Правовые риски использования личных устройств в работе
В современной рабочей среде сотрудники нередко ведут деятельность на собственных ноутбуках, телефонах и планшетах, что удобно для компании, но при отсутствии чётких правил превращается в серьёзный правовой риск: на личные устройства переносится как корпоративная коммуникация и деловая информация, так и данные о сотрудниках и их контактах. Такая обработка попадает в сферу законодательства Грузии о защите персональных данных, поэтому организация должна заранее знать, какие принципы и какие правовые основания применимы к этому процессу. Именно поэтому пишется правило использования личной техники — документ, который придаёт регулированию практическую форму и заранее устраняет конфликтные ситуации, пока инцидент или вопрос органа не сделали пробелы видимыми.
Принципы обработки данных как основание правила
Установленные законом принципы образуют скелет любого правила: данные должны обрабатываться законно, справедливо, прозрачно для субъекта и без нарушения его достоинства; собираться только для конкретных, чётко определённых и легитимных целей; обрабатываться лишь в необходимом объёме и соразмерно цели; быть достоверными и точными, а неточные данные — своевременно исправляться или стираться; храниться только необходимый срок, после чего подлежать удалению, уничтожению или хранению в деперсонифицированной форме. Отдельный акцент — безопасность: в целях защиты данных должны приниматься такие технические и организационные меры, которые надлежащим образом обеспечивают защиту данных, в том числе от несанкционированной или незаконной обработки, случайной утраты, уничтожения или повреждения. Для личных устройств это требование особенно строго, поскольку устройство выходит из-под прямого контроля компании и перемещается по всем сферам жизни сотрудника.
Основания обработки в трудовом контексте
Обработка допустима лишь при наличии предусмотренного законом основания, и этот перечень должен анализироваться при разработке правила: согласие субъекта данных; исполнение обязательства по договору со субъектом либо подготовка к заключению договора; предусмотренность обработки законом; исполнение возложенных на управляющего законодательством обязанностей; общедоступность данных; защита жизненно важных интересов; значимый публичный интерес; задачи сферы публичного интереса; легитимные интересы управляющего или третьего лица; обработка, необходимая для рассмотрения заявления субъекта. В контексте личных устройств чаще всего возникает граница между согласием и легитимным интересом: что работодатель вправе делать в рамках собственного интереса и что требует отдельного согласия сотрудника. Выбор и обоснование основания возлагаются на управляющего, поэтому именно этот шаг — главный фильтр против незаконной обработки.
Видеомониторинг и контроль рабочего процесса
Если компания контролирует рабочий процесс путём видеомониторинга, закон устанавливает строгие правила: видеомониторинг рабочего процесса или пространства сотрудника допустим лишь в порядке исключения, когда достижение допустимых целей иными средствами невозможно либо требует непропорционально больших усилий. Недопустим видеомониторинг в раздевалках, в местах, предназначенных для гигиены, и в любом пространстве, где лицо имеет разумное ожидание неприкосновенности частной жизни. Закон требует заметного размещения предупреждающего знака с соответствующей надписью, легко воспринимаемым изображением о ведущемся мониторинге, наименованием управляющего и его контактными данными; при мониторинге рабочего места сотрудника дополнительно предупреждают письменно о конкретной цели. Управляющий обязан письменно определить цель и объём мониторинга, его длительность, срок хранения записи, правила доступа, хранения и уничтожения. Каждый случай доступа к записям фиксируется, включая время доступа и имя пользователя, осуществляющего доступ.
Право сотрудника на информацию и его обеспечение
Правило должно служить и реализации прав сотрудника: субъект данных вправе потребовать от управляющего подтверждения, обрабатываются ли данные о нём, и соответственно запросу бесплатно получить информацию о данных, основании и цели обработки, источнике сбора, сроке хранения, своих правах и о передачах данных третьим лицам. Такая информация предоставляется не позднее чем в течение десяти рабочих дней с момента запроса; в особых случаях, при надлежащем обосновании, срок может быть продлён не более чем на десять рабочих дней, о чём субъекта извещают незамедлительно. Организации следует описать эту процедуру в правиле заранее, поскольку нарушение сроков само по себе становится основанием ответственности и подрывает доверие, которое должен обеспечивать принцип прозрачности.
Часто задаваемые вопросы о правиле личной техники
Обязательно ли письменное правило?
Закон требует, чтобы цель, объём, длительность видеомониторинга, срок хранения записей и правила доступа были определены письменно. Для личных устройств письменное правило — практическое осуществление требования прозрачности.
Можно ли полностью просматривать устройство сотрудника?
Объём данных не должен выходить за рамки необходимости: обработка допустима лишь в том объёме, который нужен для достижения легитимной цели. Границы того, что относится к работодателю, зависят от конкретной цели и должны быть определены заранее.
Как быть с видеомониторингом рабочего места?
Он допустим лишь в порядке исключения, когда достижение цели иными средствами невозможно или требует непропорциональных усилий, причём сотрудника письменно предупреждают о конкретной цели мониторинга.
В какой срок сотруднику должна предоставляться информация?
Не позднее чем через десять рабочих дней после запроса; в особых случаях срок может быть продлён, с обоснованием, ещё на десять рабочих дней, о чём субъекта данных извещают незамедлительно.
Как мы помогаем на Legal.ge
Юристы Legal.ge подготовят правило использования личной техники в полном соответствии с законом: обобщим потоки данных, подберём основания обработки, опишем правила видеомониторинга и учёта доступа, составим необходимые соглашения с сотрудниками. Обращайтесь — мы оценим ваши процессы и спланируем внедрение документа.