Večfaktorska avtentikacija (MFA) je varnostni ukrep, ki izboljšuje zaščito uporabniških računov tako, da zahteva več kot le eno vrsto preverjanja identitete. MFA kombinira vsaj nekaj, kar uporabnik ve (geslo ali PIN) in nekaj, kar uporabnik ima (fizična naprava, kot je telefon ali strojna varnostna ključ). MFA znatno zmanjša tveganje nepooblaščenega dostopa, saj napadalec običajno ne more pridobiti vseh potrebnih dejavnikov za avtentikacijo.
Na Informacijskega pooblaščenca je bilo naslovljeno zaprosilo za mnenje glede uporabe določene rešitve pri prijavi v aplikacije in IKT rešitve.
Delodajalec lahko osebne podatke delavca obdeluje samo, če ima za to ustrezno pravno podlago v zakonu ali če je obdelava potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. To zagotavlja, da so podatki delavcev zaščiteni pred nepooblaščenimi posegi in da se obdelava izvaja v skladu s predpisi.
Pred namestitvijo kakršnekoli aplikacije na zasebne telefone delavcev je delodajalec dolžan delavce obvestiti o namenu in načinu obdelave njihovih podatkov ter pridobiti njihovo privolitev. Ta privolitev mora biti skladna z določbami Splošne uredbe o varstvu podatkov, kar pomeni, da mora biti prostovoljna, specifična, informirana in nedvoumna.
Delavec ni dolžan dati na razpolago svojih zasebnih sredstev, kot so telefoni, za namene izpolnjevanja delodajalčevih obveznosti. Lahko pa se prostovoljno odloči, da svoja sredstva da na razpolago delodajalcu, vendar zgolj, če to želi sam in brez prisile.
Celotno mnenje Informacijskega pooblaščenca št. 07120-1/2024/192 z dne 21. 5. 2024 je na voljo tukaj.
Uporaba MFA je ukrep, ki prinaša številne prednosti tako za delodajalca kot za zaposlene. Na eni strani delodajalcu zagotavlja višjo varnost osebnih podatkov in zaupnih informacij, saj dodatni sloji zaščite močno zmanjšajo tveganje nepooblaščenih dostopov in kibernetskih napadov. Na drugi strani pa MFA ščiti tudi uporabniške račune zaposlenih. Za uvedbo MFA, ki vključuje uporabo službenih telefonov zaposlenih, delodajalec ne rabi pridobiti privolitve zaposlenih, mora pa presoditi, da je ta ukrep potreben za zagotovitev varnosti, izbrati ustrezno rešitev ter zaposlenim predati ustrezna navodila.