ZASADY ZABEZPIECZEŃ DANYCH OSOBOWYCH PODCZAS PRACY ZDALNEJ

Wykonywanie pracy w formie zdalnej nie zwalnia pracownika z obowiązku przestrzegania obowiązujących w Uniwersytecie Jagiellońskim zasad ochrony danych osobowych, w tym w szczególności postanowień zarządzenia nr 38 Rektora Uniwersytetu Jagiellońskiego z 30 maja 2018 roku w sprawie ochrony danych osobowych w Uniwersytecie Jagiellońskim (z późn. zm.), którego integralną część stanowi Polityka Bezpieczeństwa i Instrukcja Zarządzania Systemem Informatycznym oraz dostępnych na stronie IOD wytycznych i rekomendacji,  między innymi takich jak:

1. zachowanie poufności treści przetwarzanych danych osobowych oraz sposobów ich zabezpieczenia, a także zgłaszania faktu naruszenia bądź zagrożenia zabezpieczeń danych osobowych zgodnie z obowiązującą w UJ procedurą na adres: iod@uj.edu.pl;
2. zabezpieczenie dostępu do sprzętu, z wykorzystaniem, którego pracownik wykonuje pracę zdalną, oraz posiadanych danych osobowych przed osobami postronnymi, w tym wspólnie z nim zamieszkującymi, oraz zabezpieczenie ich przed możliwą ingerencją, zniszczeniem i utratą.
3. przestrzeganie zasad zabezpieczających dane osobowe, obowiązujących w Uniwersytecie Jagiellońskim związanych z użytkowaniem systemu informatycznego;
4. prowadzenie służbowej korespondencji mailowej obligatoryjnie za pośrednictwem poczty uniwersyteckiej;
5. odbycie szkolenia w zakresie bezpieczeństwa i ochrony danych osobowych przetwarzanych podczas pracy zdalnej.

​

DOKUMENTACJA PAPIEROWA ZAWIERAJĄCA DANE OSOBOWE

Co do zasady pracownik nie jest uprawniony do wynoszenia poza siedzibę pracodawcy papierowej wersji dokumentów zawierających dane osobowe. Jeśli zajdzie konieczność wykonywania pracy zdalnej z dostępem do dokumentów w wersji papierowej, pracownik zgłasza przełożonemu wniosek o dostęp do elektronicznej wersji dokumentu, a po jego uzyskaniu skanuje dokument i przechowuje go zgodnie z obowiązującymi u pracodawcy zasadami bezpieczeństwa, tj. zapisuje dokument w szyfrowanej chmurze uniwersyteckiej dostępnej po zalogowaniu.

Ponadto w szczególnie uzasadnionych przypadkach, gdy wykonywanie pracy zdalnej z dostępem do papierowej wersji dokumentów jest konieczne, pracownik zgłasza przełożonemu wniosek o udostępnienie dokumentów do miejsca świadczenia pracy zdalnej, a po jego uzyskaniu i zaewidencjonowaniu udostępnionych dokumentów zobowiązany jest do ochrony danych objętych ich treścią w ten sposób, że:

1. ogranicza liczbę wynoszonych dokumentów do niezbędnie potrzebnych;
2. zabezpiecza transportowane dokumenty w taki sposób, aby zawarte w nich dane osobowe nie były dostępne dla osób trzecich;
3. przechowuje zabezpieczone dokumenty przez okres niezbędny do wykonania określonego zadania podczas pracy zdalnej;
4. zabezpiecza dane w miejscu wykonywania pracy zdalnej (np. przechowuje dokumenty w zamykanych na klucz szufladach biurka lub szafach, przestrzega zasady czystego biurka, zabezpiecza dokumenty przed wglądem nieuprawnionych osób trzecich, m.in. członków rodziny), uszkodzeniem lub utratą a ponadto nie tworzy kopii w nieuzasadnionym celu;
5. wykorzystuje pozyskane dane osobowe objęte treścią dokumentów wyłącznie w tym celu, w jakim byłyby wykorzystywane w siedzibie pracodawcy;
6. zwraca udostępnione dokumenty do siedziby pracodawcy – zakazane jest wyrzucanie dokumentów do kosza na śmieci w miejscu świadczenia pracy zdalnej;
7. zgłasza przełożonemu każdy incydent bezpieczeństwa zgodnie z procedurą postępowania w sprawie naruszeń ochrony danych w UJ.

 

ZASADY ZABEZPIECZENIA DANYCH OSBOWYCH W PRACY ZDALNEJ

W celu zminimalizowania ryzyka wystąpienia naruszenia bezpieczeństwa danych osobowych przetwarzanych podczas pracy zdalnej, ustala się następujące zasady:

1. zakaz umieszczania powierzonego identyfikatora i hasła w miejscu widocznym dla osób nieupoważnionych np. dla domowników poprzez zawieszanie tych informacji na monitorze lub udostępnianiu ich w inny sposób;
2. zakaz pracowania w systemie na koncie innego użytkownika;
3. zakaz udostępniania przydzielonego osobistego identyfikatora i hasła innym użytkownikom oraz osobom nieupoważnionym, w tym zamieszkującym z pracownikiem; 
4. w przypadku wystąpienia nieprawidłowości w mechanizmie uwierzytelniania („logowania się” w systemie), niezwłoczne informowanie bezpośredniego przełożonego oraz Specjalisty ds. ochrony danych (wykaz Specjalistów ds. ochrony danych oraz ich Zastępców, jeśli zostali wyznaczeni dostępny jest po zalogowaniu na stronie https://iod.uj.edu.pl/  w module: najczęściej odwiedzane);
5. ochrona wprowadzanych danych osobowych przed wzrokiem nieupoważnionych osób, w tym zamieszkujących z pracownikiem  przez zabezpieczenie monitora poprzez odpowiednie ustawienie lub założenie filtru prywatyzującego na ekran monitora (zapotrzebowanie na zakup filtra prywatyzującego  należy zgłosić bezpośredniemu przełożonemu);
6. w przypadku opuszczenia stanowiska pracy zdalnej należy aktywizować wygaszasz ekranu z opcją ponownego „logowania się” do systemu lub wylogować się z systemu przed opuszczeniem stanowiska pracy zdalnej;
7. po zakończeniu pracy zdalnej w systemie należy się wylogować z systemu i zabezpieczyć swoje stanowisko pracy zdalnej przed dostępem osób nieupoważnionych, w tym zamieszkujących z pracownikiem;
8. w przypadku awarii, zagubienia hasła lub innych nieprzewidzianych sytuacji zagrażających bezpieczeństwu danych osobowych, należy niezwłocznie powiadomić o tym fakcie bezpośredniego przełożonego i  Specjalistę ds. ochrony danych;
9. nakaz wykorzystywania do pracy zdalnej tylko i wyłącznie zaszyfrowanych urządzeń służbowych lub prywatnych. Szyfrowanie urządzeń zapewnia pracodawca poprzez zgłoszenie się w tym celu do jednostki IT obsługującej daną jednostkę i postepowanie zgodnie z instrukcją udzieloną przez informatyka. Urządzenie może zaszyfrować również pracownik korzystający ze sprzętu przenośnego do pracy zdalnej zgodnie z instrukcją udostępnioną na stronie pod linkiem: https://przewodniki.uj.edu.pl/szyfrowanie/
10. urządzenia służące do pracy zdalnej muszą być również zabezpieczone identyfikatorem
    i hasłem;
11. korzystanie z poczty uniwersyteckiej – prowadząc mailową korespondencję służbową należy obligatoryjnie korzystać z poczty uniwersyteckiej, szczególnie przesyłając dane osobowe. Zaleca się szyfrowanie załączników zawierających dane osobowe wysłanych w ramach UJ (7 Zip, hasło w Excelu), aby w przypadku wybrania błędnego adresata uniknąć naruszenia ochrony danych osobowych, jakim jest utarta ich poufności. Hasło do rozszyfrowania pliku należy zawsze przekazywać inna drogę komunikacji np. telefonicznie, poprzez sms;
12. w przypadku  wysyłki plików służbową pocztą elektroniczną  zawierających dane osobowe, w szczególności numer pesel oraz dane szczególnych kategorii (tzw. dane wrażliwe) na skrzynki zewnętrzne (poza domeną uniwersytecką) koniecznym jest ich zaszyfrowanie (7 Zip, hasło w Excelu). Hasło do odszyfrowania wiadomości należy przekazać obiorcy danych inną drogą komunikacji. Dokonując takiej wysyłki należy mieć pewność, że UJ jest uprawniony do udostępniania danych osobowych np. na podstawie przepisów prawa, lub zgody osoby, której dane dotyczą. W przypadku takiej wysyłki należy działać z wysoką starannością i wysłać pliki na poprawny adres e-mail;
13. zakaz korzystania w celach służbowych z zewnętrznych skrzynek pocztowych (gmail, onet, wp i innych).