7 апреля вступили в силу поправки к Трудовому кодексу, вводящие удаленную работу. До настоящего времени так называемый «Закон о COVID-19» служил основанием для выполнения работы вне офисного помещения работодателя.
Однако следует отметить, что внедрение удаленной работы порождает дополнительные обязательства, связанные с защитой персональных данных. Работодатели выступают в роли контролеров данных для своих сотрудников, подрядчиков и клиентов, а также, в силу исполнения договорных обязательств, могут выступать в роли обработчиков данных.
Обработка персональных данных сотрудником в условиях удаленной работы должна рассматриваться как дополнительная деятельность по обработке персональных данных. Поэтому обязательно регистрировать такой процесс в реестре деятельности по обработке данных, а также проводить анализ рисков и проверку активов, которые могут представлять высокий риск для прав и свобод физических лиц.
Важно отметить, что сотрудники, в силу своих обязанностей и занимаемых должностей, обрабатывают различные типы данных в разной степени и объеме. Должности в сфере управления персоналом, расчета заработной платы, охраны труда и техники безопасности, а также аналитические должности, которые опираются на данные, а не на агрегированные данные, могут включать крупномасштабную обработку или обработку специальных категорий данных, как определено в статье 9(1) GDPR, в частности, данных, связанных со здоровьем. В таких случаях необходимо принять адекватный уровень безопасности, направленный на обеспечение более высокого уровня защиты, чем для сотрудников и должностей, не связанных в первую очередь с обработкой персональных данных.
Необходимым, но часто упускаемым из виду аспектом является проверка работодателем договоров, в которых он выступает в качестве обработчика данных. Контролер данных иногда налагает на обработчика данных обязательство обрабатывать персональные данные в определенном месте, например, ограничивая обработку данных офисным помещением обработчика. В таких случаях такой договор необходимо будет пересмотреть, или же процессы, охватываемые обработкой данных конкретного контролера, должны проводиться на месте, чтобы избежать нарушения положений соглашения об обработке данных между сторонами.
Оператор персональных данных обязан обеспечить технические и организационные меры для гарантирования надлежащего уровня защиты данных. Эти меры потребуют дополнительной проверки, поскольку существующие процедуры работодателя по защите персональных данных на рабочем месте могут оказаться недостаточными при изменении рабочей среды на место жительства или пребывания сотрудника. Поэтому необходимо будет обновить политику защиты персональных данных с учетом организации удаленной работы, или же станет обязательным создание внутренних правил, касающихся удаленной работы, определяющих требования к защите персональных данных.
Работодатель также обязан проводить переобучение сотрудников и, в соответствии с принципом подотчетности, иметь подтверждение того, что это было сделано.
В ходе обучения следует, в частности, уделить особое внимание следующим вопросам:
- распознавание фишинга и адекватное реагирование на него;
- Основы обработки данных;
- Сроки хранения данных;
- безопасность обработки данных;
- сообщение о нарушениях;
- принципы обработки данных;
- санкции за нарушения защиты персональных данных;
- Места обработки данных, то есть, в частности, указание на то, что выполнение удаленной работы в общественных местах (включая места, где за сотрудником ведется наблюдение в общественном месте с помощью экрана компьютера) может привести к раскрытию конфиденциальной информации, а также персональных данных.
Изменятся также и информационные обязательства, вытекающие из статьи 13(1) и (2) GDPR, которые применяются к вновь принятым на работу сотрудникам, а также к уже работающим сотрудникам, подающим заявку на удаленную работу. Важно отметить, что цель обработки персональных данных изменилась, расширившись и теперь включает удаленную работу и возможность проведения соответствующих проверок. Необходимо учитывать принцип минимизации данных, упомянутый в статье 5(1)(c) GDPR, который, однако, легко может быть превышен из-за характера удаленной работы, тесно связанной с частной жизнью сотрудника. Поэтому крайне важно определить конкретный объем обработки персональных данных, ограничив его только данными, необходимыми для проведения проверки, при этом соблюдая конфиденциальность сотрудника и других сожителей. В связи с этим целесообразно рассмотреть возможность создания формы, определяющей объем обработки данных в связи с проверкой, которая послужит основанием для ее законного проведения.
Следует отметить, что сотрудник, контролирующий удаленную работу сотрудника, принадлежащего к привилегированным группам, указанным в статье 6719 § 6 Трудового кодекса, должен иметь соответствующее разрешение в соответствии со статьей 29 GDPR на обработку данных, включая данные особых категорий, исключительно в целях осуществления контроля.
Важно подчеркнуть необходимость повышения осведомленности сотрудников об инцидентах безопасности и утечках персональных данных. Выявление утечки является обязанностью администратора. Однако лица, ответственные за безопасность данных, не могут проверить все риски или события, которые могут привести к раскрытию, потере или уничтожению данных при удаленной работе. Сотрудники должны быть надлежащим образом обучены выявлению подобных инцидентов или обладать знаниями, позволяющими обоснованно заподозрить, что могла произойти утечка персональных данных. Поэтому работодатели должны пересмотреть свои внутренние процедуры по сообщению об утечках и проводить постоянные мероприятия по повышению осведомленности сотрудников, в частности, посредством обучения и краткой информации, описывающей соответствующие шаги, которые должен предпринять сотрудник в случае выявления утечки персональных данных.
Важно, чтобы работник был обязан не использовать личное оборудование при выполнении служебных обязанностей и не пользоваться общедоступными сетями Wi-Fi — устройство или сеть могли быть ранее заражены вредоносным ПО, что впоследствии может привести к заражению всей ИТ-инфраструктуры работодателя, шифрованию хранящихся данных, их смешиванию или безвозвратному удалению.
Аналогичным образом, работодатели должны обучать сотрудников тому, как правильно распознавать фишинговые атаки. Как правило, подобные сообщения ведутся в манере, создающей ощущение срочности, или лицами, выдающими себя за высшее руководство или сотрудников бухгалтерии/отдела кадров. Это распространенная тактика, которая оказывает эмоциональное воздействие на сотрудников, внушая им чувство ответственности за выполнение официальных распоряжений, хотя единственная цель этих действий — заставить сотрудника раскрыть свои учетные данные для доступа к ИТ-системам работодателя или онлайн-банкингу с целью получения информации или средств для неавторизованного получателя.
Работодателям следует учитывать многоуровневые меры по снижению рисков, в частности, выявлять риски, связанные с ручной обработкой данных сотрудниками. Поэтому крайне важно надлежащим образом управлять предоставленными разрешениями на доступ к ИТ-ресурсам, особенно в отношении входа в портал, доступа к SharePoint и сетевым дискам. Необходимо подчеркнуть, что сотрудник, имеющий права доступа только к необходимым ресурсам, не будет копировать, разглашать или иным образом использовать широкий спектр данных, относящихся к администратору, несанкционированным образом.
Удалённая работа также не должна включать в себя личную деятельность. Поэтому необходимо надлежащим образом разделять данные и защищать их от посторонних лиц, не имеющих права обрабатывать данные администратора. Сотрудники должны подготовить свои рабочие места таким образом, чтобы обеспечить защиту персональных данных и конфиденциальной информации, в частности, за счёт правильного расположения стола и настроек монитора. Также важно ограничить создание бумажных копий, которые гораздо сложнее защитить, чем электронные. Кроме того, важно помнить, что у сотрудников, скорее всего, нет инструментов для уничтожения бумажных документов таким образом, чтобы их нельзя было перечитать.
Данная статья носит исключительно информационный характер и не является юридической консультацией.
Правовой статус по состоянию на 9 мая 2023 года.
автор:
