Monitoring pracowników a RODO – obowiązki

Firma logistyczna z Mazowsza przez dwa lata nagrywała rozmowy telefoniczne pracowników bez wcześniejszego poinformowania ich o tym fakcie. Gdy jeden z pracowników złożył skargę do Urzędu Ochrony Danych Osobowych, kara administracyjna i koszty postępowania przerosły budżet rocznego działu HR. Monitoring sam w sobie nie był problemem – problemem był brak procedury.

Monitoring pracowników jest w Polsce dopuszczalny na podstawie przepisów Kodeksu pracy oraz rozporządzenia RODO (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679). Pracodawca musi jednak spełnić konkretne warunki: uzasadniony cel, podstawa prawna przetwarzania danych, uprzednia informacja dla pracowników oraz ograniczenie zakresu monitoringu do tego, co niezbędne. Naruszenie tych zasad grozi karą UODO sięgającą 20 milionów euro lub 4% globalnego obrotu.

Ten przewodnik omawia rodzaje monitoringu dopuszczalnego w polskim prawie pracy, obowiązki formalne pracodawcy, najczęstsze pułapki wdrożeniowe oraz sytuacje szczególne – w tym pracę zdalną i pracowników z zagranicy. Na końcu znajdą Państwo listę kontrolną gotowości do audytu UODO.

Jakie rodzaje monitoringu pracowników są dopuszczalne w Polsce?

Kodeks pracy wprost wymienia kilka form monitoringu. Każda z nich ma odrębne przesłanki i ograniczenia. Pracodawca, który miesza te formy bez rozróżnienia, naraża się na zarzut przetwarzania danych bez podstawy prawnej – co UODO traktuje jako jedno z cięższych naruszeń.

Monitoring wizyjny (CCTV) jest dopuszczalny wyłącznie wtedy, gdy jest niezbędny do zapewnienia bezpieczeństwa pracowników, ochrony mienia lub kontroli produkcji. Kamery nie mogą obejmować pomieszczeń sanitarnych, szatni, stołówek ani pomieszczeń przeznaczonych do wypoczynku. Nagrania przechowuje się nie dłużej niż 3 miesiące, chyba że stanowią dowód w postępowaniu – wtedy do czasu prawomocnego zakończenia sprawy.

Monitoring poczty elektronicznej służy wyłącznie kontroli służbowego użytkowania sprzętu. W praktyce – wiele firm o tym zapomina – pracodawca musi uprzednio poinformować pracownika, że skrzynka służbowa może być monitorowana. Wgląd w prywatną korespondencję wysłaną ze służbowej skrzynki jest niedopuszczalny bez odrębnej podstawy prawnej. To nie jest wyłącznie teoria: UODO wydał w tej kwestii kilka decyzji nakazowych.

Monitoring GPS i lokalizacyjny pojazdów służbowych jest powszechny w branży transportowej i logistycznej. Dozwolony jest, gdy pracownik korzysta z pojazdu w celach służbowych. Śledzenie lokalizacji poza godzinami pracy – nawet pojazdem firmowym – wymaga szczególnego uzasadnienia i jest oceniane przez organ nadzorczy z dużą ostrożnością.

Monitoring aktywności na komputerze służbowym (keyloggery, zrzuty ekranu, rejestracja odwiedzanych stron) to obszar najbardziej sporny. RODO nakazuje minimalizację danych. Narzędzia rejestrujące każde naciśnięcie klawisza rzadko spełniają test proporcjonalności – zwłaszcza przy pracy zdalnej, gdzie granica między czasem służbowym a prywatnym jest rozmyta.

Monitoring wizyjny – max. 3 miesiące retencji nagrań
Monitoring poczty – wyłącznie skrzynki służbowe
GPS – tylko w czasie pracy, pojazdy służbowe
Monitoring komputerowy – test proporcjonalności obowiązkowy
Monitoring telefoniczny – wymaga odrębnej podstawy i uprzedniej informacji

Każda z tych form wymaga odrębnego wpisu w rejestrze czynności przetwarzania (RCP), który prowadzi administrator danych – czyli pracodawca. Brak aktualnego RCP to jeden z pierwszych dokumentów, o które pyta inspektor UODO podczas kontroli.

Jakie obowiązki formalne ciążą na pracodawcy przed wdrożeniem monitoringu?

Obowiązki formalne to nie biurokracja dla zasady. To dowód, że pracodawca działał zgodnie z prawem – i jedyna skuteczna tarcza przed karą administracyjną. Zaniechanie tych kroków zamyka drogę do obrony w postępowaniu przed UODO.

Pierwszym krokiem jest ustalenie podstawy prawnej przetwarzania. Dla monitoringu pracowników podstawą jest najczęściej art. 6 ust. 1 lit. c RODO (obowiązek prawny) w połączeniu z przepisami Kodeksu pracy – lub art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes administratora). Zgoda pracownika jako podstawa prawna monitoringu jest w praktyce niedopuszczalna – brak równowagi sił między pracodawcą a pracownikiem sprawia, że UODO konsekwentnie kwestionuje dobrowolność takiej zgody.

Kolejnym krokiem jest aktualizacja regulaminu pracy lub odrębnego regulaminu monitoringu. Dokument powinien wskazywać: cel monitoringu, zakres (które pomieszczenia, które systemy), sposób przetwarzania danych oraz okres retencji. Regulamin należy wprowadzić co najmniej 2 tygodnie przed uruchomieniem systemu monitoringu – to wymóg wprost z Kodeksu pracy.

Obowiązek informacyjny z art. 13 RODO musi być spełniony indywidualnie wobec każdego pracownika. Nie wystarczy ogłoszenie na tablicy ogłoszeń. Pracownik musi otrzymać pisemną informację o: tożsamości administratora, celach i podstawach przetwarzania, odbiorcach danych, czasie retencji, przysługujących prawach oraz prawie skargi do UODO. Podpisane potwierdzenie odbioru tego dokumentu należy przechowywać w aktach osobowych.

Jeśli monitoring dotyczy nowych pracowników – obowiązek informacyjny należy spełnić przed dopuszczeniem do pracy, nie po. W przypadku zatrudniania cudzoziemców (np. pracowników z Ukrainy na podstawie zezwolenia na pracę lub Blue Card Polska) dokumenty informacyjne powinny być dostępne w języku zrozumiałym dla pracownika. To wymóg RODO, ale też element dobrej praktyki w wielokulturowym środowisku pracy.

Pracodawcy zatrudniający co najmniej 50 pracowników mają dodatkowy obowiązek: ustanowienie wewnętrznego kanału zgłoszeń sygnalistów zgodnie z art. 8 ustawy o sygnalistach (ustawa z 14 czerwca 2024 r., w życie od 25 września 2024 r.). Sygnalista, który ujawni naruszenie zasad monitoringu, korzysta z pełnej ochrony przed działaniami odwetowymi. Pracodawca, który podejmie takie działania, naraża się na karę do PLN 1 080 000 – i do 3 lat pozbawienia wolności.

Warto też sprawdzić, czy wdrożenie systemu monitoringu wymaga przeprowadzenia oceny skutków dla ochrony danych (DPIA). Obowiązek ten powstaje, gdy przetwarzanie „może powodować wysokie ryzyko" dla praw i wolności osób fizycznych. Monitoring pracowników – szczególnie rozbudowany, obejmujący wiele kanałów – z reguły spełnia ten próg.

Aby otrzymać ocenę zgodności Państwa regulaminu monitoringu z RODO, napisz do info@kordeckipartners.com.

Konkretna sytuacja Państwa firmy może wymagać nie tylko korekty dokumentacji, ale i nieodwracalnej weryfikacji dotychczasowych praktyk – zanim zrobi to organ nadzorczy. Każdy miesiąc zwłoki zwiększa ryzyko, że zebrany materiał dowodowy będzie działał przeciwko pracodawcy.

Jeśli Państwa spółka wdrożyła monitoring bez kompletnej dokumentacji RODO lub zatrudnia powyżej 50 pracowników bez kanału sygnalistów – przeprowadzimy audyt zgodności i opracujemy regulamin monitoringu dostosowany do Państwa struktury: info@kordeckipartners.com.

Jakie błędy pracodawców najczęściej wykrywa UODO podczas kontroli?

Urząd Ochrony Danych Osobowych przeprowadza kontrole zarówno planowe, jak i na skutek skarg pracowników. Doświadczenie z postępowań pokazuje, że te same błędy pojawiają się w kolejnych sprawach – niezależnie od branży i wielkości firmy.

Błąd pierwszy: monitoring uruchomiony przed spełnieniem obowiązku informacyjnego. Firma IT z Małopolski wdrożyła system monitorowania aktywności na laptopach pracowników zdalnych w marcu 2024 r. Pracownicy dowiedzieli się o tym z przypadkowej rozmowy, nie z dokumentu. Postępowanie przed UODO trwało 8 miesięcy i zakończyło się nakazem usunięcia zebranych danych oraz nałożeniem obowiązku przeprowadzenia DPIA – co samo w sobie wygenerowało kilkumiesięczne opóźnienie w działaniu systemu.

Błąd drugi: zbyt długi okres przechowywania nagrań. Retencja nagrań CCTV powyżej 3 miesięcy bez dokumentowanej podstawy (np. toczącego się postępowania) jest naruszeniem zasady ograniczenia przechowywania z art. 5 ust. 1 lit. e RODO. W praktyce wiele firm po prostu nie konfiguruje automatycznego usuwania nagrań – bo nikt nie przypisał tej odpowiedzialności konkretnej osobie.

Błąd trzeci: monitoring pomieszczeń socjalnych. Kamera skierowana na kuchnię pracowniczą lub stołówkę narusza Kodeks pracy wprost. Pracodawca, który tłumaczy to „koniecznością ochrony mienia", rzadko przekonuje organ nadzorczy – bo wartość mienia w kuchni zwykle nie uzasadnia ingerencji w prywatność pracowników podczas przerwy.

Błąd czwarty: brak lub nieaktualny rejestr czynności przetwarzania. RCP to pierwszy dokument, o który prosi inspektor UODO. Jeśli brakuje w nim wpisu dotyczącego monitoringu – lub wpis jest nieaktualny po zmianie systemu – organ traktuje to jako dowód braku systemowego podejścia do ochrony danych.

Błąd piąty: monitoring pracowników zdalnych bez analizy proporcjonalności. Praca zdalna rządzi się szczególnymi zasadami – pracodawca ma obowiązek zapewnić sprzęt lub wypłacić ekwiwalent (art. 67¹⁸ k.p.), ale nie ma nieograniczonego prawa do inwigilacji miejsca zamieszkania pracownika. Zrzuty ekranu co 5 minut czy monitoring kamery internetowej to narzędzia, które UODO ocenia z wyjątkową surowością.

Błąd szósty: brak procedury reagowania na naruszenia ochrony danych. Gdy dojdzie do wycieku nagrań lub nieautoryzowanego dostępu do danych monitoringu, pracodawca ma 72 godziny na zgłoszenie naruszenia do UODO – jeśli naruszenie może powodować ryzyko dla praw osób fizycznych. Firmy, które nie mają wdrożonej procedury incydentowej, często przekraczają ten termin, co samo w sobie stanowi odrębne naruszenie.

Więcej o obowiązkach pracodawcy wobec pracowników – w tym o ochronie przed mobbingiem – można przeczytać w naszym opracowaniu: Mobbing w miejscu pracy – obowiązki pracodawcy.

Monitoring a praca zdalna i pracownicy zagraniczni – co zmienia się w praktyce?

Praca zdalna i zatrudnienie cudzoziemców to dwa obszary, w których standardowe podejście do monitoringu wymaga istotnych korekt. Pracodawcy, którzy stosują te same procedury dla całej załogi bez uwzględnienia tych różnic, generują ryzyko, które ujawnia się dopiero podczas kontroli.

Przy pracy zdalnej granica między przestrzenią prywatną a służbową jest niewyraźna. Pracodawca, który chce monitorować aktywność pracownika zdalnego, musi spełnić ostrzejszy test proporcjonalności niż przy monitoringu biurowym. Monitoring kamery internetowej w czasie rzeczywistym jest dopuszczalny wyłącznie podczas spotkań online, do których pracownik wyraził zgodę. Ciągłe nagrywanie obrazu z kamery – nawet w godzinach pracy – narusza prawo do prywatności w miejscu zamieszkania.

Rejestrowanie aktywności na służbowym komputerze (odwiedzane strony, czas pracy w aplikacjach) jest dopuszczalne, ale wymaga precyzyjnego opisu w regulaminie. Pracownik musi wiedzieć, które aktywności są rejestrowane i przez jaki czas dane są przechowywane. Brak tej informacji to nie formalność – to podstawa do skargi do UODO i ewentualnego roszczenia odszkodowawczego.

W przypadku pracowników zagranicznych – w tym pracowników z Ukrainy zatrudnianych na podstawie zezwolenia na pracę lub posiadaczy Blue Card Polska – obowiązek informacyjny musi być realizowany w języku zrozumiałym dla pracownika. Samo przetłumaczenie klauzuli informacyjnej nie wystarczy, jeśli pracownik nie rozumie jej treści. Uważamy, że bezpieczniejszym rozwiązaniem jest zapewnienie tłumaczenia ustnego przy podpisywaniu dokumentów i potwierdzenie tego faktu w aktach osobowych.

Warto pamiętać o art. 25¹ § 1 k.p. – limit 33 miesięcy na umowy na czas określony z tym samym pracodawcą dotyczy również cudzoziemców. Przekroczenie tego limitu powoduje automatyczne przekształcenie umowy w umowę na czas nieokreślony – co zmienia sytuację pracodawcy przy ewentualnym rozwiązaniu stosunku pracy i wymaga aktualizacji dokumentacji monitoringu (nowy obowiązek informacyjny przy zmianie podstawy zatrudnienia).

Pracodawcy działający w strukturach holdingowych lub korzystający z usług podmiotów przetwarzających dane (np. zewnętrznych dostawców systemów monitoringu) muszą zawrzeć umowy powierzenia przetwarzania danych zgodnie z art. 28 RODO. Brak takiej umowy przy korzystaniu z chmurowego systemu monitoringu to naruszenie, które UODO traktuje jako systemowe – a nie incydentalne.

Dla przedsiębiorstw z kapitałem zagranicznym działających w Polsce pojawia się dodatkowe pytanie: czy system monitoringu wdrożony przez centralę w innym państwie UE spełnia polskie wymogi Kodeksu pracy? Odpowiedź brzmi: nie zawsze. Polskie przepisy Kodeksu pracy nakładają wymogi dodatkowe wobec samego RODO – w szczególności dotyczące regulaminu pracy i terminu uprzedniej informacji (2 tygodnie). Centrala może być zgodna z RODO, a mimo to naruszać polskie prawo pracy.

Zagadnienia związane z dokumentacją finansową i podatkowymi aspektami zatrudnienia przy pracy zdalnej omawia nasze opracowanie: JPK_CIT – co przygotować przed terminem.

Lista kontrolna: czy Państwa firma jest gotowa na kontrolę UODO?

Audyt gotowości można przeprowadzić wewnętrznie – pod warunkiem, że sprawdzający wie, czego szukać. Poniższe pytania odzwierciedlają rzeczywisty zakres kontroli UODO w sprawach dotyczących monitoringu pracowników. Jeśli na którekolwiek z nich odpowiedź brzmi „nie wiem" – to już sygnał ostrzegawczy.

Przed każdą kontrolą organ nadzorczy może zażądać dokumentów w terminie 7 dni. Brak dokumentu w tym terminie jest traktowany jako jego nieistnienie – nie jako opóźnienie administracyjne.

Regulamin monitoringu lub zapisy w regulaminie pracy – aktualny, wprowadzony co najmniej 2 tygodnie przed uruchomieniem systemu
Klauzule informacyjne RODO – podpisane przez każdego pracownika, w tym pracowników zdalnych i cudzoziemców, w języku dla nich zrozumiałym
Rejestr czynności przetwarzania (RCP) – z aktualnym wpisem dla każdej formy monitoringu, z podanym celem, podstawą prawną i okresem retencji
Ocena skutków dla ochrony danych (DPIA) – przeprowadzona, jeśli monitoring obejmuje więcej niż jedną formę lub dotyczy szczególnych kategorii danych
Umowy powierzenia przetwarzania – zawarte z każdym zewnętrznym dostawcą systemu monitoringu

Trzy dodatkowe elementy, które pracodawcy pomijają najczęściej: procedura reagowania na naruszenia (z terminem 72 godzin na zgłoszenie do UODO), dokumentacja szkoleń pracowników z zakresu ochrony danych oraz dowód, że nagrania CCTV są automatycznie usuwane po upływie okresu retencji.

Firmy zatrudniające powyżej 50 pracowników powinny sprawdzić dodatkowo, czy kanał zgłoszeń sygnalistów jest wdrożony i czy jego regulamin obejmuje możliwość zgłaszania naruszeń z zakresu ochrony danych osobowych. Art. 8 ustawy o sygnalistach nakłada ten obowiązek bez wyjątku dla formy zatrudnienia – dotyczy zarówno pracowników na umowie o pracę, jak i współpracowników B2B.

Pracodawcy, którzy wdrożyli monitoring przed wejściem w życie obecnych przepisów (tj. przed nowelizacją Kodeksu pracy z 2019 r. implementującą RODO), powinni przeprowadzić przegląd całości dokumentacji. Stare klauzule zgody na monitoring nie spełniają wymogów RODO i nie stanowią ważnej podstawy prawnej przetwarzania.

Często zadawane pytania

P: Czy pracodawca musi uzyskać zgodę pracownika na monitoring?

O: Zgoda pracownika nie jest wymaganą ani zalecaną podstawą prawną monitoringu. Urząd Ochrony Danych Osobowych konsekwentnie kwestionuje dobrowolność zgody w stosunku pracy – ze względu na nierównowagę między pracodawcą a pracownikiem. Właściwą podstawą jest prawnie uzasadniony interes administratora (artykuł 6 ustęp 1 litera f rozporządzenia RODO) lub obowiązek prawny wynikający z przepisów Kodeksu pracy. Pracodawca musi jednak każdorazowo przeprowadzić test równoważenia interesów i udokumentować jego wynik.

P: Ile kosztuje wdrożenie dokumentacji monitoringu zgodnej z RODO?

O: Koszt zależy od skali działalności i liczby stosowanych form monitoringu. Dla małej firmy (do 50 pracowników, jeden rodzaj monitoringu) przygotowanie kompletu dokumentów – regulamin, klauzule informacyjne, wpis do RCP – zajmuje zwykle od kilku do kilkunastu godzin pracy prawnika. Przy rozbudowanym monitoringu wielokanałowym lub przy konieczności przeprowadzenia oceny skutków dla ochrony danych (DPIA) nakład pracy jest większy. Koszt dokumentacji jest zawsze niższy niż minimalna kara administracyjna UODO – która może wynosić od kilku do kilkuset tysięcy złotych.

P: Czy monitoring pracowników zdalnych jest w ogóle dopuszczalny?

O: Tak, ale z istotnymi ograniczeniami. Pracodawca może monitorować aktywność na służbowym sprzęcie, czas logowania do systemów czy odwiedzane strony w czasie pracy – pod warunkiem, że pracownik został uprzednio poinformowany, a cel i zakres monitoringu są opisane w regulaminie. Niedopuszczalne jest ciągłe nagrywanie obrazu z kamery internetowej w miejscu zamieszkania pracownika czy instalowanie oprogramowania rejestrującego prywatną aktywność. Każdy system monitoringu zdalnego wymaga oceny proporcjonalności – test ten należy przeprowadzić i udokumentować przed wdrożeniem.

Konkretna sytuacja Państwa firmy – niezależnie od tego, czy dopiero wdrażacie monitoring, czy audytujecie istniejące systemy – wymaga oceny prawnej uwzględniającej specyfikę Waszej struktury zatrudnienia. Każde opóźnienie w uzupełnieniu dokumentacji to ryzyko, że ewentualna skarga pracownika lub kontrola UODO zastanie Państwa bez ochrony.

Jeśli Państwa spółka stosuje monitoring pracowników bez kompletnej dokumentacji RODO lub planuje wdrożenie nowego systemu – przeprowadzimy audyt zgodności, opracujemy regulamin monitoringu i przygotujemy pełen pakiet klauzul informacyjnych: info@kordeckipartners.com.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do prawa pracy i mobilności globalnej. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie Państwa sytuacji: info@kordeckipartners.com.

Olga Adamczyk kieruje praktyką prawa pracy i mobilności globalnej oraz koordynuje Ukrainian Desk i CIS Desk kancelarii. Doradzała przy ponad 200 zezwoleniach na pracę od 2023 r.