Dotyczące przesłanek przetwarzania danych osobowych

Proszę o potwierdzenie, że po zmianach przepisów w 2019 r. nadal pozostaje aktualne, iż podstawą prawną przetwarzania danych osobowych pracownika przetwarzanych w związku ze stosowaniem monitoringu w zakładzie pracy powinien być prawnie uzasadniony interes pracodawcy (art. 6 ust. 1 lit. f RODO). Takie stanowisko zostało zaprezentowane jeszcze przed wejściem życie nowelizacji Kodeksu Pracy z dnia 4 maja 2019 r. podczas Szkolenia dla Inspektorów Ochrony Danych z sektora zatrudnienia, które odbyło się 4 października 2018 r. Powyższe zagadnienie budzi szereg wątpliwości pracodawców oraz inspektorów ochrony danych, które dodatkowo pogłębiają sprzeczne opinie wyrażane w prasie fachowej oraz innych publikacjach.

Kodeks pracy nie nakłada na pracodawcę obowiązku stosowania monitoringu, a jedynie daje mu taką możliwość. Skorzystanie z tej możliwości jest jednak obwarowane konkretnymi warunkami i może nastąpić jedynie w ściśle określonych w tym Kodeksie celach, a mianowicie:

– w przypadku monitoringu wizyjnego do zapewnienia bezpieczeństwa pracowników lub ochrony mienia lub kontroli produkcji lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę (art. 22 ²k.p.),

– w przypadku monitoringu poczty elektronicznej i innych form monitoringu do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania udostępnionych pracownikowi narzędzi pracy (art. 22 ³§ 1-4 k.p).

W uzasadnieniu projektu ustawy o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679 wskazano, że celem wprowadzenia przepisów regulujących monitoring pracownikówjest zabezpieczenie interesów pracowników przed dowolnym wykorzystywaniem monitoringu przez pracodawców. Dlatego uregulowano kwestię monitoringu w przepisach prawa oraz ograniczono możliwość wykorzystywania monitoringu do celów wskazanych w przepisach.

Za przesłankę przetwarzania danych osobowych pracowników w związku ze stosowaniem monitoringu w powyższych celach i na warunkach określonych w Kodeksie pracy należy uznać art. 6 ust. 1 lit. f RODO. Powołanie się na tę przesłankę wymaga przeprowadzenia uprzedniej starannej oceny, określanej jako test równowagi. Jej istotą jest ustalenie, czy interes administratora (lub strony trzeciej), przemawiający za przetwarzaniem danych, jest prawnie uzasadniony, czy przetwarzanie jest niezbędne do realizacji celu wynikającego z tego interesu, a następnie rozważenie, czy interesy lub podstawowe prawa i wolności osoby, której dane dotyczą nie przeważają nad prawnie uzasadnionym interesem administratora lub strony trzeciej (więcej na temat tego testu i materiałów przydatnych w jego przeprowadzeniu m.in. w odpowiedzi na pytanie Czy przesłanką przetwarzania przez organy publiczne może być art. 6 ust. 1 lit. f RODO?).

Możliwość stosowania monitoringu przez pracodawcę zachodzi zatem wyłącznie, gdy cel przetwarzania nie może być osiągnięty za pomocą innych środków, które są mniej inwazyjne w stosunku do podstawowych praw i wolności osoby, której dane dotyczą. Pracodawca jako administrator powinien być w stanie wykazać zasadność jego stosowania, w tym proporcjonalność tego środka do celu, jakiemu ma on służyć. Powinien wiedzieć, jakie argumenty przeważają, by uznać, że monitoring jest lepszym środkiem niż inne dostępne służące temu samemu celowi oraz czy niepożądane negatywne skutki dla pracowników nie przeważają nad taką formą kontroli. Innymi słowy taka forma nadzoru może być stosowana po upewnieniu się, że inne środki prewencyjne czy ochrony są ewidentnie niewystarczające lub niemożliwe do zastosowania.

W zakresie zagadnienia związanego z monitoringiem pracowników warto mieć na uwadze również:

Opinię 2/2017 Grupy Roboczej art. 29 na temat przetwarzania danych w miejscu pracy,
Wytyczne EROD 3/2019 w sprawie przetwarzania danych osobowych za pomocą urządzeń wideo,
materiały zmieszczone na stronie internetowej Urzędu:

– Przetwarzanie danych osobowych na potrzeby zatrudnienia - szkolenie dla IOD, dostępne poniżej,

– Montujesz kamery w miejscu pracy. Sprawdź, o czym należy pamiętać, dostępne pod
Przetwarzanie danych osobowych na potrzeby zatrudnienia - szkolenie dla IOD

Przetwarzanie danych osobowych na potrzeby zatrudnienia - szkolenie dla IOD

Pracodawcy, stosując monitoring poczty elektronicznej, muszą pamiętać o tym, by nie naruszyć prywatności pracowników. O stosowanym rozwiązaniu muszą ich poinformować, a w regulaminie pracy lub układzie zbiorowym wskazać cel, zakres oraz sposób monitorowania.

Kiedy podmiot wykorzystujący dane osobowe pracowników i kandydatów do pracy jest ich administratorem, a kiedy przetwarzającym, jakich zasad należy przestrzegać monitorując aktywność i zachowania pracowników, o czym należy pamiętać, przetwarzając dane w grupie kapitałowej - to tylko niektóre z zagadnień omawianych podczas kolejnego szkolenia zorganizowanego 4 października 2018 r. przez Urząd Ochrony Danych Osobowych (UODO) z myślą o inspektorach ochrony danych (IOD).

Rekordowe zainteresowanie i transmisja on-line

Poświęcone ono było omówieniu obowiązków, jakie w zakresie ochrony danych osobowych ciążą na pracodawcach, i cieszyło się rekordowym zainteresowaniem – zgłosiło się na nie ponad 2 tys. osób.

Jego uczestnicy mieli okazję, by w szczegółowo przedyskutować z ekspertami wiele kwestii. Bo choć tego dnia na stronie internetowej urzędu zamieszczony został poradnik UODO dla pracodawców pt. „Ochrona danych osobowych w miejscu pracy”, to szkolenie, które niejednokrotnie odnosiło się do zagadnień poruszonych w poradniku, ponieważ było skierowane do fachowców, jakimi są IOD, miało bardziej pogłębiony charakter i dotyczyło bardziej szczegółowych kwestii.

IOD wsparciem dla pracodawcy

Dr Edyta Bielak-Jomaa, Prezes Urzędu Ochrony Danych Osobowych, otwierając szkolenie podkreśliła, jak ważną rolę pełnią IOD u administratorów będących pracodawcami.

– Inspektorzy ochrony danych nie tylko monitorują operacje przetwarzania danych pod kątem ich zgodności z prawem, ale wspierają pracodawców we wszelkich działaniach, m.in. w tym, by dane pracowników były bezpieczne i przetwarzane z poszanowaniem praw pracowniczych – mówiła dr Edyta Bielak-Jomaa.

Wskazała też na ich ważną rolę w szkoleniu pracowników.

Problematyczny monitoring

Zorganizowane przez UODO wydarzenie było okazją do ponownego podjęcia tematyki monitoringu wizyjnego, którego stosowanie wciąż rodzi wiele pytań.

Krzysztof Król z Zespołu Analiz i Strategii, przedstawiając zasady jego stosowania, wskazał również na wyjątkowe sytuacje, w których monitoring jest dopuszczalny, mimo że co do zasady nie powinien być.

– Jeżeli w szatni dochodziło do kradzieży, to zastosowanie monitoringu może być uzasadnione. Należy jednak ograniczyć go tylko do miejsc, w których zdejmuje się odzież wierzchnią. Nie powinien być skierowany na miejsca w pobliżu natrysków – wyjaśniał. Dodał, że istnieją też technologie, które pozwalają zamazywać pewne obszary objęte zasięgiem kamery, tak aby nie naruszać godności pracowników.

Prowadzący szkolenie eksperci podkreślali też, że pracodawcy, którzy wykorzystują nowoczesne technologie do monitorowania pracowników, powinni podchodzić do nich z należytą ostrożnością i rozwagą.

Wskazywali również, że ci z nich, którzy przetwarzają dane biometryczne, a więc za pomocą specjalnych technik przetwarzają np. odcisk palca czy skan siatkówki oka, nie mogą wykorzystywać ich do kontroli czasu pracy. Zaznaczali jednak, że dopuszczalne byłoby ich użycie dla zabezpieczenia wejść do pomieszczeń, które należy szczególnie chronić, już np. skarbiec w banku.

Paulina Dawidczyk, dyrektor Zespołu ds. Sektora Zdrowia, Zatrudnienia i Szkolnictwa zaznaczyła, że pracodawca nie może kontrolować prywatnej korespondencji swoich pracowników.

– Jeżeli po jej otwarciu pracodawca po początkowej treści zorientuje się, że jest to korespondencja prywatna, a nie służbowa, absolutnie powinien zaprzestać dalszego zapoznawania się z nią – podkreśliła.

Międzynarodowe korporacje a transfer danych

Część szkolenia została poświęcona zagadnieniu, które w praktyce rodzi wiele problemów, choć nie dotyczy ono każdego pracodawcy. Chodzi o transgraniczne przekazywanie danych osobowych, co ma szczególne znaczenia dla funkcjonowania podmiotów, które np. w ramach swojej grupy kapitałowej przekazują dane do innych swoich spółek lub oddziałów w tzw. państwach trzecich (spoza Europejskiego Obszaru Gospodarczego), które nie mają takiego poziomu ochrony danych, jak w Unii Europejskiej.

– W sytuacji, gdy pracodawca deleguje pracownika do wykonywania pewnych zadań w państwie trzecim, a te wiążą się z wykorzystywaniem tam komputera i wykonywaniem na nim czynności związanych przetwarzaniem danych osobowych, nie mamy do czynienia z przekazaniem danych. W takim przypadku nie ma odbiorcy danych – wyjaśniał Piotr Drobek, dyrektor Zespołu Analiz i Strategii. Dodał, że należy jednak zagwarantować odpowiednie zabezpieczenie danych.

Piotr Drobek zwrócił uwagę, że przekazywanie danych do państw trzecich jest możliwe m.in. wówczas, gdy Komisja Europejska stwierdzi, że dane państwo zapewnia odpowiedni stopień ochrony – wówczas nie jest potrzebne specjalne zezwolenie organu ds. ochrony danych osobowych.

– Kolejnymi instrumentami, które można wykorzystywać przy przekazywaniu danych do państwa trzeciego są standardowe klauzule umowne oraz wiążące reguły korporacyjne, które są indywidualnym sposobem zabezpieczenia przekazania danych – mówił Piotr Drobek. Dodał, że zgodnie z RODO transfer danych jest również możliwy na podstawie kodeksów postępowań i zatwierdzonych mechanizmów certyfikacji, o ile umożliwiają one ich wyegzekwowanie w państwie trzecim.

Wymiana doświadczeń

Po każdej części szkolenia przewidziany był czas na dyskusje i wymianę doświadczeń. To dodatkowa wartość szkoleń organizowanych przez UODO.

To odbywające się 4 października 2018 r. już 11 szkoleniem dla IOD. W tych zorganizowanych w 2017 i 2018 r. wzięło już udział ponad 1700 osób pełniących tę funkcję.

Wręczenie nagród studentom - laureatom konkursu na esej

Szkolenie było również okazją do uroczystego wręczenia przez dr Edytę Bielak-Jomaa, Prezes UODO nagród laureatom VIII edycji konkursu na esej dla studentów.

W tym roku jego uczestnicy mieli za zadanie przenalizować poprawność pozyskiwania zgód przez administratora prowadzącego serwis internetowy służący do wymiany notatek. Zadanie to było o tyle trudne, że ponieważ termin nadsyłania prac upływał w kwietniu 2018 r., to oceny działania administratora musieli oni dokonać na podstawie obowiązującego wówczas stanu prawnego, a dodatkowo przeanalizować, czy zebrane zgody będą ważne po 25 maja 2018 r., gdy zacznie być stosowane ogólne rozporządzenie o ochronie danych (RODO). Studenci biorący udział w organizowanym przez UODO (we współpracy z Kobylańska & Lewoszewski Kancelaria Prawna sp.j.) konkursie poradzili sobie z nim świetnie. Wykazali się nie tylko dużą wiedzą w zakresie przepisów o ochronie danych osobowych. W swoich pracach, dokonując oceny zebranych zgód, umiejętnie popierali swoje sądy bogatym orzecznictwem, literaturą i decyzjami organu ds. ochrony danych osobowych. Wszystkim należą się słowa uznania, a zwycięzcom gratulacje.

Załączone pliki:

Zasady prowadzenia monitoringu wizyjnego

Zasady prowadzenia innych form monitoringu

Poradnik dla pracodawców - rekrutacja

Obowiązki pracodawców w ochronie danych osobowych - ZFSS - PKZP

Montujesz kamery w miejscu pracy. Sprawdź, o czym należy pamiętać

Zasady stosowania monitoringu wizyjnego w miejscu pracy reguluje Kodeks pracy. Ale pamiętajmy, że w momencie nagrywania obrazu przez kamery, obejmującego wizerunek pracowników, dochodzi do przetwarzania danych osobowych. Zatem pracodawca w tym przypadku powinien również brać pod uwagę przepisy RODO. Jak zadbać o pracowników oraz mienie pracodawcy, jednocześnie robiąc to w zgodzie z ogólnym rozporządzaniem?

Europejska Rada Ochrony Danych przyjęła 10 lipca 2019 r. Wytyczne 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo, które mają na celu wyjaśnienie, w jaki sposób RODO ma zastosowanie do przetwarzania danych osobowych w przypadku korzystania z urządzeń wideo oraz zapewnienie spójnego stosowania ogólnego rozporządzenia o ochronie danych w tym zakresie. Wskazują one m.in., że dokonując wyboru rozwiązań technicznych administrator powinien brać pod uwagę technologie przyjazne prywatności, które zwiększają bezpieczeństwo. Przykładami takich technologii są systemy umożliwiające maskowanie lub mieszanie obszarów, które nie są istotne dla obszaru objętego nadzorem.

Pracodawca, decydując się na założenie monitoringu wizyjnego w zakładzie pracy, powinien określić konkretny cel, w którym będzie on wykorzystywany. Monitoring ma służyć zapewnieniu bezpieczeństwa pracowników lub ochrony mienia, lub kontroli produkcji, lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę, a obszar nadzoru może obejmować teren zakładu pracy lub teren wokół zakładu pracy.

Nagrywasz? Informuj

Pracodawca korzystający z monitoringu powinien poinformować osoby, które potencjalnie mogą zostać nim objęte, o tym, że monitoring jest stosowany i jaki obszar jest nim objęty. Powinien spełnić także obowiązek informacyjny wynikający z art. 13 RODO, czyli m.in. podać swoją nazwę, adres, obszar oraz cel monitorowania, okres przetwarzania danych – co ma również istotne znaczenie dla dochodzenia roszczeń, czy też wskazać ewentualnych odbiorców danych.

Pracownicy natomiast muszą mieć świadomość, że w miejscu, w którym się znajdują, wprowadzono monitoring. Pracodawca, zgodnie z kodeksem pracy, oznacza pomieszczenia i teren monitorowany w sposób widoczny i czytelny, za pomocą odpowiednich znaków lub ogłoszeń dźwiękowych, nie później niż jeden dzień przed jego uruchomieniem.

Tablice informujące o zainstalowanym monitoringu powinny być widoczne, umieszczone w sposób trwały w niezbyt dużej odległości od nadzorowanych miejsc. Ich wymiary muszą być proporcjonalne do miejsca, gdzie zostały umieszczone. Stosowane mogą być dodatkowo piktogramy informujące o objęciu dozorem kamer. Z uwagi na to, że należy dopełnić obowiązku informacyjnego określonego w art. 13 RODO, nie jest jednak wystarczające oznaczenie obszaru objętego monitoringiem jedynie piktogramami. Nie oznacza to jednak konieczności umieszczania wszystkich informacji wskazanych w tym przepisie przy tabliczce informacyjnej. W takiej sytuacji możliwe jest zastosowanie warstwowych not informacyjnych. A więc na tablicy wystarczające mogą być informacje o tym przez kogo, w jakim celu i na jakich podstawach prawnych jest prowadzony monitoring oraz dane kontaktowe IOD, jeżeli został powołany. Należy także poinformować jaki obszar obejmuje monitoring, jakie prawa ma osoba obserwowania oraz gdzie możemy zapoznać się z dodatkowymi informacjami na ten temat.

Jednocześnie, należy podkreślić, że pracodawca powinien zamieścić informacje o celach, zakresie oraz sposobie zastosowania monitoringu w układzie zbiorowym pracy lub w regulaminie pracy albo w obwieszczeniu, jeżeli pracodawca nie jest objęty układem zbiorowym pracy lub nie jest obowiązany do ustalenia regulaminu pracy.

Wizja, bez fonii

Monitoring to środek techniczny umożliwiający rejestrację obrazu. Co za tym idzie – monitoring wizyjny nie może nagrywać dźwięku. Stosowanie kamer rejestrujących również dźwięk może, w przypadkach nieuregulowanych przepisami prawa, zostać uznane za naruszenie prywatności oraz za nadmiarową formę przetwarzania danych, a co za tym idzie wiązać się z odpowiedzialnością nie tylko administracyjną i cywilną ale również i karną. Ponadto, w trakcie nagrania obrazu i dźwięku za pośrednictwem kamery będzie dochodzić do ujawnienia tajemnic prawnie chronionych.

Kodeks pracy zawiera zamknięty katalog miejsc, w których założenie monitoringu jest zabronione. Są to np. łazienki, szatnie czy pomieszczenia socjalne, chyba że stosowanie monitoringu w tych pomieszczeniach jest niezbędne do realizacji określonego celu i nie naruszy to godności oraz innych dóbr osobistych pracownika, w szczególności poprzez zastosowanie technik uniemożliwiających rozpoznanie przebywających w tych pomieszczeniach osób. Monitoring pomieszczeń sanitarnych wymaga uzyskania uprzedniej zgody zakładowej organizacji związkowej, a jeżeli u pracodawcy nie działa zakładowa organizacja związkowa – uprzedniej zgody przedstawicieli pracowników wybranych w trybie przyjętym u danego pracodawcy.

Monitorowany obszar powinien zostać ograniczony również do niezbędnego zasięgu, tak aby przetwarzać dane, które są niezbędne do realizacji celu, w jakim monitoring ten został zastosowany.

Warto podkreślić, że przywołana regulacja daje pracodawcy uprawnienie skorzystania z monitoringu wizyjnego, nie jest to zatem jego obowiązek. Wprowadzenie tej formy monitoringu powinno być poprzedzone wnikliwą analizą jej konieczności, tym samym uznania, że do zapewnienia bezpieczeństwa np. pracownikom, nie można zastosować mniej ingerujących w prywatność środków umożliwiających zapewnienie tego bezpieczeństwa.

Kodeks pracy przewiduje zamknięty katalog sytuacji wprowadzenia tej szczególnej formy przetwarzania danych osobowych. Nie można zatem wykraczać poza jego zakres i stosować to uprawnienie w celu oceny jakości wykonywanej pracy przez pracowników. Narusza to bowiem ich prywatność, a pracownicy mają do niej prawo nawet w miejscu wykonywania swojej pracy.

Pracodawca stosując narzędzia ingerujące w prywatność pracowników musi przestrzegać pewnych zasad i pamiętać, że życie prywatne może rozciągać się na działalność zawodową jednostki.

Udostępniaj nagranie pracownikowi, jeśli otrzymasz takie żądanie

Pracodawca, od którego pracownik domaga się udostępnienia dotyczących go nagrań z monitoringu wizyjnego powinien wziąć pod uwagę to żądanie. Podstawą takiego działania będzie art. 15 ust. 1 RODO. Administrator ma obowiązek udostępnić osobie informacji związanych z przetwarzaniem jej danych osobowych, jak cel przetwarzania, kategorię danych osobowych, odbiorców lub kategorii odbiorców, którym dane osobowe zostały lub zostaną ujawnione, planowanego okresu przechowywania danych osobowych oraz innych informacji wskazanych w przywołanym przepisie.

Należy pamiętać, że zgodnie z art. 15 ust. 1 RODO - Osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące. Administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu (np. kopię nagrań monitoringu). Jeżeli osoba ta zwraca się o kopię drogą elektroniczną, i jeżeli nie zaznaczy inaczej, informacji udziela się w powszechnie stosowanej formie elektronicznej.