Praca zdalna i dane: zasady z Kodeksu pracy

Zasady pracy zdalnej ustala się w porozumieniu ze związkami zawodowymi albo w regulaminie (po konsultacji z przedstawicielami pracowników). Gdy ich nie ma — w poleceniu pracodawcy lub w porozumieniu z pracownikiem (art. 67²⁰). Kodeks wymienia, co te dokumenty muszą określać co najmniej. W zakresie danych i sprzętu to:

• zasady kontroli przestrzegania wymogów bezpieczeństwa i ochrony informacji, w tym procedur ochrony danych osobowych (art. 67²⁰ § 6 pkt 7),
• zasady instalacji, inwentaryzacji, konserwacji, aktualizacji oprogramowania i serwisu powierzonych narzędzi pracy (pkt 8),
• zasady porozumiewania się pracodawcy z pracownikiem (pkt 4).

Pracodawca ma też obowiązki wobec sprzętu (art. 67²⁴):

• zapewnia materiały i narzędzia pracy, w tym urządzenia techniczne,
• zapewnia ich instalację, serwis i konserwację albo pokrywa koszty, a także koszty energii i usług telekomunikacyjnych,
• zapewnia szkolenia i pomoc techniczną niezbędne do pracy zdalnej.

Strony mogą ustalić, że pracownik używa własnego sprzętu — wtedy należy mu się ekwiwalent albo ryczałt (art. 67²⁴ § 2–4). Własny sprzęt musi jednak spełniać wymagania bezpieczeństwa firmy (lekcja 3).

Najważniejszy dla nas przepis to art. 67²⁶. Pracodawca określa procedury ochrony danych osobowych na potrzeby pracy zdalnej i w miarę potrzeby przeprowadza instruktaż i szkolenie. Ty potwierdzasz zapoznanie się z nimi (na papierze lub elektronicznie) i musisz ich przestrzegać.

Taka procedura zwykle odpowiada na pytania:

• na czym pracujesz — sprzęt służbowy czy prywatny i na jakich warunkach,
• jak się łączysz — VPN, firmowa chmura, logowanie wieloskładnikowe,
• gdzie zapisujesz pliki — i czego nie wolno (prywatna poczta, prywatna chmura, pendrive),
• czy wolno drukować i wynosić dokumenty papierowe, jak je przechowywać i niszczyć,
• jakie komunikatory i narzędzia do wideorozmów są dozwolone,
• co robić po zgubieniu lub kradzieży sprzętu i komu zgłaszać incydent,
• jak wygląda kontrola przestrzegania zasad.

Potwierdzenie to nie formalność. Podpisując lub klikając, deklarujesz, że znasz zasady — a za ich naruszenie możesz ponieść konsekwencje porządkowe, a nawet utracić możliwość pracy zdalnej. Dlatego przeczytaj procedurę, zapisz numer do IT i zapytaj o to, czego nie rozumiesz.

RODO dokłada swoje: osoba upoważniona do danych przetwarza je tylko na polecenie administratora (art. 29 i art. 32 ust. 4). Procedura pracy zdalnej to właśnie takie polecenie.

Pracodawca ma prawo sprawdzić, czy pracujesz zgodnie z zasadami. Art. 67²⁸ pozwala mu kontrolować:

• wykonywanie pracy zdalnej,
• bezpieczeństwo i higienę pracy,
• przestrzeganie wymogów bezpieczeństwa i ochrony informacji, w tym procedur ochrony danych osobowych.

Kontrola ma jednak granice:

• odbywa się w porozumieniu z Tobą, w miejscu pracy zdalnej i w Twoich godzinach pracy,
• sposób kontroli dostosowuje się do miejsca i rodzaju pracy — często wystarczy rozmowa wideo, zdalne sprawdzenie ustawień laptopa przez IT albo lista kontrolna,
• kontrola nie może naruszać prywatności Twojej ani Twojej rodziny i nie może utrudniać korzystania z mieszkania.

Jeśli kontrola wykaże uchybienia w ochronie informacji, pracodawca może wyznaczyć termin ich usunięcia albo cofnąć zgodę na pracę zdalną — wtedy wracasz do biura w wyznaczonym terminie.

Przy okazjonalnej pracy zdalnej kontrola odbywa się na zasadach ustalonych z pracownikiem (art. 67³³).

Uwaga na pomieszanie pojęć: kontrola z art. 67²⁸ to co innego niż monitoring poczty czy komputera. Monitoring wymaga odrębnych zasad (Kodeks pracy, art. 22³) — celu, zakresu i uprzedzenia pracowników. Firma nie może „po cichu” podglądać Cię przez kamerę laptopa.

Poza procedurą obowiązują Cię ogólne przepisy, które w domu działają tak samo jak w biurze:

• dbałość o dobro zakładu pracy, ochrona jego mienia i zachowanie w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę (art. 100 § 2 pkt 4 Kodeksu pracy),
• tajemnice zawodowe z odrębnych przepisów — np. tajemnica skarbowa, lekarska, bankowa, dane uczniów,
• RODO — dane osobowe tylko w celu i zakresie, na który pozwala Twoje upoważnienie,
• oświadczenie o warunkach pracy — przed rozpoczęciem pracy zdalnej potwierdzasz, że stanowisko w domu zapewnia bezpieczne i higieniczne warunki (art. 67³¹ § 7).

Na co dzień oznacza to kilka prostych nawyków:

1. pracujesz na sprzęcie i w narzędziach wskazanych przez firmę,
2. pilnujesz sprzętu i dokumentów tak, jakby były w Twojej szafie w biurze,
3. nie wynosisz danych „na wszelki wypadek” na prywatne nośniki,
4. zgłaszasz od razu zgubienie sprzętu, pomyłkę w wysyłce, podejrzaną wiadomość czy dziwne zachowanie komputera,
5. po zakończeniu pracy zdalnej lub odejściu z firmy oddajesz sprzęt i dokumenty i nie zatrzymujesz kopii.

Phishing, hasła i uwierzytelnianie wieloskładnikowe omawia szczegółowo kurs „Cyberbezpieczeństwo w pracy” — tu skupiamy się na tym, co dzieje się poza biurem.

Wdrażasz pracę zdalną w małej firmie, szkole czy urzędzie? Minimalny pakiet, który porządkuje ochronę danych:

• regulamin lub porozumienie (albo polecenie) z punktami o kontroli ochrony informacji i o serwisie oraz aktualizacji sprzętu,
• procedura ochrony danych w pracy zdalnej — krótka, konkretna, z listą „wolno / nie wolno”,
• instruktaż i zebrane potwierdzenia zapoznania się (papier lub e-mail, formularz w systemie),
• ewidencja sprzętu — kto ma jaki laptop, telefon, pendrive, z numerami seryjnymi, i protokół zwrotu,
• zabezpieczenia techniczne: szyfrowanie dysków, blokada ekranu, aktualizacje, zarządzanie urządzeniami (MDM), VPN lub chmura z MFA,
• jeden kanał zgłoszeń — numer telefonu i adres, czynne także po godzinach, gdy ktoś zgubi sprzęt,
• zasady dla sprzętu prywatnego — jeśli w ogóle go dopuszczasz,
• przegląd raz w roku — czy zasady działają, kto ma dostęp do czego, kto odszedł.

Pamiętaj, że jako administrator danych odpowiadasz za dobór środków bezpieczeństwa (art. 24 i 32 RODO). Dobra procedura bez narzędzi nie działa, a narzędzia bez procedury i instruktażu — też nie.