Regulamin monitoringu pracy zdalnej
Czym jest Regulamin monitoringu pracy zdalnej?
Regulamin monitoringu pracy zdalnej w Polsce to wewnętrzny akt pracodawcy, który na podstawie art. 22³ ustawy z dnia 26 czerwca 1974 r. — Kodeks pracy (t.j. Dz.U. 2023 poz. 1465 ze zm.) oraz przepisów rozporządzenia RODO (Dz.Urz. UE L 119 z 4.05.2016 r.) określa zasady, cele i zakres kontrolowania pracowników wykonujących pracę zdalną lub hybrydową. Pracodawca może stosować monitoring pracy zdalnej wyłącznie po uprzednim ustaleniu jego celów i zakresu w regulaminie pracy lub układzie zbiorowym, a w przypadku braku tych aktów — w obwieszczeniu (art. 22³ § 1 KP).
Praca zdalna, uregulowana w rozdziale IIc działu drugiego KP (art. 67¹⁸–67³⁴ KP), wprowadzonym nowelizacją z 7 kwietnia 2023 r., stworzyła nowe wyzwania dla kontroli pracowniczej. Pracodawca ma prawo przeprowadzić kontrolę wykonywania pracy zdalnej, w zakresie wskazanym przez art. 67²⁶ KP: weryfikacja wykonywania pracy, przestrzeganie zasad BHP oraz przestrzeganie wymogów bezpieczeństwa i ochrony informacji, w tym danych osobowych. Kontrola odbywa się w porozumieniu z pracownikiem i nie może naruszać prywatności jego i domowników.
Regulamin monitoringu pracy zdalnej precyzuje, jakie narzędzia techniczne pracodawca stosuje: rejestracja logowań, monitoring aktywności komputerowej, monitoring służbowej poczty elektronicznej, wideokonferencje. Monitoring musi być proporcjonalny (art. 5 ust. 1 lit. c RODO — zasada minimalizacji danych) i służyć wyłącznie uzasadnionym celom — kontrola wykonywania pracy, bezpieczeństwo informacji, ciągłość działania systemów — nie może być stosowany jako narzędzie inwigilacji pracownika.
Wzorzec regulaminu monitoringu pracy zdalnej dostępny na forms-legal.com obejmuje: rodzaje stosowanego monitoringu, cele i podstawy prawne, okres przechowywania danych, katalog osób z dostępem do danych, prawa pracownika wynikające z RODO oraz dane Inspektora Ochrony Danych (IOD).
Kiedy potrzebujesz Regulamin monitoringu pracy zdalnej?
Regulamin monitoringu pracy zdalnej w Polsce jest wymagany każdorazowo, gdy pracodawca stosuje lub planuje stosować jakąkolwiek formę elektronicznej kontroli pracowników zdalnych. Art. 22³ § 1 KP wyraźnie uzależnia legalność monitoringu od uprzedniego ustalenia jego celów i zakresu w regulaminie pracy lub równoważnym akcie wewnętrznym.
Dokument jest niezbędny w następujących sytuacjach. Po pierwsze — gdy firma wdraża narzędzia do monitorowania aktywności pracowników zdalnych (time-tracking software, employee monitoring tools), takie jak Hubstaff, Time Doctor, Teramind lub podobne. Uruchomienie takich narzędzi bez podstawy w regulaminie narusza art. 22³ KP i RODO — Prezes Urzędu Ochrony Danych Osobowych (PUODO) może nałożyć karę administracyjną do 20 mln EUR.
Po drugie — gdy pracodawca wymaga od pracowników zdalnych logowania do systemów CRM, ERP lub komunikatorów firmowych, a systemy te rejestrują czas i częstotliwość logowań. Rejestracja logowań jest formą monitoringu objętą wymogami art. 22³ KP, nawet jeżeli jej głównym celem jest zarządzanie dostępem, nie kontrola pracownika.
Po trzecie — gdy pracodawca stosuje monitoring służbowej poczty elektronicznej. Art. 22³ § 4 KP wprost wymaga, aby monitoring poczty elektronicznej był określony w regulaminie lub układzie zbiorowym pracy. Brak tego wpisu naraża pracodawcę na zarzut naruszenia tajemnicy korespondencji pracownika.
Po czwarte — przy wdrożeniu systemów MDM (Mobile Device Management) umożliwiających zdalny nadzór nad urządzeniami pracowników. Monitoring urządzeń pracowniczych poprzez MDM jest dopuszczalny, lecz wymaga odrębnej zgody pracownika i podstawy regulaminowej.
Co powinien zawierać Regulamin monitoringu pracy zdalnej
Regulamin monitoringu pracy zdalnej w Polsce powinien zawierać następujące elementy kluczowe:
Rodzaje monitoringu. Wyczerpująca lista stosowanych narzędzi i metod: rejestracja logowań, monitoring aktywności (keystroke logging, screen capture), monitoring poczty służbowej, monitoring wideo (wideokonferencje z obowiązkową kamerą), monitoring przez MDM. Stosowanie monitoringu nieobjętego regulaminem jest bezprawne.
Cele monitoringu. Każdy rodzaj monitoringu musi mieć uzasadniony cel — kontrola wykonywania pracy, bezpieczeństwo informacji, ochrona danych osobowych przetwarzanych przez pracodawcę (art. 22³ § 1 KP). Monitoring dla samego monitoringu jest sprzeczny z zasadą minimalizacji danych (art. 5 ust. 1 lit. c RODO).
Okres przechowywania danych. Dane z monitoringu wizyjnego nie mogą być przechowywane dłużej niż 3 miesiące (art. 22² § 3 KP). Dane z innych form monitoringu powinny być przechowywane przez okres niezbędny do realizacji celu — zazwyczaj nie dłużej niż 3-6 miesięcy.
Katalog osób z dostępem. Ograniczony, zidentyfikowany krąg osób uprawnionych do wglądu w dane z monitoringu — bezpośredni przełożony, dział IT, IOD. Każdy dostęp powinien być odnotowany.
Prawa pracownika (RODO). Informacja o prawie dostępu do danych (art. 15 RODO), sprostowania (art. 16), ograniczenia przetwarzania (art. 18), wniesienia sprzeciwu (art. 21) i wniesienia skargi do PUODO (art. 77 RODO).
Informacja o IOD. Dane kontaktowe Inspektora Ochrony Danych (IOD) — wymagane przez art. 13 ust. 1 lit. b RODO.
Gwarancje dla pracownika. Zakaz monitorowania poza godzinami pracy, zakaz monitorowania prywatnych urządzeń i korespondencji, prawo pracownika do zapoznania się z wynikami monitoringu przed podjęciem decyzji dyscyplinarnych.
Na platformie forms-legal.com wzorzec regulaminu monitoringu jest uzupełniony o odrębne „Klauzula informacyjna RODO dla pracownika” i „Polityka prawa do odłączenia”.
Jak wypełnić Regulamin monitoringu pracy zdalnej
Wypełnianie wzoru regulaminu monitoringu pracy zdalnej pobranego z forms-legal.com przebiega w kilku krokach.
Krok 1 — dane pracodawcy. Wpisz pełną nazwę firmy, adres siedziby i planowaną datę wejścia regulaminu w życie. Pamiętaj o 2-tygodniowym vacatio legis od dnia ogłoszenia pracownikom (art. 104³ § 1 KP).
Krok 2 — rodzaje monitoringu. Odpowiedz na pytania TAK/NIE dla każdej formy monitoringu. Zaznaczaj wyłącznie te, które faktycznie stosujesz lub planujesz stosować. Monitoring niezaznaczony w regulaminie nie może być stosowany nawet incydentalnie.
Krok 3 — cel monitoringu. Wpisz pełną listę celów dla każdego stosowanego rodzaju monitoringu. Cele muszą być realistyczne i uzasadnione potrzebami pracodawcy. Przykłady dobrych celów: „zapewnienie bezpieczeństwa danych klientów przetwarzanych w systemie CRM”, „weryfikacja wykonywania pracy w systemach ERP”. Przykłady niedopuszczalnych celów: „ogólna inwigilacja pracownika”, „rejestracja wszystkich czynności pracownika”.
Krok 4 — okres przechowywania. Wpisz liczbę miesięcy. Zalecamy 3 miesiące jako zasadę ogólną — jest zgodne z limitem dla monitoringu wizyjnego (art. 22² § 3 KP) i odpowiada zasadzie minimalizacji danych RODO.
Krok 5 — dostęp do danych. Wymień konkretne stanowiska (nie imiona — zmiana pracownika na stanowisku nie wymaga zmiany regulaminu). Ogranicz listę do minimum niezbędnego.
Krok 6 — IOD. Wpisz imię i nazwisko lub adres e-mail Inspektora Ochrony Danych. Jeżeli firma nie ma obowiązku wyznaczenia IOD (art. 37 RODO), pomiń lub wpisz „firma nie powołała IOD — kontakt z administratorem: [adres e-mail zarządu]".
Krok 7 — konsultacja ze związkami. Regulamin stanowiący część regulaminu pracy wymaga uzgodnienia z zakładową organizacją związkową (art. 104² § 1 KP — 30 dni na zajęcie stanowiska).
Krok 8 — poinformowanie pracowników. Przekaż regulamin wszystkim pracownikom na piśmie lub elektronicznie przed rozpoczęciem stosowania monitoringu (art. 22² § 8 KP).
Wymogi prawne dla Regulamin monitoringu pracy zdalnej
Regulamin monitoringu pracy zdalnej w Polsce podlega następującym bezwzględnie obowiązującym przepisom:
Art. 22² KP — monitoring wizyjny. Pracodawca może stosować monitoring wizyjny wyłącznie w celu zapewnienia bezpieczeństwa, ochrony mienia, kontroli produkcji lub zachowania tajemnicy. Monitoring nie może obejmować pomieszczeń sanitarnych, szatni, stołówek i palarni bez szczególnego uzasadnienia. Nagrania z monitoringu wizyjnego przechowuje się nie dłużej niż 3 miesiące. Podstawa musi być określona w regulaminie pracy lub układzie zbiorowym.
Art. 22³ KP — monitoring poczty i systemów IT. Monitoring służbowej poczty elektronicznej jest dopuszczalny wyłącznie w celu zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz prawidłowego użytkowania narzędzi pracy. Zakres i cel muszą być określone w regulaminie. Monitoring poczty nie może naruszać tajemnicy korespondencji pracownika ani jego dóbr osobistych.
Art. 67²⁶ KP — kontrola pracy zdalnej. Pracodawca uprawniony jest do kontroli pracy zdalnej w miejscu jej wykonywania, w zakresie: wykonywania pracy, BHP i bezpieczeństwa informacji. Kontrola odbywa się w godzinach pracy pracownika i w uzgodnionym terminie. Zakres elektronicznego monitoringu podczas pracy zdalnej musi być zawarty w regulaminie.
RODO — art. 5, 13, 32-33. Zasady przetwarzania danych z monitoringu: zgodność z prawem, ograniczenie celu, minimalizacja danych, ograniczenie przechowywania, integralność i poufność (art. 5 RODO). Pracodawca jako administrator danych jest obowiązany przekazać pracownikowi klauzulę informacyjną RODO przed rozpoczęciem przetwarzania jego danych (art. 13 RODO). W razie naruszenia ochrony danych — zgłoszenie do PUODO w 72 godziny (art. 33 RODO).
Zasada proporcjonalności. Każda forma monitoringu musi być proporcjonalna do zamierzonego celu — monitoring aktivności komputerowej co 30 sekund jest zazwyczaj nieproporcjonalny i może naruszać godność pracownika (art. 11¹ KP).
Najczęstsze błędy w Regulamin monitoringu pracy zdalnej
Przy tworzeniu i wdrażaniu regulaminu monitoringu pracy zdalnej w Polsce najczęściej popełniane są następujące błędy:
1. Brak regulaminu przy stosowaniu monitoringu. Wdrożenie narzędzi do monitorowania aktywności pracowników bez podstawy regulaminowej narusza art. 22³ KP. Inspektor PIP może nakazać natychmiastowe zaprzestanie monitoringu i nałożyć mandat. PUODO może nałożyć karę administracyjną za naruszenie RODO.
2. Monitoring poza godzinami pracy. Pracodawcy konfigurujący narzędzia time-trackingowe do rejestracji aktywności 24/7 naruszają prawo do odłączenia (art. 67²⁷ KP) i zasadę minimalizacji danych RODO. Monitoring powinien być ograniczony do godzin pracy pracownika.
3. Brak klauzuli informacyjnej RODO. Pracodawca stosujący monitoring pracy zdalnej jest obowiązany przekazać pracownikowi pełną informację o przetwarzaniu jego danych w związku z monitoringiem (art. 13 RODO). Brak klauzuli to naruszenie RODO niezależnie od tego, czy regulamin jest poprawny.
4. Nadmierny zakres monitoringu. Monitoring aktywności komputerowej obejmujący rejestrację wszystkich naciśnięć klawiszy (keystroke logging) i częste zrzuty ekranu (screen capture) jest nieproporcjonalny i narusza godność pracownika (art. 11¹ KP). PUODO może nakazać zaprzestanie nadmiernego monitoringu.
5. Przechowywanie danych dłużej niż wymagane. Dane z monitoringu przechowywane przez lata naruszają zasadę ograniczenia przechowywania (art. 5 ust. 1 lit. e RODO). Brak procedury automatycznego usuwania danych po upływie okresu retencji naraża pracodawcę na karę PUODO.
Najczęściej zadawane pytania
Tak, pod warunkiem że: cel i zakres monitoringu są określone w regulaminie pracy lub układzie zbiorowym (art. 22³ § 1 KP), pracownik jest poinformowany o stosowaniu monitoringu przed jego uruchomieniem (art. 22³ § 5 KP), monitoring jest proporcjonalny do celu (art. 5 ust. 1 lit. c RODO — zasada minimalizacji danych). Niedopuszczalne jest stosowanie monitoringu, który narusza godność pracownika (art. 11¹ KP) — np. rejestracja wszystkich naciśnięć klawiszy lub ciągłe nagrywanie obrazu z kamery pracownika. Monitoring powinien być ograniczony do aktywności w systemach i aplikacjach służbowych, wyłącznie w godzinach pracy.
Kodeks pracy wprost określa maksymalny okres przechowywania danych z monitoringu wizyjnego — 3 miesiące od daty nagrania (art. 22² § 3 KP). W przypadku danych z innych form monitoringu pracy zdalnej (logowania, aktywność IT) Kodeks pracy nie wskazuje sztywnego terminu, jednak rozporządzenie RODO nakazuje przechowywanie danych nie dłużej niż jest to niezbędne do realizacji celu (art. 5 ust. 1 lit. e RODO). W praktyce rekomenduje się przyjęcie 3-miesięcznego okresu przechowywania jako zasady ogólnej dla wszystkich form monitoringu pracy zdalnej. Dłuższe przechowywanie wymaga uzasadnienia i powinno być ograniczone do spraw, w których dane mogą być potrzebne w postępowaniu sądowym lub wyjaśniającym.
Pracodawca może wymagać włączonej kamery podczas wideokonferencji, o ile jest to uzasadnione potrzebami organizacji pracy i konieczność ta jest wskazana w regulaminie lub poleceniu służbowym. Jednak wymaganie włączonej kamery przez cały dzień pracy zdalnej byłoby nieproporcjonalne i naruszałoby prawo do prywatności pracownika w jego domu (art. 11¹ KP). Kamera obowiązkowa jedynie podczas spotkań zespołu lub wideokonferencji z klientami jest powszechnie uznawana za proporcjonalną i uzasadnioną. Pracodawca nie może stosować stałego podglądu wizyjnego pracownika w miejscu pracy zdalnej bez jego zgody — takie działanie jest monitoringiem wizyjnym wymagającym podstawy regulaminowej (art. 22² KP).
Pracownik zdalny ma wobec monitoringu pracodawcy następujące prawa wynikające z RODO: prawo dostępu do danych (art. 15 RODO) — pracownik może zażądać informacji o tym, jakie jego dane są przetwarzane i udostępnienia kopii; prawo do sprostowania (art. 16 RODO) — jeżeli dane są błędne; prawo do ograniczenia przetwarzania (art. 18 RODO) — m.in. gdy kwestionuje prawidłowość danych; prawo do wniesienia sprzeciwu (art. 21 RODO) — gdy przetwarzanie opiera się na uzasadnionym interesie pracodawcy; prawo do wniesienia skargi do PUODO (art. 77 RODO). Ponadto z KP wynika prawo do informacji o stosowaniu monitoringu przed jego uruchomieniem (art. 22² § 8 i 22³ § 5 KP) oraz prawo do odłączenia od monitoringu poza godzinami pracy (art. 67²⁷ KP).
Obowiązek wyznaczenia Inspektora Ochrony Danych (IOD) zależy od skali i charakteru przetwarzania danych, a nie od faktu stosowania monitoringu pracy zdalnej jako takiego (art. 37 RODO). IOD jest obowiązkowy dla: organów i podmiotów sektora publicznego, podmiotów przetwarzających dane wrażliwe na dużą skalę, podmiotów dokonujących systematycznej obserwacji osób na dużą skalę. Firmy prywatne stosujące monitoring pracowników zdalnych mogą, ale nie muszą, wyznaczyć IOD — chyba że monitoring obejmuje dużą liczbę pracowników i jest prowadzony systematycznie, co może kwalifikować się jako „systematyczna obserwacja na dużą skalę”. W każdym przypadku firma powinna dysponować wewnętrzną osobą odpowiedzialną za ochronę danych (Data Protection Officer lub Pełnomocnik ds. RODO), nawet jeśli nie jest to formalny IOD.
Stosowanie monitoringu bez podstawy regulaminowej naraża pracodawcę na odpowiedzialność na kilku płaszczyznach. Kodeks pracy: inspektor Państwowej Inspekcji Pracy (PIP) może nałożyć mandat do 2 000 zł lub skierować wniosek do sądu grodzkiego o ukaranie pracodawcy grzywną do 30 000 zł (art. 281 KP). RODO: Prezes Urzędu Ochrony Danych Osobowych (PUODO) może nałożyć karę administracyjną do 20 mln EUR lub 4% rocznego obrotu (art. 83 ust. 5 RODO) za przetwarzanie danych bez podstawy prawnej. Prawo cywilne: pracownik może dochodzić odszkodowania za naruszenie jego dóbr osobistych (art. 11¹ KP w zw. z art. 448 KC) — w tym za naruszenie prywatności w miejscu pracy zdalnej (domu pracownika).
Tak, wdrożenie narzędzi do monitorowania aktywności pracowników zdalnych znacząco wzrosło w Polsce po 2020 r. (pandemia COVID-19). Według badań przeprowadzonych przez Konfederację Lewiatan (2023 r.) ok. 28% polskich pracodawców zatrudniających powyżej 50 pracowników stosuje przynajmniej jedno narzędzie do monitorowania aktywności pracowników zdalnych — głównie rejestrację czasu logowania do systemów (CRM, ERP), monitoring poczty e-mail i wideokonferencje z obowiązkową kamerą. Narzędzia bardziej inwazyjne (keystroke logging, screen capture co kilka minut) stosuje ok. 5% dużych firm. Inspekcja Pracy odnotowuje wzrost liczby skarg pracowników na naruszenia prywatności podczas pracy zdalnej — w 2024 r. PIP przeprowadziła kilkaset kontroli w zakresie legalności monitoringu pracowniczego.
Pracodawca jest obowiązany poinformować pracownika o stosowaniu monitoringu przed jego uruchomieniem, w sposób zrozumiały i dostępny (art. 22³ § 5 KP i art. 13 RODO). Informacja powinna zawierać: podstawę prawną i cel przetwarzania danych (art. 13 ust. 1 lit. c-d RODO), rodzaj stosowanych form monitoringu, okres przechowywania danych, dane IOD lub administratora danych, prawa pracownika (dostęp, sprostowanie, sprzeciw, skarga do PUODO). Informację przekazuje się: w regulaminie pracy lub odrębnym dokumencie „Klauzula informacyjna RODO dla pracownika” wręczanym przed dopuszczeniem do pracy lub przed uruchomieniem nowego rodzaju monitoringu. Ogólna wzmianka w regulaminie pracy bez szczegółów nie jest wystarczająca — RODO wymaga przekazania pełnej klauzuli informacyjnej.
Niniejszy szablon ma charakter wyłącznie informacyjny i nie stanowi porady prawnej. Przepisy różnią się w zależności od jurysdykcji i zmieniają się z czasem. W sprawie porady dostosowanej do Twojej sytuacji skonsultuj się z wykwalifikowanym prawnikiem.Pełne zastrzeżenie prawne
Znalazłeś błąd? Daj nam znaćRelated Documents
You may also find these documents useful:
Polityka prawa do odłączenia
Polityka prawa do odłączenia dla pracowników zdalnych zgodna z art. 67²⁷ KP. Godziny dostępności, zakaz kontaktu po pracy, sytuacje wyjątkowe, urlop — Polska 2026. PDF i Word.
Porozumienie o pracy zdalnej
Porozumienie o wykonywaniu pracy zdalnej zgodne z art. 67¹⁸-67³⁴ Kodeksu pracy. Reguluje miejsce, wymiar, sprzęt, ekwiwalent kosztów i zasady kontroli pracy zdalnej. Wzór do pobrania w PDF i Word.
Klauzula informacyjna — monitoring wizyjny (CCTV)
Wzór klauzuli informacyjnej dotyczącej monitoringu wizyjnego (CCTV) w Polsce. Art. 13 RODO i art. 222-223 Kodeksu pracy — cel, podstawa prawna, retencja nagrań do 3 miesięcy, prawa osób nagrywanych.