Czas pandemii na wielu organizacjach wymusił poszukiwanie takich rozwiązań, które umożliwiały zachowanie wszystkich funkcji w trybie zdalnym. Niemalże z dnia na dzień działy HR zaczęły prowadzić zdalnie rekrutację, tzw. onboardingi. Wiele firm zdecydowało się na udostępnienie pracownikom odpowiednich modułów systemów kadrowych, co zmniejszyło potrzebę bezpośredniego kontaktu z działem kadr, umożliwiając m.in.: składanie wniosków pracowniczych czy pobranie tzw. pasków płacowych on-line. Dążeniu do maksymalizacji korzyści z nowych technologii musi jednak towarzyszyć zapewnienie ich zgodności z obowiązującym prawem, w szczególności w zakresie ochrony danych osobowych.

Przed podjęciem ostatecznej decyzji o wdrożeniu nowego rozwiązania potrzebna jest analiza, która odpowie na pytania:

• w jakiej roli podmiot przetwarza dane osobowe?
• jakie operacje przetwarzania danych będą wykonywane i w jakim zakresie?
• jakie ryzyka niesie dla praw osób, których dane dotyczą to rozwiązanie?
• jakie obowiązki spoczywają na podmiocie i kto zapewni ich wypełnienie?

7 kroków do sprawdzenia bezpieczeństwa danych – checklista

Po pierwsze – ustal, w jakiej roli podmiot przetwarza dane osobowe w tym rozwiązaniu – czy jako administrator danych osobowych, czy jako podmiot przetwarzający. Administrator danych osobowych decyduje o celach i sposobach przetwarzania, a podmiot przetwarzający wykonuje czynności przetwarzania nie dla siebie, a w imieniu administratora. I tak, w przypadku wypełniania obowiązków pracodawcy z wykorzystaniem systemów IT (np. w systemie kadrowo – płacowych), pracodawca będzie występował w roli administratora danych, ale przy oferowaniu pracownikom dostępu do platformy, w której mogą wykupić dostęp do abonamentów sportowych będzie podmiotem przetwarzającym.

Po drugie – sprawdź, na jakiej podstawie prawnej będą przetwarzane dane osobowe pracowników. W systemie kadrowo – płacowym, udostępniając informację o składniach wynagrodzenia konkretnemu pracownikowi, będzie to wypełnianie obowiązków wynikających z powszechnie obowiązujących przepisów prawa. W systemie obsługującym monitoring wizyjny, podstawą przetwarzania danych będzie uzasadniony interes prawny.

Po trzecie – przeprowadź ocenę ryzyka, jakie projektowane rozwiązanie niesie dla danych osobowych, za które odpowiedzialny jest administrator. Pozwoli ona ocenić, czy stopień zastosowanych zabezpieczeń jest adekwatny do skali niebezpieczeństwa.

Po czwarte – w większości przypadków korzystanie z rozwiązań IT będzie angażowało nie tylko administratora danych osobowych, ale również podmiot przetwarzający. Przed podjęciem decyzji o powierzeniu przetwarzania danych osobowych konieczna jest weryfikacja, czy podmiot przetwarzający daje gwarancje odpowiedniego poziomu ochrony danych osobowych. Ustalenia w tym zakresie powinny znaleźć odzwierciedlenie w zawartej umowie powierzenia przetwarzania danych osobowych.

Po piąte – sprawdź, czy w związku z wdrożeniem nowego rozwiązania nie musisz o nim poinformować osób, których dane dotyczą. Może tak się stać, gdy w nowe rozwiązanie zaangażowany jest nowy odbiorca danych osobowych (podmiot, któremu przekazywane są dane osobowe).

Po szóste – nie zapominaj, że ochrona danych osobowych, to ciągły proces. Nawet, jeśli zweryfikowałeś podmiot przetwarzający przy zawarciu umowy powierzenia przetwarzania danych osobowych, okresowo musisz sprawdzać, czy poziom ochrony jest zachowany, na przykład przeprowadzając audyty.

Po siódme – dokumentuj wszelkie naruszenia ochrony danych osobowych, nawet jeśli nie rodzą one ryzyka naruszenia praw i wolności, osób których dane dotyczą. To wymaga prowadzenia dokumentacji, np. w postaci ewidencji naruszeń danych osobowych oraz zapewnienia, aby wszystkie osoby, korzystające z danego rozwiązania wiedziały, jakie sytuacje kwalifikują się jako zagrożenie dla bezpieczeństwa danych osobowych.

Na temat cyberbezpieczeństwa w działach HR będziemy rozmawiać podczas śniadania biznesowego w Łodzi w ramach cyklu „HR FRIDAY”.  Pierwsza okazja do spotkania z adw. Karoliną Kołakowska już 25 marca, godz. 9:00-11:00! Bliższe informacje o wydarzeniu i zapisy: link

Serdecznie zapraszamy do bezpłatnego udziału!

Karolina Kołakowska, adwokat w Kancelarii Brzezińska Narolski Adwokaci w Łodzi, ekspert z zakresu indywidualnego i zbiorowego prawa pracy oraz ochrony danych osobowych, trener i szkoleniowiec.