Monitorowanie komputera pracownika: granice prawne

Jedno z najczęstszych pytań pracodawców brzmi: „czy mogę monitorować firmowy komputer pracownika?". Krótka odpowiedź: tak, pod pewnymi warunkami. Pominięcie tych warunków zamienia jednak narzędzie wspierające produktywność w ryzyko prawne.

Ten artykuł ma charakter ogólnoinformacyjny i nie zastępuje porady prawnej. Przed każdym konkretnym wdrożeniem skonsultuj się z prawnikiem.

Ramy prawne: co mówią RODO i Kodeks pracy?

RODO oraz ustawa o ochronie danych osobowych uznają, że aktywność pracownika na sprzęcie firmowym również może być danymi osobowymi. Artykuł 22(3) Kodeksu pracy wprost dopuszcza kontrolę poczty elektronicznej i inne formy monitoringu, ale wyłącznie wtedy, gdy są niezbędne do zapewnienia organizacji pracy lub właściwego użytkowania udostępnionych narzędzi i nie naruszają tajemnicy korespondencji.

• Legalność i rzetelność: monitoring nie może być tajny ani ukryty, lecz musi opierać się na znanej i uzasadnionej podstawie.
• Konkretny i uzasadniony cel: nie „na wszelki wypadek", lecz określony cel, taki jak bezpieczeństwo informacji, organizacja pracy czy obowiązek prawny.
• Proporcjonalność: nie należy zbierać danych ponad to, co niezbędne do celu (czytanie treści prywatnych wiadomości jest zwykle nieproporcjonalne).
• Ograniczenie przechowywania: dane nie powinny być trzymane dłużej, niż wymaga tego cel.

Informacja i regulamin: dwa najważniejsze kroki

Kodeks pracy i stanowiska Prezesa UODO są w tym punkcie zgodne: pracownik musi zostać uprzednio i wyraźnie poinformowany o monitoringu. Zapisy uzyskane z niezgłoszonej kontroli mogą zostać uznane za bezprawne i stracić wartość dowodową w postępowaniu.

• Uprzednia informacja (art. 13 i 14 RODO): jakie dane, w jakim celu, przez jaki czas i w jaki sposób są przetwarzane, trzeba przekazać na piśmie.
• Zapis w regulaminie: cele, zakres i sposób monitoringu ustala się w układzie zbiorowym, regulaminie pracy albo obwieszczeniu.
• Poinformowanie z wyprzedzeniem: pracodawca informuje pracowników o wprowadzeniu monitoringu nie później niż 2 tygodnie przed jego uruchomieniem, a nowych pracowników przed dopuszczeniem do pracy.
• Bezpieczeństwo danych (art. 32 RODO): dostęp do danych z monitoringu należy ograniczyć do osób upoważnionych, a dane przechowywać w postaci zaszyfrowanej.
• Tylko sprzęt firmowy: monitorowanie prywatnego urządzenia pracownika podlega znacznie węższym warunkom; co do zasady ogranicz się do sprzętu należącego do firmy.

Jak w praktyce wygląda proporcjonalny monitoring?

Zasada proporcjonalności oznacza „widzieć wzorzec korzystania" zamiast „czytać treść". Na przykład podgląd tego, ile czasu spędzono w danej aplikacji i ile na stronach niezwiązanych z pracą, wystarcza do większości celów; dostęp do treści prywatnych wiadomości jest natomiast zwykle nieproporcjonalny.

• Wybieraj raporty skupione na czasie i kategorii, a nie na treści.
• Monitoring ograniczony do godzin pracy jest bardziej proporcjonalny niż całodobowy.
• Ogranicz dostęp do osób upoważnionych i przechowuj dane w postaci zaszyfrowanej.

Korzystanie ze Spektio na legalnej podstawie

Na sprzęcie firmowym Spektio raportuje w podziale na kategorie czasy aplikacji, stron i gier oraz czas przed ekranem; zapewnia widoczność korzystania, a nie ujawnianie treści. To wpisuje się w model kontroli szanujący zasadę proporcjonalności.

Prawidłowe ułożenie odpowiedzialności należy do Ciebie: używaj Spektio wyłącznie na sprzęcie należącym do firmy, informując wcześniej pracowników i zapisując to w wewnętrznej polityce. Określ, kto ma dostęp do danych, i rozsądne okresy ich przechowywania.