Już niedługo, bo 7 kwietnia 2023 r., wejdą w życie zmiany Kodeksu Pracy. Chodzi oczywiście o przepisy dotyczące pracy zdalnej, która na dobre zagościła się w trakcie pandemii SARS-CoV-2. Jeżeli czytasz te słowa już po 7 kwietnia, nic straconego! Tak, czy inaczej zachęcam do zapoznania się z siedmioma obszarami ochrony danych osobowych w pracy zdalnej!
Sporo tych siódemek…
Szacowanie ryzyka i ocena skutków
Zanim podejmiesz jakiekolwiek działania, oszacuj z jakim ryzykiem przyjdzie Ci się mierzyć. To wciąż niedoceniana podejście, na którym zostało oparte RODO. Przeprowadzenie rzetelnej analizy zagrożeń oraz dopasowanie odpowiadających im zabezpieczeń może uchronić Cię przed przykrymi konsekwencjami.
Możliwe, że konieczne będzie przeprowadzenie oceny skutków dla praw lub wolności osób fizycznych. To dodatkowa ocena negatywnego wpływu, jaki mogłoby mieć naruszenie na dotknięte nim osoby.
Podjęcie tych działań pozwoli Ci na wykrycie na wczesnym etapie istotnych zagrożeń. To z kolei umożliwi Ci wdrożenie odpowiednich środków istotnie ograniczających lub wręcz eliminujących ryzyko ich wystąpienia. Jeżeli natomiast nie będzie to możliwe, zaplanuj proces tak, aby ograniczyć negatywne skutki dla osób, których dane przetwarzasz.
Środki ochrony danych osobowych
Praca zdalna wiąże się z korzystaniem z systemów informatycznych, laptopów, telefonów i ogółem wszystkiego tego, co umożliwia łączenie się na odległość. Głównym narzędziem jest w praktyce Internet, który gwarantuje wiele możliwości. Niestety, nie są one wolne od licznych i wciąż narastających niebezpieczeństwach, takich jak ransomware, czy phishing. Bardzo wiele zależy też od samych pracowników, czy aktualności oprogramowania i wykorzystywanych urządzeń.
Z tego względu należy zadbać przede wszystkim o tę sferę działalności w pracy zdalnej. Na dobry początek dłuuugiej listy podpowiem Ci kilka jej punktów:
- ochrona dostępu przez zastosowanie haseł, pinów lub biometrii;
- bezpieczne łączenie się z serwerem;
- szyfrowanie dysków, na których są zapisane dane osobowe;
- aktualne oprogramowanie antywirusowe;
- inne zabezpieczenia sieci, np. zapora sieciowa (Firewall).
Nie jest to oczywiście wszystko. Nie zapominajmy o podstawach, takich jak zabezpieczenie wynoszonych dokumentów. Wprowadź zasady, które pozwolą Tobie lub Twoim pracownikom na zapewnienie dostępności do danych, ich poufności i integralności.
Rejestr czynności przetwarzania danych osobowych
Prowadzenie rejestru czynności przetwarzania to jeden z obowiązków administratora. Praca zdalna stanowi jedną z czynności, a nawet całej ich grupy. Powinna więc zostać w rejestrze opisana zgodnie z wymogami RODO. Warto zaznaczyć, że nawet jeżeli w Twoim rejestrze widnieje już praca zdalna covidowa, to musisz wpis zaktualizować. Zmienią się w nim chociażby podstawy prawne, którymi teraz są przede wszystkim przepisy Kodeksu pracy.
Ale nie oszukujmy się, jest spora szansa, że takiego rejestru nie prowadzisz. Jeżeli tak jest, to lepiej zmień to jak najszybciej!
Procedura ochrony danych osobowych w pracy zdalnej
Określenie takiej procedury stanowi obowiązek prawny. Odpowiedz więc sobie szczerze na jedno, ale ważne pytanie: „Czy posiadam procedury ochrony danych osobowych?”. Jeżeli odpowiedź jest twierdząca, to super! Przejrzyj je, aby określić, czy w wystarczającym stopniu odnoszą się do pracy zdalnej. Jeżeli jednak odpowiedzią było „nie”, prawdopodobnie czeka Cię nieco więcej roboty… 😉
Ważna uwaga! Nawet jeżeli nie przewidujesz możliwości pracy zdalnej, Kodeks pracy przewiduje tzw. pracę zdalną okazjonalną. Niezależnie więc od Twoich planów potrzebne będzie uregulowanie zasad ochrony danych osobowych, stosownie do przepisów.
Monitorowanie pracy
Monitorowanie pracy nie jest nowością. Nabiera jednak nowego wydźwięku w kontekście pracy zdalnej. Chodzi nie tylko o stosowanie monitoringu wizyjnego, ale także kontrolowanie czasu pracy, śledzenie aktywności użytkownika, czy GPS.
To naturalne, że pracodawcy chcą sprawować nadzór nad tym, czy pracownik znajdujący się w swoim mieszkaniu rzeczywiście wykonuje pracę. Zastanów się jednak nad wyborem narzędzi do tego celu. Zadbaj też o to, aby nie naruszać nadmiernie prywatności pracownika. Poinformuj go też o fakcie monitorowania jego pracy. To nie tylko grzeczność, ale i obowiązek wynikający z Kodeksu pracy! Stosowne postanowienia w tym zakresie powinny znaleźć swoje miejsce także w regulaminie pracy, jeżeli taki posiadasz.
Szkolenie personelu
Niezależnie od tego, o jakich obszarach mówimy, szkolenia pracowników to sprawa fundamentalna. Praca zdalna jest kolejnym tematem, który należy koniecznie poruszyć. Poszerzanie świadomości pracowników na temat zagrożeń z pracą zdalną i sposobów reagowania na nie może uratować Cię przed niezłymi problemami. Osobiście poleciłbym skupienie się na zagadnieniach cyberbezpieczeństwa i znajomości niezbędnych przepisów, w szczególności Kodeksu pracy i tych o ochronie danych osobowych.
Prawo pracy
Dziwnie byłoby zakończyć wpis na temat pracy zdalnej, nie dotykając za bardzo obowiązków wynikających z prawa pracy. Zaznaczam jednak od razu, że nie temu ten artykuł jest poświęcony, więc ograniczę się jedynie do wybranych przeze mnie tematów.
Przede wszystkim, pamiętaj o wprowadzeniu zmian do regulaminu pracy i stosowanych umów. Powinny tam znaleźć się postanowienia dotyczące pracy zdalnej. Jeżeli chodzi o dokumentację pracy zdalnej, to powinna ona być przechowywana w aktach osobowych pracowników. Polecam Twojej uwadze część B tych akt. Zadbaj o poinformowanie pracowników o zmianach i realizuj swoje uprawnienia kontrole z poszanowaniem ich prywatności.
Czy jesteś gotowy na pracę zdalną?
Odpowiedź na to pytanie może nie należeć do najłatwiejszych. A co dopiero nadrobienie zaległości! Jeżeli masz jakieś wątpliwości zawsze możesz mnie zapytać.
Niezależnie od tego, czy chodzi o szacowanie ryzyka, utworzenie rejestru czynności przetwarzania, czy inne zagadnienia ochrony danych osobowych.
Chętnie Ci pomogę! 🙂