Odc. 34 Praca zdalna, a RODO - co zrobić i na co być przygotowanym?

Tak, rzeczywiście 7 kwietnia wraz z wiosną przyszła nowelizacja Kodeksu Pracy i bezpośrednio ustawodawca wskazał, że pracodawca musi określić te zasady ochrony danych osobowych w pracy zdalnej, co więcej zapoznać i przeszkolić z tego zakresu No i tutaj też mieliśmy nawet wewnątrz taką debatę, jak to poprawnie zrobić, bo w zasadzie mamy trzy podejścia. Specjaliści od procesów, od zarządzania dokumentacją wskazują nic nie dawać. Nic nie dawać, przecież to jest nihil novi. Większość firm pracuje już na tym od dwóch lat, czyli zapewne kwestie pracy zdalnej muszą mieć w politykach bezpieczeństwa informacji, w politykach ochrony danych osobowych

Rzeczywiście nie ma sensu tworzyć dokumentu, który w całości powiela lub co gorsza jest sprzeczne z politykami, instrukcjami i procedurami już w firmie obowiązującymi. Tu zatrzymajmy się na chwilę i dwie rzeczy bardzo ważne. Po pierwsze mamy wprost wymieniony, i to jest argument dla prawników tak naprawdę, bardziej od prawa pracy i prawników od RODO, Mamy wymieniony dokument, który nazywa się Zasady ochrony danych w pracy zdalnej, czyli zwrócono uwagę na to, że te zasady muszą być spisane. I tu każdy, to o czym powiedziałeś, czyli ktoś kto przychodzi kontrolujący powie mam napisane czarno na białym, mają być zasady. Poproszę o te zasady i trudno jest dyskutować z tym argumentem, a z drugiej strony w tych naszych dyskusjach wewnętrznych ci, którzy zarządzają tym, powiedzieli o pewnym bardzo jawnym ryzyku i takim, które może się ziścić i realnym jest to, że dokument, który będzie, powstanie, spiszemy zasady, które po pierwsze mogą być sprzeczne z tym, co jest w firmie, jeżeli on będzie zbyt obszerny, a po drugie

To jest jedno rozwiązanie. Czyli taki bardziej obrazkowy, taki pokazujący główne zasady, które trudno, żeby się zmieniły. Bo jeżeli mówimy nie zjadać dokumentów, to zawsze będzie to aktualne. Dokładnie. To jest jedno podejście. Drugie podejście to jest stworzenie takiego krótkiego przewodnika, który też wydaje mi się jest OK. Czyli mówimy OK, to są zasady. Poszczególne informacje znajdziecie tutaj. Zasady niszczenia znajdziecie w polityce retencji, zasady bezpieczeństwa informacji w polityce bezpieczeństwa informacji, zasady ochrony danych w polityce ochrony danych osobowych wraz z linkami. I to też wydaje się OK. A trzecie to jest połączenie tych dwóch, czyli dosyć taki krótki opis poszczególnych zasad wraz z odniesieniem do szczegółowych dokumentów.

Przechodząc jeszcze do kolejnego punktu, jeżeli chodzi o te zasady ochrony danych osobowych, pojawiło się pytanie, Czy i jak to wpłynie na rejestr czynności przetwarzania? Czy trzeba utworzyć tutaj nową linijkę? Praca zdalna? Wydaje się chyba, że odpowiedź jest oczywista. Praca zdalna jako taka nie jest procesem. W związku z tym nie tworzymy czegoś, co jest zupełnie nowym procesem, nowym zapisem w naszym rejestrze czynności. Nie tworzymy tego i tu nie ma żadnych wątpliwości. Natomiast długo się zastanawialiśmy jaki to ma wpływ na inne procesy. Oczywiście wpływ ma i tu przygotowując się do tego naszego spotkania dzisiejszego, Trochę się zastanawialiśmy, jak rzeczywiście praca zdalna ma wpływ, to znaczy czy to jest kwestia opisania tych procesów, zmiany warunków, w których pracujemy na pewno, ale jaki to może mieć też wpływ na incydenty, do czego zaraz dojdziemy, bo wydaje się, że ten wpływ powinien być bardzo duży.

I my sami w ciągu tej minuty wygenerowaliśmy takie informacje o takim ryzyku, bo ono rzeczywiście jest. Będzie problem z obsługą, ale pytanie z obsługą incydentu, jeżeli praca jest za granicą. No właśnie, co teraz? Pracownik gubi tego laptopa już teraz w Tajlandii, no to ja sobie wyobrażam, że trzeba by powołać zespół i chyba trzeba by pojechać pomóc mu w tej Tajlandii. No zdecydowanie, bo przecież zdalnie nie da się tego odpowiednio zabezpieczyć. Nie, to nie jest to samo, to musi być... To szczególnie dużym korporacjom podpowiadamy, żeby jednak przyłożyć się do tego i w tej polityce odpowiednio to opisać, bo ja myślę, że urząd będzie bardzo zadowolony. Znaczy ja też zresztą od dawna postuluję i też do państwa się zwracam, że uważam, że rolą JODA rzeczywiście jest przede wszystkim jakiś audyt wyjazdów integracyjnych, imprez firmowych, szczególnie zagranicznych.

Trzeba przede wszystkim sprawdzić miejsce, do którego ktoś siedzi. Tam są szczególnie ryzyka. Tam są nasi pracownicy. I dane osobowe razem z nimi. To jeszcze raz apelujmy głównie do korporacji, bo mniejsze firmy to... I do naszych klientów. Proszę też o to zwrócić uwagę. Zwłaszcza tam, gdzie wiemy, że są te obozy kajakowe. Jesteśmy w stanie troszeczkę czasu wygospodarować, żeby sprawdzić teren, na którym występuje przetwarzanie danych. I tu mamy ostatni element chyba, o którym chcieliśmy wspomnieć, czyli jakie sankcje mogą się dodatkowo nam pojawić. Tak, jakie sankcje mogą się pojawić. Jest jeszcze jeden drobny element, czyli podpunkt do tego punktu, o którym wspomnieliśmy, to znaczy koszty związane z pracą zdalną, ale my to pomijamy w naszych rozważaniach, bo one nie mają większego wpływu na RODO. Natomiast ten ostatni punkt związany z sankcjami to jest pytanie, jakie sankcje grożą z tytułu złego wdrożenia lub niewdrożenia pracy zdalnej.

Są w zasadzie dwie ustawy, o których mówimy, czyli Kodeks Pracy i RODO. Z punktu widzenia RODO brak zabezpieczeń, czyli cały arsenał, którego może użyć Urząd Ochrony Danych Osobowych, A jak wiemy, potrafi go użyć, bo o tym już mówiliśmy niejednokrotnie. I to są te sankcje powiedzmy ułodowskie. Są drugie sankcje, o których my nie mówimy, czyli inspekcja pracy, bo to jest już w domenie kodeksu pracy, ale one też są, czyli nie wprowadzenie czegoś, co jest możliwe, wymagane. My patrzymy na to z takiej strony, że jeżeli ta praca zdalna jest, I nie mamy tej polityki, jakkolwiek wprowadzonej, czy w całości, czy w części, czy odesłania, czy obrazki, czy cokolwiek innego, nieuregulowanej, nie mamy tego w rejestrze czynności, nie ma tego odzwierciedlenia w rejestrze czynności tak generalnie, no to mamy sankcję łodowską możliwą.