Firmowa aplikacja MFA na prywatnym telefonie pracownika

Czy pracodawca może wymagać MFA?

Wdrożenie uwierzytelniania wieloskładnikowego, czyli MFA, jest co do zasady zgodne z prawem i często uzasadnione. Pracodawca jako administrator danych powinien stosować odpowiednie środki techniczne i organizacyjne, aby chronić dane osobowe, konta użytkowników, pocztę elektroniczną, systemy kadrowe, finansowe i zasoby firmowe. Wynika to przede wszystkim z zasady integralności i poufności oraz z art. 32 RODO, który wymaga dobrania zabezpieczeń do ryzyka.

Nie oznacza to jednak, że każdy sposób wdrożenia MFA będzie dopuszczalny. Inaczej należy ocenić obowiązek korzystania z MFA na telefonie służbowym, a inaczej obowiązek instalowania aplikacji na prywatnym telefonie pracownika. Telefon prywatny jest własnością pracownika i zwykle służy także do celów osobistych, dlatego pracodawca powinien szczególnie uważać na proporcjonalność, minimalizację danych, przejrzystość i dobrowolność ewentualnej zgody.

Praktycznie rzecz biorąc, pracodawca może wymagać, aby dostęp do firmowych systemów odbywał się przez MFA. Nie powinien jednak opierać całego rozwiązania wyłącznie na założeniu, że każdy pracownik użyje do tego własnego telefonu. Bezpieczniejsze prawnie jest wdrożenie zasady: MFA jest obowiązkowe, ale pracownik może skorzystać z metody, która nie wymaga użycia prywatnego urządzenia.

Prywatny telefon pracownika a polecenie służbowe

Pracownik ma obowiązek wykonywać polecenia przełożonych, jeżeli dotyczą pracy i nie są sprzeczne z przepisami prawa ani z umową o pracę. To ważna zasada, ale nie daje pracodawcy nieograniczonego prawa do dysponowania prywatnym majątkiem pracownika. Polecenie instalacji aplikacji na prywatnym urządzeniu może być problematyczne zwłaszcza wtedy, gdy pracownik nie otrzymuje alternatywy, nie wie, jakie dane aplikacja przetwarza, albo aplikacja wymaga szerokich uprawnień, np. dostępu do kontaktów, lokalizacji, pamięci urządzenia lub możliwości zarządzania telefonem.

Przy ocenie, czy polecenie jest dopuszczalne, trzeba uwzględnić cel, zakres ingerencji i dostępne alternatywy. Co innego prosta aplikacja generująca kody jednorazowe, która nie wymaga podania prywatnego numeru telefonu i nie ma dostępu do prywatnych danych. Co innego aplikacja typu MDM, która pozwala zarządzać urządzeniem, wymuszać konfigurację, śledzić parametry bezpieczeństwa albo usuwać dane. Im większa ingerencja w prywatność, tym mocniejszego uzasadnienia, dokumentacji i zabezpieczeń potrzebuje pracodawca.

Granice poleceń pracodawcy warto odróżnić od zasad przetwarzania danych osobowych. Jeżeli pracodawca chce wykorzystywać prywatny numer telefonu, identyfikator urządzenia, dane logowania, adres IP, token aplikacji albo informacje o konfiguracji telefonu, powinien ocenić podstawę prawną, cel i zakres przetwarzania. Podobne problemy pojawiają się przy temacie dane pracownika a obowiązki firmy, gdzie istotne jest, czy firma rzeczywiście potrzebuje określonych danych i jak długo może je przechowywać.

Czy wystarczy zgoda na prywatny numer telefonu?

Nie zawsze. Zgoda na używanie prywatnego numeru telefonu do kontaktów służbowych nie musi obejmować instalacji aplikacji MFA, przetwarzania danych technicznych telefonu ani używania prywatnego urządzenia jako narzędzia pracy. Jeżeli zgoda była ogólna, warto ją zweryfikować i nie traktować jej jako zgody na każde nowe rozwiązanie techniczne.

Na gruncie Kodeksu pracy zgoda pracownika może być podstawą przetwarzania innych danych osobowych niż dane wymagane przepisami, ale musi być dobrowolna. Brak zgody albo jej wycofanie nie powinny powodować dla pracownika negatywnych konsekwencji, jeżeli przetwarzanie rzeczywiście opiera się wyłącznie na zgodzie. Z kolei RODO wymaga, aby zgoda była konkretna, świadoma, jednoznaczna i możliwa do wycofania.

Dlatego w praktyce lepiej nie opierać bezpieczeństwa całej firmy na zgodach pracowników na prywatne telefony. Zgoda może być elementem modelu BYOD, czyli dobrowolnego używania własnego urządzenia do celów służbowych, ale powinna być połączona z jasnym regulaminem, informacją RODO i realną alternatywą. Przy wymaganiu określonych działań od pracownika trzeba pamiętać, że zgoda pracownika a RODO wymaga szczególnej ostrożności, ponieważ relacja pracownik–pracodawca nie zawsze zapewnia pełną swobodę decyzji.

Jak zgodnie z prawem wdrożyć MFA w firmie?

Najbezpieczniejszy model polega na oddzieleniu obowiązku ochrony systemów od obowiązku używania prywatnego telefonu. Firma może przyjąć zasadę, że dostęp do systemów wymaga MFA, ale powinna określić kilka dopuszczalnych metod uwierzytelnienia. Może to być aplikacja na telefonie służbowym, token sprzętowy, klucz bezpieczeństwa, aplikacja desktopowa, kody zapasowe albo inna metoda zaakceptowana przez dział IT.

Pracodawca powinien przygotować krótką i zrozumiałą procedurę. Powinna ona wskazywać, po co wdrażane jest MFA, jakie systemy obejmuje, jakie dane będą przetwarzane, kto ma do nich dostęp, jak długo będą przechowywane, czy aplikacja widzi jakiekolwiek dane z telefonu prywatnego oraz co może zrobić pracownik, który nie chce używać własnego urządzenia. Jeżeli aplikacja ma szersze uprawnienia niż zwykłe generowanie kodów, trzeba to szczególnie wyraźnie opisać.

W dokumentach wewnętrznych warto uregulować także zasady BYOD: dobrowolność, zakres dopuszczalnego użycia telefonu, zakaz instalowania narzędzi nadmiernie ingerujących w prywatność bez odrębnej podstawy, procedurę wycofania zgody, wsparcie techniczne, zwrot kosztów, sposób reagowania na utratę telefonu oraz zasady zakończenia korzystania z prywatnego urządzenia. Przy pracy zdalnej trzeba dodatkowo pamiętać o zasadach zapewniania narzędzi pracy oraz ewentualnym ekwiwalencie lub ryczałcie, jeżeli pracownik używa własnych narzędzi za zgodą pracodawcy.

Co zrobić, gdy pracownik odmawia instalacji aplikacji?

W pierwszej kolejności trzeba ustalić powód odmowy. Pracownik może nie chcieć używać prywatnego telefonu, może obawiać się dostępu pracodawcy do danych prywatnych, może nie mieć telefonu spełniającego wymagania techniczne albo może nie rozumieć, jak działa aplikacja MFA. Każdy z tych przypadków wymaga nieco innej reakcji.

Jeżeli odmowa dotyczy samego użycia prywatnego telefonu, rozsądnym rozwiązaniem jest zapewnienie telefonu służbowego albo tokena. Jeżeli problem wynika z braku wiedzy, wystarczy często instrukcja i wyjaśnienie, że standardowa aplikacja MFA generuje kody albo potwierdza logowanie i nie daje pracodawcy dostępu do zdjęć, wiadomości czy historii połączeń. Jeżeli jednak aplikacja faktycznie wymaga szerokich uprawnień, pracodawca powinien zweryfikować, czy jest to konieczne i proporcjonalne.

Dopiero gdy pracownik ma zapewnione narzędzie służbowe lub neutralną alternatywę, a mimo to odmawia stosowania obowiązkowej procedury bezpieczeństwa, sprawa może być oceniana jako niewykonanie polecenia służbowego lub naruszenie ustalonej organizacji pracy. W zależności od okoliczności może to prowadzić do rozmowy dyscyplinującej, kary porządkowej, ograniczenia dostępu do systemów, a w skrajnych przypadkach także do dalej idących konsekwencji pracowniczych. Nie należy jednak karać pracownika wyłącznie za to, że nie chce instalować aplikacji na swoim prywatnym urządzeniu, jeżeli firma nie zapewniła mu innego rozwiązania.

Co powinna zawierać informacja dla pracowników?

Informacja dla pracowników powinna być praktyczna i napisana prostym językiem. Warto wskazać w niej:

• cel wdrożenia MFA, np. ochrona kont, poczty, dokumentów i danych osobowych,
• systemy objęte MFA oraz termin uruchomienia zabezpieczenia,
• dostępne metody uwierzytelnienia, w tym opcję bez użycia prywatnego telefonu,
• zakres danych przetwarzanych przy korzystaniu z MFA,
• informację, czy aplikacja ma dostęp do prywatnych danych z telefonu,
• zasady postępowania w razie utraty telefonu, zmiany numeru lub awarii,
• osobę lub dział odpowiedzialny za pomoc techniczną,
• konsekwencje niestosowania obowiązkowych zabezpieczeń przy zapewnionej alternatywie.

Dobrym rozwiązaniem jest także krótkie oświadczenie pracownika, ale jego treść powinna odpowiadać rzeczywistemu modelowi wdrożenia. Inne oświadczenie będzie właściwe wtedy, gdy pracownik dobrowolnie korzysta z prywatnego telefonu, a inne wtedy, gdy firma przekazuje telefon służbowy i wymaga zainstalowania aplikacji na urządzeniu firmowym.

FAQ

Czy pracownik musi zainstalować aplikację MFA na prywatnym telefonie?

Co do zasady nie powinno się zmuszać pracownika do instalowania aplikacji służbowej na prywatnym telefonie, jeżeli nie ma realnej alternatywy i jasnej podstawy prawnej. Pracodawca może jednak wymagać MFA jako warunku dostępu do systemów, jeżeli zapewnia urządzenie służbowe albo inną metodę uwierzytelnienia.

Czy zgoda na prywatny numer telefonu obejmuje aplikację MFA?

Nie zawsze. Zgoda na kontakt telefoniczny w sprawach służbowych nie musi obejmować instalacji aplikacji, przetwarzania danych technicznych urządzenia ani używania prywatnego telefonu jako narzędzia pracy. Zakres zgody trzeba ocenić według jej treści.

Czy pracownik może wycofać zgodę na używanie prywatnego telefonu?

Tak, jeżeli przetwarzanie danych lub używanie prywatnego telefonu opiera się na zgodzie, pracownik może ją wycofać. Wycofanie zgody nie powinno samo w sobie powodować negatywnych konsekwencji, ale pracodawca może wtedy wskazać inną metodę wykonywania obowiązków służbowych.

Czy pracodawca może ukarać pracownika za odmowę MFA?

To zależy od okoliczności. Kara za samą odmowę instalacji aplikacji na prywatnym telefonie byłaby ryzykowna. Jeżeli jednak pracodawca zapewnił telefon służbowy lub token, a pracownik nadal odmawia stosowania obowiązkowej procedury bezpieczeństwa, odmowa może być oceniana jako naruszenie obowiązków pracowniczych.

Czy firma musi mieć politykę BYOD?

Nie zawsze wynika to z jednego przepisu wprost, ale w praktyce jest to bardzo zalecane. Polityka BYOD pomaga wykazać przejrzystość, minimalizację danych, dobrowolność używania prywatnego urządzenia i procedury bezpieczeństwa.

Podsumowanie

Pracodawca może i często powinien wdrażać MFA, jeżeli wymaga tego bezpieczeństwo danych i systemów firmowych. Nie powinien jednak automatycznie nakazywać instalowania aplikacji na prywatnych telefonach pracowników bez analizy podstawy prawnej, zakresu danych i wpływu na prywatność. Najbezpieczniejsze rozwiązanie to obowiązkowe MFA połączone z wyborem metody uwierzytelnienia: aplikacja na telefonie służbowym, token, klucz bezpieczeństwa albo dobrowolne użycie telefonu prywatnego. Jeżeli pracownik odmawia korzystania z prywatnego urządzenia, pracodawca powinien zaproponować alternatywę, a dopiero odmowę korzystania z legalnie zapewnionej metody można oceniać pod kątem obowiązków pracowniczych.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO), w szczególności art. 5, art. 6, art. 7, art. 13, art. 32 i art. 35 — EUR-Lex.
• Ustawa z dnia 26 czerwca 1974 r. — Kodeks pracy, w szczególności art. 22¹, art. 22¹a, art. 94, art. 100 i art. 104¹ — ISAP Sejm.
• Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych — ISAP Sejm.
• Materiały Urzędu Ochrony Danych Osobowych dotyczące RODO i aktów towarzyszących — UODO.