RODO a monitoring w zakładzie pracy (art. 22(2) kp)

Poniedziałek to tradycyjny dzień z rubryką poświęconą prawu pracy, ale skoro tematem kwartału jest RODO, dziś nie będzie omówki żadnego wyroku, lecz kilka zdań o tym co RODO ma do monitoringu w miejscu pracy?


RODO zmiany jakie zmiany

RODO wymusza zmianę podejścia do monitoringu. Są szczególne przepisy o monitoringu gminnym, jest zmiana w kodeksie pracy poświęcona monitorowaniu miejsca pracy — ale prywatny monitoring nadal musi trzymać się ogólnych reguł wynikających z art. 14 RODO (fot. Olgierd Rudak, CC-BY-SA 3.0)


Tytułem wstępu: nie ma wątpliwości, że RODO wreszcie zauważa i imiennie nazywa monitoring („monitorowanie na dużą skalę miejsc publicznie dostępnych — w szczególności za pomocą urządzeń optyczno-elektronicznych”, motyw 91, 97, art. 35 ust. 3 lit. c RODO) przetwarzaniem danych osobowych. Były dotąd wątpliwości czy używanie kamer notorycznie filmujących miejsca publiczne jest przetwarzaniem danych osobowych (ja ich akurat nie miałem) — teraz już ich nikt mieć nie może (o wpływie RODO na monitoring miejski napiszę może nieco później).

Ponieważ GDPR utrzymuje zasadę, że przetwarzanie danych osobowych może mieć miejsce wyłącznie wówczas, gdy istnieje po temu przesłanka (m.in. zgoda, konieczność wykonania umowy, przepis prawa nakładający taki obowiązek, realizacja celu publicznego, art. 6 ust. 1 RODO), zaś na przetwarzającym spoczywają określone obowiązki informacyjne (art. 12 ust. 1 RODO), z których administrator może być zwolniony poprzez wyraźne uregulowanie prawne (art. 14 ust. 5 lit. c RODO), ustawodawcy, który chce pójść pracodawcom — zamierzającym prowadzić monitoring w zakładzie pracy — na rękę, nie pozostało nic innego, jak określić warunki tego monitoringu w ustawie.

art. 22(2) kp
§ 1. Jeżeli jest to niezbędne do zapewnienia bezpieczeństwa pracowników lub ochrony mienia lub kontroli produkcji lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę, pracodawca może wprowadzić szczególny nadzór nad terenem zakładu pracy lub terenem wokół zakładu pracy w postaci środków technicznych umożliwiających rejestrację obrazu (monitoring).
§ 2. Monitoring nie obejmuje pomieszczeń sanitarnych, szatni, stołówek oraz palarni lub pomieszczeń udostępnianych zakładowej organizacji związkowej, chyba, że stosowanie monitoringu w tych pomieszczeniach jest niezbędne do realizacji celu określonego w § 1 i nie naruszy to godności oraz innych dóbr osobistych pracownika, a także zasady wolności i niezależności związków zawodowych, w szczególności poprzez zastosowanie technik uniemożliwiających rozpoznanie przebywających w tych pomieszczeniach osób.
§ 3. Nagrania obrazu pracodawca przetwarza wyłącznie do celów, dla których zostały zebrane i przechowuje przez okres nieprzekraczający 3 miesięcy od dnia nagrania.
§ 4. W przypadku, w którym nagrania obrazu stanowią dowód w postępowaniu prowadzonym na podstawie prawa lub pracodawca powziął wiadomość, iż mogą one stanowić dowód w postępowaniu, termin określony w § 3 ulega przedłużeniu do czasu prawomocnego zakończenia postępowania.
§ 5. Po upływie okresów, o których mowa w § 3 lub 4, uzyskane w wyniku monitoringu nagrania obrazu zawierające dane osobowe, podlegają zniszczeniu, o ile przepisy odrębne nie stanowią inaczej.
§ 6. Cele, zakres oraz sposób zastosowania monitoringu ustala się w układzie zbiorowym pracy lub w regulaminie pracy albo w obwieszczeniu, jeżeli pracodawca nie jest objęty układem zbiorowym pracy lub nie jest obowiązany do ustalenia regulaminu pracy.
§ 7. Pracodawca informuje pracowników o wprowadzeniu monitoringu, w sposób przyjęty u danego pracodawcy, nie później niż 2 tygodnie przed jego uruchomieniem.
§ 8. Pracodawca przed dopuszczeniem pracownika do pracy przekazuje mu na piśmie informacje, o których mowa w § 6.
§ 9. W przypadku wprowadzenia monitoringu pracodawca oznacza pomieszczenia i teren monitorowany w sposób widoczny i czytelny, za pomocą odpowiednich znaków lub ogłoszeń dźwiękowych, nie później niż jeden dzień przed jego uruchomieniem.
§ 10. Przepis § 9 nie narusza przepisów art. 12 i art. 13 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).

I tu przechodzimy do sedna tematu: ustawą taką jest oczywiście kodeks pracy, który po nowelizacji nową ustawą o ochronie danych osobowych z 2018 r. (Dz.U. z 2018 r. poz. 1000) jednoznacznie wskazuje, że pracodawca może — ze względu na konieczność zapewnienia bezpieczeństwa pracowników, ochrony mienia lub zachowania tajemnicy przedsiębiorstwa — wprowadzić monitoring wizyjny na terenie zakładu pracy lub wokół zakładu pracy (art. 22(2) kp).

Monitoring w zakładzie pracy musi spełniać jednak następujące warunki:

  • kamery nie mogą być usytuowane w pomieszczeniach socjalnych (sanitarnych, szatni, stołówek oraz palarni lub pomieszczeń udostępnianych zakładowej organizacji związkowej) — jeśli jednak jest to uzasadnione realizacją celu wskazanego w par. 22(2) ust. 1 kp, pracodawca może nawet prowadzić monitoring tych miejsc, jednak w taki sposób, by nie było możliwe rozpoznanie osób tam przebywających;
  • nagrania z monitoringu mogą być wykorzystywane wyłącznie dla określonego celu, pracodawcy wolno je przechowywać tylko przez 3 miesiące od dnia nagrania, chyba że mają posłużyć jako dowód w postępowaniu; po tym okresie nagrania zawierające dane osobowe podlegają zniszczeniu;
  • cel prowadzenia monitoringu, a także jego zakres i sposób zastosowania należy określić w układzie zbiorowym pracy lub regulaminie pracy, a jeśli pracodawca nie musi ustalać regulaminu pracy — w obwieszczeniu;
  • ponadto pracodawca, który decyduje się na monitoring miejsca pracy ma obowiązek poinformować pracowników o jego uruchomieniu co najmniej 2 tygodnie wcześniej oraz oznaczyć kamerowany teren i pomieszczenia (najpóźniej 1 dzień przed jego uruchomieniem) — podając wszystkie informacje wymagane na podstawie art. 13 RODO (art. 22(2) par. 10 kp).

Dla przypomnienia: przepis kodeksu pracy pozwalający na monitoring miejsc pracy obowiązuje od 25 maja 2018 r.

11 comments for “RODO a monitoring w zakładzie pracy (art. 22(2) kp)

  1. wojakrob
    28 maja 2018 at 09:21

    A jak to wygląda, dla monitoringów, które już działały w miejscu pracy przed 25.05.2018?

  2. Maciej Grabowski
    28 maja 2018 at 12:51

    Jeśli macie problem ze wdrożeniem RODO, zapraszam na https://www.[spam[.pl/

  3. 28 maja 2018 at 21:05

    To jak już mamy temat RODO i kodeksu pracy, a dziś był temat RODO a monitoring poczty aka rejest poczty. To może teraz pytanie, jak wygląda sprawa z monitoringiem telefonów -> nagrywanie rozmów pracowników.

    A przy okazji, RODO i monitoringu, a jak monitoring w przestrzeni publicznej?

    • Olgierd Rudak
      29 maja 2018 at 08:40

      Monitoring telefonów tak samo jak poczty elektronicznej.

  4. pcs
    4 czerwca 2018 at 12:40

    No i musiałem się przy poniedziałku zająć monitoringiem… I pytań praktycznych rodzi się sporo.

    Czytam, że art.22.2 par. 1 podaje katalog zamknięty przypadków, w których mogę prowadzić monitoring wizyjny. Czy mówimy tylko o monitoringu pracowników? Bo w końcu to Kodeks Pracy. A jeżeli będę miał monitoring wizyjny w pubie w celu zapewnienia bezpieczeństwa gościom bo im czasem inny gość wybije zęby, to moim zdaniem mogę go zainstalować i będzie to prawnie uzasadniony interes gości i pubu (czyli poza katalogiem par.1, ale nie dotyczy to pracownika). Ale jeżeli pracownik wybije zęby klientowi? To już nie wiem, czy mogę monitorować wizyjnie pracownika, bo KP mówi o bezpieczeństwie pracowników a nie innych osób.

    Trudniej robi się przy monitoringu poczty. Bo jeżeli art.22.3 par.1 podaje katalog zamknięty przypadków w których mogę włączyć monitoring, to czy w ogóle mogę monitorować pocztę w innych celach, np. bezpieczeństwa przetwarzanych danych?

    A co to jest poczta? Czy komentarz na Facebooku też jest pocztą?

    A co to jest monitoring? Czy rejestrowanie wysłanych mail bez ich analizy jest już monitorowaniem? Przez analogię z dawnym projektem ustawy o monitoringu wizyjnym – tak. A sprawdzanie czy pracownik wysłał maila z ofertą? A sprawdzanie systemem antywirusowym? A system DLP wyłapujący np. nr kart kredytowych? Z tych pytań jakoś wybrniemy, ale jeżeli klient zadzwoni do mnie, że nie dostał oferty i sprawdzę to w logach na serwerze, to będzie oznaczało, że przetworzę dane innym celu niż pozwala par. 1. Czyli – co to w ogóle jest monitoring? Czy rejestrowanie informacji w innym celu niż ten o którym mówi par. 1 w jakiś cudowny sposób przestaje być monitorowaniem pracowników?

    • Olgierd Rudak
      4 czerwca 2018 at 15:24

      Od najprostszych do trudniejszych:

      • komentarz na Fejsbóku — „może wprowadzić kontrolę służbowej poczty elektronicznej pracownika” (art. 22(3) par. 1 kp), zatem myślę, że komentarz na Fejsbóku nie jest ani pocztą, ani służbową. A co to jest „poczta elektroniczna” wiedział już Benedykt Chmielowski;
      • monitoring w knajpie — no cóż, myślę, że ustawodawca nieprzypadkowo rozdziela monitoringu w zakładzie pracy od m. miejsc publicznych (aczkolwiek zakład pracy na swój sposób może być miejscem publicznym — hol w banku, etc.), więc jeśli mnie nie myli myśl, że ustawa o ochronie osób i mienia nie zalicza monitoringu do dozwolonych technik, to wychodzi na to, że być może wolno (bo nie jest zakazane), ale z pełnymi szykanami (art. 14-15 RODO); tak mi się wydaje;

      • monitoring poczty w celach zapewnienia bezpieczeństwa (w połączeniu z filozoficznym „co to jest monitoring?”) — na pewno nie jest tym, co narusza tajemnicę korespondencji, czyli nie może polegać na wbijaniu się w treść. Podobny problem jak z narzędziami do badania szczelności systemów — do którego momentu masz pentesty, od którego destabilizację systemów (tu jest o tyle prostsze, że na pentesty zwykle jest zgoda atakowanego, zaś zgoda pokrzywdzonego wyklucza odpowiedzialność karną). Ale radziłbym uważać z odbieraniem pisemnej zgody na analizę treści korespondencji — w relacji pracodawca-pracownik może być to odebrane jako nadużycie pozycji, w dodatku skutkujące naruszeniem dóbr osobistych (rzecz jasna do sądu trafi 0,0002% takich przypadków, ale będzie afera jakby było 200 spraw o pół miliona od łebka).

      Poza tym — jak zawsze — róbcie jak uważacie, będzie orzecznictwo, to się wyjaśni. Ustawa o ochronie d.o. dopiero po 10-15 latach zaczęła być jako tako rozumiana, jako że RODO nie zrywa z jej dorobkiem, pewnie za 10 lat też będzie dużo jaśniej. Myślę, że dożyję, a może nawet uda mi się coś skomentować na tut. łamach :)

  5. JA
    6 czerwca 2018 at 09:06

    „nagrania z monitoringu mogą być wykorzystywane wyłącznie dla określonego celu, pracodawcy wolno je przechowywać tylko przez 3 miesiące od dnia nagrania, chyba że mają posłużyć jako dowód w postępowaniu; po tym okresie nagrania zawierające dane osobowe podlegają zniszczeniu.” – absurd. Najczęściej przygotowania do włamania, napadu są poprzedzone wielomiesięczną obserwacją przez przestępców. Często analiza nagrań z okresu przekraczającego 6 miesięcy pozwala wytypować potencjalnych sprawców.

  6. Majkel
    30 czerwca 2018 at 18:55

    Proszę wyjaśnić kwestię wykorzystania monitoringu wizyjnego w zakładzie pracy ( na terenie zamknietym przed wejściem przez osoby postronie i nie mające uprawnień tam przebywania ) w przypadku prowadzenia postępowania wyjaśniającego ( dyscyplinarnego ) względem pracownika. Pracownik zakładu znał imię i nazwisko kierowcy z uwagi na podpisanie przez niego protokołu zdawczego, ale auto należało już do pracodawcy kierowcy. Czy w wymienionym przypadku pracodawca ma prawo odmówić dostępu do matariału wizyjnego dla pracownika by ustalić winę lub brak winy pracownika ?!

    • Olgierd Rudak
      1 lipca 2018 at 22:23

      Myślę (choć nie wiem co ma do tego kierowca i jego pojazd), że pracodawca może odmówić dostępu do tego nagrania, ale jeśli zamierza pociągnąć pracownika do odpowiedzialności dyscyplinarnej w związku z tym, co zostało zarejestrowane — to sprawa trafi do sądu i tam się wszystko okaże. (Pracodawca nie musi „negocjować” z pracownikiem jego winy w przypadku dyscyplinarki.)

Dodaj komentarz

This site uses Akismet to reduce spam. Learn how your comment data is processed.