw lub wolności osób fizycznych.

Pamiętać  należy też o tym, że  pracownicy z uwagi na swoje zakresy obowiązków i zajmowane stanowiska, przetwarzają różne dane osobowe, w różnej skali i zakresie. Stanowiska obsługi kadrowej, płacowej, BHP czy analityczne bazujące na danych, będą prawdopodobnie wiązać się z przetwarzaniem na szeroką skalę lub danych szczególnej kategorii, o których mowa w art. 9 ust. 1 RODO, w szczególności dotyczących zdrowia. Koniecznym jest wówczas dostosowanie adekwatnego poziomu zabezpieczeń, które będą nastawione na zagwarantowanie wyższego stopnia bezpieczeństwa niż w przypadku pracowników i stanowisk niepolegających głównie na przetwarzaniu danych osobowych.

Na ADO ciąży obowiązek zapewnienia środków technicznych i organizacyjnych zapewniających odpowiedni stopień zabezpieczenia danych. Środki te będą wymagały dodatkowej weryfikacji, ponieważ  obowiązujące u pracodawcy procedury ochrony danych osobnych działają na terenie zakładu pracy  i mogą okazać się niewystarczające w przypadku pracy w miejscu zamieszkania lub pobytu pracownika. Obowiązkowi aktualizacji podlegać będzie polityka ochrony danych osobowych z uwzględnieniem organizacji pracy zdalnej lub obowiązkowe będzie stworzenie regulacji wewnętrznej dotyczącej pracy zdalnej określającej wymogi w zakresie ochrony danych osobowych.

Praca zdalna – ponowne przeszkolenie pracowników

Ale to nie koniec. Jest jeszcze kwestia szkoleń . Otóż pracodawca powinien ponownie przeszkolić pracowników oraz, zgodnie z zasadą rozliczalności, posiadać potwierdzenie przeprowadzenia takiego szkolenia. Takie szkolenie powinno się skupić na zagadnieniach dotyczących:

• rozróżniania i odpowiedniego reagowania na phishing;
• podstaw przetwarzania danych;
• okresów retencji danych;
• bezpieczeństwa przetwarzania danych;
• zgłaszanie naruszeń;
• zasad przetwarzania danych;
• kar za naruszenia ochrony danych osobowych;
• miejsc przetwarzania danych.

Ważne jest, aby uzmysłowić pracownikom że wykonywanie pracy zdalnej w miejscach publicznych – w tym w miejscach, w których pracownika obejmuje monitoring skierowanych na ekran komputerowy –może skutkować ujawnieniem informacji poufnych jak również danych osobowych. Niestety bardzo często o tym zapominamy. 

Praca zdalna – obowiązki informacyjne

Zmianie ulegną również obowiązki informacyjne wynikające z art. 13 ust. 1 i 2 RODO, które wykonywane są wobec pracownika zatrudnianego oraz pracowników już zatrudnionych a ubiegających się o pracę zdalną. Istotne jest wskazanie, iż zmienił się cel przetwarzania danych osobowych, który rozszerzył się o wykonywanie pracy zdalnej, a także możliwość dokonywania kontroli z nią związanej. Konieczne jest uwzględnienie zasady minimalizacji danych. Trzeba pamiętać że zasada ta łatwo może ulec przekroczeniu z uwagi na charakter pracy zdalnej pozostającej w dużej korelacji z życiem prywatnym pracownika. Wobec tego istotne jest określenie konkretnych zakresów przetwarzania danych osobowych wyłącznie do danych niezbędnych do jej przeprowadzenia z poszanowaniem prywatności pracownika oraz pozostałych współzamieszkujących. 

Kolejna ważną kwestią jest zobowiązanie pracownika do niewykorzystywania sprzętu prywatnego podczas wykonywania czynności służbowych czy też niekorzystania z publicznych sieci wifi. 

Warto odpowiednio zarządzać nadanymi uprawnieniami do zasobów informatycznych, w szczególności w zakresie logowania do portali, dostępów do dysków sieciowych. Pamiętajmy że pracownik posiadający uprawnienia dostępowe wyłącznie w zakresie niezbędnych mu zasobów — nie skopiuje, nie ujawni lub w inny nieuprawniony sposób nie wykorzysta szerokiego zakresu danych istotnych dla administratora.

Praca zdalna – jak chronić dane przed domownikami

Praca zdalna nie może być w żaden sposób łączona z naszym życiem prywatnym. Konieczna jest odpowiednia separacja danych i ich zabezpieczanie przed współmieszkańcami – nie są oni przecież upoważnieni do przetwarzania danych administratora. Dlatego pracownik zobowiązany jest tak przygotować stanowisko pracy aby w jak najwyższym stopniu zapewnić ochronę danych osobowych oraz informacji poufnych, w szczególności poprzez odpowiednie ustawienie biurka, czy wygaszacza ekranu monitora. 

Należy również zwrócić uwagę na  ograniczenie tworzenia kopii papierowych, których zabezpieczenie jest zacznie trudniejsze, niż kopii elektronicznych. Pamiętajmy że pracownik prawdopodobnie nie posiada narzędzi, które pozwolą mu na niszczenie dokumentów papierowych w sposób uniemożliwiający ponowne zapoznanie się z ich treścią.

I na koniec chcę zwrócić jeszcze Waszą uwagę na jedną bardzo często pomijaną kwestię – a mianowicie weryfikację przez pracodawcę umów, w których występuje w roli podmiotu przetwarzającego. Zdarza się że administrator nakłada na podmiot przetwarzający obowiązek przetwarzania danych osobowych w konkretnej lokalizacji, tj. np. ograniczając czynności przetwarzania do przestrzeni biurowych podmiotu przetwarzającego. Wtedy taka umowa będzie musiała podlegać renegocjacji. A jeśli to się nie uda to  procesy objęte przetwarzaniem danych tego konkretnego administratora będą musiały być przeprowadzane stacjonarnie, wtedy nie naruszymy postanowień umowy powierzenia przetwarzania.

Mam nadzieję że przekazane informacje są czytelne i zrozumiałe – nie taka praca zdalna i RODO straszne jak je malują.