O politică de utilizare acceptabilă (în Franța, charte informatique) le spune tuturor celor care folosesc sistemele dumneavoastră ce au voie să facă, ce nu au voie să facă și ce poate verifica compania. Acceptable Use Express este un atelier self-service care ajută un IMM european să redacteze una în limbaj clar, legată de RGPD și de ISO/IEC 27001, cu acoperire pentru munca la distanță, dispozitivele personale și inteligența artificială generativă. Primiți un proiect de lucru în numele companiei dumneavoastră, care va fi validat de propriul consilier.
Un document scurt și lizibil, care transformă intențiile dumneavoastră de securitate în reguli cotidiene pentru oameni
Majoritatea întreprinderilor mici și mijlocii au calculatoare, o adresă de e-mail pentru fiecare persoană, fișiere partajate în cloud, câteva aplicații de business și, din ce în ce mai des, telefoane și laptopuri care ies din birou. Ce le lipsește adesea este un singur document care să spună, în cuvinte pe care le înțelege un angajat, cum pot fi folosite aceste instrumente. Acest document este politica de utilizare acceptabilă. În Franța se numește de obicei charte informatique; în alte părți veți întâlni „politica de utilizare a IT”, „politica de utilizare a calculatoarelor” sau „regulile de utilizare a sistemelor informatice”. Numele contează mai puțin decât cele trei roluri ale sale.
Utilizatorii nu pot respecta reguli care nu au fost scrise. O politică de utilizare acceptabilă precizează comportamentul așteptat pentru parole, e-mail, navigarea pe internet, partajarea fișierelor, suporturile amovibile, instalarea de software, utilizarea personală a echipamentelor companiei, deplasările și munca la distanță. Este partea de securitate care se adresează utilizatorilor, cea care ajunge la fiecare birou.
Jurnalizarea, filtrarea, accesul la cutia poștală în perioada de absență, gestionarea dispozitivelor, copiile de rezervă ale stațiilor de lucru: toate acestea implică date cu caracter personal ale angajaților. În temeiul Regulamentului general privind protecția datelor, persoanele vizate trebuie informate cu privire la scopurile și condițiile prelucrării (articolul 13). Politica de utilizare acceptabilă este locul firesc pentru a oferi această informație într-un singur text coerent, nu în e-mailuri împrăștiate.
Atunci când o regulă este încălcată, o organizație trebuie să poată arăta că regula exista, că persoana o cunoștea și că orice monitorizare care a descoperit încălcarea a fost ea însăși legală și proporțională. O politică care nu a fost niciodată comunicată sau care ascunde o monitorizare despre care personalul nu a auzit vreodată vă oferă foarte puține argumente. Modul în care o politică devine opozabilă depinde de dreptul muncii național, de aceea această pagină rămâne generală și vă trimitem la consilierul dumneavoastră pentru ultimul pas.
Standardul internațional de securitate recunoaște explicit acest rol. ISO/IEC 27001:2022, în Anexa A, include controlul 5.10 „Utilizarea acceptabilă a informațiilor și a altor active asociate”, care prevede că regulile de utilizare acceptabilă și procedurile de tratare a informațiilor și a activelor trebuie identificate, documentate și implementate. O politică de utilizare acceptabilă este cea mai frecventă modalitate prin care IMM-urile își îndeplinesc această așteptare, indiferent dacă solicită sau nu certificarea.
Surse: Regulamentul (UE) 2016/679 (RGPD), EUR-Lex · ISO/IEC 27001, pagina publică de pe iso.org
Aceleași câteva greșeli revin mereu. Niciuna nu necesită un buget mare pentru a fi reparată.
O politică descărcată de pe internet descrie instrumentele altcuiva, țara altcuiva și riscurile altcuiva. Menționează sisteme pe care nu le folosiți și tace despre cele pe care le folosiți. Angajații observă și încetează să citească.
Un document aflat într-un dosar partajat nu a fost comunicat. Dacă nu puteți arăta cine l-a primit, când și în ce versiune, va fi greu să vă bazați pe el mai târziu. În mai multe țări, etapele de informare sau de consultare a angajaților fac parte din ceea ce face regulile aplicabile.
Jurnalele de filtrare web, jurnalele gateway-ului de e-mail, gestionarea endpoint-urilor și instrumentele de prevenire a pierderii de date observă toate oamenii. RGPD impune transparența (articolul 5 alineatul 1 litera a) și informarea persoanelor vizate (articolul 13). Monitorizarea tăcută este în sine un risc de conformitate.
Multe politici de acest fel au fost scrise pe vremea când toată lumea lucra la birou, pe desktop. Nu spun nimic despre Wi-Fi-ul de acasă, despre telefoanele personale care primesc e-mailul companiei sau despre angajații care lipesc datele clienților într-un chatbot public. Lacuna este locul unde apar incidentele.
Capitolele de mai jos sunt coloana vertebrală a proiectului pe care îl produce atelierul. Fiecare este adaptat răspunsurilor dumneavoastră și poate fi scurtat sau eliminat.
Angajați, stagiari, personal temporar, colaboratori externi și oricine are un cont. Ce sisteme sunt acoperite: stații de lucru, dispozitive mobile, e-mail, suite de colaborare, aplicații de business, rețele, imprimante, stocare în cloud. Un domeniu clar evită clasica replică „asta nu mă privește”.
Conturi personale, netransmisibile; calitatea și stocarea parolelor; autentificare multifactor acolo unde compania a implementat-o; blocarea sesiunii când părăsiți biroul; ce trebuie făcut dacă o parolă ar fi putut fi expusă.
Conex: NIS2, art. 21 alin. (2) lit. (j) include autentificarea multifactor printre măsurile pentru entitățile incluse în domeniu.
Utilizarea profesională ca regulă, utilizarea personală rezonabilă dacă compania o permite și modul în care mesajele personale trebuie identificate. Reflexele de apărare împotriva phishingului, atașamentele și linkurile, regulile de redirecționare, redirecționarea automată către adrese personale, site-urile și conținutul interzise.
Ce informații sunt confidențiale, cum pot fi partajate intern și extern, instrumentele de partajare a fișierelor aprobate, imprimarea, biroul curat și obligația de a prelucra datele cu caracter personal numai conform instrucțiunilor companiei.
RGPD art. 29 și art. 32 alin. (4): persoanele care acționează sub autoritatea operatorului prelucrează datele cu caracter personal numai conform instrucțiunilor acestuia.
Cine poate instala software, utilizarea stick-urilor USB personale și a hard-urilor externe, îngrijirea laptopurilor și a telefoanelor, raportarea pierderii sau furtului și restituirea echipamentelor și a accesului atunci când cineva pleacă (ISO/IEC 27001:2022 Anexa A are și un control privind restituirea activelor, 5.11).
Lucrul de acasă, de la sediul unui client sau în deplasare: rețele de încredere, VPN atunci când este necesar, confidențialitatea ecranului, protecția fizică a echipamentelor, apelurile video în locuri publice. ISO/IEC 27001:2022 Anexa A are un control dedicat, 6.7 „Munca la distanță”.
Dacă telefoanele, tabletele sau calculatoarele personale pot accesa datele companiei, în ce condiții (blocarea dispozitivului, actualizări, profil de lucru separat, ștergere de la distanță doar a datelor companiei) și ce poate sau nu poate vedea compania pe un dispozitiv personal.
Ce instrumente de IA sunt aprobate, ce date nu trebuie introduse niciodată în ele (date personale, secrete ale clienților, cod sursă, credențiale), verificarea umană a rezultatelor și cum se solicită un instrument nou. O politică ce interzice pur și simplu totul tinde să împingă utilizarea în zone pe care nu le mai vedeți.
Regulamentul (UE) 2024/1689 privind inteligența artificială (AI Act), art. 4 privind alfabetizarea în IA a personalului.
Ce este jurnalizat, filtrat sau verificat, în ce scop, de cine, pentru cât timp sunt păstrate jurnalele și drepturile persoanelor vizate. Acest capitol este locul unde sunt îndeplinite obligațiile de transparență și de informare din RGPD.
RGPD art. 5 și art. 13.
Cum și către cine să raportați un e-mail suspect, un dispozitiv pierdut sau o greșeală, fără teama de reproșuri pentru o raportare promptă. Trimitere la regimul disciplinar aplicabil în organizația dumneavoastră (ISO/IEC 27001:2022 Anexa A, controlul 6.4 „Proces disciplinar”), precum și data și versiunea politicii.
Calea juridică diferă între statele membre. Ce nu diferă este logica: legalitate, proporționalitate, cunoaștere prealabilă.
O politică de utilizare acceptabilă descrie aproape întotdeauna prelucrarea datelor personale ale angajaților: jurnale de conturi, registre de conectare, filtrare, inventare de dispozitive, uneori acces la cutia poștală. Trei articole din RGPD încadrează această prelucrare în toată Uniunea Europeană.
Articolul 5, principiile. Datele cu caracter personal trebuie prelucrate în mod legal, corect și transparent; colectate în scopuri determinate, explicite și legitime; adecvate, relevante și limitate la ce este necesar; păstrate nu mai mult decât este necesar; și prelucrate cu măsuri de securitate adecvate. Potrivit articolului 5 alineatul (2), operatorul trebuie să poată demonstra conformitatea cu aceste principii (responsabilizare). Pentru o politică de utilizare acceptabilă, aceasta înseamnă că fiecare control descris ar trebui să aibă un scop declarat și o perioadă rezonabilă de păstrare, iar dumneavoastră trebuie să puteți arăta de ce este proporțional.
Articolul 13, informațiile care trebuie furnizate. Atunci când datele sunt colectate de la persoana vizată, operatorul trebuie să furnizeze, printre altele, identitatea și datele sale de contact, datele de contact ale responsabilului cu protecția datelor, dacă există unul, scopurile și temeiul juridic al prelucrării, interesele legitime urmărite atunci când acesta este temeiul, destinatarii, perioada de păstrare și drepturile persoanei. Politica de utilizare acceptabilă, sau o notă informativă anexată acesteia, este un instrument practic pentru această informație.
Articolul 88, prelucrarea în contextul ocupării forței de muncă. RGPD permite statelor membre să prevadă, prin lege sau prin convenții colective, norme mai specifice pentru prelucrarea datelor personale ale angajaților în context profesional. Articolul 88 alineatul (2) impune ca aceste norme să includă măsuri adecvate și specifice pentru protejarea demnității, a intereselor legitime și a drepturilor fundamentale ale persoanelor vizate, cu o atenție deosebită acordată transparenței prelucrării, transferurilor în cadrul unui grup de întreprinderi și sistemelor de monitorizare la locul de muncă. În practică, acesta este motivul pentru care răspunsul la întrebarea „ce putem monitoriza și cum?” depinde în parte de țara în care operați.
În întreaga UE, Directiva 2002/14/CE stabilește un cadru general pentru informarea și consultarea angajaților în întreprinderile care depășesc pragurile pe care fiecare stat membru le alege în limitele directivei. Dreptul național și convențiile colective definesc apoi dacă un comitet de întreprindere, un organism al reprezentanților personalului sau un sindicat trebuie informat sau consultat înainte ca regulile privind utilizarea IT sau monitorizarea la locul de muncă să fie introduse, și în ce formă. În unele țări, o politică de utilizare acceptabilă este anexată regulamentului intern și urmează aceeași procedură; în altele, ea face parte din contractul de muncă, dintr-un contract colectiv sau dintr-o politică separată confirmată de fiecare utilizator.
Franța este un exemplu printre multe: Codul muncii prevede că comitetul social și economic (CSE) este informat și consultat, înainte de introducerea lor în companie, cu privire la mijloacele sau tehnicile care permit monitorizarea activității angajaților, și că nicio informație personală privind un angajat nu poate fi colectată printr-un dispozitiv care nu i-a fost mai întâi adus la cunoștință. Autoritatea franceză pentru protecția datelor, CNIL, recomandă în ghidul său privind securitatea datelor cu caracter personal ca o companie să redacteze o cartă informatică și să îi confere forță obligatorie, de exemplu prin anexarea ei la regulamentul intern. Alte țări au echivalente proprii, de aceea atelierul vă întreabă unde este angajat personalul dumneavoastră și semnalează punctele de verificat cu consilierul dumneavoastră.
Indiferent de calea națională, păstrați dovezi: versiunea și data politicii, data la care a fost comunicată, modul (e-mail, intranet, pachetul de integrare, semnătură) și cine a confirmat-o. Recomunicați atunci când politica se schimbă. ISO/IEC 27001:2022 Anexa A tratează acest lucru ca parte a controalelor privind persoanele, alături de termenii și condițiile de angajare (6.2) și de conștientizarea, educația și formarea în securitatea informației (6.3).
Important. Această secțiune este o informare generală despre textele europene și naționale. Nu constituie consultanță juridică și nu înlocuiește analiza unui avocat specializat în dreptul muncii, a unui responsabil cu protecția datelor sau a consilierului dumneavoastră HR pentru situația specifică, țara și convențiile colective proprii.
Surse: RGPD, art. 5, 13 și 88 (EUR-Lex) · Directiva 2002/14/CE (EUR-Lex) · Codul muncii francez (Légifrance) · CNIL, ghid privind securitatea datelor cu caracter personal · ISO/IEC 27001 (iso.org)
Politica de utilizare acceptabilă nu este o politică de securitate de sine stătătoare. Este partea din ea care se adresează utilizatorilor.
Politica de securitate a informațiilor este scrisă pentru conducere și IT: stabilește obiectivele, rolurile, tratarea riscurilor și controalele la care compania se angajează. Politica de utilizare acceptabilă traduce părțile ei care se adresează utilizatorilor în comportamente concrete. ISO/IEC 27001:2022 Anexa A separă cele două: controlul 5.1 „Politici pentru securitatea informațiilor” și controlul 5.10 „Utilizarea acceptabilă a informațiilor și a altor active asociate”. Cele două documente ar trebui să folosească același vocabular, aceeași clasificare a informațiilor și aceleași contacte, astfel încât un angajat să nu primească niciodată instrucțiuni contradictorii.
Dacă redactați chiar politica de securitate, consultați pagina noastră-soră pssi-express.eu.
Munca la distanță mută datele companiei în rețelele de acasă, pe mesele din bucătărie și pe locurile din tren. Politica de utilizare acceptabilă este locul unde precizați așteptările minime: folosiți echipamentul companiei acolo unde este furnizat, mențineți-l actualizat, conectați-vă prin accesul sigur al companiei atunci când este cerut, evitați imprimarea în locuri publice, protejați ecranele și conversațiile și raportați imediat pierderea. Dacă aveți și un acord sau o politică separată de telemuncă, politica de utilizare acceptabilă ar trebui să facă trimitere la ea, nu să o repete. ISO/IEC 27001:2022 Anexa A, controlul 6.7 „Munca la distanță” acoperă latura de securitate.
Permiterea ca telefoanele personale să primească e-mailul companiei este convenabilă și frecventă. Ridică însă două întrebări la care politica trebuie să răspundă. Ce cere compania de la dispozitiv (blocarea ecranului, sistem de operare suportat, profil sau container de lucru separat)? Și ce poate vedea sau șterge compania? Instrumentele de gestionare a dispozitivelor pot fi configurate să gestioneze doar datele companiei; politica ar trebui să o spună și să precizeze ce se întâmplă cu datele companiei atunci când persoana pleacă. ISO/IEC 27001:2022 Anexa A, controlul 8.1 „Dispozitive finale ale utilizatorilor” încadrează latura tehnică.
Asistenții publici de IA pot fi utili, iar personalul îi folosește adesea deja. Riscul ține de datele introduse și de rezultatele folosite fără verificare. Un capitol scurt despre IA enumeră de obicei instrumentele aprobate, interzice introducerea datelor personale, a informațiilor confidențiale sau a credențialelor în servicii neaprobate, cere verificare umană înainte de reutilizare și explică cum se solicită un instrument nou. Atunci când un serviciu extern de IA prelucrează date personale în numele dumneavoastră, se aplică regulile RGPD privind persoanele împuternicite (articolul 28) și privind transferurile în afara UE (capitolul V). Articolul 4 din AI Act, aplicabil din 2 februarie 2025, cere furnizorilor și utilizatorilor sistemelor de IA să ia măsuri pentru a asigura, în măsura posibilului, un nivel suficient de alfabetizare în IA a personalului lor (verificați versiunea consolidată actuală, deoarece au fost propuse modificări ale acestui articol); un capitol despre IA în politica de utilizare acceptabilă, plus o scurtă sesiune de conștientizare, reprezintă un element de construcție rezonabil.
Regulamentul (UE) 2024/1689 (AI Act) · RGPD, art. 28 și capitolul V
Pentru entitățile esențiale și importante în sensul Directivei NIS2, măsurile de gestionare a riscurilor de securitate cibernetică din articolul 21 includ practici de igienă cibernetică de bază și formare în domeniul securității cibernetice (21 alin. (2) lit. (g)), precum și securitatea resurselor umane, politicile de control al accesului și gestionarea activelor (21 alin. (2) lit. (i)). O politică de utilizare acceptabilă nu vă face conforme cu NIS2, dar este unul dintre documentele care susțin aceste măsuri.
O politică semnată și uitată nu schimbă nimic. Politica și programul de conștientizare ar trebui să lucreze împreună: politica enunță regula, sesiunile scurte explică motivul. Acolo unde există un responsabil cu protecția datelor, RGPD include conștientizarea și formarea personalului printre sarcinile acestuia (articolul 39 alineatul (1) litera (b)). Agențiile naționale publică materiale gratuite pe care le puteți reutiliza, de exemplu ENISA la nivel european și, în Franța, ANSSI și cybermalveillance.gouv.fr.
Rămâneți în control de la început până la sfârșit. Un consultant uman este o opțiune, niciodată o cerință.
Un chestionar scurt despre organizația dumneavoastră: unde este angajat personalul, ce instrumente folosește, dacă sunt permise dispozitivele personale și munca la distanță, dacă folosiți asistenți de IA, dacă aveți reprezentanți ai personalului, dacă aveți deja o politică de securitate. Vă arată ce capitole vă trebuie și ce puncte vor necesita validare juridică locală.
Răspundeți la întrebări ghidate, cu propriile cuvinte, capitol cu capitol: ce este permis, ce nu, ce verifică compania și de ce, cât timp sunt păstrate jurnalele, cine trebuie contactat. Fiecare întrebare vine cu o scurtă explicație și, acolo unde este cazul, cu un link către sursa oficială. Puteți salva, reveni mai târziu și implica un coleg.
Politica este generată automat din răspunsurile dumneavoastră, în numele companiei, cu o notă informativă separată despre monitorizare și un formular de confirmare. Este o bază de lucru: faceți-o verificată de propriul consilier (avocat specializat în dreptul muncii, responsabil cu protecția datelor, HR) înainte de a o comunica, consultați reprezentanții acolo unde este necesar și adoptați-o.
Dacă doriți ca cineva să revizuiască răspunsurile dumneavoastră împreună cu dumneavoastră, să adapteze proiectul la un context specific sau să pregătească prezentarea pentru personal sau pentru reprezentanții acestuia, puteți solicita sprijinul unui consultant partener. Este opțional și separat de instrumentul self-service.
Bază de lucru, nu consultanță juridică. Documentul generat este un proiect construit din propriile dumneavoastră răspunsuri și din surse publice. Nu constituie consultanță juridică. Valabilitatea sa în țara dumneavoastră și procedura de a-l face aplicabil personalului trebuie verificate de un consilier calificat.
Documente pe care le puteți edita, comunica și păstra ca dovadă
Documentul principal, în limbaj clar, construit din răspunsurile dumneavoastră.
O notă separată, structurată în jurul articolului 13 din RGPD.
Ce vă trebuie pentru a comunica politica și a păstra o urmă.
Unde se leagă fiecare capitol de textele publice.
O anexă scurtă, de sine stătătoare, pe care o puteți actualiza mai des decât politica.
Documentul rămâne al dumneavoastră, în formate pe care le puteți modifica.
Cităm doar texte pe care le putem lega de sursa lor. Acolo unde ceva depinde de dreptul național, proiectul o spune în loc să ghicească.
Articolul 5 (principii și responsabilizare), articolul 13 (informarea persoanelor vizate), articolul 88 (prelucrarea în contextul ocupării forței de muncă) și, unde este relevant, articolul 28 (persoane împuternicite), articolul 32 (securitatea prelucrării) și articolul 39 (sarcinile responsabilului cu protecția datelor).
Controlul 5.10 „Utilizarea acceptabilă a informațiilor și a altor active asociate”, cu controalele conexe 5.1 (politici pentru securitatea informațiilor), 5.11 (restituirea activelor), 6.2 (termenii și condițiile de angajare), 6.3 (conștientizare, educație și formare), 6.4 (proces disciplinar), 6.7 (munca la distanță) și 8.1 (dispozitive finale ale utilizatorilor). Standardul este vândut de ISO; cităm doar titlurile controalelor.
Doar pentru entitățile incluse în domeniu: articolul 21 alineatul (2) litera (g) practici de igienă cibernetică de bază și formare în domeniul securității cibernetice, litera (i) securitatea resurselor umane, politicile de control al accesului și gestionarea activelor, litera (j) autentificarea multifactor. Se aplică legile naționale de transpunere.
Articolul 4 privind alfabetizarea în IA, aplicabil din 2 februarie 2025 furnizorilor și utilizatorilor sistemelor de IA (verificați versiunea consolidată actuală înainte de a vă baza pe ea). Relevant de îndată ce personalul dumneavoastră folosește sisteme de IA în muncă.
Ce conține fiecare opțiune. Disponibilitatea va fi anunțată pe această pagină.
Pentru a afla ce vă trebuie înainte de a începe
Pentru a produce propriul proiect de politică
Pentru a adăuga revizuire umană proiectului self-service
În fiecare opțiune, documentul este o bază de lucru care trebuie validată de propriul consilier. Nu constituie consultanță juridică.
Răspunsuri scurte. Acolo unde un text este citat, linkul duce la sursa oficială.
Fiecare afirmație de reglementare sau normativă de mai sus duce la una dintre acestea.
Această pagină oferă informații generale. Nu constituie consultanță juridică.
Atelierul self-service este în pregătire. Se va deschide pe această pagină.
Întrebări între timp: contact@syaga.eu