Munca de acasă fără laptop de serviciu – o scurtă perspectivă a protecției datelor cu caracter personal

Material de opinie de Silvia Axinescu, Senior Managing Associate la Reff & Asociații, și Iulia Antonie, Senior Manager, Managementul Riscului, Deloitte România

În contextul creat de pandemia de COVD-19, dar nu numai, sunt situații în care angajatorii nu pot pune la dispoziția salariaților echipamente pentru continuarea desfășurării activității de acasă, însă le permit acestora să folosească propriile dispozitive – computer, tabletă, telefon mobil personal – în scop profesional. Care sunt riscurile pentru angajatori, dar și pentru angajați, în privința protecției datelor cu caracter personal?

Prin intermediul unei politici privind utilizarea propriilor dispozitive (politică de tip BYOD – Bring Your Own Device), angajatorii pot explica angajaților în ce condiții aceștia își pot utiliza echipamentele personale pentru desfășurarea activității profesionale și ce măsuri trebuie să ia pentru securitatea datelor procesate astfel.

Măsurile de siguranță care se impun

Practic, este vorba despre asigurarea protecției pentru două categorii de date: datele personale ale angajaților care își partajează echipamentul pentru efectuarea activității de serviciu și datele confidențiale ale companiei care sunt acum transferate între rețeaua companiei și echipamentele personale ale angajaților.

Pentru asigurarea protecției datelor (atât a celor care sunt salvate pe echipamentele angajaților, cât și a celor care aparțin companiei, dar sunt accesate la distanță prin intermediul acestor echipamente), este important să fie implementate anumite măsuri de siguranță. Acestea trebuie să se alinieze la măsurile de securitate pe care compania le aplică în cursul normal de desfășurare a activității și variază de la implementarea unei soluții antivirus, la obligativitatea parolelor complexe în vederea obținerii accesului la informație, la efectuarea actualizărilor de securitate ale sistemelor de operare, la instalarea de programe tip firewall, la criptarea echipamentelor etc. 

În aceste condiții este important să se stabilească un echilibru între măsurile de securitate solicitate și aplicate de către companie pe echipamentele angajaților și nevoia acestora din urmă de a păstra datele personale într-o zona privată – fără a exista un risc de expunere a acestora.

Cum stabilim echilibrul între personal și profesional?

Având în vedere că dispozitivele personale conțin, în mod evident, informații privind viața privată a angajaților, trasarea „graniței” între personal și profesional poate fi mai dificilă decât în situația utilizării echipamentelor companiei, iar implementarea măsurilor de securitate trebuie să fie proporțională cu nevoia companiei de a asigura protecția datelor. Cu cât soluțiile avute în vedere pentru asigurarea unor standarde înalte de securitate sunt mai sofisticate (precum monitorizarea activității angajaților, implementarea unor soluții de tip Data Loss Prevention sau Mobile Device Management), cu atât este mai importantă respectarea cerințelor legale aplicabile în materia protecției datelor.

Astfel, înainte de implementarea unor soluții de acest gen, compania trebuie să ia în calcul mai multe aspecte. În primul rând, este recomandată limitarea categoriilor de date cu caracter personal ale angajaților prelucrate prin intermediul acestor soluții doar la cele necesare atingerii scopurilor și intereselor legitime de asigurare a securității datelor. În al doilea rând, este necesară o analiză de evaluare a impactului pe care decizia de a permite angajatului să lucreze pe dispozitivul personal o va avea asupra protecției datelor. Nu în ultimul rând, este indicată efectuarea în mod corespunzător a testului de balanță pentru interesul legitim (având în vedere că, în urma analizei fiecărei situații specifice, cel mai probabil interesul legitim va fi temeiul legal în baza căruia pot fi prelucrate datele cu caracter personal ale angajaților stocate prin intermediul propriilor dispozitive).

Nerespectarea obligațiilor privind asigurarea securității datelor cu caracter personal sau privind respectarea drepturilor și libertăților persoanelor vizate (angajații în acest caz) poate expune compania la sancțiuni severe, de până la 4% din cifra de afaceri. Mai este de precizat faptul că o parte semnificativă din sancțiunile aplicate de Autoritatea Națională de Supraveghere a Prelucrării Datelor în ultimele 12 luni (printre care și cea mai mare sancțiune aplicată până acum în România) au fost impuse ca urmare a unor breșe de securitate. În acest context, devine esențială asigurarea unui raport corect între securitatea datelor și protecția vieții private.

Avantajele muncii la distanță sunt de necontestat în noul context creat de pandemia de COVID-19, însă clarificarea tuturor aspectelor legale care țin de acest domeniu este esențială, având în vedere provocările cu care se confruntă deja întreg mediul de business.