Czy pracodawca musi poinformować pracowników o monitoringu, jeżeli cel monitorowania jest inny niż monitoring pracownika, np. monitorowanie pracy sieci i urządzeń IT?
ODPOWIEDŹ
Obowiązek informacyjny na gruncie art. 13 RODO administrator (pracodawca) zobowiązany jest spełnić w zakresie wszystkich celów, w jakich przetwarza dane pracowników. Jeżeli więc dane pracowników są przetwarzane w związku z monitoringiem infrastruktury IT, pracownicy powinni zostać o tym poinformowani w treści klauzuli informacyjnej. Podstawą prawną przetwarzania danych w tym celu co do zasady będzie prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO).
Z kolei obowiązki związane z prowadzeniem monitoringu sformułowane w Kodeksie pracy należy realizować wówczas, gdy pracodawca prowadzi monitoring, który jest regulowany w art. 222 oraz 223 Kodeksu pracy. W opisanej w pytaniu sytuacji mógłby znaleźć zastosowanie przepis art. art. 223 Kodeksu pracy, tj. monitoring poczty elektronicznej oraz inne formy monitoringu. Zgodnie z tym artykułem, pracodawca może wprowadzić monitoring, jeżeli jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania udostępnionych pracownikowi narzędzi pracy. Jeżeli więc organizacja stosowany monitoring infrastruktury IT wykorzystuje również po to, aby kontrolować czas pracy pracowników albo to, czy właściwie użytkują udostępnione im narzędzia pracy, to wówczas administrator (pracodawca) powinien spełnić wymogi wskazane w przywołanych powyżej artykułach Kodeksu pracy, tj.:
- opisać w regulaminie pracy albo w układzie zbiorowym pracy (jeśli pracodawca taki posiada) cele, zakres oraz sposób zastosowania monitoringu – jeśli pracodawca nie posiada takich dokumentów, należy zrobić to w obwieszczeniu,
- poinformować pracowników o tym, że w zakładzie pracy będzie stosowany monitoring infrastruktury IT co najmniej na 2 tygodnie przed rozpoczęciem takiego monitoringu oraz informować o tym na bieżąco nowych pracowników,
- wskazywać (np. przez oznaczenia, plakaty, naklejki), że infrastruktura IT jest monitorowana.
Jeżeli jednak administrator przetwarza dane z monitoringu infrastruktury IT jedynie w celu zapewnienia bezpieczeństwa infrastruktury, rozumianego jako zabezpieczenie się przed atakami z zewnątrz, złośliwym oprogramowaniem etc., nie będzie to forma monitoringu regulowana przepisami Kodeksu pracy, a tym samym pracodawca nie jest zobligowany do wypełnienia obowiązków wskazanych w art. 222 oraz 223 Kodeksu pracy.
