Polityka telefonów służbowych w firmie – jak ją stworzyć?

Polityka telefonów służbowych w firmie powinna określać, kto może korzystać z urządzenia, jakie dane są na nim dostępne, kto ponosi koszty oraz co dzieje się po zgubieniu telefonu. W modelu BYOD używanie prywatnego smartfona wymaga dobrowolnej zgody pracownika, odrębnych ustaleń finansowych i zabezpieczenia danych firmowych.

Dlaczego firma potrzebuje polityki telefonów?

Smartfon jest dziś nie tylko narzędziem do rozmów. Pracownicy korzystają na nim z poczty, komunikatorów, aplikacji firmowych, dokumentów i systemów obsługi klientów. Telefon może więc zapewniać dostęp do danych, których utrata naraziłaby firmę na koszty, zakłócenia pracy albo naruszenie poufności.

Granica między użyciem prywatnym i służbowym często się zaciera. Dotyczy to zarówno urządzeń przekazanych przez pracodawcę, jak i prywatnych telefonów wykorzystywanych w pracy. Jasna polityka porządkuje te zasady, ogranicza ryzyko wycieku informacji i wskazuje, jak postępować w razie kradzieży, zgubienia lub podejrzenia ataku.

Służbowy czy prywatny – który model wybrać?

Najczęściej firma wybiera między modelem firmowym, określanym jako company-owned, a BYOD, czyli Bring Your Own Device. W pierwszym wariancie pracodawca zapewnia urządzenie i może łatwiej ustalić standard zabezpieczeń. W drugim pracownik używa własnego telefonu, co bywa wygodniejsze i ogranicza koszty zakupu sprzętu, ale wymaga staranniejszych ustaleń.

BYOD może sprawdzić się w organizacji, która ma dojrzałe procedury bezpieczeństwa, niewielki budżet na sprzęt lub pracowników przywiązanych do własnych urządzeń. Model firmowy daje większą kontrolę, ale oznacza koszty zakupu, wymiany, serwisowania i zarządzania flotą.

Czy BYOD jest legalne w Polsce?

BYOD nie jest odrębnie i kompleksowo uregulowany w Kodeksie pracy. Nie oznacza to jednak zakazu korzystania z prywatnego telefonu w pracy. Podstawą powinno być dobrowolne porozumienie pracownika i pracodawcy. Firma nie może zmusić pracownika do używania prywatnego urządzenia, jeżeli nie wyraził on na to zgody.

Pracodawca powinien zapewnić alternatywę, na przykład telefon firmowy, gdy korzystanie z urządzenia jest konieczne do wykonywania obowiązków. Brak takiej możliwości może powodować zarzut, że zgoda na BYOD nie była rzeczywiście dobrowolna.

Odrębna umowa lub aneks powinny określać między innymi zasady partycypacji w kosztach zakupu, abonamentu, transmisji danych, napraw i ubezpieczenia. Trzeba też sprawdzić skutki podatkowe przyjętego rozwiązania. Nieodpłatne udostępnienie lub finansowanie określonych świadczeń może wpływać na rozliczenia pracownika i firmy, dlatego wysokość ryczałtu czy zwrotu kosztów należy ustalić z księgowością.

Przepisy i interpretacje dotyczące rozliczeń mogą zależeć od konkretnego modelu, rodzaju kosztów oraz sposobu ich dokumentowania. Przed wdrożeniem polityki warto skonsultować umowę z prawnikiem prawa pracy i podatkowym. Sama zgoda na używanie telefonu nie rozwiązuje kwestii odpowiedzialności za dane, prywatność ani koszty.

Jak chronić dane na telefonach?

Telefon służbowy lub prywatny może stać się celem ataku, szczególnie gdy ma dostęp do poczty, chmury, komunikatorów lub systemów firmowych. Ryzyko rośnie, gdy pracownik korzysta z nieaktualnego systemu, instaluje aplikacje z niepewnego źródła albo łączy się z otwartą siecią.

Do najczęstszych zagrożeń należą:

• Publiczne Wi-Fi może ułatwiać przechwycenie komunikacji lub przekierowanie użytkownika do fałszywej strony.
• Brak aktualizacji systemu i aplikacji pozostawia znane luki bezpieczeństwa.
• Utrata urządzenia może dać osobie niepowołanej dostęp do danych, jeśli telefon nie ma silnego uwierzytelniania i szyfrowania.
• Nieautoryzowane aplikacje mogą odczytywać dane, przejmować uprawnienia albo zawierać złośliwe oprogramowanie.

Ważnym narzędziem jest Mobile Device Management, czyli MDM. System MDM pozwala centralnie wymuszać blokadę ekranu, aktualizacje, szyfrowanie, instalację określonych aplikacji i zdalne wymazanie danych służbowych. Może też pomóc w rozdzieleniu profilu firmowego od prywatnej części telefonu, co ma szczególne znaczenie przy BYOD.

MDM nie powinien być opisany w polityce jako nieograniczony dostęp do telefonu pracownika. Dokument musi wskazywać, jakie dane widzi administrator, jakie działania może wykonać i w jakich sytuacjach. W modelu prywatnym celem powinno być zabezpieczenie zasobów firmy, a nie kontrolowanie prywatnej aktywności.

Bezpieczeństwo telefonu zależy nie tylko od jego własności. Ten sam standard ochrony powinien obejmować urządzenia firmowe i prywatne, jeśli łączą się z zasobami organizacji.

Co musi zawierać polityka telefonów?

Dokument powinien być zrozumiały dla pracownika i możliwy do wykonania przez dział IT. Nie wystarczy ogólny zakaz instalowania aplikacji. Polityka musi opisywać konkretne obowiązki, zakres kontroli i sposób reagowania na incydenty.

Przy tworzeniu polityki sprawdź, czy zawiera następujące elementy:

• Zakres dokumentu – wskaż, czy zasady dotyczą wyłącznie telefonów firmowych, czy również BYOD, tabletów i innych urządzeń mobilnych.
• Zasady finansowania – określ, kto płaci za urządzenie, abonament, transmisję danych, naprawy, ubezpieczenie i użytkowanie prywatne.
• Uprawnienia IT – opisz możliwość konfiguracji, instalowania zabezpieczeń, blokowania dostępu i zdalnego usunięcia danych służbowych.
• Zakres prywatności – wyjaśnij, do jakich informacji firma nie ma dostępu i jakie dane mogą być przetwarzane przez administratora.
• Wymagania techniczne – określ obowiązek aktualizacji, używania blokady ekranu, wieloskładnikowego logowania i zatwierdzonych aplikacji.
• Procedurę incydentów – podaj, komu i w jakim czasie zgłosić kradzież, zgubienie, podejrzaną wiadomość lub nieuprawniony dostęp.
• Zgodę na audyt – wskaż, kiedy firma może sprawdzić zgodność urządzenia z wymaganiami i jak ogranicza zakres takiej kontroli.
• Zakończenie współpracy – określ zwrot telefonu firmowego, usunięcie profilu służbowego z prywatnego urządzenia i odebranie dostępów.

Przy BYOD sama polityka wewnętrzna może nie wystarczyć. Umowa lub aneks powinny osobno potwierdzać zgodę pracownika, opis wydatków, zasady ich zwrotu, odpowiedzialność za uszkodzenia oraz sposób zabezpieczenia i usunięcia danych firmowych.

Jak wdrożyć politykę w firmie?

Wdrożenie warto przeprowadzić w kolejności, która łączy analizę ryzyka z przygotowaniem dokumentów:

1. Zidentyfikuj, jakie dane i aplikacje są dostępne z telefonów oraz które stanowiska rzeczywiście wymagają mobilnego dostępu.
2. Wybierz model firmowy, BYOD albo rozwiązanie mieszane, uwzględniając budżet, rodzaj danych i możliwości działu IT.
3. Ustal standard techniczny, w tym wymagania dotyczące aktualizacji, uwierzytelniania, szyfrowania i MDM.
4. Przygotuj politykę oraz odrębne umowy BYOD, a ich treść skonsultuj z prawnikiem i księgowością.
5. Przeszkol pracowników, uruchom kanał zgłaszania incydentów i regularnie sprawdzaj, czy zasady odpowiadają rzeczywistemu korzystaniu z urządzeń.

Polityka telefonów służbowych w firmie nie powinna być wyłącznie zbiorem zakazów. Dobrze przygotowany dokument jasno rozdziela koszty, odpowiedzialność i prywatność, a jednocześnie chroni firmowe dane niezależnie od tego, kto jest właścicielem telefonu. BYOD może być wygodne, ale tylko wtedy, gdy opiera się na dobrowolności, umowie i stałym nadzorze bezpieczeństwa.

Artykuł ma charakter informacyjny i nie zastępuje indywidualnej konsultacji z prawnikiem, specjalistą prawa pracy ani doradcą podatkowym.