Monitoring poczty elektronicznej pracownika a RODO

Monitoring poczty elektronicznej pracownika jest dopuszczalny, ale nie daje pracodawcy wolnej ręki do czytania wszystkiego, co przechodzi przez służbową skrzynkę. Kodeks pracy pozwala na kontrolę służbowej poczty elektronicznej tylko wtedy, gdy jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania narzędzi pracy. Jednocześnie taki monitoring nie może naruszać tajemnicy korespondencji ani innych dóbr osobistych pracownika. Równolegle pracodawca musi stosować RODO, a więc działać w sposób konieczny, proporcjonalny i przejrzysty.

Z tego artykułu dowiesz się:

• kiedy monitoring służbowej poczty jest legalny
• jakie cele uzasadniają jego wprowadzenie
• jakie formalności musi spełnić pracodawca
• czy wolno czytać treść maili pracownika
• co z prywatnymi wiadomościami na służbowej skrzynce
• jakie są najczęściej występujące błędy

Czy monitoring poczty elektronicznej pracownika jest w ogóle legalny?

Tak, ale tylko w granicach wyznaczonych przez kodeks pracy. Art. 22(3) k.p. pozwala pracodawcy wprowadzić kontrolę służbowej poczty elektronicznej pracownika, jeżeli jest to niezbędne do zapewnienia organizacji pracy i właściwego użytkowania udostępnionych narzędzi pracy. Przepis nie mówi więc, że można monitorować pocztę dla wygody, ciekawości albo na wszelki wypadek. Mówi o sytuacji, w której pracodawca ma konkretny, prawnie uzasadniony cel związany z organizacją pracy.

To jest pierwszy filtr. Drugi wynika z RODO. Monitoring pracowników można stosować wyłącznie wtedy, gdy celu nie da się osiągnąć za pomocą innych środków mniej inwazyjnych dla praw i wolności pracownika. Administrator powinien być w stanie wykazać zasadność monitoringu i jego proporcjonalność. To oznacza, że nawet jeśli kodeks pracy dopuszcza samą ideę monitorowania służbowej poczty, pracodawca nadal musi umieć odpowiedzieć na pytanie, dlaczego wybrał właśnie taki środek i dlaczego nie wystarcza rozwiązanie mniej ingerujące w prywatność.

Jakie cele uzasadniają monitoring służbowej poczty?

Kodeks pracy wskazuje dwa podstawowe cele:

• zapewnienie organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy
• zapewnienie właściwego użytkowania udostępnionych pracownikowi narzędzi pracy

W praktyce oznacza to, że monitoring poczty może służyć na przykład:

• ochronie organizacji pracy
• kontroli wykorzystywania służbowych narzędzi zgodnie z przeznaczeniem
• ochronie bezpieczeństwa obiegu informacji w firmie
• ograniczaniu nadużyć związanych z używaniem służbowej skrzynki poza celami zawodowymi

Ale bardzo ważne jest to, że samo istnienie jednego z tych ogólnych celów nie wystarcza jeszcze do wprowadzenia kontroli. UODO zaznacza, że pracodawca powinien wcześniej ocenić, czy nie da się osiągnąć tego samego mniej inwazyjnie. To właśnie tutaj wchodzi zasada proporcjonalności.

Jakie formalności musi spełnić pracodawca?

Przy monitoringu służbowej poczty nie wystarczy tylko decyzja zarządu albo działu IT. Kodeks pracy nakazuje, aby cele, zakres oraz sposób zastosowania monitoringu zostały ustalone:

• w układzie zbiorowym pracy
• albo w regulaminie pracy
• albo w obwieszczeniu, jeśli pracodawca nie ma obowiązku ustalania regulaminu pracy

Dodatkowo pracodawca musi:

• poinformować pracowników o wprowadzeniu monitoringu nie później niż 2 tygodnie przed jego uruchomieniem
• przekazać pracownikowi przed dopuszczeniem do pracy, w postaci papierowej lub elektronicznej, informacje o celu, zakresie i sposobie stosowania monitoringu

To bardzo ważny punkt praktyczny. Monitoring poczty elektronicznej nie powinien być ukrytym mechanizmem.

Czy monitoring maila pracownika oznacza, że wolno czytać treść wiadomości?

Nie można tego tak uprościć. Kodeks pracy wprost stanowi, że monitoring poczty elektronicznej nie może naruszać tajemnicy korespondencji ani innych dóbr osobistych pracownika. To oznacza, że nawet legalnie wprowadzony monitoring nie daje automatycznego prawa do swobodnego przeglądania pełnej treści każdej wiadomości.

W praktyce z tego przepisu i z zasad RODO wynika bardzo ważny wniosek:

• pracodawca może kontrolować służbową pocztę tylko w takim zakresie, jaki jest rzeczywiście potrzebny do realizacji dopuszczalnego celu
• musi brać pod uwagę tajemnicę korespondencji, prywatność i dobra osobiste pracownika

To właśnie dlatego monitoring poczty elektronicznej nie powinien być projektowany jako stałe, pełne podglądanie całej korespondencji. UODO podkreśla, że monitoring jest dopuszczalny tylko wtedy, gdy jest środkiem koniecznym i proporcjonalnym, a nie łatwiejszą wersją nadzoru nad pracownikiem.

Co z prywatnymi wiadomościami na służbowej skrzynce?

Tu problem robi się jeszcze bardziej wrażliwy. Kodeks pracy mówi o monitoringu służbowej poczty elektronicznej, ale jednocześnie zakazuje naruszania tajemnicy korespondencji. Jeżeli więc pracodawca dopuszcza prywatne używanie służbowej skrzynki albo w praktyce wie, że takie użycie się zdarza, ryzyko naruszenia prywatności jest większe.

Najbezpieczniejszy praktycznie model jest więc taki:

• zasady używania służbowej poczty powinny być jasne
• pracownik powinien wiedzieć, czy prywatne użycie jest zakazane, ograniczone czy tolerowane
• monitoring nie powinien być projektowany tak, jakby każda wiadomość automatycznie traciła ochronę tylko dlatego, że przeszła przez firmową skrzynkę

To nie jest wprost dodatkowy katalog z kodeksu pracy, tylko praktyczny wniosek z połączenia dwóch zasad:

• skrzynka jest służbowa
• ale tajemnica korespondencji nadal obowiązuje

Dlaczego sam regulamin nie wystarcza pod kątem RODO?

To częsty błąd. Niektórzy pracodawcy zakładają, że skoro wpisali monitoring do regulaminu pracy i zawiadomili pracowników 2 tygodnie wcześniej to temat danych osobowych jest zamknięty. Tymczasem korzystanie z nowoczesnych technologii w miejscu pracy musi odbywać się z poszanowaniem przepisów o ochronie danych osobowych. 

W praktyce pracodawca powinien więc zadbać nie tylko o formalne wprowadzenie monitoringu, ale też o:

• ocenę, czy monitoring jest naprawdę potrzebny
• ograniczenie jego zakresu do minimum
• jasne opisanie celu i sposobu działania
• wykonanie obowiązków informacyjnych wobec pracowników

Jakie błędy pracodawców są najczęstsze?

Najczęstsze problemy wyglądają tak:

• monitoring wprowadzony bez jasnego określenia celu
• brak regulaminu, obwieszczenia albo innego formalnego ujęcia zasad
• brak informacji przekazanej pracownikom z odpowiednim wyprzedzeniem
• traktowanie monitoringu jako narzędzia ogólnej kontroli wszystkiego
• brak analizy, czy istnieją mniej inwazyjne środki kontroli pracy
• ignorowanie tajemnicy korespondencji i dóbr osobistych pracownika

Podsumowanie

Monitoring poczty elektronicznej pracownika jest dopuszczalny, ale tylko jako monitoring służbowej poczty i tylko wtedy, gdy jest niezbędny do organizacji pracy oraz właściwego używania narzędzi pracy. Pracodawca musi wcześniej uregulować jego cele, zakres i sposób działania, poinformować pracowników z odpowiednim wyprzedzeniem i przekazać im stosowne informacje przed dopuszczeniem do pracy. RODO wymaga dodatkowo, by monitoring był konieczny, proporcjonalny i możliwie mało inwazyjny, a kodeks pracy wyraźnie zakazuje naruszania tajemnicy korespondencji oraz innych dóbr osobistych pracownika.

FAQ

Czy pracodawca może monitorować służbowy e-mail pracownika?

Tak, ale tylko wtedy, gdy jest to niezbędne do zapewnienia organizacji pracy i właściwego użytkowania narzędzi pracy. Taką możliwość przewiduje art. 22(3) kodeksu pracy.

Czy monitoring maila pozwala czytać każdą wiadomość?

Nie. Monitoring poczty elektronicznej nie może naruszać tajemnicy korespondencji ani innych dóbr osobistych pracownika.

Czy wystarczy wpisać monitoring do regulaminu pracy?

Nie. To konieczny element, ale nie jedyny. Pracodawca musi też poinformować pracowników z wyprzedzeniem o wprowadzeniu monitoringu.

Kiedy trzeba poinformować pracowników o monitoringu?

Nie później niż 2 tygodnie przed jego uruchomieniem, a przed dopuszczeniem pracownika do pracy trzeba mu przekazać informacje o celu, zakresie i sposobie stosowania monitoringu w postaci papierowej lub elektronicznej.

Czy pracodawca może wprowadzić monitoring na wszelki wypadek?

Nie – monitoring jest dopuszczalny tylko wtedy, gdy celu – w postaci kontroli procesu wykonywania pracy – nie da się osiągnąć za pomocą innych środków.