Source: https://businessandprestige.pl/czy-monitoring-w-pracy-lamie-prawa-pracownikow-rodo/
Timestamp: 2019-06-20 21:46:07
Legal References Found: art. 223
 art. 221
 art. 222
 art. 223
 art. 55
 art. 33
 art. 17
 art. 17
 Art. 29

Document Content:
Home Artykuły Firma & Biznes Prawo & Finanse Czy monitoring w pracy łamie prawa pracowników? RODO – faktyczna ochrona danych czy mit
Czy monitoring w pracy łamie prawa pracowników? RODO – faktyczna ochrona danych czy mit
Magdalena Koźmala | 25.01.2019 | 14 min, 45 s
Czy nasze dane osobowe są naprawdę bezpieczne? Gdzie występuje najwięcej naruszeń? Co możemy zrobić, aby zachować jak największą ochronę swoich danych? O tym dr Arleta Nerka, ekspertka w dziedzinie prawa pracy z Akademii Leona Koźmińskiego, w rozmowie z Magdaleną Koźmalą.
B&P: A czy to trochę też nie paradoks – z jednej strony chcemy ochrony danych a z drugiej obnażamy się w pełni na mediach społecznościowych?
Oczywiście można tu mówić o pewnym paradoksie, choć w pewnym sensie jest on pozorny. Stosowanie RODO do zwykłej aktywności osób fizycznych, użytkowników czatów czy komunikatorów, blogerów, czy nawet członków wspólnot graczy, realizowanej w ramach mediów społecznościowych (wszystkie te aktywności przecież wiążą się automatycznym przetwarzaniem danych), powodowałoby ograniczenia podejmowania swobodnej aktywności (stąd kwalifikacja dla celów osobistych). Jeśli określimy, że portal społecznościowy to platforma na której użytkownicy, oprócz przeglądania treści, mogą umieszczać własne informacje, zdjęcia i komunikować się z innymi użytkownikami, to oczywiście dochodzi tutaj do ujawnienia danych osobowych dotyczących cech osób, ich zainteresowań, preferencji, informacji o rodzinie, majątku, nawet stosunków zawodowych i służbowych. Obecnie takie kanały komunikowania się osób mają charakter zwykły, codzienny, nie stanowią sposobów nadzwyczajnych, co wpływa na postrzeganie ich jako dość bezpiecznych i nadal – anonimowych – choć użytkownik pozostawia ślady w sieci, na przykład adres sieciowy, IP, adres e-mail, login, nick. Użytkownicy często mają jednak poczucie, że skoro sami decydują o ujawnieniu określonych informacji, to panują nad tym procesem, co oczywiście jest złudne. Wiele portali ma bowiem charakter komercyjny i jeśli spełni warunki przetwarzania danych osobowych określone w przepisach RODO, między innymi uzyska zgodę bądź oprze się na prawnie uzasadnionym interesie, wówczas może realizować marketing bezpośredni. Na przykład kontekstowy, segmentacyjny lub behawioralny. W konsekwencji – okoliczność, że w sieci się obnażamy, podając wiele informacji na swój temat, nie usprawiedliwia działań bezprawnych. Jeśli administrator zamierza wykorzystać dane osobowe człowieka, dajmy na to dla celów komercyjnych, jest zobowiązany do stosowania przepisów dotyczących ochrony danych osobowych i powinien respektować wolę osoby, która załóżmy nie chce udzielić zgody na określone sposoby przetwarzania, sprzeciwia się profilowaniu, bądź nie chce otrzymywać informacji handlowej.
B&P: Na czym polegają problemy z ochroną prywatności w dobie nowych technologii?
Rozwój technologiczny obejmuje właściwie wszystkie sfery funkcjonowania człowieka w społeczeństwie, przestrzeni gospodarczej, przenosząc załatwianie spraw prywatnych, jak i publicznych do cyberprzestrzeni, przy wykorzystaniu narzędzi komunikacyjnych. Przykładem są: ePuap, portale społecznościowe, aplikacje mobilne, itp. W związku z tym przesunięciu ulegają granice prywatności, poszerza się możliwość uzyskania informacji o danej osobie, choćby ze źródeł powszechnie dostępnych, poprzez obserwację aktywności osoby. Coraz bardziej wkraczamy w internet rzeczy, stajemy przed problemem kwalifikacji sztucznej inteligencji. Problemem jest brak jednolitego prawa odnoszącego się do cyberprzestrzeni, a te uregulowania, którym dysponujemy, okazują się niewystarczające, zwłaszcza wobec działań przestępczych – kradzież tożsamości, wyłudzania danych, spyware, spoofing, cyberataki, wirusy i robaki komputerowe. Problemem staje się również egzekwowanie odpowiedzialności prawnej za wypowiedzi zamieszczane w sieci, zwłaszcza o charakterze zniesławienia, szerzące treści niedozwolone, i tym podobne. Aktywność ludzi w sieci wiąże się na ogół ze zwiększającą świadomością dotyczącą czyhających zagrożeń naruszenia prywatności, w czym udział mają również środki masowego przekazu, informując o wyciekach danych, przypadkach ransomware czy sytuacjach kradzieży tożsamości. RODO, stawiając przed administratorami wykonanie obowiązku informacyjnego, ma doprowadzić do zwiększenia tej świadomości. Przeciętny człowiek bowiem często nie ma wiedzy na temat możliwości technologicznych pozyskania informacji o nim, sposobów ich wykorzystania, między innymi wpływania na jego wybory konsumenckie, a nawet polityczne. Problemem staje się również to, czy posiadając wymagane informacje, osoba będzie wiedziała, jak skorzystać ze środków ochrony prawnej.
B&P: Czy stosowanie biometrii stanowi zagrożenie dla bezpieczeństwa naszych danych osobowych?
RODO określa pojęcie danych biometrycznych. Dane, aby uzyskały zgodny z definicją status “danych biometrycznych”, muszą łącznie spełniać warunki, czyli być danymi osobowymi, które odnoszą się do określonych cech, na podstawie których przy użyciu specjalnych metod technicznych jest możliwa jednoznaczna identyfikacja osoby fizycznej lub potwierdzenie jej tożsamości. Cechy fizyczne i fizjologiczne obejmować mogą między innymi linie papilarne, wygląd siatkówki lub tęczówki oka, owal twarzy, kształt małżowiny usznej, geometrię ręki, układ naczyń krwionośnych dłoni, głos i jego barwę. Z kolei cechy behawioralne to, na przykład charakter pisma czy sposób poruszania się. Dane biometryczne należą do danych szczególnie chronionych na gruncie RODO, dotyczą one bezpośrednio sfer należących do prywatności czy nawet intymności osoby fizycznej, jak również znacznie większym poczuciem zagrożenia oraz niebezpieczeństwem wywołania na różnych polach – takich jak zatrudnienie, ochrona zdrowia, ubezpieczenie, kredytowanie – decyzji dyskryminujących. W konsekwencji nie tak łatwo można swobodnie je wykorzystywać i administrator, który się na to zdecyduje, musi spełnić szereg warunków prawnych, począwszy od wykazania niezbędności zastosowania mechanizmów opartych na biometrii. Zwykle biometria jest stosowana w celach zapewnienia bezpieczeństwa osobowego, przemysłowego, ochrony informacji, mienia, a przepisy, które pozwalają na wykorzystanie danych biometrycznych stwarzają formalno-prawne gwarancje bezpieczeństwa. Poza tym, identyfikacja za pomocą danych biometrycznych służy osiągnięciu pewnego bezpieczeństwa – stąd wykorzystanie tych danych w dowodach osobistych lub paszportach – na co istnieje społeczne przyzwolenie.
B&P: Czy monitoring w pracy łamie prawa pracowników?
Monitoring w miejscu pracy zasadniczo stanowi znaczne umniejszenie prawa do ochrony życia prywatnego pracowników, jednakże wprowadzone regulacje w kodeksie pracy (art. 222 i art. 223 k.p.) ujmują w określone ramy prawne dopuszczalność stosowania różnych jego form w miejscu pracy. Stąd obecnie nie można stawiać tezy o łamaniu praw pracowniczych poprzez zastosowanie monitoringu, jeśli spełnione są kryteria ustawowe. Dopuszczalny jest monitoring wizyjny (obrazowy), jeśli jest niezbędny do zapewnienia bezpieczeństwa pracowników lub ochrony mienia czy kontroli produkcji lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę. Inne formy monitoringu – informatyczny, GPS, poczty służbowej – są dopuszczalne, gdy jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania udostępnionych pracownikowi narzędzi pracy, przy czym podkreślenia wymaga, że oba te warunki muszą być spełnione łącznie. Poza tym przepisy wymagają zachowania odpowiedniego trybu wprowadzenia wybranych form monitoringu przez pracodawcę, które w istocie koncentrują się wokół poinformowania pracownika o stosowanej formie kontroli.
B&P: Na co muszą szczególnie uważać pracodawcy, aby nie narazić się na zarzut naruszenia danych pracownika?
Przetwarzanie danych osobowych pracowników, jak również kandydatów do pracy, podlegają reżimowi RODO i przepisów sektorowych obecnych w kodeksie pracy i innych ustawach. Oznacza to, że podstawowym obowiązkiem pracodawcy jest zachowanie zgodności z prawem procesu pozyskiwania i przetwarzania danych osób zatrudnianych. Wiodącym w tym zakresie jest przepis art. 221 k.p., określający zakres danych, jakich pracodawca może żądać od osoby ubiegającej się o zatrudnienie i pracownika. Zakres tych danych będzie podlegał modyfikacji wynikającej ze specyfiki zatrudnienia w danej branży, na przykład przy ochronie mienia lub osób, oraz w danym sektorze – publicznym bądź prywatnym. Należy również zwrócić uwagę, że w następstwie stosowania różnych środków monitoringu pracodawca gromadzi informacje o pracowniku. W ramach kontroli pracownika zachodzi przetwarzanie danych osobowych i w rezultacie pracodawca jest obowiązany respektować regulacje dotyczące ochrony danych osobowych. Realizując więc czynności kontrolne, pracodawca nie jest uprawniony do żądania od kontrolowanego pracownika innych informacji niż wynikające z przepisów prawa. Pracodawcy powinni zwrócić uwagę na realizację obowiązków wynikających z RODO, w szczególności przy nadzorze wykorzystującym nowoczesne technologie należy przeprowadzić analizę ryzyka i wykazać niezbędność stosowania takich środków i metod dla osiągnięcia określonego celu. Dodatkowo z art. 222 § 6-10 i art. 223 § 4 k.p. wynika, że każda forma monitoringu pracownika jest zgodna z prawem o tyle, o ile została wprowadzona zgodnie z zachowaniem procedury w nich wskazanej. Wymóg ten koresponduje z zasadą przejrzystości przetwarzania danych osobowych. Do podstawowych elementów procedury należy zaliczyć obowiązek określenia celów, zakresu oraz sposobu zastosowania monitoringu i wskazania ich w układzie zbiorowym pracy lub w regulaminie pracy albo w obwieszczeniu, jeżeli pracodawca nie jest objęty układem zbiorowym pracy lub nie jest obowiązany do ustalenia regulaminu pracy; obowiązek poinformowania pracowników o wprowadzeniu monitoringu, w sposób przyjęty u danego pracodawcy, nie później niż dwa tygodnie przed jego uruchomieniem. Poza tym pracodawca przed dopuszczeniem pracownika do pracy przekazuje mu na piśmie informacje o celach, zakresie oraz sposobie zastosowania monitoringu. W odniesieniu do monitoringu obrazowego na terenie zakładu pracy lub wokół niego pracodawca oznacza pomieszczenia i teren monitorowany w sposób widoczny i czytelny za pomocą odpowiednich znaków lub ogłoszeń dźwiękowych, nie później niż jeden dzień przed jego uruchomieniem. Należy mieć na względzie, że pracodawca może ponieść zróżnicowane konsekwencje naruszenia bezpieczeństwa danych osobowych pracownika, które wynikają z RODO i z przepisów ustawy o ochronie danych osobowych z 2018 r. Nadto w przypadku wykazania przez pracownika naruszenia jego dóbr osobistych lub poniesienia z tego tytułu szkody może on żądać przed sądem ochrony na podstawie przepisów kodeksu cywilnego. Pracownik będzie mógł również skorzystać z prawa do niezwłocznego rozwiązania stosunku pracy z powodu ciężkiego naruszenia przez pracodawcę podstawowych obowiązków wobec pracownika na podstawie art. 55 § 11 k.p.
B&P: Gdzie występuje najwięcej naruszeń naszych danych?
Trudno to ocenić, ponieważ nie posiadamy informacji dotyczących wszystkich naruszeń danych osobowych, które się zdarzyły. Wymóg RODO dotyczący notyfikacji do organu nadzorczego naruszeń ochrony danych osobowych dopiero jest realizowany. PUODO (Prezes Urzędu Ochrony Danych Osobowych) informowało, że po pół roku stosowania RODO do Urzędu wpłynęło 1800 zgłoszeń dotyczących naruszeń ochrony danych przez administratorów na podstawie art. 33 RODO. Inne liczby dotyczyły skarg zgłaszanych do urzędu oraz zgłaszania incydentów osobom, których dane dotyczą (art. 34 RODO). Wydaje się, że najwięcej naruszeń dotyczy działalności podmiotów, u których zachodzi przetwarzanie danych osobowych na dużą skalę, działających w sektorze telekomunikacyjnym, bankowym, medycznym.
B&P: Co możemy zrobić, żeby zachować dzisiaj jak największą ochronę swoich danych osobowych, z czego skorzystać, gdzie zgłosić naruszenia, w jaki sposób domagać się usunięcia danych na stronach internetowych?
Rzeczywista ochrona danych osobowych jest zależna w dużej mierze od czujności osoby, przede wszystkim jeśli chodzi o przekazywanie informacji o sobie i ujawnianie ich w sieci. Należy rozważanie udzielać zgód na przetwarzanie danych, korzystać z możliwości ustawień przeglądarek w sposób minimalizujących zbieranie danych, korzystać z możliwości zabezpieczeń łączy, zwłaszcza przy korzystaniu z usług bankowości elektronicznej (VPN), itd. Stwierdzone naruszenia można zgłaszać administratorowi, żądając wyjaśnień bądź innego działania, choćby w postaci realizacji praw osób, których dane dotyczą – między innymi prawa do sprostowania danych, prawa do usunięcia danych, prawa do sprzeciwu wobec wykorzystywania danych dla celów marketingowych bądź w celach profilowania, itd. – organowi nadzorczemu w trybie skargowym (art. 77 RODO).
Jednym z uprawnień osoby, której dane dotyczą, jest prawo do usunięcia danych, powszechnie dziś znane jako prawo do zapomnienia, dzięki wyrokowi Trybunał Sprawiedliwości Unii Europejskiej wydanemu 13 maja 2014 r. w sprawie Google Spain. Prawo to, wskazane w art. 17 RODO polega na możliwości zgłoszenia do administratora żądania niezwłocznego usunięcia danych osobowych, a administrator bez zbędnej zwłoki powinien to zrealizować, jeśli wystąpi choć jedna z sytuacji określona w przepisach rozporządzenia, m.in. gdy dane osobowe nie są już niezbędne do celów, w których zostały zebrane, bądź gdy osoba wycofała zgodę na przetwarzanie danych albo wniosła sprzeciw wobec przetwarzania dotyczących jej danych osobowych na cele marketingowe. Wniosek w tej sprawie można złożyć administratorowi na piśmie, pocztą elektroniczną, najlepiej na adres Inspektora Danych Osobowych, jeśli administrator takiego wyznaczył, korzystając z infolinii albo przesyłając na adres administratora. Administrator powinien podjąć komunikację w tej sprawie, mając termin maksymalnie 3-miesięczny na załatwienie sprawy, a w razie jego milczenia lub odmowy można interweniować do PUODO (Prezes Urzędu Ochrony Danych Osobowych), składając skargę. Poza tym, jeśli administrator upublicznił te dane – zamieścił w jakiś sposób w sieci – oprócz obowiązku ich usunięcia, powinien podjąć rozsądne działania, w tym środki techniczne, by poinformować administratorów przetwarzających te dane osobowe, że osoba, której dane dotyczą, żąda, by administratorzy ci usunęli wszelkie łącza do tych danych, kopie tych danych osobowych lub ich replikacje. Rozwiązania RODO mają tutaj praktyczny charakter, ponieważ wprowadzają obowiązek współdziałania pomiędzy operatorami wyszukiwarek w zakresie komunikowania żądania usunięcia określonych danych. Wniesienie żądania do usunięcia danych powinno spowodować usunięcie danych łącznie z kopiami – na przykład plików dziennika – linkami z listy wyników wyszukiwania, itp.
Prawo do usunięcia danych nie jest jednak bezwzględne – doznaje pewnych ograniczeń, ponieważ administrator rozpatrując żądanie usunięcia danych może uwzględnić istniejące ograniczenia techniczne oraz koszty ich realizacji. Zwróciłabym uwagę na ograniczenia wynikające z art. 17 ust. 3 RODO – w szczególności administrator może odmówić usunięcia danych, jeśli żądanie to naruszyłoby prawo do wolności wypowiedzi i informacji, czyli do wolności słowa prasy, czy choćby społecznego prawa do informacji na tematy związane ze sferą publiczną.
B&P: Prawie rok funkcjonowania RODO – co jest największym plusem a co absolutną porażką jeżeli chodzi o wprowadzenie rozporządzenia? Czy nasze dane są teraz faktycznie chronione czy to tylko mit?
Po kilku miesiącach stosowania RODO można już wysnuć pewne wnioski. Wydaje się, że pierwsze emocje związane z obowiązkiem praktycznego wdrożenia nowych regulacji ochrony danych osobowych już opadły, a pojęcie „RODO” zagościło na stałe w naszym języku. Niewątpliwie nastąpił wzrost poziomu społecznej świadomości na temat ochrony danych osobowych, obejmujący właściwie każdą dziedzinę życia, prowadzenie działalności biznesowej bądź działania administracji publicznej.
Nie zawsze przekłada się to na prawidłowe wdrożenie przepisów, nadal bowiem jest sporo firm, które ignorują istnienie RODO, albo które wdrożyły odpowiednie mechanizmy, nie unikając błędów. Rozporządzenie to bowiem umożliwia firmie pewną swobodę w wyborze rozwiązań technicznych i organizacyjnych na podstawie przeprowadzonej analizy ryzyka (art. 32 RODO). Rodzi to wiele wątpliwości, ponieważ nawet znajomość przepisów, wytycznych Grupy Roboczej Art. 29 i opinii Prezesa Urzędu Ochrony Danych Osobowych nie daje jednoznacznej odpowiedzi na pytanie, jak właściwie przeprowadzić analizę potencjalnego ryzyka naruszenia danych i jakie środki techniczne i organizacyjne będą w tym aspekcie wystarczające. Prowadzi to do błędów, korzystania z nieadekwatnych mechanizmów ochrony, często wymagających mniej nakładów pieniężnych lub ograniczających zaangażowanie administratora i jego personelu. Wiąże się to dość często z korzystaniem z usług podmiotów oferujących obsługę z zakresie RODO, które próbują powielać wypracowane wzorce wdrożenia RODO w innych podmiotach, bez uwzględnienia ich specyfiki. Przyczynia się do takich praktyk stan niepewności prawnej, ponieważ nadal nie ma pełni przepisów krajowych wdrążających RODO. Poza tym, przedsiębiorcy czekają na kodeksy postępowania lub mechanizmy certyfikacji, które mają stanowić istotną podpowiedź w zakresie prawidłowego stosowania rozporządzenia.
Do porażek wprowadzenia RODO zaliczam chaos prawny, co pośrednio wynika ze zjawiska stanowienia przepisów krajowych na ostatnią chwilę bądź ich brak, a to przekłada się na niepewność podmiotów co do prawa w praktyce. A przecież o praktyczne aspekty stosowania przepisów dotyczących ochrony danych tutaj chodzi. RODO zwiększyło poziom ochrony prawnej danych osobowych, zwiększając obowiązki administratorów, rozbudowując prawa osób, których dane dotyczą, rozszerzając kompetencję organu nadzorczego w zakresie ochrony danych. Powinno to sprzyjać większej pewności ochrony prywatności człowieka, jednakże jest jeszcze za wcześnie, by udzielić odpowiedzi na pytanie, czy poziom faktycznej ochrony jest zadowalający. Można będzie to ocenić obserwując, między innymi egzekwowanie prawa przez organ nadzorczy i kształtowanie się orzecznictwa sądowego.