Monitoring pracowników a RODO to temat, w którym większość firm popełnia ten sam błąd: sprawdza, czy wolno, zamiast sprawdzić, po co. A granica między legalnym audytem bezpieczeństwa a inwigilacją nie przebiega między technologiami. Przebiega między celem zadeklarowanym w dokumentach a celem, który naprawdę stoi za wdrożeniem. Ta sama konsola do logowania zdarzeń może być narzędziem zgodnym z prawem albo dowodem w sprawie o naruszenie dóbr osobistych — decyduje o tym pytanie, na które ma odpowiedzieć.

Trzy podstawy prawne, nie jedna

Polski pracodawca działa w trzech osobnych reżimach i mylenie ich to najczęstsza przyczyna wadliwych regulaminów.

Art. 22² Kodeksu pracy reguluje monitoring wizyjny. Dopuszczalne cele to zapewnienie bezpieczeństwa pracowników, ochrona mienia, kontrola produkcji oraz zachowanie w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę. Nagrania można przechowywać maksymalnie trzy miesiące od dnia nagrania.

Art. 22³ k.p. reguluje monitoring poczty elektronicznej — i tu zaczyna się rzecz, którą regulaminy łamią najczęściej. Przepis dopuszcza kontrolę służbowej skrzynki wyłącznie wtedy, gdy jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania narzędzi pracy. To wszystko. Ochrona tajemnicy przedsiębiorstwa nie jest podstawą do monitoringu poczty — jest podstawą wyłącznie dla monitoringu wizyjnego. Firma, która wpisała do regulaminu „kontrola poczty w celu ochrony informacji poufnych", ma zapis bez umocowania w art. 22³ § 1. Paragraf 4 tego samego artykułu rozciąga ten reżim na „inne formy monitoringu": logi aktywności, GPS w samochodach służbowych, oprogramowanie do śledzenia czasu pracy.

Art. 67²⁸ k.p. dotyczy kontroli pracy zdalnej. Kontrolę przeprowadza się w porozumieniu z pracownikiem, w miejscu wykonywania pracy zdalnej i w jego godzinach pracy, a czynności kontrolne nie mogą naruszać prywatności pracownika ani innych domowników. W praktyce oznacza to, że kamera w mieszkaniu pracownika zdalnego jest nie do obrony, a narzędzia mierzące „zaangażowanie" przez zrzuty ekranu co kilka minut poruszają się po bardzo cienkim lodzie.

Co zmieniło się 27 stycznia 2026 r.

Ustawa z 4 grudnia 2025 r. o zmianie ustawy – Kodeks pracy oraz ustawy o zakładowym funduszu świadczeń socjalnych weszła w życie 27 stycznia 2026 r. i zmieniła brzmienie art. 22² § 8 k.p. Informację o celach, zakresie i sposobie zastosowania monitoringu, przekazywaną pracownikowi przed dopuszczeniem do pracy, można obecnie przekazać „w postaci papierowej lub elektronicznej" zamiast dotychczasowego „na piśmie".

Brzmi jak kosmetyka i w warstwie prawnej nią jest. Praktycznie znaczy jednak dwie rzeczy. Po pierwsze, e-mail albo potwierdzenie w portalu pracowniczym wystarczy — kwalifikowany podpis elektroniczny nie jest potrzebny. Po drugie, i ważniejsze: ułatwienie dotyczy formy, nie zakresu obowiązku. Ciężar dowodu nadal spoczywa na pracodawcy. Jeśli w sporze nie potrafi wykazać, że konkretny pracownik otrzymał konkretną informację przed dopuszczeniem do pracy, monitoring jest bezprawny niezależnie od tego, jak elegancko wygląda regulamin. Rozluźnienie formy zwiększa więc ryzyko, a nie je zmniejsza — bo wiadomość e-mail znika w archiwum łatwiej niż podpisany dokument w aktach osobowych.

Test, którego nie ma w Kodeksie pracy

Spełnienie wymogów Kodeksu pracy to warunek konieczny, nie wystarczający. Drugie sito to RODO i tutaj ocenia się proporcjonalność.

Europejski Trybunał Praw Człowieka w sprawie Bărbulescu przeciwko Rumunii (Wielka Izba, 2017 r.) wskazał kryteria, które sądy krajowe stosują do dziś: czy pracownik został uprzedzony przed monitoringiem, jaki był jego zakres i stopień ingerencji, czy pracodawca przedstawił uzasadnione powody, czy ten sam cel dało się osiągnąć środkami mniej inwazyjnymi, jakie były konsekwencje dla pracownika i jakie zabezpieczenia zastosowano.

Z tego wynika zasada, którą warto zapamiętać jako regułę operacyjną: metadane przed treścią. Jeśli cel da się osiągnąć, patrząc na adresatów i wielkość załączników, analiza treści wiadomości jest nadmiarowa i nieproporcjonalna. Art. 22³ § 2 k.p. dodatkowo zakazuje naruszania tajemnicy korespondencji i dóbr osobistych — prywatnego maila w służbowej skrzynce pracodawca nie może czytać nawet wtedy, gdy regulamin zakazuje używania skrzynki do celów prywatnych.

Do tego dochodzi art. 35 RODO. Systematyczny monitoring pracowników na dużą skalę wymaga oceny skutków dla ochrony danych, a jeśli podstawą jest prawnie uzasadniony interes z art. 6 ust. 1 lit. f RODO — także udokumentowanego testu równowagi. Nie jako formalności. Jako dowodu w postępowaniu.

Audyt bezpieczeństwa to nie jest monitoring pracowników

Tu tkwi najważniejsze rozróżnienie całego tematu i jednocześnie najczęstsze nadużycie.

Test penetracyjny odpowiada na pytanie: czy ten system da się złamać. Monitoring pracowniczy odpowiada na pytanie: co robi konkretny człowiek. Technologia bywa identyczna, dostępy bywają identyczne, ale cel, podstawa prawna i konsekwencje są zupełnie różne. Problem polega na tym, że zlecenie sformułowane szeroko pozwala przejść z pierwszego pytania do drugiego bez zmiany umowy i bez niczyjej zgody.

Dobrze pokazuje to rozmowa z testerem penetracyjnym o szarej strefie zleceń, w której praktyk z kilkunastoletnim stażem opisuje zlecenia formalnie czyste — podpisana umowa, ustalony zakres — w których klient chciał się dowiedzieć nie tego, czy infrastruktura jest bezpieczna, lecz tego, czy konkretni pracownicy piszą do konkurencji i czy rozmawiają o związkach zawodowych. Jego relacja jest istotna z jednego powodu: pokazuje, że przekroczenie granicy nie wymaga złamania prawa przez wykonawcę. Wystarczy, że zakres audytu został napisany wystarczająco szeroko, a pytanie zadano ustnie.

Dlatego umowa na test penetracyjny powinna zawierać zapis, którego w polskich wzorach prawie nie ma: zakaz raportowania treści. Wykonawca raportuje podatność, zasób i wektor ataku. Nie raportuje, co znalazł w skrzynce. Jeśli w zakresie znajduje się system kadrowy albo poczta zarządu, w umowie musi być opisane, w jaki sposób wykonawca postępuje z danymi, na które natrafi przypadkiem.

Trzy czerwone linie

Dane szczególnych kategorii. Sprawdzanie, czy pracownicy rozmawiają o organizowaniu się w związek zawodowy, to przetwarzanie danych o przynależności związkowej — art. 9 RODO. Praktycznie nie istnieje podstawa, która by to legalizowała w relacji pracodawca–pracownik. Dodatkowo art. 22² § 1¹ k.p. wyłącza z monitoringu wizyjnego pomieszczenia udostępnione zakładowej organizacji związkowej. Dla porządku: niemiecki organ nadzorczy nałożył w 2020 r. na H&M karę w wysokości 35,3 mln euro właśnie za gromadzenie informacji o życiu prywatnym pracowników i wykorzystywanie ich w decyzjach kadrowych.

Identyfikacja sygnalisty. Ustawa z 14 czerwca 2024 r. o ochronie sygnalistów nakłada obowiązek ochrony tożsamości zgłaszającego. Monitoring uruchomiony po to, by ustalić, kto dokonał zgłoszenia, to nie jest audyt — to działanie odwetowe, z osobnym reżimem odpowiedzialności.

Monitoring indywidualny bez uprzedniej informacji. Skierowanie narzędzi na jedną, wskazaną osobę, bez wcześniejszego poinformowania jej o zasadach monitoringu, nie broni się ani na gruncie art. 22³ k.p., ani kryteriów Bărbulescu. Podejrzenie wobec pracownika nie tworzy nowej podstawy prawnej.

Lista kontrolna: co musi istnieć na papierze

• Cele, zakres i sposób zastosowania monitoringu — w układzie zbiorowym pracy, regulaminie pracy albo obwieszczeniu.
• Poinformowanie załogi nie później niż dwa tygodnie przed uruchomieniem.
• Informacja przekazana pracownikowi przed dopuszczeniem do pracy — od 27 stycznia 2026 r. w postaci papierowej lub elektronicznej, z zachowanym dowodem doręczenia.
• Oznaczenie monitorowanych pomieszczeń i terenu; w przypadku poczty — komunikat na stanowisku lub w systemie.
• Określony i przestrzegany okres retencji; dla monitoringu wizyjnego maksymalnie trzy miesiące.
• Ocena skutków dla ochrony danych (art. 35 RODO) oraz udokumentowany test równowagi.
• Wpis w rejestrze czynności przetwarzania i imienne upoważnienia dla osób mających dostęp do zapisów.
• W umowach z wykonawcami audytów bezpieczeństwa — zakres, klauzula poufności i zakaz raportowania treści.

Najczęstsze pytania

Czy pracodawca może czytać maile pracownika? Może kontrolować służbową pocztę w dwóch celach wskazanych w art. 22³ § 1 k.p. i tylko po spełnieniu obowiązków informacyjnych. Nie może naruszać tajemnicy korespondencji, więc wiadomości prywatnych w służbowej skrzynce nie wolno mu czytać nawet przy zakazie prywatnego użytkowania.

Czy można monitorować pracownika pracującego zdalnie? Kontrola pracy zdalnej jest dopuszczalna na zasadach opisanych w porozumieniu lub regulaminie, w uzgodnieniu z pracownikiem i w jego godzinach pracy. Monitoring wizyjny mieszkania jest wykluczony, a narzędzia mierzące aktywność podlegają testowi proporcjonalności.

Czy test penetracyjny wymaga informowania pracowników? Sam test infrastruktury — nie. Jeśli jednak w zakresie znajduje się phishing wewnętrzny albo analiza aktywności konkretnych osób, przechodzimy w reżim monitoringu i obowiązki z art. 22² § 6–10 k.p. mają zastosowanie.

Czy pracownik może żądać dostępu do nagrań ze swoim udziałem? Tak, na podstawie art. 15 RODO, z zastrzeżeniem praw i wolności osób trzecich widocznych na nagraniu — co zwykle wymaga anonimizacji pozostałych osób.

Podstawa prawna i źródła: Art. 22², 22³ i 67²⁸ ustawy z 26 czerwca 1974 r. — Kodeks pracy (treść art. 22³); rozporządzenie 2016/679 (RODO); ustawa z 4 grudnia 2025 r. o zmianie ustawy — Kodeks pracy oraz ustawy o zakładowym funduszu świadczeń socjalnych (omówienie zmian od 27 stycznia 2026 r. na stronie PIP); ustawa z 14 czerwca 2024 r. o ochronie sygnalistów. Bieżące stanowiska organu nadzorczego publikuje Urząd Ochrony Danych Osobowych.