Firma logistyczna z Mazowsza wdrożyła system monitoringu GPS dla całej floty pojazdów. Po pół roku jeden z kierowców złożył skargę do Urzędu Ochrony Danych Osobowych. Okazało się, że spółka nigdy nie poinformowała pracowników o zasadach przetwarzania ich danych lokalizacyjnych. Konsekwencja: wszczęcie postępowania przez UODO i realny koszt naprawczy przekraczający wartość samego systemu.

Monitoring pracowników jest w Polsce dopuszczalny, ale wyłącznie przy spełnieniu warunków wynikających z Kodeksu pracy i Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 – zwanego RODO. Pracodawca musi wdrożyć monitoring w sposób celowy, proporcjonalny i poprzedzony właściwą informacją dla pracowników. Naruszenie tych reguł grozi karą administracyjną do 20 milionów euro lub 4% globalnego obrotu.

Niniejszy przewodnik opisuje krok po kroku procedurę legalnego wdrożenia monitoringu: od analizy podstaw prawnych, przez obowiązki informacyjne i dokumentacyjne, po typowe błędy i trzy scenariusze biznesowe. Każdy etap zawiera konkretne terminy i progi, które pracodawca powinien sprawdzić przed uruchomieniem systemu.

Jakie formy monitoringu pracowników dopuszcza polskie prawo?

Polskie prawo wyraźnie wskazuje, które formy nadzoru nad pracownikami są dozwolone. Podstawę stanowi art. 222 Kodeksu pracy – monitoring wizyjny – oraz art. 223 k.p. – kontrola służbowej poczty elektronicznej i aktywności w sieci. Oba przepisy wymagają spełnienia przesłanki konieczności: monitoring musi służyć konkretnemu celowi, a nie ogólnemu „pilnowaniu" załogi. UODO konsekwentnie egzekwuje tę zasadę, a nieprawidłowo wdrożone systemy kończą się decyzjami nakazowymi lub grzywnami.

Kodeks pracy wyróżnia następujące formy legalnego monitoringu:

  • monitoring wizyjny (kamery CCTV) – wyłącznie na terenie zakładu pracy lub wokół niego
  • kontrola poczty elektronicznej pracownika na służbowym koncie
  • monitoring aktywności internetowej na sprzęcie pracodawcy
  • lokalizacja GPS pojazdów służbowych
  • kontrola dostępu do pomieszczeń (karty, czytniki biometryczne)

Każda z tych form ma odrębną podstawę prawną i własne ograniczenia. Monitoring biometryczny – np. skanowanie linii papilarnych – wymaga zgody pracownika wyrażonej na podstawie art. 9 ust. 2 lit. a RODO, ponieważ dane biometryczne należą do kategorii szczególnej. W praktyce wiele firm z sektora produkcyjnego wdraża czytniki linii papilarnych bez odrębnej zgody, co stanowi jeden z najczęściej wykrywanych błędów podczas kontroli Państwowej Inspekcji Pracy.

Dla inwestora zagranicznego wchodzącego na rynek polski – na przykład spółki z siedzibą w Niemczech otwierającej oddział w Krakowie – warto pamiętać, że polskie przepisy k.p. nakładają dodatkowe wymogi ponad standard RODO. Samo RODO nie reguluje monitoringu pracowniczego tak szczegółowo jak krajowy Kodeks pracy. Obie warstwy muszą być spełnione jednocześnie.

Jakie obowiązki formalne poprzedzają uruchomienie monitoringu?

Pracodawca musi wykonać trzy obowiązki formalne zanim fizycznie uruchomi jakikolwiek system nadzoru. Pierwszy – ustalenie celu i podstawy prawnej. Drugi – poinformowanie pracowników z wyprzedzeniem co najmniej 2 tygodni. Trzeci – aktualizacja wewnętrznej dokumentacji ochrony danych. Pominięcie choćby jednego z tych kroków oznacza, że monitoring jest prowadzony niezgodnie z prawem – nawet jeśli sprzęt działa sprawnie i dane są bezpiecznie przechowywane.

Procedura wdrożenia monitoringu krok po kroku wygląda następująco:

  • Analiza celowości – pracodawca dokumentuje, dlaczego monitoring jest niezbędny (np. ochrona mienia, bezpieczeństwo, kontrola czasu pracy)
  • Zmiana regulaminu pracy – wprowadzenie zapisów o monitoringu do regulaminu lub układu zbiorowego, z zachowaniem procedury konsultacji ze związkami zawodowymi
  • Klauzula informacyjna – przygotowanie i doręczenie pracownikom informacji wymaganej przez art. 13 RODO (cel, podstawa, okres retencji, prawa osoby)
  • Ocena skutków (DPIA) – dla monitoringu biometrycznego lub GPS obejmującego dużą liczbę pracowników organ nadzorczy rekomenduje przeprowadzenie DPIA
  • Oznakowanie – obszar objęty kamerami musi być widocznie oznaczony

Dwutygodniowy termin informowania pracowników jest terminem minimalnym. Uważamy, że bezpieczniejszym rozwiązaniem jest doręczenie informacji co najmniej 30 dni przed uruchomieniem systemu – zwłaszcza gdy zakład zatrudnia powyżej 50 osób objętych ustawą o sygnalistach. Na podstawie art. 8 ustawy o sygnalistach pracodawca musi dysponować wewnętrznym kanałem zgłoszeń, a wdrożenie monitoringu bez poinformowania o możliwości zgłoszenia naruszeń stanowi dodatkowe ryzyko compliance.

Spółka IT z Krakowa zatrudniająca 120 programistów wdrożyła monitoring aktywności ekranu w połowie 2024 r. Brakowało DPIA i aktualizacji rejestru czynności przetwarzania. Po audycie wewnętrznym koszt naprawczy – konsultacje prawne, aktualizacja dokumentacji, ponowne informowanie pracowników – wyniósł ok. 35 000 zł. Gdyby procedura była przeprowadzona poprawnie od początku, koszt zamknąłby się w 8 000–12 000 zł.

Pracodawca z branży budowlanej, zatrudniający pracowników tymczasowych na umowach do 33 miesięcy (zgodnie z art. 251 § 1 k.p.), musi pamiętać, że obowiązek informacyjny dotyczy każdej osoby wykonującej pracę – niezależnie od rodzaju umowy. Pracownicy tymczasowi i zleceniobiorcy nie są wyłączeni spod ochrony RODO.

Jeśli Państwa firma planuje wdrożenie lub rozszerzenie systemu monitoringu, konkretna ocena zgodności wymaga analizy dokumentacji i struktury zatrudnienia. Zaniechanie tego kroku może nieodwracalnie narazić spółkę na postępowanie administracyjne UODO.

Aby otrzymać ocenę Państwa procedury wdrożeniowej, napisz do info@kordeckipartners.com.

Jak długo można przechowywać dane z monitoringu i co grozi za naruszenia?

Okres retencji danych z monitoringu wizyjnego wynosi maksymalnie 3 miesiące od dnia nagrania – chyba że nagrania stanowią dowód w postępowaniu lub pracodawca powziął wiadomość, że mogą być potrzebne. W takim przypadku okres przechowywania ulega przedłużeniu do czasu prawomocnego zakończenia postępowania. Przekroczenie tego terminu bez podstawy prawnej jest naruszeniem zasady ograniczenia przechowywania z art. 5 ust. 1 lit. e RODO i może skutkować decyzją nakazującą usunięcie danych.

Dla monitoringu poczty elektronicznej i aktywności internetowej Kodeks pracy nie określa wprost okresu retencji. Pracodawca powinien samodzielnie ustalić ten okres w polityce prywatności lub regulaminie, kierując się zasadą minimalizacji danych. UODO w swoich wytycznych wskazuje, że dane o aktywności pracownika nie powinny być przechowywane dłużej niż jest to niezbędne do realizacji celu – w praktyce oznacza to zazwyczaj od 1 do 6 miesięcy.

Sankcje za naruszenia przepisów o monitoringu mają dwa wymiary. Administracyjny – kara pieniężna UODO do 20 milionów euro lub 4% całkowitego rocznego obrotu. Pracowniczy – pracownik może dochodzić odszkodowania na podstawie art. 24 k.c. w zw. z art. 300 k.p. za naruszenie dóbr osobistych. W 2023 r. UODO nałożył kilka decyzji nakazowych na pracodawców stosujących monitoring bez podstawy prawnej, w tym w sektorze handlu detalicznego.

Odrębną kategorię stanowią naruszenia dotyczące sygnalistów. Jeżeli pracodawca używa nagrań z monitoringu do identyfikacji osoby, która złożyła anonimowe zgłoszenie wewnętrzne, naraża się na odpowiedzialność z art. 54 ustawy o sygnalistach – grzywnę do 1 080 000 zł lub karę pozbawienia wolności do 3 lat za działania odwetowe.

Trzy scenariusze biznesowe – jak prawidłowo wdrożyć monitoring?

Każda branża i każda struktura zatrudnienia rodzi inne ryzyka compliance. Poniżej trzy typowe scenariusze z polskiego rynku – produkcja, IT i inwestor zagraniczny – wraz z kluczowymi punktami, które wymagają uwagi przed uruchomieniem systemu nadzoru.

Scenariusz 1 – firma produkcyjna z Podkarpacia. Zakład zatrudniający 300 pracowników chce wdrożyć monitoring wizyjny hal produkcyjnych oraz GPS na wózkach widłowych. Kluczowe kroki: zmiana regulaminu pracy z 2-tygodniowym wyprzedzeniem, oznakowanie wszystkich kamer, DPIA ze względu na skalę przetwarzania, osobna klauzula informacyjna dla pracowników tymczasowych. Okresy wypowiedzenia pracowników (art. 36 § 1 k.p.) nie wpływają na obowiązki informacyjne dotyczące monitoringu – te stosuje się niezależnie.

Scenariusz 2 – spółka IT z Warszawy. Firma zatrudniająca 80 programistów pracujących zdalnie rozważa monitoring aktywności ekranu i keylogger. Tu ryzyko jest najwyższe. Monitoring zdalnego ekranu wkracza w sferę prywatną pracownika, zwłaszcza gdy pracuje na własnym sprzęcie lub z domu. Pracodawca musi wyraźnie ograniczyć monitoring do służbowych urządzeń i służbowego czasu pracy. Brak tej granicy oznacza przetwarzanie danych bez podstawy prawnej.

Scenariusz 3 – inwestor zagraniczny, Blue Card Polska. Spółka z siedzibą w Holandii zatrudnia w Polsce 15 specjalistów na podstawie zezwoleń pobytowych. Minimalne wynagrodzenie przy Blue Card wynosi 12 272,58 zł miesięcznie (próg 2026). Pracodawca wdraża monitoring GPS samochodów służbowych. Obowiązki wynikające z polskiego k.p. i RODO stosuje się do wszystkich pracowników – bez względu na obywatelstwo. Klauzula informacyjna musi być dostępna w języku zrozumiałym dla pracownika.

W każdym z tych scenariuszy pojawia się ten sam błąd: pracodawcy skupiają się na technicznej stronie wdrożenia i pomijają dokumentację. Tymczasem UODO w pierwszej kolejności sprawdza właśnie dokumenty – rejestr czynności przetwarzania, DPIA, regulamin, klauzule informacyjne.

Jakie są najczęstsze błędy pracodawców przy monitoringu pracowników?

Błędy przy wdrożeniu monitoringu mają zazwyczaj ten sam schemat: sprzęt kupiony, zainstalowany, uruchomiony – dokumentacja uzupełniana po fakcie lub wcale. UODO w swoich decyzjach wielokrotnie wskazywał, że brak dokumentacji jest traktowany jako dowód braku zgodności, a nie jako uchybienie formalne do naprawienia.

Lista najczęstszych błędów:

  • Brak aktualizacji regulaminu pracy – monitoring uruchomiony bez zmiany regulaminu lub bez konsultacji ze związkami zawodowymi
  • Niepełna klauzula informacyjna – brakuje informacji o okresie retencji lub danych kontaktowych inspektora ochrony danych (IOD)
  • Monitoring pomieszczeń sanitarnych lub socjalnych – bezwzględnie zakazany przez art. 222 § 2 k.p.
  • Rozszerzenie celu monitoringu po fakcie – nagrania zebrane w celu ochrony mienia są następnie używane do oceny wydajności pracownika
  • Brak DPIA przy monitoringu biometrycznym – wymagana ocena skutków dla ochrony danych jest pomijana

W praktyce – wiele firm o tym zapomina – cel monitoringu musi być nie tylko zdefiniowany, ale też konsekwentnie przestrzegany. Zmiana celu przetwarzania bez nowej podstawy prawnej to naruszenie zasady celowości z art. 5 ust. 1 lit. b RODO. UODO traktuje takie działanie jako samodzielne naruszenie, niezależnie od pierwotnej legalności systemu.

Pracodawca planujący zwolnienia grupowe – procedura szczegółowo opisana w przewodniku o zwolnieniach grupowych – powinien też pamiętać, że nagrania z monitoringu nie mogą być podstawą doboru pracowników do zwolnienia, jeśli cel monitoringu był inny. Użycie danych niezgodnie z pierwotnym celem to kolejna kategoria naruszeń, którą UODO bada z urzędu.

Firma handlowa z Trójmiasta jesienią 2024 r. rozszerzyła zakres monitoringu wizyjnego o pomieszczenie socjalne, tłumacząc to kradzieżami w zakładzie. Po skardze pracownika UODO nakazał natychmiastowe usunięcie kamer i nałożył obowiązek przeprowadzenia audytu całego systemu. Koszty audytu i doradztwa prawnego przekroczyły 40 000 zł – kilkukrotnie więcej niż koszt prawidłowego wdrożenia od początku.

Konkretna sytuacja Państwa firmy może różnić się od powyższych scenariuszy. Błędy w dokumentacji monitoringu mają charakter nieodwracalny w tym sensie, że dane zebrane bez podstawy prawnej nie mogą być następnie „zalegalizowane" – UODO może nakazać ich usunięcie, co niweczy wartość dowodową zgromadzonych nagrań.

Jeśli Państwa spółka stosuje monitoring i nie przeprowadziła audytu zgodności w ciągu ostatnich 12 miesięcy – przeprowadzimy przegląd dokumentacji, ocenę podstaw prawnych i rekomendacje naprawcze: info@kordeckipartners.com.

Często zadawane pytania

P: Czy pracodawca może monitorować pracownika pracującego zdalnie?

O: Tak, ale wyłącznie w ograniczonym zakresie. Monitoring zdalny musi dotyczyć służbowego sprzętu i służbowego czasu pracy. Pracodawca nie może rejestrować aktywności na prywatnych urządzeniach pracownika ani monitorować jego otoczenia domowego. Obowiązek informacyjny wynikający z artykułu 13 RODO stosuje się w pełnym zakresie – pracownik zdalny musi otrzymać klauzulę informacyjną przed uruchomieniem systemu, nie po.

P: Ile kosztuje prawidłowe wdrożenie monitoringu od strony prawnej?

O: Koszt zależy od skali zatrudnienia i rodzaju systemu. Dla firmy zatrudniającej do 50 pracowników, wdrażającej monitoring wizyjny, koszt obsługi prawnej (regulamin, klauzule, rejestr czynności) mieści się zazwyczaj w przedziale 5 000–10 000 zł. Dla większych podmiotów wymagających DPIA i koordynacji z inspektorem ochrony danych koszt wzrasta do 15 000–30 000 zł. Koszt naprawczy po wykryciu naruszeń jest wielokrotnie wyższy – jak pokazują opisane w tym przewodniku przypadki.

P: Czy zgoda pracownika zastępuje pozostałe obowiązki pracodawcy wynikające z RODO?

O: Nie. To jeden z najczęstszych błędów. Zgoda pracownika nie jest samodzielną podstawą prawną dla monitoringu – ze względu na nierównowagę stron stosunku pracy zgoda rzadko spełnia wymóg dobrowolności wynikający z artykułu 7 ustępu 4 RODO. Podstawą prawną jest zazwyczaj uzasadniony interes pracodawcy (artykuł 6 ustęp 1 litera f RODO) lub wykonanie umowy. Obowiązki informacyjne, aktualizacja regulaminu i ocena skutków dla ochrony danych obowiązują niezależnie od tego, czy pracownik wyraził zgodę.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do prawa pracy i ochrony danych osobowych. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie Państwa sytuacji: info@kordeckipartners.com.

O autorze

Olga Adamczyk kieruje praktyką prawa pracy i mobilności globalnej oraz koordynuje Ukrainian Desk i CIS Desk kancelarii. Doradzała przy ponad 200 zezwoleniach na pracę od 2023 r.

Zastrzeżenie

Zastrzeżenie: Niniejsza publikacja służy wyłącznie celom informacyjnym i nie stanowi porady prawnej. Informacje zawarte w materiale nie powinny być traktowane jako substytut profesjonalnej porady prawnej dostosowanej do konkretnych okoliczności. KORDECKI & Partners nie ponosi odpowiedzialności za działania podjęte lub zaniechane na podstawie treści tego materiału. W sprawie porady dotyczącej Państwa konkretnej sytuacji prosimy o kontakt: info@kordeckipartners.com.