Prawo i RODO
Monitoring pracowników a RODO i Kodeks pracy — co firma musi zrobić przed wdrożeniem?
Monitorowanie aktywności na komputerach służbowych jest w Polsce dopuszczalne, ale tylko w określonym celu, w ograniczonym zakresie i po spełnieniu kilku formalności. Poniżej porządkujemy wymagania Kodeksu pracy i RODO oraz pokazujemy, jak przełożyć je na konkretne decyzje przed uruchomieniem monitoringu.
- Autor:
- Paweł Rudnicki
- Opublikowano:
- Czas czytania
- 7 min czytania
- Kodeks pracy
- RODO
- Monitoring pracowników
Najkrótsza odpowiedź
Pracodawca może monitorować sposób korzystania z firmowych komputerów, jeżeli jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy albo do właściwego użytkowania udostępnionych narzędzi pracy. Musi przy tym określić cel, zakres i sposób monitoringu w wewnętrznych regulacjach, uprzedzić pracowników z odpowiednim wyprzedzeniem i zbierać tylko te dane, które są do tego celu potrzebne.
W praktyce oznacza to, że o legalności monitoringu decyduje nie samo narzędzie, ale sposób jego wdrożenia: cel, proporcjonalność, przejrzystość wobec zespołu i rozsądnie ograniczony zakres danych.
Jakie przepisy regulują monitoring komputerów pracowników
Kodeks pracy wprost opisuje dwie formy monitoringu: monitoring wizyjny (art. 22²) i monitoring służbowej poczty elektronicznej (art. 22³). Przepis art. 22³ § 4 rozciąga te same zasady na inne formy monitoringu, jeżeli ich zastosowanie jest niezbędne do realizacji celów określonych w tym artykule. Do tej kategorii zalicza się zwykle monitorowanie aktywności na komputerach, używanych aplikacji czy odwiedzanych stron internetowych.
Równolegle obowiązuje RODO, bo dane o aktywności pracownika są danymi osobowymi. Szczególne znaczenie mają zasady z art. 5 RODO: ograniczenie celu, minimalizacja danych i ograniczenie okresu przechowywania, a także obowiązek informacyjny z art. 13.
| Przepis | Czego dotyczy | Co oznacza dla firmy |
|---|---|---|
| Art. 22³ § 1–2 Kodeksu pracy | Cel monitoringu i granice | Monitoring tylko w celu organizacji pracy lub właściwego użytkowania narzędzi; bez naruszania tajemnicy korespondencji i dóbr osobistych. |
| Art. 22³ § 4 Kodeksu pracy | Inne formy monitoringu | Zasady dotyczące poczty stosuje się odpowiednio do monitorowania aktywności na komputerach. |
| Art. 22² § 6–8 Kodeksu pracy (stosowane odpowiednio) | Formalności | Cel, zakres i sposób w regulaminie pracy, układzie zbiorowym lub obwieszczeniu; informacja co najmniej 2 tygodnie przed uruchomieniem; informacja na piśmie dla nowych osób przed dopuszczeniem do pracy. |
| Art. 5 RODO | Zasady przetwarzania | Zbieranie tylko niezbędnych danych, przez określony czas i w określonym celu. |
| Art. 13 RODO | Obowiązek informacyjny | Pracownik musi wiedzieć, kto przetwarza jego dane, w jakim celu, na jakiej podstawie i jak długo. |
Kiedy monitoring jest dopuszczalny — test niezbędności
Słowo „niezbędne” jest w przepisach kluczowe. Nie wystarczy, że monitoring byłby wygodny albo że „wszyscy tak robią”. Firma powinna umieć wskazać konkretny problem i wyjaśnić, dlaczego nie da się go rozwiązać mniej inwazyjnym sposobem.
Przed decyzją warto odpowiedzieć na kilka pytań:
- Jaki problem ma rozwiązać monitoring? Na przykład brak wiedzy, czy praca zdalna rozpoczyna się o ustalonej porze, albo opłacanie licencji, z których nikt nie korzysta.
- Jakie dane są do tego naprawdę potrzebne? Do oceny wykorzystania licencji wystarczą nazwy aplikacji i czas ich używania — treść dokumentów nie jest potrzebna.
- Czy ten sam cel można osiągnąć łagodniej? Na przykład zestawieniami zbiorczymi dla zespołu zamiast szczegółowych danych o pojedynczych osobach.
- Jak długo dane muszą być przechowywane? Okres powinien wynikać z celu, a nie z tego, ile pozwala zapisać system.
- Kto będzie miał dostęp do danych? Im węższy krąg osób, tym mniejsze ryzyko nadużyć.
Obowiązki pracodawcy krok po kroku
- Określenie celu i zakresu. Spisanie, po co firma wprowadza monitoring, jakie dane będą zbierane, na których komputerach i w jakich godzinach.
- Wpis do regulaminu pracy, układu zbiorowego lub obwieszczenia. Cel, zakres i sposób zastosowania monitoringu muszą zostać ustalone w jednym z tych aktów. Firmy, które nie mają obowiązku tworzenia regulaminu pracy, robią to w obwieszczeniu.
- Poinformowanie pracowników co najmniej 2 tygodnie przed uruchomieniem. W sposób przyjęty w danej firmie — np. mailem, w intranecie lub na spotkaniu, najlepiej z potwierdzeniem zapoznania się.
- Informacja na piśmie dla nowych osób. Przed dopuszczeniem do pracy nowy pracownik otrzymuje informację o celu, zakresie i sposobie monitoringu.
- Klauzula informacyjna RODO. Kto jest administratorem danych, cel i podstawa przetwarzania, okres przechowywania, odbiorcy danych oraz prawa pracownika.
- Ustalenie okresu przechowywania i uprawnień. Kto może oglądać dane i po jakim czasie są usuwane.
- Ocena ryzyka. Systematyczne monitorowanie pracowników często wymaga oceny skutków dla ochrony danych (DPIA) — decyzję warto podjąć razem z inspektorem ochrony danych.
- Aktualizacja rejestru czynności przetwarzania o nową kategorię danych.
Czego monitoring nie może obejmować
Kodeks pracy wprost zastrzega, że monitoring nie może naruszać tajemnicy korespondencji ani innych dóbr osobistych pracownika. W praktyce największe ryzyko niosą narzędzia, które sięgają po treść zamiast po informację o aktywności:
- zapisywanie naciśnięć klawiszy (keylogger) — obejmuje hasła, prywatne wiadomości i dane wrażliwe,
- regularne zrzuty lub nagrania ekranu — utrwalają wszystko, co pracownik widzi, także treści prywatne,
- odczytywanie treści e-maili i komunikatorów,
- zapisywanie pełnych adresów stron i wyszukiwanych fraz, które mogą ujawniać np. informacje o zdrowiu,
- nagrania z kamery lub mikrofonu.
Takie dane trudno uzasadnić testem niezbędności, a ich przechowywanie wymaga szczególnych zabezpieczeń. Dlatego bezpieczniejszym wyborem jest narzędzie, które w ogóle nie ma tych funkcji, niż takie, w którym trzeba pamiętać o ich wyłączeniu.
Monitoring pracy zdalnej i hybrydowej
Zasady są te same niezależnie od tego, czy firmowy laptop stoi w biurze, czy w domu pracownika. Przy pracy zdalnej szczególnie ważne są dwie kwestie:
- Monitoring dotyczy wyłącznie sprzętu służbowego. Prywatne komputery i telefony pracowników nie powinny być nim objęte.
- Godziny zbierania danych. Jeśli laptop służbowy bywa używany po pracy, warto ograniczyć zbieranie danych do godzin pracy, aby nie rejestrować prywatnego czasu.
Więcej o tym, jak wygląda jawny monitoring pracy zdalnej w praktyce, opisujemy w zastosowaniach ActiSignal.
Minimalizacja danych w praktyce
Zasadę minimalizacji z RODO łatwiej stosować w praktyce, gdy rozdzieli się dane na te, które opisują aktywność, i te, które ujawniają treść. Poniższe zestawienie jest punktem wyjścia do rozmowy z działem prawnym:
| Rodzaj danych | Typowy cel | Ryzyko |
|---|---|---|
| Status komputera, logowanie i wylogowanie | Organizacja pracy, wsparcie IT | Niskie |
| Czas aktywny i bezczynny | Organizacja pracy, planowanie obciążenia | Niskie, jeśli nie służy jako jedyna miara oceny |
| Nazwy aplikacji i czas ich używania | Licencje, standard oprogramowania | Niskie |
| Domeny odwiedzanych stron | Wykorzystanie narzędzi internetowych | Średnie — warto włączać tylko przy konkretnym celu |
| Pełne adresy URL, tytuły okien | Rzadko niezbędne | Wysokie — mogą ujawniać treść |
| Zrzuty ekranu, naciśnięcia klawiszy, nagrania | Trudne do uzasadnienia | Bardzo wysokie |
ActiSignal został zaprojektowany tak, aby mieścić się w pierwszych czterech wierszach: pokazuje status komputerów, sesje pracy, czas aktywny i bezczynny, nazwy aplikacji oraz — po włączeniu tej funkcji — wyłącznie domeny stron. Nie wykonuje zrzutów ekranu, nie zawiera keyloggera i nie zapisuje tytułów okien. Szczegóły opisujemy na stronie Bezpieczeństwo i RODO.
Najczęstsze błędy przy wdrażaniu monitoringu
- Uruchomienie monitoringu „po cichu” albo bez zachowania dwutygodniowego terminu.
- Ogólnikowy cel w regulaminie, np. „zwiększenie efektywności”, bez wskazania, jakie dane i po co są zbierane.
- Zbieranie wszystkiego, co oferuje narzędzie, zamiast tego, co wynika z celu.
- Brak okresu przechowywania — dane leżą w systemie latami.
- Ocenianie pracowników wyłącznie na podstawie czasu aktywnego. Czas bezczynności nie obejmuje spotkań, rozmów telefonicznych ani pracy koncepcyjnej poza komputerem.
- Zbyt szeroki dostęp — dane widzi każdy kierownik, a nie tylko osoby, które ich potrzebują.
Lista kontrolna przed uruchomieniem
- Cel monitoringu jest opisany konkretnie i da się go obronić testem niezbędności.
- Cel, zakres i sposób monitoringu są wpisane do regulaminu pracy, układu zbiorowego lub obwieszczenia.
- Pracownicy zostali poinformowani co najmniej 2 tygodnie przed uruchomieniem.
- Nowi pracownicy otrzymują informację na piśmie przed dopuszczeniem do pracy.
- Klauzula informacyjna RODO opisuje kategorie danych, cel, okres przechowywania i odbiorców.
- Zakres danych nie obejmuje treści: wpisywanego tekstu, obrazu ekranu ani wiadomości.
- Okres przechowywania i uprawnienia dostępu są ustawione w narzędziu.
- Decyzja w sprawie oceny skutków (DPIA) została podjęta i udokumentowana.
Dobrze przygotowany monitoring jest przejrzysty dla zespołu i przynosi firmie konkretne odpowiedzi — bez konfliktów i ryzyka prawnego. Jeśli kolejnym krokiem jest wybór narzędzia, pomocny będzie artykuł Jak wybrać program do monitorowania pracowników.