■ Co należy rozumieć przez informacje poufne przedsiębiorstwa prywatnego?
- O informacjach poufnych mówi ustawa o ochronie informacji niejawnych. Przepisy tej ustawy dotyczą jednak przedsiębiorstw prywatnych w wąskim zakresie - wtedy gdy ubiegają się one o zawarcie lub wykonanie umowy związanej z dostępem do informacji niejawnych. Chodzi np. o firmy biorące udział w przetargach na wykonywanie usług dla jednostek budżetowych.
Regulacje dotyczące tajemnicy przedsiębiorstwa zawiera także ustawa o zwalczaniu nieuczciwej konkurencji. Czynem nieuczciwej konkurencji jest przekazywanie, ujawnianie lub wykorzystywanie cudzych informacji, stanowiących tajemnicę przedsiębiorstwa. Ustawa ta dotyczy wszystkich przedsiębiorców. Wymaga ona od pracowników, by nie ujawniali informacji stanowiących tajemnicę przedsiębiorstwa.
■ Czym w świetle prawa jest tajemnica przedsiębiorstwa?
- Za tajemnicę przedsiębiorstwa uznaje się przede wszystkim informacje, które nie są ujawnione do wiadomości publicznej. Chodzi tu o informacje techniczne, technologiczne, dotyczące organizacji przedsiębiorstwa i inne informacje posiadające wartość ekonomiczną. Katalog tego rodzaju informacji jest zatem otwarty, zależny od konkretnego przedsiębiorcy - mogą to być informacje personalne, bazy klientów, listy klientów, stawki, metody działalności itp.
■ Czy obowiązujące prawo zawiera sugestie dotyczące sposobów obchodzenia się przez firmy z poufnymi informacjami i danymi, czy też pozostawia tę sprawę wyłącznie zapobiegliwości przedsiębiorstw?
- Jeśli przedsiębiorca sam nie ujawni określonych informacji, to tym samym już wypełni pierwszy z ustawowych warunków, który pozwala uznać informację za tajemnicę przedsiębiorstwa. Ponadto, jeśli podejmie niezbędne działania w celu zachowania ich poufności, to spełni drugi z ustawowych warunków i wówczas takie informacje można uważać za tajemnicę przedsiębiorstwa. W związku z tym pracowników obowiązuje zakaz ich ujawniania, przekazywania, wykorzystywania itd. Sednem uznania określonych informacji za tajemnice przedsiębiorstwa jest więc podjęcie działań, które mają na celu ochronę ich poufności.
■ Jakie to powinny być działania?
- Jest nim zawężenie dostępu określonych osób do informacji. Nie można twierdzić, że coś nie jest ujawnione do publicznej wiadomości, jeśli leży na widocznym miejscu w recepcji firmy. Potrzebne jest też opatrzenie nośników informacji opisem, że są one poufne, i wprowadzenie odpowiednich zapisów do wewnętrznych regulaminów, które nakazują chronić je przed upublicznieniem. W przypadku nośników elektronicznych sytuacja jest bardziej skomplikowana. Łatwiej za to jest tu ograniczyć krąg osób mających dostęp do zasobów informacji - wystarczy zaszyfrować foldery z informacjami i udostępnić je tylko upoważnionym osobom, przy jednoczesnym zabezpieczeniu systemu przed dostępem osób niepowołanych.
■ Jakie obowiązki nakłada prawo na menedżerów i pracowników firmowych działów IT w zakresie ochrony danych?
- Z przepisów wspomnianych ustaw można wywnioskować obowiązek ciążący na menedżerach działu IT. Powinni oni zadbać, by podlegli im pracownicy uniemożliwili nieupoważnionym osobom dostęp do zasobów informacji, zwłaszcza osobom z zewnątrz oraz zawęzili kręgi osób mających dostęp do poszczególnych informacji. Ponadto do ich obowiązków należy podjęcie innych, niezbędnych działań mających na celu zachowanie poufności informacji, np. stworzenie struktury dostępu do informacji, który w firmach jest zazwyczaj skierowany wektorem w dół tzn. członkowie zarządu mają dostęp do wszelkich informacji, dyrektorzy mają dostęp do informacji dotyczących działu, którym zarządzają, ale już nie innych; pracownik z dołu struktury organizacyjnej ma dostęp tylko do swojego konta.
Sądzę, że nie ma przepisów szczególnych, które by dotyczyły wyłącznie działu IT.
Rozmawiał KRZYSZTOF POLAK
■ SŁAWOMIR PARUCH
absolwent Wydziału Prawa na Uniwersytecie im. Adama Mickiewicza w Poznaniu, kierownik departamentu prawa pracy w kancelarii Sołtysiński Kawecki & Szlęzak
ikona lupy />
Sławomir Paruch z kancelarii Sołtysiński Kawecki & Szlęzak / DGP