RODO a praca zdalna — bezpieczeństwo danych poza biurem

Praca zdalna i hybrydowa na stałe weszły do polskich firm — a wraz z nimi nowe wyzwania dla ochrony danych osobowych. Gdy dane wychodzą poza biuro, na domowe laptopy, prywatne sieci Wi-Fi i wydruki przechowywane na kuchennym stole, rośnie ryzyko ich utraty, ujawnienia lub nieuprawnionego dostępu. Pracodawca pozostaje administratorem danych i odpowiada za ich bezpieczeństwo niezależnie od tego, gdzie wykonywana jest praca.

Polski ustawodawca dostrzegł to wprost. Od 7 kwietnia 2023 r. Kodeks pracy zawiera przepisy o pracy zdalnej, a wśród nich art. 67²⁶ — nakładający na pracodawcę obowiązek określenia procedur ochrony danych osobowych na potrzeby pracy zdalnej. To rzadki przypadek, gdy prawo pracy odsyła wprost do problematyki RODO. W praktyce praca zdalna jest też odrębnym procesem przetwarzania danych, który warto przeanalizować w podejściu privacy by design, jeszcze zanim pracownicy zaczną pracować spoza biura.

W tym artykule omawiam obowiązki pracodawcy wynikające z Kodeksu pracy i RODO, pokazuję, co powinien zawierać regulamin pracy zdalnej i procedura ochrony danych, jakie środki techniczne i organizacyjne wdrożyć, jak podejść do sprzętu prywatnego (BYOD), kontroli pracownika, narzędzi do pracy zdalnej i reagowania na naruszenia. To praktyczne rozwinięcie zagadnień opisanych w naszym przewodniku o RODO w relacjach pracowniczych.

Praca zdalna w Kodeksie pracy

Nowelizacja Kodeksu pracy (ustawa z 1 grudnia 2022 r.) zastąpiła wcześniejszą telepracę i uregulowała pracę zdalną w odrębnym rozdziale (art. 67¹⁸–67³⁴) od 7 kwietnia 2023 r. Wyróżnia się jej trzy formy:

Praca zdalna całkowita — pracownik wykonuje pracę w 100% poza siedzibą pracodawcy, w uzgodnionym miejscu lub miejscach.

Praca zdalna częściowa (hybrydowa) — pracownik łączy pracę w siedzibie z pracą poza nią.

Praca zdalna okazjonalna — na wniosek pracownika, maksymalnie 24 dni w roku, w trybie uproszczonym (art. 67³³), bez konieczności tworzenia regulaminu i porozumienia.

Co istotne dla ochrony danych, obowiązek przygotowania procedury ochrony danych obejmuje także pracę zdalną okazjonalną — przepisy nie wyłączają tu stosowania art. 67²⁶ Kodeksu pracy. Innymi słowy, nawet jeśli pracownik pracuje zdalnie tylko kilka dni w roku, procedura musi istnieć.

Regulamin i porozumienie o pracy zdalnej a ochrona danych

Zasady wykonywania pracy zdalnej (poza pracą okazjonalną) określa się w porozumieniu zawieranym z zakładową organizacją związkową albo — gdy takiej nie ma — w regulaminie pracy zdalnej. W przypadku polecenia pracy zdalnej lub indywidualnego uzgodnienia z pracownikiem część tych zasad przenosi się odpowiednio do polecenia lub porozumienia indywidualnego.

Z perspektywy ochrony danych kluczowe są dwa elementy, które zgodnie z art. 67²⁰ Kodeksu pracy powinny znaleźć się w tych dokumentach:

Zasady kontroli przestrzegania wymogów w zakresie bezpieczeństwa i ochrony informacji, w tym procedur ochrony danych osobowych. To na podstawie tych zasad pracodawca może później kontrolować, czy pracownik przestrzega reguł bezpieczeństwa danych.

Zasady instalacji, inwentaryzacji, konserwacji, aktualizacji oprogramowania i serwisu powierzonych narzędzi pracy, w tym urządzeń technicznych. To fundament bezpieczeństwa sprzętu — bez aktualnego, serwisowanego oprogramowania trudno mówić o ochronie danych.

Regulamin pracy zdalnej i procedura ochrony danych to dwa różne, choć powiązane dokumenty: pierwszy reguluje organizację pracy i ramy kontroli, drugi — szczegółowe reguły postępowania z danymi. Warto, by były ze sobą spójne.

Obowiązek procedury ochrony danych (art. 67²⁶ KP)

Art. 67²⁶ Kodeksu pracy nakłada na pracodawcę dwa obowiązki. Po pierwsze, na potrzeby pracy zdalnej pracodawca określa procedury ochrony danych osobowych oraz przeprowadza — w miarę potrzeby — instruktaż i szkolenie w tym zakresie. Po drugie, pracownik potwierdza w postaci papierowej lub elektronicznej zapoznanie się z tymi procedurami i jest zobowiązany do ich przestrzegania.

Ustawa nie wskazuje, co konkretnie ma znaleźć się w procedurze — pozostawia to administratorowi. Oznacza to, że punktem wyjścia powinna być analiza ryzyka właściwa dla danej organizacji, a procedura ma być do tego ryzyka dostosowana. Inne reguły będą odpowiednie dla kancelarii przetwarzającej dane szczególnych kategorii, inne dla firmy handlowej. Oświadczenie pracownika o zapoznaniu się z procedurą warto włączyć do dokumentacji pracowniczej — to element rozliczalności.

Pracodawca jako administrator — art. 32 RODO i analiza ryzyka

Niezależnie od regulacji prawa pracy, przy pracy zdalnej w pełni obowiązuje RODO, a w szczególności art. 32 — nakazujący wdrożenie odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych przetwarzanych w każdej postaci, zwłaszcza elektronicznej i papierowej. Wyzwanie polega na tym, że środki te muszą objąć środowisko, nad którym pracodawca ma ograniczoną kontrolę: dom pracownika, jego sieć, a niekiedy jego prywatny sprzęt. Standardy bezpieczeństwa informacji omawiamy też w artykule o ISO 27001 i ISO 27701.

Punktem wyjścia jest analiza ryzyka. Prezes UODO w jednej z decyzji podkreślił, że stosowanie środków technicznych bez uprzedniej analizy ryzyka dla konkretnego procesu przetwarzania nie daje gwarancji, że będą one skuteczne i adekwatne — a organizacja, która skupia się wyłącznie na zagrożeniach infrastruktury IT, pomija ryzyka związane z danym przedsięwzięciem. Przy pracy zdalnej analiza powinna obejmować zarówno zagrożenia techniczne (sieć, urządzenia, oprogramowanie), jak i organizacyjne oraz fizyczne (miejsce pracy, dokumenty papierowe, dostęp domowników).

Środki techniczne i organizacyjne przy pracy zdalnej

Realizacja art. 32 RODO przy pracy zdalnej opiera się na warstwowym zestawie środków. W praktyce warto zadbać o:

Bezpieczne uwierzytelnianie. Silne, unikalne hasła i — tam, gdzie to możliwe — uwierzytelnianie wieloskładnikowe (MFA), zwłaszcza do poczty, VPN i systemów z danymi osobowymi.

Szyfrowane połączenie. Korzystanie z VPN do łączenia się z zasobami firmy oraz zabezpieczenie domowej sieci Wi-Fi (zmiana domyślnych haseł, szyfrowanie WPA2/WPA3).

Szyfrowanie danych. Szyfrowanie całych dysków urządzeń (np. narzędziem typu BitLocker) oraz wrażliwych załączników, z bezpiecznym przechowywaniem klucza odzyskiwania.

Zarządzanie urządzeniami. Centralne zarządzanie sprzętem służbowym (MDM/EMM), zdalne blokowanie i czyszczenie w razie utraty, kontrola zainstalowanego oprogramowania.

Aktualność i ochrona przed złośliwym oprogramowaniem. Regularne aktualizacje systemu i aplikacji, oprogramowanie antywirusowe/EDR, firewall.

Kontrola dostępu i minimalizacja. Nadawanie uprawnień zgodnie z zasadą wiedzy koniecznej, ograniczenie zakresu danych dostępnych zdalnie, korzystanie z dysków sieciowych i serwerów wskazanych przez pracodawcę zamiast lokalnego zapisywania danych.

Kopie zapasowe. Regularne, testowane kopie zapasowe, najlepiej po stronie pracodawcy, a nie na prywatnych nośnikach pracownika.

Bezpieczeństwo fizyczne. Blokada ekranu i wygaszacze z hasłem, zasada czystego biurka, zamykane szuflady na dokumenty, bezpieczne niszczenie wydruków.

Dobór środków powinien być proporcjonalny do ryzyka — im bardziej wrażliwe dane, tym mocniejsze zabezpieczenia.

Najczęstsze zagrożenia przy pracy zdalnej

Zrozumienie typowych zagrożeń pomaga zbudować sensowną procedurę. Do najczęstszych należą:

Niezabezpieczona sieć. Korzystanie z otwartych, publicznych sieci Wi-Fi (kawiarnie, lotniska) bez VPN naraża dane na przechwycenie.

Podsłuch i podejrzenie ekranu w miejscach publicznych. Praca z danymi w pociągu czy kawiarni umożliwia osobom postronnym zapoznanie się z treścią lub usłyszenie służbowych rozmów.

Utrata sprzętu. Zgubiony lub skradziony, niezaszyfrowany laptop albo nośnik to klasyczne źródło naruszenia.

Złośliwe oprogramowanie i phishing. Słabiej zabezpieczone urządzenia domowe są łatwiejszym celem ataków ransomware i kampanii phishingowych.

Dostęp domowników. Współdzielenie urządzenia z rodziną lub pozostawienie odblokowanego komputera daje dostęp osobom nieuprawnionym.

Prywatna poczta i nieautoryzowane aplikacje. Przesyłanie danych na prywatną skrzynkę lub korzystanie z niezatwierdzonych narzędzi wyprowadza dane poza kontrolę pracodawcy.

Dokumentacja papierowa. Wydruki pozostawione bez nadzoru, wyrzucane do zwykłego kosza lub przewożone bez zabezpieczenia.

Co powinna zawierać procedura ochrony danych

Choć przepisy nie narzucają treści procedury, w praktyce — w oparciu o wskazówki UODO i komentarze — powinna ona odnosić się do kilku obszarów. Powinna regulować bezpieczeństwo miejsca pracy zdalnej (w tym ograniczenia pracy w miejscach publicznych), zabezpieczenie sieci i poczty (VPN, służbowe serwery i dyski), zasady korzystania z urządzeń służbowych i prywatnych, szyfrowanie nośników i załączników, blokadę ekranu i zasadę czystego biurka, postępowanie z dokumentacją papierową (transport, skanowanie, przechowywanie, niszczenie), sposoby bezpiecznego przekazywania informacji (hasłowanie dokumentów, weryfikacja tożsamości), zakazy (prywatna poczta na sprzęcie służbowym, nieautoryzowane oprogramowanie, zapisywanie danych poza wskazanymi zasobami) oraz jasną ścieżkę postępowania w razie naruszenia ochrony danych, z uwzględnieniem obowiązku zgłoszenia do UODO w ciągu 72 godzin (art. 33 RODO).

Szkielet procedury ochrony danych przy pracy zdalnej

Poniższy szkielet możesz wykorzystać jako punkt wyjścia do opracowania własnej procedury — dostosowując go do wyników analizy ryzyka w Twojej organizacji.

PROCEDURA OCHRONY DANYCH OSOBOWYCH PRZY PRACY ZDALNEJ

1. Cel i zakres procedury (kogo i jakich form pracy zdalnej dotyczy).
2. Definicje i role (administrator, pracownik zdalny, osoby upoważnione).
3. Dopuszczalne miejsca wykonywania pracy zdalnej i ograniczenia dot. miejsc publicznych.
4. Wymagania wobec urządzeń (sprzęt służbowy, dopuszczalność BYOD, minimalne zabezpieczenia).
5. Zabezpieczenie sieci i połączeń (VPN, Wi-Fi, poczta, serwery i dyski).
6. Zasady uwierzytelniania i kontroli dostępu (hasła, MFA, blokada ekranu).
7. Szyfrowanie danych i nośników oraz przechowywanie kluczy.
8. Postępowanie z dokumentacją papierową (transport, przechowywanie, niszczenie).
9. Zasady przekazywania i udostępniania informacji (hasłowanie, weryfikacja odbiorcy).
10. Zakazy i ograniczenia (prywatna poczta, nieautoryzowane oprogramowanie).
11. Postępowanie w razie naruszenia ochrony danych (ścieżka zgłoszenia, terminy).
12. Zasady kontroli przestrzegania procedury i odpowiedzialność pracownika.
13. Oświadczenie pracownika o zapoznaniu się z procedurą.

Sprzęt prywatny pracownika (BYOD)

Przepisy o pracy zdalnej dopuszczają korzystanie z własnych narzędzi pracownika, takich jak laptop czy monitor — po uzgodnieniu z pracodawcą, przy czym wówczas pracownikowi przysługuje ekwiwalent. Z perspektywy RODO sprzęt prywatny należy jednak traktować z ograniczonym zaufaniem: pracodawca ma nad nim mniejszą kontrolę, urządzenie bywa współdzielone z domownikami, a dane służbowe mieszają się z prywatnymi.

Jeśli organizacja dopuszcza model BYOD, procedura powinna określać minimalne wymogi bezpieczeństwa: aktualne oprogramowanie i system, szyfrowanie dysku, blokadę ekranu, oprogramowanie antywirusowe, oddzielenie danych służbowych od prywatnych (np. przez konteneryzację lub pracę wyłącznie w środowisku zdalnym pracodawcy), a także zasady reagowania na utratę urządzenia. Tam, gdzie przetwarzane są dane wrażliwe lub ryzyko jest wysokie, bezpieczniejszym rozwiązaniem jest sprzęt służbowy zarządzany centralnie przez pracodawcę — to zwykle przeważa nad oszczędnością wynikającą z BYOD.

Kontrola pracy zdalnej a monitoring — ważne rozróżnienie

To jeden z najczęściej mylonych obszarów. Należy odróżnić dwie rzeczy.

Kontrola przestrzegania zasad bezpieczeństwa (art. 67²⁸ KP). Pracodawca ma prawo kontrolować wykonywanie pracy zdalnej, w tym przestrzeganie wymogów bezpieczeństwa i ochrony informacji oraz procedur ochrony danych. Kontrolę przeprowadza się na zasadach uzgodnionych z pracownikiem, w miejscu wykonywania pracy zdalnej i w godzinach pracy. Nie może ona naruszać prywatności pracownika i domowników ani utrudniać korzystania z pomieszczeń domowych zgodnie z ich przeznaczeniem — co w praktyce wyklucza niezapowiedziane „naloty”. W razie stwierdzenia uchybień pracodawca może zobowiązać pracownika do ich usunięcia w wyznaczonym terminie albo cofnąć zgodę na pracę zdalną.

Monitoring pracownika. Monitorowanie stacji roboczej, odwiedzanych stron czy aktywności w aplikacjach to odrębne zagadnienie. Procedura ochrony danych nie jest właściwym aktem do wprowadzenia monitoringu — musi on mieć podstawę w regulaminie pracy (układzie zbiorowym, obwieszczeniu), zgodnie z zasadami innych form monitoringu pracowników (art. 22³ KP), a pracowników należy poinformować o nim z 14-dniowym wyprzedzeniem. Monitoring musi być proporcjonalny do celu i nie może prowadzić do nadmiernej inwigilacji ani obejmować życia prywatnego pracownika.

Narzędzia do pracy zdalnej a podmioty przetwarzające

Praca zdalna opiera się na komunikatorach, chmurze i wideokonferencjach. Dostawcy tych narzędzi przetwarzają dane w imieniu pracodawcy, są więc podmiotami przetwarzającymi — konieczna jest umowa powierzenia zgodna z art. 28 RODO, obejmująca m.in. kwestie podpowierzenia i lokalizacji danych. Wiele popularnych usług przekazuje dane poza EOG (np. do USA), co wymaga zweryfikowania mechanizmu transferu (np. DPF lub standardowe klauzule umowne). Warto też skonfigurować narzędzia z myślą o prywatności: ograniczyć zakres zbieranych danych, wyłączyć zbędne nagrywanie spotkań i przemyśleć ustawienia domyślne.

Przewodnik po umowach powierzenia znajdziesz tutaj.

Więcej o transferze danych poza EOG przeczytasz w naszym przewodniku.

Naruszenia ochrony danych przy pracy zdalnej

Praca poza biurem podnosi ryzyko naruszeń. Naruszeniem nie jest wyłącznie wyciek danych — to także ich przypadkowe zniszczenie, utrata czy modyfikacja (art. 4 pkt 12 RODO). Typowe scenariusze to zgubiony lub skradziony laptop, atak ransomware na słabo zabezpieczone urządzenie, wysłanie pliku na prywatną pocztę, pozostawienie wydruków bez nadzoru czy przypadkowe udostępnienie danych domownikowi.

Procedura powinna jasno wskazywać, jak pracownik ma niezwłocznie zgłosić incydent, a organizacja — jak ocenić, czy doszło do naruszenia podlegającego zgłoszeniu do UODO w ciągu 72 godzin oraz ewentualnemu zawiadomieniu osób, których dane dotyczą (gdy naruszenie wiąże się z wysokim ryzykiem dla ich praw i wolności). Kluczowe jest, by pracownicy nie obawiali się zgłaszać incydentów — kultura szybkiego zgłaszania skraca czas reakcji. Regularne szkolenia i przypomnienia znacząco obniżają ryzyko, ponieważ większość naruszeń przy pracy zdalnej wynika z błędu ludzkiego. Jak postępować przy naruszeniu ochrony danych opisujemy krok po kroku w odrębnym artykule.

Najczęstsze błędy

Brak procedury ochrony danych dla pracy zdalnej, mimo obowiązku z art. 67²⁶ KP — także przy pracy okazjonalnej.

Procedura „z półki” niedostosowana do realnego ryzyka organizacji, bez analizy ryzyka.

Brak oświadczenia pracownika o zapoznaniu się z procedurą.

Pominięcie zasad bezpieczeństwa informacji w regulaminie pracy zdalnej (art. 67²⁰ KP).

Mylenie kontroli z monitoringiem i wprowadzanie monitoringu bez podstawy w regulaminie pracy.

Dopuszczenie BYOD bez zasad i bez minimalnych wymogów bezpieczeństwa.

Brak umów powierzenia z dostawcami narzędzi do pracy zdalnej i pominięcie transferu poza EOG.

Brak szkoleń i jasnej ścieżki zgłaszania naruszeń.

Większość z tych błędów nie wynika ze złej woli, tylko z niewiedzy — dlatego procedury pracy zdalnej domykamy szkoleniem RODO dla pracowników i kadry, na scenariuszach z codziennej pracy poza biurem.

Checklist — RODO przy pracy zdalnej

1. Przeprowadź analizę ryzyka dla procesu pracy zdalnej.
2. Uregeluj zasady bezpieczeństwa informacji w regulaminie/porozumieniu (art. 67²⁰ KP).
3. Opracuj procedurę ochrony danych dla pracy zdalnej (art. 67²⁶ KP).
4. Odbierz od pracowników oświadczenia o zapoznaniu się z procedurą.
5. Przeprowadź instruktaż lub szkolenie (w miarę potrzeby).
6. Zapewnij środki techniczne: VPN, MFA, szyfrowanie, blokadę ekranu, antywirus, kopie zapasowe.
7. Określ zasady korzystania ze sprzętu służbowego i prywatnego (BYOD).
8. Ureguluj postępowanie z dokumentacją papierową poza biurem.
9. Ustal zasady kontroli zgodne z art. 67²⁸ KP — w porozumieniu z pracownikiem.
10. Jeśli stosujesz monitoring — oprzyj go na regulaminie pracy (art. 22³ KP) i poinformuj z 14-dniowym wyprzedzeniem.
11. Zawrzyj umowy powierzenia z dostawcami narzędzi i sprawdź transfery poza EOG.
12. Wdróż ścieżkę zgłaszania naruszeń i procedurę reakcji w 72 godziny.
13. Ujmij proces pracy zdalnej w rejestrze czynności przetwarzania.
14. Regularnie szkol pracowników z bezpieczeństwa danych poza biurem.

Potrzebujesz pomocy z RODO przy pracy zdalnej?

Praca zdalna to obszar, w którym wymogi Kodeksu pracy i RODO przeplatają się na każdym kroku — od regulaminu i procedury ochrony danych, przez kontrolę i monitoring, po umowy z dostawcami narzędzi i reagowanie na naruszenia. W Kancelarii Radcowskiej dr Joanny Maniszewskiej-Ejsmont pomagamy przygotować procedurę ochrony danych dla pracy zdalnej, dostosować dokumentację pracowniczą i wdrożyć środki bezpieczeństwa zgodne z art. 32 RODO.