Czy pracownik może odmówić zainstalowania firmowej aplikacji na prywatnym telefonie?

Przetwarzanie prywatnego numeru pracownika w celach służbowych

Generalnie, aby pracodawca mógł przetwarzać (wykorzystywać w celach służbowych) prywatny numer telefonu pracownika, winien mieć na to pisemną zgodę takiego pracownika. Trzeba jednak pamiętać, że przetwarzanie danych osobowych w postaci prywatnego numeru telefonu powinno mieć zawsze charakter wyjątkowy, uzasadniony szczególnymi potrzebami pracodawcy i brakiem możliwości osiągnięcia celu przetwarzania w inny sposób (w tym przypadku uzasadnionym brakiem możliwości zapewnienia telefonu prywatnego).

Jeśli Pan jako pracodawca takowe zgody posiada, trzeba przyjrzeć się ich treści. Jeśli pracownik wyraził zgodę na przetwarzanie jego numeru telefonu w celach służbowych, tj. kontaktowania się w sprawach służbowych z pracownikami, przełożonymi, kontrahentami, klientami, załatwiania spraw służbowych, zapewnienia organizacji pracy zdalnej, innych, związanych z koniecznością kontaktu z pracownikiem przez organizację, ale i podmioty spoza, tj. klientelę, kontrahentów, to nie widzę podstaw, by mógł odmówić zastosowania się do wdrożenia MFA w swoim telefonie, przy czym bezpieczniej jest zgody zaktualizować także wyraźnie o cel w postaci ww. zabezpieczenia danych służbowych.

Niemniej ma on prawo ww. zgodę na przetwarzanie prywatnego numeru do celów służbowych wycofać, bo jest to zgoda dobrowolna i odwoływalna, a wówczas wraz z jej wycofaniem nie ma podstaw, by z ww. uwierzytelniania korzystał. Niemniej należałoby takich pracowników wyposażyć w telefon służbowy, a wtedy problem MFA odpada. Telefon służbowy = pracodawca decyduje o wszystkim, w tym o zabezpieczeniu.

Uzyskanie zgody pracownika na przetwarzanie danych

Jak Pan widzi, Kodeks pracy nie zawiera bezpośredniego przepisu dotyczącego obowiązku instalowania aplikacji na prywatnych urządzeniach, ale za to nakłada na pracodawcę obowiązek zapewnienia bezpiecznych i higienicznych warunków pracy. Wdrażanie MFA można zaś argumentować jako działanie mające na celu ochronę danych osobowych pracowników, co jest realizacją obowiązku zapewnienia bezpiecznych warunków pracy. O ile w telefonie służbowym jest to wówczas nie do zakwestionowania, o tyle przy telefonach prywatnych należałoby zadbać o wyraźną zgodę pracownika i na przetwarzanie jego numeru prywatnego do celów służbowych (wskazać jakich: akapit wcześniej) i na korzystanie z aplikacji celem zabezpieczenia danych, w tym danych służbowych. W wewnętrznej polityce bezpieczeństwa informacji firmy można określić zasady dotyczące korzystania z urządzeń prywatnych do celów służbowych oraz obowiązek korzystania z narzędzi zabezpieczających, takich jak MFA. Niemniej wówczas pracownicy, którzy zgodę na korzystanie z ich prywatnych telefonów wyrazili, mają prawo ją odwołać, a pracodawca musi to zaakceptować.

Na pewno należy zadbać o dialog z pracownikami, tj. jasno i zrozumiale wyjaśnić pracownikom, dlaczego wdrażane jest MFA i jakie korzyści to niesie zarówno dla firmy, jak i dla nich samych (np. zwiększenie bezpieczeństwa ich kont), oraz zapewnić pracowników, że dane z ich prywatnych urządzeń nie będą wykorzystywane do innych celów niż związanych z pracą. Warto także zaoferować pracownikom wybór różnych metod uwierzytelniania (np. aplikacja mobilna, SMS, token sprzętowy) i umożliwić dostosowanie do ich preferencji, ale i zapewnić pracownikom łatwy dostęp do wsparcia technicznego w przypadku problemów z konfiguracją i użytkowaniem aplikacji.

W uzasadnionych przypadkach można rozważyć możliwość zastosowania innych metod uwierzytelniania dla pracowników, którzy mają uzasadnione powody, aby nie instalować aplikacji na swoich prywatnych urządzeniach. Prawda jest jednak taka, że pracownikom, którzy nie chcą korzystać z własnych urządzeń, dowiedziawszy się o konieczności stosowania MFA, pozostaje umożliwić korzystanie ze służbowych telefonów, a w polityce firmowej wskazać, że zabrania się używania telefonów prywatnych do spraw służbowych (wszelkich) przez osoby, które nie wyraziły pisemnej zgody na korzystanie z telefonów prywatnych zgodnie z polityką (tj. przy stosowaniu MFA, bo zakazuje się stosowania prywatnych numerów do spraw służbowych także bez zgody pracodawcy i bez MFA, dodając nawet, że działanie wbrew polityce jest naruszeniem obowiązków pracownika, co może skutkować karą porządkową).

Źródła:

1. Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych - Dz.U. 2018 poz. 1000