Monitoring pracowników a RODO – obowiązki

Firma logistyczna z Mazowsza zainstalowała kamery w magazynie, GPS w pojazdach i oprogramowanie do monitorowania aktywności komputerowej pracowników. Wszystko bez poinformowania załogi, bez regulaminu, bez analizy proporcjonalności. Kilka miesięcy później – kontrola UODO, postępowanie wyjaśniające i realna groźba kary finansowej. Taki scenariusz zdarza się częściej, niż pracodawcy chcą przyznać.

Monitoring pracowników w Polsce podlega jednocześnie przepisom Kodeksu pracy oraz rozporządzeniu RODO (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679). Pracodawca może legalnie stosować nadzór tylko wtedy, gdy spełni wymogi formalne z art. 222 i art. 223 k.p. – w szczególności ustali cel, zakres i sposób monitorowania w regulaminie pracy lub układzie zbiorowym. Naruszenie tych przepisów grozi karą administracyjną UODO do 20 mln EUR lub 4% globalnego rocznego obrotu.

Ten artykuł omawia obowiązki pracodawcy krok po kroku: od podstaw prawnych, przez rodzaje monitoringu i pułapki wdrożeniowe, po aspekty transgraniczne i listę kontrolną gotowości. Każda sekcja zawiera konkretne wskazówki dla działów HR, prawników wewnętrznych i zarządów.

Jakie przepisy regulują monitoring pracowników w Polsce?

Podstawy prawne monitoringu pracowniczego tworzą dwie warstwy regulacyjne. Pierwsza to Kodeks pracy – art. 222 k.p. dotyczy monitoringu wizyjnego, a art. 223 k.p. reguluje monitoring poczty elektronicznej i innych form nadzoru aktywności służbowej. Druga warstwa to RODO, które stosuje się bezpośrednio jako prawo unijne i nie wymaga implementacji krajowej. Obie warstwy muszą być spełnione łącznie – UODO (Urząd Ochrony Danych Osobowych) egzekwuje naruszenia obu reżimów.

Kodeks pracy wymaga, by cel monitoringu był uzasadniony i proporcjonalny. Dopuszczalne cele to: ochrona mienia, kontrola produkcji, bezpieczeństwo pracowników lub ochrona tajemnicy przedsiębiorstwa. Pracodawca nie może prowadzić monitoringu w celach arbitralnych ani dla samego śledzenia wydajności bez wyraźnej podstawy. W praktyce – wiele firm o tym zapomina – cel musi być opisany w dokumentacji, a nie tylko w głowie dyrektora.

Na gruncie RODO podstawą przetwarzania danych z monitoringu jest najczęściej art. 6 ust. 1 lit. f – uzasadniony interes pracodawcy. Jednak interes ten musi każdorazowo przejść test równoważenia: czy prawa i wolności pracownika nie przeważają nad interesem administratora? Nie można polegać na zgodzie pracownika – relacja zależności zatrudnienia sprawia, że zgoda nigdy nie jest dobrowolna w rozumieniu RODO. Tak wyjaśnia UODO i potwierdza orzecznictwo Naczelnego Sądu Administracyjnego (NSA).

Pracodawca jako administrator danych musi ponadto wdrożyć obowiązek informacyjny z art. 13 RODO. Pracownicy muszą wiedzieć: kto przetwarza dane, w jakim celu, jak długo, komu dane są przekazywane i jakie mają prawa. Informacja ta musi trafić do pracownika przed wdrożeniem monitoringu. Brak klauzuli informacyjnej to jeden z najczęstszych zarzutów w postępowaniach UODO.

Jakie rodzaje monitoringu są dopuszczalne i kiedy?

Polski Kodeks pracy wyróżnia kilka rodzajów monitoringu pracowniczego. Każdy rządzi się nieco innymi zasadami. Monitoring wizyjny (CCTV) może obejmować teren zakładu pracy, ale nie może obejmować pomieszczeń sanitarnych, szatni, stołówek ani palarni – chyba że jest to niezbędne do realizacji celu i wymaga zgody zakładowej organizacji związkowej lub przedstawicielstwa pracowników. Nagrania z CCTV przechowuje się nie dłużej niż 3 miesiące, chyba że stanowią dowód w postępowaniu.

Monitoring poczty elektronicznej jest dopuszczalny, jeśli pracodawca wcześniej poinformował pracowników o jego stosowaniu. Dotyczy to wyłącznie służbowych skrzynek pocztowych. Pracodawca nie może czytać korespondencji prywatnej, nawet jeśli była prowadzona ze służbowego konta. Granica bywa trudna do wyznaczenia – zwłaszcza gdy pracownik korzysta z jednej skrzynki do obu celów.

Monitoring GPS pojazdów służbowych jest co do zasady dopuszczalny w celach logistycznych i ochrony mienia. Problematyczne staje się śledzenie pojazdu poza godzinami pracy, gdy pracownik używa samochodu służbowego prywatnie. W takim przypadku pracodawca musi albo wyłączyć GPS po godzinach, albo uzyskać wyraźną i dobrowolną zgodę – co w praktyce jest trudne do osiągnięcia.

Monitoring aktywności komputerowej – keyloggery, screenshoty, analiza czasu spędzonego na aplikacjach – budzi największe wątpliwości. UODO wskazuje, że tego rodzaju narzędzia mogą naruszać prywatność w sposób nieproporcjonalny. Każde wdrożenie wymaga oceny skutków dla ochrony danych (DPIA) zgodnie z art. 35 RODO, jeśli przetwarzanie jest systematyczne i na dużą skalę. Brak DPIA w takim przypadku to poważne naruszenie proceduralne.

Monitoring wizyjny – zakaz w pomieszczeniach higienicznych, max 3 miesiące retencji nagrań
E-mail służbowy – wyłącznie po uprzednim poinformowaniu pracowników
GPS – wymagane wyłączenie lub odrębna podstawa poza godzinami pracy
Aktywność komputerowa – DPIA obowiązkowe przy systematycznym nadzorze
Biometria – wymaga szczególnej podstawy z art. 9 RODO jako dane szczególnej kategorii

Firma IT z Małopolski wdrożyła w 2024 r. oprogramowanie monitorujące czas spędzony w aplikacjach przez 200 programistów. Po audycie okazało się, że narzędzie rejestrowało również treść wpisywanych haseł. Pracodawca musiał natychmiast wyłączyć funkcję keyloggera, przeprowadzić DPIA i powiadomić UODO o incydencie – wszystko w ciągu 72 godzin od wykrycia naruszenia.

Uważamy, że bezpieczniejszym rozwiązaniem jest wdrażanie monitoringu etapami: najpierw analiza celowości, potem konsultacje z przedstawicielami pracowników, następnie aktualizacja regulaminu, a dopiero na końcu uruchomienie systemu technicznego.

Warto tu wspomnieć, że obowiązki pracodawcy w zakresie ochrony danych wpisują się w szerszy kontekst compliance pracowniczego – w tym obowiązki wynikające z dyrektywy CSRD i zmian regulacyjnych w obszarze ESG, które coraz częściej obejmują też kwestie praw pracowniczych i przejrzystości nadzoru.

Konkretna sytuacja Państwa firmy wymaga oceny, czy stosowane narzędzia monitorujące spełniają wymogi formalne RODO i Kodeksu pracy. Brak dokumentacji lub nieprawidłowa podstawa prawna to ryzyko, które może prowadzić do nieodwracalnych konsekwencji finansowych i reputacyjnych.

Jeśli Państwa spółka stosuje monitoring pracowników lub planuje jego wdrożenie – przeprowadzimy audyt zgodności, ocenę DPIA i przygotujemy kompletną dokumentację: info@kordeckipartners.com.

Jakie pułapki czyhają na pracodawcę przy wdrożeniu monitoringu?

Najczęstszy błąd to brak aktualizacji regulaminu pracy przed uruchomieniem systemu monitoringu. Art. 222 § 6 k.p. wymaga, by informacja o monitoringu znalazła się w regulaminie pracy, układzie zbiorowym lub obwieszczeniu – minimum 2 tygodnie przed jego wprowadzeniem. Pracodawcy często instalują kamery lub oprogramowanie z dnia na dzień, pomijając ten wymóg. Taki błąd formalny może sam w sobie przesądzić o nielegalności monitoringu.

Drugi błąd to nadmierna retencja danych. Pracodawcy przechowują nagrania z CCTV przez rok lub dłużej „na wszelki wypadek". Tymczasem Kodeks pracy dopuszcza maksymalnie 3 miesiące – chyba że nagranie stanowi dowód w toczącym się postępowaniu. Przekroczenie tego terminu narusza zasadę ograniczenia przechowywania z art. 5 ust. 1 lit. e RODO.

Trzecia pułapka dotyczy pracowników tymczasowych i zleceniobiorców. Pracodawca często obejmuje ich monitoringiem tak jak pracowników etatowych, nie dostosowując dokumentacji. Tymczasem podstawa prawna i obowiązki informacyjne mogą się różnić – umowy cywilnoprawne nie podlegają Kodeksowi pracy, ale RODO stosuje się do wszystkich osób fizycznych.

Warto też pamiętać o sygnalistach. Ustawa o sygnalistach z 14 czerwca 2024 r., obowiązująca od 25 września 2024 r., nakłada na pracodawców z co najmniej 50 pracownikami obowiązek wdrożenia kanału zgłoszeń wewnętrznych (art. 8 ustawy o sygnalistach). Monitoring nie może być stosowany do identyfikowania sygnalistów ani śledzenia zgłoszeń. Naruszenie tego zakazu grozi karą do PLN 1 080 000 i do 3 lat pozbawienia wolności (art. 54 ustawy o sygnalistach).

Producent z Górnego Śląska stosował monitoring e-mail w celu ustalenia, kto zgłosił nieprawidłowości do Państwowej Inspekcji Pracy (PIP). Działanie to kwalifikowało się jako działanie odwetowe wobec sygnalisty i naruszenie przepisów o ochronie danych jednocześnie. Sprawa zakończyła się ugodą z pracownikiem i wszczęciem postępowania przez UODO wiosną 2025 r.

Transgraniczne aspekty monitoringu – co zmienia się przy pracownikach zagranicznych?

Pracodawcy zatrudniający pracowników zagranicznych – w tym obywateli Ukrainy i innych krajów spoza UE – muszą pamiętać, że RODO chroni każdą osobę fizyczną przebywającą na terytorium UE, niezależnie od obywatelstwa. Dokumentacja monitoringu i klauzule informacyjne muszą być dostępne w języku zrozumiałym dla pracownika. Samo tłumaczenie na język angielski może nie wystarczyć, jeśli pracownik nie posługuje się angielskim.

W przypadku pracowników delegowanych z innego państwa UE (np. z Niemiec) sytuacja jest bardziej złożona. Jeśli pracodawca zagraniczny deleguje pracownika do polskiego oddziału, a monitoring odbywa się z systemów centralnych w kraju macierzystym, może dojść do transgranicznego przetwarzania danych. W takim przypadku zastosowanie może mieć mechanizm one-stop-shop z RODO – wiodący organ nadzorczy wyznaczany według siedziby głównej administratora.

Dla pracowników posiadających Blue Card Polska lub zezwolenie na pracę kwestie monitoringu nie różnią się co do zasady od reguł ogólnych. Jednak pracodawca musi zadbać, by dokumentacja była dostępna w języku pracownika – wymóg ten wynika z ogólnych zasad RODO, a jego niedopełnienie może utrudnić realizację praw podmiotów danych. Kancelaria prawa pracy powinna uwzględniać ten aspekt już na etapie projektowania systemu monitoringu.

Szczególną uwagę należy zwrócić na transfer danych osobowych do państw trzecich. Jeśli dane z monitoringu są przechowywane na serwerach poza EOG (np. w USA lub Azji), pracodawca musi zapewnić odpowiednie zabezpieczenia – standardowe klauzule umowne (SCC) lub decyzję o adekwatności Komisji Europejskiej. Brak takich zabezpieczeń to naruszenie art. 46 RODO i potencjalna kara finansowa.

Coraz więcej firm korzysta z globalnych platform HR i systemów zarządzania pracownikami, które automatycznie zbierają dane o aktywności. Pracodawca-administrator musi sprawdzić, czy dostawca oprogramowania działa jako podmiot przetwarzający (procesor) i czy zawarto z nim umowę powierzenia przetwarzania danych zgodną z art. 28 RODO. Brak takiej umowy to kolejny typowy błąd w audytach.

Więcej o zasadach zatrudniania pracowników w Polsce – w tym wymogach dotyczących zezwoleń na pracę i Blue Card – znajdą Państwo na stronie praktyki prawa pracy KORDECKI & Partners.

Lista kontrolna: czy Twoja firma jest gotowa na kontrolę UODO?

Ocena zgodności monitoringu pracowniczego z RODO i Kodeksem pracy wymaga systematycznego podejścia. Poniższa lista kontrolna pozwala zidentyfikować kluczowe luki przed ewentualną kontrolą UODO lub postępowaniem sądowym. Każdy punkt to odrębny wymóg formalny – brak któregokolwiek może stanowić podstawę do wszczęcia postępowania.

Regulamin pracy zawiera opis celu, zakresu i sposobu monitoringu – zaktualizowany minimum 2 tygodnie przed wdrożeniem
Klauzula informacyjna art. 13 RODO dostarczona każdemu pracownikowi przed uruchomieniem monitoringu
Retencja nagrań CCTV nie przekracza 3 miesięcy (lub dłużej tylko w uzasadnionych przypadkach procesowych)
DPIA przeprowadzone dla systematycznego monitoringu aktywności komputerowej i biometrycznego
Umowa powierzenia przetwarzania (art. 28 RODO) zawarta z dostawcą systemu monitoringu

Dodatkowym elementem gotowości jest rejestr czynności przetwarzania (RCP). Każda operacja monitoringu musi być w nim odnotowana: podstawa prawna, kategorie danych, odbiorcy, terminy retencji. RCP jest pierwszym dokumentem, o który pyta UODO podczas kontroli. Jego brak lub niekompletność to sygnał ostrzegawczy dla inspektora.

Warto też regularnie – co najmniej raz w roku – przeprowadzać wewnętrzny przegląd stosowanych narzędzi monitorujących. Technologia zmienia się szybko. Oprogramowanie kupione trzy lata temu mogło zyskać nowe funkcje, które teraz wymagają aktualizacji DPIA lub zmiany podstawy prawnej przetwarzania. Prawo pracy i RODO nie stoją w miejscu – a Państwa dokumentacja nie może być skrojona pod realia sprzed kilku lat.

Konkretna sytuacja Państwa firmy – zwłaszcza jeśli stosujecie monitoring wielowarstwowy lub zatrudniacie pracowników z różnych jurysdykcji – wymaga indywidualnej oceny prawnej. Błędy w dokumentacji mają charakter nieodwracalny w tym sensie, że nie można ich cofnąć wstecz po wszczęciu postępowania przez UODO.

Jeśli Państwa spółka nie posiada aktualnej dokumentacji monitoringu lub planuje rozszerzenie nadzoru na nowe narzędzia – przeprowadzimy pełny audyt RODO, zaktualizujemy regulamin pracy i przygotujemy DPIA: info@kordeckipartners.com.

Często zadawane pytania

P: Czy pracodawca może monitorować pracowników pracujących zdalnie?

O: Tak, ale z istotnymi ograniczeniami. Monitoring pracy zdalnej jest dopuszczalny w zakresie wykonywania pracy – na przykład logowania do systemów firmowych czy czasu aktywności w aplikacjach służbowych. Nie może jednak obejmować przestrzeni prywatnej pracownika ani jego domowników. Pracodawca musi poinformować pracownika o rodzaju i zakresie monitoringu przed jego uruchomieniem, a art. 67(18) Kodeksu pracy nakłada dodatkowe obowiązki dotyczące wyposażenia i warunków pracy zdalnej. Każde narzędzie monitorujące stosowane wobec pracowników zdalnych wymaga odrębnej oceny proporcjonalności.

P: Jak długo pracodawca może przechowywać nagrania z kamer?

O: Kodeks pracy wskazuje maksymalny okres przechowywania nagrań z monitoringu wizyjnego – wynosi on 3 miesiące od dnia nagrania. Jeżeli nagranie stanowi dowód w postępowaniu prowadzonym na podstawie prawa lub pracodawca powziął wiadomość, że może stanowić dowód, termin ten ulega przedłużeniu do czasu prawomocnego zakończenia postępowania. Po upływie okresu przechowywania nagrania muszą zostać trwale usunięte. Przechowywanie nagrań dłużej niż wynika to z tych zasad narusza zasadę ograniczenia przechowywania z rozporządzenia RODO.

P: Czy zgoda pracownika wystarczy jako podstawa prawna monitoringu?

O: Nie – i to jest jedno z najczęstszych nieporozumień. UODO oraz Europejska Rada Ochrony Danych (EROD) konsekwentnie wskazują, że zgoda pracownika na monitoring nie spełnia kryterium dobrowolności wymaganego przez rozporządzenie RODO. Wynika to z nierównowagi sił w stosunku pracy – pracownik obawia się negatywnych konsekwencji odmowy. Prawidłową podstawą jest uzasadniony interes pracodawcy (artykuł 6 ustęp 1 litera f rozporządzenia RODO) lub – w przypadku danych szczególnych kategorii, jak biometria – artykuł 9 ustęp 2 rozporządzenia RODO. Opieranie monitoringu na zgodzie pracownika to błąd, który może podważyć legalność całego systemu.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do prawa pracy, ochrony danych osobowych i compliance pracowniczego. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie Państwa sytuacji: info@kordeckipartners.com.

Praktyką prawa pracy i mobilności globalnej kieruje Olga Adamczyk. Koordynuje ona również Ukrainian Desk i CIS Desk kancelarii. Doradzała przy ponad 200 zezwoleniach na pracę od 2023 r. Więcej o usługach kancelarii w obszarze prawa pracy w Polsce.