Monitoring pracownika a RODO – granice kontroli w miejscu pracy

Mówiąc o monitoringu pracowników, pierwszą myślą w zakresie prawa, które powinno regulować te kwestie, jest Kodeks Pracy. Znajdziemy w nim przepisy — dokładniej art. 22 (2) § 1, który mówi, że pracodawca może wprowadzić szczególny nadzór nad terenem zakładu pracy lub terenem wokół niego w postaci monitoringu wizyjnego, jeśli ma to zapewnić bezpieczeństwo pracowników, ochronę mienia albo kontrolę produkcji oraz zachowanie tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na straty. Mówiąc o monitoringu wizyjnym w pracy, należy mieć na uwadze także przetwarzanie danych osobowych, czyli przepisy RODO.

Ogólne zasady przetwarzania danych z monitoringu w pracy wg RODO

Ogólne rozporządzenie o ochronie danych osobowych definiuje, że danymi osobowymi są informacje, dzięki którym można pośrednio lub bezpośrednio zdefiniować osobę fizyczną. Monitoring wizyjny stosowany przez przedsiębiorców ma na celu utrwalenie i przechowywanie obrazu, w tym obrazu osób fizycznych, których wizerunek został utrwalony w określonych sytuacjach i miejscach. Zazwyczaj jest to zgodne z definicją danych osobowych w zakresie cech fizycznych, dzięki którym można zidentyfikować osobę fizyczną, która występuje na nagraniach. Oznacza to, że pracodawca ma obowiązek stosowania regulacji wynikających z przepisów RODO, w szczególności, jeśli jest administratorem danych. Wówczas zobowiązany jest do tego, aby dane osobowe były przetwarzane zgodnie z art. 5 RODO, który mówi, że dane osobowe muszą być przetwarzane zgodnie z prawem oraz rzetelnie i przejrzyście. Dodatkowo pracodawca, jako administrator musi określić cel przetwarzania pozyskanych danych, zastosować ich minimalizację oraz ograniczyć czas przechowywania, zapewniając przy tych ich prawidłowość, poufność oraz integralność.

Kodeks pracy oraz RODO kładą nacisk na to, aby dane pozyskane z monitoringu wizyjnego były przetwarzane jedynie w celu, w którym je zebrano. Mówią o tym art. 22 (2) § 3 Kodeksu Pracy oraz art. 5 ust. 1 lit. b RODO. Nie można ich również wykorzystywać w innych celach, co oznacza, że jeśli pracodawca wskazał, że monitoring wizyjny został zainstalowany w celu zapewnienia bezpieczeństwa pracowników, nie będzie on mógł rozliczać ich na jego podstawie ze sposobu, w jaki wykonują pracę.

Przykład:

Na dużym magazynie z odzieżą pracodawca zainstalował kamery monitoringu. Jasno określił w obwieszczeniu oraz regulaminie pracy, że ich celem jest „zapewnienie bezpieczeństwa pracowników oraz ochrona mienia przed potencjalną kradzieżą”.

Po miesiącu od instalacji monitoringu kierownik wezwał jednego z pracowników. Podpierając się nagraniami stwierdził, że pracownik ma zbyt długie postoje, przez co nie wyrabia swojej normy. Pracownik zakwestionował jego uwagi, powołując się na zapisy w regulaminie i obwieszczeniu, które jasno wskazywały, że kamery zainstalowano w celu zapewnienie bezpieczeństwa, a nie do oceny wydajności pracy.

W tym wypadku pracownik miał rację, ponieważ art. 22^² § 3 KP i art. 5 ust. 1 lit. b RODO jasno określają, że nagrań z monitoringu nie można wykorzystywać do celów innych niż te, które wskazano podczas jego instalacji. W tej konkretnej sytuacji pracodawca naruszył przepisy, ponieważ użył nagrania do rozliczenia pracownika z efektywności jego pracy.

Coraz bardziej rozwinięta technologia sprawia, że monitorowanie pracowników w miejscu pracy staje się coraz bardziej powszechne. Kluczowe jest w tym wypadku, aby cały proces dobywał się w zgodzie z obowiązującymi przepisami (RODO, Kodeks Pracy) oraz w sposób przejrzysty.

Efektywna komunikacja między pracodawcą i pracownikami w zakresie monitorowania to fundament, który będzie chronił zarówno prawa pracowników, jak i interesy pracodawcy. Jak poinformować pracownika o monitoringu w zakładzie pracy? Warto tutaj wdrożyć poniższe zasady:

• Przejrzystość — każdy pracownik powinien być poinformowany o każdym aspekcie monitorowania. Powinien poznać nie tylko cel, ale również zakres i metody działań.

• Odpowiednie uzasadnienie podjętych działań — pracodawca musi przedstawić pracownikom konkretne powody, dla których monitorowanie uważa za niezbędne, np. bezpieczeństwo w zakładzie pracy, ochrona mienia czy poprawa efektywności pracy.

• Dokumentacja — pracodawca powinien stworzyć pisemne oświadczenia albo regulamin, w którym jasno określi zasady działania monitoringu. Ważne, aby każdy pracownik miał dostęp do tej dokumentacji.

• Rozmowa — regularne spotkania, na których pracodawca będzie wyjaśniał temat monitoringu, mogą zwiększyć zaufanie pracowników. Szczególnie należy informować pracowników o rodzajach danych, które będą gromadzone w procesie monitorowania.

Mówiąc o informowaniu pracowników o monitoringu w miejscu pracy, należy zwrócić szczególną uwagę na nowelizację Kodeksu Pracy z 2019 roku, w której wprowadzono przepisy dotyczące monitoringu pracowniczego. Jej wejście w życie sprawiło, iż jasnym stało się, że opisanie zasad monitoringu w UZP, regulaminie pracy czy obwieszczeniu pracodawcy nie jest tożsame z realizacją obowiązku informacyjnego, o którym mowa w art. 12 i 13 RODO.

Decyzje UODO w sprawie monitoringu

Zdaniem Prezesa UODO, zapoznanie nowego pracownika z regulaminem pracy przed jej podjęciem, nie jest jednoznaczne z realizacją obowiązku poinformowania go o monitoringu w miejscu pracy i o zasadach jego prowadzenia. Taki model działania można potwierdzić, wykorzystując systematykę części B akt osobowych, w których zgodnie z rozporządzeniem dotyczącym dokumentacji pracowniczej, powinny zawierać dwa dokumenty:

• potwierdzenie zapoznania się z regulaminem pracy / obwieszczeniem o monitoringu;

• potwierdzenie przez pracownika, że zapoznał się z informacjami dotyczącymi celu, zakresu oraz sposobu zastosowania monitoringu.

Rejestr czynności przetwarzania danych z monitoringu — czym jest i co musi zawierać?

Mówiąc o monitoringu pracownika zgodnym z RODO nie należy zapominać o rejestrze czynności przetwarzania. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 roku, które mówią o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnego ich przepływu jasno określa, że jednym z obowiązków, jaki nałożono na administratorów danych (w tym przypadku na pracodawców prowadzących monitoring pracownika), jest prowadzenie rejestru czynności związanych z przetwarzaniem danych osobowych.

Wspomniany rejestr jest dokumentem, który musi obowiązkowo prowadzić każdy administrator danych osobowych, a więc każda jednostka organizacyjna, czyli spółka, firma, spółdzielnia, stowarzyszenie, czy organy administracji publicznej itd. Wspomniany rejestr ma charakter wewnętrzny i każda jednostka prowadzi go na własne potrzeby. Prowadzenie takiej dokumentacji ma na celu m.in. wykazanie procesów przetwarzania, jakie zachodzą w poszczególnych jednostkach, uwzględniając w tym czynności, jakie wykonuje się na pozyskanych przez administratora danych osobowych. Zasadność prowadzenia rejestru czynności przetwarzania jest o tyle ważna, że w toku prowadzonych kontroli PUODO, chcąc sprawdzić, jakie dane są faktycznie przetwarzane, zacznie od sprawdzania właśnie tego dokumentu. Prowadzenie tego rejestru jest zatem jedynym z kluczowych obowiązków pracodawcy przy stosowaniu monitoringu wizyjnego i innego, jako administratora danych osobowych i jest podstawą do spełnienia zasady rozliczalności i tym samym wykazania, że pracodawca przestrzega przepisy RODO (art 5. ust. 2 RODO).

W firmach nagrywanie miejsca pracy nie spotyka się wśród pracowników z entuzjazmem. Obawiają się oni, że uzyskane nagrania posłużą pracodawcy do wskazania uchybień w ich pracy, przez co nie otrzymają premii lub zostaną zwolnieni. Warto w tym miejscu podkreślić, że z formalnego punktu widzenia pracodawca może zainstalować monitoring w miejscu pracy, nie pytając pracowników o zgodę. Działanie to reguluje art. 22^² Kodeksu Pracy. Takie działanie jest także zgodne z RODO.

Przedsiębiorca musi jednak w tym celu spełnić tzw. przesłankę bezpieczeństwa, czyli musi wykazać, że zastosowany monitoring pomoże mu zapewnić bezpieczeństwo w firmie i ochronić jej mienie.

Choć decyzja o wykorzystaniu monitoringu w firmie należy jedynie do pracodawcy, pracownicy także mają „coś do powiedzenia”. Przepisy jasno określają, że muszą oni otrzymać informację o tym, że w firmie zostanie uruchomiony monitoring. Aby firma była bezpieczna w tej kwestii, warto wystosować taką informację w formie pisemnej, papierowej, którą pracownicy będą musieli podpisać.

W tym miejscu nie możemy również zapomnieć o tzw. prawnie uzasadnionym interesie administratora, o którym można przeczytać w art. 6 ust. 1 lit. f) Ogólnego rozporządzenia o ochronie danych. W tym przypadku uzasadnionym interesem pracodawcy jest zapewnienie właściwej organizacji pracy oraz właściwe użytkowanie przez pracowników powierzonych narzędzi pracy.