Odpowiada Wojciech Wiewiórowski generalny inspektor ochrony danych osobowych (giodo):

Nawiązuje Pani do konkretnej opisanej w mediach sytuacji, o której jednak mamy za mało informacji. Generalnie sprawa monitorowania działalności pracowników w sieci poza ich czasem pracy jest skomplikowana. Z jednej strony pracodawca zgodnie z art. 221 kodeksu pracy (k.p.) nie ma prawa do zbierania informacji o wpisach w serwisach społecznościowych, a uzurpowanie sobie takiego prawa trudno jest uzasadnić innymi przepisami kodeksu.

Z drugiej strony, zgodnie z art. 100 k.p., pracownik ma obowiązek dbać o dobro zakładu, czyli jest zobowiązany do pewnej lojalności. Mówiąc wprost – nie powinien oczerniać swojego pracodawcy. Każdą sprawę trzeba jednak badać indywidualnie. Pozostaje pytanie, czy z profilu wiadomo, gdzie pracuje jego właściciel, czy może dokonał wpisu jako niezadowolny posiadacz oferty? Mamy za mało szczegółów, aby się wypowiadać.

Zalecałbym w tym względzie dużą ostrożność. W takich przypadkach pracownik zawsze może zaskarżyć wypowiedzenie do sądu pracy, a ten zweryfikuje jego prawidłowość względem kodeksu pracy. Ten zaś ma chronić pracowników, czemu służy m.in. wspomniany art. 221 k.p. zawierający zamkniętą listę danych, które pracodawca może pozyskiwać od pracownika. Jest on bardzo ostry i restrykcyjny. Trudno jednak oczekiwać, abym apelował o jego złagodzenie.

Pracodawca ma prawo sprawdzać, czy pracownik sumiennie wywiązuje się ze swoich obowiązków pracowniczych, określonych treścią umowy o pracę oraz przepisami kodeksu pracy. Zgodnie z art. 22 k.p. pracownik, nawiązując stosunek pracy, zobowiązuje się do wykonywania określonego rodzaju zadań na rzecz pracodawcy i pod jego kierownictwem oraz w wyznaczonym miejscu i czasie. Dodatkowo, zgodnie z art. 100 k.p., do obowiązków pracownika należy sumienne i staranne wykonywanie pracy oraz przestrzeganie czasu pracy i regulaminu pracy.

Pracodawca ma zatem prawo kontrolować, czy pracownik z tych obowiązków się wywiązuje, a jedną z form kontroli może być cyfrowy monitoring. Jest on jednak dopuszczalny pod trzema warunkami. Pracodawca może kontrolować aktywność pracownika, ale tylko na sprzęcie przez niego dostarczonym. Nie można instalować tego typu oprogramowania na urządzeniach należących do pracownika. Po drugie kontrola musi być adekwatna do efektów, jakie dzięki niej mają być osiągnięte.

Pracodawca musi wskazać konkretny powód, dla którego zakazuje pewnych czynności i wprowadza kontrolę zachowań w tym zakresie. Uzasadnieniem dla prowadzenia takiego monitoringu może być np. zachowanie tajemnicy handlowej czy tajemnicy przedsiębiorcy w postaci know-how, ochrona tajemnicy zawodowej w przypadku np. zawodów adwokata, lekarza, radcy prawnego czy po prostu dbałość o sprzęt i zgromadzonych na nim danych. Ponadto obowiązkiem pracodawcy jest poinformowanie pracowników o formie i zakresie prowadzonej kontroli, np. poprzez wprowadzenie odpowiednich zapisów w regulaminie pracy, umowie o pracę lub np. w stosownym aneksie. To jest właśnie trzeci warunek, który musi być spełniony, aby kontrolę pracownika uznać za legalną.

Jeśli pracodawca ma powód i poinformował o tym pracownika, to tak. Szef może chcieć wiedzieć, gdzie komputer się przemieszcza, w jaki sposób nawiązuje połączenia z siecią, jakie dane są transmitowane, bo np. twardy dysk łatwo jest zawirusować, a jako właściciel komputera może nie życzyć sobie, aby komputer przekształcił się w „zombie" włączone do jakiegoś bota.Pracodawca, ale też każdy przedsiębiorca, który instaluje takie oprogramowanie w komputerach, smartfonach czy samochodach, musi jednak zdawać sobie sprawę z tego, że ciąży na nim obowiązek udzielania informacji, jakie dane o pracowniku zgromadził, a ten ma prawo wglądu do nich.

Poprosić może. Właściciel sprzętu nie musi jednak spełnić życzenia, jeśli uzna, że jest powód, dla którego dane powinny być przechowywane. Może nim być choćby dochodzenie roszczeń cywilnych w sytuacji, gdy ktoś korzystał np. z serwisu płatnego, czy postępowanie karne, w przypadku gdy ktoś korzystał z takich rodzajów pornografii, które są w Polsce zakazane.

Zebrane dane mogą być wykorzystane zarówno przez pracodawcę, jak i pracownika. Oznacza to, że pracodawca na ich podstawie może wyciągnąć konsekwencje służbowe wobec podwładnego. Musi jednak pamiętać, że jeśli pracownik np. przez 10 godzin jeździł autem w celach służbowych, to na podstawie danych z monitoringu może on to udowodnić i zażądać wynagrodzenia za nadgodziny.

Jeśli administratorem danych jest pracodawca i wykorzystuje je tylko jako dane pracownicze, to nie. Jeżeli jednak to firma zewnętrzna monitoruje aktywność pracowników i dane tylko przekazuje, to już musi dokonać rejestracji zbioru. Tak samo jest w przypadku, gdy firma instaluje system gps w autach, które wypożycza i zbiera dane klientów niebędących pracownikami – wówczas zbiór takich danych trzeba zgłosić do rejestracji GIODO.

—Rozmawiała Jolanta Ojczyk