Jak legalnie monitorować pracowników w UE: Kompletny przewodnik GDPR na 2026 rok

Każdy pracodawca w Europie mierzy się z tym samym napięciem. Chcesz chronić majątek firmy, zapewnić produktywność i zadbać o bezpieczeństwo pracowników. Jednak w momencie wdrożenia narzędzia do śledzenia aktywności pracowników — czy to kamery CCTV w magazynie, oprogramowania monitorującego korzystanie z internetu, czy trackera GPS w pojazdzie służbowym — przetwarzasz dane osobowe zgodnie z RODO. A to oznacza, że obowiązują przepisy.

Unijne ramy ochrony danych nie zakazują monitorowania pracowników. Regulują je. Dokładne zrozumienie, gdzie przebiega ta granica, to nie tylko prawna subtelność — to różnica między inwestycją w bezpieczeństwo, która Cię chroni, a taką, która tworzy odpowiedzialność, skutkuje karami regulacyjnymi i niszczy relacje z pracownikami.

Ten przewodnik wyjaśnia, co przepisy UE dotyczące monitoringu pracowników faktycznie dopuszczają w 2026 roku, jak stosuje się RODO, co różni się w poszczególnych krajach oraz jakie kroki należy podjąć przed uruchomieniem jakiegokolwiek narzędzia monitorującego.

Zrozumienie ram RODO dotyczących monitoringu pracowników

RODO ma zastosowanie zawsze, gdy przetwarzasz dane osobowe — czyli wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Nagrania wideo Twoich pracowników to dane osobowe. Logi przeglądania internetu to dane osobowe. Dane z monitoringu GPS firmowego samochodu dostawczego to dane osobowe. Gdy tylko którekolwiek z nich zostaną zarejestrowane, RODO stosuje się w pełnym zakresie.

Pierwsze pytanie zawsze brzmi: jaka jest podstawa prawna tego przetwarzania?

Wybór właściwej podstawy prawnej

W przypadku monitoringu pracowników najbardziej istotne są trzy podstawy:

Prawnie uzasadniony interes (art. 6 ust. 1 lit. f)) jest najczęściej stosowaną podstawą monitoringu w miejscu pracy. Pozwala na przetwarzanie, gdy jest to niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora — zazwyczaj ochrony mienia, zapobiegania kradzieżom, zapewnienia bezpieczeństwa lub wyjaśniania nieprawidłowości. Jednak prawnie uzasadnione interesy nie są blankietowym zezwoleniem. Należy przeprowadzić test równowagi: czy Twój interes w monitorowaniu przewyższa prawo pracowników do prywatności?

Odpowiedź nie jest taka sama w każdej sytuacji. Monitorowanie magazynu w celu zapobiegania kradzieżom ma większe szanse przejść test niż masowa inwigilacja aktywności klawiatury każdego pracownika. Im bardziej inwazyjny monitoring, tym silniejsze musi być uzasadnienie.

Obowiązek prawny (art. 6 ust. 1 lit. c RODO) ma zastosowanie, gdy monitoring jest wymagany przez prawo — na przykład firmy świadczące usługi finansowe zobowiązane do rejestrowania komunikacji na mocy MiFID II lub przedsiębiorstwa transportowe podlegające przepisom o tachografach.

Zgoda (art. 6 ust. 1 lit. a) jest najmniej zalecaną opcją w kontekście zatrudnienia. Problem ma charakter strukturalny: pracownicy mogą czuć, że nie mogą odmówić zgody bez ryzyka utraty zatrudnienia. Grupa robocza ds. RODO (obecnie EDPB) jednoznacznie stwierdziła, że zgoda uzyskana w takich warunkach raczej nie jest dobrowolna. Traktuj zgodę jako niedostępną dla większości celów monitorowania pracowników.

Zasada proporcjonalności

Poza podstawą prawną RODO wymaga, aby każdy monitoring był proporcjonalny. Oznacza to:

– Monitoring musi faktycznie osiągać swój deklarowany cel

– Musisz zastosować najmniej inwazyjną metodę, która osiąga ten cel

– Nie wolno gromadzić więcej danych niż jest to konieczne

– Monitoring nie może być kontynuowany dłużej, niż jest to rzeczywiście wymagane

Kamera obejmująca cały magazyn jest proporcjonalna w celu zapobiegania kradzieży. Ta sama kamera obejmująca łazienkę pracowniczą nigdy nie jest proporcjonalna. Monitorowanie przeglądania internetu w celu wykrycia nielegalnych pobrań jest proporcjonalne. Rejestrowanie każdego naciśnięcia klawisza w celu sprawdzenia, czy pracownicy są produktywni, prawie na pewno nie jest.

Monitoring CCTV w miejscu pracy: co jest dozwolone, a co nie

Monitoring wizyjny w miejscu pracy jest najczęściej stosowanym narzędziem monitoringu i tym, w którym pracodawcy najczęściej popełniają błędy. Wytyczne EDPB dotyczące nadzoru wizyjnego zapewniają ogólnounijne ramy, choć krajowe wdrożenia wprowadzają istotne różnice.

Gdzie kamery są zazwyczaj dozwolone

Kamery są zazwyczaj akceptowalne w:

– Hale produkcyjne i magazyny — protecting property, monitoring safety

– Punkty wejścia i wyjścia — kontrola dostępu i bezpieczeństwo

– Obszary obsługi klienta — retail floors, reception desks

– Obszary parkingowe i obwód — bezpieczeństwo pojazdów i mienia

– Magazyny i pomieszczenia zapasów — inventory protection

W tych miejscach oczekiwanie prywatności jest niskie i uzasadnione. Pracownicy zatrudnieni w tych obszarach wiedzą, że pracują w środowisku biznesowym, w którym obecność kamer bezpieczeństwa jest czymś naturalnym.

Gdzie kamery są kategorycznie zabronione

Żadna jurysdykcja UE nie zezwala na kamery w:

– Toalety i umywalnie

– Przebieralnie

– Pokoju wypoczynkowego i stołówki

– Miejsca dla palących

– Pomieszczenia socjalne

– Sale spotkań związków zawodowych lub rad pracowniczych

– Każda przestrzeń, w której pracownicy mają uzasadnione oczekiwanie prywatności

Umieszczanie kamer w tych przestrzeniach nie jest naruszeniem technicznym — to fundamentalne naruszenie godności pracownika i zazwyczaj skutkuje działaniami regulacyjnymi oraz znaczącymi szkodami wizerunkowymi, niezależnie od intencji pracodawcy.

Wyjątek dotyczący monitoringu tajnego

Niektórzy pracodawcy zastanawiają się, czy tajne kamery są uzasadnione, gdy podejrzewają niewłaściwe postępowanie. W większości krajów UE ukryty monitoring — kamery umieszczone bez wiedzy pracowników — wymaga szczególnego uzasadnienia:

– Musi istnieć konkretne, udokumentowane podejrzenie poważnego naruszenia

– Zwykły monitoring okazał się niewystarczający

– Monitoring musi być ograniczony czasowo

– Ocena proporcjonalności musi potwierdzić, że jest to jedyna realna opcja

Monitoring ukryty, który staje się narzędziem powszechnego nadzoru, niemal zawsze nie przechodzi testu proporcjonalności. Stwarza również poważne ryzyko: jeśli zostanie wykryty, niszczy zaufanie pracowników, w niektórych jurysdykcjach może stanowić przestępstwo oraz generuje dowody, których sądy mogą odmówić dopuszczenia w postępowaniu dyscyplinarnym.

Dla większości firm ujawniony monitoring jest nie tylko bezpieczniejszy prawnie — działa lepiej. Pracownicy, którzy wiedzą, że kamery są obecne, częściej przestrzegają procedur, dbają o mienie i zachowują się profesjonalnie.

Monitoring poczty e-mail, internetu i komunikacji cyfrowej: gdzie przebiegają granice

Monitorowanie pracowników za pomocą oprogramowania staje się coraz bardziej zaawansowane — i coraz częściej kontrolowane przez organy ochrony danych. Oto jak RODO ma zastosowanie do głównych kategorii.

Monitoring poczty e-mail

Monitoring służbowej poczty elektronicznej znajduje się w szarej strefie, która wymaga ostrożnego poruszania się.

Dozwolone: Monitorowanie metadanych służbowej poczty e-mail — kto wysłał wiadomość, do kogo, kiedy i jak duży był załącznik — jest zasadniczo proporcjonalne do celów bezpieczeństwa IT i zarządzania zasobami. Dane te nie ujawniają treści wiadomości i mają ograniczone implikacje dla prywatności.

Zabronione lub znacznie ograniczone: Czytanie treści prywatnych wiadomości wysyłanych ze służbowego konta e-mail. Jeśli pracownicy używają służbowej poczty do okazjonalnej korespondencji prywatnej (co robi większość, nawet jeśli jest to zabronione przez politykę), możliwość pracodawcy dostępu do tych treści jest znacznie ograniczona. E-mail, który jest wyraźnie prywatny — życzenia urodzinowe, potwierdzenie wizyty lekarskiej — nie może być czytany w ramach rutynowego monitoringu.

Najlepsze praktyki: Wyraźnie zdefiniuj w swojej polityce IT i ochrony danych, co jest, a co nie jest uważane za służbowe dane komunikacyjne, oraz przeszkol menedżerów, aby nie uzyskiwali dostępu do treści prywatnych, nawet gdy pojawiają się one w systemach monitoringu.

Monitoring aktywności internetowej i IT

Monitorowanie przeglądania internetu na urządzeniach firmowych jest dopuszczalne w celu:

– Bezpieczeństwo IT (blokowanie złośliwych stron, wykrywanie złośliwego oprogramowania)

– Zarządzanie przepustowością

– Badanie podejrzeń naruszenia polityki

Nie jest dopuszczalne jako ogólne narzędzie nadzoru produktywności — śledzenie, ile czasu pracownicy spędzają na stronach niezwiązanych z pracą, monitorowanie każdej otwieranej aplikacji lub tworzenie profili indywidualnych zachowań do celów zarządzania wydajnością.

Kluczowe rozróżnienie: Monitoring w celach bezpieczeństwa jest zasadniczo proporcjonalny. Monitoring do zarządzania wydajnością nie jest, chyba że istnieje konkretne, udokumentowane zastrzeżenie dotyczące indywidualnego pracownika i rozważono mniej inwazyjne metody oceny.

Monitorowanie pracowników zdalnych i pracujących w domu

Wzrost pracy zdalnej stworzył nowe pytania dotyczące zgodności. Odpowiedź większości organów ochrony danych — w tym francuskiego CNIL i brytyjskiego ICO — jest spójna: te same zasady dotyczą pracowników zdalnych, co pracowników biurowych.

W szczególności:

– Niedozwolone: Ciągłe zrzuty ekranu, rejestrowanie naciśnięć klawiszy, monitoring kamerki internetowej, oprogramowanie śledzące czas bezczynności minuta po minucie

– Dozwolone: Monitorowanie efektów pracy (zrealizowanych zadań, logów dostępu do systemu, ewidencji czasu pracy na potrzeby płac), narzędzia bezpieczeństwa działające na urządzeniach firmowych

CNIL opublikowała szczegółowe wytyczne dotyczące monitorowania pracy zdalnej we Francji, podkreślając, że ciągła inwigilacja jest nieproporcjonalna niezależnie od tego, czy pracownik pracuje w domu, czy w biurze. Pracodawcy, którzy wdrożyli oprogramowanie do zdalnego monitoringu wykraczające poza rejestrowanie zdarzeń bezpieczeństwa, powinni zweryfikować swoje narzędzia pod kątem zgodności z tym standardem.

Jak różnią się przepisy krajowe w UE

RODO wyznacza minimalny standard we wszystkich 27 państwach członkowskich, ale przepisy krajowe dodają szczegółowe wymagania, które mogą znacząco zmienić Twoje obowiązki w zakresie zgodności.

Kraj	Kluczowy wymóg krajowy
Niemcy	Artykuł 26 BDSG wymaga ścisłej proporcjonalności; prawa współdecydowania rady pracowniczej w zakresie systemów monitoringu; monitoring tajny wyłącznie przy udokumentowanym konkretnym podejrzeniu
Francja	Kodeks pracy + wytyczne CNIL; obowiązkowe konsultacje z radą pracowników przed wprowadzeniem systemów monitoringu; monitoring pracy zdalnej podlega szczególnym ograniczeniom
Polska	Art. 22² Kodeksu pracy ustanawia zamknięty katalog dopuszczalnych celów monitoringu (bezpieczeństwo, mienie, produkcja, poufność); wymagana zgoda rady pracowników; maksymalny okres przechowywania nagrań z monitoringu to 3 miesiące
Holandia	Bardziej rygorystyczne niż w większości krajów UE w zakresie monitoringu zdalnego; rejestrowanie naciśnięć klawiszy i narzędzia do zrzutów ekranu uznawane za nieproporcjonalne bez udokumentowanego uzasadnienia bezpieczeństwa
Belgia	Kodeks karny socjalny rozróżnia dozwolony monitoring metadanych od zabronionego monitoringu treści
Hiszpania	Pracownicy muszą zostać wyraźnie poinformowani o monitoringu poprzez politykę firmy w momencie zatrudnienia

Praktyczne konsekwencje dla firm działających w wielu krajach UE są znaczące: zgodność z RODO w Niemczech nie oznacza zgodności w Polsce. Każde krajowe ramy prawne należy oceniać osobno.

W Wielkiej Brytanii po brexicie standard krajowy wyznacza Kodeks praktyk zatrudnienia Biura Komisarza ds. Informacji (ICO). ICO opublikowało listę kontrolną samooceny CCTV, której brytyjscy pracodawcy mogą użyć do weryfikacji zgodności — jest ona bezpłatnie dostępna na stronie internetowej ICO.

Ocena skutków dla ochrony danych: kiedy musisz ją przeprowadzić

Ocena skutków dla ochrony danych (DPIA) jest wymagana, gdy system monitorowania może skutkować wysokim ryzykiem dla praw i wolności osób. W przypadku większości scenariuszy monitorowania pracowników ten próg zostanie osiągnięty.

DPIA dotycząca monitorowania pracowników powinna dokumentować:

– Konkretny cel i podstawa prawna monitoringu

– Dlaczego monitoring jest niezbędny (i dlaczego odrzucono mniej inwazyjne alternatywy)

– Konieczność i proporcjonalność zbieranych danych

– Jak długo dane są przechowywane i kto ma do nich dostęp

– Jakie zabezpieczenia chronią dane

– W jaki sposób pracownicy są informowani

RODO wymaga przeprowadzenia DPIA przed rozpoczęciem przetwarzania. Wykonanie jej po wdrożeniu systemu monitoringu mija się z celem — powinna informować Twoją decyzję o wdrożeniu, a nie uzasadniać ją po fakcie.

Co musisz przekazać swoim pracownikom

Przejrzystość nie jest opcjonalna. Przed wprowadzeniem jakiegokolwiek monitoringu pracownicy muszą zostać poinformowani o:

– Rodzaj stosowanego monitoringu (CCTV, monitoring oprogramowania, GPS itp.)

– Cel monitoringu

– Jak długo przechowywane są nagrania i dane

– Kto może uzyskać dostęp do danych

– Co mogą zrobić, jeśli mają zastrzeżenia

Informacje te należy przekazać w formie pisemnej — w klauzuli umowy o pracę, polityce IT i ochrony danych lub w obu tych dokumentach. Ustne poinformowanie na spotkaniu zespołu jest niewystarczające.

W niektórych krajach ten wymóg ujawnienia ma określone formy prawne:

– Niemcy: Przed wprowadzeniem jakiegokolwiek systemu monitoringu należy skonsultować się z radą pracowników

– Francja: Wewnętrzna polityka ochrony danych musi zostać opublikowana, a rada zakładowa skonsultowana

– Polska: Monitoring musi być określony w regulaminie pracy, a zgoda rady zakładowej uzyskana

Brak informowania pracowników to jedno z najczęstszych naruszeń RODO w kontekście zatrudnienia — i jedno z najłatwiejszych do uniknięcia.

Przechowywanie danych: jedno z największych naruszeń zgodności

Retencja danych to obszar, w którym wiele firm nie spełnia wymogów, a na którym organy regulacyjne coraz częściej skupiają swoją uwagę.

Zasada jest prosta: danych osobowych nie można przechowywać dłużej, niż jest to konieczne. W przypadku większości systemów CCTV i monitoringu oznacza to:

– Nagrania z monitoringu CCTV: 30 dni lub krócej to praktyczny standard. Przechowywanie nagrań przez 6–12 miesięcy „na wszelki wypadek” jest niezgodne z prawem, chyba że istnieje konkretny, udokumentowany powód.

– Logi e-mail i internetu: Przechowuj tylko tak długo, jak wymaga tego konkretny cel bezpieczeństwa lub zarządzania. Rutynowe logi starsze niż 90 dni są trudne do uzasadnienia.

– Dane z trackingu GPS: Usuń, gdy cel zostanie osiągnięty, chyba że dane są potrzebne do konkretnego celu (spór, dochodzenie).

Automatyczne usuwanie to najbardziej niezawodny sposób zapewnienia zgodności z zasadami przechowywania danych. Skonfigurowanie systemów tak, aby nadpisywały lub usuwały nagrania w cyklu kroczącym co 30 dni, eliminuje ryzyko bezterminowego przechowywania i pokazuje, że poważnie traktujesz zasadę niezbędności.

Prawa pracowników w warunkach monitoringu

Nawet gdy monitoring jest całkowicie zgodny z prawem, pracownicy zachowują prawa, które musisz respektować:

Prawo dostępu: Pracownicy mogą złożyć wniosek o dostęp do danych osobowych (DSAR), aby uzyskać kopie nagrań i danych, w których występują. Musisz odpowiedzieć w ciągu miesiąca. Jeśli nagranie obejmuje inne osoby, przed ujawnieniem może być konieczne ich rozmycie lub zanonimizowanie.

Prawo do usunięcia danych: Gdy cel monitoringu został zrealizowany i nie ma dalszej podstawy prawnej do przechowywania danych, pracownicy mogą zażądać usunięcia.

Prawo do sprzeciwu: Pracownicy mogą zgłaszać sprzeciw wobec monitoringu, który uznają za nieproporcjonalny. Musisz być w stanie wykazać, że monitoring jest niezbędny i proporcjonalny — jeśli nie możesz, może być konieczna jego modyfikacja lub rezygnacja z niego.

Prawo do bycia wysłuchanym: W postępowaniu dyscyplinarnym opartym na dowodach z monitoringu pracownicy mają prawo wglądu w dowody przeciwko nim i prawo do odpowiedzi.

Konsekwencje błędów

Działania egzekucyjne organów ochrony danych w całej UE znacznie się nasiliły od czasu wejścia w życie RODO, a sprawy dotyczące monitorowania pracowników stanowią znaczącą część działań egzekucyjnych.

Najczęstsze naruszenia prowadzące do działań regulacyjnych:

– Kamery umieszczone w obszarach zabronionych (toalety, przebieralnie)

– Nagrania przechowywane dłużej niż to konieczne

– Pracownicy nieinformowani o monitoringu

– Monitoring ukryty stosowany jako narzędzie ogólne, a nie wyjątek ukierunkowany

– Systemy monitoringu wdrożone bez uprzedniej oceny proporcjonalności

Kary na mocy RODO mogą sięgać do 20 mln EUR lub 4% globalnego rocznego obrotu, w zależności od tego, która kwota jest wyższa. W praktyce skargi pracowników dotyczące ochrony danych mogą wywołać postępowania, których rozwiązanie jest kosztowne i szkodzi reputacji pracodawcy.

Co być może najistotniejsze, dowody uzyskane w wyniku nielegalnego monitorowania mogą być niedopuszczalne w postępowaniach przed sądem pracy. Pracodawca, który zwolnił pracownika na podstawie potajemnie nagranego materiału wideo, co do którego sąd uzna, że został uzyskany w sposób nieproporcjonalny, stanie w obliczu nie tylko roszczenia o bezprawne zwolnienie, ale także szkody wizerunkowej wykraczającej daleko poza postępowanie sądowe.

Budowanie zgodnego z przepisami programu monitoringu

Zgodny z prawem program monitoringu pracowników nie powstaje po zainstalowaniu kamer — projektuje się go wcześniej. Oto kolejność działań:

1. Zdefiniuj problem, który rozwiązujesz. Nieprecyzyjne cele („produktywność”, „bezpieczeństwo”) nie są wystarczające. Bądź konkretny: „zapobieganie kradzieży zapasów z magazynu”, „zapewnienie zgodności z protokołami BHP w obszarze produkcyjnym”.

2. Wybierz najmniej inwazyjną metodę, która osiąga cel. Jeśli ogrodzenie, lepsze oświetlenie i lepsza kontrola zapasów mogą rozwiązać problem kradzieży, nie można od razu przechodzić do kamer.

3. Przeprowadź test równowagi. Udokumentuj, dlaczego Twój uzasadniony interes przewyższa prywatność pracowników. Im bardziej inwazyjny monitoring, tym silniejsze musi być uzasadnienie.

4. Przeprowadź DPIA przed wdrożeniem systemu monitoringu.

5. Informuj pracowników in writing before monitoring begins.

6. Skonfiguruj automatyczne usuwanie to enforce retention limits.

7. Ogranicz dostęp do nagrań i danych z monitoringu tym, którzy naprawdę ich potrzebują.

8. Przeglądaj okresowo. Czy monitoring jest nadal niezbędny? Czy równowaga się zmieniła?

Lista kontrolna dla poszczególnych krajów

Przed wdrożeniem jakiegokolwiek narzędzia monitorującego w nowym kraju UE zweryfikuj:

– [ ] Niemcy: Wymagana konsultacja z radą zakładową; test proporcjonalności zgodnie z § 26 BDSG; tajny monitoring tylko przy udokumentowanym podejrzeniu

– [ ] Francja: Konsultacja z radą pracowników; zgłoszenie do CNIL; opublikowana polityka wewnętrzna; monitoring zdalny podlega szczególnym ograniczeniom

– [ ] Polska: Zamknięty ustawowy wykaz dopuszczalnych celów; zgoda rady pracowników; monitoring wizyjny – maksymalny okres przechowywania 3 miesiące; obowiązkowe w regulaminie pracy

– [ ] Holandia: Każdy przypadek użycia monitoringu oceniany indywidualnie; monitoring zdalny szczególnie ograniczony; wysoki próg dla monitoringu produktywności

– [ ] Belgia: Rozróżnienie między metadanymi a monitorowaniem treści; konsultacja z radą pracowników w sprawie monitoringu elektronicznego

– [ ] Wielka Brytania (po Brexicie): ICO Employment Practices Code; DPIA before deployment; CCTV self-assessment checklist available on ICO website

Firmom działającym w wielu jurysdykcjach UE zdecydowanie zaleca się zaangażowanie lokalnego prawnika specjalizującego się w prawie pracy lub konsultanta ds. ochrony danych przed wprowadzeniem systemów monitoringu. Koszt takiej porady to ułamek kosztów postępowania regulacyjnego.

Gotowy do przeglądu obecnych systemów monitoringu lub wdrożenia nowych zgodnie z przepisami? Skontaktuj się z nami już dziś aby zapoznać się z naszą ofertą kamer bezpieczeństwa do miejsc pracy z certyfikatem CE — zaprojektowanych dla firm, które poważnie traktują zarówno bezpieczeństwo, jak i ochronę danych.

---

Często zadawane pytania

Czy RODO ma zastosowanie do monitorowania pracowników w UE?

Tak, w pełni. Nagrania CCTV, dane z trackingu GPS, logi e-mail, historia przeglądania internetu oraz wszelkie inne informacje, które mogą zidentyfikować indywidualnego pracownika, są danymi osobowymi w rozumieniu RODO. Każda czynność monitorująca wymaga podstawy prawnej (zazwyczaj uzasadnionego interesu), musi być proporcjonalna i musi jej towarzyszyć przejrzyste ujawnienie pracownikom.

Gdzie w UE mogę legalnie umieścić kamery CCTV w miejscu pracy?

Kamery są zasadniczo dozwolone w obszarach produkcyjnych, magazynach, punktach wejścia i wyjścia, przestrzeniach obsługi klienta oraz na parkingach. Są zabronione w toaletach, szatniach, pokojach socjalnych, palarniach i wszelkich przestrzeniach, w których pracownicy mają uzasadnione oczekiwanie prywatności. Przepisy krajowe w Niemczech, Francji i Polsce nakładają dodatkowe ograniczenia, a niektóre kraje wymagają konsultacji z radą zakładową lub przedstawicielami pracowników przed instalacją kamer.

Jak długo mogę przechowywać nagrania z monitoringu wizyjnego zgodnie z RODO?

RODO wymaga, aby nagrania nie były przechowywane dłużej niż to konieczne. Dla większości firm 30 dni to praktyczny i możliwy do obrony standard. Przechowywanie nagrań przez 6–12 miesięcy bez konkretnego, udokumentowanego powodu prawdopodobnie zostanie uznane za nadmierne i niezgodne z przepisami. Automatyczne usuwanie w cyklu kroczącym to najbardziej niezawodny sposób wykazania zgodności.

Czy potrzebuję zgody pracownika na monitoring w miejscu pracy?

Zgoda zasadniczo nie jest zalecana jako podstawa prawna monitorowania pracowników. W kontekście zatrudnienia zgoda może nie być dobrowolna, ponieważ pracownicy mogą czuć, że nie mogą odmówić bez konsekwencji. Zamiast tego należy stosować uzasadniony interes, poparty udokumentowanym testem równowagi. Tam, gdzie zgoda ma znaczenie — na przykład przy monitorowaniu urządzeń prywatnych w ramach ustaleń BYOD — musi być autentyczna i dobrowolna.

Czym jest DPIA i kiedy jest wymagana przy monitoringu pracowników?

Ocena skutków dla ochrony danych to udokumentowana ocena ryzyka, jakie system monitoringu stwarza dla prywatności pracowników. Jest wymagana, gdy monitorowanie może skutkować wysokim ryzykiem dla praw i wolności osób. W przypadku większości istotnych wdrożeń monitoringu — nowych systemów CCTV, oprogramowania do monitorowania poczty e-mail, programów śledzenia GPS — DPIA należy przeprowadzić przed rozpoczęciem monitorowania.

Czy mogę używać ukrytych (tajnych) kamer do monitorowania pracowników?

W większości krajów UE monitoring ukryty wymaga wyjątkowego uzasadnienia: konkretnego podejrzenia poważnego naruszenia, ustalenia, że mniej inwazyjne alternatywy nie zadziałają, oraz ograniczonego czasowo zakresu. Powszechny nadzór w miejscu pracy prowadzony w tajemnicy niemal zawsze nie przechodzi testu proporcjonalności. Nawet gdy monitoring ukryty jest uzasadniony, należy go regularnie weryfikować i zakończyć, gdy tylko postępowanie wyjaśniające zostanie zakończone.

Czy pracownicy mają dostęp do nagrań CCTV ze swoim udziałem?

Tak. Pracownicy mogą złożyć wniosek o dostęp do danych osobowych (DSAR), aby uzyskać nagrania, na których się pojawiają. Musisz odpowiedzieć w ciągu jednego miesiąca. Jeśli nagranie zawiera inne możliwe do zidentyfikowania osoby, przed ujawnieniem należy rozmyć lub zredagować ich wizerunki. Odmowa lub opóźnienie uzasadnionego DSAR samo w sobie stanowi naruszenie RODO.