STAN PRAWNY NA 3 KWIETNIA 2020 Praca zdalna a RODO Opracował: Tomasz Ptak, magister prawa, trener, audytor, specjalista z zakresu ochrony danych osobowych, Inspektor Ochrony Danych. Posiada sześcioletnie doświadczenie jako trener, ma w swoim dorobku kilkaset godzin szkoleń z zakresu ochrony danych osobowych Podstawa prawna: • Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE.L. z 2016 r. Nr 119 poz. 1), • Ustawa z dnia 14 grudnia 2016 r. Prawo oświatowe (t.j. Dz.U. z 2019 r. poz. 1148 ze zm.), • Rozporządzenie MEN z dnia 29 sierpnia 2014 r. w sprawie sposobu prowadzenia przez publiczne przedszkola, szkoły i placówki dokumentacji przebiegu nauczania, działalności wychowawczej i opiekuńczej oraz rodzajów tej dokumentacji (Dz.U. z 2017 r. poz. 1646 ze zm.). Wybuch w Polsce epidemii wirusa COVID-19 (koronawirusa) postawił przed oświatą nowe wyzwania. Jednym z nich jest nieprzerwane funkcjonowanie w warunkach kryzysu, a więc praca, w tym zapewnienie ciągłości realizacji zadań edukacyjnych, w formie zdalnej. Zdalne nauczanie wymaga zapewnienia bezpiecznych kanałów komunikacji, która przecież odbywa się za pomocą łączy internetowych – te z kolei są bardziej narażone na ingerencję z zewnątrz. Dlatego, nawet w warunkach kryzysowych (a może zwłaszcza w takich), należy zadbać o bezpieczeństwo danych osobowych i prywatność własną, rodziców/opiekunów i dzieci. Warto zaznaczyć, że przepis art. 30a ust. 2 Ustawy Prawo oświatowe stanowi, że nauczyciele są obowiązani do zachowania w poufności informacji uzyskanych w związku z pełnioną funkcją lub wykonywaną pracą dotyczących zdrowia, potrzeb rozwojowych i edukacyjnych, możliwości psychofizycznych, seksualności, orientacji seksualnej, pochodzenia rasowego lub etnicznego, poglądów politycznych, przekonań religijnych lub światopoglądowych dzieci. Zobowiązane są do tego również inne osoby pełniące funkcje lub wykonujące pracę w placówkach oświatowych. W obecnej sytuacji kwestia bezpieczeństwa danych osobowych nabiera więc szczególnego znaczenia. Wskazania w zakresie zdalnej pracy z dzieckiem Jeżeli przedszkole dopuszcza, by rodzice/opiekunowie korzystali ze swoich urządzeń i łączyli się z platformami edukacyjnymi, powinna stworzyć organizacyjne regulaminy korzystania z platformy, akceptowane zarówno przez rodziców/opiekunów, jak i nauczycieli. Dostęp do takich platform powinien być imienny i oparty na centralnym systemie zarządzania uprawnieniami. Zapewni to możliwość rozwiązywania ewentualnych problemów, a także zarządzania dostępem wyłącznie dla osób uprawnionych. Należy korzystać ze sprawdzonych programów i platform wymiany przeznaczonych do edukacji, oferowanych przez producentów lub dostawców oprogramowania. Dobre narzędzie wymiany informacji i prac oferuje Microsoft w pakiecie Office 365 . Innymi platformami do wykorzystania są rekomendowane przez MEN . Jeżeli przedszkole korzysta z wirtualnego dysku, na którym pracownicy dzielą się efektami pracy, umieszczając tam np. prezentacje, karty pracy czy fotografie, musi mieć na uwadze bezpieczeństwo przechowywanych tam danych oraz lokalizację dysku. Nie może on znajdować się poza Europejskim Obszarem Gospodarczym. Nauczyciel kontaktujący się z rodzicem/opiekunem dziecka za pomocą komunikatorów z wykorzystaniem wizerunku online powinien pamiętać, by nie nagrywać sesji i nie przechowywać wizerunku dziecka. Przebieg lekcji musi zostać udokumentowany na papierze lub elektronicznie w dzienniku elektronicznym. Należy zadbać także o bezpieczeństwo łącza internetowego i nie korzystać z łącz publicznych i nieszyfrowanych. Na koniec, ponieważ danych gromadzonych na dyskach zewnętrznych (platformy edukacyjne, pokoiki czatowe, inne miejsca, na których zamieszczane są dane) czy też na dyskach lokalnych w komputerach nie można przechowywać w nieskończoność, należy pamiętać, by po zakończeniu roku szkolnego usunąć zebrane dane. Dotyczy to również korespondencji mailowej i załączonych plików. Pamiętajmy, że, póki co, jedynym aktem regulującym prowadzenie dokumentacji nauczania jest Rozporządzenie w sprawie sposobu prowadzenia przez publiczne przedszkola, szkoły i placówki dokumentacji przebiegu nauczania, działalności wychowawczej i opiekuńczej oraz rodzajów tej dokumentacji. Oznacza to, że przebieg zajęć prowadzonych w formie zdalnej i elektronicznej musi znaleźć odzwierciedlenie w tej dokumentacji. Zdalna praca świadczona przez pracownika Przedszkole musi funkcjonować, nie tylko realizując zadania ściśle edukacyjne, ale także zapewniając ciągłość administracyjną. Kierując pracownika (nauczyciel, sekretarka, intendent) do pracy zdalnej, dyrektor placówki musi pamiętać, że w związku z tak świadczoną pracą zapewne będzie miało miejsce przetwarzanie danych osobowych. Z sytuacją taką mamy do czynienia np.: • w czasie pracy z dziennikiem elektronicznym w chmurze, • przy odbieraniu na domowym komputerze czy smartfonie poczty służbowej, • podczas pracy na platformach np. ePUAP, ZUS PUE, dziennik elektroniczny itp. • podczas pracy w programach w chmurze, związanych z obowiązkami z zakresu kadr, pracy sekretariatu czy wystawiania faktur, • podczas wymiany korespondencji pomiędzy nauczycielem a rodzicem/opiekunem za pomocą elektronicznych środków komunikacji, • w czasie zdalnego prowadzenia zajęć, • gdy do domu zabierane są dokumenty papierowe, • gdy pracownik łączy się z domu zdalnie z komputerem w miejscu pracy, • gdy pracownik korzysta z łącza VPN. Niezależnie jednak od tego, czy dane osobowe będą przetwarzane, czy też nie, w związku z organizacją pracy poza siedzibą, administrator (przedszkole) powinien wziąć pod uwagę, poza ryzykami, które występują u pracodawcy, także te, które mogą pojawić się przy pracy z domu, i podjąć odpowiednie działania, by maksymalnie je ograniczyć. Takimi zagrożeniami mogą być np.: • pozostawienie włączonego komputera z dostępem do danych innemu domownikowi lub innej nieupoważnionej osobie, • pozostawienie zapisanego hasła w systemie, • pozostawienie w mieszkaniu dokumentów, zarówno w formie elektronicznej, jak i papierowej, niezabezpieczonych przed dostępem domowników lub innych osób postronnych, • przekazanie innej osobie smartfona, na którym odbieramy służbową pocztę e-mail, • pozostawienie laptopa, smartfona, nośnika z danymi czy też jakiejkolwiek dokumentacji papierowej zawierającej dane osobowe w miejscu, które jest łatwo dostępne dla osób postronnych, np. w widocznym miejscu w samochodzie w trakcie robienia zakupów, • możliwość utraty przenoszonego laptopa, smartfona, nośnika z danymi czy dokumentacji papierowej, • narażenie na dostęp do danych (w tym transmisji online z rodzicami/opiekunami) lub kradzież danych podczas korzystania z niezabezpieczonego łącza internetowego, • rozmowy w miejscach publicznych dotyczące wykonywanej pracy, rozmowy o dzieciach. W tych sytuacjach należy liczyć przede wszystkim na świadomość pracownika, jednak jeżeli ten nie został wcześniej przeszkolony i poinformowany o swoich obowiązkach, może powielać zachowania niewłaściwe. Wykonywanie pracy w domu (poza siedzibą pracodawcy) niekiedy daje poczucie rozluźnienia. Pracownika należy więc uświadomić, że pracując zdalnie, ma takie same obowiązki, jak wtedy, gdy świadczy pracę w przedszkolu. Również zagrożenia dla bezpieczeństwa danych nie są wówczas mniejsze. Jeśli uwzględni się przepisy o ochronie danych osobowych, niezależnie od miejsca i sposobu ich przetwarzania, administrator musi stosować adekwatne do sytuacji środki ochrony technicznej i organizacyjnej. Oznacza to, że powinien być w stanie wykazać, że przestrzega podstawowych zasad RODO i dysponować dowodem na to, że przyjęte środki są faktycznie adekwatne i zostały odpowiednio wdrożone. Pracownik natomiast powinien zagwarantować, że pracując w domu, zapewnia danym ochronę przed ich niedozwolonym lub niezgodnym z prawem użyciem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem. Rekomendacje dotyczyć muszą zarówno sytuacji, gdy pracownik pracuje w warunkach domowych na urządzeniu służbowym, jak i prywatnym. Służbowe urządzenie przekazywane pracownikowi do pracy w domu Obowiązki pracodawcy Służbowy komputer przeznaczony do pracy w trybie „pracy domowej” celem zapewnienia adekwatnego poziomu bezpieczeństwa, powinien spełniać co najmniej poniższe kryteria: • posiadać indywidualny login oraz hasło dostępu do systemu (należy rozważyć możliwość dwustopniowego logowania), • użytkownik nie może posiadać uprawnień administratora, • w miarę możliwości zapewnić należy łączenie się z internetem i przedszkolną siecią za pośrednictwem bezpiecznego łącza VPN, • urządzenie powinno mieć włączony wygaszacz ekranu uruchamiający się po kilku minutach bezczynności, • na urządzeniu powinien być zainstalowany aktualny program antywirusowy z firewallem. Wydając komputer czy jakiekolwiek inne urządzenie, dyrektor przedszkola powinien zadbać o to, aby wydanie to udokumentować. Użytkownik podpisuje np. „Kartę wydania sprzętu” z pełną specyfikacją techniczną (hardware), jak i specyfikacją zainstalowanego oprogramowania. Obowiązki pracownika Użytkownik (nauczyciel, pracownik administracji) powinien zadbać o następujące minima bezpiecznego użytkowania sprzętu: • urządzenia i oprogramowanie przekazane przez pracodawcę do pracy zdalnej powinny być wykorzystywane tylko do wykonywania obowiązków służbowych, • pracując na urządzeniu, użytkownik będzie postępował zgodnie z zasadami bezpieczeństwa przyjętymi u pracodawcy, • użytkownik nie instaluje dodatkowych aplikacji i oprogramowania, • urządzenie nie będzie udostępniane innym osobom. Komputer prywatny wykorzystywany przez pracownika do pracy zdalnej Obowiązki pracodawcy Jeżeli pracownik wykonuje pracę zdalną na własnym sprzęcie komputerowym, to przede wszystkim może się to odbywać wyłącznie za jego dobrowolną zgodą. Pracodawca musi tę zgodę pozyskać. Należy pamiętać, że pracownik, udostępniając komputer prywatny do pracy służbowej, łącząc się przez internet z siecią pracodawcy (np. poprzez podanie adresu IP), dopuszcza do sytuacji, w której pracodawca może wejść w jego obszar prywatności zyskać dostęp do danych przechowywanych na jego komputerze (dotyczy to oczywiście przedszkoli korzystających z takiego rozwiązania). Pracownik, zgadzając się na udostępnienie swego komputera do pracy zdalnej, powinien zostać poinformowany o możliwości ingerencji pracodawcy w urządzenie pracownika, o przetwarzaniu przez administratora dodatkowych danych osobowych, jakim jest adres IP oraz o możliwości zbierania informacji z systemu i możliwości wglądu w dane na urządzeniu. Aby dopuścić prywatny sprzęt do użytku służbowego, należy zadbać o jego odpowiednie zabezpieczenie i sprawdzenie. Obowiązki pracownika Pracownik z kolei, zgadzając się na udostępnienie swego urządzenia pracodawcy, musi zapewnić: • legalność oprogramowania – dotyczy to zarówno systemu operacyjnego, jak i konkretnych systemów informatycznych i aplikacji; należy pamiętać, że nie każde oprogramowanie i licencja mogą być wykorzystywane do celów biznesowych czy służbowych, • posiadanie oprogramowania antywirusowego, • aktualność zarówno oprogramowania systemowego, jak i antywirusowego, • instalację na komputerze/laptopie aplikacji z zaufanych źródeł (Google Play, App Store), • oddzielne konto do logowania się na komputerze, przynajmniej w okresie świadczenia pracy zdalnej. Ważne! Niezależnie od sposobu wykonywania pracy zdalnej pracownik musi także zadbać o: • bezpieczeństwo łączenia z internetem – użytkownik korzysta tylko z bezpiecznych, zabezpieczonych hasłem łącz internetowych nieudostępnianych innym użytkownikom, • bezpieczne przechowywanie haseł – użytkownik przechowuje hasła w sposób bezpieczny i nie udostępnia ich osobom postronnym, • loginy i hasła, które nie mogą być zapisywane w ustawieniach systemowych czy w ustawieniach przeglądarek internetowych, • bezpieczną pracę w pomieszczeniu – osoby postronne nie powinny mieć dostępu do dokumentów zarówno papierowych, jak i elektronicznych (na ekranie komputera), nad którymi pracuje, • niekorzystanie z publicznie dostępnych połączeń internetowych, • natychmiastowe informowanie administratora o wszelkich naruszeniach związanych z przetwarzaniem danych. Dalsze obowiązki pracodawcy Administrator, jako pracodawca nauczyciela czy pracownika administracji, musi zadbać o to, aby został on poinformowany o zagrożeniach, jakie mogą się wiązać z pracą zdalną. Można je przedstawić na udokumentowanym spotkaniu, podczas którego pracownik zapozna się z potencjalnym ryzykiem i stosowanymi przez pracodawcę środkami bezpieczeństwa. Taka informacja może także zostać przedstawiona drogą elektroniczną – pocztą e-mail lub poprzez dziennik elektroniczny. Jak postępować z korespondencją mailową? W trakcie wykonywania pracy zdalnej należy używać przede wszystkim służbowych kont e-mail. Zarówno pracodawca, jak i pracownik powinni postępować zgodnie z podstawowymi zasadami, mając na uwadze następujące zagadnienia: • dane powinny być wysyłane tylko jako załączniki szyfrowane, • przed wysłaniem e-maila powinniśmy upewnić się, że dane wysyłane są do właściwego adresata, • należy dokładnie sprawdzić nadawcę każdej wiadomości e-mail, • nie powinno się otwierać wiadomości od nieznanych adresatów, • wysyłając dane do wielu odbiorców, należy zadbać o ukrycie ich adresów, • dane przesyłane kanałami elektronicznej wymiany danych powinny być szyfrowane (np. hasłem przy „pakowaniu” pliku), • haseł do plików nie należy przekazywać tym samym kanałem, co same pliki; jeśli zaszyfrowany plik wysyłany jest pocztą elektroniczną, hasło należy wysłać SMS-em lub przekazać w rozmowie telefonicznej. Dokumenty papierowe – zalecenia Pracodawca powinien w miarę możliwości unikać sytuacji, w których dokumenty papierowe wynoszone są poza placówkę. Odpowiednio zabezpieczone dokumenty można bowiem przekazywać w postaci skanów, zdjęć czy w postaci gotowych baz danych. Po wykorzystaniu przez pracownika danych przekazanych do realizacji zadania w postaci cyfrowej, dokumenty powinny zostać trwale usunięte z komputera. Jeśli wystąpi konieczność przekazania dokumentów papierowych, należy zadbać o ich bezpieczny transport i zabezpieczenie ich w domu przed osobami nieuprawnionymi lub, w miarę możliwości, pracować na kopiach. Pracownicy powinni zostać poinformowani, że nie wolno im składować w domu kserokopii dokumentów służbowych. Jeśli to tylko możliwe, powinni przekazywać je (dbając o bezpieczeństwo swoje, ale także dokumentów) do zniszczenia w miejscu pracy (przedszkolu). Warto także pamiętać, aby nie kopiować lub nie drukować dokumentów służbowych w przypadkowych punktach ksero. Podsumowanie Podsumowując rozważania, należy podkreślić przede wszystkim, że „stan wyższej konieczności” (celowo stosuję tu cudzysłów, ponieważ używam tego sformułowania w sensie potocznym, a nie prawnym), jakim jest zadanie kształcenia w formie zdalnej bądź wykonywania innej pracy zdalnej przez pracowników placówki oświatowej, nie zwalnia nikogo z obowiązku zapewnienia bezpieczeństwa danych osobowych w trakcie świadczenia pracy czy prowadzenia zajęć. Co więcej, wydaje się, że bezpieczeństwo danych jest tym ważniejsze, gdy w internecie pojawia się coraz więcej prób „oszustwa na koronawirusa”, polegającego na oferowaniu usług po niewspółmiernie wysokich cenach, wykorzystywaniu sytuacji przymusowych lub próbach wyłudzeń danych osobowych czy infekowania urządzeń. Ogólne Rozporządzenie o Ochronie Danych podkreśla szczególną wagę ochrony danych osób małoletnich w dobie społeczeństwa informacyjnego. Sytuacja zagrożenia, np. pandemicznego, nie tylko nie stoi z tym w sprzeczności, ale i wyraźnie taką konieczność wzmaga.