Monitoring pracowników a RODO 2026 — zasady, obowiązki, kary

Monitoring pracowników to obszar, w którym pracodawcy najczęściej naruszają przepisy. Kara Prezesa Urzędu Ochrony Danych Osobowych może sięgnąć 20 mln euro lub 4% rocznego obrotu firmy. Tymczasem zasady są w Polsce dość konkretne — Kodeks pracy reguluje 3 formy monitoringu w artykułach 22² i 22³, a RODO nakłada dodatkowe obowiązki informacyjne i dokumentacyjne. Ten artykuł porządkuje wszystkie wątki: monitoring wizyjny, poczty elektronicznej, komputerów i GPS — z konkretnymi obowiązkami, terminami i kontekstem kontroli PIP/UODO w 2026 r.

Najważniejsze w pigułce:

• Monitoring wizyjny — art. 22² KP, dane przechowywane max 3 miesiące
• Obowiązek informowania pracowników 2 tygodnie przed uruchomieniem
• Monitoring poczty służbowej — art. 22³ KP, zakaz naruszania tajemnicy korespondencji
• GPS w pojeździe służbowym — dopuszczalny bez indywidualnej zgody
• Kary RODO: do 20 mln euro lub 4% obrotu globalnego
• UODO kontroluje monitoring w 2026 r. w placówkach medycznych i platformach dostaw

Czym jest monitoring pracowników w świetle Kodeksu pracy?

Monitoring pracowników to każda forma systematycznej obserwacji pracownika lub jego aktywności zawodowej — z wykorzystaniem urządzeń technicznych. Reguluje go art. 22² i 22³ Kodeksu pracy, wprowadzony nowelizacją w 2018 r. wraz z wejściem w życie RODO.

Kodeks pracy wyróżnia 3 podstawowe formy monitoringu: wizyjny (kamery), poczty elektronicznej oraz „inne formy monitoringu" (komputer, GPS, telefon służbowy). Każda z nich ma własne ograniczenia i wymogi prawne. Cel jest jeden — wyważenie interesu pracodawcy (bezpieczeństwo, kontrola majątku, organizacja pracy) z prawem pracownika do prywatności.

Monitoring wprowadzony bez podstawy prawnej, bez informowania pracowników lub w celu zakazanym (np. ocena wydajności pracy w sposób ukryty) to jedno z najcięższych naruszeń RODO w obszarze HR — i typowe ustalenie kontroli UODO.

Kiedy pracodawca może wprowadzić monitoring wizyjny?

Monitoring wizyjny (kamery) jest dopuszczalny w 4 konkretnych celach, wymienionych w art. 22² KP: zapewnienie bezpieczeństwa pracowników, ochrona mienia, kontrola produkcji oraz zachowanie tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę.

Kamery nie mogą być instalowane w pomieszczeniach sanitarnych, szatniach, stołówkach, palarniach ani pomieszczeniach związkowych. Wyjątkiem jest sytuacja, gdy jest to konieczne dla celów wskazanych w przepisie i nie narusza godności pracownika — wtedy obowiązuje obowiązek zasłonięcia, anonimizacji lub innego zabezpieczenia.

Praktyczne wytyczne wprowadzania monitoringu wizyjnego publikuje także portal enova.pl. Naruszenie tych granic to nie tylko grzywna PIP, ale i kara UODO.

Jak długo można przechowywać nagrania z monitoringu?

Kodeks pracy w art. 22² § 3 wskazuje jednoznacznie: nagrania obrazu mogą być przechowywane nie dłużej niż 3 miesiące od dnia nagrania. Po tym okresie muszą zostać zniszczone — chyba że nagrania stanowią dowód w postępowaniu sądowym lub administracyjnym.

W praktyce oznacza to konieczność technicznego ustawienia automatycznego nadpisywania nagrań w cyklu 3-miesięcznym. Ręczne usuwanie nagrań — szczególnie w firmach średnich — często bywa niewystarczające i prowadzi do naruszeń wykrywanych przez UODO.

Wyjątek dla postępowań sądowych dotyczy konkretnych nagrań — nie całego archiwum. Pracodawca musi udokumentować, jakie konkretnie fragmenty są zachowane i z jakiego powodu. Portal Podatki.gov.pl publikuje także wytyczne o przechowywaniu dokumentacji pracowniczej w szerszym kontekście — w tym dane z monitoringu jako element dokumentacji.

Jakie są obowiązki informacyjne pracodawcy?

Pracodawca wprowadzający monitoring musi dopełnić 3 obowiązków informacyjnych — niezależnie od formy monitoringu. Pierwszy: poinformowanie pracowników o celach, zakresie i sposobie monitoringu nie później niż 2 tygodnie przed jego uruchomieniem.

Drugi: oznaczenie pomieszczeń i terenu objętego monitoringiem w sposób widoczny i czytelny — za pomocą znaków lub ogłoszeń dźwiękowych nie później niż jeden dzień przed uruchomieniem. Trzeci: nowo zatrudniani pracownicy muszą otrzymać informację o monitoringu przed dopuszczeniem do pracy — pisemnie, z potwierdzeniem zapoznania się.

Cele, zakres i sposób monitoringu muszą być zapisane w jednym z dokumentów: układzie zbiorowym pracy, regulaminie pracy lub obwieszczeniu pracodawcy. Brak takiego dokumentu to typowe ustalenie kontroli PIP.

Czy można monitorować pocztę elektroniczną pracownika?

Monitoring poczty służbowej jest dopuszczalny — ale tylko w określonym celu i z zachowaniem konkretnych granic. Art. 22³ KP pozwala na monitoring poczty służbowej, jeśli jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwe korzystanie z udostępnionych narzędzi.

Kluczowe ograniczenie: monitoring poczty nie może naruszać tajemnicy korespondencji ani innych dóbr osobistych pracownika. W praktyce oznacza to, że jeśli pracodawca natrafi na korespondencję prywatną w służbowej skrzynce — nie wolno mu jej czytać. Może jedynie odnotować naruszenie zasad korzystania ze służbowego maila (jeśli regulamin tego zakazuje).

Wytyczne dotyczące monitoringu poczty publikuje także PARP — Centrum Rozwoju MŚP. Pełna kontrola treści maili wymaga indywidualnej zgody pracownika — i nawet wtedy musi spełniać wymóg proporcjonalności.

Co z monitoringiem komputera służbowego?

Monitoring komputera służbowego — keyloggery, screenshoty, programy do monitorowania aktywności (np. czasu spędzonego w aplikacjach) — to „inne formy monitoringu" w rozumieniu art. 22³ § 4 KP. Stosuje się do nich te same zasady co do monitoringu poczty: cel związany z organizacją pracy lub korzystaniem z narzędzi, obowiązek informowania, dokumentacja w regulaminie.

Im bardziej inwazyjna forma monitoringu, tym wyższe wymagania uzasadnienia. Keylogger w sklepie internetowym to rzadko proporcjonalny środek — w bankowości czy firmie produkującej oprogramowanie z tajemnicą handlową bywa uzasadniony.

Czy GPS w samochodzie służbowym wymaga zgody?

GPS w pojeździe służbowym jest formą monitoringu dopuszczalną na podstawie art. 22³ § 4 KP — bez konieczności uzyskiwania indywidualnej zgody pracownika. Wystarczy spełnienie obowiązku informacyjnego, zapisanie zasad w regulaminie pracy oraz informacja w widocznym miejscu w samochodzie.

Sytuacja zmienia się, gdy pracownik może korzystać z pojazdu prywatnie. Wtedy pracodawca musi zapewnić techniczną możliwość wyłączenia lokalizacji w czasie prywatnym — albo wyraźnie poinformować pracownika, że pojazd jest monitorowany 24/7 i prywatne użytkowanie odbywa się na ryzyko pracownika.

Geolokalizacja telefonu służbowego lub laptopa podlega tym samym zasadom — z dodatkową ostrożnością, jeśli urządzenia są używane także prywatnie. Granice opisuje także portal Wybierz Prawnika — z konkretnymi orzeczeniami sądów pracy w sprawach naruszeń.

Jakie kary grożą za naruszenie zasad monitoringu?

Sankcje za naruszenie zasad monitoringu są wielowarstwowe — i potrafią być wysokie. Prezes UODO może nałożyć karę finansową do 20 mln euro lub 4% rocznego obrotu globalnego firmy (kwota wyższa). W praktyce kary dla polskich MŚP oscylują w przedziale 10 000-100 000 zł — ale dla dużych firm potrafią sięgać setek tysięcy.

Pracownik może niezależnie dochodzić odszkodowania cywilnego z tytułu naruszenia dóbr osobistych lub naruszenia prywatności. Najczęstsze podstawy roszczeń: monitoring w pomieszczeniach niedozwolonych (np. szatnia), monitoring ukryty, monitoring po godzinach pracy z możliwością korzystania z urządzeń prywatnie.

Praktyczne informacje o uprawnieniach PIP w kontekście monitoringu opisuje Poradnik Przedsiębiorcy. W skrajnych przypadkach PIP może skierować sprawę do Prezesa UODO — który nakłada dodatkowe sankcje na podstawie RODO. O szerszej polityce kontroli PIP pisaliśmy w artykule kontrola PIP 2026.

Co kontroluje UODO w 2026 r.?

Plan kontroli sektorowych Prezesa UODO na 2026 r. obejmuje monitoring wizyjny w placówkach medycznych — szczególnie pod kątem ochrony danych dzieci — oraz bezpieczeństwo danych na platformach dostaw internetowych. To znaczy, że firmy z sektora zdrowia i e-commerce powinny ze szczególną starannością zweryfikować zgodność swojego monitoringu z RODO.

Plan kontroli publikuje portal GOFIN.pl. Każdy pracodawca, niezależnie od sektora, powinien dziś dokonać audytu wewnętrznego — sprawdzenia regulaminu pracy pod kątem zapisów o monitoringu, weryfikacji terminów przechowywania nagrań oraz przeglądu dokumentów DPIA.

Najczęstsze ustalenia kontroli UODO: brak DPIA przy wprowadzeniu monitoringu wizyjnego, przechowywanie nagrań powyżej 3 miesięcy, monitoring w pomieszczeniach niedozwolonych, brak oznaczenia stref monitorowanych, brak obowiązku informacyjnego w stosunku do nowych pracowników. O konsekwencjach naruszeń RODO w HR pisaliśmy też w artykule ochrona danych i RODO w procesach HR.

Jak przygotować firmę do monitoringu zgodnego z RODO?

Pierwszy krok: zdefiniowanie celu monitoringu — konkretnego i mieszczącego się w katalogu z art. 22²-22³ KP. Drugi: ocena skutków dla ochrony danych (DPIA) — obowiązkowa, gdy monitoring stwarza wysokie ryzyko dla praw pracowników. Trzeci: zapis zasad monitoringu w regulaminie pracy lub obwieszczeniu.

Czwarty: poinformowanie pracowników 2 tygodnie przed uruchomieniem — pisemnie, z potwierdzeniem otrzymania. Piąty: oznaczenie pomieszczeń znakami widocznymi co najmniej dzień przed uruchomieniem. Szósty: techniczne ustawienie automatycznego usuwania nagrań po 3 miesiącach.

Siódmy: aktualizacja klauzul informacyjnych dla nowych pracowników — obowiązek informacyjny przed dopuszczeniem do pracy. Ósmy: regularne audyty wewnętrzne — minimum raz w roku, szczególnie w kontekście zmiany przepisów (od 8 lipca 2026 r. nowe progi grzywn PIP). Wzór oświadczenia pracownika o zapoznaniu się z informacją o monitoringu publikuje RCPonline.

Wytyczne Prezesa UODO o monitoringu wizyjnym dostępne są na stronie UODO. Praktyczne wskazówki publikuje także Gazeta Prawna. Compliance w obszarze monitoringu to nie jednorazowe wdrożenie — to ciągły proces utrzymania i aktualizacji.