Směrnice o přijatelném používání (v praxi často označovaná jako firemní IT pravidla) říká každému, kdo používá vaše systémy, co smí dělat, co dělat nesmí a co může firma kontrolovat. Acceptable Use Express je samoobslužná dílna, která pomáhá evropské MSP sepsat takovou směrnici srozumitelným jazykem, navázanou na GDPR a ISO/IEC 27001, s pokrytím práce na dálku, osobních zařízení a generativní umělé inteligence. Dostanete pracovní návrh ve jménu vaší firmy, který musí schválit váš vlastní poradce.
Krátký, srozumitelný dokument, který vaše bezpečnostní záměry převádí do každodenních pravidel pro lidi
Většina malých a středních firem má počítače, poštovní schránku pro každého člověka, sdílené soubory v cloudu, několik firemních aplikací a stále častěji telefony a notebooky, které opouštějí kancelář. Často jim chybí jediný dokument, který srozumitelně řekne, jak se tyto nástroje smějí používat. Tím dokumentem je směrnice o přijatelném používání. Ve Francii se obvykle nazývá francouzsky charte informatique; jinde se setkáte s označeními „pravidla používání IT“, „pravidla používání počítačů“ nebo „IT charta“. Na názvu tolik nezáleží jako na jejích třech úkolech.
Uživatelé nemohou dodržovat pravidla, která nikdo nesepsal. Směrnice o přijatelném používání stanoví očekávané chování pro hesla, e-maily, prohlížení internetu, sdílení souborů, výměnná média, instalaci softwaru, osobní používání firemního vybavení, cesty a práci na dálku. Je to ta část vaší bezpečnosti, která míří k uživatelům a dorazí ke každému pracovnímu stolu.
Protokolování, filtrování, přístup k poštovní schránce během nepřítomnosti, správa zařízení, zálohování pracovních stanic: to vše zahrnuje osobní údaje zaměstnanců. Podle Obecného nařízení o ochraně osobních údajů (GDPR) musí být dotčené osoby informovány o účelech a podmínkách zpracování (článek 13). Směrnice o přijatelném používání je přirozené místo, kde tyto informace podat v jediném, souvislém textu, a ne rozesetě v několika e-mailech.
Když je pravidlo porušeno, organizace musí prokázat, že pravidlo existovalo, že o něm dotyčný věděl a že jakékoli sledování, které porušení odhalilo, bylo samo zákonné a přiměřené. Směrnice, která nebyla nikdy sdělena, nebo která skrývá sledování, o kterém zaměstnanci nikdy neslyšeli, vám ve sporu příliš nepomůže. To, jak se směrnice stane vymahatelnou, závisí na vnitrostátním pracovním právu, proto je tato stránka obecná a poslední krok vás odkáže na vašeho poradce.
Mezinárodní bezpečnostní norma tuto roli výslovně uznává. Norma ISO/IEC 27001:2022 v příloze A obsahuje opatření 5.10 „Přijatelné použití informací a dalších přidružených aktiv“, které očekává, že pravidla pro přijatelné používání a postupy pro nakládání s informacemi a aktivy budou určena, zdokumentována a zavedena. Směrnice o přijatelném používání je nejběžnější způsob, jak MSP tomuto očekávání dostojí, ať už o certifikaci usilují, nebo ne.
Zdroje: Nařízení (EU) 2016/679 (GDPR), EUR-Lex · ISO/IEC 27001, veřejná stránka na iso.org
Stejná hrstka chyb se vrací znovu a znovu. Žádná z nich nevyžaduje velký rozpočet na nápravu.
Směrnice stažená z internetu popisuje cizí nástroje, cizí zemi a cizí rizika. Zmiňuje systémy, které nepoužíváte, a mlčí o těch, které používáte. Zaměstnanci si toho všimnou a přestanou číst.
Dokument ležící ve sdílené složce nebyl zaměstnancům oznámen. Pokud nedokážete ukázat, kdo jej obdržel, kdy a v jaké verzi, bude se na něj později těžko spoléhat. V několika zemích jsou kroky informování nebo projednání se zaměstnanci podmínkou toho, aby bylo možné pravidla uplatnit.
Protokoly webového filtru, protokoly poštovní brány, nástroje správy koncových zařízení a nástroje prevence úniku dat všechny sledují lidi. GDPR vyžaduje transparentnost (článek 5 odst. 1 písm. a) a informování dotčených osob (článek 13). Tiše prováděné sledování je samo o sobě rizikem z hlediska souladu.
Mnohé směrnice vznikly v době, kdy každý pracoval u stolního počítače v kanceláři. Nic neříkají o domácí Wi-Fi, osobních telefonech přijímajících firemní e-maily ani o zaměstnancích, kteří vkládají údaje zákazníků do veřejného chatbota. Právě v mezerách se stávají incidenty.
Níže uvedené kapitoly tvoří páteř návrhu, který dílna vytvoří. Každá z nich se přizpůsobí vašim odpovědím a každou lze zkrátit nebo vypustit.
Zaměstnanci, stážisté, dočasní pracovníci, dodavatelé a každý, kdo má účet. Které systémy jsou kryty: pracovní stanice, mobilní zařízení, e-mail, kolaborativní sady, firemní aplikace, sítě, tiskárny, cloudové úložiště. Jasný rozsah předchází klasickému argumentu „na mě se to nevztahovalo“.
Osobní, nepřenosné účty; kvalita a uložení hesel; vícefaktorové ověřování tam, kde je firma nasadila; zamykání relace při odchodu od stolu; co dělat, pokud mohlo být heslo prozrazeno.
Související: NIS2, čl. 21 odst. 2 písm. j) uvádí vícefaktorové ověřování mezi opatřeními pro subjekty spadající do působnosti.
Služební používání jako pravidlo, přiměřené osobní používání, pokud to firma dovoluje, a jak mají být osobní zprávy označeny. Rozpoznávání phishingu, přílohy a odkazy, pravidla přeposílání, automatické přeposílání na osobní adresy, zakázané weby a obsah.
Které informace jsou důvěrné, jak je možné je sdílet interně a externě, schválené nástroje pro sdílení souborů, tisk, politika čistého stolu a povinnost zpracovávat osobní údaje pouze podle pokynů firmy.
GDPR čl. 29 a čl. 32 odst. 4: osoby jednající pod vedením správce zpracovávají osobní údaje pouze podle jeho pokynů.
Kdo smí instalovat software, používání osobních USB klíčů a externích disků, péče o notebooky a telefony, hlášení ztráty nebo krádeže a vrácení vybavení a přístupů při odchodu zaměstnance (příloha A normy ISO/IEC 27001:2022 obsahuje také opatření 5.11 o vrácení aktiv).
Práce z domova, z pracoviště klienta nebo na cestách: důvěryhodné sítě, VPN tam, kde je vyžadována, soukromí obrazovky, fyzická ochrana vybavení, videohovory na veřejných místech. Příloha A normy ISO/IEC 27001:2022 obsahuje samostatné opatření 6.7 „Práce na dálku“.
Zda smějí osobní telefony, tablety nebo počítače přistupovat k firemním datům, za jakých podmínek (zámek zařízení, aktualizace, oddělený pracovní profil, vzdálené vymazání pouze firemních dat) a co firma na osobním zařízení smí a nesmí vidět.
Které nástroje umělé inteligence jsou schváleny, která data do nich nikdy nesmějí být zadávána (osobní údaje, obchodní tajemství zákazníků, zdrojový kód, přihlašovací údaje), lidská kontrola výstupů a jak požádat o nový nástroj. Směrnice, která prostě vše zakazuje, obvykle používání vytlačí tam, kde ho nevidíte.
AI Act, nařízení (EU) 2024/1689, čl. 4 o gramotnosti zaměstnanců v oblasti AI.
Co je logováno, filtrováno nebo kontrolováno, k jakému účelu, kým, jak dlouho se logy uchovávají a práva dotčených osob. Právě v této kapitole se plní povinnosti GDPR týkající se transparentnosti a informování.
GDPR čl. 5 a čl. 13.
Jak a komu nahlásit podezřelý e-mail, ztracené zařízení nebo chybu, bez obavy z postihu, pokud je hlášení včasné. Odkaz na disciplinární řízení platné ve vaší organizaci (příloha A normy ISO/IEC 27001:2022, opatření 6.4 „Disciplinární proces“) a datum a verze směrnice.
Právní cesta se mezi členskými státy liší. Neliší se logika: zákonnost, přiměřenost, předem známé.
Směrnice o přijatelném používání téměř vždy popisuje zpracování osobních údajů zaměstnanců: logy účtů, záznamy o připojení, filtrování, evidenci zařízení, někdy přístup k poštovní schránce. Tři články GDPR tomuto zpracování dávají rámec v celé Evropské unii.
Článek 5, zásady. Osobní údaje musí být zpracovávány zákonným, korektním a transparentním způsobem; shromažďovány pro konkrétní, výslovné a legitimní účely; přiměřené, relevantní a omezené na nezbytný rozsah; uchovávány nejdéle po nezbytně dlouhou dobu; a zpracovávány s odpovídajícím zabezpečením. Podle článku 5 odst. 2 musí být správce schopen doložit soulad s těmito zásadami (odpovědnost). U směrnice o přijatelném používání to znamená, že každé popsané opatření by mělo mít uvedený účel a přiměřenou dobu uchovávání a měli byste být schopni ukázat, proč je přiměřené.
Článek 13, informace, které mají být poskytnuty. Pokud jsou údaje získávány od dotčené osoby, musí správce mimo jiné poskytnout svou identitu a kontaktní údaje, kontaktní údaje pověřence pro ochranu osobních údajů, existuje-li, účely a právní základ zpracování, oprávněné zájmy, pokud jsou základem, příjemce, dobu uchovávání a práva dotčené osoby. Směrnice o přijatelném používání nebo k ní připojené informační oznámení je praktickým nositelem těchto informací.
Článek 88, zpracování v souvislosti se zaměstnáním. GDPR umožňuje členským státům zákonem nebo kolektivními smlouvami stanovit konkrétnější pravidla pro zpracování osobních údajů zaměstnanců v souvislosti se zaměstnáním. Článek 88 odst. 2 vyžaduje, aby tato pravidla zahrnovala vhodná a zvláštní opatření k ochraně lidské důstojnosti, oprávněných zájmů a základních práv dotčených osob, se zvláštním zřetelem k transparentnosti zpracování, předávání v rámci skupiny podniků a systémům monitorování na pracovišti. V praxi je to důvod, proč odpověď na otázku „co můžeme sledovat a jak?“ částečně závisí na zemi, ve které působíte.
V celé EU stanoví směrnice 2002/14/ES obecný rámec pro informování a projednávání se zaměstnanci v podnicích nad prahy, které si každý členský stát volí v mezích stanovených směrnicí. Vnitrostátní právo a kolektivní smlouvy pak určují, zda musí být před zavedením pravidel pro používání IT nebo sledování na pracovišti informována nebo projednána rada zaměstnanců, zástupce zaměstnanců či odborová organizace, a v jaké formě. V některých zemích je směrnice o přijatelném používání připojena k vnitřnímu pracovnímu řádu a řídí se stejným postupem; v jiných je součástí pracovní smlouvy, kolektivní smlouvy nebo samostatné politiky, kterou každý uživatel potvrdí.
Vezměme Francii jako jeden příklad z mnoha: Code du travail (francouzský zákoník práce) stanoví, že sociální a ekonomický výbor (CSE) musí být před zavedením prostředků nebo technik umožňujících sledování činnosti zaměstnanců informován a konzultován a že o zaměstnanci osobně nelze shromažďovat žádné informace zařízením, které mu předtím nebylo známo. Francouzský úřad pro ochranu osobních údajů CNIL ve svém průvodci zabezpečením osobních údajů doporučuje, aby firma sepsala interní pravidla pro používání IT (IT chartu) a dala jim závaznou sílu, například jejich připojením k vnitřnímu pracovnímu řádu. Jiné země mají vlastní obdobné nástroje, proto se dílna ptá, kde jsou vaši zaměstnanci zaměstnáni, a označuje body, které je třeba ověřit s vaším poradcem.
Ať je vnitrostátní postup jakýkoli, uchovávejte důkazy: verzi a datum směrnice, datum jejího sdělení, způsob (e-mail, intranet, podklady pro nové zaměstnance, podpis) a to, kdo ji potvrdil. Při každé změně směrnici znovu sdělte. Příloha A normy ISO/IEC 27001:2022 to řadí mezi opatření týkající se lidí, spolu s podmínkami zaměstnání (6.2) a povědomím, vzděláváním a školením o bezpečnosti informací (6.3).
Důležité. Tato část je obecná informace o evropských a vnitrostátních textech. Nejde o právní poradenství a nenahrazuje analýzu pracovněprávního advokáta, pověřence pro ochranu osobních údajů nebo vašeho personalisty pro vaši konkrétní situaci, zemi a kolektivní smlouvy.
Zdroje: GDPR, čl. 5, 13 a 88 (EUR-Lex) · Směrnice 2002/14/ES (EUR-Lex) · Code du travail (Légifrance) · CNIL, průvodce zabezpečením osobních údajů · ISO/IEC 27001 (iso.org)
Směrnice o přijatelném používání není sama o sobě bezpečnostní politikou. Je to ta její část, která mluví k uživatelům.
Politika bezpečnosti informací je psána pro vedení a IT: stanoví cíle, role, ošetření rizik a opatření, ke kterým se firma zavazuje. Směrnice o přijatelném používání převádí její uživatelské části do konkrétního chování. Příloha A normy ISO/IEC 27001:2022 tyto dva dokumenty rozlišuje: opatření 5.1 „Politiky bezpečnosti informací“ a opatření 5.10 „Přijatelné použití informací a dalších přidružených aktiv“. Oba dokumenty by měly používat stejnou terminologii, stejnou klasifikaci informací a stejné kontakty, aby zaměstnanec nikdy nedostal protichůdné pokyny.
Pokud připravujete samotnou bezpečnostní politiku, podívejte se na naši sesterskou stránku pssi-express.eu.
Práce na dálku přesouvá firemní data do domácích sítí, na kuchyňské stoly a do vlakových sedadel. Směrnice o přijatelném používání je místem, kde uvedete minimální očekávání: používat firemní vybavení, je-li poskytnuto, udržovat ho aktualizované, připojovat se přes zabezpečený přístup firmy, když je to vyžadováno, nepoužívat veřejné tiskárny, chránit obrazovky a rozhovory a okamžitě hlásit ztrátu. Pokud máte také samostatnou dohodu nebo politiku o telepráci, měla by na ni směrnice o přijatelném používání odkazovat, nikoli ji opakovat. Bezpečnostní stránku pokrývá opatření 6.7 „Práce na dálku“ z přílohy A normy ISO/IEC 27001:2022.
Povolit osobním telefonům příjem firemních e-mailů je pohodlné a běžné. Vyvolává to také dvě otázky, na které musí směrnice odpovědět. Co firma od zařízení vyžaduje (zámek obrazovky, podporovaný operační systém, oddělený pracovní profil nebo kontejner)? A co firma smí vidět nebo smazat? Nástroje pro správu zařízení lze nastavit tak, aby spravovaly pouze firemní data; směrnice to má uvést a má uvést, co se stane s firemními daty, když člověk odejde. Technickou stránku rámuje opatření 8.1 „Koncová zařízení uživatelů“ z přílohy A normy ISO/IEC 27001:2022.
Veřejní asistenti umělé inteligence mohou být užiteční a zaměstnanci je často již používají. Riziko je v zadávaných datech a ve výstupech použitých bez kontroly. Krátká kapitola o AI obvykle uvádí schválené nástroje, zakazuje zadávat osobní údaje, důvěrné informace nebo přihlašovací údaje do neschválených služeb, vyžaduje lidskou kontrolu před dalším použitím a vysvětluje, jak požádat o nový nástroj. Pokud externí služba AI zpracovává osobní údaje jménem vaší firmy, uplatní se pravidla GDPR o zpracovatelích (článek 28) a o předávání mimo EU (kapitola V). Článek 4 AI Act, použitelný od 2. února 2025, ukládá poskytovatelům a zavádějícím subjektům systémů AI přijmout opatření k zajištění dostatečné úrovně gramotnosti jejich zaměstnanců v oblasti AI, a to v nejvyšší možné míře (ověřte aktuální konsolidované znění, neboť k tomuto článku byly navrženy změny); kapitola o AI ve směrnici o přijatelném používání spolu s krátkým školením povědomí je rozumným stavebním kamenem.
Nařízení (EU) 2024/1689 (AI Act) · GDPR, čl. 28 a kapitola V
U významných a důležitých subjektů podle směrnice NIS2 zahrnují opatření k řízení kybernetických rizik podle článku 21 základní postupy kybernetické hygieny a školení v oblasti kybernetické bezpečnosti (čl. 21 odst. 2 písm. g)) a bezpečnost lidských zdrojů, politiky řízení přístupu a řízení aktiv (čl. 21 odst. 2 písm. i)). Směrnice o přijatelném používání vás k souladu s NIS2 sama nepřivede, ale je jedním z dokumentů, které tato opatření podpírají.
Směrnice, která je podepsána a zapomenuta, nic nemění. Směrnice a program osvěty musí spolupracovat: směrnice stanoví pravidlo, krátká školení vysvětlují proč. Kde existuje pověřenec pro ochranu osobních údajů, GDPR mezi jeho úkoly uvádí osvětu a školení zaměstnanců (čl. 39 odst. 1 písm. b)). Národní agentury zveřejňují bezplatné materiály, které můžete znovu použít, například ENISA na úrovni EU a ve Francii ANSSI a cybermalveillance.gouv.fr.
Od začátku do konce zůstáváte v kontrole. Konzultanta si můžete přizvat, ale nikdy nemusíte.
Krátký dotazník o vaší organizaci: kde jsou vaši zaměstnanci zaměstnáni, jaké nástroje používají, zda jsou povolena osobní zařízení a práce na dálku, zda používáte asistenty umělé inteligence, zda máte zástupce zaměstnanců, zda už máte bezpečnostní politiku. Řekne vám, které kapitoly potřebujete a které body budou vyžadovat ověření místním právníkem.
Odpovídáte na vedené otázky vlastními slovy, kapitolu po kapitole: co je povoleno, co ne, co firma kontroluje a proč, jak dlouho se logy uchovávají, koho kontaktovat. Ke každé otázce je krátké vysvětlení a případně odkaz na oficiální zdroj. Můžete uložit rozpracované, vrátit se později a zapojit kolegu.
Směrnice se automaticky vygeneruje z vašich odpovědí, ve jménu vaší firmy, s odděleným informačním oznámením o sledování a potvrzovacím formulářem. Je to pracovní podklad: nechte jej zkontrolovat vlastním poradcem (pracovněprávním advokátem, pověřencem pro ochranu osobních údajů, personalistou), než jej sdělíte, tam, kde je to nutné, projednejte se zástupci zaměstnanců, a teprve pak jej přijměte.
Pokud chcete, aby s vámi někdo prošel vaše odpovědi, přizpůsobil návrh konkrétnímu kontextu nebo připravil prezentaci pro zaměstnance či jejich zástupce, můžete požádat o podporu partnerského konzultanta. Je to volitelné a odděleno od nástroje samoobsluhy.
Pracovní podklad, nikoli právní poradenství. Vygenerovaný dokument je návrh vytvořený z vašich vlastních odpovědí a z veřejných zdrojů. Nepředstavuje právní poradenství. Jeho platnost ve vaší zemi a postup, kterým se stane použitelným pro vaše zaměstnance, musí ověřit kvalifikovaný poradce.
Dokumenty, které můžete upravit, sdílet a uchovat jako důkaz
Hlavní dokument srozumitelným jazykem, sestavený z vašich odpovědí.
Samostatné oznámení strukturované podle článku 13 GDPR.
Co potřebujete ke sdělení směrnice a k uchování stopy.
Kde každá kapitola navazuje na veřejné texty.
Krátká samostatná příloha, kterou můžete aktualizovat častěji než směrnici.
Váš dokument zůstává vaším, ve formátech, které můžete měnit.
Citujeme pouze texty, na které můžeme odkázat. Tam, kde něco závisí na vnitrostátním právu, to návrh uvede, místo aby hádal.
Článek 5 (zásady a odpovědnost), článek 13 (informování dotčených osob), článek 88 (zpracování v souvislosti se zaměstnáním) a podle potřeby článek 28 (zpracovatelé), článek 32 (bezpečnost zpracování) a článek 39 (úkoly pověřence pro ochranu osobních údajů).
Opatření 5.10 „Přijatelné použití informací a dalších přidružených aktiv“ se souvisejícími opatřeními 5.1 (politiky bezpečnosti informací), 5.11 (vrácení aktiv), 6.2 (podmínky zaměstnání), 6.3 (povědomí, vzdělávání a školení), 6.4 (disciplinární proces), 6.7 (práce na dálku) a 8.1 (koncová zařízení uživatelů). Norma se prodává prostřednictvím ISO; uvádíme pouze názvy opatření.
Pouze pro subjekty spadající do působnosti: článek 21 odst. 2 písm. g) základní postupy kybernetické hygieny a školení v oblasti kybernetické bezpečnosti, odst. 2 písm. i) bezpečnost lidských zdrojů, politiky řízení přístupu a řízení aktiv, odst. 2 písm. j) vícefaktorové ověřování. Platí vnitrostátní předpisy o transpozici.
Článek 4 o gramotnosti v oblasti AI, použitelný od 2. února 2025 pro poskytovatele a zavádějící subjekty systémů AI (před spoléháním ověřte aktuální konsolidované znění). Relevantní, jakmile vaši zaměstnanci používají systémy AI při práci.
Co každá možnost obsahuje. Dostupnost bude oznámena na této stránce.
Abyste zjistili, co potřebujete, než začnete
Pro vytvoření vlastního návrhu směrnice
Pro doplnění lidské kontroly k návrhu ze samoobsluhy
U každé možnosti je dokument pracovním podkladem, který musí schválit váš vlastní poradce. Nepředstavuje právní poradenství.
Stručné odpovědi. Kde je citován text, odkaz vede na oficiální zdroj.
Každé regulatorní nebo normativní tvrzení výše odkazuje na jeden z těchto zdrojů.
Tato stránka poskytuje obecné informace. Nepředstavuje právní poradenství.
Samoobslužná dílna se připravuje. Otevře se na této stránce.
Dotazy mezitím: contact@syaga.eu