Zapewnienie compliance z RODO w czasie pracy hybrydowej

Praca hybrydowa rozumiana jako łączenie pracy w pomieszczeniach pracodawcy z pracą zdalną stała się standardową częścią działania wielu pracodawców i wszystko wskazuje na to, że taki model pracy zostanie już z pracodawcami na stałe przynajmniej częściowo, niezależnie od zakończenia pandemii.

Ludmiła Łuczak, Radca Prawny, Manager, Olesiński & Wspólnicy

materiały prasowe

W praktyce stosuje się różne modele pracy hybrydowej, np. rotacja całych grup pracowników według ustalonego harmonogramu lub elastyczne korzystanie z pracy zdalnej i pracy w biurze przez wszystkich pracowników. Poza niekwestionowanymi korzyściami, taka organizacja pracy generuje dodatkowe wyzwania dla pracodawców, w szczególności, praca hybrydowa wiąże się z podwyższonym ryzykiem naruszenia wymogów w obszarze bezpieczeństwa danych osobowych.

Czy zapewnienie compliance z RODO na czas pracy zdalnej w czasie pandemii oznacza automatycznie przygotowanie do pracy hybrydowej?

Większość przedsiębiorców ma przeświadczenie, że skoro działali już w modelu w pełni zdalnym, to tym bardziej są przygotowani do modelu mieszanego, jakim jest praca hybrydowa. Nic bardziej mylnego. Mimo że forma hybrydowa to połączenie pracy zdalnej i stacjonarnej i wdrożone rozwiązania znajdą zastosowanie przy częściowym powrocie do biur, to praca hybrydowa stanowi nowe wyzwanie dla administratorów danych osobowych (ADO).

Czy model hybrydowy generuje większe ryzyko związane z przetwarzaniem danych?

W porównaniu z pracą stale wykonywaną zdalnie model hybrydowy generuje większe ryzyko związane z naruszeniem bezpieczeństwa danych osobowych w niektórych obszarach. Wynika to m.in. z większej mobilności pracowników w modelu mieszanym. Pracownicy zgodnie z ustalonym harmonogramem lub elastycznie według własnego uznania (w zależności od wdrożonego przez pracodawcę modelu) przemieszczają się pomiędzy biurem, a miejscem wykonywania pracy zdalnie. Regularnie zatem w momencie zmiany trybów niejednokrotnie przewożą ze sobą, np. komunikacją miejską, znaczne ilości danych, choćby zapisanych na przenośnych dyskach. W przypadku pracy stale wykonywanej zdalnie takie ryzyko było znikome. Tym samym model hybrydowy to obiektywnie częstsze przypadki naruszeń polegające m.in. na utracie, nieuprawnionym ujawnieniu lub nieuprawnionym dostępie do danych, co uruchamia procedurę oceny znaczenia incydentu pod kątem obowiązku zgłoszenia Prezesowi UODO oraz poinformowania podmiotów danych, w zależności od skali zdarzenia i poziomu ryzyka naruszenia praw i wolności tych podmiotów.

Prawo pracy nie reguluje jeszcze szczegółowo wymogów związanych z pracą hybrydową – czy to ogranicza odpowiedzialność pracodawcy jako ADO?

Faktycznie, aktualnie regulacje są bardzo lakoniczne. Niestety, nie zwalnia to ADO z odpowiedzialności za zgodne z RODO przetwarzanie danych osobowych. RODO nie normuje konkretnego sposobu działania ADO, a określa efekt, jaki zobowiązany jest osiągnąć. Przykładowo ADO ma obowiązek przestrzegać zasady integralności i poufności danych (art. 5 ust. 1 lit f RODO). Co oznacza, że przetwarzane danych osobowych powinno odbywać się w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem za pomocą odpowiednich środków technicznych lub organizacyjnych. Zadaniem pracodawcy jest zorganizowanie pracy hybrydowej w sposób realizujący ww. zasadę niezależnie od tego, czy lokalne przepisy szczegółowo regulują te działania czy nie.

Czy można wskazać jakieś konkretne praktyczne rozwiązania prewencyjne?

Już na etapie planowania modelu hybrydowego ADO powinien przeanalizować rozwiązania pod kątem ich zgodności z RODO, czyli zastosować regułę privacy by design. W związku z tym już na etapie tworzenia wewnętrznych regulaminów, polityk i innych dokumentów regulujących pracę hybrydową ADO powinien wziąć pod uwagę m.in., w jaki sposób zapewnić zgodność z obowiązkiem minimalizacji danych, jakie zabezpieczenia wprowadzić, by ograniczyć ryzyko naruszeń danych, a w przypadku incydentu, jakie mechanizmy wprowadzić, żeby ograniczyć jego skutki.

Rozwiązania praktyczne wymagają indywidualnego dopasowania do sytuacji konkretnego ADO, jest jednak katalog działań stosowanych w każdym przypadku pracy hybrydowej. Kluczowe obszary to:

1. Aktualizacja lub opracowanie dokumentacji wewnętrznej dotyczącej RODO pod kątem pracy hybrydowej;

2. Zabezpieczenie narzędzi IT i sprzętu do pracy hybrydowej;

3. Opracowanie wymogów związanych z fizycznym zabezpieczeniem miejsca wykonywania pracy w części zdalnej;

4. Skuteczna implementacja i kontrola przestrzegania zasad wśród osób wykonujących pracę zdalnie.

W odniesieniu do dokumentacji wdrożenie pracy hybrydowej wymaga od ADO analizy, czy procesy przetwarzania danych narażone są na nowe ryzyka (przykładowo: przetwarzanie danych przy użyciu niezabezpieczonego sprzętu, przetwarzanie danych w obecności osób nieupoważnionych do ich przetwarzania, korzystanie ze sprzętu prywatnego do celów służbowych). Dlatego ADO powinien zidentyfikować i oszacować ryzyko związane z naruszeniami bezpieczeństwa danych w modelu hybrydowym. Następny krok to opracowanie zasad ograniczających przypadki naruszeń oraz metod postępowania na wypadek nieprawidłowości w ramach funkcjonującej dokumentacji, m.in.:

a) polityki ochrony danych osobowych;

b) polityki postępowania w razie incydentu;

c) opisu technicznych i organizacyjnych środków bezpieczeństwa;

d) regulaminu pracy zdalnej lub hybrydowej uwzględniającej wymogi RODO.

Praca w trybie niestacjonarnym wiąże się z koniecznością pozostawania online – zatem korzystaniem z sieci wi-fi innych niż wewnętrzna sieć firmowa. Jakie działania powinien podjąć ADO?

Jasne wytyczne pracodawcy zmniejszą ryzyko naruszeń. Zobowiązanie pracowników do ukrycia widoczności sieci wi-fi, z której korzystają w trakcie wykonywania pracy hybrydowej, dla osób postronnych, przyznanie dostępu do tej sieci wyłącznie zaufanym użytkownikom (określenie dozwolonych MAC adresów urządzeń) oraz określenie przez administratora minimalnego poziomu uwierzytelniania i szyfrowania nie jest działaniem nadmiarowym. Oczywiście część pracowników może nie posiadać odpowiednich umiejętności, żeby zweryfikować czy sieć wi-fi spełnia ww. podstawowe wymagania lub wprowadzić odpowiednie ustawienia, ale w takim przypadku ADO powinien przewidzieć choćby możliwość wsparcia działu IT administratora, np. poprzez weryfikację wdrożenia ustawień sieci wi-fi przed rozpoczęciem pracy hybrydowej.

Na jakie inne kwestie związane z ochroną danych osobowych powinien zwrócić uwagę ADO?

Szyfrowanie danych przetwarzanych na urządzeniach służbowych, takich jak laptopy, telefony komórkowe, tablety, to obecnie standard. W przypadku pracy hybrydowej szczególnie istotne w związku ze zwiększonym ryzykiem incydentów dotyczących danych osobowych.

Rozważenie wyeliminowania lub co najmniej ograniczenia korzystania z przenośnych nośników danych, fizycznie zabieranych przez pracowników i zastąpienie obowiązkiem przetwarzania danych zapisanych w chmurze. Umożliwienie korzystania z fizycznych nośników (przenośne dyski, pendrive'y) wymaga co najmniej ich szyfrowania. Pozostawienie możliwości korzystania z nich wymaga m.in. przeprowadzenia oceny ryzyka naruszenia zasad poufności danych osobowych oraz ograniczenia przechowywania danych, co wynika z zagrożenia, jakim jest możliwość eksportowania szerokiego zakresu danych osobowych na nośnik zewnętrzny.

Ograniczenie i szczegółowe uregulowanie lub wyłączenie możliwości korzystania ze sprzętu prywatnego w zakresie przetwarzania danych osobowych.

Stworzenie bezpiecznego połączenia pomiędzy sprzętem wykorzystywanym przez pracowników do wykonywania pracy hybrydowej pracowników a wewnętrzną siecią ADO – czyli korzystanie z usługi VPN w celu podniesienia poziomu bezpieczeństwa danych osobowych, przetwarzanych poza stacjonarnym miejscem wykonywania pracy, tj. forma zabezpieczenia komunikacji pomiędzy pracownikiem a siecią komputerową pracodawcy.

Czy pracodawca może oczekiwać spełnienia określonych wymogów od miejsca świadczenia pracy niebędącego biurem, ingerując w ten sposób w przestrzeń prywatną pracownika?

Pracodawca może oczekiwać spełnienia określonych przez niego wymogów adekwatnych do celu, jakim jest bezpieczeństwo danych. Co więcej, można uzależnić zgodę na wykonywanie pracy z domu od spełnienia takich wymogów. W szczególności pracownik powinien dysponować miejscem uniemożliwiającym osobom postronnym dostęp do danych. Czyli w praktyce:

1) jeżeli w domu lub innym miejscu świadczenia pracy (szczególnie w przypadku miejsc publicznych, np. kawiarni, hotelu, środka transportu itd.) w czasie jej wykonywania przebywają inne osoby, optymalnym rozwiązaniem jest zapewnienie osobnego pomieszczenia przeznaczonego na pracę;

2) jeżeli to niemożliwe, a praca nie wymaga przykładowo prowadzenia rozmów telefonicznych, ustawienie biurka, sprzętu do pracy w sposób wykluczający osobom postronnym dostęp do danych, zamontowanie przesłon fizycznych w celu wydzielenia miejsca pracy;

3) ustawienie ekranów w sposób uniemożliwiający dostęp do danych osobom postronnym, zamontowanie folii ekranowych ograniczających kąt widzialności danych na ekranie;

4) zabezpieczenie dostępu do danych osób nieuprawnionych przez otwarte okna lub drzwi balkonowe;

5) ustalenie postępowania z nośnikami danych poza godzinami pracy – np. zamykane szafy na dyski przenośne, laptopy;

6) wyeliminowanie lub co najmniej maksymalne ograniczenie dokumentacji papierowej, w tym drugim przypadku określenie, jak zabezpieczać dane utrwalone na dokumentach papierowych.

Wytyczne mogą wydawać się prozaiczne, jednak jasne ich określenie przez ADO, wyklucza możliwość powoływania się przez pracownika na brak świadomości, że działania naruszają RODO, a w przypadku naruszenia spowodowanego nieprzestrzeganiem wewnętrznych regulacji, w pewnym stopniu może ograniczyć odpowiedzialność administratora (przyczyną incydentu nie jest w takim przypadku brak rozwiązań przygotowanych i wdrożonych przez ADO, a świadome naruszenie pracownika i ewentualnie nieskuteczność wdrożonych procedur).

Odnośnie dokumentacji papierowej – wydaje się, że pandemia skutkuje ograniczeniem papierowej formy dokumentacji?

Faktycznie, to jeden z nielicznych przykładów korzystnego wpływu pandemii na sposób wykonywania pracy. Z dokumentacją papierową łączy się szereg problemów, choćby:

1) w przypadku transportu dokumentów papierowych zawierających dane osobowe w praktyce brak możliwości odpowiednio bezpiecznego sposobu szyfrowania, adekwatnego sposobu pseudonimizacji. W efekcie poziom zabezpieczeń wysoce ryzykowny, w szczególności jeśli pracownik nie dysponuje własnym indywidualnym środkiem transportu, a także jeśli nie zawsze przemieszcza się z biura bezpośrednio do swojego miejsca zamieszkania.

2) Łatwość dostępu do danych w miejscu zdalnego świadczenia pracy i konieczność wprowadzenia zasad postępowania z dokumentacją papierową – nowe wyzwanie dla zasady czystego biurka oraz sposobu bezpiecznego niszczenia dokumentów w domu.

3) Bardzo ograniczony katalog działań administratora zapobiegających negatywnym skutkom ewentualnego naruszenia – utrata dokumentów papierowych, w praktyce uniemożliwia większość działań zaradczych stosowanych w przypadku danych w formie elektronicznej, polegających choćby na możliwości zdalnego usunięcia danych osobowych z urządzeń przenośnych.

Wydaje się, że przy pracy hybrydowej zwiększa się ryzyko naruszeń związanych z nieprawidłowościami po stronie pracownika. Czy ADO może ograniczyć takie zjawisko?

Doświadczenie pokazuje, że rzeczywiście najczęstszą przyczyną naruszeń dotyczących danych osobowych jest bezpośrednio lub pośrednio czynnik ludzki. Szczególnie ważne będą szkolenia pracowników dotyczące zasad prawidłowego przetwarzania danych osobowych w trakcie pracy hybrydowej. Zakres szkolenia faktycznie powinien poruszać zarówno zagadnienia związane z bezpiecznym stosowaniem narzędzi IT, dbałości o poufność danych w miejscu świadczenia pracy zdalnie, zasad korzystania z danych osobowych w czasie trybu niestacjonarnego, jak również reguł postępowania w przypadku zidentyfikowania naruszenia danych osobowych.

Pomocny może okazać się inspektor ochrony danych (IOD), jeśli został powołany. Do zadań IOD należą bowiem m.in. działania zwiększające świadomość, szkolenia personelu uczestniczącego w operacjach przetwarzania oraz powiązane z tym audyty. Zaleca się, aby szkolenia pracowników przetwarzających dane osobowe miały miejsce m.in. w momencie istotnych zmian w organizacji postępowania z danymi. Wdrożenie modelu hybrydowego jest taką istotną zmianą, w konsekwencji uświadomienie pracownikom objętych modelem hybrydowym co najmniej zagrożeń związanych z takim sposobem pracy, sposobów przeciwdziałania naruszeniom oraz zasad postępowania w przypadku wystąpienia nieprawidłowości jest niezbędnym minimum każdego administratora.