Monitoring pracowników to jeden z obszarów najczęściej kwestionowanych przez UODO — a jednocześnie jeden z najczęściej stosowanych przez pracodawców bez pełnej świadomości prawnych granic. Przepisy są precyzyjne: Kodeks pracy od 2018 roku szczegółowo określa dopuszczalne cele, miejsca i procedury monitoringu, a RODO nakłada na pracodawcę jako administratora danych dodatkowe obowiązki. Naruszenie tych zasad może skutkować karą finansową nakładaną przez UODO — w jednej ze spraw dotyczących monitoringu w szpitalu wyniosła ona ponad 1,1 mln zł.

Podstawa prawna — Kodeks pracy i RODO

Monitoring pracowników reguluje przede wszystkim art. 22² Kodeksu pracy, wprowadzony nowelizacją z 2018 roku w ramach dostosowania przepisów krajowych do RODO. Przepis ten określa zamknięty katalog celów, którym może służyć monitoring wizyjny, oraz precyzuje obowiązki informacyjne pracodawcy.

Równolegle stosuje się RODO — nagrania z monitoringu zawierają wizerunki pracowników, czyli dane osobowe. Pracodawca jako administrator danych musi określić podstawę prawną przetwarzania tych danych, zrealizować obowiązek informacyjny z art. 13 RODO i zapewnić, że przetwarzanie jest proporcjonalne do celu.

Podstawą prawną przetwarzania danych z monitoringu jest co do zasady uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO) lub obowiązek prawny (art. 6 ust. 1 lit. c) — w zależności od charakteru przetwarzania. Zgoda pracownika nie jest wymagana ani właściwa jako podstawa przetwarzania danych z monitoringu — ze względu na nierównowagę stron stosunku pracy zgoda pracownika nie jest uznawana za w pełni dobrowolną.

Monitoring wizyjny — dopuszczalne cele

Art. 22² § 1 Kodeksu pracy wskazuje zamknięty katalog celów uzasadniających wprowadzenie monitoringu wizyjnego:

• zapewnienie bezpieczeństwa pracowników,
• ochrona mienia,
• kontrola produkcji,
• zachowanie w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę.

Monitoring wizyjny nie może służyć innym celom niż wskazane — w szczególności nie może być stosowany do bieżącej kontroli wydajności pracy pracowników. Nagrania mogą być wykorzystywane wyłącznie do celów, w jakich zostały zebrane. Pracodawca nie może posłużyć się nagraniem z kamer bezpieczeństwa do oceny sposobu wykonywania pracy, jeśli takie przeznaczenie nie było wskazane jako cel monitoringu.

Miejsca zakazane — gdzie monitoring jest niedopuszczalny

Kodeks pracy bezwzględnie zakazuje stosowania monitoringu wizyjnego w:

• pomieszczeniach sanitarnych,
• szatniach,
• stołówkach,
• palarniach,
• pomieszczeniach udostępnianych zakładowej organizacji związkowej.

Zakaz dotyczący pomieszczeń związkowych ma charakter bezwzględny — nie przewidziano żadnych wyjątków. Dla pozostałych pomieszczeń wyjątek jest możliwy wyłącznie gdy zastosowanie monitoringu jest niezbędne do realizacji celu określonego w art. 22² § 1 Kodeksu pracy i nie narusza godności pracowników — pod warunkiem uzyskania zgody zakładowej organizacji związkowej, a jeśli u pracodawcy nie działa — przedstawicieli pracowników.

Zakaz nagrywania dźwięku

Przepisy Kodeksu pracy o monitoringu wizyjnym nie obejmują nagrywania dźwięku. UODO w swoich wskazówkach dotyczących monitoringu wizyjnego wskazał, że uprawnienia do nagrywania dźwięku posiadają wyłącznie służby porządkowe i specjalne na podstawie ustaw szczególnych. Kamera z mikrofonem w miejscu pracy jest co do zasady niedopuszczalna i może skutkować odpowiedzialnością administracyjną, cywilną, a nawet karną.

Obowiązki pracodawcy przed uruchomieniem monitoringu

Przed uruchomieniem monitoringu pracodawca musi:

Uregulować zasady monitoringu w dokumentach wewnętrznych. Cele, zakres i sposób stosowania monitoringu określa się w układzie zbiorowym pracy, regulaminie pracy lub — jeżeli pracodawca nie jest objęty układem zbiorowym i nie jest zobowiązany do regulaminu — w obwieszczeniu.

Poinformować pracowników. Pracodawca informuje pracowników o wprowadzeniu monitoringu nie później niż 2 tygodnie przed jego uruchomieniem. Nowych pracowników informuje się na piśmie przed dopuszczeniem do pracy — i zachowuje się potwierdzenie zapoznania się z tą informacją w aktach osobowych.

Oznaczyć obszar objęty monitoringiem. Pomieszczenia i teren monitorowany muszą być oznaczone w sposób widoczny i czytelny za pomocą odpowiednich znaków lub ogłoszeń, nie później niż jeden dzień przed uruchomieniem monitoringu.

Zrealizować obowiązek informacyjny z art. 13 RODO. Poinformowanie o regulaminie pracy zawierającym wzmiankę o monitoringu nie jest tożsame z realizacją obowiązku informacyjnego RODO — takie stanowisko zajął Prezes UODO. Pracownicy muszą otrzymać pełną informację o przetwarzaniu ich danych w związku z monitoringiem, w tym o podstawie prawnej, celu, okresie przechowywania nagrań i przysługujących prawach.

Retencja nagrań z monitoringu

Nagrania z monitoringu pracodawca przechowuje przez okres nieprzekraczający 3 miesięcy od dnia nagrania. Po upływie tego okresu nagrania podlegają zniszczeniu.

Wyjątek: jeżeli nagrania stanowią dowód w postępowaniu prawnym lub pracodawca powziął wiadomość, że mogą stanowić taki dowód — termin 3-miesięczny ulega przedłużeniu do czasu prawomocnego zakończenia postępowania.

Monitoring poczty elektronicznej — art. 22³ Kodeksu pracy

Pracodawca może wprowadzić kontrolę służbowej poczty elektronicznej pracownika, jeżeli jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania udostępnionych narzędzi pracy.

Monitoring poczty nie może naruszać tajemnicy korespondencji ani innych dóbr osobistych pracownika. Dotyczy wyłącznie służbowej skrzynki pocztowej. Prywatna poczta pracownika — nawet jeśli jest używana na służbowym sprzęcie — nie podlega kontroli pracodawcy.

Zasady i cel monitoringu poczty elektronicznej muszą być uregulowane w dokumentach wewnętrznych (regulamin pracy lub obwieszczenie) i zakomunikowane pracownikom, analogicznie jak w przypadku monitoringu wizyjnego.

Monitoring aktywności komputerowej — praca zdalna

Przepisy Kodeksu pracy (art. 67²⁸) dają pracodawcy prawo do przeprowadzania kontroli wykonywania pracy zdalnej, kontroli BHP oraz kontroli przestrzegania wymogów bezpieczeństwa informacji. Kontrola musi być realizowana w sposób określony w porozumieniu lub regulaminie pracy zdalnej i nie może naruszać prywatności pracownika oraz innych osób zamieszkałych w miejscu wykonywania pracy zdalnej.

Szczegółowe wymogi dotyczące oprogramowania monitorującego aktywność pracownika przy komputerze (keystroke logging, monitoring czasu aktywności, screenshoty) są prawnie niejednoznaczne i wymagają szczególnej ostrożności — każde rozwiązanie powinno być oceniane pod kątem proporcjonalności i zasady minimalizacji danych z RODO.

Ocena skutków dla ochrony danych (DPIA)

Monitoring pracowników — szczególnie wizyjny na dużą skalę, monitoring poczty elektronicznej lub rozbudowane oprogramowanie do śledzenia aktywności — może wymagać przeprowadzenia oceny skutków dla ochrony danych (DPIA) zgodnie z art. 35 RODO. DPIA jest wymagana gdy przetwarzanie danych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. Monitoring w miejscu pracy jest wymieniony w wytycznych EDPB jako typowy przypadek przetwarzania wymagającego DPIA.

Najczęstsze błędy pracodawców

Monitoring bez dokumentów wewnętrznych. Uruchomienie kamer bez wcześniejszego uregulowania zasad w regulaminie pracy lub obwieszczeniu jest naruszeniem Kodeksu pracy.

Brak informacji dla pracowników. Zaznajomienie pracownika z regulaminem pracy nie jest tożsame z realizacją obowiązku informacyjnego z art. 13 RODO.

Monitoring w miejscach niedozwolonych. Kamery w szatniach, toaletach lub pomieszczeniach związkowych — naruszenie Kodeksu pracy i RODO.

Nagrywanie dźwięku. Stosowanie kamer z mikrofonem bez szczególnej podstawy prawnej.

Przechowywanie nagrań powyżej 3 miesięcy. Brak polityki retencji i terminowego usuwania nagrań.

Wykorzystanie nagrań do celów innych niż wskazane. Posługiwanie się nagraniami bezpieczeństwa do oceny wydajności pracy.

Brak wpisów w rejestrze czynności przetwarzania. Monitoring jest odrębną czynnością przetwarzania i powinien być uwzględniony w rejestrze czynności przetwarzania.

Podsumowanie

Monitoring pracowników jest dopuszczalny — ale wyłącznie w ramach precyzyjnie określonych przez prawo granic. Kodeks pracy wskazuje zamknięty katalog celów, zakazuje stosowania monitoringu w określonych miejscach i nakłada konkretne obowiązki proceduralne. RODO dołącza do tego wymogi dotyczące podstawy prawnej przetwarzania, obowiązku informacyjnego, retencji danych i proporcjonalności. Naruszenie tych zasad — szczególnie monitoring niejawny lub w miejscach zabronionych — może skutkować poważnymi konsekwencjami prawnymi.

Kluczowe zasady: monitoring wizyjny wyłącznie w celach określonych w art. 22² KP; zakaz nagrywania dźwięku; obowiązkowa informacja dla pracowników na 2 tygodnie przed uruchomieniem; nagrania przechowywać maksymalnie 3 miesiące; obowiązek informacyjny z art. 13 RODO realizować odrębnie od regulaminu pracy; monitoring to odrębna czynność przetwarzania w rejestrze.

FAQ