Source: http://www.abi-expert.pl/wydania/kwiecien-czerwiec-2020/art,2651,anonimizacja-praca-zdalna-i-rcp.html
Timestamp: 2020-07-13 16:51:59+00:00

Document:
Anonimizacja, praca zdalna i RCP
02-06-2020 Autor: Magdalena Czaplińska
Udostępnianie nagrań w BIP a kwestia anonimizacji danych skazanego, praca zdalna podczas pandemii i jej wpływ na rejestr czynności przetwarzania – zapraszamy do zapoznania się z najnowszymi wytycznymi oraz orzecznictwem.
Czy praca zdalna wymaga osobnych procedur?
Praca zdalna wymaga sporządzenia dedykowanych jej procedur, pod warunkiem że rozwiązania jej dotyczące nie zostały przewidziane w politykach obowiązujących wcześniej u administratora. Wielu administratorów znacznie wcześniej – przed pandemią koronawirusa – przewidywało wykonywanie pracy poza siedzibą pracodawcy w związku z telepracą lub przy okazji normowania pracy z wykorzystaniem urządzeń mobilnych. Dlatego oni zapewne nie muszą tworzyć procedur pracy zdalnej od podstaw. W takie procedury koniecznie muszą zaopatrzyć się natomiast organizacje, w których regułą było wykonywanie pracy w siedzibie pracodawcy lub w kontrolowanym przez niego obszarze przetwarzania. Zazwyczaj w ich przypadku nie wystarczy odesłanie do dotychczasowych polityk, ponieważ nie zawierają one regulacji niezbędnych w przypadku pracy zdalnej.
Praca zdalna wymaga odpowiednich ustaleń odpowiadających treści art. 24 i art. 32 rodo. Trzeba pamiętać, że zgodnie z art. 24 ust. 1 rodo to administrator wdraża odpowiednie środki techniczne i organizacyjne, uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze, aby przetwarzanie odbywało się zgodnie z rodo i aby móc to wykazać, a środki te są w razie potrzeby poddawane przeglądom i uaktualniane i – jak wynika to z art. 24 ust. 2 – opisywane w odpowiednich politykach. Podobnie art. 32 rodo wymaga realizacji obowiązku zabezpieczenia danych, a art. 25 rodo uwzględnienia ochrony danych osobowych w fazie projektowania.
Jeśli praca zdalna to nowość dla administratora, powinien on na to nowe rozwiązanie przygotować i siebie – w świetle zasady rozliczalności (art. 5 ust. 1 lit. f w zw. z ust. 2 rodo), i swój personel, bo faktycznie to jego pracownicy będą musieli znać i przestrzegać zasad odpowiadających wymogom art. 24, 25 i 32 rodo.
Administratorzy powinni zorganizować pracę zdalną w sposób zgodny z prawem i odpowiadający rzeczywistości. Na nic tu ściągane z internetu cudze rozwiązania i procedury, które nie są adekwatne do przetwarzania w danej organizacji. Rzetelne zorganizowanie i rzetelne udokumentowanie pracy zdalnej pozwoli wykazać rozliczalność przetwarzania, uniknąć błędów, naruszeń ochrony danych osobowych, a w konsekwencji i odpowiedzialności.
Praca zdalna powinna zostać należycie udokumentowana, a w skład dokumentacji powinny wchodzić procedury określające zasady:
organizacji miejsca pracy;
wykorzystania urządzeń przenośnych;
korzystania z sieci;
e-mailingu;
zabezpieczania dokumentacji;
reagowania na sytuacje kryzysowe;
kontrolowania wykonywania pracy.
Wdrożenie pracy zdalnej wymaga wprowadzenia odrębnych procedur na czas jej trwania, a po jej ustaniu wymaga przeglądu środków organizacyjnych i technicznych wprowadzanych w okresie poprzedzającym pracę zdalną pod kątem ich aktualności. Praca zdalna może prowadzić do zmian organizacyjnych, które będą oddziaływać na system ochrony danych, stąd rekomendowanym rozwiązaniem po powrocie z pracy zdalnej jest audyt wszystkich obowiązujących w organizacji procedur.
Autorka jest partnerem w Sakowska-Baryła, Czaplińska Kancelarii Radców Prawnych Sp. p.; doktorantką na WPiA Uniwersytetu Łódzkiego.

References: art. 24
 art. 32
 art. 24
 art. 24
 art. 32
 art. 25
 art. 24