Polityka dopuszczalnego użytkowania (często nazywana regulaminem korzystania z zasobów IT) mówi każdemu, kto korzysta z Twoich systemów, co wolno mu robić, czego robić nie wolno i co firma może kontrolować. Acceptable Use Express to warsztat samoobsługowy, który pomaga europejskiemu MŚP napisać taki dokument prostym językiem, powiązany z RODO i normą ISO/IEC 27001, z uwzględnieniem pracy zdalnej, prywatnych urządzeń i generatywnej AI. Otrzymujesz roboczy projekt na nazwę Twojej firmy, do zatwierdzenia przez własnego doradcę.
Krótki, czytelny dokument, który przekłada zamiary w zakresie bezpieczeństwa na codzienne zasady dla ludzi
Większość małych i średnich firm ma komputery, skrzynkę pocztową dla każdej osoby, pliki we wspólnej chmurze, kilka aplikacji biznesowych i coraz częściej telefony oraz laptopy, które wychodzą z biura. Często brakuje jednego dokumentu, który w języku zrozumiałym dla pracownika określa, jak można korzystać z tych narzędzi. Tym dokumentem jest polityka dopuszczalnego użytkowania. We Francji zwykle nazywa się ją charte informatique; w Polsce mówi się najczęściej o regulaminie korzystania z zasobów IT, a w innych krajach spotyka się określenia „IT usage policy”, „computer use policy” lub „IT charter”. Nazwa jest mniej ważna niż trzy zadania, które dokument spełnia.
Użytkownicy nie mogą przestrzegać zasad, których nikt nie spisał. Polityka dopuszczalnego użytkowania określa oczekiwane zachowania dotyczące haseł, poczty e-mail, przeglądania internetu, udostępniania plików, nośników wymiennych, instalacji oprogramowania, prywatnego użytku sprzętu firmowego, podróży i pracy zdalnej. To ta część systemu bezpieczeństwa, która trafia do użytkowników i dociera do każdego biurka.
Rejestrowanie zdarzeń, filtrowanie, dostęp do skrzynki w czasie nieobecności, zarządzanie urządzeniami, kopie zapasowe stacji roboczych: wszystko to dotyczy danych osobowych pracowników. Zgodnie z ogólnym rozporządzeniem o ochronie danych osoby, których dotyczy przetwarzanie, muszą zostać poinformowane o celach i warunkach przetwarzania (art. 13). Polityka dopuszczalnego użytkowania to naturalne miejsce na przekazanie tej informacji w jednym, spójnym tekście, a nie w rozproszonych wiadomościach e-mail.
Gdy zasada zostanie złamana, organizacja musi wykazać, że zasada istniała, że osoba o niej wiedziała i że monitoring, który ujawnił naruszenie, sam był zgodny z prawem i proporcjonalny. Polityka, która nigdy nie została przekazana albo ukrywa monitoring, o którym personel nie został poinformowany, daje bardzo słabe podstawy. To, jak polityka staje się egzekwalna, zależy od krajowego prawa pracy, dlatego ta strona jest ogólna, a ostatni krok zostawiamy Twojemu doradcy.
Międzynarodowa norma bezpieczeństwa wprost uznaje tę rolę. ISO/IEC 27001:2022, w załączniku A, zawiera zabezpieczenie 5.10 „Dopuszczalne użytkowanie informacji i innych powiązanych aktywów”, które wymaga, aby zasady dopuszczalnego użytkowania oraz procedury postępowania z informacjami i aktywami były określone, udokumentowane i wdrożone. Polityka dopuszczalnego użytkowania to najczęstszy sposób, w jaki MŚP spełniają ten wymóg, niezależnie od tego, czy ubiegają się o certyfikację.
Źródła: Rozporządzenie (UE) 2016/679 (RODO), EUR-Lex · ISO/IEC 27001, publiczna strona iso.org
Te same kilka błędów powtarza się raz po raz. Żeby je naprawić, nie trzeba dużego budżetu.
Polityka pobrana z internetu opisuje cudze narzędzia, cudzy kraj i cudze ryzyka. Wspomina systemy, których nie używasz, i milczy o tych, które używasz. Pracownicy to zauważają i przestają czytać.
Dokument leżący we wspólnym folderze nie został przekazany. Jeśli nie możesz wykazać, kto go otrzymał, kiedy i w jakiej wersji, trudno będzie się na nim oprzeć w przyszłości. W kilku krajach to właśnie etapy informowania lub konsultacji z pracownikami decydują o tym, że zasady stają się obowiązujące.
Dzienniki filtrowania stron, dzienniki bramy poczty, narzędzia zarządzania urządzeniami końcowymi i zapobiegania utracie danych: wszystkie obserwują ludzi. RODO wymaga przejrzystości (art. 5 ust. 1 lit. a) oraz informowania osób, których dotyczy przetwarzanie (art. 13). Monitoring utrzymywany w tajemnicy sam w sobie stanowi ryzyko w zakresie zgodności.
Wiele regulaminów powstało wtedy, gdy wszyscy pracowali przy komputerze stacjonarnym w biurze. Nic nie mówią o domowej sieci Wi-Fi, prywatnych telefonach odbierających firmową pocztę ani pracownikach wklejających dane klientów do publicznego chatbota. Luka właśnie tam powoduje incydenty.
Poniższe rozdziały są szkieletem projektu, który powstaje podczas warsztatu. Każdy z nich dostosowuje się do Twoich odpowiedzi i każdy można skrócić lub usunąć.
Pracownicy, stażyści, pracownicy tymczasowi, współpracownicy zewnętrzni i każdy, kto ma konto. Jakie systemy są objęte: stacje robocze, urządzenia mobilne, poczta e-mail, pakiety do współpracy, aplikacje biznesowe, sieci, drukarki, przechowywanie w chmurze. Jasny zakres zapobiega klasycznemu argumentowi „to mnie nie dotyczy”.
Konta imienne, nieprzenoszalne; jakość i przechowywanie haseł; uwierzytelnianie wieloskładnikowe tam, gdzie firma je wdrożyła; blokowanie sesji przy opuszczaniu stanowiska; co zrobić, jeśli hasło mogło wyciec.
Powiązane: NIS2, art. 21 ust. 2 lit. j wymienia uwierzytelnianie wieloskładnikowe wśród środków dla podmiotów objętych zakresem.
Służbowe użycie jako zasada, rozsądny użytek prywatny, jeśli firma na to pozwala, oraz sposób oznaczania prywatnych wiadomości. Reagowanie na phishing, załączniki i linki, zasady przekazywania wiadomości, automatyczne przekierowania na prywatne adresy, zakazane strony i treści.
Które informacje są poufne, jak mogą być udostępniane wewnątrz i na zewnątrz, zatwierdzone narzędzia do udostępniania plików, drukowanie, czyste biurko oraz obowiązek przetwarzania danych osobowych wyłącznie zgodnie z poleceniami firmy.
RODO art. 29 i art. 32 ust. 4: osoby działające z upoważnienia administratora przetwarzają dane osobowe wyłącznie na jego polecenie.
Kto może instalować oprogramowanie, używanie prywatnych pendrive’ów i dysków zewnętrznych, dbanie o laptopy i telefony, zgłaszanie zagubienia lub kradzieży oraz zwrot sprzętu i odebranie dostępów, gdy ktoś odchodzi (ISO/IEC 27001:2022, załącznik A, zawiera też zabezpieczenie 5.11 dotyczące zwrotu aktywów).
Praca z domu, z siedziby klienta lub w drodze: zaufane sieci, VPN, gdy jest wymagany, prywatność ekranu, fizyczna ochrona sprzętu, rozmowy wideo w miejscach publicznych. ISO/IEC 27001:2022, załącznik A, ma osobne zabezpieczenie 6.7 „Praca zdalna”.
Czy prywatne telefony, tablety lub komputery mogą uzyskiwać dostęp do danych firmowych, na jakich warunkach (blokada urządzenia, aktualizacje, odrębny profil służbowy, zdalne usunięcie wyłącznie danych firmowych) oraz co firma może, a czego nie może widzieć na prywatnym urządzeniu.
Które narzędzia AI są zatwierdzone, jakich danych nigdy do nich nie wprowadzać (dane osobowe, tajemnice klientów, kod źródłowy, dane uwierzytelniające), ludzka weryfikacja wyników oraz jak zgłosić potrzebę nowego narzędzia. Polityka, która po prostu zakazuje wszystkiego, zwykle spycha korzystanie z AI poza Twoją kontrolę.
AI Act, rozporządzenie (UE) 2024/1689, art. 4 dotyczący kompetencji pracowników w zakresie AI.
Co jest rejestrowane, filtrowane lub sprawdzane, w jakim celu, przez kogo, jak długo przechowywane są dzienniki oraz prawa osób, których to dotyczy. To w tym rozdziale spełnia się obowiązki RODO dotyczące przejrzystości i informowania.
RODO art. 5 i art. 13.
Jak i do kogo zgłosić podejrzaną wiadomość e-mail, zgubione urządzenie lub pomyłkę, bez obawy przed konsekwencjami za szybkie zgłoszenie. Odniesienie do ram dyscyplinarnych obowiązujących w Twojej organizacji (ISO/IEC 27001:2022, załącznik A, zabezpieczenie 6.4 „Proces dyscyplinarny”) oraz data i wersja polityki.
Ścieżka prawna różni się między państwami członkowskimi. Nie różni się logika: zgodność z prawem, proporcjonalność, znajomość z wyprzedzeniem.
Polityka dopuszczalnego użytkowania prawie zawsze opisuje przetwarzanie danych osobowych pracowników: dzienniki kont, rejestry połączeń, filtrowanie, inwentarz urządzeń, czasem dostęp do skrzynki. Trzy artykuły RODO wyznaczają ramy tego przetwarzania w całej Unii Europejskiej.
Art. 5, zasady. Dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty; zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach; adekwatne, stosowne i ograniczone do tego, co niezbędne; przechowywane nie dłużej, niż to konieczne; oraz przetwarzane z odpowiednim zabezpieczeniem. Zgodnie z art. 5 ust. 2 administrator musi być w stanie wykazać zgodność z tymi zasadami (rozliczalność). W polityce dopuszczalnego użytkowania oznacza to, że każdy opisany mechanizm kontroli powinien mieć określony cel i rozsądny okres przechowywania, a Ty powinieneś umieć wykazać, dlaczego jest proporcjonalny.
Art. 13, informacje do przekazania. Gdy dane są zbierane od osoby, której dotyczą, administrator musi przekazać m.in. swoją tożsamość i dane kontaktowe, dane kontaktowe inspektora ochrony danych, jeśli został wyznaczony, cele i podstawę prawną przetwarzania, prawnie uzasadnione interesy realizowane w tym celu, gdy stanowią podstawę, odbiorców, okres przechowywania oraz prawa tej osoby. Polityka dopuszczalnego użytkowania lub załączona do niej klauzula informacyjna to praktyczny nośnik tych informacji.
Art. 88, przetwarzanie w kontekście zatrudnienia. RODO pozwala państwom członkowskim, ustawą lub układami zbiorowymi, przewidzieć bardziej szczegółowe zasady przetwarzania danych osobowych pracowników w kontekście zatrudnienia. Art. 88 ust. 2 wymaga, aby takie zasady obejmowały odpowiednie i szczegółowe środki ochrony godności, prawnie uzasadnionych interesów i praw podstawowych osób, których dotyczy, ze szczególnym uwzględnieniem przejrzystości przetwarzania, przekazywania danych w obrębie grupy przedsiębiorstw oraz systemów monitoringu w miejscu pracy. W praktyce dlatego odpowiedź na pytanie „co możemy monitorować i w jaki sposób?” częściowo zależy od kraju, w którym działasz.
W całej UE dyrektywa 2002/14/WE ustanawia ogólne ramy informowania i konsultowania pracowników w przedsiębiorstwach powyżej progów, które każde państwo członkowskie wyznacza w granicach określonych przez dyrektywę. Prawo krajowe i układy zbiorowe określają następnie, czy przed wprowadzeniem zasad korzystania z IT lub monitoringu w miejscu pracy trzeba poinformować lub skonsultować się z radą pracowników, organem przedstawicieli personelu albo związkiem zawodowym, i w jakiej formie. W niektórych krajach polityka dopuszczalnego użytkowania jest załącznikiem do wewnętrznego regulaminu pracy i przechodzi tę samą procedurę; w innych jest częścią umowy o pracę, układu zbiorowego lub samodzielnej polityki potwierdzanej przez każdego użytkownika.
Weźmy Francję jako jeden z wielu przykładów: Code du travail (Kodeks pracy) przewiduje, że komitet społeczny i ekonomiczny (CSE) jest informowany i konsultowany przed wprowadzeniem w firmie środków lub technik umożliwiających monitorowanie aktywności pracowników, oraz że żadna informacja dotycząca konkretnego pracownika nie może być zbierana urządzeniem, o którym pracownik wcześniej nie został poinformowany. Francuski organ ochrony danych, CNIL, zaleca w swoim przewodniku po bezpieczeństwie danych osobowych, aby firma opracowała regulamin IT i nadała mu moc wiążącą, na przykład załączając go do wewnętrznego regulaminu pracy. Inne kraje mają własne odpowiedniki, dlatego warsztat pyta, gdzie zatrudniony jest Twój personel, i zaznacza punkty do sprawdzenia z doradcą.
Niezależnie od ścieżki krajowej zachowaj dowody: wersję i datę polityki, datę przekazania, sposób (e-mail, intranet, pakiet wdrożeniowy, podpis) oraz to, kto potwierdził zapoznanie się. Ponownie przekaż politykę przy każdej zmianie. ISO/IEC 27001:2022, załącznik A, traktuje to jako część zabezpieczeń dotyczących ludzi, obok warunków zatrudnienia (6.2) oraz świadomości, edukacji i szkoleń w zakresie bezpieczeństwa informacji (6.3).
Ważne. Ta sekcja to ogólne informacje o tekstach europejskich i krajowych. Nie stanowi porady prawnej i nie zastępuje analizy prawnika specjalizującego się w prawie pracy, inspektora ochrony danych lub doradcy ds. HR w odniesieniu do Twojej konkretnej sytuacji, kraju i układów zbiorowych.
Źródła: RODO, art. 5, 13 i 88 (EUR-Lex) · Dyrektywa 2002/14/WE (EUR-Lex) · Code du travail (Légifrance) · CNIL, przewodnik po bezpieczeństwie danych osobowych · ISO/IEC 27001 (iso.org)
Polityka dopuszczalnego użytkowania nie jest samodzielną polityką bezpieczeństwa. To jej część skierowana do użytkowników.
Polityka bezpieczeństwa informacji jest pisana dla kierownictwa i działu IT: określa cele, role, postępowanie z ryzykiem oraz środki, do których firma się zobowiązuje. Polityka dopuszczalnego użytkowania przekłada jej części skierowane do użytkowników na konkretne zachowania. ISO/IEC 27001:2022, załącznik A, rozdziela oba dokumenty: zabezpieczenie 5.1 „Polityki bezpieczeństwa informacji” oraz zabezpieczenie 5.10 „Dopuszczalne użytkowanie informacji i innych powiązanych aktywów”. Oba dokumenty powinny używać tego samego słownictwa, tej samej klasyfikacji informacji i tych samych kontaktów, tak aby pracownik nigdy nie otrzymywał sprzecznych poleceń.
Jeśli budujesz samą politykę bezpieczeństwa, zobacz naszą stronę siostrzaną pssi-express.eu.
Praca zdalna przenosi dane firmowe do domowych sieci, na kuchenne stoły i do siedzeń w pociągu. W polityce dopuszczalnego użytkowania określasz minimalne oczekiwania: korzystanie ze sprzętu firmowego, jeśli jest dostarczony, utrzymywanie go w aktualności, łączenie się przez bezpieczny dostęp firmy, gdy jest wymagany, unikanie drukowania w miejscach publicznych, ochrona ekranów i rozmów oraz natychmiastowe zgłaszanie zagubienia. Jeśli masz też osobną umowę lub politykę o telepracy, polityka dopuszczalnego użytkowania powinna się do niej odwoływać, a nie ją powtarzać. Aspekt bezpieczeństwa obejmuje ISO/IEC 27001:2022, załącznik A, zabezpieczenie 6.7 „Praca zdalna”.
Zezwolenie na odbieranie firmowej poczty e-mail na prywatnych telefonach jest wygodne i powszechne. Rodzi też dwa pytania, na które polityka musi odpowiedzieć. Czego firma wymaga od urządzenia (blokada ekranu, obsługiwany system operacyjny, odrębny profil służbowy lub kontener)? I co firma może zobaczyć lub usunąć? Narzędzia zarządzania urządzeniami można skonfigurować tak, aby zarządzały wyłącznie danymi firmowymi; polityka powinna to powiedzieć i określić, co dzieje się z danymi firmowymi, gdy osoba odchodzi. Aspekt techniczny opisuje ISO/IEC 27001:2022, załącznik A, zabezpieczenie 8.1 „Urządzenia końcowe użytkowników”.
Publiczni asystenci AI mogą być przydatni, a personel często już z nich korzysta. Ryzyko tkwi we wprowadzanych danych i w wynikach używanych bez weryfikacji. Krótki rozdział o AI zwykle wymienia zatwierdzone narzędzia, zakazuje wprowadzania danych osobowych, informacji poufnych lub danych uwierzytelniających do niezatwierdzonych usług, wymaga ludzkiej weryfikacji przed ponownym użyciem i wyjaśnia, jak zgłosić potrzebę nowego narzędzia. Jeśli zewnętrzna usługa AI przetwarza w Twoim imieniu dane osobowe, stosuje się zasady RODO dotyczące podmiotów przetwarzających (art. 28) i przekazywania danych poza UE (rozdział V). Art. 4 AI Act, stosowany od 2 lutego 2025 r., wymaga od dostawców i podmiotów stosujących systemy AI podjęcia działań, aby w możliwie największym stopniu zapewnić wystarczający poziom kompetencji personelu w zakresie AI (sprawdź aktualne skonsolidowane brzmienie, ponieważ proponowano zmiany tego artykułu); rozdział o AI w polityce dopuszczalnego użytkowania oraz krótka sesja uświadamiająca to rozsądny element.
Rozporządzenie (UE) 2024/1689 (AI Act) · RODO, art. 28 i rozdział V
W przypadku podmiotów kluczowych i ważnych w rozumieniu dyrektywy NIS2 środki zarządzania ryzykiem cyberbezpieczeństwa z art. 21 obejmują podstawowe praktyki higieny cyfrowej i szkolenia z cyberbezpieczeństwa (art. 21 ust. 2 lit. g) oraz bezpieczeństwo zasobów ludzkich, polityki kontroli dostępu i zarządzanie aktywami (art. 21 ust. 2 lit. i). Polityka dopuszczalnego użytkowania nie czyni Cię zgodnym z NIS2, ale jest jednym z dokumentów wspierających te środki.
Polityka, którą podpisano i zapomniano, niczego nie zmienia. Polityka i program uświadamiania powinny działać razem: polityka określa zasadę, krótkie sesje wyjaśniają, dlaczego. Tam, gdzie wyznaczono inspektora ochrony danych, RODO wymienia wśród jego zadań podnoszenie świadomości i szkolenia personelu (art. 39 ust. 1 lit. b). Agencje krajowe publikują bezpłatne materiały, z których możesz korzystać, na przykład ENISA na poziomie UE, a we Francji ANSSI i cybermalveillance.gouv.fr.
Od początku do końca masz kontrolę. Konsultant to opcja, nigdy wymóg.
Krótka ankieta o Twojej organizacji: gdzie zatrudniony jest personel, jakich narzędzi używa, czy dozwolone są urządzenia prywatne i praca zdalna, czy korzystasz z asystentów AI, czy masz przedstawicieli personelu, czy masz już politykę bezpieczeństwa. Pokazuje, których rozdziałów potrzebujesz i które punkty będą wymagały lokalnej weryfikacji prawnej.
Odpowiadasz na kolejne pytania własnymi słowami, rozdział po rozdziale: co jest dozwolone, czego nie wolno, co firma kontroluje i dlaczego, jak długo przechowywane są dzienniki, z kim się kontaktować. Każde pytanie ma krótkie wyjaśnienie i, tam gdzie to istotne, link do oficjalnego źródła. Możesz zapisać odpowiedzi, wrócić do nich później i zaprosić współpracownika.
Polityka jest generowana automatycznie na podstawie Twoich odpowiedzi, w nazwie Twojej firmy, wraz z odrębną klauzulą informacyjną o monitoringu i formularzem potwierdzenia zapoznania się. To robocza podstawa: przed przekazaniem personelowi zleć jej przegląd własnemu doradcy (prawnikowi od prawa pracy, inspektorowi ochrony danych, HR), skonsultuj się z przedstawicielami tam, gdzie jest to wymagane, i dopiero potem ją przyjmij.
Jeśli chcesz, aby ktoś przejrzał z Tobą odpowiedzi, dostosował projekt do konkretnego kontekstu lub przygotował prezentację dla personelu albo jego przedstawicieli, możesz poprosić o wsparcie konsultanta partnerskiego. To opcja oddzielona od narzędzia samoobsługowego.
Robocza podstawa, a nie porada prawna. Wygenerowany dokument to projekt zbudowany na Twoich odpowiedziach i publicznych źródłach. Nie stanowi porady prawnej. Jego ważność w Twoim kraju oraz procedurę, by stał się wiążący dla personelu, musi sprawdzić wykwalifikowany doradca.
Dokumenty, które możesz edytować, przekazać i zachować jako dowód
Główny dokument, napisany prostym językiem, zbudowany na Twoich odpowiedziach.
Odrębna klauzula zbudowana wokół art. 13 RODO.
To, czego potrzebujesz, aby przekazać politykę i zachować ślad.
Jak każdy rozdział łączy się z tekstami publicznymi.
Krótki, samodzielny załącznik, który możesz aktualizować częściej niż politykę.
Dokument pozostaje Twój, w formatach, które możesz zmieniać.
Przywołujemy wyłącznie teksty, do których możemy podać link. Tam, gdzie coś zależy od prawa krajowego, projekt to mówi zamiast zgadywać.
Art. 5 (zasady i rozliczalność), art. 13 (informowanie osób, których dotyczy przetwarzanie), art. 88 (przetwarzanie w kontekście zatrudnienia) oraz, tam gdzie to istotne, art. 28 (podmioty przetwarzające), art. 32 (bezpieczeństwo przetwarzania) i art. 39 (zadania inspektora ochrony danych).
Zabezpieczenie 5.10 „Dopuszczalne użytkowanie informacji i innych powiązanych aktywów” oraz powiązane zabezpieczenia: 5.1 (polityki bezpieczeństwa informacji), 5.11 (zwrot aktywów), 6.2 (warunki zatrudnienia), 6.3 (świadomość, edukacja i szkolenia w zakresie bezpieczeństwa informacji), 6.4 (proces dyscyplinarny), 6.7 (praca zdalna) i 8.1 (urządzenia końcowe użytkowników). Norma jest sprzedawana przez ISO; przywołujemy wyłącznie tytuły zabezpieczeń.
Wyłącznie dla podmiotów objętych zakresem: art. 21 ust. 2 lit. g (podstawowe praktyki higieny cyfrowej i szkolenia z cyberbezpieczeństwa), art. 21 ust. 2 lit. i (bezpieczeństwo zasobów ludzkich, polityki kontroli dostępu i zarządzanie aktywami), art. 21 ust. 2 lit. j (uwierzytelnianie wieloskładnikowe). Stosuje się krajowe przepisy transponujące.
Art. 4 o kompetencjach w zakresie AI, stosowany od 2 lutego 2025 r. wobec dostawców i podmiotów stosujących systemy AI (przed poleganiem na nim sprawdź aktualne skonsolidowane brzmienie). Istotny, gdy tylko personel używa systemów AI w pracy.
Co zawiera każda opcja. Dostępność zostanie ogłoszona na tej stronie.
Aby sprawdzić, czego potrzebujesz, zanim zaczniesz
Aby przygotować własny projekt polityki
Aby dodać ludzką weryfikację do projektu samoobsługowego
We wszystkich opcjach dokument jest roboczą podstawą do zatwierdzenia przez własnego doradcę. Nie stanowi porady prawnej.
Krótkie odpowiedzi. Gdy przywołano tekst, link prowadzi do oficjalnego źródła.
Każde stwierdzenie regulacyjne lub normatywne powyżej odsyła do jednego z tych źródeł.
Ta strona zawiera ogólne informacje. Nie stanowi porady prawnej.
Warsztat samoobsługowy jest przygotowywany. Otworzy się na tej stronie.
Pytania w międzyczasie: contact@syaga.eu