Od 7 kwietnia 2023 r. obowiązują przepisy o pracy zdalnej, które zostały dodane do Kodeksu pracy. Wśród nich znajduje się przepis dotyczący wprost problematyki ochrony danych osobowych, tj. art. 6726 K.p. Zobowiązuje on pracodawcę do określenia procedury ochrony danych osobowych dotyczącej pracy zdalnej i tylko w miarę potrzeby przeprowadzenia instruktażu lub szkolenia z tego zakresu. Co ważne pracownik musi potwierdzić zapoznanie się z taką procedurą w postaci papierowej lub elektronicznej oraz jest zobowiązany do jej stosowania, a taki dokument powinien się znaleźć w jego aktach osobowych w części B, co wynika ze zmiany rozporządzenia o dokumentacji pracowniczej, w którym po prostu zamieniono słowo telepraca na pracę zdalną, a więc wszystkie dokumenty związane z wdrożeniem pracy zdalnej oraz wnioski pracownika jej dotyczące powinny być przechowywane w aktach osobowych.
Procedura ochrony danych osobowych przy pracy zdalnej może być także częścią regulaminu (porozumienia) pracy zdalnej i wtedy nie będzie wymagane odrębne zapoznanie się przez pracownika z jej treścią.
Uwaga! Procedura ochrony danych osobowych musi być opracowana także w przypadku pracodawców, u których stosowana jest jedynie praca zdalna okazjonalna, gdyż w jej przypadku nie zostało wyłączone stosowanie art. 6726 K.p.
Poza procedurą ochrony danych osobowych przepisy o pracy zdalnej wymagają jeszcze innych działań ze strony pracodawcy, które są powiązane z tematyką ochrony danych osobowych, gdyż:
- w regulaminie (porozumieniu zbiorowym) pracy zdalnej powinny zostać określone także zasady kontroli przestrzegania wymogów w zakresie bezpieczeństwa i ochrony informacji, w tym procedur ochrony danych osobowych oraz zasady instalacji, inwentaryzacji, konserwacji, aktualizacji oprogramowania i serwisu powierzonych pracownikowi narzędzi pracy, w tym urządzeń technicznych,
- pracownik i pracodawca przekazują informacje niezbędne do wzajemnego porozumiewania się za pomocą środków bezpośredniego porozumiewania się na odległość lub w inny sposób uzgodniony z pracodawcą (art. 6727 K.p.), co będzie oznaczało w praktyce wykorzystywanie różnych narzędzi informatycznych i wiązało się z koniecznością wypełnienia w związku z powyższym ogólnych obowiązków wynikających z RODO w tym zakresie,
- przepisy o pracy zdalnej umożliwiają wykorzystywanie przez pracowników własnych narzędzi, takich jak laptop, monitor, słuchawki itp., co z kolei będzie się wiązało z koniecznością zabezpieczenia dostępu do danych osobowych pracodawcy i w tym przypadku dobrą praktyką byłoby stworzenie polityki BOYD (Bring Your Own Device), czyli polityki korzystania ze sprzętu prywatnego do celów służbowych,
- pracodawca może dokonywać kontroli pracownika wykonującego pracę zdalną także w aspekcie przestrzegania wymogów w zakresie bezpieczeństwa i ochrony informacji, w tym procedur ochrony danych osobowych (art. 6728 K.p.), co może wiązać się z konsekwencjami polegającymi na zobowiązaniu pracownika do usunięcia stwierdzonych uchybień we wskazanym terminie albo w postaci wycofania zgody na wykonywanie pracy zdalnej przez tego pracownika.
Uwaga! Uprawnienia do kontroli pracownika wykonującego pracę zdalną nie można utożsamiać z prawem do monitoringu pracownika w rozumieniu przepisów Kodeksu pracy. Zatem, jeśli pracodawca chce monitorować stację roboczą pracownika, odwiedzane strony internetowe, czy aktywność w różnych aplikacjach wykorzystywanych w godzinach pracy, to musi wprowadzić w regulaminie pracy (układzie zbiorowym pracy, obwieszczeniu) inne formy monitoringu pracowników i poinformować o tym fakcie pracowników z 14-dniowym wyprzedzeniem. Procedura ochrony danych osobowych nie może być bowiem aktem prawnym, w którym zostaną wprowadzone zasady monitorowania pracy zdalnej. W tym akcie można co najwyżej doprecyzować szczegóły, ale sam monitoring musi mieć podstawę prawną w regulaminie pracy (układzie zbiorowym pracy, obwieszczeniu).
Patrząc na pracę zdalną z punktu widzenia przepisów RODO, a nie regulacji prawa pracy, należy stwierdzić, że jest to odrębny proces przetwarzania danych, w którym mieści się wiele celów przetwarzania danych osobowych, czy wręcz wiele węższych procesów przetwarzania danych, które można wyodrębnić ze względu na różne cele i podstawy przetwarzania danych osobowych. Wśród takich węższych procesów można wyróżnić m.in.: zatrudnienie pracownika w ramach pracy zdalnej, organizację pracy zdalnej, kontrolę pracy zdalnej, monitoring pracy zdalnej, czy też obsługę wypadku przy pracy zdalnej. W związku z powyższym, wprowadzenie pracy zdalnej powinno wiązać się z przeprowadzeniem oceny ryzyka dla takiego procesu lub procesów, przy których trzeba uwzględnić tło związane z charakterem pracy zdalnej, a także różne, specyficzne ryzyka wynikające z wykonywania takiej pracy.
Pracodawca jest administratorem danych osobowych pracownika zatrudnionego w ramach pracy zdalnej, ale już dane, jakie będzie przetwarzał pracownik w trakcie wykonywania pracy zdalnej mogą być przetwarzane przez podmiot zatrudniający także w roli procesora (podmiotu przetwarzającego), a przez pracownika w oparciu o upoważnienie o odpowiednim zakresie przedmiotowym.
Pracownik biura rachunkowego pracuje w modelu hybrydowym, tj. 3 dni stacjonarnie oraz 2 dni zdalnie, a w trakcie pracy zdalnej przetwarza dane osobowe klientów biura i w tym przypadku działa na podstawie upoważnienia jako pracownik podmiotu przetwarzającego dane, a nie administratora danych osobowych.
Z punktu widzenia procesu zatrudniania pracowników należy pamiętać zatem o właściwym skonstruowaniu upoważnień dla pracowników wykonujących pracę zdalną, a ponadto zdecydować czy będzie do tego procesu tworzona odrębna klauzula informacyjna. Jeśli taka klauzula nie będzie tworzona, to należy zmienić treść dotychczasowych klauzul informacyjnych dla pracowników, w których trzeba uwzględnić dodatkowe cele i podstawy prawne przetwarzania danych związanych stricte z procesem pracy zdalnej.
Uwaga! UODO przedstawił ostatnio stanowisko dotyczące rozpatrywania przez pracodawcę wniosku o pracę zdalną w związku z niepełnosprawnością osoby trzeciej (newsletter UODO dla IOD nr 7-8/2023), wskazując, że pracodawca w takiej sytuacji powinien ograniczyć pozyskiwanie informacji o niepełnosprawności takiej osoby. W ocenie Urzędu nieuzasadnione wydaje się żądanie przekazania orzeczenia o niepełnosprawności osoby, nad którą pracownik sprawuje opiekę, a pracodawca powinien oprzeć się jedynie na oświadczeniu pracownika. UODO stwierdził wprost, że rozpatrując wniosek pracownika o pracę zdalną, o której mowa w art. 6719 § 6 K.p., należałoby ograniczyć powzięcie informacji o niepełnosprawności osoby trzeciej do sporządzenia stosownej adnotacji i jej dołączenie do akt osobowych pracownika. W takim przypadku należy z kolei przyjąć, że dane osobowe dotyczące osoby trzeciej objęte orzeczeniem o niepełnosprawności przedłożonym przez pracownika przetwarza on na podstawie art. 6 ust. 1 lit. c oraz art. 9 ust. 2 lit. b RODO.
