Pisaliśmy już o tym jak wdrożyć RODO w swojej firmie. W całej procedurze pamiętać należy o racjonalności podejmowanych kroków. Często nie zdajemy sobie sprawy z tego czym są dane osobowe i że w ogóle je przetwarzamy. Przez to powodujemy szereg niebezpiecznych sytuacji, których moglibyśmy uniknąć zwiększając swoją świadomość.
Na podstawie obserwacji poczynionych przez nas w trakcie wizytacji przedsiębiorstw przygotowaliśmy listę 15 prostych zasad postępowania z danymi osobowymi. Mają one charakter zaleceń, nakazów bądź zakazów dotyczących określonych zachowań, których stosowanie przez pracowników, w naszym odczuciu, znacząco wpływa na zwiększenie poziomu bezpieczeństwa przetwarzania danych osobowych w firmie. Nawet jeżeli przedstawione poniżej zasady uznają Państwo za oczywiste, zalecamy przyjrzeć się pracy poszczególnych pracowników oraz działów w przedsiębiorstwie. W naszej ocenie fundamentem systemu zarządzania bezpieczeństwem informacji w firmie powinna być odpowiednia świadomość pracowników w zakresie ochrony danych osobowych, a poniższa lista stanowi pierwszy etap jej weryfikacji.
15 prostych zasad postępowania z danymi osobowymi w firmie
- Zasada czystego biurka, która nakazuje, by nie zostawiać na wierzchu żadnych dokumentów, kiedy na pewien okres tracimy nad nim kontrolę;
- Zasada czystego ekranu odnoszącą się do serwerów, stacji roboczych oraz urządzeń przenośnych, która nakazuje blokować ekran monitora na czas nieobecności włączając wygaszacz ekranu lub wylogowując się z systemu (kombinacja klawiszy: Windows+L) – wyłączenie wygaszacza/ponowne zalogowanie powinno wymagać podania hasła użytkownika;
- Obowiązek nadzoru nad listą obecności, która nie powinna znajdować się w widocznym miejscu do którego dostęp mogą uzyskać osoby postronne;
- Prawidłowe ustawienie monitorów pracowniczych, tj. w sposób uniemożliwiający niepowołanym osobom dostrzeżenie tego, co się na nich aktualnie znajduje;
- Zakaz zapisywania haseł dostępu na karteczkach i pozostawiania ich w widocznych miejscach np. przypiętych do monitora;
- Zakaz udostępniania haseł dostępu do systemu innym osobom;
- Zakaz wysyłania wiadomości do wielu adresatów za pomocą tzw. „otwartej listy adresowej” – e-maile adresowane do wielu podmiotów spoza przedsiębiorstwa powinny być wysyłane za pośrednictwem tzw. kopii ukrytej (rubryka „UDW”);
- Zakaz opuszczania biura przez wszystkich pracowników jednocześnie, aby nieupoważnione osoby nie miały dostępu do pomieszczeń, w których przetwarzane są dane osobowe bez nadzoru upoważnionego pracownika;
- Zakaz pozostawiania wydruków na ogólnodostępnych drukarkach;
- Zakaz telefonicznego udostępniania danych niezidentyfikowanemu rozmówcy, a także rozmówcy, który jest nieuprawniony do uzyskania danej informacji – aby upewnić się, że faktycznie rozmawiamy z osobą, za którą rozmówca się podaje, można np. zadzwonić na ogólny numer banku czy komisariatu policji i poprosić o połączenie z daną osobą. Jeśli jest to niemożliwe, lub też w wystarczający sposób nie rozwiewa wątpliwości co do tożsamości czy uprawnień danej osoby do pozyskania danych, zawsze można odmówić przekazania informacji drogą telefoniczną. Możemy poprosić o skierowanie oficjalnego zapytania w formie pisemnej;
- Nakaz używania niszczarek do niszczenia zbędnych dokumentów;
- Wynoszenie sprzętu firmowego wyłącznie na podstawie stosownych upoważnień;
- Zakaz podłączania prywatnych nośników danych do służbowych komputerów, aby zminimalizować możliwość zainfekowania sprzętu, na którym pracujemy, a przez to możliwych incydentów w zakresie danych osobowych;
- Niefrasobliwe rozmowy – czy to jadąc autobusem, czy czekając na przystanku czy stojąc w kolejce do kasy biletowej w kinie, można się z łatwością dowiedzieć, tego kto ile zarabia, kto dostanie awans, kto zostanie zwolniony, czyje dzieci właśnie wyjeżdżają na zimowisko, itp. Czy na pewno musimy i chcemy rozmawiać o takich sprawach w miejscach publicznych? Jeśli z jakichś powodów odpowiedź będzie twierdząca, postarajmy się przynajmniej nie używać wówczas nazwisk oraz jakichkolwiek innych nazw czy określeń, dzięki którym znacznie ułatwimy identyfikację osób, czy sytuacji, o których rozmawiamy;
- Wykazywanie inicjatywy w kontaktach z nieznajomymi – chodzi o to, aby uniknąć sytuacji, w której nieznajomy może samodzielnie podróżować po zakładzie – w takim wypadku wystarczy się przywitać i zapytać: „W czym mogę Pani/Panu pomóc?”.
Jakie są wasze doświadczenia?
