RODO a pracownicy

Dlaczego monitoring pracowników to prawne pole minowe?

Musisz balansować na granicy dwóch kluczowych przepisów: ogólnego rozporządzenia o ochronie danych (RODO), ponieważ monitoring stanowi systematyczne przetwarzanie danych, oraz czeskiej ustawy Kodeks pracy (ustawa nr 262/2006 Sb., dalej „KP”), która w § 316 ustanawia surowe zasady ochrony prywatności pracowników.

Naruszenie nie oznacza przy tym jedynie ryzyka jednej kary. Grożą ci sankcje równocześnie od dwóch urzędów: od czeskiego Urzędu Ochrony Danych Osobowych (Úřad pro ochranu osobních údajů, ÚOOÚ) za błędy w zakresie RODO oraz od czeskiego Państwowego Urzędu Inspekcji Pracy (Státní úřad inspekce práce) za naruszenie KP.

Rzeczywiste ryzyko często leży jednak gdzie indziej niż w karach. Jeśli wypowiesz pracownikowi umowę na przykład za kradzież lub długotrwałą bezczynność, a twoim jedynym dowodem będzie nielegalnie sporządzone nagranie z kamery lub bezprawnie uzyskany e-mail, sąd taki dowód odrzuci.

Nielegalny monitoring sprawia, że twoje kluczowe dowody stają się bezużyteczne w sądzie. W efekcie nie tylko zapłacisz karę, ale przegrasz również spór pracowniczy, będziesz musiał przyjąć pracownika z powrotem i wypłacić mu zaległe wynagrodzenie. Tego podwójnego zagrożenia można uniknąć. Nasi prawnicy są gotowi pomóc ci legalnie skonfigurować monitoring.

Mit nr 1: „Pracownik mi to podpisał, więc mogę wszystko”

Najczęstszym, a zarazem najniebezpieczniejszym błędem jest poleganie na zgodzie pracownika. Urzędy i sądy konsekwentnie argumentują, że pracownik nie może wyrazić dobrowolnej zgody w sytuacji, gdy jest egzystencjalnie zależny od pracodawcy. Pracownik słusznie obawia się, że odmowa zgody doprowadziłaby do negatywnych konsekwencji, dlatego jego zgoda nie jest uważana za dobrowolną.

Poleganie na podpisanej zgodzie to jak budowanie domu na piasku. Daje fałszywe poczucie bezpieczeństwa, ale przy pierwszej konfrontacji prawnej cały system monitoringu upadnie jako nieważny.

Właściwą drogą prawną jest niemal zawsze prawnie uzasadniony interes pracodawcy zgodnie z art. 6 ust. 1 lit. f) RODO. Takim interesem może być ochrona mienia przed kradzieżą, zapewnienie bezpieczeństwa pracy, ochrona tajemnicy przedsiębiorstwa lub infrastruktury IT. Potrzebujesz pomocy prawnej w ocenie swojego prawnie uzasadnionego interesu? Skontaktuj się z naszymi ekspertami.

Jak przeprowadzić kluczowy „test równowagi”, czyli co musisz ocenić?

Prawnie uzasadniony interes nie jest jednak czekiem in blanco na monitorowanie czegokolwiek. Musisz być w stanie wykazać, że twój interes jest rzeczywiście silniejszy niż prawo pracownika do prywatności. Służy temu kluczowy krok dokumentacyjny: test równowagi (inaczej test proporcjonalności). Musisz go przy tym mieć opracowany z wyprzedzeniem, a nie tworzyć go naprędce dopiero w chwili, gdy przyjdzie kontrola.

Test równowagi musi uwzględniać co najmniej:

1. Cel: Co dokładnie monitorujesz i dlaczego? (Np. ochrona serwerowni przed wejściem osób nieuprawnionych).

2. Wpływ: Jak bardzo ingerujesz w prywatność pracownika? Jakie są jego uzasadnione oczekiwania prywatności w danym miejscu (np. w biurze vs. na korytarzu)?

3. Równowaga: Czy twój interes przeważa nad prawami pracownika?

4. Minimalizacja: Czy nie istnieje łagodniejszy sposób osiągnięcia celu? (Np. zamiast kamery tylko zamek w drzwiach?).

Uniwersalny wzór testu równowagi nie istnieje. Test dla kamery w magazynie, gdzie oczekiwanie prywatności jest niskie, będzie wyglądał zupełnie inaczej niż test dla oprogramowania monitorującego komputer prawnika w jego gabinecie.

Prawnicy ARROWS specjalizują się w przygotowywaniu testów równowagi i DPIA (oceny skutków) dla monitoringu. W celu natychmiastowego rozwiązania twojej sytuacji nie wahaj się z nami skontaktować.

Musisz grać w otwarte karty: obowiązek informacyjny

Nawet legalnie skonfigurowany i uzasadniony monitoring staje się nielegalny, jeśli prowadzisz go potajemnie. Podstawową zasadą RODO jest przejrzystość. Ukryte monitorowanie jest, poza absolutnymi wyjątkami (np. ukierunkowane wykrywanie konkretnej poważnej działalności przestępczej), surowo zabronione.

Pracodawca jest zobowiązany bezpośrednio i z wyprzedzeniem poinformować pracowników o:

• Zakresie kontroli (co dokładnie monitorujesz).

• Sposobie jej przeprowadzania (jakich technologii używasz).

• Celu (dlaczego to robisz).

• Okresie, przez który dane będą przechowywane.

Najlepszym sposobem spełnienia tego obowiązku jest sporządzenie rzetelnego regulaminu wewnętrznego. Musi on być zrozumiały również dla laików i łatwo dostępny dla wszystkich pracowników. ARROWS przygotowuje dla klientów zrozumiałe regulaminy wewnętrzne, które chronią przed karami i sprawdzają się podczas kontroli.

Kontrola komputerów i e-maili: gdzie dokładnie przebiega granica prywatności?

Monitoring narzędzi IT jest najczęstszą formą kontroli. Wielu pracodawców błędnie zakłada jednak, że to, co jest na firmowym komputerze, należy do firmy. Nie jest to takie proste. Sądy wielokrotnie potwierdziły, że powszechne i nieprzerwane monitorowanie aktywności pracowników na komputerze jest niezgodne z prawem.

Musisz wyraźnie rozróżniać między monitorowaniem metadanych a treści:

• Monitoring metadanych: Kontrola, czy pracownik nie wykorzystuje narzędzi pracy nadmiernie do celów prywatnych (np. kontrola historii odwiedzanych stron, wykaz połączeń telefonicznych), jest co do zasady dopuszczalna, jeśli jest proporcjonalna, a pracownicy o niej wiedzą.

• Monitoring treści: Czytanie treści e-maili, prywatnych wiadomości na czacie czy podsłuchiwanie rozmów stanowi poważną ingerencję w prywatność i tajemnicę korespondencji.

Kluczowy jest w tym względzie wyrok Europejskiego Trybunału Praw Człowieka (sprawa Bărbulescu). Stwierdził on, że pracodawca może wyjątkowo uzyskać dostęp do treści komunikacji, ale tylko jeśli z wyprzedzeniem poinformował pracownika o możliwości takiej kontroli, wyraźnie zakazał prywatnego użytkowania i ma uzasadniony powód kontroli.

Niezwykle inwazyjne narzędzia, takie jak keyloggery (oprogramowanie rejestrujące naciśnięcia klawiszy), są niemal zawsze uznawane za nielegalne oprogramowanie szpiegujące, ponieważ masowo zbierają także prywatne hasła do bankowości i poufne wiadomości.

Konsultacje prawne ARROWS pomogą ci ustalić zasady monitoringu IT tak, abyś chronił swoje dane i jednocześnie nie ryzykował sporu sądowego.

Monitoring komputerów, e-maili i telefonów

Kamery (CCTV) w miejscu pracy: czego inspekcja pracy nie wybaczy?

W przypadku systemów kamer (CCTV) regulacja prawna jest jeszcze surowsza. Nie wystarcza tu bowiem jedynie „prawnie uzasadniony interes” według RODO. KP w § 316 wyraźnie stanowi, że pracodawca może naruszać prywatność (co kamera czyni) tylko wtedy, gdy ma ku temu „ważny powód wynikający ze szczególnego charakteru działalności pracodawcy”.

Zwykła kontrola wydajności w biurze takim „ważnym powodem” nie jest. Może nim być ochrona cennego mienia u jubilera, zapewnienie bezpieczeństwa w zakładzie chemicznym lub ochrona centrum danych. Kamery nie mogą służyć przede wszystkim do kontroli wykonywania pracy.

Istnieją również strefy bezwzględnie zakazane, w których kamer nie może być nigdy (poza zupełnie skrajnymi wyjątkami). Chodzi o pomieszczenia, w których pracownicy słusznie oczekują pełnej prywatności: szatnie, toalety, prysznice i pokoje socjalne.

Ponadto musisz spełnić widoczny obowiązek informacyjny (tzw. podejście dwuwarstwowe – tabliczka jako 1. warstwa i szczegółowy dokument w recepcji/intranecie jako 2. warstwa), a nagrania przechowywać tylko przez okres niezbędny (standardem jest 72 godziny do 1 tygodnia).

ARROWS zapewnia kompleksowe audyty systemów kamer i przygotowanie związanej z nimi dokumentacji (w tym testów równowagi i regulaminów), tak aby spełniały wymogi RODO i KP.

GPS w samochodach służbowych: czy monitorowanie kończy się wraz z czasem pracy?

Monitorowanie pojazdów służbowych za pomocą GPS jest powszechną praktyką, zwłaszcza w firmach z flotami lub przedstawicielami handlowymi. Również tutaj trzeba jednak rozróżniać.

Monitorowanie położenia pojazdu w czasie pracy na potrzeby ewidencji przebiegu, ochrony mienia (samochodu) i kontroli wykonywania zadań służbowych jest uprawnione.

Sytuacja zmienia się diametralnie, jeśli pozwolisz pracownikowi korzystać z pojazdu również do celów prywatnych. Tu stanowiska urzędów się rozchodzą. Podczas gdy ÚOOÚ w przeszłości sugerował, że monitorowanie jest możliwe także podczas jazd prywatnych (jeśli pracownik o tym wie), organy europejskie (dawniej WP29) i czeskie Ministerstwo Przemysłu i Handlu (Ministerstvo průmyslu a obchodu, MPO) są znacznie surowsze i stwierdzają, że w przypadku monitorowania pracownika poza czasem pracy (np. w weekend lub wieczorem) „mało prawdopodobne jest, aby istniała podstawa prawna”.

Najbezpieczniejszym rozwiązaniem prawnym jest umożliwienie pracownikowi technicznego przełączenia GPS w „tryb prywatny” (tzw. privacy button). Pracodawca chroni w ten sposób swoje mienie w czasie pracy, ale nie ingeruje w prywatność pracownika, gdy ten jedzie w weekend do lekarza.

Masz w firmie dziesiątki pojazdów i nie jesteś pewien ustawień GPS? Przygotujemy lub zweryfikujemy twoje umowy o korzystaniu z pojazdów oraz regulaminy wewnętrzne.

Monitoring fizyczny (CCTV i GPS)

Nowe wyzwania: jak legalnie kontrolować pracę zdalną?

Wraz z masowym przejściem na pracę zdalną pojawiło się pytanie, jak kontrolować pracowników, których fizycznie nie widzimy. Zasady RODO (zgodność z prawem, przejrzystość, minimalizacja) obowiązują w pracy zdalnej dokładnie tak samo. Ryzyko ingerencji w prywatność jest jednak znacznie wyższe, ponieważ miejscem pracy stał się prywatny dom pracownika, w którym przebywają także członkowie jego rodziny.

Pracodawcy mają tendencję do zastępowania kontroli fizycznej kontrolą cyfrową – oprogramowaniem, które wykonuje zrzuty ekranu, rejestruje naciśnięcia klawiszy, a nawet wykorzystuje kamerę internetową. Metody te są jednak niezwykle inwazyjne i niemal pewne jest, że nie przejdą testu równowagi.

Legalną drogą jest skupienie się na kontroli wyników pracy (wykonane zadania, oddane projekty), a nie na mikrozarządzaniu aktywnością online.

Praca zdalna wymaga szczególnych ustaleń prawnych. Nasi prawnicy są gotowi pomóc ci w przeglądzie umów o pracę i regulaminów pracy zdalnej.

Monitoring w firmie międzynarodowej: dlaczego czeskie ustawienia zawiodą w Niemczech

Jeśli twoja spółka działa w kilku państwach UE, musisz być szczególnie ostrożny. RODO wprawdzie obowiązuje każdą firmę monitorującą pracowników w UE, ale samo rozporządzenie w art. 88 daje państwom członkowskim możliwość przyjęcia w dziedzinie zatrudnienia surowszych przepisów krajowych.

Jednolita polityka monitoringu dla całej UE jest więc praktycznie nielegalna. To, co jest legalne w Pradze, gdzie indziej może być przyczyną fatalnego problemu:

• Niemcy: Tutaj rada zakładowa (Betriebsrat) ma bardzo silne prawo współdecydowania (Mitbestimmung) o wprowadzeniu jakiegokolwiek systemu technicznego zdolnego do monitorowania pracowników. Nie wystarczy radę poinformować, musi ona na wprowadzenie wyrazić zgodę.

• Francja: Francuski organ nadzorczy (CNIL) jest niezwykle surowy, zakazuje stałego monitorowania pracowników i jest znany z nakładania astronomicznych kar, jak np. 32 mln EUR nałożone na jednego z dużych międzynarodowych pracodawców za zbyt inwazyjny system monitorowania wydajności. 

Dzięki budowanej od dziesięciu lat sieci ARROWS International zajmujemy się tą problematyką na co dzień. Pomagamy korporacjom ujednolicać procedury tam, gdzie to możliwe, i dostosowywać je lokalnie tam, gdzie jest to konieczne. Zapewniamy doradztwo prawne przy międzynarodowych transferach danych i wdrażaniu monitoringu w różnych jurysdykcjach.

Jak ARROWS pomoże ci uniknąć milionowych strat?

Monitoring pracowników to złożona dyscyplina prawna na pograniczu RODO, prawa pracy, IT i technologii. Błąd jest kosztowny – kosztuje nie tylko pieniądze w postaci kar i przegranych sporów, ale także reputację firmy i zaufanie pracowników.

W ARROWS specjalizujemy się w tej dziedzinie i dzięki wieloletniemu doświadczeniu z ponad 150 spółkami akcyjnymi i 250 s.r.o. (czeskimi spółkami z ograniczoną odpowiedzialnością) wiemy, gdzie firmy najczęściej popełniają błędy. 

Naszym klientom świadczymy kompleksowe usługi prawne:

• Audyty prawne istniejących systemów monitoringu (CCTV, IT, GPS).

• Przygotowanie i przegląd kompletnej dokumentacji (regulaminy wewnętrzne monitoringu, IT policy, regulaminy systemów kamer, zasady pracy zdalnej).

• Sporządzanie opinii prawnych i testów równowagi na miarę.

• Przygotowanie i przegląd umów (umowy o pracę, aneksy, umowy o korzystaniu z pojazdów).

• Specjalistyczne szkolenia dla pracowników i kierownictwa (HR, menedżerowie) wraz z certyfikatem.

• Reprezentację przed sądami i organami administracji (ÚOOÚ, Państwowy Urząd Inspekcji Pracy).

Nie zostawiaj ustawień monitoringu przypadkowi. Chroń swoją inwestycję i unikaj fatalnych błędów. Skontaktuj się z naszymi ekspertami i umów się na indywidualną konsultację.