Франция: Уполномоченный орган по защите персональных данных опубликовал хорошую практику использования сотрудниками собственных устройств при выполнении своих обязанностей (BYOD)

Данная заметка была опубликована 31 марта 2020 года на сайте Cyberdroit.fr («Киберправо»).

Мой комментарий: В последнее время миллионы людей были вынуждены в одночасье перейти на работу на дому, поэтому вопросы безопасности и защиты персональных данных, связанные с ведением деловой деятельности сотрудниками в удаленном режиме с использованием собственных устройств стали особенно актуальными. Регуляторы это видят и соответственно реагируют.

24 марта 2020 года французская Национальная комиссия по информатике и свободам граждан CNIL (Commission nationale de l'informatique et des libertés, http://www.cnil.fr/ - национальный уполномоченный орган по вопросам защиты персональных данных – Н.Х.) напомнила о том, что использование сотрудниками личных устройств является выбором работодателя, и что последний остается «ответственным за безопасность персональных данных, обрабатываемых его компанией, в том числе и тогда, когда они хранятся на устройствах, над которым он не имеет никакого физического или юридического контроля».

CNIL предложила ряд мер, обеспечивающих безопасности устройств и гарантирующих неприкосновенность частной жизни их пользователей.

С рекомендациями CNIL можно познакомиться по адресу: https://www.cnil.fr/fr/byod-quelles-sont-les-bonnes-pratiques

Мой комментарий: Выложенный на сайте CNIL небольшой документ называется «Использование в деловой деятельности собственных устройств сотрудников: В чём заключается хорошая практика» (BYOD : quelles sont les bonnes pratiques?). В подзаголовке отмечается, что распространение практики BYOD приводит к размыванию грани между профессиональной деятельностью и личной жизнью, и что в этой связи желательно следовать наилучшей практике для того, чтобы обеспечить как безопасность данных компании, так и неприкосновенность частной жизни сотрудника.

Документ рассчитан на широкую аудиторию и в доступной форме описывает нормативно-правовую базу, обязанности, риски и рекомендуемые меры. Мне, в частности, понравилась рекомендация изначально продумать процедуру на случай отказа или утери персонального устройства, в том числе удалённого уничтожения хранящихся на нём данных.

Рекомендуется чётко разделять на устройстве служебный и личный контент – как в целях защиты данных компании, так и для исключения доступа компании к персональным данным сотрудника.

Интересно, что CNIL считает, как правило, труднореализуемыми и неоправданными ограничения, запрещающие использование, например, смартфона для личных целей (просмотр интернета, скачивание приложений) только потому, что это устройство используется для доступа к корпоративным ресурсам.

CNIL считает, что работодатель имеет право на доступ к корпоративным данным, находящимся на личном устройстве, в том числе на их стирание – но не имеет право на доступ к личным данным на устройстве (включая их уничтожение).

Источники: сайт Cyberdroit / сайт CNIL
http://www.cyberdroit.fr/2020/03/la-cnil-publie-des-bonnes-pratiques-sur-le-bring-your-own-device-byod/ 
https://www.cnil.fr/fr/byod-quelles-sont-les-bonnes-pratiques

США: Начато публичное обсуждение Комментария Конференции Седона по проблемам, э-раскрытия, связанным с использованием сотрудниками собственных устройств (BYOD)

31 января 2018 года североамериканская «Конференция Седона» (Sedona Conference, авторитетный некоммерческий правовой идейный центр, в основном занимающийся вопросами э-раскрытия сохраняемой в электронном виде информации в ходе споров по гражданским делам) сообщила на своем сайте и в новостной рассылке о публикации варианта для публичного обсуждения своего нового документа -  «Комментария Конференции Седона по собственным устройствам сотрудников, используемым в деловой деятельности: Принципы и руководство по разработке политик и исполнению обязательств по э-раскрытию» (The Sedona Conference Commentary on BYOD: Principles and Guidance for Developing Policies and Meeting Discovery Obligations).

Мы очень рады сообщить о публикации версии для публичного обсуждения «Комментария Конференции Седона по собственным устройствам сотрудников, используемым в деловой деятельности: Принципы и руководство по разработке политик и исполнению обязательств по э-раскрытию» (The Sedona Conference Commentary on BYOD: Principles and Guidance for Developing Policies and Meeting Discovery Obligations).

Организации разрешают и даже поощряют своих сотрудников использовать свои собственные персональные устройства для доступа, создания и управления информацией организации - часто за пределами официального рабочего времени и вне офиса. Такая практика обычно называется «Принесите своё собственное устройство» (Bring Your Own Device, сокращённо BYOD), и она часто реализуется в рамках BYOD-программы, которая включает в себя официальные или неофициальные правила и рекомендации.

Комментарий по BYOD подготовлен с целью помочь организациям разработать и внедрить практичные – и одновременно юридически-защитимые - политики и практики BYOD. В данном документе также рассматриваются вопросы о том, как создание и хранение информации организации на устройствах, принадлежащих их сотрудникам, влияет на обязательства организации по выявлению и представлению относящейся к делу информации в случае судебного спора или расследования (обязательства по э-раскрытию).

Мы будем рады получить от заинтересованных лиц и организаций замечания и предложения по этому проекту, который можно бесплатно скачать с веб-сайта конференции Sedona (при условии предоставления персональных данных, по адресу https://thesedonaconference.org/download-pub/5538 - Н.Х.). Членства в Конференции Седона или регистрации на сайте не требуется. Мы рекомендуем членам Рабочей группы и другим коллегам распространять данную информацию и делиться этой ссылкой с тем, чтобы замечания и предложения поступили к нам до истечения срока публичного обсуждения, которое завершится 26 марта 2018 года. Вопросы и комментарии просьба направлять на адрес comments@sedonaconference.org .

Мой комментарий: Объём документа – 40 страниц. Его содержание следующее:

Введение

Принципы использования сотрудниками собственных устройств (BYOD)

Комментарии к принципам BYOD:

• Принцип 1: Организациям следует проанализировать свои деловые потребности и цели, юридические права и обязанности, а также права и ожидания сотрудников при принятии решения о разрешении или даже обязательности использования собственных устройств.


• Принцип 2: BYOD-программа организации должна способствовать достижению деловых целей, одновременно обеспечивая защиту как деловой, так и персональной информации от неавторизованного доступа, раскрытия и использования.


• Принцип 3: Собственные устройства сотрудников, содержащие уникальную электронную информацию, относящуюся к сфере э-раскрытия, должны рассматриваться как источники данных для целей э-раскрытия.


• Принцип 4: BYOD-политики и практика организации должны минимизировать объёмы хранение – и способствовать обеспечению сохранности и сбору – уникальной, относящейся к сфере э-раскрытия электронной информации с собственных устройств сотрудников.


• Принцип 5: Собственные устройства сотрудников, не содержащие уникальной, относящейся к сфере э-раскрытия электронной информации не нужно рассматривать как источники данных для целей э-раскрытия.

Приложение A: Руководство по организации сотрудничества между различными подразделениями организации

Приложение B: Использование сотрудниками собственных устройств в международном контексте

Источник: сайт Конференции Седона
https://thesedonaconference.org/publication/Commentary%20on%20BYOD?
https://thesedonaconference.org/download-pub/5538