Salariatul produce o bresa de date: cercetare disciplinara, prejudiciu si raspundere

Ce este o bresa de date

GDPR foloseste expresia „incalcarea securitatii datelor cu caracter personal”. Potrivit art. 4 pct. 12 din Regulamentul UE 2016/679, aceasta poate presupune distrugerea, pierderea, modificarea, divulgarea neautorizata sau accesarea neautorizata a datelor cu caracter personal.

Prin urmare, nu este necesar ca datele sa fie publicate pe internet sau sa ajunga la mii de persoane pentru a exista o bresa. Trimiterea unei liste cu salarii catre un singur destinatar neautorizat poate reprezenta un incident. La fel se poate intampla daca un salariat pierde un dispozitiv care contine date personale, sterge accidental informatii care nu mai pot fi recuperate sau ofera unei persoane acces la o baza de date la care aceasta nu avea dreptul.

Trebuie analizate trei componente ale securitatii, confidentialitatea, integritatea si disponibilitatea datelor.

Art. 32 din GDPR obliga operatorul sa implementeze masuri tehnice si organizatorice adecvate riscului, printre acestea fiind criptarea, asigurarea confidentialitatii si integritatii sistemelor, posibilitatea restabilirii accesului la date si evaluarea periodica a eficientei masurilor de securitate.

Acest aspect este important atunci cand angajatorul analizeaza raspunderea salariatului. Daca incidentul a fost posibil pentru ca angajatul avea acces nejustificat la intreaga baza de date, parolele erau comune, nu existau reguli privind transmiterea documentelor sau personalul nu fusese instruit, problema nu mai poate fi analizata exclusiv din perspectiva greselii angajatului.

Primele masuri ale angajatorului

Imediat dupa identificarea incidentului, prioritatea trebuie sa fie limitarea efectelor. Angajatorul trebuie sa stabileasca ce date au fost afectate, cate persoane sunt vizate, cine a avut acces la informatii, cat timp au fost datele expuse si daca acestea pot fi recuperate, sterse de la destinatar sau protejate prin alte masuri.

De exemplu, daca un angajat trimite din greseala un fisier catre o adresa de email gresita, compania poate solicita destinatarului stergerea mesajului si confirmarea in scris a stergerii. Daca problema porneste de la compromiterea unui cont, accesul trebuie blocat, parola schimbata si sesiunile active inchise.

In paralel, trebuie facuta evaluarea riscului pentru persoanele ale caror date au fost afectate.

Contractul de Munca 160 de formulare EDITABILE obligatorii prin lege

Vreau acest produs →

Top 20 cele mai cautate fise de evaluare a riscurilor SSM

Vreau acest produs →

Consilier - Codul Muncii abonament 12 actualizari

Vreau acest produs →

Art. 33 din GDPR prevede ca operatorul trebuie sa notifice autoritatea de supraveghere „fara intarzieri nejustificate si, daca este posibil, in termen de cel mult 72 de ore” de la momentul la care a luat cunostinta despre incident, daca bresa este susceptibila sa genereze un risc pentru drepturile si libertatile persoanelor fizice.

In Romania, autoritatea competenta este Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal. Daca exista un risc ridicat pentru persoanele vizate, art. 34 GDPR impune, in anumite conditii, si informarea acestora fara intarzieri nejustificate.

Pastrarea probelor

Inainte de a incepe cercetarea disciplinara, angajatorul trebuie sa pastreze probele care permit reconstruirea incidentului. Graba de a sterge urmele bresei poate afecta ulterior posibilitatea de a demonstra ce s a intamplat.

Pot fi relevante jurnalele de acces in aplicatii, mesajele de email, istoricul transferurilor de fisiere, datele privind autentificarile, documentele transmise, rapoartele generate de sistemele informatice, inregistrarile referitoare la modificarea drepturilor de acces si explicatiile persoanelor implicate.

Trebuie pastrata si cronologia incidentului. Este util sa se poata stabili ora la care s a produs evenimentul, momentul in care acesta a fost descoperit, persoana care l a raportat si masurile luate ulterior.

Colectarea probelor trebuie insa facuta proportional. Existenta unei suspiciuni privind o bresa de date nu justifica automat accesarea fara limite a tuturor informatiilor personale ale salariatului. Investigatia trebuie sa urmareasca incidentul concret si sa respecte regulile aplicabile privind protectia datelor si monitorizarea angajatilor.

Informarea responsabilului cu protectia datelor

Daca organizatia are desemnat un responsabil cu protectia datelor, acesta trebuie implicat rapid. Art. 38 din GDPR prevede ca responsabilul cu protectia datelor trebuie implicat „in mod corespunzator si in timp util” in aspectele referitoare la protectia datelor cu caracter personal. Rolul sau este important pentru calificarea incidentului, evaluarea nivelului de risc, stabilirea necesitatii notificarii autoritatii si documentarea deciziilor luate de operator.

Responsabilul cu protectia datelor nu trebuie confundat insa cu persoana care stabileste vinovatia disciplinara a salariatului. Analiza GDPR si cercetarea disciplinara au obiective diferite. Responsabilul poate furniza informatiile tehnice si juridice necesare, in timp ce angajatorul trebuie sa respecte separat procedura prevazuta de legislatia muncii.

Cercetarea disciplinara

Producerea unei brese de date nu inseamna automat ca salariatul poate fi sanctionat. Mai intai trebuie stabilit daca exista o abatere disciplinara.

Art. 247 alin. 2 din Codul muncii defineste abaterea disciplinara ca fiind o fapta in legatura cu munca, savarsita cu vinovatie, prin care salariatul incalca legea, regulamentul intern, contractul individual sau colectiv de munca ori dispozitiile legale ale superiorilor.

Angajatorul trebuie astfel sa identifice concret obligatia incalcata. Aceasta poate proveni, de exemplu, din politica de securitate informatica, regulamentul intern, procedura GDPR, fisa postului sau instructiunile privind utilizarea conturilor si transmiterea documentelor.

Cu exceptia avertismentului scris, nicio sanctiune disciplinara nu poate fi aplicata fara efectuarea cercetarii disciplinare prealabile. Salariatul trebuie convocat in scris, iar convocarea trebuie sa precizeze obiectul, data, ora si locul intrevederii. In timpul cercetarii, angajatul are dreptul sa formuleze aparari si sa prezinte probe.

Sanctiunea nu se stabileste numai in functie de rezultatul incidentului. Potrivit art. 250 din Codul muncii, angajatorul trebuie sa analizeze imprejurarile faptei, gradul de vinovatie, consecintele abaterii, comportarea generala in serviciu si eventualele sanctiuni anterioare.

De exemplu, trimiterea accidentala a unui document catre un destinatar gresit, urmata de raportarea imediata a incidentului de catre salariat, trebuie analizata diferit de situatia in care un angajat exporta intentionat o baza de date si o transmite unei persoane din afara companiei.

Sanctiunile pot merge de la avertismentul scris pana la desfacerea disciplinara a contractului individual de munca, insa concedierea disciplinara nu trebuie tratata ca efect automat al oricarei brese de date.

Decizia de sanctionare trebuie emisa in termenul prevazut de art. 252 din Codul muncii, respectiv 30 de zile calendaristice de la data luarii la cunostinta despre savarsirea abaterii, fara a depasi 6 luni de la data savarsirii faptei.

Recuperarea prejudiciului

Raspunderea disciplinara si raspunderea patrimoniala sunt institutii diferite. Aplicarea unei sanctiuni disciplinare nu inseamna automat ca prejudiciul este recuperat si nici existenta unui prejudiciu nu dispenseaza angajatorul de respectarea procedurii disciplinare.

Art. 254 din Codul muncii prevede ca salariatii raspund patrimonial pentru pagubele materiale produse angajatorului din vina lor si in legatura cu munca.

Angajatorul trebuie sa dovedeasca existenta unei pagube, vinovatia salariatului, legatura cu munca si raportul de cauzalitate dintre fapta si prejudiciu.

Daca sunt indeplinite conditiile legale, angajatorul poate solicita recuperarea prejudiciului printr o nota de constatare si evaluare a pagubei si prin acordul partilor, termenul acordat salariatului neputand fi mai mic de 30 de zile. Recuperarea prin aceasta procedura este limitata la echivalentul a 5 salarii minime brute pe economie.

Angajatorul nu poate decide pur si simplu sa scada din salariul angajatului suma pe care o considera prejudiciu. Art. 169 din Codul muncii stabileste conditii stricte pentru retinerile din salariu cu titlu de daune.

O eventuala amenda GDPR aplicata companiei nu ar trebui tratata automat ca o datorie a salariatului. Trebuie analizate cauza concreta a sanctiunii, contributia angajatului la producerea prejudiciului si eventualele deficiente proprii ale angajatorului privind instruirea, controlul accesului sau masurile de securitate.

Prevenirea incidentelor similare

Dupa inchiderea incidentului, angajatorul trebuie sa analizeze de ce bresa a fost posibila si ce trebuie schimbat. O politica scrisa este utila numai daca oamenii o cunosc si o pot aplica. Angajatii trebuie sa stie ce date pot transmite, cui le pot transmite, cum verifica destinatarii, ce instrumente pot utiliza, daca pot salva documente local si cui trebuie sa raporteze un incident.

In acelasi timp, compania trebuie sa limiteze accesul la date in functie de atributiile fiecarui salariat, sa elimine conturile care nu mai sunt necesare, sa utilizeze autentificarea suplimentara acolo unde riscul o justifica, sa pastreze jurnale de acces si sa organizeze periodic instruiri.

Art. 32 din GDPR pune obligatia adoptarii masurilor tehnice si organizatorice adecvate in sarcina operatorului. Din acest motiv, analiza unui incident trebuie sa priveasca atat comportamentul salariatului, cat si modul in care angajatorul si a organizat sistemul de protectie a datelor.

Cea mai eficienta procedura este aceea in care angajatul stie ca trebuie sa raporteze imediat orice incident, inclusiv propria greseala. O bresa raportata in cateva minute poate fi limitata. O bresa ascunsa de teama unei sanctiuni poate ajunge sa produca un prejudiciu mult mai mare.