Monitoring pracowników a RODO – obowiązki

Firma z branży IT z Mazowsza wdraża system monitorowania aktywności na komputerach. Dział HR jest przekonany, że wystarczy poinformować pracowników e-mailem. Kilka miesięcy później kontrola UODO ujawnia brak podstawy prawnej, nieaktualne klauzule informacyjne i rejestrowanie treści prywatnych wiadomości. Kara administracyjna i roszczenia pracownicze – to konsekwencje, których można było uniknąć.

Monitoring pracowników jest dopuszczalny na gruncie przepisów Kodeksu pracy i Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), ale wymaga spełnienia ścisłych warunków formalnych. Pracodawca musi wskazać cel, zakres i sposób stosowania monitoringu w regulaminie pracy lub układzie zbiorowym oraz poinformować pracowników co najmniej 2 tygodnie przed jego uruchomieniem. Naruszenie tych obowiązków grozi karą administracyjną do 20 milionów euro lub 4% rocznego obrotu globalnego.

Niniejszy przewodnik omawia procedurę wdrożenia monitoringu krok po kroku – od wyboru podstawy prawnej, przez dokumentację RODO, po typowe błędy, które kosztują pracodawców najwięcej. Uwzględniamy trzy scenariusze biznesowe: spółkę produkcyjną, firmę IT oraz pracodawcę zatrudniającego pracowników mobilnych z zagranicy.

Jakie formy monitoringu pracowników dopuszcza polskie prawo?

Kodeks pracy wymienia kilka form monitoringu, każda z odrębnym reżimem prawnym. Pracodawca musi wybrać właściwą podstawę, zanim uruchomi jakikolwiek system obserwacji. Pomylenie form – np. stosowanie monitoringu poczty elektronicznej bez wyraźnej podstawy w regulaminie – jest najczęstszym błędem stwierdzanym przez Urząd Ochrony Danych Osobowych (UODO) podczas kontroli.

Przepisy Kodeksu pracy wyróżniają cztery główne kategorie. Monitoring wizyjny (CCTV) służy zapewnieniu bezpieczeństwa lub ochrony mienia. Monitoring poczty elektronicznej jest dopuszczalny wyłącznie w celu kontroli wykonywania obowiązków służbowych. Monitoring aktywności na urządzeniach (tzw. DLP, keyloggery, zrzuty ekranu) wymaga odrębnej podstawy. Monitoring lokalizacji pojazdów służbowych jest dozwolony, gdy pojazdy te są przydzielone pracownikom.

Monitoring wizyjny – bezpieczeństwo i ochrona mienia lub kontrola produkcji
Monitoring poczty elektronicznej – wyłącznie kontrola wykonywania pracy
Monitoring aktywności na urządzeniach – cel musi być określony precyzyjnie
Monitoring lokalizacji – pojazdy służbowe, nie prywatne
Monitoring wejść/wyjść – systemy kontroli dostępu i ewidencji czasu pracy

Każda forma musi mieć cel uzasadniony i proporcjonalny. RODO wymaga, by przetwarzanie danych było adekwatne do celu – rejestrowanie treści prywatnych rozmów pracownika, nawet na służbowym sprzęcie, narusza zasadę minimalizacji danych. UODO wydał już kilka decyzji, w których nałożył kary właśnie za nadmierny zakres zbieranych danych.

Jakie obowiązki formalne musi spełnić pracodawca przed uruchomieniem monitoringu?

Pracodawca ma obowiązek określić cel, zakres i sposób stosowania każdej formy monitoringu w regulaminie pracy – lub, gdy regulamin nie obowiązuje, w obwieszczeniu. Informacja ta musi trafić do pracowników co najmniej 2 tygodnie przed uruchomieniem systemu. To nie jest termin instrukcyjny – jest to warunek legalności monitoringu wynikający wprost z Kodeksu pracy.

Równolegle pracodawca musi spełnić obowiązek informacyjny z art. 13 RODO. Klauzula informacyjna powinna wskazywać: administratora danych, cel i podstawę prawną przetwarzania, okres retencji danych, uprawnienia pracownika oraz – jeśli dane są przekazywane podmiotom trzecim – informację o odbiorcach. Klauzula dołączona do umowy o pracę podpisanej rok wcześniej nie wystarczy, jeśli pracodawca wdraża nową formę monitoringu.

W praktyce – wiele firm o tym zapomina – obowiązek informacyjny dotyczy też kandydatów do pracy, jeśli monitoring obejmuje stanowiska rekrutacyjne lub przestrzenie, gdzie kandydaci się pojawiają. Dotyczy to np. kamer w recepcji lub sali konferencyjnej używanej do rozmów kwalifikacyjnych. Niezachowanie tej zasady naraża pracodawcę na zarzut naruszenia RODO wobec osób niebędących jeszcze pracownikami.

Pracodawca zatrudniający pracowników mobilnych z zagranicy – np. specjalistów relokowanych z Holandii lub posiadających EU Blue Card – musi uwzględnić dodatkowe wymogi. Klauzula informacyjna powinna być dostępna w języku zrozumiałym dla pracownika. Brak tłumaczenia nie zwalnia pracodawcy z odpowiedzialności za naruszenie obowiązku informacyjnego.

Jak wdrożyć monitoring krok po kroku – procedura i terminy?

Wdrożenie monitoringu to proces wieloetapowy. Każdy etap ma konkretny termin lub wymóg formalny. Pominięcie jednego z nich nie jest błędem technicznym – może unieważnić całą podstawę prawną stosowania systemu obserwacji.

Etap 1: Analiza celowości i proporcjonalności. Przed wyborem narzędzi pracodawca powinien przeprowadzić ocenę skutków dla ochrony danych (DPIA – Data Protection Impact Assessment), jeśli monitoring może powodować wysokie ryzyko naruszenia praw pracowników. UODO wskazuje, że monitoring wideo w dużej skali lub monitoring aktywności na komputerach zazwyczaj wymaga DPIA. Ocena powinna trwać od 2 do 4 tygodni i być udokumentowana.

Etap 2: Aktualizacja regulaminu pracy lub obwieszczenia. Zmiany regulaminu wymagają uzgodnienia ze związkami zawodowymi (jeśli działają u pracodawcy) lub konsultacji z przedstawicielem pracowników. Termin wejścia w życie zmian regulaminu to 2 tygodnie od podania do wiadomości pracowników. Pracodawca musi zatem zaplanować wdrożenie systemu z co najmniej 4-tygodniowym wyprzedzeniem.

Etap 3: Przygotowanie dokumentacji RODO. Obejmuje: klauzulę informacyjną (art. 13 RODO), wpis do rejestru czynności przetwarzania (RCP), ewentualną umowę powierzenia przetwarzania z dostawcą systemu monitoringu oraz politykę retencji danych. Dane z monitoringu wizyjnego nie powinny być przechowywane dłużej niż 3 miesiące, chyba że stanowią dowód w postępowaniu.

Etap 4: Poinformowanie pracowników. Indywidualne poinformowanie każdego pracownika – pisemnie lub w formie elektronicznej z potwierdzeniem odbioru – co najmniej 2 tygodnie przed uruchomieniem. Ogłoszenie na tablicy ogłoszeń nie wystarczy jako jedyny kanał komunikacji.

Etap 5: Uruchomienie i bieżący nadzór. System monitoringu powinien być objęty audytem co najmniej raz w roku. Inspektor Ochrony Danych (IOD), jeśli jest powołany, powinien uczestniczyć w przeglądzie.

Trzy scenariusze biznesowe – gdzie najczęściej pojawiają się błędy?

Różne branże stosują monitoring z różnych powodów i w różnym zakresie. Błędy, które pojawiają się w każdym z tych scenariuszy, mają jednak wspólny mianownik: brak proporcjonalności lub niekompletna dokumentacja. Przyjrzyjmy się trzem modelowym sytuacjom.

Scenariusz 1: Spółka produkcyjna z Podkarpacia. Pracodawca instaluje kamery na hali produkcyjnej w celu kontroli jakości i bezpieczeństwa. Kamery rejestrują też pomieszczenie socjalne i toalety – co jest bezwzględnie zakazane. Nawet jeśli cel jest uzasadniony, lokalizacja kamer musi wykluczać miejsca, gdzie pracownicy mają uzasadnione oczekiwanie prywatności. Korekta po kontroli UODO kosztowała firmę wymianę sprzętu i grzywnę.

Scenariusz 2: Firma IT z Krakowa. Pracodawca wdraża oprogramowanie rejestrujące aktywność na ekranie i czas spędzony w aplikacjach. Pracownicy wykonują pracę zdalną. Brak jest DPIA, regulamin nie wspomina o monitoringu aktywności, a klauzula informacyjna pochodzi z 2020 roku. Naruszenie dotyczy co najmniej trzech odrębnych obowiązków. Pracownik, który dowiedział się o monitoringu od kolegi, złożył skargę do UODO – postępowanie trwa.

Pracodawcy prowadzący działalność w Polsce z udziałem zagranicznych inwestorów lub korzystający z finansowania unijnego powinni uwzględnić, że wymogi compliance w zakresie danych osobowych są często weryfikowane przez instytucje zarządzające projektami KPO i RRF.

Scenariusz 3: Pracodawca zatrudniający pracowników z zagranicy. Spółka logistyczna z Trójmiasta zatrudnia kierowców z Ukrainy i Białorusi. Pojazdy są wyposażone w GPS. Pracodawca nie poinformował pracowników o monitoringu lokalizacji w języku ukraińskim. Brak tłumaczenia klauzuli informacyjnej to naruszenie art. 13 RODO, nawet jeśli pracownik podpisał dokument w języku polskim. W sprawach dotyczących cudzoziemców UODO zwraca szczególną uwagę na skuteczność przekazania informacji.

Jakie kary grożą za naruszenie przepisów o monitoringu?

Naruszenie przepisów o monitoringu pracowników może rodzić odpowiedzialność na trzech płaszczyznach jednocześnie. To nie jest sytuacja, w której wystarczy przeprosić i poprawić dokumentację – część konsekwencji jest nieodwracalna.

Po pierwsze – odpowiedzialność administracyjna na podstawie RODO. UODO może nałożyć karę do 20 milionów euro lub 4% rocznego obrotu globalnego (stosuje się kwotę wyższą). W przypadku naruszenia obowiązku informacyjnego lub braku podstawy prawnej przetwarzania danych kary sięgają setek tysięcy złotych nawet dla średnich przedsiębiorstw. UODO nie ogranicza się do ostrzeżeń – decyzje administracyjne z nakazem zaprzestania przetwarzania są coraz częstsze.

Po drugie – odpowiedzialność pracownicza. Pracownik, który dowie się, że był nielegalnie monitorowany, może rozwiązać umowę o pracę bez wypowiedzenia z winy pracodawcy (art. 55 § 1¹ k.p.). Oznacza to prawo do odszkodowania w wysokości wynagrodzenia za okres wypowiedzenia – przy umowie na czas nieokreślony i stażu powyżej 3 lat to 3 miesiące wynagrodzenia. Zgodnie z art. 36 § 1 k.p. trzymiesięczny okres wypowiedzenia dotyczy pracowników zatrudnionych powyżej 3 lat.

Po trzecie – odpowiedzialność karna i cywilna. Naruszenie dóbr osobistych pracownika (prywatności) może być podstawą roszczenia o zadośćuczynienie na gruncie Kodeksu cywilnego. Jeśli monitoring obejmował treść komunikacji prywatnej, pracodawca może odpowiadać również za naruszenie tajemnicy komunikowania się.

Pracodawcy, którzy wdrożyli już kanały zgłoszeń wewnętrznych zgodnie z art. 8 ustawy o sygnalistach, powinni upewnić się, że system monitoringu nie rejestruje danych z tych kanałów. Połączenie monitoringu aktywności z systemem sygnalistów bez odpowiednich barier technicznych to jeden z najpoważniejszych błędów compliance, jaki obserwujemy w praktyce.

Pracodawcy działający w kilku krajach UE – np. prowadzący rekrutację we Włoszech i w Polsce – powinni uwzględnić, że lokalne przepisy implementujące RODO różnią się między sobą. Więcej o praktyce zatrudnienia w kontekście międzynarodowym znajdą Państwo w naszym opracowaniu dotyczącym prawa pracy we Włoszech.

Konkretna sytuacja Państwa firmy wymaga oceny, czy stosowany monitoring ma aktualną podstawę prawną i czy dokumentacja RODO jest kompletna. Brak tej weryfikacji zamyka drogę do skutecznej obrony w postępowaniu przed UODO lub w sporze z pracownikiem.

Jeśli Państwa spółka wdraża lub planuje wdrożenie monitoringu pracowników i nie ma pewności co do kompletności dokumentacji – przeprowadzimy audyt prawny, zaktualizujemy regulamin pracy i przygotujemy klauzule informacyjne zgodne z aktualnymi wymogami RODO: info@kordeckipartners.com.

Często zadawane pytania

P: Czy pracodawca musi uzyskać zgodę pracownika na monitoring?

O: Nie – zgoda pracownika nie jest właściwą podstawą prawną monitoringu w stosunku pracy. Kodeks pracy i RODO wskazują, że podstawą jest uzasadniony interes pracodawcy lub obowiązek prawny. Zgoda pracownika w tym kontekście jest z reguły uznawana za nieswobodną, a zatem nieskuteczną. Pracodawca powinien oprzeć monitoring na przepisach Kodeksu pracy i odpowiednio udokumentować cel oraz zakres działania systemu.

P: Jak długo pracodawca może przechowywać nagrania z monitoringu wizyjnego?

O: Co do zasady – nie dłużej niż 3 miesiące od daty nagrania. Przepisy Kodeksu pracy wskazują ten termin jako maksymalny dla monitoringu wizyjnego stosowanego w celu zapewnienia bezpieczeństwa lub ochrony mienia. Wyjątek dotyczy sytuacji, gdy nagrania stanowią lub mogą stanowić dowód w postępowaniu – wówczas termin ulega przedłużeniu do czasu prawomocnego zakończenia postępowania. Pracodawca powinien wdrożyć automatyczne procedury usuwania nagrań po upływie okresu retencji.

P: Czy monitoring pracowników zdalnych jest dopuszczalny na tych samych zasadach co w biurze?

O: Tak, ale z istotnymi ograniczeniami praktycznymi. Monitoring aktywności na urządzeniach służbowych jest dopuszczalny, jeśli ma podstawę w regulaminie pracy i pracownicy zostali poinformowani. Jednak monitoring wizyjny w miejscu zamieszkania pracownika jest co do zasady niedopuszczalny – naruszałby prywatność domowników. Pracodawca może wymagać stosowania służbowego sprzętu i oprogramowania, ale nie może rejestrować otoczenia pracownika pracującego z domu. Każde narzędzie monitoringu zdalnego wymaga odrębnej oceny proporcjonalności.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do prawa pracy, mobilności globalnej i compliance RODO. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie Państwa sytuacji: info@kordeckipartners.com.

Konkretna sytuacja Państwa firmy w zakresie monitoringu pracowników wymaga indywidualnej oceny – pominięcie choćby jednego wymogu formalnego może mieć nieodwracalne skutki w postępowaniu administracyjnym lub sporze sądowym.

Jeśli Państwa spółka zatrudnia pracowników mobilnych, cudzoziemców posiadających work permit Poland lub EU Blue Card i planuje wdrożenie monitoringu – przeprowadzimy kompleksowy audyt, zaktualizujemy dokumentację RODO i zapewnimy wsparcie w przypadku kontroli UODO: info@kordeckipartners.com.