Zatrudniony może mieć swój sprzęt, ale ważne są szczegóły

W firmach coraz częściej wykorzystywane są urządzenia mobilne (tablety, smartfony, laptopy). Według ostatniego raportu Cisco Visual Networking Index instytutu badania rynku Vision Critical już w 2017 r. blisko połowa ruchu w światowej sieci www będzie generowana przez tego rodzaju urządzenia (obecnie około 25 proc.). Coraz więcej przedsiębiorstw w swojej działalności dopuszcza użycie sprzętu prywatnego pracowników w celach zawodowych w modelu BYOD (z ang. Bring Your Own Device). Nie stoi to w sprzeczności z przepisami ustawy z 26 czerwca 1974 r. - Kodeks pracy (t.j. Dz.U. 1998 r. nr 21, poz. 94 ze zm.; dalej: k.p.). Możliwość taka została pośrednio potwierdzona w orzecznictwie Sądu Najwyższego (wyrok z 7 marca 2006 r., sygn. akt I PK146/05; OSNP 2007/5-6/67, a także z 14 lutego 1959 r., sygn. akt IV CR 371/58, OSNCK 1960/3/70).

- Urządzenie cyfrowe może być takim samym narzędziem pracy jak każde inne: proste lub mechaniczne - potwierdza Ewa Rakowska, radca prawny, partner w kancelarii Czublun Trębicki.

Decydująca dobrowolność

Szczegółowe zasady wdrażania BOYD powinny być opisane w regulaminie pracy. Zgodnie z prawem określa on organizację pracy i jest wewnętrznym, zakładowym źródłem prawa pracy. W związku z tym jest dla zatrudnionego, co do zasady, wiążący. Jeśli w przedsiębiorstwie działają związki zawodowe, właściciel firmy powinien uzgodnić i skonsultować z nimi wdrożenie BYOD.

Wątpliwości może budzić np. korzystanie z prywatnych urządzeń w kontekście czasu pracy. BYOD nie powinno wpływać na wcześniej obowiązujący w tym zakresie system czasu pracy ani powodować złagodzenia reguł dotyczących pracy w godzinach nadliczbowych, wynagrodzenia itp. W praktyce jednak, jak potwierdzają specjaliści, może osłabić kontrolę pracodawcy i sprzyjać wystąpieniu większej liczby niż w standardowych warunkach godzin nadliczbowych. Jeśli BYOD jednocześnie wiąże się z pracą mobilną (np. wykonywaną poprzez podróże), warto rozważyć wprowadzenie zadaniowego czasu pracy. W odniesieniu do zatrudnionych, od których praca poza biurem nie jest wymagana, warto upewnić się, że regulamin (lub polityka BYOD będąca jego załącznikiem), a także umowa o pracę (aneks) zawierają klauzule, które wyraźnie określą zasady i sposób zlecania zadań w godzinach nadliczbowych.

Ważne jest także wskazanie opłaty za wykorzystanie sprzętu prywatnego w celach zawodowych. Prawidłowe opisanie tej kwestii ma znaczenie choćby ze względów podatkowych. Firma, która bez wynagrodzenia korzysta z prywatnych narzędzi, może być bowiem posądzona przez organy skarbowe o bezprawne pobieranie świadczeń niematerialnych.

Kluczowa jest jednak kwestia dobrowolności. Zgodnie z kodeksem pracy właściciel firmy nie może jednostronnie wprowadzić tego rozwiązania, dokonując np. wypowiedzenia zmieniającego (na podstawie art. 42 k.p.). Polityka stosowania własnych urządzeń musi być zaakceptowana przez zatrudnionego poprzez zawarcie odpowiedniej umowy o pracę (lub aneksu do niej). Przepisy decydują, że pracownik musi mieć możliwość dokonania "dobrowolnego wyboru" w zakresie własności urządzenia, które będzie wykorzystywał do pełnienia obowiązków zawodowych. Oznacza to, jak twierdzą prawnicy, że należy stworzyć mu alternatywę w postaci możliwości korzystania ze sprzętu firmowego.

Zabroniony soft

Opisana w regulaminie (lub załączniku) polityka BYOD musi zależeć także od wielu innych czynników: branży, obszaru działalności przedsiębiorstwa, specyfiki zatrudnionych itp. Niektóre zagadnienia jednak odnoszą się do większości podmiotów. Zasada generalna powinna dotyczyć sposobu ochrony takich urządzeń, określać dostęp do danych i aplikacji, opisywać procedury związane z kradzieżą lub zgubieniem zawierającego wrażliwe dla funkcjonowania przedsiębiorstwa informacje oraz procedurę wyrejestrowania prywatnego, ale używanego do celów zawodowych, sprzętu po ewentualnym zakończeniu stosunku pracy.

BYOD oznacza korzystanie z różnych rodzajów sprzętu oraz różnych kategorii użytkowników. Stworzenie jednolitej polityki wymaga zatem współpracy kierownictwa, działu IT, prawników oraz innych, związanych z takim modelem pracy, komórek przedsiębiorstwa. Najważniejsze jest określenie funkcji (procesów, programów), z których użytkownik może korzystać, i dopuszczalnych oraz zabronionych zachowań. Chodzi przede wszystkim o to, aby zatrudnieni nie mieli na swoich prywatnych stacjach roboczych nielegalnych materiałów lub danych stanowiących własność konkurencyjnych firm.

Wybór autoryzowanych urządzeń powinien być przy tym ograniczony ze względu na koszty wsparcia technicznego oraz zagrożenie wpuszczeniem przypadkowych stacji roboczych do firmowej sieci oraz systemy operacyjne (Windows, iOS, Android).

Kolejna kwestia to określenie listy zabronionych, a najlepiej zamkniętej listy dozwolonych aplikacji. Wyniki badań raportu firmy Trend Micro dotyczące konsumeryzacji urządzeń przenośnych wskazują, że prawie wszystkie (83 proc.) firmy z otwartą polityką BYOD wymagają instalacji oprogramowania bezpieczeństwa jako środka zapobiegawczego wyciekom danych. Kwestie te znajdują dalsze potwierdzenie w deklaracjach 86 proc. menedżerów IT ze Stanów Zjednoczonych, z Wielkiej Brytanii i Niemiec, którzy twierdzą, że bezpieczeństwo danych przechowywanych na smartfonach to główny problem, jeśli chodzi o urządzenia podłączane do sieci przedsiębiorstw.

Oczywiście opracowanie listy zabronionych w pracy programów nie da stuprocentowej pewności, że faktycznie nie będą one używane. Ale z pewnością pomoże w ochronie bezpieczeństwa i integralności firmowych zasobów IT.

Całościowa konfiguracja oprogramowania w urządzeniu jest kluczem do prawidłowego działania mobilnego IT, tak więc polityka BYOD powinna także regulować korzystanie z aplikacji antywirusowych, innego oprogramowania zabezpieczającego i ustawienia zapór.

Ochrona danych

Również kwestie dotyczące ochrony danych osobowych wymagają uregulowania w regulaminie i umowie na użytkowanie prywatnego sprzętu. Urządzenia elektroniczne mogą bowiem w większym stopniu niż inne wiązać się z życiem prywatnym pracownika. Służą bowiem także do komunikacji (poprzez SMS, e-mail, rozmowy telefoniczne, wideokonferencje itp.), wykorzystywane są do robienia zdjęć i nagrywania filmów oraz przeglądania internetu. W ich pamięci mogą znajdować się więc prywatne informacje na temat użytkownika (np. kontakty czy dotyczące pozasłużbowych zainteresowań). Zgodnie z ustawą z 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz.U. 2002 r. nr 101, poz. 926) pracodawca nie może mieć do nich dostępu. - Wykorzystanie urządzeń elektronicznych jako narzędzi pracy oznacza, że sfera prywatnych informacji w pewnym zakresie pokrywa się ze sferą aktywności zawodowej - potwierdza Artur Gajda, ekspert ds. informatyzacji, pracujący na zlecenie małych i średnich przedsiębiorstw.

Pierwszym krokiem działu IT wprowadzającego rozwiązania w zakresie BYOD firmy powinno być zatem, jak twierdzą specjaliści, stworzenie odpowiednich zabezpieczeń cyfrowych, uniemożliwiających wtargnięcie przez pracodawcę w życie prywatne pracownika. Nie ma takiego obowiązku w odwrotnej sytuacji: gdy pracownik korzysta ze sprzętu firmowego do celów prywatnych. - Wtedy musi się liczyć z dostępem pracodawcy do informacji zawartych na jego sprzęcie, nawet takich, które należą do sfery prywatnej zatrudnionego - wskazuje Rakowska.

W polityce BYOD powinny się znaleźć również procedury i zakres zwrotu kosztów, które użytkownicy mogą wygenerować przy pomocy prywatnego sprzętu, oraz określenie, które z nich będą przez firmę refundowane. Należy przy tym, jak podkreślają specjaliści, wyraźnie określić, czy rozliczenie odbywać się będzie na podstawie rachunku użytkownika, zwracana będzie określona część każdego rachunku, czy też firma wypłacać będzie zatrudnionemu konkretną, stałą kwotę we wcześniej opisanym cyklu (miesięcznie, tygodniowo, rocznie). - Warto także pamiętać, że brak stosownego zapisu w umowie o wykorzystywaniu przez pracownika swojego sprzętu do celów służbowych nie pozbawia go prawa do zwrotu kosztów jego użytkowania - twierdzi Ewa Rakowska. - Może on zatem skutecznie dochodzić wynagrodzenia w sądzie.

Aleksandra Puch

dgp@infor.pl