Kaip suderinti saugų darbą ir asmens duomenų apsaugą?

Vis labiau švelninant karantino apribojimus, dalis darbuotojų jau grįžo į įprastines savo darbo vietas. Kita vertus, jau dabar akivaizdu, kad net ir pasibaigus karantinui, dalis darbuotojų norės ir toliau dirbti nuotoliniu būdu, darbo per nuotolį mastas tikrai išaugs. Ir vienu, ir kitu atveju svarbu pasirūpinti ne tik saugiomis darbo sąlygomis, bet ir užtikrinti tinkamą papildomų darbuotojų asmens duomenų tvarkymą.

Pateikiame patarimus, kaip ne tik užtikrinti tinkamas darbo sąlygas, bet ir nepažeisti asmens duomenų apsaugos reikalavimų.

1. Nors dėl kilusios pandemijos galima tvarkyti šiek tiek daugiau darbuotojų asmens duomenų, kiti reikalavimai išliko nepakitę – kiekvienu nauju duomenų tvarkymo atveju nustatykite aiškų duomenų tvarkymo tikslą, teisinį pagrindą, saugojimo terminą, identifikuokite duomenų gavėjus, papildykite duomenų tvarkymo veiklos įrašus, o darbuotojus visais atvejais informuokite apie jų asmens duomenų tvarkymo sąlygas pasirašytinai arba išsiųsdami pranešimą įprastomis elektroninės komunikacijos priemonėmis.
2. Esant poreikiui tvarkyti darbuotojų sveikatos duomenis, atidžiai rinkitės teisinį duomenų tvarkymo pagrindą. Teisiniu darbuotojų sveikatos duomenų tvarkymo pagrindu turėtų būti pasirenkamas BDAR 9 str. 1 d. (b) punktas, o ne darbuotojo sutikimas (BDAR 9 str. 1 d. (a) punktas).
3. Jei teisės aktai nustato pareigą prieš darbuotojams patenkant į darbovietę tikrinti jų temperatūrą, jokiu būdu nedokumentuokite tikslių darbuotojų kūno temperatūros rodiklių. Siekiant įrodyti, kad įvykdėte pareigą matuoti darbuotojų temperatūrą, visiškai pakanka temperatūros matavimo žurnale pažymėti, kad darbuotojo temperatūra buvo tikrinta ir ji buvo žemesnė nei 37,3 °C. Jei teisės aktuose pareiga matuoti darbuotojų temperatūrą nėra įtvirtinta, įvertinkite, ar temperatūros matavimas tikrai yra būtinas užtikrinant saugias darbo sąlygas. Tokiu atveju geriausia ne paskirti už temperatūros matavimą atsakingą asmenį, bet aprūpinti darbuotojus termometrais, kad esant poreikiui kūno temperatūrą jie galėtų pasimatuoti savarankiškai.
4. Galima ir reikėtų pasiteirauti darbuotojo, ar jis priklauso rizikos grupei, o tuo atveju, jei darbuotojas pranešė apie laikinąjį nedarbingumą – ar nedarbingumo priežastis yra diagnozuota koronavirusinė infekcija. Jokių papildomų darbuotojų sveikatos duomenų rinkti nereikėtų, t. y. darbdavys negali reikalauti nurodyti konkrečios priežasties, dėl kurios darbuotojas priskiriamas rizikos grupei, ar, tuo labiau, prašyti pateikti konkrečią diagnozę patvirtinančias medicinines pažymas.
5. Organizuodami darbą nuotoliniu būdu, būtinai pasirūpinkite papildomomis asmens duomenų saugumo priemonėmis. Papildykite organizacijoje galiojančią informacinių ir komunikacinių technologijų naudojimo tvarką arba papildomas saugumo priemones įtraukite į nuotolinio darbo tvarką. Aptarkite prieigos prie darbdavio informacinių išteklių (el. pašto, klientų valdymo sistemos, serverių ir pan.) suteikimo tvarką, reikalavimus naudojamos kompiuterinės ir programinės įrangos saugumui (operacinei sistemai, antivirusinei programai ir pan.), reikalavimus įrenginių ir naudojamo belaidžio tinklo prieigos slaptažodžiams, su darbu susijusios informacijos saugojimui (reikalavimas naudoti informacijos šifravimo priemones, pavyzdžiui, Microsoft Bitlocker, dokumentus saugoti tik darbdavio serveryje arba atskirame ir slaptažodžiu apsaugotame asmeninio kompiuterio kataloge) ir kitas taisykles.
6. Informuokite darbuotojus apie dėl darbo organizavimo nuotoliniu būdu tvarkomus papildomus jų asmens duomenis. Dėl darbo organizavimo nuotoliniu būdu neišvengiamai bus tvarkomi tokie asmens duomenys kaip nuotolinio darbo faktas ir režimas, informacija apie suteiktas darbo priemones, suplanuotas ir atliktas užduotis, jų rezultatus, jei dirbant nuotoliniu būdu naudojami nauji IT resursai – dėl jų naudojimo surinkti asmens duomenys.
7. Jei nuotoliniu būdu dirbančių darbuotojų atžvilgiu ketinate taikyti papildomas stebėsenos ir kontrolės priemones, pirmiausia išsamiai įvertinkite, ar pasirinktos priemonės tikrai yra būtinos ir proporcingos. Prieš pradedant darbuotojų stebėseną taip pat privaloma atlikti poveikio duomenų apsaugai vertinimą, nustatyti visas stebėsenos keliamas rizikas ir numatyti jų valdymo (sumažinimo, pašalinimo ir pan.) priemones.