Távmunka és GDPR: a platformkövetkezetlenség problémája
2026-ra frissítve.
A legtöbb GDPR-programot irodai munkára tervezték. Minden munkavállaló felügyelt asztali gépet használt. Az IT egyetlen konfigurációt állított be minden gépen. A beállítás egységes volt.
A távoli és hibrid munkavégzés ezt megváltoztatta. Ma ugyanaz a személy feldolgozhat személyes adatokat irodai munkaállomáson hétfőn és otthoni laptopon pénteken. A GDPR-kötelezettség nem változik helyszín szerint. A technikai ellenőrzések azonban gyakran igen.
Miért teremt hiányosságot a helyszín?
A GDPR 32. cikke egyértelműen fogalmaz: a szervezeteknek megfelelő technikai intézkedéseket kell alkalmazniuk a személyes adatok védelme érdekében. A szabály nem azt mondja, hogy „irodában”. Mindenütt érvényes, ahol adatokat dolgoznak fel.
Amikor az irodai és a távoli eszközök eltérnek, az ellenőrzések is különböznek. Ez a különbség jelenti a megfelelési problémát.
Ma a legtöbb csapaton belül négy munkavégzési minta létezik.
- Irodai dolgozók felügyelt munkaállomásokon, IT által telepített szoftverrel.
- Távoli dolgozók otthoni hardveren — céges felügyelet alatt vagy BYOD (saját eszköz hozása).
- Mobil dolgozók bármely elérhető eszközön, korlátozott konfigurációs ellenőrzéssel.
- Hibrid dolgozók, akik hetente váltakoznak a két helyszín között.
Mindegyik környezet különböző eszközöket, különböző verziókat és különböző beállításokat futtathat. A GDPR 32. cikke mind a négy esetre vonatkozik.
Mit várnak el ma a bíróságok?
A bíróságok egyértelművé tették, hogy a GDPR 32. cikke önmagában nem elégíti ki a szabályzat. A működési technikai ellenőrzések bizonyítéka szükséges.
Egy szabályzat, amely arra utasítja a munkatársakat, hogy anonimizálják az adatokat az AI-eszközök használata előtt, nem technikai ellenőrzés. Az anonimizálást megvalósító intézkedés az ellenőrzés. Ha ez az intézkedés nem egységesen van bevezetve irodai és távoli környezetekben, az ellenőrzés megbukik. Egy következetlen ellenőrzés nem megfelelő ellenőrzés.
Négy terület, ahol az egységességnek érvényesülnie kell
A személyiadat-anonimizáló eszközök esetén a helyszínek közötti egységesség négy dolgot jelent.
Entitáslefedettség: Ugyanazokat az entitástípusokat észlelik irodában és otthon. Nem nagyjából ugyanazokat — pontosan ugyanazokat. A különböző észlelési motorok lehetetlenné teszik az egyenlő lefedettség igazolását.
Megbízhatósági küszöbértékek: Ugyanaz a küszöb váltja ki az automatikus anonimizálást mindkét helyen. Egy 87%-os megbízhatóssági szinttel jelzett entitásnak irodában ne csak figyelmeztetést kelljen kapnia otthon.
Beállítási konfiguráció: A megfelelőségi csapat „GDPR Standard” előbeállítása mindkét környezetben érvényes. A szerveroldali tárolás azt jelenti, hogy a változások egyszerre érnek el minden hozzáférési pontot.
Auditnyomvonal: Az otthoni és irodai feldolgozás egyetlen centralizált naplóban jelenik meg. Nincs külön távoli napló, amelyet utólag kell összeegyeztetni.
Az asztali vs. webalkalmazás kockázata
Sok szervezet asztali alkalmazást telepít az irodai felhasználóknak és webalkalmazást a távoli munkatársaknak. Még ugyanattól a szállítótól is eltérhet ez a két termék.
- A frissítési ciklusok különböznek. Az asztali alkalmazás több verzióval lemaradhat a webalkalmazástól.
- A konfigurációs öröklés megszakadhat. A webalkalmazásban frissített előbeállítás nem feltétlenül jut el az asztali gépre.
- A naplózás szétválhat. Az asztali alkalmazás helyi naplókat írhat, míg a webalkalmazás centrálisan naplóz.
A megfelelőségi teszt egyszerű: be tudja-e mutatni, hogy ugyanaz az észlelés futott minden dokumentumon? Ha a válasz két különböző naplóformátum összevonását igényli, az ellenőrzések nincsenek igazítva.
Hogyan működik a platformfüggetlen lefedettség?
A gyakorlati megoldás egyetlen szerveroldali észlelési API, amelyet minden felület használ. Az asztali alkalmazás, a webalkalmazás és a böngészőbővítmény ugyanazt a motort hívja. Egy modell fut. Az eredmény mindenhol ugyanaz.
Ez a megközelítés mind a négy egységességi területet kezeli.
- Az észlelés a szerveren fut. A lefedettség azonos minden felületen.
- A küszöbértékeket egyszer állítják be, és az API alkalmazza azokat. Nincs kliensenként eltérő konfiguráció.
- Az előbeállítások szerveroldalon élnek. Minden felület futásidőben tölti be azokat.
- Az összes esemény egy auditadatbázisba kerül. Egyetlen lekérdezés lefedi az egész csapatot.
Az IT telepíti a böngészőbővítményt a távoli dolgozóknak ugyanazzal az előbeállítással, mint az asztali alkalmazás. Egyetlen konfigurációs dokumentum lefedi az összes környezetet.
Vállalati csapat esettanulmánya
Egy 35 fős megfelelőségi csapat platformkövetkezetlenséget talált belső audit során. A csapatnak 20 munkatársa volt Münchenben és 15 távoli alkalmazottja Németországban és Hollandiában.
Az irodai munkatársak egy Windows-os asztali személyiadat-eszközt használtak 285+ entitástípussal és GDPR-előbeállítással. A távoli munkatársak egy másik szállítótól származó webalkalmazást használtak. Ez körülbelül 80 entitástípust fedett le és nem volt GDPR-előbeállítása. Ugyanaz a csapat. Ugyanazok az adatok. Különböző eszközök.
A csapat egyetlen platformra állt át.
- Asztali alkalmazás telepítve a müncheni irodai felügyelt munkaállomásokra.
- Webalkalmazás ugyanazzal az előbeállítással minden távoli munkatárs számára.
- Chrome-bővítmény bevezetve minden eszközre a böngészőalapú AI-használathoz.
- Az IT egy előbeállítást kezel. Ez automatikusan szinkronizálódik minden felülettel.
Az egységesítés után a csapat egyetlen Technikai Intézkedések dokumentumot készített, amely mind a 35 tagot lefedi. Egyetlen auditnyomvonal. Negyedéves konfigurációellenőrzés. A belső audit megállapítása 8 héten belül lezárult.
Az audit-dokumentációról bővebben: jogi megfelelőségi útmutató. A technikai ellenőrzésekről a gyakorlatban: biztonsági áttekintő.
Összefoglalás
A távmunka nem változtatta meg a GDPR-t. Megváltoztatta, hogy hol dolgozzák fel az adatokat. Ez az elmozdulás egy olyan hiányosságot tárt fel, amelyet az egységes irodai beállítások elrejtettek.
Az egységes technikai ellenőrzések ugyanolyan észlelést, ugyanolyan küszöbértékeket és ugyanolyan auditnyomvonalat jelentenek. Az alkalmazottak tartózkodási helyétől függetlenül érvényesek. A szerveroldali megközelítés az egységességet teszi alapértelmezéssé. A platform széttagoltsága a következetlenséget teszi alapértelmezéssé.
Ismerje meg, hogyan vezet be az anonym.legal egységes személyiadat-ellenőrzéseket távoli és irodai környezetekben.
Források
- GDPR 32. cikk: Az adatkezelés biztonsága. gdpr-info.eu/art-32-gdpr/.
- EDPB 4/2019 iránymutatás az adatvédelemről tervezés útján. edpb.europa.eu.
- ICO elszámoltathatósági és irányítási útmutatás. ico.org.uk.