Praca zdalna zwi\u0119ksza ryzyko wycieku danych osobowych i informacji poufnych. Jako administrator danych odpowiadasz za wdro\u017cenie \u015brodk\u00f3w technicznych i organizacyjnych adekwatnych do zagro\u017ce\u0144. Poni\u017cej znajdziesz konkretne wymagania prawne, list\u0119 najcz\u0119stszych ryzyk oraz minimalne zabezpieczenia, kt\u00f3re warto wdro\u017cy\u0107 \u2013 zanim pojawi si\u0119 incydent.<\/p>\n
W biurze kontrolujesz \u015brodowisko przetwarzania danych: sie\u0107, sprz\u0119t, fizyczny dost\u0119p do dokument\u00f3w, blisko\u015b\u0107 zespo\u0142u IT. Przy pracy zdalnej tracisz wi\u0119kszo\u015b\u0107 tych przewag.<\/p>\n
R\u00f3\u017cnice w poziomie ryzyka:<\/p>\n
Wniosek: je\u015bli wdra\u017casz lub utrzymujesz prac\u0119 zdaln\u0105, musisz osobno przeanalizowa\u0107 i zabezpieczy\u0107 ten proces.<\/p>\n
GDPR<\/a><\/strong> zobowi\u0105zuje Ci\u0119 do wdro\u017cenia odpowiednich \u015brodk\u00f3w technicznych i organizacyjnych, uwzgl\u0119dniaj\u0105c charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolno\u015bci os\u00f3b fizycznych.<\/p>\n W praktyce oznacza to:<\/p>\n Przepis nak\u0142ada na Ciebie dwa obowi\u0105zki<\/a><\/strong>:<\/p>\n Je\u015bli tego nie zrobisz, brakuje Ci formalnej podstawy do egzekwowania zasad bezpiecze\u0144stwa wobec pracownika.<\/p>\n Potraktuj wdro\u017cenie pracy zdalnej<\/a><\/strong> jak projekt. Zacznij od analizy, potem dobierz \u015brodki.<\/p>\n Istniej\u0105 dwie kategorie \u015brodk\u00f3w:<\/p>\n Masz swobod\u0119 w doborze konkretnych rozwi\u0105za\u0144, ale odpowiadasz za ich adekwatno\u015b\u0107 wobec oszacowanego ryzyka. \u015aled\u017a rekomendacje i wytyczne \u2013 zar\u00f3wno unijne, jak i krajowe \u2013 stanowi\u0105 cenne wskaz\u00f3wki.<\/p>\n Zaprojektuj proces pracy zdalnej tak, aby pracownik nie potrzebowa\u0142 dokument\u00f3w papierowych. Aktualne standardy technologiczne pozwalaj\u0105 na pe\u0142n\u0105 digitalizacj\u0119 wi\u0119kszo\u015bci obowi\u0105zk\u00f3w.<\/p>\n Je\u015bli papierowe dokumenty s\u0105 niezb\u0119dne:<\/p>\n Trzy g\u0142\u00f3wne ryzyka, z kt\u00f3rymi musisz si\u0119 liczy\u0107:<\/p>\n BYOD (Bring Your Own Device \u2013 \u201eprzyniesienie w\u0142asnego urz\u0105dzenia\") to model, w kt\u00f3rym pracownik lub wsp\u00f3\u0142pracownik wykonuje obowi\u0105zki s\u0142u\u017cbowe na prywatnym laptopie, smartfonie lub tablecie.<\/p>\n Problem: w odr\u00f3\u017cnieniu od sprz\u0119tu s\u0142u\u017cbowego, przy BYOD ca\u0142y proces zabezpieczenia i kontroli bezpiecze\u0144stwa spoczywa g\u0142\u00f3wnie na pracowniku. Dlatego musisz wprowadzi\u0107 jasne wytyczne i kryteria dopuszczalno\u015bci \u2013 w przeciwnym razie ryzykujesz naruszenie ochrony danych osobowych<\/a><\/strong> lub ujawnienie informacji obj\u0119tych tajemnic\u0105 przedsi\u0119biorstwa.<\/p>\n Procedur\u0119 BYOD i procedur\u0119 pracy zdalnej skonsultuj z prawnikiem lub inspektorem ochrony danych<\/a><\/strong> oraz z informatykiem. Dzi\u0119ki temu masz pewno\u015b\u0107, \u017ce wdra\u017cane \u015brodki s\u0105 adekwatne do rzeczywistych zagro\u017ce\u0144.<\/p>\n Niewdro\u017cenie odpowiednich \u015brodk\u00f3w technicznych i organizacyjnych nara\u017ca Twoj\u0105 organizacj\u0119 na realne straty \u2013 finansowe, wizerunkowe i operacyjne.<\/p>\n Prezes UODO na\u0142o\u017cy\u0142 kar\u0119<\/a><\/strong> 1,6 mln z\u0142<\/strong> na Virgin Mobile Polska (nast\u0119pca prawny: P4 Sp. z o.o.) za niewdro\u017cenie odpowiednich \u015brodk\u00f3w technicznych i organizacyjnych zapewniaj\u0105cych bezpiecze\u0144stwo przetwarzania danych w systemach informatycznych.<\/p>\n Statystyki potwierdzaj\u0105 wag\u0119 szkole\u0144: prawie 95% incydent\u00f3w ma charakter nieumy\u015blny, a 86% zbadanych narusze\u0144 spowodowa\u0142 personel administratora danych.<\/p>\n Sources<\/strong><\/p>\n Jakie obowi\u0105zki dotycz\u0105ce ochrony danych musi spe\u0142ni\u0107 pracodawca przy pracy zdalnej?<\/strong> RODO (art. 24 ust. 1) wymaga od Ciebie przeprowadzenia oceny ryzyka, dobrania \u015brodk\u00f3w technicznych i organizacyjnych adekwatnych do zagro\u017ce\u0144 oraz ich regularnego monitorowania i aktualizowania. Kodeks pracy (art. 67\u00b2\u2076, obowi\u0105zuj\u0105cy od 7 kwietnia 2023 r.) nak\u0142ada dodatkowo dwa obowi\u0105zki: musisz okre\u015bli\u0107 procedury ochrony danych na potrzeby pracy zdalnej wraz z instrukta\u017cem i szkoleniem, a nast\u0119pnie odebra\u0107 od pracownika pisemne potwierdzenie zapoznania si\u0119 z tymi procedurami. Bez tego potwierdzenia nie masz formalnej podstawy do egzekwowania zasad bezpiecze\u0144stwa wobec pracownika.<\/p>\n Jakie s\u0105 najwa\u017cniejsze ryzyka dla danych osobowych przy pracy zdalnej?<\/strong> Trzy g\u0142\u00f3wne zagro\u017cenia to: ryzyko utraty lub zniszczenia sprz\u0119tu (pracownicy zdalni transportuj\u0105 laptopy i telefony znacznie cz\u0119\u015bciej ni\u017c pracownicy biurowi), ryzyko przechwycenia danych przez niezabezpieczone Wi-Fi (hakerzy monitoruj\u0105 ruch sieciowy przez \u017ale zabezpieczone hotspoty technik\u0105 zwan\u0105 sniffingiem) oraz ryzyko podejrzenia ekranu lub danych logowania w miejscach publicznych. Do tego dochodzi ograniczone wsparcie IT i brak fizycznej kontroli dost\u0119pu, kt\u00f3re w biurze stanowi\u0105 naturaln\u0105 barier\u0119 ochronn\u0105.<\/p>\n Jak krok po kroku zabezpieczy\u0107 prac\u0119 zdaln\u0105 w firmie zgodnie z RODO?<\/strong> Zacznij od analizy danych \u2013 ustal, jakie kategorie danych osobowych przetwarzasz, na jakiej podstawie prawnej i kt\u00f3rzy pracownicy b\u0119d\u0105 mieli do nich dost\u0119p zdalny. Nast\u0119pnie dobierz \u015brodki techniczne (szyfrowanie dysk\u00f3w, VPN, zapory ogniowe, aktualne oprogramowanie, mened\u017cer hase\u0142) oraz \u015brodki organizacyjne (procedury ochrony danych przy pracy zdalnej, polityk\u0119 BYOD, instrukcje post\u0119powania z dokumentami papierowymi). Na ko\u0144cu przeszkol pracownik\u00f3w, odbierz pisemne potwierdzenia zapoznania si\u0119 z procedurami i regularnie przegl\u0105daj adekwatno\u015b\u0107 wdro\u017conych zabezpiecze\u0144 \u2013 to, co by\u0142o wystarczaj\u0105ce rok temu, dzi\u015b mo\u017ce nie spe\u0142nia\u0107 standardu.<\/p>\n Czy mo\u017cna dopu\u015bci\u0107 prywatny laptop pracownika do pracy z danymi osobowymi i jakie warunki trzeba wtedy spe\u0142ni\u0107?<\/strong> Mo\u017cna, ale musisz wprowadzi\u0107 jasne wytyczne i minimalne wymagania techniczne, bo przy BYOD ca\u0142y proces zabezpieczenia spoczywa g\u0142\u00f3wnie na pracowniku. Wymagania obejmuj\u0105: system operacyjny wspierany przez producenta, aktualne oprogramowanie i antywirus, aktywn\u0105 zapor\u0119 ogniow\u0105, silne unikalne has\u0142o z mened\u017cerem hase\u0142, konto s\u0142u\u017cbowe bez uprawnie\u0144 administratora, cykliczne kopie zapasowe, filtr prywatyzuj\u0105cy na ekran, szyfrowanie dysku, automatyczny wygaszacz ekranu oraz dost\u0119p do system\u00f3w s\u0142u\u017cbowych wy\u0142\u0105cznie przez VPN. Procedur\u0119 BYOD skonsultuj z prawnikiem lub inspektorem ochrony danych oraz z informatykiem.<\/p>\n Co grozi firmie, je\u015bli nie wdro\u017cy odpowiednich zabezpiecze\u0144 danych przy pracy zdalnej?<\/strong> Ryzykujesz naruszenie poufno\u015bci, integralno\u015bci lub dost\u0119pno\u015bci danych osobowych, kar\u0119 administracyjn\u0105 od Prezesa UODO do 20 000 000 EUR lub do 4% ca\u0142kowitego rocznego \u015bwiatowego obrotu (zastosowanie ma kwota wy\u017csza) oraz roszczenia odszkodowawcze od os\u00f3b, kt\u00f3rych dane dotycz\u0105. Przyk\u0142ad z praktyki: Prezes UODO na\u0142o\u017cy\u0142 kar\u0119 1,6 mln z\u0142 na Virgin Mobile Polska za niewdro\u017cenie odpowiednich \u015brodk\u00f3w technicznych i organizacyjnych zapewniaj\u0105cych bezpiecze\u0144stwo przetwarzania danych w systemach informatycznych.<\/p>","protected":false},"excerpt":{"rendered":" Okres pandemiczny wymusi\u0142 na wielu przedsi\u0119biorstwach zmian\u0119 trybu pracy na zdalny oraz za\u0142atwianie wi\u0119kszo\u015bci mo\u017cliwych spraw online. Niekt\u00f3re firmy korzysta\u0142y z tego modelu pracy od lat, inne zmuszone warunkami dopiero wdra\u017ca\u0142y taki model w swoich strukturach. Nie ka\u017cdy by\u0142 jednak przygotowany na sprawne i szybkie wdro\u017cenie odpowiednich \u015brodk\u00f3w maj\u0105cych na celu zabezpieczenie danych osobowych. Dlatego […]<\/p>","protected":false},"author":1,"featured_media":2445,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[47],"tags":[825,827,141,830,196,322,828,829,826],"language":[],"ppma_author":[831],"class_list":["post-2428","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-rodo","tag-administrator-danych-osobowych","tag-naruszenie-przepisow-rodo","tag-praca-zdalna","tag-procedura-pracy-zdalnej","tag-rodo","tag-rodo-w-firmie","tag-system-ochrony-danych-osobowych","tag-szyfrowanie-danych","tag-zabezpieczenie-pracy-zdalnej"],"acf":[],"jetpack_featured_media_url":"https:\/\/sawaryn.com\/wp-content\/uploads\/2023\/10\/SP_Ochrona-danych_praca-zdalna-1500x1000-1.jpg","authors":[{"term_id":831,"user_id":0,"is_guest":1,"slug":"lukasz-wyrzykowski","display_name":"\u0141ukasz Wyrzykowski","avatar_url":{"url":"https:\/\/sawaryn.com\/wp-content\/uploads\/2023\/08\/Lukasz-Wyrzykowski-A-e1692773684488.png","url2x":"https:\/\/sawaryn.com\/wp-content\/uploads\/2023\/08\/Lukasz-Wyrzykowski-A-e1692773684488.png"},"user_url":"https:\/\/sawaryn.com\/o-kancelarii\/lukasz-wyrzykowski\/","last_name":"","first_name":"","description":""}],"_links":{"self":[{"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/posts\/2428","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/comments?post=2428"}],"version-history":[{"count":18,"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/posts\/2428\/revisions"}],"predecessor-version":[{"id":4215,"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/posts\/2428\/revisions\/4215"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/media\/2445"}],"wp:attachment":[{"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/media?parent=2428"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/categories?post=2428"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/tags?post=2428"},{"taxonomy":"language","embeddable":true,"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/language?post=2428"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/ppma_author?post=2428"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\n
Kodeks pracy \u2013 art. 67\u00b2\u2076 (obowi\u0105zuje od 7 kwietnia 2023 r.)<\/h3>\n
\n
Jak zabezpieczy\u0107 prac\u0119 zdaln\u0105 \u2013 krok po kroku<\/h2>\n
Krok 1: Przeanalizuj dane<\/h3>\n
\n
Krok 2: Dobierz \u015brodki zabezpieczaj\u0105ce<\/h3>\n
\n
Krok 3: Wyeliminuj dokumenty papierowe<\/h3>\n
\n
Najwi\u0119ksze zagro\u017cenia zwi\u0105zane z prac\u0105 zdaln\u0105<\/h2>\n
\n
Sprz\u0119t prywatny w celach s\u0142u\u017cbowych (BYOD)<\/h2>\n
Minimalne wymagania dla sprz\u0119tu BYOD<\/h3>\n
\n
Konsekwencje braku zabezpiecze\u0144<\/h2>\n
Co ryzykujesz<\/h3>\n
\n
Przyk\u0142ad z praktyki<\/h3>\n
Podsumowanie \u2013 co wdro\u017cy\u0107 i w jakiej kolejno\u015bci<\/h2>\n
\n
\n\n
Cz\u0119sto zadawane pytania<\/h2>\n
\n
\n
\n
\n