Czy pracodawca może czytać maile i kontrolować komputer pracownika?

Pracodawca może kontrolować służbową pocztę i sposób korzystania z firmowego komputera, ale nie otrzymuje przez to nieograniczonego prawa do czytania wszystkich wiadomości i obserwowania każdej czynności pracownika. Monitoring musi mieć konkretny cel, być niezbędny i proporcjonalny, a pracownik musi zostać wcześniej poinformowany o jego zakresie oraz sposobie działania. Inaczej ocenia się zapis godziny logowania lub listy używanych programów, a inaczej regularne czytanie treści maili, wykonywanie zrzutów ekranu albo rejestrowanie klawiatury. Prywatna korespondencja pozostaje chroniona także wtedy, gdy pracownik korzysta ze służbowego komputera.

Najważniejsze informacje

1. Pracodawca może monitorować służbową pocztę tylko wtedy, gdy jest to niezbędne do organizacji pracy, pełnego wykorzystania czasu pracy albo właściwego korzystania z powierzonych narzędzi.
2. Kontrola nie może naruszać tajemnicy korespondencji, prywatności, godności ani innych dóbr osobistych pracownika.
3. Sprawdzanie danych technicznych i przepływu wiadomości jest mniej inwazyjne niż czytanie ich treści. Dostęp do treści wymaga szczególnie mocnego uzasadnienia.
4. Pracodawca nie może czytać prywatnej skrzynki pracownika tylko dlatego, że została otwarta na firmowym komputerze.
5. Monitoring internetu, używanych programów, plików, nośników USB, logowań i aktywności systemowej również podlega zasadom Kodeksu pracy i RODO.
6. Zrzuty ekranu, rejestrowanie klawiatury, ciągłe mierzenie aktywności i nagrywanie obrazu z kamery są szczególnie inwazyjne. W wielu przypadkach trudno będzie wykazać ich niezbędność i proporcjonalność.
7. Cel, zakres i sposób monitoringu trzeba określić w układzie zbiorowym, regulaminie pracy albo obwieszczeniu. Pracowników należy poinformować co najmniej dwa tygodnie przed uruchomieniem systemu.
8. Samo poinformowanie pracownika nie legalizuje nadmiernej kontroli. Pracodawca nadal musi wykazać podstawę prawną, konieczność, ograniczenie zakresu i odpowiednie zabezpieczenia.
9. System monitorujący czas pracy oraz przepływ informacji w poczcie i internecie wymaga oceny skutków dla ochrony danych zgodnie z aktualnymi wskazówkami UODO.
10. Zgoda pracownika nie jest standardową podstawą monitoringu. Zgodnie z aktualnym stanowiskiem UODO pracodawca powinien przeanalizować prawnie uzasadniony interes i przeprowadzić test równowagi.

Zapraszamy do współpracy

Szczegółowe informacje o ofercie i warunkach współpracy można uzyskać telefonicznie lub wysyłając zapytanie za pomocą formularza kontaktowego.

BPPZ – Biuro Porad Prawnych Zacharski

– Chcesz wdrożyć monitoring pracowników zgodnie z prawem?

• +48 600 784 526
• kontakt@bppz.pl

Zadzwoń Napisz wiadomość

Czy pracodawca może kontrolować służbową pocztę pracownika?

Tak, ale tylko w granicach określonych prawem. Artykuł 22³ Kodeksu pracy pozwala wprowadzić kontrolę służbowej poczty elektronicznej, jeżeli jest ona niezbędna do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania narzędzi przekazanych pracownikowi.

Przepis nie tworzy ogólnego uprawnienia do przeglądania wszystkich skrzynek. Pracodawca powinien najpierw ustalić konkretny problem, który chce rozwiązać. Może nim być na przykład zapewnienie ciągłości obsługi klientów, ochrona firmowych informacji, wykrywanie niebezpiecznych załączników, ograniczenie wysyłania dokumentów poza organizację albo sprawdzenie, czy służbowe konto jest używane zgodnie z przeznaczeniem.

Samo stwierdzenie, że komputer i skrzynka należą do firmy, nie wystarcza. Własność sprzętu nie uchyla prawa pracownika do prywatności i tajemnicy korespondencji. Monitoring powinien być zaprojektowany tak, aby pracodawca otrzymywał tylko informacje potrzebne do zadeklarowanego celu.

Przed uruchomieniem kontroli warto przeprowadzić audyt RODO, który obejmie regulacje wewnętrzne, konfigurację poczty, uprawnienia administratorów, logi, retencję oraz rzeczywisty sposób korzystania z narzędzi przez zespół.

Czy pracodawca może czytać treść maili pracownika?

Nie powinien traktować dostępu do treści jako zwykłego elementu nadzoru. Czytanie wiadomości jest znacznie bardziej inwazyjne niż sprawdzanie danych technicznych, takich jak godzina wysłania, adres firmowy odbiorcy, wielkość załącznika albo liczba wiadomości.

Europejski Trybunał Praw Człowieka w sprawie Bărbulescu przeciwko Rumunii wskazał, że przy ocenie monitoringu trzeba rozróżnić kontrolę przepływu komunikacji od dostępu do jej treści. Dostęp do treści wymaga poważniejszego uzasadnienia. Należy również sprawdzić, czy celu nie dało się osiągnąć za pomocą mniej inwazyjnego rozwiązania.

W praktyce pracodawca powinien stosować model stopniowy.

1. Najpierw ustala, czy wystarczy analiza danych technicznych, alertów bezpieczeństwa albo statystyk zbiorczych.
2. Jeżeli pojawi się konkretny incydent, ogranicza kontrolę do wskazanego konta, okresu, rodzaju wiadomości lub odbiorcy.
3. Dostęp do treści dopuszcza tylko wtedy, gdy jest rzeczywiście potrzebny i został przewidziany w zasadach monitoringu.
4. Dostęp powierza wyłącznie upoważnionym osobom, na przykład wyznaczonemu administratorowi, osobie z compliance albo członkowi zespołu prowadzącego postępowanie wyjaśniające.
5. Dokumentuje powód, zakres, datę, osoby uzyskujące dostęp oraz sposób wykorzystania wyników.

Regularne i niezróżnicowane czytanie całych skrzynek pocztowych wszystkich pracowników będzie bardzo trudne do pogodzenia z zasadą minimalizacji i tajemnicą korespondencji. Jeżeli organizacja potrzebuje uporządkować dostęp do poczty, obieg informacji oraz wewnętrzne postępowania wyjaśniające, rozwiązaniem może być projektowe doradztwo prawne BPPZ.

Czy pracodawca może wejść na prywatną skrzynkę otwartą na służbowym komputerze?

Nie. Poradnik UODO dotyczący ochrony danych w miejscu pracy wyraźnie odróżnia służbową skrzynkę od prywatnej poczty pracownika. Pracodawca nie może otwierać prywatnego konta, czytać znajdujących się na nim wiadomości ani przejmować danych logowania tylko dlatego, że pracownik korzystał z firmowego urządzenia.

Firma może wprowadzić zakaz używania prywatnej poczty na sprzęcie służbowym, zablokować określone serwisy albo rejestrować połączenia z usługami internetowymi, jeżeli spełnia warunki monitoringu. Nie oznacza to jednak prawa do poznania treści prywatnej korespondencji.

Jeżeli narzędzie bezpieczeństwa ujawni, że pracownik otworzył prywatną skrzynkę, pracodawca powinien ograniczyć dalsze przetwarzanie. System nie powinien zapisywać hasła, treści wiadomości, prywatnych załączników ani formularzy wpisywanych na stronie. Właściwą reakcją może być zastosowanie reguły blokującej usługę, a nie przejęcie prywatnego konta.

Co z prywatną wiadomością wysłaną ze służbowej skrzynki?

Służbowy adres powinien być wykorzystywany zgodnie z zasadami obowiązującymi w organizacji. Jeżeli pracodawca dopuszcza incydentalny użytek prywatny, powinien określić jego granice i sposób oznaczania wiadomości. Dobrym rozwiązaniem może być umieszczanie prywatnych wiadomości w wydzielonym folderze lub oznaczanie ich jako prywatne.

Jeżeli podczas legalnej kontroli pracodawca rozpozna, że wiadomość ma charakter prywatny, powinien przerwać zapoznawanie się z jej treścią, chyba że zachodzi wyjątkowa i odpowiednio udokumentowana sytuacja wymagająca dalszych działań na podstawie prawa. Sam zakaz prywatnego używania poczty nie usuwa automatycznie ochrony tajemnicy korespondencji.

Regulamin powinien odpowiadać na pytanie, czy prywatne korzystanie ze skrzynki jest dozwolone, jak oznaczać taką korespondencję, w jaki sposób działa monitoring oraz kto może uzyskać dostęp do wiadomości. Przygotowanie spójnych zasad może stanowić część wdrożenia RODO w firmie.

Czy pracodawca może sprawdzać historię przeglądania?

Kontrola korzystania z internetu może zostać uznana za inną formę monitoringu, o której mowa w art. 22³ § 4 Kodeksu pracy. Musi więc realizować te same cele co monitoring służbowej poczty i spełniać wymagania dotyczące niezbędności, proporcjonalności oraz uprzedniego poinformowania.

Zakres danych ma podstawowe znaczenie. Informacja, że komputer połączył się z domeną serwisu rozrywkowego, jest mniej ingerująca w prywatność niż zapis pełnego adresu strony, treści wyszukiwanych haseł, formularzy, wiadomości i danych wprowadzanych przez użytkownika. Pełny adres strony może ujawniać informacje o zdrowiu, poglądach, przynależności związkowej, sytuacji rodzinnej albo problemach prawnych pracownika.

Jeżeli celem jest ograniczenie dostępu do niebezpiecznych lub niedozwolonych serwisów, pracodawca powinien najpierw rozważyć filtrowanie kategorii stron, blokowanie znanych zagrożeń oraz alerty o naruszeniu polityki. Ciągłe tworzenie szczegółowego profilu aktywności każdej osoby może być nadmierne, jeżeli ten sam cel da się osiągnąć za pomocą mniej inwazyjnych środków.

Jakie dane z komputera może kontrolować pracodawca?

Zakres zależy od celu, rodzaju pracy i ryzyka. Monitoring może obejmować między innymi:

1. godziny logowania i wylogowania;
2. dostęp do firmowych systemów i plików;
3. uruchamiane aplikacje;
4. instalowanie niezatwierdzonego oprogramowania;
5. podłączanie nośników USB;
6. przesyłanie plików poza organizację;
7. próby wejścia na zablokowane strony;
8. zdarzenia wykrywane przez program antywirusowy, system EDR lub narzędzie DLP;
9. użycie kont z uprawnieniami administratora;
10. nietypowe logowania, masowe kopiowanie danych albo omijanie zabezpieczeń.

Każda z tych informacji może stanowić dane osobowe, jeżeli można ją powiązać z konkretnym pracownikiem. Wdrożenie narzędzia pod nazwą bezpieczeństwo IT nie powoduje, że przestają obowiązywać zasady ochrony danych.

Pracodawca powinien ustalić, które zdarzenia są potrzebne, kto je przegląda, jakie alerty są automatyczne, jak długo przechowuje się logi i kiedy informacja może zostać użyta wobec pracownika. Weryfikację technicznych zabezpieczeń można połączyć z audytem RODO i bezpieczeństwa informacji.

Czy pracodawca może robić zrzuty ekranu?

Automatyczne wykonywanie zrzutów ekranu co kilka minut jest bardzo inwazyjne. Taki system może zapisywać treść maili, dane klientów, hasła jednorazowe, informacje medyczne, prywatne wiadomości, rozmowy ze związkiem zawodowym albo korespondencję z prawnikiem.

Nie można uznać, że zrzuty ekranu są dozwolone wyłącznie dlatego, że pracownik został o nich poinformowany. Pracodawca musiałby wykazać konkretny cel, brak wystarczających rozwiązań mniej ingerujących w prywatność, ograniczenie czasu i zakresu, krótki okres przechowywania, ścisłą kontrolę dostępu oraz odpowiednie zabezpieczenia.

W typowej pracy biurowej ciągłe zrzuty ekranu służące ogólnej ocenie wydajności mogą być nieproporcjonalne. Zamiast nich warto oceniać rezultaty pracy, terminy, jakość obsługi albo wykonanie przypisanych zadań. Jeżeli zrzut jest potrzebny do udokumentowania konkretnego incydentu technicznego, powinien obejmować wyłącznie niezbędny zakres.

Czy można rejestrować klawiaturę i ruchy myszy?

Rejestrowanie każdego naciśnięcia klawisza może ujawnić hasła, treść niewysłanych wiadomości, dane logowania, numery dokumentów oraz informacje wpisywane do prywatnych formularzy. Pomiar ruchów myszy lub liczby kliknięć może z kolei tworzyć pozorny obraz produktywności, który nie uwzględnia rodzaju wykonywanej pracy.

Takie rozwiązania należą do najbardziej ingerujących form monitoringu i w zwykłych warunkach będzie bardzo trudno wykazać, że są konieczne. Jeżeli celem jest ochrona danych, lepszym rozwiązaniem mogą być kontrola uprawnień, dzienniki dostępu, blokowanie nośników, alerty o masowym kopiowaniu, szyfrowanie oraz zatwierdzony obieg plików.

Jeżeli firma rozważa keylogger, ciągłe mierzenie aktywności lub podobne narzędzie, powinna przed zakupem przeprowadzić analizę prawną, test równowagi, ocenę ryzyka oraz analizę konieczności wykonania DPIA. Samo podpisanie umowy z dostawcą aplikacji nie rozwiązuje problemu legalności monitoringu.

Czy pracodawca może obserwować pracownika przez kamerę lub mikrofon komputera?

Ciągłe uruchamianie kamery albo mikrofonu w celu obserwowania pracownika jest szczególnie poważną ingerencją w prywatność. W przypadku pracy zdalnej system może obejmować również domowników i przestrzeń prywatnego mieszkania.

Monitoring obrazu podlega odrębnym warunkom wynikającym z art. 22² Kodeksu pracy. Nie należy utożsamiać go z techniczną kontrolą komputera. Szczegółowe zasady dotyczące kamer opisuje publikacja BPPZ Monitoring wizyjny a RODO.

Mikrofon nie powinien działać w tle bez wiedzy pracownika. Nagrywanie rozmów może obejmować osoby trzecie, informacje poufne i dane szczególnej kategorii. Jeżeli firma potrzebuje rejestrować konkretne spotkanie, musi osobno ustalić cel, podstawę, zakres informacji, odbiorców oraz retencję nagrania.

Monitoring pracownika podczas pracy zdalnej

Praca zdalna nie znosi prawa pracownika do prywatności. Jeżeli firma instaluje oprogramowanie na służbowym laptopie używanym w domu, nadal stosuje art. 22³ Kodeksu pracy, RODO i zasadę proporcjonalności.

Szczególnego znaczenia nabiera rozdzielenie aktywności zawodowej od prywatnej. System nie powinien działać poza czasem pracy, przejmować obrazu z prywatnych kamer, skanować domowej sieci ani zbierać danych o innych użytkownikach urządzenia. Jeżeli praca odbywa się na prywatnym komputerze, bezpieczniejszym rozwiązaniem jest wydzielony profil służbowy, wirtualne środowisko albo dostęp do firmowych zasobów przez kontrolowany kanał.

Szersze zasady organizacji pracy poza siedzibą firmy zostały opisane w artykule Praca zdalna a RODO. Nowy system monitorowania pracy zdalnej powinien zostać oceniony przed instalacją, a nie dopiero po skardze pracownika.

Czy pracownik musi wyrazić zgodę na monitoring?

Nie jest to standardowe rozwiązanie. W relacji pracowniczej występuje nierównowaga, dlatego trudno uznać, że odmowa zgody zawsze pozostaje bez konsekwencji. Zgoda może więc nie spełniać warunku dobrowolności wymaganego przez RODO.

W aktualnym stanowisku dotyczącym podstaw monitoringu UODO wskazuje art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadniony interes pracodawcy. Skorzystanie z tej podstawy wymaga przeprowadzenia testu równowagi. Pracodawca musi opisać swój interes, konieczność monitoringu, wpływ na pracownika, jego racjonalne oczekiwania oraz zabezpieczenia ograniczające ingerencję.

Brak zgody pracownika nie blokuje monitoringu, jeżeli został on legalnie wdrożony. Jednocześnie podpis pracownika pod informacją nie oznacza zgody na dowolną kontrolę. Najczęściej potwierdza jedynie otrzymanie dokumentu.

Praktyczne podejście do oceny zagrożeń opisuje poradnik BPPZ Analiza ryzyka RODO krok po kroku.

Jak prawidłowo poinformować pracowników?

Kodeks pracy wymaga określenia celu, zakresu i sposobu monitoringu w układzie zbiorowym pracy, regulaminie pracy albo obwieszczeniu, jeżeli pracodawca nie jest objęty układem i nie musi posiadać regulaminu.

Pracowników trzeba poinformować o wprowadzeniu monitoringu w sposób przyjęty w organizacji nie później niż dwa tygodnie przed jego uruchomieniem. Nowy pracownik powinien otrzymać pisemną informację przed dopuszczeniem do pracy.

Dokument powinien wyjaśniać co najmniej:

1. po co firma stosuje monitoring;
2. kogo obejmuje system;
3. jakie urządzenia, konta i aplikacje są kontrolowane;
4. jakie dane są zapisywane;
5. czy kontrola obejmuje treść komunikacji;
6. kiedy system działa;
7. kto może przeglądać wyniki;
8. jak długo przechowywane są dane;
9. w jakich sytuacjach wyniki mogą zostać wykorzystane;
10. jakie prawa przysługują pracownikowi;
11. jak skontaktować się z administratorem i IOD;
12. czy dane są przekazywane dostawcy systemu lub poza Europejski Obszar Gospodarczy.

Informacja wynikająca z Kodeksu pracy nie zastępuje klauzuli wymaganej przez art. 13 RODO. Pomocny może być poradnik BPPZ Obowiązek informacyjny RODO, który wyjaśnia zakres informacji oraz zasady przejrzystego komunikowania celów, podstaw i okresów przechowywania.

Czy monitoring wymaga oceny skutków dla ochrony danych?

Zależy to od projektu systemu, ale część rozwiązań podlega temu obowiązkowi wprost. UODO w poradniku dotyczącym DPIA wskazuje, że wdrożenie systemu monitorowania czasu pracy oraz przepływu informacji w poczcie elektronicznej i internecie wymaga przeprowadzenia oceny skutków dla ochrony danych. Inne narzędzia trzeba ocenić przed uruchomieniem pod kątem charakteru, zakresu, kontekstu, celu i prawdopodobieństwa wystąpienia wysokiego ryzyka.

DPIA powinna opisywać planowany system, jego cel, źródła danych, zakres monitorowanych osób, okres przechowywania, odbiorców, dostawcę technologii, ryzyka dla pracowników oraz środki ograniczające te ryzyka.

Ocena jest szczególnie ważna, gdy system:

1. działa stale;
2. obejmuje dużą liczbę pracowników;
3. łączy dane z poczty, aplikacji, internetu i kontroli dostępu;
4. tworzy profile produktywności;
5. automatycznie wskazuje osoby do kontroli;
6. wykonuje zrzuty ekranu lub rejestruje klawiaturę;
7. wpływa na ocenę, premię lub zatrudnienie;
8. wykorzystuje nowe albo szczególnie inwazyjne technologie.

Jeżeli po zastosowaniu zabezpieczeń nadal występuje wysokie ryzyko, przed rozpoczęciem przetwarzania może być konieczna konsultacja z Prezesem UODO na zasadach określonych w art. 36 RODO.

Zapraszamy do współpracy

Szczegółowe informacje o ofercie i warunkach współpracy można uzyskać telefonicznie lub wysyłając zapytanie za pomocą formularza kontaktowego.

BPPZ – Biuro Porad Prawnych Zacharski

– Chcesz wdrożyć monitoring pracowników zgodnie z prawem?

• +48 600 784 526
• kontakt@bppz.pl

Zadzwoń Napisz wiadomość

Jak długo można przechowywać dane z monitoringu komputera?

Kodeks pracy nie wskazuje jednego terminu dla logów poczty, historii stron, zdarzeń systemowych i zrzutów ekranu. Trzymiesięczny termin przewidziany dla nagrań z monitoringu wizyjnego nie powinien być automatycznie przenoszony na monitoring poczty i komputera.

Okres trzeba ustalić na podstawie celu, ryzyka i czasu potrzebnego do wykrycia zdarzenia. Dane nie powinny być przechowywane bezterminowo tylko dlatego, że dostawca zapewnia dużą przestrzeń dyskową.

Pracodawca powinien rozdzielić:

1. logi techniczne potrzebne do bieżącego bezpieczeństwa;
2. alerty wymagające weryfikacji;
3. materiał dotyczący potwierdzonego incydentu;
4. dokumentację postępowania wyjaśniającego;
5. dane statystyczne, które można skutecznie zanonimizować.

Jeżeli określony zapis może stanowić dowód w postępowaniu, jego przechowywanie może zostać przedłużone w odpowiednim zakresie. Taka decyzja powinna zostać udokumentowana, a dostęp ograniczony. Po ustaniu celu dane trzeba usunąć albo skutecznie zanonimizować.

Kto może przeglądać wyniki monitoringu?

Dostęp nie powinien przysługiwać każdemu przełożonemu ani całemu działowi IT. Role należy rozdzielić zgodnie z zakresem obowiązków.

Administrator techniczny może utrzymywać system bez prawa do swobodnego czytania wiadomości. Przełożony może otrzymywać informacje o realizacji zadań bez dostępu do pełnych logów bezpieczeństwa. Zespół prowadzący postępowanie wyjaśniające powinien uzyskać tylko dane dotyczące konkretnej sprawy.

System powinien rejestrować, kto, kiedy i w jakim celu uzyskał dostęp do wyników. Należy stosować indywidualne konta, uwierzytelnianie wieloskładnikowe, okresowe przeglądy uprawnień oraz procedurę ich odbierania.

Jeżeli narzędzie obsługuje zewnętrzny dostawca, trzeba ustalić jego rolę, zawrzeć właściwą umowę, sprawdzić podwykonawców, miejsce przechowywania danych i zasady transferów. Weryfikację można oprzeć na wskazówkach z artykułu Jak wybrać podmiot przetwarzający dane.

Czy wyniki monitoringu można wykorzystać wobec pracownika?

Wyniki mogą zostać wykorzystane do celu, dla którego system został legalnie wprowadzony. Jeżeli monitoring miał chronić firmowe dane, alert o masowym kopiowaniu plików może uzasadniać postępowanie wyjaśniające. Jeżeli system miał zapewniać właściwe korzystanie z narzędzi, informacja o instalacji niezatwierdzonego programu może zostać zweryfikowana.

Nie oznacza to, że każdy alert dowodzi naruszenia obowiązków. Dane techniczne mogą być niepełne albo wymagać kontekstu. Przed podjęciem decyzji pracodawca powinien sprawdzić wiarygodność informacji, umożliwić pracownikowi wyjaśnienie sytuacji i ocenić proporcjonalność reakcji.

Szczególnie ryzykowne jest wykorzystywanie danych do celu, którego nie wskazano pracownikom. System wdrożony dla cyberbezpieczeństwa nie powinien bez dodatkowej analizy służyć do ukrytego rankingu produktywności. Zasada ograniczenia celu wymaga, aby późniejsze użycie danych było zgodne z pierwotnym założeniem.

Jakie prawa ma monitorowany pracownik?

Pracownik nie traci praw wynikających z RODO. Może między innymi:

1. otrzymać jasną informację o zasadach kontroli;
2. uzyskać dostęp do swoich danych zapisanych w logach i raportach;
3. otrzymać kopię danych, z uwzględnieniem praw innych osób i tajemnic prawnie chronionych;
4. żądać sprostowania danych nieprawidłowych;
5. żądać ograniczenia przetwarzania w przypadkach określonych w RODO;
6. wnieść sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie;
7. zapytać o odbiorców, źródła, okres przechowywania i zasady automatycznej oceny;
8. złożyć skargę do Prezesa UODO;
9. dochodzić ochrony dóbr osobistych i praw pracowniczych, jeżeli kontrola narusza prywatność, godność lub tajemnicę korespondencji.

Prawo dostępu nie oznacza automatycznie prawa do otrzymania pełnych logów zawierających dane innych pracowników, klientów albo informacje o zabezpieczeniach systemu. Administrator powinien jednak odpowiedzieć merytorycznie i nie może zasłaniać się bezpieczeństwem bez zbadania konkretnego żądania.

Monitoring po odejściu pracownika

Po zakończeniu zatrudnienia firma może potrzebować dostępu do korespondencji dotyczącej klientów, umów i trwających spraw. Nie powinna jednak logować się na konto byłego pracownika za pomocą jego hasła i przeglądać całej historii bez ustalonych zasad.

Bezpieczniejszy model obejmuje wspólne skrzynki funkcyjne, przekazywanie spraw przed odejściem, automatyczną odpowiedź z nowym kontaktem, czasowe przekierowanie wiadomości służbowych oraz dostęp administracyjny rejestrowany w systemie. Prywatne wiadomości należy pominąć, a konto usunąć po ustalonym okresie.

Szczegółowy proces zamykania kont i odbierania sprzętu opisuje artykuł BPPZ Offboarding pracownika. Checklista odebrania dostępów i sprzętu.

Co grozi za nielegalne monitorowanie pracowników?

Nieprawidłowy monitoring może prowadzić do kilku rodzajów odpowiedzialności. Prezes UODO może zastosować środki naprawcze wynikające z RODO, w tym nakazać ograniczenie lub usunięcie danych. Pracownik może dochodzić ochrony prywatności, tajemnicy korespondencji, godności i innych dóbr osobistych. Nielegalnie pozyskane informacje mogą również wywołać spór dotyczący zasadności decyzji pracodawcy.

Ryzyko nie kończy się na formalnej karze. Nadmierny nadzór osłabia zaufanie, zachęca do obchodzenia systemów i powoduje, że firma gromadzi ogromną ilość informacji, które następnie sama musi zabezpieczać. Wyciek z narzędzia monitorującego może ujawnić korespondencję, zrzuty ekranów, dane klientów oraz szczegółowy profil aktywności pracowników.

Jeżeli dojdzie do nieuprawnionego dostępu albo ujawnienia wyników monitoringu, administrator powinien przeprowadzić ocenę naruszenia. W takich sytuacjach BPPZ zapewnia wsparcie przy obsłudze naruszeń ochrony danych.

Checklista legalnego monitoringu poczty i komputera

Cel i konieczność

1. Opisz konkretny problem, który ma rozwiązać monitoring.
2. Sprawdź, czy ten sam cel można osiągnąć mniej inwazyjnie.
3. Ustal podstawę prawną i przeprowadź test równowagi.
4. Oceń wpływ na prywatność, tajemnicę korespondencji i godność pracownika.

Zakres i konfiguracja

1. Wybierz tylko niezbędne źródła danych.
2. Oddziel dane techniczne od treści komunikacji.
3. Ogranicz monitorowanie do czasu pracy, kont służbowych i urządzeń objętych zasadami.
4. Wyłącz zbieranie haseł, prywatnych treści i danych innych domowników.
5. Ustal alerty, uprawnienia, logowanie dostępu i terminy usuwania.
6. Sprawdź dostawcę, umowę, podwykonawców i transfery danych.

Dokumentacja

1. Ujmij cel, zakres i sposób monitoringu w wymaganym dokumencie prawa pracy.
2. Zaktualizuj rejestr czynności przetwarzania.
3. Przygotuj klauzulę informacyjną z art. 13 RODO.
4. Przeprowadź analizę ryzyka.
5. Sprawdź konieczność wykonania DPIA.
6. Opracuj procedurę dostępu do treści i postępowań wyjaśniających.

Pracownicy

1. Poinformuj zespół co najmniej dwa tygodnie przed uruchomieniem systemu.
2. Nowym pracownikom przekaż informację przed dopuszczeniem do pracy.
3. Wyjaśnij zasady prywatnego korzystania ze sprzętu i poczty.
4. Przeszkol administratorów, HR, przełożonych i osoby prowadzące kontrole.
5. Przygotuj proces realizacji praw pracowników.
6. Regularnie sprawdzaj, czy system nadal jest potrzebny i proporcjonalny.

Szkolenie osób korzystających z wyników monitoringu powinno obejmować nie tylko obsługę aplikacji, lecz także granice dostępu, tajemnicę korespondencji, reagowanie na prywatne treści i dokumentowanie czynności. BPPZ prowadzi szkolenia RODO dla zespołów i kadry zarządzającej.

Praktyczny scenariusz wdrożenia

Firma chce ograniczyć wynoszenie dokumentów klientów przez prywatną pocztę i niezatwierdzone chmury. Początkowo rozważa wykonywanie zrzutów ekranu co dwie minuty.

Analiza wykazuje, że taki zakres byłby nadmierny. Zrzuty rejestrowałyby treść korespondencji, dane klientów, prywatne wiadomości oraz informacje niezwiązane z celem. Firma wybiera więc rozwiązanie mniej inwazyjne.

System DLP wykrywa wyłącznie próbę przesłania określonych kategorii dokumentów poza zatwierdzone kanały. Domyślnie blokuje operację i wyświetla pracownikowi komunikat. Alert zawiera nazwę reguły, konto użytkownika, czas, kanał przesyłania oraz identyfikator pliku, ale nie zapisuje automatycznie pełnego obrazu ekranu.

Dostęp do alertów otrzymują dwie upoważnione osoby. Treść dokumentu może zostać otwarta dopiero po udokumentowaniu powodu i wyłącznie w zakresie koniecznym do wyjaśnienia zdarzenia. Alerty niepotwierdzone są usuwane po ustalonym krótkim okresie, a materiał dotyczący incydentu trafia do wydzielonej dokumentacji.

Przed uruchomieniem firma przeprowadza test równowagi, analizę ryzyka i DPIA. Aktualizuje regulamin, rejestr czynności i klauzulę informacyjną. Pracownicy otrzymują informację z odpowiednim wyprzedzeniem oraz krótkie szkolenie pokazujące dozwolone kanały przesyłania danych.

Tak skonfigurowany proces lepiej realizuje cel niż ciągła obserwacja całego ekranu. Firma chroni dokumenty, a jednocześnie ogranicza ilość zbieranych informacji i ryzyko naruszenia prywatności.

Najczęstsze błędy pracodawców

Ukryty monitoring

Program zostaje zainstalowany bez zmiany regulaminu i bez wcześniejszej informacji dla pracowników.

Ogólny cel

Dokument mówi jedynie o bezpieczeństwie albo kontroli pracy, ale nie wyjaśnia, jakie ryzyko i jakie działania mają być objęte monitoringiem.

Dostęp do całej treści

Przełożeni mogą swobodnie czytać wszystkie wiadomości i przeglądać pliki bez wskazania konkretnej potrzeby.

Mylenie informacji ze zgodą na wszystko

Pracodawca zakłada, że podpis pod regulaminem pozwala na dowolne rozszerzanie kontroli.

Zbieranie danych poza czasem pracy

Agent monitorujący działa stale na prywatnym urządzeniu albo służbowym laptopie używanym także po godzinach.

Brak retencji

Logi, zrzuty i raporty są przechowywane bezterminowo, ponieważ nikt nie skonfigurował automatycznego usuwania.

Zbyt szerokie uprawnienia

Cały dział IT i wszyscy managerowie mają dostęp do treści wiadomości, historii stron oraz raportów aktywności.

Zmiana celu bez informacji

Narzędzie wdrożone do ochrony przed złośliwym oprogramowaniem zaczyna służyć do porównywania tempa pracy osób.

Brak oceny dostawcy

Firma nie wie, gdzie trafiają dane, kto je analizuje, czy dostawca wykorzystuje je do własnych celów i jak usuwa kopie.

Brak DPIA

Organizacja wdraża system łączący pocztę, internet, zrzuty ekranów i ocenę produktywności bez uprzedniej oceny skutków.

Podsumowanie

Pracodawca może kontrolować służbową pocztę i komputer pracownika, ale tylko w jasno określonych granicach. Musi wykazać konkretny cel, niezbędność i proporcjonalność, a następnie ograniczyć zakres danych, czas działania systemu, retencję i liczbę osób mających dostęp do wyników.

Najbezpieczniejszy model zaczyna się od danych technicznych i alertów. Dostęp do treści wiadomości powinien być wyjątkiem wymagającym mocniejszego uzasadnienia. Prywatna skrzynka, prywatna korespondencja, hasła i aktywność poza czasem pracy nie stają się własnością pracodawcy dlatego, że pracownik korzysta z firmowego sprzętu.

Legalny monitoring wymaga połączenia prawa pracy, RODO i bezpieczeństwa informacji. Regulamin nie wystarczy, jeżeli konfiguracja aplikacji zbiera więcej danych, niż opisano. Z kolei właściwa konfiguracja techniczna nie zastąpi testu równowagi, analizy ryzyka, obowiązku informacyjnego i szkolenia osób korzystających z wyników.

Firmy planujące wdrożenie lub zmianę narzędzi monitorujących mogą skorzystać z audytu RODO, wdrożenia procedur ochrony danych, doradztwa projektowego oraz wsparcia zewnętrznego Inspektora Ochrony Danych.

FAQ – monitoring komputera pracownika

Źródła:

1. ELI – Kodeks pracy, w szczególności art. 11¹, 22² i 22³.
2. EUR-Lex – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, w szczególności art. 5, 6, 12, 13, 15, 21, 24, 25, 32, 35 i 36.
3. UODO – Ochrona danych osobowych w miejscu pracy. Poradnik dla pracodawców.
4. UODO – Która przesłanka jest podstawą przetwarzania danych przez pracodawcę stosującego monitoring?.
5. UODO – Kiedy trzeba przeprowadzić ocenę skutków dla ochrony danych?.
6. Komisja Europejska – Opinia 2/2017 Grupy Roboczej Art. 29 dotycząca przetwarzania danych w miejscu pracy.
7. Europejski Trybunał Praw Człowieka – Bărbulescu przeciwko Rumunii. Pytania i odpowiedzi do wyroku Wielkiej Izby.
8. Europejski Trybunał Praw Człowieka – Bărbulescu przeciwko Rumunii. Informacja o wyroku.
9. Państwowa Inspekcja Pracy – Czy podczas urlopu lub po godzinach pracy trzeba sprawdzać służbową pocztę elektroniczną?.