Odc. 34 Praca zdalna, a RODO - co zrobić i na co być przygotowanym?

Dzień dobry Państwu. Witamy bardzo serdecznie w kolejnym odcinku naszego podcastu. Z tej strony Tomasz Osiej i Michał Czarnecki. Tematem dzisiejszego naszego spotkania wspólnego jest praca zdalna, bo to jest temat, który się pojawił w sumie parę lat temu. Można powiedzieć, że 7 kwietnia tego roku został w pełni zalegalizowany, znaczy wcześniej został zalegalizowany, bo to jest zmiana kodeksu pracy, ale 7 kwietnia przepisy weszły w życie i zobligowały pracodawców, co ciekawe nie tylko pracodawców, bo to dotyczy nie tylko pracowników, ale też inne osoby współpracujące, Do tego, by ustalić warunki świadczenia pracy zdalnej.

Tak, rzeczywiście 7 kwietnia wraz z wiosną przyszła nowelizacja Kodeksu Pracy i bezpośrednio ustawodawca wskazał, że pracodawca musi określić te zasady ochrony danych osobowych w pracy zdalnej, co więcej zapoznać i przeszkolić z tego zakresu No i tutaj też mieliśmy nawet wewnątrz taką debatę, jak to poprawnie zrobić, bo w zasadzie mamy trzy podejścia. Specjaliści od procesów, od zarządzania dokumentacją wskazują nic nie dawać. Nic nie dawać, przecież to jest nihil novi. Większość firm pracuje już na tym od dwóch lat, czyli zapewne kwestie pracy zdalnej muszą mieć w politykach bezpieczeństwa informacji, w politykach ochrony danych osobowych

W zasadach już de facto wdrożone. W związku z tym nie ma sensu dodawać kolejnego dokumentu. Jeśli mają. Jeśli mają. Jeśli nie mają jest to rzeczywiście dobry moment, żeby usiąść i coś wyskrobać. Natomiast po przeciwnej stronie Mieliśmy dosyć ostrożnych specjalistów z zakresu prawa pracy, którzy mówią, że jeżeli kodeks wyraźnie mówi, że trzeba opracować, wdrożyć, zapoznać i przeszkolić, to znaczy, że po prostu musimy mieć taki dokument o takim tytule i jak przyjdzie Państwowa Inspekcja Pracy, to położymy z hukiem na stół i osoba kontrolująca będzie prawie tak szczęśliwa jak pracownik, który będzie to wcześniej czytał. Wydaje mi się, że powinniśmy się gdzieś spotkać pośrodku, to znaczy rzeczywiście rozumiemy chyba obie strony. Z jednej strony osoby, które wiedzą, że żyjemy w Polsce, to nie jest kultura prawna Zachodu, tutaj na wszystko trzeba mieć kwity i inspektor Państwowej Inspekcji Pracy może nie podejść do naszych barwnych wyjaśnień równie entuzjastycznie jak my.

Rzeczywiście nie ma sensu tworzyć dokumentu, który w całości powiela lub co gorsza jest sprzeczne z politykami, instrukcjami i procedurami już w firmie obowiązującymi. Tu zatrzymajmy się na chwilę i dwie rzeczy bardzo ważne. Po pierwsze mamy wprost wymieniony, i to jest argument dla prawników tak naprawdę, bardziej od prawa pracy i prawników od RODO, Mamy wymieniony dokument, który nazywa się Zasady ochrony danych w pracy zdalnej, czyli zwrócono uwagę na to, że te zasady muszą być spisane. I tu każdy, to o czym powiedziałeś, czyli ktoś kto przychodzi kontrolujący powie mam napisane czarno na białym, mają być zasady. Poproszę o te zasady i trudno jest dyskutować z tym argumentem, a z drugiej strony w tych naszych dyskusjach wewnętrznych ci, którzy zarządzają tym, powiedzieli o pewnym bardzo jawnym ryzyku i takim, które może się ziścić i realnym jest to, że dokument, który będzie, powstanie, spiszemy zasady, które po pierwsze mogą być sprzeczne z tym, co jest w firmie, jeżeli on będzie zbyt obszerny, a po drugie

Należy go aktualizować, a jeżeli go aktualizujemy, to powinniśmy zaktualizować w każdym miejscu, w którym dana zasada została zapisana, czyli po pierwsze daje nam więcej pracy, a po drugie nie daje gwarancji, że to będzie aktualne. To są te argumenty, które mieliśmy z drugiej strony, rozstrzygając ten, powiedzmy, spór, tę dyskusję. Zaobserwowaliśmy kilka takich wydaje się Salomonowych wyjść z tej sytuacji, które są rozwiązaniami pomiędzy. Znaczy jednym podejściem, z którym ja się spotkałem było to, żeby zebrać te wszystkie polityki, które mamy dotychczas i żeby nadać temu dokumentowi charakter taki bardziej edukacyjny dla pracowników. Czyli wprowadzić takie ogólne zasady typu nie zjadamy w domu dokumentów, zabezpieczamy, chronimy, nie wyrzucamy do kosza na śmieci, czyli wprowadzić zasady na takim stopniu ogólności, stworzyć kilkustrońcowy dokument, żeby nie było szansy, żeby on był w jakimś momencie sprzeczny z tymi naszymi szczegółowymi politykami i procedurami.

Przechodząc jeszcze do kolejnego punktu, jeżeli chodzi o te zasady ochrony danych osobowych, pojawiło się pytanie, Czy i jak to wpłynie na rejestr czynności przetwarzania? Czy trzeba utworzyć tutaj nową linijkę? Praca zdalna? Wydaje się chyba, że odpowiedź jest oczywista. Praca zdalna jako taka nie jest procesem. W związku z tym nie tworzymy czegoś, co jest zupełnie nowym procesem, nowym zapisem w naszym rejestrze czynności. Nie tworzymy tego i tu nie ma żadnych wątpliwości. Natomiast długo się zastanawialiśmy jaki to ma wpływ na inne procesy. Oczywiście wpływ ma i tu przygotowując się do tego naszego spotkania dzisiejszego, Trochę się zastanawialiśmy, jak rzeczywiście praca zdalna ma wpływ, to znaczy czy to jest kwestia opisania tych procesów, zmiany warunków, w których pracujemy na pewno, ale jaki to może mieć też wpływ na incydenty, do czego zaraz dojdziemy, bo wydaje się, że ten wpływ powinien być bardzo duży.

Czy jest potencjał, żeby był duży, ale czy jest, to zaraz też powiemy. Tak, rzeczywiście praca zdalna będzie pojawiać się we wszystkich procesach, W rejestrze tam, gdzie te procesy będą wpływały w tzw. zdalność. Najlepszym przykładem będzie obiekt dokumentacji, który będzie istotnie zmieniony. I tak jak wspomniałeś, wpłynie nam to na ryzyka. I teraz pytanie. Może pytanie do ciebie, na które ja nie znam odpowiedzi, w związku z tym zadam je tobie. Mam nadzieję, że ja też będę znał odpowiedź. Jak zdalność wpłynęła na incydenty? Czy mamy ich więcej, mniej, tyle samo? Czy ci pracownicy w domu mnożą, dzielą, te incydenty zmniejszają? Bardzo ciekawe pytanie. Bardzo dziękuję panie redaktorze, ale ja też nie znam na to pytanie odpowiedzi za bardzo, ponieważ nie mamy takich statystyk, które byłyby odrębne mówiące o tym, że przy pracy zdalnej tych incydentów jest mniej czy więcej.

Natomiast doświadczenie życiowe podpowiada nam, że tych incydentów może być więcej. Potencjał jest większy, dlatego że pracujemy w innych warunkach. Mamy więcej miejsc, w których może nastąpić wyciek i te wycieki są mniej kontrolowane, bo jesteśmy poza bezpiecznym obszarem biura. Natomiast czy tak rzeczywiście jest? Trudno nam powiedzieć. Myślę, że tu są dwa warunki takie, dwie okoliczności bardzo istotne. Po pierwsze, Nigdy się nad tym nie zastanawialiśmy nad takimi statystykami dotyczącymi właśnie pracy zdalnej, a po drugie stricte pracy zdalnej odrębnie, a po drugie nie było polityk. Wprowadzenie polityk, wymaganej tej polityki, o której mówiliśmy na początku, Jednak podniesie poziom bezpieczeństwa i poziom wymogów i więcej incydentów może się pojawić, bo ktoś po prostu stwierdzi, że to jest rzeczywisty incydent, bo nie pracujemy zgodnie z polityką bezpieczeństwa.

Tak, tutaj pojawia się jeszcze kwestia obsługi tych incydentów, no bo zauważmy, że o ile teraz ktoś w biurze, gubi nam laptop, zalewa go kawą, pali dokumenty na grillu przed budynkiem, No to obsługa takiego incydentu jest prostsza, ale teraz załóżmy, że ten sam pracownik zamiast ciężko i przyjemnie pracować tutaj na naszym polu, w ramach jakiejś patologii wyjeżdża do Zakopanego czy do Darłowa i tam przy plaży, gdzie bawi się jego rodzina, ten laptop gubi i de facto nie dość, że mamy pracę zdalną, to mamy zdalny incydent, jeszcze musimy go zdalnie obsłużyć. Szczególnie jeśli ten laptop sobie popłynie do Szwecji i mamy wtedy pracę za granicą. Znaczy do Szwecji to jeszcze pół biedy jak gdzieś tam wypłynie poza EOG.

Do Kaliningradu. To pozamiatane. Ale teraz wraca... Trzeba będzie powołać komisję. Wracając do tematu, bo nam się tu pojawia praca za granicą, zaraz do tego dojdziemy, ale rzeczywiście obsługa incydentu zdalna będzie trochę trudniejsza, bo mi przyszła do głowy jeszcze jedna myśl. Co prawda nie jest to związane z pracą zdalną, ale jest związane z przepisami dotyczącymi badania trzeźwości. I teraz pytanie, jeżeli pracujemy zdalnie i wiemy, Badanie trzeźwości zdalnie jest dosyć trudne, a z drugiej strony czytam w prasie, że podczas pracy zdalnej wzrasta spożycie alkoholu i takie dane są, to wzrasta nam ryzyko, że incydenty będą, ponieważ one w sposób naturalny mogą się pojawić na skutek stanu nietrzeźwości pracownika.

I my sami w ciągu tej minuty wygenerowaliśmy takie informacje o takim ryzyku, bo ono rzeczywiście jest. Będzie problem z obsługą, ale pytanie z obsługą incydentu, jeżeli praca jest za granicą. No właśnie, co teraz? Pracownik gubi tego laptopa już teraz w Tajlandii, no to ja sobie wyobrażam, że trzeba by powołać zespół i chyba trzeba by pojechać pomóc mu w tej Tajlandii. No zdecydowanie, bo przecież zdalnie nie da się tego odpowiednio zabezpieczyć. Nie, to nie jest to samo, to musi być... To szczególnie dużym korporacjom podpowiadamy, żeby jednak przyłożyć się do tego i w tej polityce odpowiednio to opisać, bo ja myślę, że urząd będzie bardzo zadowolony. Znaczy ja też zresztą od dawna postuluję i też do państwa się zwracam, że uważam, że rolą JODA rzeczywiście jest przede wszystkim jakiś audyt wyjazdów integracyjnych, imprez firmowych, szczególnie zagranicznych.

Trzeba przede wszystkim sprawdzić miejsce, do którego ktoś siedzi. Tam są szczególnie ryzyka. Tam są nasi pracownicy. I dane osobowe razem z nimi. To jeszcze raz apelujmy głównie do korporacji, bo mniejsze firmy to... I do naszych klientów. Proszę też o to zwrócić uwagę. Zwłaszcza tam, gdzie wiemy, że są te obozy kajakowe. Jesteśmy w stanie troszeczkę czasu wygospodarować, żeby sprawdzić teren, na którym występuje przetwarzanie danych. I tu mamy ostatni element chyba, o którym chcieliśmy wspomnieć, czyli jakie sankcje mogą się dodatkowo nam pojawić. Tak, jakie sankcje mogą się pojawić. Jest jeszcze jeden drobny element, czyli podpunkt do tego punktu, o którym wspomnieliśmy, to znaczy koszty związane z pracą zdalną, ale my to pomijamy w naszych rozważaniach, bo one nie mają większego wpływu na RODO. Natomiast ten ostatni punkt związany z sankcjami to jest pytanie, jakie sankcje grożą z tytułu złego wdrożenia lub niewdrożenia pracy zdalnej.

Są w zasadzie dwie ustawy, o których mówimy, czyli Kodeks Pracy i RODO. Z punktu widzenia RODO brak zabezpieczeń, czyli cały arsenał, którego może użyć Urząd Ochrony Danych Osobowych, A jak wiemy, potrafi go użyć, bo o tym już mówiliśmy niejednokrotnie. I to są te sankcje powiedzmy ułodowskie. Są drugie sankcje, o których my nie mówimy, czyli inspekcja pracy, bo to jest już w domenie kodeksu pracy, ale one też są, czyli nie wprowadzenie czegoś, co jest możliwe, wymagane. My patrzymy na to z takiej strony, że jeżeli ta praca zdalna jest, I nie mamy tej polityki, jakkolwiek wprowadzonej, czy w całości, czy w części, czy odesłania, czy obrazki, czy cokolwiek innego, nieuregulowanej, nie mamy tego w rejestrze czynności, nie ma tego odzwierciedlenia w rejestrze czynności tak generalnie, no to mamy sankcję łodowską możliwą.

Tym pozytywnym akcentem chyba zakończymy nasze spotkanie. Możemy nawet sprefrazować pewnego słynnego funkcjonariusza słowami, pijesz, nie przetwarzaj. Tak możemy to podsumować. Myślę, że to bardzo Dobre podsumowanie a propos tego, co wcześniej mówiliśmy, czyli połączenia tych dwóch ciekawych rzeczy pracy zdalnej oraz badania trzeźwości. Też dziękujemy za spotkanie i tradycyjnie życzymy spokojnego przetwarzania. Dziękujemy, do usłyszenia.