Ewidencja czasu pracy a RODO – jakie dane pracodawca może faktycznie zbierać?

Wdrożenie systemu do ewidencji czasu pracy brzmi jak czysto organizacyjna decyzja – dopóki ktoś nie zapyta, czy monitoring lokalizacji pracownika w terenie, zrzuty ekranu co kilka minut albo rejestrowanie każdego kliknięcia myszką na pewno mieszczą się w granicach prawa. RODO nie zabrania ewidencjonowania czasu pracy – wręcz przeciwnie, w wielu przypadkach jest to obowiązek pracodawcy. Problem pojawia się wtedy, gdy zakres zbieranych danych wykracza poza to, co faktycznie niezbędne do tego celu. Sprawdźmy, gdzie faktycznie przebiega ta granica.

Podstawa prawna – dlaczego ewidencja czasu pracy w ogóle jest legalna

Kodeks pracy nakłada na pracodawcę obowiązek prowadzenia ewidencji czasu pracy pracowników, obejmującej między innymi liczbę przepracowanych godzin, pracę w porze nocnej, w godzinach nadliczbowych, dni wolne oraz urlopy. To właśnie ten obowiązek prawny stanowi podstawę do przetwarzania danych osobowych w tym zakresie – RODO wprost dopuszcza przetwarzanie danych, gdy jest to niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze danych, czyli pracodawcy.

To ważne rozróżnienie: pracodawca nie musi pytać pracownika o zgodę na samą ewidencję godzin pracy, bo wynika ona z przepisów. Zgoda staje się istotna dopiero tam, gdzie pracodawca chce zbierać dane wykraczające poza ten podstawowy, ustawowy zakres.

Jakie dane pracodawca faktycznie może zbierać?

Zasada minimalizacji danych, jedna z fundamentalnych zasad RODO, mówi wprost: można przetwarzać wyłącznie te dane, które są adekwatne i niezbędne do osiągnięcia konkretnego celu. W kontekście ewidencji czasu pracy oznacza to, że dopuszczalne jest zbieranie:

• godzin rozpoczęcia i zakończenia pracy,
• informacji o przerwach w pracy,
• danych o pracy w godzinach nadliczbowych, nocnych czy w dni wolne,
• informacji o nieobecnościach, urlopach i zwolnieniach lekarskich (w zakresie samego faktu nieobecności, bez szczegółów medycznych),
• w przypadku pracy zdalnej lub hybrydowej – potwierdzenia rozpoczęcia i zakończenia dnia pracy.

To dane bezpośrednio związane z celem, jakim jest rozliczenie czasu pracy i wynagrodzenia, a ich zbieranie znajduje jasne oparcie w przepisach prawa pracy.

Granice monitorowania pracy według RODO

Legalna ewidencja (Kodeks Pracy)

• Godziny wejścia i wyjścia z pracy
• Rozliczenie nadgodzin i nocy
• Wnioski urlopowe i fakt nieobecności
• Rejestracja logowania w pracy zdalnej

Niedozwolony nadmiar (Ryzyko Kary)

• Ciągły ślad GPS przez całą dobę
• Automatyczne zrzuty ekranu komputera
• Rejestrowanie uderzeń w klawiaturę (Keylogger)
• Biometria (odcisk palca) bez dobrowolnej zgody

Gdzie zaczyna się nadmiarowe przetwarzanie danych?

Problem pojawia się, gdy systemy do monitorowania czasu pracy zaczynają zbierać znacznie więcej niż wynika to z realnej potrzeby. Do praktyk budzących wątpliwości pod kątem zgodności z RODO należą między innymi:

• Stałe śledzenie lokalizacji GPS pracownika przez cały dzień pracy, zamiast rejestrowania jedynie punktów wejścia/wyjścia z określonych lokalizacji, tam gdzie jest to faktycznie uzasadnione (np. praca w terenie).
• Rejestrowanie treści aktywności na komputerze – zrzuty ekranu, historia odwiedzanych stron, treść wiadomości – które wykraczają poza sam fakt obecności przy pracy.
• Monitoring biometryczny (np. odcisk palca czy skan twarzy do rejestracji wejścia) bez wyraźnej, dobrowolnej zgody pracownika i bez wykazania, że jest to rzeczywiście niezbędne, a nie jedynie wygodniejsze dla pracodawcy.
• Nagrywanie dźwięku w miejscu pracy w celu weryfikacji obecności, co zdecydowanie wykracza poza cel ewidencji czasu pracy.

Kluczowe pytanie, jakie powinien zadać sobie każdy pracodawca wdrażający system monitoringu, brzmi: czy dany rodzaj danych jest rzeczywiście niezbędny do rozliczenia czasu pracy, czy służy już innemu celowi – np. ocenie efektywności czy kontroli treści pracy – który wymaga osobnej podstawy prawnej i osobnego poinformowania pracowników.

Obowiązek informacyjny wobec pracowników

Niezależnie od tego, jak dokładnie dobrany jest zakres zbieranych danych, pracodawca ma obowiązek poinformować pracowników o tym, jakie dane są zbierane, w jakim celu, na jakiej podstawie prawnej, jak długo będą przechowywane oraz komu mogą zostać udostępnione. Ten obowiązek informacyjny, wynikający wprost z RODO, najczęściej realizowany jest poprzez klauzulę informacyjną dołączaną do regulaminu pracy lub odrębny dokument przekazywany przy wdrożeniu systemu ewidencji.

Brak takiej informacji, nawet jeśli sam zakres zbieranych danych jest zgodny z prawem, stanowi naruszenie obowiązków wynikających z RODO.

Jak długo można przechowywać dane o czasie pracy?

Przepisy prawa pracy określają konkretne okresy przechowywania dokumentacji dotyczącej czasu pracy – standardowo jest to 10 lat, licząc od końca roku kalendarzowego, w którym stosunek pracy ustał (dla pracowników zatrudnionych po 2018 roku). RODO nie skraca tego okresu, bo w tym zakresie pierwszeństwo mają przepisy szczególne prawa pracy, ale jednocześnie zabrania przechowywania danych dłużej, niż to konieczne – po upływie ustawowego okresu dane powinny zostać usunięte lub zanonimizowane.

Praktyczne rekomendacje dla pracodawców

Dobrze zaprojektowana aplikacja do rozliczania godzin pracy pozwala rejestrować wyłącznie dane niezbędne do rozliczenia czasu pracy, bez zbędnych, ryzykownych z punktu widzenia RODO funkcji monitorujących. Oto kluczowe zalecenia:

• Ogranicz zakres zbieranych danych do tego, co wynika wprost z celu ewidencji czasu pracy – unikaj „na wszelki wypadek” dodawania kolejnych funkcji monitorujących.
• Przygotuj jasną klauzulę informacyjną i upewnij się, że każdy pracownik faktycznie się z nią zapoznał.
• Zabezpiecz dane technicznie i organizacyjnie – dostęp do systemu ewidencji powinien mieć wyłącznie uprawniony personel (np. dział kadr), a same dane powinny być odpowiednio szyfrowane.
• Regularnie przeglądaj funkcje wdrożonych narzędzi IT pod kątem aktualnych wytycznych UODO.

Najczęściej zadawane pytania (FAQ)

Czy pracodawca potrzebuje zgody pracownika na ewidencję godzin pracy?

Nie, ponieważ podstawą prawną jest ustawowy obowiązek pracodawcy wynikający z Kodeksu pracy (art. 6 ust. 1 lit. c RODO). Zgoda jest wymagana jedynie przy zbieraniu danych nadmiarowych.

Czy zrzuty ekranu komputera w pracy zdalnej są zgodne z RODO?

Zazwyczaj nie – automatyczne robienie zrzutów ekranu jest uznawane za nadmierną ingerencję w prywatność i wykracza poza sam cel rozliczenia przepracowanego czasu.

Jak długo należy przechowywać karty ewidencji czasu pracy?

Dokumentację pracowniczą dotyczącą czasu pracy należy przechowywać przez okres 10 lat od końca roku kalendarzowego, w którym stosunek pracy ustał.

Czy rejestracja wejść za pomocą odcisku palca jest legalna?

Dane biometryczne stanowią szczególną kategorię danych. Ich przetwarzanie wymaga dobrowolnej zgody pracownika i wykazania, że nie da się osiągnąć tego celu mniej ingerującymi metodami (np. kartą zbliżeniową).

* Niniejszy artykuł ma charakter informacyjny i nie stanowi porady prawnej. W razie wątpliwości co do zgodności konkretnego rozwiązania z RODO warto skonsultować się z prawnikiem lub inspektorem ochrony danych.