7 квітня набули чинності зміни до Трудового кодексу, що запроваджують дистанційну роботу. Досі так званий Закон про COVID-19 забезпечував основу для виконання роботи поза офісним приміщенням роботодавця.
Варто зазначити, однак, що запровадження дистанційної роботи створює додаткові зобов’язання, пов’язані із захистом персональних даних. Роботодавці виступають контролерами даних для своїх працівників, підрядників та клієнтів, і водночас, у зв’язку з виконанням договорів, можуть виступати обробниками даних.
Обробку персональних даних працівником шляхом дистанційної роботи слід вважати додатковою діяльністю з обробки персональних даних. Тому обов’язковою є реєстрація такого процесу в реєстрі видів діяльності з обробки, а також проведення аналізу ризиків та перевірка активів, які можуть становити високий ризик для прав і свобод фізичних осіб.
Важливо зазначити, що працівники, через свої обов'язки та посади, обробляють різні типи даних у різному ступені та обсягу. Посади у сфері кадрів, нарахування заробітної плати, охорони праці та аналітики, які спираються на дані, а не на сукупні показники, можуть передбачати масштабну обробку або обробку спеціальних категорій даних, як визначено у статті 9(1) GDPR, зокрема даних, пов'язаних зі здоров'ям. У таких випадках необхідно забезпечити належний рівень безпеки, спрямований на забезпечення вищого рівня безпеки, ніж для працівників та посад, які не передбачають переважно обробки персональних даних.
Необхідним, проте часто недооціненим аспектом є перегляд роботодавцем договорів, у яких він виступає обробником. Контролер даних іноді покладає на обробника даних зобов'язання обробляти персональні дані в певному місці, наприклад, обмежуючи діяльність з обробки офісним приміщенням обробника. У таких випадках такий договір необхідно буде переглянути або процеси, що охоплюються обробкою даних певним контролером, необхідно буде проводити на місці, щоб уникнути порушення положень угоди про обробку даних між сторонами.
Контролер даних зобов'язаний забезпечити технічні та організаційні заходи для забезпечення належного рівня безпеки даних. Ці заходи вимагатимуть додаткової перевірки, оскільки існуючі процедури роботодавця щодо захисту персональних даних на місці можуть виявитися недостатніми, якщо робоче середовище зміниться на місце проживання або перебування працівника. Тому політику захисту персональних даних потрібно буде оновити з урахуванням організації дистанційної роботи, або ж обов'язковим буде створення внутрішніх нормативних актів щодо дистанційної роботи, що визначають вимоги до захисту персональних даних.
Роботодавець також зобов'язаний перепідготовлювати працівників та, відповідно до принципу підзвітності, мати підтвердження того, що це було зроблено.
Зокрема, під час навчання слід зосередити увагу на таких питаннях:
- розпізнавання та належне реагування на фішинг;
- основи обробки даних;
- терміни зберігання даних;
- безпека обробки даних;
- повідомлення про порушення;
- принципи обробки даних;
- штрафи за порушення захисту персональних даних;
- місця обробки даних, тобто, зокрема, зазначення того, що виконання віддаленої роботи в громадських місцях (включаючи місця, де за працівником спостерігають у громадському місці, спрямовані на екран комп’ютера) може призвести до розголошення конфіденційної інформації, а також персональних даних.
Також зміняться інформаційні зобов'язання, що випливають зі статті 13(1) та (2) GDPR, які застосовуються до новоприйнятих працівників та працівників, які вже працюють та подають заявки на дистанційну роботу. Важливо зазначити, що мета обробки персональних даних змінилася, розширившись і включивши дистанційну роботу та можливість проведення пов'язаних з нею перевірок. Важливо враховувати принцип мінімізації даних, зазначений у статті 5(1)(c) GDPR, який, однак, може бути легко перевищений через характер дистанційної роботи, яка тісно пов'язана з приватним життям працівника. Тому вкрай важливо визначити конкретний обсяг обробки персональних даних, обмеживши його лише даними, необхідними для проведення перевірки, поважаючи при цьому конфіденційність працівника та інших співмешканців. Тому варто розглянути можливість створення форми, що визначатиме обсяг обробки даних у зв'язку з перевіркою, що забезпечить основу для її законного проведення.
Варто зазначити, що працівник, який контролює дистанційну роботу працівника, що належить до привілейованих груп, зазначених у статті 6719 § 6 Трудового кодексу, повинен мати відповідний дозвіл згідно зі статтею 29 GDPR на обробку даних, включаючи дані спеціальної категорії, виключно з метою здійснення контролю.
Важливо наголосити на важливості підвищення обізнаності працівників щодо інцидентів безпеки та порушень захисту персональних даних. Виявлення порушення є обов'язком адміністратора. Однак, особи, відповідальні за безпеку даних, не можуть перевірити всі ризики або події, які можуть призвести до розкриття, втрати або знищення даних під час віддаленої роботи. Працівники повинні бути належним чином навчені виявляти подібні інциденти або мати знання, необхідні для розвитку обґрунтованої підозри щодо можливого порушення захисту персональних даних. Тому роботодавці повинні переглянути свої внутрішні процедури щодо повідомлення про порушення та проводити постійні ініціативи з підвищення обізнаності працівників, зокрема, шляхом навчання та надання короткої інформації, в якій викладено відповідні кроки, які працівник повинен вжити у разі виявлення порушення захисту персональних даних.
Важливо, щоб працівник був зобов'язаний не використовувати приватне обладнання під час виконання робочих обов'язків або користуватися загальнодоступними мережами Wi-Fi – пристрій або мережа могли бути раніше заражені шкідливим програмним забезпеченням, що, як наслідок, може призвести до зараження всієї ІТ-інфраструктури роботодавця, шифрування даних, що зберігаються, їх змішування або остаточного видалення.
Так само роботодавці повинні проводити навчання для працівників щодо того, як правильно розпізнавати фішингові схеми. Зазвичай таке спілкування здійснюється у спосіб, що вказує на терміновість, або особами, які видають себе за керівництво вищої ланки чи бухгалтерів/відділу кадрів. Це поширена тактика, яка емоційно впливає на працівників, вселяючи почуття відповідальності за виконання офіційних доручень, навіть якщо єдиною метою цих дій є спонукання працівника розкрити дані для входу до ІТ-систем роботодавця або онлайн-банкінгу, щоб отримати інформацію або кошти для неавторизованого одержувача.
Роботодавцям слід враховувати багаторівневе зниження ризиків, зокрема шляхом визначення ризиків, пов’язаних із маніпуляціями з даними, що вносяться вручну співробітниками. Тому вкрай важливо належним чином керувати призначеними дозволами на доступ до ІТ-ресурсів, зокрема щодо входу на портал, доступу до SharePoint та мережевих дисків. Важливо наголосити, що співробітник, який має права доступу лише до необхідних йому ресурсів, не копіюватиме, не розголошуватиме або іншим чином не використовуватиме широкий спектр даних, що стосуються адміністратора, будь-яким несанкціонованим способом.
Дистанційна робота також не повинна передбачати приватної діяльності. Тому необхідно належним чином розділяти дані та захищати їх від співмешканців, які не мають права обробляти дані адміністратора. Тому працівники повинні підготувати своє робоче місце таким чином, щоб забезпечити захист персональних даних та конфіденційної інформації, зокрема, шляхом належного розташування столу та налаштування параметрів екрана монітора. Також важливо обмежити створення паперових копій, які набагато складніше захистити, ніж електронні копії. Крім того, важливо пам’ятати, що працівники, ймовірно, не мають інструментів для знищення паперових документів таким чином, щоб запобігти їх повторному читанню.
Ця стаття призначена лише для ознайомлення та не є юридичною консультацією.
Правовий статус станом на 9 травня 2023 року.
автор:
