Czy monitorowanie komputera pracownika jest zgodne z RODO?

Legalny monitoring aktywności użytkowników komputerów i serwerów według RODO

Jednym z celów, jakie przyświecały unijnym urzędnikom uchwalającym RODO było wzmocnienie ochrony danych osobowych, które są w posiadaniu różnego rodzaju podmiotów. Nowe przepisy mają niejako zmusić administratorów danych osobowych do podjęcia wszelkich możliwych działań, które uchronią je przed kradzieżą czy przypadkowym wyciekiem.

INFORAKADEMIA poleca: 10 przykazań RODO dla pracodawców

Zdaniem Pawła Chudzińskiego, specjalisty ds. bezpieczeństwa IT z firmy Ekran System, dobry program do monitorowania aktywności pracowników to taki, który posiada rozbudowane funkcje kontroli dostępu w postaci uwierzytelniania dwuskładnikowego. „Uwierzytelnianie dwuskładnikowe pozwala skutecznie ochronić dane wrażliwe przed nieuprawnionym dostępem zarówno pracowników, jak i osób z zewnątrz” – wyjaśnia ekspert.

Zaawansowane opcje uwierzytelniania umożliwiają również przypisanie zarejestrowanej sesji do konkretnego użytkownika. Najlepsze na rynku programy służące do ochrony systemów IT są w stanie zidentyfikować konkretną osobę nawet w przypadku używania w firmie kont współdzielonych.

Polecamy: RODO. Ochrona danych osobowych. Przewodnik po zmianach

Obowiązek wykazania zgodności z RODO

Zgodnie z unijnymi przepisami, administrator danych osobowych musi być w stanie wykazać, że jego działania są zgodne z RODO. Jak to zrobić w przypadku monitorowania komputera pracownika?

Jednym z rekomendowanych przez specjalistów z branży IT rozwiązań jest wykorzystywanie programów, które rejestrują aktywność użytkowników – na komputerach bądź serwerach – w postaci nagrań video. Nagrania takie pozwalają uzyskać kompletną historię aktywności danego pracownika.

Co ważne, uzyskaną w ten sposób historię można w dowolnym momencie odtworzyć. Jest to szczególnie istotne w przypadku, kiedy firma musi udowodnić zgodność prowadzonych działań z RODO. Nagranie stanowi wówczas ważny dowód w sprawie. „Nagranie takie pokazuje w sposób jednoznaczny, kto i jak przetwarzał wrażliwe dane” - zauważa Paweł Chudziński.

Unijni urzędnicy nałożyli również na firmy obowiązek prowadzenia ewidencji wszelkich działań związanych z gromadzeniem i przetwarzaniem danych. Z rejestru takiego powinno jasno wynikać, kto i w jaki sposób wykorzystuje gromadzone dane. W prowadzeniu tego typu ewidencji może pomóc wspomniana możliwość rejestrowania aktywności użytkowników w formie plików video.

Zobacz: Prawo dla firm