Wprowadzenie monitoringu aktywności wykorzystywania komputerów służbowych

Czy pracodawca może wprowadzić monitoring aktywności wykorzystania służbowego komputera (w miejscu pracy), w tym prowadzić szczegółowy wykaz aktywności pracownika w internecie? W jakiej formie można go wdrożyć i jakie czynności muszą być zrealizowane (uzyskanie zgody pracowników, poinformowanie ich o wdrożeniu monitoringu)? Jakie są konsekwencje, ewentualnie kary za nieprzestrzeganie przepisów w tym zakresie?

Pracodawca może wdrożyć monitoring wykorzystania służbowych komputerów pracowników i prowadzić szczegółowy wykaz aktywności w internecie, gdy jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania udostępnionych pracownikowi narzędzi pracy (art. 22³ § 4 K.p.). Zainstalowany monitoring nie może naruszać tajemnicy korespondencji oraz innych dóbr osobistych pracownika.

Ważne: Przy wprowadzaniu monitoringu komputerów służbowych nie jest potrzebna zgoda pracowników; podstawą przetwarzania danych uzyskanych w ten sposób jest art. 22³ § 4 K.p.

Cele, zakres oraz sposób zastosowania monitoringu ustala się w układzie zbiorowym pracy lub w regulaminie pracy albo w obwieszczeniu, jeżeli pracodawca nie jest objęty układem zbiorowym pracy lub nie jest zobowiązany do ustalenia regulaminu pracy (art. 22³ § 4 w zw. z art. 22² § 6 K.p.). Bez względu na to, w którym z ww. dokumentów zapisy o monitoringu będą przygotowywane, muszą odpowiadać zasadom:

zgodności z prawem, rzetelności i przejrzystości,
ograniczenia celu, minimalizacji danych, prawidłowości, ograniczenia przechowywania danych, integralności i poufności oraz rozliczalności (art. 5 w zw. z motywami 39-47, 58 i 60 preambuły RODO).

Treść postanowień w układzie zbiorowym i regulaminie pracy pracodawca musi uzgodnić z zakładową organizacją związkową (art. 104² § 1 i art. 241⁹ § 1 K.p.). Jeśli nie dojdzie do porozumienia ze związkami w ustalonym terminie lub w zakładzie nie ma organizacji związkowej, to w stosunku do regulaminu pracy może podjąć decyzję samodzielnie. Taka możliwość nie istnieje w przypadku układu zbiorowego pracy. Natomiast przy sporządzaniu obwieszczenia pracodawcy przysługuje pełna swoboda decyzyjna.

Pracodawca ma obowiązek poinformować pracowników o wprowadzeniu monitoringu nie później niż 2 tygodnie przed jego uruchomieniem (art. 22³ § 4 w zw. z art. 22² § 7 K.p.). Powinien to uczynić w sposób u niego przyjęty, np. przesyłając informację na służbowe skrzynki e-mailowe pracowników, zamieszczając w intranecie, czy wieszając na tablicy ogłoszeń. Informacja powinna być napisana w sposób przejrzysty, zwięzły, zrozumiały z użyciem jasnego i prostego języka (art. 12 ust. 1 RODO).

Regulacje dotyczące monitoringu wchodzą w życie po upływie 2 tygodni od ich upublicznienia, a w przypadku protokołu dodatkowego do układu zbiorowego - w terminie w nim ustalonym, jednak nie wcześniej niż z dniem zarejestrowania protokołu (art. 22² § 7 w zw. art. 104³ § 1 i art. 241¹² § 1 K.p.).

Pracodawca ma obowiązek:

przekazać na piśmie nowym pracownikom przed dopuszczeniem ich do pracy informacje o celach, zakresie i sposobie monitoringu (dla wypełnienia tego obowiązku powinno wystarczyć poświadczenie przez nowo zatrudnionego pracownika, że zapoznał się z aktualnym regulaminem pracy, w którym funkcjonuje stosowny zapis, przy czym w literaturze można spotkać się z bardziej zdecydowanym stanowiskiem, zalecającym aby informację w omawianej sprawie udostępniać na piśmie każdemu pracownikowi w sposób indywidualny, o czym pisaliśmy w UiPP nr 24/2018, str. 50-51),
oznaczyć monitorowane urządzenia (komputery) w sposób widoczny i czytelny, za pomocą odpowiednich znaków lub ogłoszeń dźwiękowych, nie później niż jeden dzień przed uruchomieniem monitoringu.

Na następnej stronie przedstawiamy przykładową treść regulacji wewnątrzzakładowej.

"(...)

MONITORING KOMPUTERÓW SŁUŻBOWYCH

1. Na podstawie art. 22³ § 4 K.p. w zw. z art. 5 oraz art. 6 ust. 1 lit. c i f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE... (Dz. Urz. UE L 2016.119.1), wprowadza się monitoring służbowych komputerów i służbowej aktywności internetowej pracowników w celu kontroli czasu pracy oraz wykorzystywania połączeń on-line dla celów służbowych.

2. Przez służbowe komputery należy rozumieć stanowiące własność pracodawcy, lecz używane przez pracowników do wykonywania obowiązków wynikających ze stosunków pracy, komputery stacjonarne, komputery przenośne (laptopy), notebooki (np. tablety).

3. Monitoring nie będzie naruszał tajemnicy korespondencji oraz godności i dóbr osobistych pracowników.

4. Dostęp do materiałów z monitoringu będą miały wyłącznie osoby upoważnione do przetwarzania zawartych w nich danych, zobowiązane do zachowania w tajemnicy tych danych.

5. Materiały z monitoringu, w tym raporty aktywności internetowej będą przechowywane nie dłużej niż 1 miesiąc od ich wytworzenia. Po upływie tego okresu materiały będą niszczone w sposób uniemożliwiający ich odtworzenie, o ile nie zaistnieje konieczność ich przechowywania do czasu zakończenia określonego postępowania, w którym będą stanowić dowód.

6. Pracownikowi, którego dane znajdują się w materiałach pozyskanych z monitoringu przysługuje prawo: dostępu do danych, sprostowania i usunięcia danych, ograniczenia przetwarzania danych, przenoszenia danych, wniesienia sprzeciwu.

(...)".

W odpowiedzi na pytanie o konsekwencje naruszenia przepisów o wprowadzeniu monitoringu należy zauważyć, że regulamin pracy wydany przez pracodawcę bez wymaganego uzgodnienia z zakładową organizacją związkową nie ma mocy wiążącej (por. wyrok SN z 21 marca 2001 r., sygn. akt I PKN 320/00, OSNP 2002/24/599). Oznacza to, że jego zmiana polegająca na wprowadzeniu postanowień o monitoringu bez zachowania tego warunku wywoła taki sam skutek. Z kolei zaniechanie obowiązku informacyjnego, czyli niepowiadomienie pracowników o przygotowaniu takich regulacji spowoduje, że nigdy nie wejdą one w życie - termin jest bowiem liczony od dnia podania do wiadomości. Takiego efektu nie wywoła niespełnienie obowiązku informacyjnego o postanowieniach o monitoringu wprowadzonych do układu zbiorowego pracy i obwieszczenia.

Ważne: Naruszenie obowiązków pracodawcy w związku ze stosowaniem monitoringu nie jest wykroczeniem przeciwko prawom pracownika.

Państwowa Inspekcja Pracy może więc jedynie skierować wystąpienie lub wydać pracodawcy polecenie usunięcia naruszeń (art. 11 pkt 8 ustawy z dnia 13 kwietnia 2007 r. o Państwowej Inspekcji Pracy - Dz. U. z 2018 r. poz. 623 z późn. zm.). Kary finansowe może natomiast nałożyć Prezes Urzędu Ochrony Danych Osobowych w razie stwierdzenia naruszenia przepisów o ochronie danych osobowych (art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych - Dz. U. z 2018 r. poz. 1000 z późn. zm.). Ich wysokość zależy od statusu pracodawcy (np. jeśli należy do sektora finansów publicznych, maksymalna kara to 100.000 zł) i rodzaju przewinienia, jeśli kara jest wymierzana na podstawie art. 83 RODO (art. 102 ustawy o ochronie danych osobowych). Oprócz tego pracodawcy, który przetwarza dane osobowe mimo niedopuszczalności lub bez uprawnienia grozi grzywna, ograniczenie wolności albo pozbawienie wolności do 2 lat lub do 3 lat - gdy są to dane wrażliwe (art. 107 ustawy o ochronie...). Niewykluczone są także roszczenia cywilne od pracowników w razie uznania, że doszło do naruszenia ochrony ich danych osobowych lub ponieśli szkodę z tego powodu (art. 92 ustawy o ochronie... w związku z art. 79 i art. 82 RODO).