Nie wystarczy, że nowo zatrudniana osoba zapoznała się z regulaminem pracy zawierającym zasady monitoringu. Tak uznał Urząd Ochrony Danych Osobowych w stanowisku wydanym dla DGP.
Często zadawane w praktyce funkcjonowania firm pytanie brzmi: czy muszę informować pracowników o monitoringu, skoro każdy pracownik przed dopuszczeniem do pracy jest i tak obowiązkowo jest zapoznawany z regulaminem pracy, w którym są opisane także zasady monitoringu? Czy nie można uznać, że pracodawca, zapoznając pracownika z regulaminem, spełnił od razu dwa obowiązki prawne? I choć część inspektorów ochrony danych doradza taki sposób postępowania, będzie to błędnym działaniem. Takie stanowisko zajął też Urząd Ochrony Danych Osobowych w najnowszych wyjaśnieniach z 26 stycznia 2024 r. wydanych dla DGP.
Stanowisko UODO z 26 stycznia 2024 r.
DGP: Czy informacje o monitoringu przekazywane nowym pracownikom przed dopuszczeniem do pracy, zgodnie z art. 222 par. 8 k.p. muszą być indywidualizowane, czyli wskazywać tylko te rodzaje monitoringu, które dotyczą danego pracownika? Czyli jeśli pracodawca stosuje trzy rodzaje monitoringu: wizyjny, GPS w samochodach służbowych oraz poczty elektronicznej, to powinien mieć trzy rodzaje informacji:
– dla pracowników produkcji tylko informacja o monitoringu wizyjnym, gdyż inne go nie dotyczą;
– dla pracowników administracyjnych tylko informacja o monitoringu wizyjnym oraz poczty elektronicznej;
– dla pracowników działu handlowego, którzy mają samochody służbowe informacja o 3 rodzajach monitoringu?
Czy można przyjąć, że zapoznanie pracownika z regulaminem pracy przed dopuszczeniem do pracy będzie jednocześnie spełnieniem powyższego obowiązku i nie przekazywać odrębnej informacji o zasadach monitoringu? Czy jest to zawsze odrębny obowiązek pracodawcy?
UODO: Prezes UODO może wypowiadać się wiążąco jedynie w wydanej decyzji po przeprowadzeniu postępowania administracyjnego i zbadaniu wszelkich okoliczności w indywidualnej sprawie. Dlatego do pytań możemy się odnieść jedynie teoretycznie.
Każdy administrator, czyli podmiot, który decyduje o celach i sposobach przetwarzania danych osobowych, stosując monitoring, musi przestrzegać zasad określonych w RODO, czyli ogólnym rozporządzeniu o ochronie danych osobowych, a także w ustawie o ochronie danych osobowych oraz – gdy ma to zastosowanie – w ustawach szczególnych i aktach wykonawczych do nich.
Jeśli zatem chce monitorować określone obszary, to powinien zastanowić się, m.in, na jakiej podstawie chce to robić, jaki cel ma być dzięki temu osiągnięty oraz czy zastosowanie tego rozwiązania jest do niego adekwatne.
Odnosząc się do pytania, czy informacje o monitoringu przekazywane nowym pracownikom muszą być zindywidualizowane, tj. odnosić się do konkretnego pracownika, należy przypomnieć, że zgodnie z treścią art. 222 par. 1 k.p. pracodawca może wprowadzić szczególny nadzór nad terenem zakładu pracy lub terenem wokół zakładu pracy. Monitoring powinien być zatem rozumiany jako nadzór lub kontrola sprawowana nad pewnym obszarem, a nie nad konkretną osobą. Jednocześnie zawarta w KP regulacja dot. monitoringu w miejscu pracy powinna być, jak już wspomniano na wstępie, rozpatrywana w kontekście przepisów ogólnego rozporządzenia o ochronie danych osobowych, w tym zgodnie z określoną w art. 5 ust. 1 pkt a RODO zasadą przejrzystości nakazującą, by dane osobowe były przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą. Doprecyzowanie tej zasady zamieszczono w motywie 39 RODO, który wyjaśnia, iż dla osób fizycznych powinno być przejrzyste, że dotyczące ich dane osobowe są zbierane, wykorzystywane, przeglądane lub w inny sposób przetwarzane oraz w jakim stopniu te dane osobowe są lub będą przetwarzane.
W kontekście podniesionych w pytaniach kwestii oznacza to, że pracownik, który ma zostać dopuszczony do pracy, powinien zostać w sposób przejrzysty poinformowany, czy w miejscach, w których będzie przebywał w czasie świadczenia pracy, stosowany jest monitoring.
Z drugiej strony, za jeden z elementów definicyjnych monitoringu uznaje się również stałość takiego nadzoru lub kontroli. Informowanie zatem danego pracownika o każdej formie monitoringu stosowanej w danym zakładzie pracy, również w odniesieniu do pomieszczeń, w których może znaleźć się tylko wyjątkowo, można w niektórych sytuacjach uznać za nad miarowe. Należy jednak podkreślić, że art. 222 par. 6 k.p., wskazuje, iż cele, zakres oraz sposób zastosowania monitoringu ustala się w układzie zbiorowym pracy lub w regulaminie pracy albo w obwieszczeniu, jeżeli pracodawca nie jest objęty układem zbiorowym pracy lub nie jest obowiązany do ustalenia regulaminu pracy. To w tych dokumentach powinny więc zostać dookreślone zasady prowadzenia takiego monitoringu z uwzględnieniem wynikających z art. 5 RODO zasad ochrony danych osobowych, w tym zasady celowości i minimalizacji danych.
Obowiązek poinformowania pracownika w formie pisemnej o stosowanym wobec niego monitoringu, o którym mowa w art. 222 par. 8 k.p., należy równocześnie odróżnić od obowiązku widocznego i czytelnego oznaczenia pomieszczeń i terenu monitorowanego za pomocą odpowiednich znaków lub ogłoszeń dźwiękowych, o których mowa w par. 9 wskazanego artykułu. Regulacja ta ma przede wszystkim gwarantować, by pracownik, który znalazł się w danym pomieszczeniu tylko przypadkowo lub przebywa w nim tylko okazjonalnie, miał szansę zapoznać się z informacją o stosowanym w danym miejscu monitoringu i możliwości monitorowania jego osoby. W art. 222 par. 10 k.p. podkreśla się natomiast, że przepis par. 9 wskazanego artykułu nie narusza przepisów art. 12 i art. 13 RODO.
Odnosząc się do ostatniego pytania, należy przyjąć, że obowiązek poinformowania pracownika powinien być rozumiany jako odrębny obowiązek pracodawcy. Przemawia za tym nie tylko wskazanie w odrębnej jednostce redakcyjnej, ale również stosowanie przytoczonej powyżej zasady przejrzystego informowania podmiotu danych o przetwarzaniu jego danych osobowych oraz konieczność realizacji obowiązków informacyjnych określonych w art. 13 i 14 RODO.
Zakres obowiązków pracodawcy
W stanowisku UODO przyjęto wprost, że obowiązek poinformowania pracownika powinien być rozumiany jako odrębny obowiązek pracodawcy, co urząd uzasadnił dwoma argumentami, tj. umieszczeniem tego obowiązku w oddzielnej jednostce redakcyjnej art. 222 ustawy z 26 czerwca 1974 r. – Kodeks pracy (t.j. Dz.U. z 2023 r. poz. 1465; dalej: k.p.) oraz zasadą przejrzystości wynikającą z art. 5 rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. UE L z 2016 r. nr 119, s. 1; dalej: RODO), a więc należy odnieść się kolejno do tych argumentów. Otóż należy przeanalizować pięć kolejnych paragrafów wspomnianego art. 222 k.p. (par. 6–11), z których wynika, że:
- cele, zakres i sposób monitoringu pracodawca powinien ustalić co do zasady w regulaminie pracy (układzie zbiorowym pracy, obwieszczeniu, gdy nie zatrudnia 50 pracowników);
- pracodawca informuje pracowników o wprowadzeniu monitoringu w sposób przyjęty w organizacji na dwa tygodnie przed jego wprowadzeniem;
- pracodawca przed dopuszczeniem pracownika do pracy przekazuje mu na piśmie informacje o celu, zakresie i sposobie monitoringu;
- w przypadku monitoringu wizyjnego pracodawca oznacza pomieszczenia i teren monitorowany w sposób widoczny i czytelny, a przepis ten stosuje się odpowiednio także do innych form monitoringu;
- pracodawca musi przekazać obowiązek informacyjny dotyczący monitoringu, zgodnie z art. 13 RODO.
Zgodnie ze stanowiskiem UODO obowiązki wynikające z art. 222 par. 6 i par. 8 k.p. to odrębne obowiązki, co jest oczywiście prawidłowym podejściem. A dodatkowym argumentem – nieprzywołanym w stanowisku UODO – może być również konstrukcja rozporządzenia ministra rodziny, pracy i polityki społecznej z 10 grudnia 2018 r. w sprawie dokumentacji pracowniczej (Dz.U. poz. 2369; ost.zm. Dz.U. z 2023 r. poz. 879), w którym w par. 3 pkt 2 lit. e i f również są wymienione dwa dokumenty, które powinny być przechowywane w części B akt osobowych, a mianowicie:
- potwierdzenie zapoznania się przez pracownika z treścią regulaminu pracy (art. 1043 par. 2 k.p.) albo obwieszczenia (art. 150 par. 7 k.p.),
- potwierdzenie poinformowania pracownika o celu, zakresie oraz sposobie zastosowania monitoringu (art. 222 par. 8 k.p.).©℗
Ponadto UODO przywołał zasadę przejrzystości, która wynika z art. 5 ust. 1 lit. a RODO, z którego wynika, że dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą („zgodność z prawem, rzetelność i przejrzystość”). Doprecyzowanie tej zasady jest ujęte w motywie 39 RODO, który wyjaśnia, że dla osób fizycznych powinno być przejrzyste, że dotyczące ich dane osobowe są zbierane, wykorzystywane, przeglądane lub w inny sposób przetwarzane oraz w jakim stopniu te dane osobowe są lub będą przetwarzane. W tym zakresie trudno zatem uznać za przejrzyste zapoznanie tylko z regulaminem, w którym może być kilka rodzajów monitoringu, z których tylko część dotyczy danego pracownika albo odwrotnie – jest w nim monitoring, który konkretnego pracownika w ogóle nie dotyczy. [przykład 1]
przykład 1
Monitoring za pomocą GPS
Firma handlowa przewidziała w regulaminie pracy monitoring pracowników za pomocą systemu GPS, przy czym u tego pracodawcy nie ma innych form monitoringu ani wizyjnego, ani poczty elektronicznej. W biurze pracuje stacjonarnie 10 osób, a pozostałe osoby to handlowcy zatrudnieni w terenie, którzy poruszają się samochodami służbowymi z zamontowanymi systemami GPS. W takim stanie faktycznym tylko handlowcy powinni otrzymać odrębną informację dotyczącą zasad monitoringu, gdyż on nie dotyczy wszystkich pracowników, a brak takiego dokumentu jest sprzeczny z zasadą przejrzystości, gdyż może powodować wątpliwości, czy system GPS jest także zamontowany w jednym aucie wykorzystywanym wyłącznie przez pracowników biura do wizyt w banku czy urzędach.
przykład 2
Kilka rodzajów informacji
U pracodawcy są stosowanie cztery rodzaje monitoringu:
• wizyjny – dotyczący ogółu pracowników,
• poczty elektronicznej – dotyczący pracowników administracji (niedotyczący magazynu i produkcji),
• GPS w samochodach służbowych – dotyczący pracowników działu handlowego,
• nagrywanie rozmów telefonicznych – dotyczący pracowników działu call center.
W takim stanie faktycznym powinny zostać przygotowane cztery rodzaje informacji dla pracowników takiej firmy, tj.:
• dla pracowników administracyjnych z wszystkich działów poza call center – informacja powinna dotyczyć monitoringu wizyjnego oraz poczty elektronicznej;
• dla pracowników działu call center – informacja powinna dotyczyć trzech form monitoringu, które ich dotyczą, a mianowicie wizyjnego, poczty elektronicznej oraz nagrywania rozmów służbowych;
• w przypadku pracowników działu handlowego – informacja również powinna dotyczyć trzech rodzajów monitoringu: wizyjnego, poczty elektronicznej oraz GPS;
• w przypadku pracowników produkcji i magazynu informacja powinna obejmować tylko monitoring wizyjny, gdyż pracownicy produkcyjni nie mają zakładanych służbowych kont poczty elektronicznej. ©℗
Zatem prawidłowe poinformowanie nowo zatrudnionego pracownika o zasadach monitoringu powinno obejmować zawsze trzy dokumenty:
- zapoznanie pracownika z regulaminem pracy (układem zbiorowym pracy, obwieszczeniem),
- poinformowanie pracownika o celu, zakresie oraz sposobie zastosowania monitoringu,
- klauzulę informacyjną wynikającą z art. 13 RODO.
Nie w każdych aktach osobowych musi być odrębny dokument potwierdzający zapoznanie pracowników z celem, zakresem oraz sposobem stosowania monitoringu. Dokumentu takiego nie musi być w aktach pracowników, którzy pracowali u pracodawcy w momencie wdrażania przepisów o monitoringu pracowników. W takiej sytuacji obowiązywał bowiem art. 222 par. 7 k.p., zgodnie z którym pracodawca miał obowiązek poinformowania pracowników o wprowadzeniu monitoringu, w sposób przyjęty u danego pracodawcy, nie później niż dwa tygodnie przed jego uruchomieniem. Indywidualne informacje są więc z zasady przeznaczone dla pracowników zatrudnionych później niż następowało wdrożenie monitoringu u pracodawcy, gdyż do tych pracowników nie mogły dotrzeć informacje ogólnozakładowe o wprowadzeniu monitoringu.
Co zawrzeć w treści
Drugi problem praktyczny związany z obowiązkiem poinformowania o zasadach monitoringu dotyczy tego, czy trzeba różnicować treść informacji o monitoringu w zależności od jego form, które dotyczą danego pracownika, czy też dla ogółu pracowników mogą być stosowane identyczne dokumenty. W praktyce chodzi o to, czy różnicować informacje dla pracowników produkcyjnych, których dotyczy tylko monitoring wizyjny, od pracowników biura, w których przypadku jest stosowany również monitoring poczty elektronicznej.
Na to pytanie nie ma wprost odpowiedzi w przesłanym stanowisku UODO z 26 stycznia br., ale można ją wyinterpretować z części stanowiska dotyczącego monitoringu wizyjnego. Otóż urząd wskazuje, że: „Informowanie zatem danego pracownika o każdej formie monitoringu stosowanej w danym zakładzie pracy, również w odniesieniu do pomieszczeń, w których może znaleźć się tylko wyjątkowo, można w niektórych sytuacjach uznać za nadmiarowe”. Zatem konsekwentnie należy przyjąć, że informowanie pracownika o innych rodzajach monitoringu, które go nie dotyczą, nie jest prawidłowym działaniem i narusza zasadę przejrzystości wynikającą z art. 5 RODO oraz może być także uznane za działanie nadmiarowe. Zatem informacje o monitoringu nie mogą być tworzone na zasadzie wyciągu z przepisów regulaminu pracy i nie mogą mieć jednakowej treści dla całej załogi, jeśli u pracodawcy jest stosowanych w praktyce kilka różnych form monitorowania pracowników. [przykład 2] ©℗