Załącznik nr 2 do ZW 33/2023

Procedura ochrony danych osobowych podczas pracy zdalnej okazjonalnej
obowiązująca w Politechnice Wrocławskiej

Celem niniejszej procedury jest zapewnienie bezpiecznego procesu przetwarzania danych osobowych w pracy zdalnej, zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) – dalej „RODO” oraz ustawą z dnia 10 maja 2018 o ochronie danych osobowych (Dz. U. 2019 poz. 1789).

Warunki jakie musi spełniać miejsce świadczenia pracy zdalnej

Pracownik musi zapewnić właściwe warunki umożliwiające mu skuteczną pracę zdalną z zachowaniem właściwego poziomu bezpieczeństwa informacji w szczególności ochrony danych osobowych.

Niedozwolone jest podejmowanie pracy zdalnej w miejscach publicznych, jak kawiarnie, restauracje, galerie handlowe, gdzie osoby postronne mogłyby usłyszeć fragmenty służbowych rozmów lub zapoznać się z fragmentami wykonywanej pracy.

Pracując w domu należy zapewnić, aby domownicy nie mieli wglądu w wykonywaną pracę, w szczególności poprzez właściwe ustawienie ekranu komputera.

Odchodząc od komputera lub kończąc korzystanie należy upewnić się, że urządzenie zostało zablokowane.

Bezpieczeństwo pracy zdalnej

Internet

Pracownik wykonuje pracę zdalną z wykorzystaniem urządzeń służbowych, tzn. otrzymanych od pracodawcy.

Realizując pracę zdalną pracownik bezwzględnie musi korzystać z VPN pracodawcy.

W przypadku korzystania z domowej sieci WiFi, należy upewnić się, że została ona skonfigurowana w sposób minimalizujący ryzyko włamania, w szczególności:

sieć WiFi musi być zabezpieczona, np. poprzez hasło,

o ile to możliwe, dostęp do panelu administracyjnego routera jest realizowany wyłącznie z urządzeń znajdujących się w sieci domowej.



Urządzenia służące do pracy zdalnej

Zabronione jest udostępnianie urządzeń wykorzystywanych do realizowania pracy zdalnej innym osobom, np. domownikom.

Praca zdalna musi być realizowana z wykorzystaniem służbowego sprzętu, jak komputer stacjonarny, laptop, smartfon, tablet, itp. Zgoda na pracę zdalną obejmuje zgodę na korzystanie ze służbowego sprzętu poza siedzibą pracodawcy.

Sprzęt, z wykorzystaniem którego pracownik wykonuje pracę zdalną musi spełniać następujące minimalne wymagania w zakresie bezpieczeństwa informacji, a w szczególności ochrony danych osobowych:

na urządzeniu jest legalne i aktualne oprogramowanie,

zostały włączone automatyczne aktualizacje,

zapora systemowa pozostaje stale włączona,

został zainstalowany i stale działa w tle program antywirusowy,

jeżeli urządzenie daje taką możliwość został skonfigurowany mechanizm szyfrowania dysku,

zalogowanie do systemu operacyjnego na indywidualne konto użytkownika wymaga uwierzytelnienia, np. poprzez indywidualny login i hasło,

wyłączono autouzupełnianie i zapamiętywanie hasła w przeglądarce internetowej, chyba że pracownik używa uwierzytelniania dwuskładnikowego lub menedżera haseł,

jeśli dokumenty przekazywane mają być z wykorzystaniem służbowej poczty elektronicznej to jest używane szyfrowanie w programach posiadających taką funkcjonalność lub został zainstalowany odrębny program umożliwiający zaszyfrowanie i odszyfrowanie plików (np.7-zip) przekazywanych tą drogą,

zostało ustawione automatyczne blokowanie urządzenia po dłuższym braku aktywności,

jeżeli urządzenie daje taką możliwość, praca jest wykonywana na koncie z ograniczonymi uprawnieniami,

jeżeli urządzenie daje taką możliwość, telefon komórkowy został zalogowany przy użyciu służbowego konta Google Workspace.

Zabezpieczanie przekazywanych informacji

Do pracy zdalnej pracownik powinien wykorzystywać tylko i wyłącznie służbowe programy i systemy dopuszczone przez pracodawcę. W przypadku wątpliwości należy skonsultować się ze swoim bezpośrednim przełożonym.

Pliki zawierające dane osobowe, informacje poufne oraz inne dane o istotnym znaczeniu dla Politechniki Wrocławskiej, powinny być zabezpieczone hasłem.

Zabezpieczeniu powinny podlegać dane osobowe niezależnie od ich zakresu czy charakteru, nawet jeżeli są to jedynie imiona, nazwiska, czy adresy e-mail. W przypadku wątpliwości należy skonsultować się z Biurem Bezpieczeństwa Informacji lub swoim bezpośrednim przełożonym.



Hasło powinno zostać przekazane odbiorcy inną drogą komunikacji.

Hasło powinno być odpowiednio skomplikowane i niesłownikowe.

Dozwolone jest ustalenie stałego hasła na komunikację z jednym odbiorcą.

Każda wiadomość powinna być wysłana z należytą starannością, polegającą w szczególności na sprawdzeniu, czy jest kierowana do odpowiedniego odbiorcy.

W przypadku wysyłania informacji kierowanej do wielu odbiorców, którzy nie muszą dalej współpracować w danej sprawie, a w szczególności jeśli ich adresy e-mail są adresami prywatnymi, należy skorzystać z opcji Ukrytej kopii (UDW/BCC), tzn. adresy wpisać w to pole.

Szczegółowe zasady korzystania z poczty elektronicznej określa odrębny regulamin oraz dobre praktyki znajdujące się pod linkiem: https://di.pwr.edu.pl/uslugi/poczta/dobre-praktyki-w-uzytkowaniu-poczty-elektronicznej

Pracownik może także przekazywać pliki z informacjami chronionymi z wykorzystaniem udostępnionych przez pracodawcę usług sieciowych.

Zasady korzystania z dokumentów w formie papierowej

Podczas pracy zdalnej obowiązuje całkowity zakaz zabierania dokumentów papierowych lub ich kopii poza siedzibę pracodawcy.

Szczególne sytuacje

Problemy w działaniu udostępnionego sprzętu lub oprogramowania należy niezwłocznie zgłaszać do informatyka obsługującego jednostkę organizacyjną pracownika, a w razie dalszych problemów do Działu Informatyzacji.

W przypadku zgubienia lub kradzieży sprzętu lub innych nośników informacji, należy niezwłocznie, w dniu zdarzenia zgłosić zdarzenie do pracodawcy, zgodnie z Polityką Ochrony Danych Osobowych, a jeśli utracone nośniki informacji lub urządzenia zawierały dane osobowe – także do Inspektora Ochrony Danych.

Działania niedozwolone

Niedozwolone jest: 

udostępnianie innym osobom danych służących do uwierzytelnienia do systemów i/lub usług;

przekazywanie informacji chronionych, w szczególności danych osobowych bez zabezpieczenia hasłem, w szczególności w treści wiadomości e-mail;



przekazywanie hasła do zabezpieczonych informacji tą samą drogą komunikacji, którą przekazywany jest zabezpieczony hasłem plik lub pliki;

korzystanie z urządzeń, które nie zostały zatwierdzone przez pracodawcę;

udostępnianie służbowego sprzętu wykorzystywanego do realizowania zadań służbowych innym osobom;

dzielenie się informacjami poufnymi z innymi osobami, w szczególności domownikami;

logowanie się na konto innego użytkownika przy pomocy jego poświadczeń, w tym również za jego zgodą albo na jego prośbę;

zabranie poza siedzibę pracodawcy dokumentów papierowych;

zapisywanie efektów pracy bez zastosowania szyfrowania na nośniki zewnętrzne np. pendrive oraz na inne niż służbowe usługi sieciowe.