RODO: Monitoring w firmach do zmiany

Modyfikacja wewnętrznych przepisów o monitoringu jest obecnie konieczna z dwóch powodów. Po pierwsze, z uwagi na ogólne rozporządzenie unijne dotyczące ochrony danych osobowych (dalej: RODO). Po drugie, z uwagi na nowelizację kodeksu pracy dokonaną ustawą z 10 maja 2018 r. o ochronie danych osobowych (dalej: ustawa). Do tych dwóch aktów prawnych, obowiązujących od 25 maja 2018 r., muszą się dostosować również ci pracodawcy, którzy dopiero przymierzają się do monitorowania. W obu przypadkach procedura wygląda prawie tak samo.

Krzysztof Gąsior partner w kancelarii prawnej Zawirska i Gąsior / Dziennik Gazeta Prawna

Krok 1.Wybór formy nadzoru

Pracownicy mogą być monitorowani na kilka sposobów. Tak jak dotychczas, do wyboru jest rejestracja obrazu (monitoring wizyjny) oraz sprawdzanie połączeń telefonicznych, e-mailowych i internetowych. O ile RODO nie wchodzi w szczegóły żadnej z tych metod, bo w ogóle nie zajmuje się osobno monitoringiem, o tyle nowe art. 222–223kodeksu pracy (dalej: k.p.) doprecyzowują cele i warunki ich stosowania. I tak rejestracja obrazu może mieć miejsce, gdy jest niezbędna do zapewnienia bezpieczeństwa pracowników, ochrony mienia lub kontroli produkcji albo zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę. Natomiast pozostałe formy nadzoru – jeśli są konieczne ze względu na:

• organizację pracy umożliwiającą pełne wykorzystanie czasu pracy oraz
• właściwe użytkowanie udostępnionych pracownikowi narzędzi pracy.

Krok 2.Zadbanie o prywatność pracowników

Już przed 25 maja br. pracodawca musiał dbać o metody kontrolowania rozmów telefonicznych z pracy, e-maili i użytkowania internetu przez zatrudnionych, bo tu wchodzą w grę „życie prywatne” i „tajemnica korespondencji”. Jednak dotychczas jego obowiązki nie wynikały z przepisów, a z orzecznictwa sądów i trybunałów (standardy postępowania wyznaczał m.in. wyrok Europejskiego Trybunału Praw Człowieka z 3 kwietnia 2007 r. w sprawie Copland przeciwko Wielkiej Brytanii, sygn. akt 62617/00). Teraz obowiązek nienaruszania tajemnicy korespondencji i innych dóbr osobistych pracownika został wprost zapisany w krajowych regulacjach. Ma być on realizowany przy monitoringu poczty elektronicznej oraz aktywności telefonicznej i internetowej osób na etatach. Z nowych przepisów kodeksu pracy wynika jednoznacznie, że pracodawcy nie wolno czytać prywatnych e-maili wysłanych ze służbowej skrzynki mailowej, śledzić konwersacji telefonicznych czy surfowania po stronach internetowych mających niesłużbowy charakter.

Ograniczenia dotyczą też monitoringu wizyjnego. Jest on generalnie niedopuszczalny w pomieszczeniach sanitarnych, szatniach, stołówkach oraz palarniach i pomieszczeniach udostępnianych zakładowej organizacji związkowej. Pracodawca może go jednak stosować w razie konieczności osiągnięcia podstawowych celów dla tej formy monitoringu. Musi przy tym pamiętać, że rejestracja obrazu w takich miejscach nie może naruszać godności i innych dóbr osobistych pracownika oraz zasad wolności i niezależności związków zawodowych. W konsekwencji powinien przynajmniej wykorzystać techniki uniemożliwiające rozpoznanie osób przebywających w tych pomieszczeniach.

Firmy prowadzące fanpage'a na Facebooku podlegają RODO

Krok 3.Przygotowanie przepisów wewnętrznych

Cel, zakres i sposób realizacji wybranych przez pracodawcę opcji monitoringu ma być zapisany odpowiednio w:

• układzie zbiorowym pracy (zakładowym i ponadzakładowym),
• regulaminie pracy,
• obwieszczeniu

– w zależności od tego, który z tych dokumentów musi posiadać pracodawca. Dwa pierwsze wymagają uzgodnienia treści ze związkami zawodowymi (art. 1042par. 1 oraz art. 2419par. 1 k.p.). Przy czym w przypadku regulaminu pracy możliwe jest, że pracodawca zdecyduje samodzielnie o wprowadzeniu/zmianie zasad monitoringu (co jest wykluczone przy układzie zbiorowym). Stanie się tak, gdy w ustawowym 30-dniowym lub ustalonym z organizacjami związkowymi terminie nie uda się dokonać żadnych ustaleń albo gdy w firmie nie ma związku zawodowego. Z kolei przy konstruowaniu obwieszczenia pracodawca ma zupełną swobodę decydowania.

Min. Cyfryzacji: Wokół RODO narosło sporo mitów

Brzmienie regulacji firmowych – zarówno przy ich wdrażaniu, jak i aktualizacji – o monitoringu ma być spójne z zasadami: zgodności z prawem, rzetelności i przejrzystości; ograniczenia celu, minimalizacji danych, prawidłowości, ograniczenia przechowywania danych, integralności i poufności oraz rozliczalności (art. 5 w zw. z motywami 39–47, 58 i 60 preambuły RODO).

Krok 4.Poinformowanie zatrudnionych

Nowe kodeksowe przepisy wymagają – przy wszystkich typach regulacji wewnętrznych – poinformowania pracowników o wprowadzeniu monitoringu (wszystkich rodzajów albo wybranych) nie później niż dwa tygodnie przed jego uruchomieniem. Milczą natomiast co do istnienia takiego obowiązku, w sytuacji gdy w dniu wejścia w życie nowych regulacji monitoring w zakładzie pracy już działa, w związku z czym następuje tylko zmiana przepisów zakładowych. Mimo to należy uznać, że przy ich aktualizacji jest wymóg zawiadomienia pracowników, ale bez konkretyzacji terminu (art. 1043par. 1, art. 24112par. 1 k.p.). O tym, że termin na wykonanie obowiązku poinformowania pracowników jest inny niż termin wejścia w życie regulacji zakładowych, przekonuje mecenas Krzysztof Gąsior.[opinie]

Pracodawca zawiadamia o wdrożeniu monitoringu i o zmianie postanowień firmowych w tym obszarze w sposób u niego przyjęty. Może to zatem zrobić np. poprzez wywieszenie na tablicy ogłoszeń, rozesłanie do wszystkich pracowników e-maili, publikację ogłoszenia w intranecie, przekazanie tekstu na piśmie wszystkim pracownikom czy podpisanie oświadczeń o zapoznaniu się z regulacjami o monitoringu. Informacja powinna być przygotowana w sposób przejrzysty, zwięzły, zrozumiały z użyciem jasnego i prostego języka (art. 12 ust. 1 RODO).

Zmodyfikowane/nowe przepisy wejdą w życie po upływie dwóch tygodni od ich upublicznienia, a w przypadku protokołu dodatkowego do układu zbiorowego – w terminie w nim ustalonym, ale nie wcześniej niż z dniem zarejestrowania protokołu.

Krok 5.Realizacja nowych obowiązków

Zarówno RODO, jak nowe przepisy kodeksowe wymagają, aby monitoring był wykorzystywany wyłącznie w celach, dla których został wprowadzony, co ma szczególne znaczenie przy nagraniach obrazu. Oba akty prawne nakazują także ograniczanie okresu przechowywania nagrań do minimum, przy czym art. 222par. 3 k.p. wskazuje, że nie może to trwać dłużej niż trzy miesiące od dnia rejestracji obrazu, a gdy nagrania są dowodem w postępowaniu (np. sądowym albo administracyjnym) – do jego prawomocnego zakończenia. Po upływie tego okresu pracodawca musi je zniszczyć, jeśli odrębne przepisy nie stanowią inaczej.

Wprowadzając monitoring, pracodawca będzie musiał oznaczyć pomieszczenia i teren monitorowany w sposób widoczny i czytelny, za pomocą odpowiednich znaków lub ogłoszeń dźwiękowych, nie później niż jeden dzień przed jego uruchomieniem. Obowiązek ten powinni także zrealizować pracodawcy, którzy wprowadzili monitoring przed 25 maja br. Takie stanowisko zajmuje też mecenas Karol Kulig.[opinie]

I ostatnie nowe zadanie pracodawcy. Gdy przyjmuje nowych pracowników, musi ich poinformować o celach, zakresie i sposobie monitoringu przed dopuszczeniem do pracy.

Przykład zapisów dotyczących monitoringu w dokumentach wewnętrznych

1. Na podstawie art. 222i art. 223kodeksu pracy w związku z art. 5 oraz art. 6 ust. 1 lit. a, c i f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE z 2016 r. L 119, s. 1), wprowadza się monitoring:

a) polegający na rejestracji obrazu (monitoring wizyjny) w pomieszczeniach produkcyjnych w celu kontroli procesu produkcji oraz przestrzegania procedury bezpieczeństwa i higieny pracy, a także w pomieszczeniach magazynowych w celu ochrony mienia przed kradzieżą,
b) służbowej poczty elektronicznej w celu kontroli czasu pracy,
c) służbowych połączeń telefonicznych (stacjonarnych i komórkowych) w celu kontroli czasu pracy oraz wykorzystywania aparatów telefonicznych dla potrzeb służbowych,
d) służbowej aktywności internetowej w celu kontroli czasu pracy oraz wykorzystywania połączeń online dla celów służbowych.

2. Materiały pozyskane w trakcie monitoringu będą wykorzystane wyłącznie w celach wskazanych w pkt 1.
3. Monitoring będzie prowadzony z zachowaniem tajemnicy korespondencji, poszanowaniem godności i dóbr osobistych pracowników.
4. Dostęp do materiałów z monitoringu będą miały wyłącznie osoby upoważnione do przetwarzania zawartych w nich danych, zobowiązane do zachowania w tajemnicy tych danych.
5. Materiały z monitoringu wizyjnego będą przechowywane nie dłużej niż trzy miesiące, licząc od dnia ich nagrania, a materiały z pozostałych form monitoringu – 30 dni od otrzymania (bilingi telefoniczne) lub wytworzenia (raport aktywności). Po upływie tych okresów będą niszczone w sposób uniemożliwiający ich odtworzenie, o ile nie zaistnieje konieczność ich przechowywania do czasu zakończenia określonego postępowania, w którym będą stanowić dowód.
6. Pracownikowi, którego dane znajdują się w materiałach pozyskanych z monitoringu, przysługuje prawo:

dostępu do danych,
sprostowania i usunięcia danych,
ograniczenia przetwarzania danych,
przenoszenia danych,
wniesienia sprzeciwu.

opinie ekspertów

dr Karol Kulig właściciel Kancelarii Radcy Prawnego K. Kulig / Dziennik Gazeta Prawna

Dwa różne terminy

Nowelizacja kodeksu pracy wreszcie uregulowała warunki stosowania monitoringu w miejscach pracy. Poza innymi wymogami, w celu zapewnienia legalności monitoringu, pracodawca z jednej strony musi zadbać o właściwe zaadresowanie tej kwestii w wewnętrznych regulacjach, z drugiej zaś musi spełnić wymogi informacyjne wobec samych zatrudnionych. Trzeba pamiętać, że te obowiązki są niezależne od siebie. Oznacza to, że w układzie zbiorowym, regulaminie pracy albo w specjalnym obwieszczeniu trzeba określić cele, zakres oraz sposób zastosowania monitoringu. Następnie, na co najmniej dwa tygodnie przed faktycznym jego uruchomieniem, należy o tym fakcie dodatkowo poinformować załogę. Dopiero łączne spełnienie tych warunków umożliwi wprowadzenie monitoringu. Trzeba jednak pamiętać, że różny będzie termin wejścia w życie nowych wewnątrzfirmowych regulacji. Postanowienia zawarte w regulaminie pracy lub w obwieszczeniu wejdą w życie po upływie dwóch tygodni od ich ogłoszenia. Natomiast zmiany do układu zbiorowego wejdą w życie nie wcześniej niż z dniem ich zarejestrowania przez okręgowego inspektora pracy lub ministra (w przypadku układu ponadzakładowego). Nie można natomiast zakładać, że ogłoszenie zmiany regulaminu lub układu zbiorowego zapewni realizację obowiązku poinformowania pracowników o wprowadzeniu monitoringu. Inne są cele tych dwóch obowiązków i każdy z nich należy wypełnić niezależnie, mając jednocześnie na uwadze obowiązujące w każdym przypadku terminy.

Pomieszczenia i teren mają być oznakowane

Nowy art. 222par. 9 k.p. przewiduje, że w przypadku wprowadzenia monitoringu pracodawca zobowiązany jest do oznaczenia pomieszczeń lub terenu objętego monitoringiem w sposób widoczny i czytelny, za pomocą odpowiednich znaków lub ogłoszeń dźwiękowych. Przepis ten nie oznacza jednak, że obowiązek oznaczenia miejsc monitorowanych dotyczy tylko monitoringu uruchomionego po 25 maja, tak samo jak wprowadzenie tego przepisu nie oznacza, że dotychczas stosowany przez pracodawców monitoring był nielegalny. Konieczność informowania osób o tym, że mogą podlegać monitorowaniu, czyli regularnemu rejestrowaniu lub obserwacji ich zachowania, bez względu na jego formę, nie wynika tak naprawdę z przepisów prawa pracy, tylko z prawa do prywatności. Intuicyjnie przecież czujemy, że nikt nie może nas nagrywać, jeśli sobie tego nie życzymy. I dokładnie na takiej samej zasadzie działały dotychczas systemy monitorujące w zakładach pracy czy w przestrzeni publicznej. Oczywiście nikt się nas nie pyta, czy wchodząc na halę produkcyjną zakładu lub do centrum handlowego, wyrażamy zgodę na monitoring, bo nie musi. Kluczowym jest jednak to, że każda osoba, ze względu na prawo do prywatności, musi mieć świadomość, że ktoś – z jakiejś przyczyny – chce śledzić jej zachowanie. Dlatego też pracodawca ma obowiązek informować o każdym stosowanym monitoringu, a nie tylko o tym, który zainstalował po nowelizacji przepisów.

Podstawa prawna

Motyw 39–47, motyw 58 i 60 preambuły oraz art. 5, art. 12 ust. 1, art. 13–14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE z 2016 r. L 119, s. 1).

Art. 111 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz.U. poz. 1000).
Art. 222, art. 223, art. 1042, art. 1043oraz 2419par. 1 i art. 24112par. 1 ustawy z 26 czerwca 1974 r. – Kodeks pracy (t.j. Dz.U. z 2018 r. poz. 108 ze zm.).