Bezpieczeństwo informacji pracodawcy w dobie elastycznych modeli zatrudnienia

Natalia Mosur Adwokat, Senior Manager w Olesiński i Wspólnicy

Foto: materiały prasowe

Warto poznać zakres i skalę tych ryzyk, a następnie zaplanować strategię ochrony, stosując odpowiednie rozwiązania prawne, organizacyjne i technologiczne. Spoiler alert – nie ma jednego narzędzia, które pozwoli zabezpieczyć ten obszar i zapomnieć o nim na dłuższy czas.

Już samo tempo rozwoju technologicznego powoduje, że poza systemowym zaplanowaniem i wdrożeniem rozwiązań dopasowanych do danej organizacji, stałe monitorowanie ryzyk, środowiska prawnego i adekwatności istniejących rozwiązań jest nieuniknione.

Z jakimi ryzykami muszą liczyć się pracodawcy?

Elastyczne modele pracy oznaczają zwykle, że należące do pracodawców dane „wychodzą” na zewnątrz. Pracownicy uzyskują do nich dostęp z różnych lokalizacji i urządzeń. Dane mogą być przesyłane środkami porozumiewania się na odległość oraz dostępne są zdalnie (potencjalnie) z dowolnego miejsca na świecie (przechowywanie w chmurze).

Dane mogą zostać wyniesione w formie papierowej do domów pracowników, ale również w dowolne miejsce na świecie (praca zdalna/workation), co wiąże się m.in. z ryzykiem zgubienia nośników czy nieuprawnionego dostępu osób trzecich.

W trakcie pracy w miejscu publicznym często wykorzystywane są też darmowe sieci wi-fi, co otwiera kolejną drogę dostępu do danych. Co więcej, może to być pierwszym krokiem w bardziej zaawansowanym ataku na zasoby całej organizacji (cyberatak).

Elastyczność pracy powoduje też brak fizycznej kontroli, a nawet często bezpośredniego kontaktu z pracownikiem. W kontekście bezpieczeństwa informacji oznacza to ograniczoną możliwość zauważenia nieprawidłowości i podjęcia działań zaradczych.

Równie niebezpieczna może być równoległa praca pracownika dla innego podmiotu czy prowadzenie dodatkowej działalności zawodowej na własny rachunek. Zdarza się, że do takich działań wykorzystywane są zasoby pracodawcy.

Elastyczne modele pracy mogą też sprzyjać większej rotacji pracowników. W walce o najlepszych ludzi pracodawcy nie konkurują już tylko na lokalnym rynku. Ryzyko przejęcia całego zespołu, a wraz z nim cenny know-how, jest jeszcze większe.

Jednocześnie nie można zapomnieć o tym, co dzieje się pod okiem pracodawcy. Praktycznie każdy pracownik ma w kieszeni smartfona – może wykonać kopię dokumentów lub zrobić zdjęcie w obszarze produkcji celowo lub przypadkowo, obejmując ekran maszyny czy tablicę informacyjną w kadrze.

Z jakich narzędzi ochronnych, prawnych i organizacyjnych może skorzystać pracodawca?

Kluczowe znaczenie mają oczywiście rozwiązania organizacyjne i techniczne stosujące m.in. systemy monitoringu i analizy ruchu sieciowego, szyfrowanie danych, aktualizacje oprogramowania czy kontrole urządzeń końcowych.

Nie można jednak zapominać o narzędziach prawnych, które odpowiednio wdrożone mogą zapewnić dodatkowe bezpieczeństwo. Są to m.in.:

NDA – osobne umowy lub klauzule w umowie o pracę czy zakazie konkurencji, zawierane zarówno przy zatrudnieniu, ale też np. w związku z rozpoczęciem określonego projektu.

Zakazy konkurencji w czasie trwania stosunku pracy i po jego ustaniu. Zyskały na znaczeniu szczególnie po zmianie kodeksu pracy w 2023 roku, od kiedy formalny zakaz jest de facto warunkiem ograniczenia równoległego zatrudnienia.

Zapisy umowne zapewniające skuteczne nabycie majątkowych praw autorskich przez pracodawców oraz uzyskiwanie ochrony patentowej (tam, gdzie jest to możliwe). Jest to element niedoceniany, a zaniedbania mogą być kosztowne.

Wzmacnianie lojalności wobec firmy – inwestowanie w rozwój umiejętności pracowników oraz oferowanie programów szkoleniowych może zwiększyć ich zaangażowanie i przywiązanie do firmy. Również ze strony formalnej, jeśli w racjonalny sposób stosowane będą tzw. umowy lojalnościowe związane z finansowaniem szkoleń przez pracodawców, przewidujące pewien okres zatrudnienia.

Digitalizacja dokumentów – często to dokumenty papierowe są bardziej podatne na utratę czy nieograniczone zwielokrotnienie. Odpowiednio zabezpieczone e-dokumenty mogą zapewniać większe bezpieczeństwo, a przy wprowadzeniu odpowiednich systemów monitoringu albo zabezpieczeń druku lub kopiowania – większą kontrolę pracodawcy.

Wewnętrzna polityka dotyczące bezpieczeństwa informacji, ale też zasady reakcji w sytuacjach niepożądanych. To zakres dużo szerszy niż tylko ochrona danych osobowych. Chodzi o wszelkie dane mające wartość dla pracodawcy, lub których utrata mogłaby narazić go na szkodę. Kluczowe są też jasne zasady korzystania z urządzeń prywatnych na terenie zakładu i urządzeń służbowych w celach prywatnych, czy zasady korzystania z social mediów lub zewnętrznych nośników danych (np. pendrive).

Polityki korzystania z AI – zakaz korzystania z AI to w dzisiejszych czasach walka z wiatrakami. Efektywniejsze może być wdrożenie klarownych zasad i określenie, kto może korzystać z AI i w jakim zakresie oraz które zastosowania są bezpieczne, a które zakazane lub ryzykowne. Warto też wyszczególnić narzędzia udostępnione przez pracodawcę, ustalić zasady osobistej weryfikacji jakości oraz ograniczenia związane z prawami autorskimi.

Większość z tych rozwiązań nie jest nowa. Wydaje się więc, że pracodawcy powinni już doskonale wiedzieć, jak je stosować – czy tak jest w rzeczywistości?

Najczęściej występujące problemy i błędy

W praktyce najczęstszym problemem jest wykorzystywanie jednego, ogólnego wzoru umowy dla wszystkich pracowników (np. o zakazie konkurencji lub NDA) albo draftu regulaminu lub polityki, niedopasowanego do organizacji i realnych zagrożeń. Formalnie pracodawca jest zabezpieczony, a w sytuacjach kryzysowych okazuje się, że tylko na papierze.

Przykładowo umowa o zakazie konkurencji, przygotowana z myślą o prezesie zarządu, przekazywana jest pracownikowi działu marketingu. Wydawać się może, że to nie problem, skoro umowę sprawdzał prawnik, a jej zakres jest możliwie ogólny – nic bardziej mylnego.

Pracodawca może zakazać działalności konkurencyjnej, a nie jakiejkolwiek działalności. Umowa powinna więc jasno określać, czym w konkretnym przypadku jest działalność konkurencyjna, jakie czynności są zakazane oraz jaki sposób ich wykonania i w jakim obszarze jest niemożliwy. Często spotyka się też nieskuteczne objęcie zakazem działalności całej grupy kapitałowej, w której działa pracodawca. W najlepszym wypadku, zbyt ogólnikowe i niedopasowane do danego przypadku sformułowania mogą spowodować, że zakaz będzie niekompletny (a czasami po prostu niezrozumiały dla obu ze stron). W najgorszym – może się okazać, że jest nieważny.

Natomiast w przypadku umów o zachowaniu poufności częstym błędem jest brak sprecyzowania, jakie informacje mają pozostać poufne. Ogólne sformułowania („wszelkie informacje”, „ważne informacje”), bez ich skonkretyzowania lub odniesienia do konkretnego projektu, nie pozwalają na określenie, czym są de facto chronione dane. Zabezpieczenie jest więc iluzoryczne. NDA powinna być każdorazowo dopasowana do danego stanu faktycznego i celu, jaki ma być osiągnięty, ale też do strategii ochrony informacji w firmie.

Nadal często można spotkać się też z podstawowymi błędami formalnymi i innymi brakami. Mowa np. o:

niepodpisaniu umowy przez pracodawcę lub podpisaniu jej przez niewłaściwe osoby;

zawieraniu zakazów po ustaniu stosunku pracy ze wszystkimi pracownikami (bez względu na to, czy faktycznie mieli dostęp do szczególnie ważnych informacji pracodawcy i czy zakaz ma w ogóle uzasadnienie) lub z niewłaściwie dobraną grupą docelową;

złym określeniu okresu trwania umowy (niezgodnym z przepisami czy też pozwalającym na stosunkowo łatwe i szybkie wypowiedzenie umowy);

braku realnych (zgodnych z prawem) konsekwencji za naruszenie zakazu lub NDA;

nieuwzględnieniu różnic w dokumentach wynikających z różnych form współpracy (umowa o pracę a umowy cywilnoprawne);

braku ustaleń w zakresie przekazania majątkowych praw autorskich przy niewłaściwym (nieadekwatnym do stanu faktycznego) uregulowaniu zakresu obowiązków pracowniczych lub w umowach cywilnoprawnych.

Należy pamiętać, że nieumiejętne stosowanie niektórych rozwiązań prawnych może przynieść w praktyce odwrotny skutek.

Jak stosować odpowiednie środki prewencyjne, aby równocześnie nie zniechęcić pracowników?

Przede wszystkim bardzo ważna jest jasna komunikacja oraz szkolenia – nie chodzi jednak o ich formalne zaliczenie. Kluczem do sukcesu jest budowanie odpowiedniej kultury organizacyjnej i rzeczywiste zwiększanie świadomości i zrozumienia ryzyk wśród pracowników. Wiele sytuacji i incydentów wynika z nieuwagi lub braku świadomości, a nie ze złych intencji i świadomego obejścia zabezpieczeń.

Pomocna będzie transparentność. Pracownicy powinni być świadomi, dlaczego pewne środki są wprowadzane i jakie korzyści przynoszą zarówno firmie, jak i im samym. Takie podejście pomaga budować zaufanie pracowników i jest skuteczniejsze, niż narzucanie odgórnie niezrozumiałych procedur.

Dobrym pomysłem może być też połączenie szkoleń obejmujących ryzyka istotne dla firmy z tematyką przydatną również prywatnie, co zwiększyłoby zaangażowanie i faktyczne zainteresowanie pracowników.

Uwaga na nadmiar technologii – może pomagać, ale często też wprowadza większy chaos związany z wielością kanałów komunikacji i systemów lub brakiem kompatybilności.

Ostatni punkt może zdać się banalny, ale oferowanie atrakcyjnych warunków zatrudnienia również jest kluczowe. Pracownikowi zadowolonemu, któremu zależy na pracy, będzie bardziej zależało na stosowaniu się do zasad. Także wspierająca i motywująca kultura organizacyjna, w której pracownicy czują się doceniani i zaangażowani, może znacząco wpłynąć na ich lojalność.

Adwokat, Senior Manager w Olesiński i Wspólnicy

Lucyna Brayshaw

Radca prawny, Partner w Olesiński i Wspólnicy