Monitoring służbowych maili w firmie a RODO

Sprawy związane z monitoringiem służbowej poczty elektronicznej w zakładzie pracy nie były dotychczas uregulowane w sposób przejrzysty i wyczerpujący. Sytuacja uległa zmianie z dniem 25 maja 2018 r. a więc z chwilą rozpoczęcia stosowania RODO, a także wejścia w życie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U z 2018 r. poz.1000) – ustawa ta zastąpiła ustawę z dnia 29 sierpnia 1997 r. o ochronie danych osobowych.

Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych wprowadziła przy okazji szereg zmian do obowiązujących przepisów. Jedną z takich zmian są przewidziane w art. 111 powołanej ustawy, zmiany ustawy z dnia 26 czerwca 1974 r. – Kodeks pacy. Zmiany te obejmują między innymi sprawy dotyczące monitoringu służbowej poczty elektronicznej w zakładzie pracy.

Zgodnie z brzmieniem dodanego art. 22³ Kodeksu pracy, jeśli pracodawca uzna, że jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego wykorzystania udostępnionych pracownikowi narzędzi pracy, pracodawca może wprowadzić kontrolę służbowej poczty elektronicznej pracownika (monitoring poczty elektronicznej).

Polecamy: Monitor prawa pracy i ubezpieczeń

Serwis Kadry

Należy jednak pamiętać, że monitoring poczty elektronicznej nie może naruszać tajemnicy korespondencji oraz innych dóbr osobistych pracownika. Definicję dobra osobistego człowieka zawiera 23 Kodeksu cywilnego. Wprowadzenie monitoringu służbowej poczty elektronicznej na terenie zakładu pracy powinno być poprzedzone określonymi w ustawie czynnościami „przygotowawczymi”. Jednym słowem pracodawca nie może tak po prostu, z dnia na dzień wprowadzić monitoringu poczty elektronicznej i przejść nad tym do porządku dziennego.

Zgodnie z art. 22³ § 3 Kodeksu pracy – pracodawca zobowiązany jest poinformować pracowników o wprowadzeniu monitoringu służbowej poczty elektronicznej, w sposób przyjęty u danego pracodawcy, nie później niż na 2 tygodnie przed wprowadzeniem monitoringu. Jednocześnie pracodawca zobowiązany jest przed wprowadzeniem kontroli poczty elektronicznej określić cele, zakres oraz sposób zastosowania monitoringu poczty elektronicznej. Informacje te pracodawca zobowiązany jest ustalić i zamieścić w układzie zbiorowym pracy lub regulaminie pracy albo w obwieszczeniu, jeżeli pracodawca nie jest objęty układem zbiorowym pracy lub nie jest obowiązany do ustalania regulaminu pracy (zatrudnia poniżej 50 osób).

Ponadto pracodawca zobowiązany jest, przed dopuszczeniem pracownika do pracy, przekazać mu na piśmie informację o celach, zakresie oraz sposobie zastosowania monitoringu poczty elektronicznej. Jakkolwiek nie wynika to wprost z przepisów wydaje się wskazane, aby pracownik podpisał się pod taką informacją (przyjął ją do wiadomości) i aby została ona załączona do jego teczki osobowej. Dodatkowo, niezależnie od obowiązków, o których mowa powyżej, w przypadku wprowadzenia monitoringu poczty elektroniczne pracodawca zobowiązany jest odpowiednio stosować przepisy art. 22² § 6-10 Kodeksu pracy (tj. przepisy o monitoringu obrazu).

Oznacza to, że w przypadku wprowadzenia monitoringu poczty elektronicznej pracodawca powinien odpowiednio oznaczyć pomieszczenia, w których znajdują się komputery objęte monitoringiem, w sposób widoczny i czytelny, za pomocą odpowiednich znaków lub ogłoszeń dźwiękowych, nie później niż jeden dzień przed jego uruchomieniem.

Przepisy nie precyzują, jakiej wielkość ma być informacja o wprowadzaniu monitoringu poczty elektronicznej, ani też, tego, jaką treść ma ona zawierać. Mowa jest jedynie o tym, że pomieszczenia mają być oznaczone w sposób widoczny i czytelny. Można sobie natomiast wyobrazić, że taka informacja będzie również zawarta na nalepce naklejanej na monitorze komputera służbowego lub wyświetlana automatycznie na ekranie monitora po uruchomieniu komputera.

Jeśli chodzi o samą treść takiej informacji to przepisy Kodeku pracy nie regulują tej kwestii a zatem trzeba, posiłkowo odwołać się do przepisów RODO a zwłaszcza do tych dotyczący tzw. obowiązków informacyjnych (art. 13 RODO).

Generalnie, zatem informacja o zainstalowaniu monitoringu poczty elektronicznej powinna podawać podstawę prawną zainstalowania monitoringu poczty elektronicznej na terenie zakładu pracy ( a więc art. 22³ Kodeksu pracy), przywoływać informację na temat RODO a także wskazywać, kto jest administratorem danych ( z podaniem adresu kontaktowego do inspektora ochrony danych, jeśli jest powołany), a ponadto, jaki jest cel monitoringu poczty elektronicznej, jaka jest podstawa prawna przetwarzania danych, jak długo można kontrolować zawartość poczty elektronicznej, prawie pracownika do uzyskania informacji na temat swoich danych a także prawie do wystąpienia ze skargą do organu nadzorczego.

Wojciech Ostrowski, Radca prawny, Wspólnik w Kancelarii Prawnej Rachelski i Wspólnicy