Zdaniem UODO istnieje do tego podstawa ustawowa, a zatem zgody pracownika nie potrzeba. Z kolei śledząc dane o lokalizacji i aktywności zatrudnionych, trzeba dopełnić formalności wymaganych przy monitoringu
W wyjaśnieniach wydanych na prośbę DGP Urząd Ochrony Danych Osobowych porusza trzy ważne kwestie:
1) podstawa prawna przetwarzania danych osobowych dotyczących miejsca (adresu) wykonywania pracy zdalnej przez pracowników,
2) możliwość weryfikowania przez pracodawców warunków lokalowych (mieszkaniowych) i rodzinnych pracownika, który otrzymuje polecenie wykonania pracy zdalnej,
3) przetwarzanie danych o lokalizacji pracowników w kontekście obowiązków pracodawcy.
W odniesieniu do pierwszego problemu UODO stanął na stanowisku, że nie ma potrzeby zbierania zgód pracowników na przetwarzanie danych dotyczących adresu wykonywania pracy zdalnej. W jego ocenie pracodawca może przetwarzać dane w tym zakresie na podstawie art. 3 specustawy o COVID-19 dotyczącego pracy zdalnej. Zatrudniający może bowiem polecić wykonywanie pracy nie tylko w domu pracownika, lecz także w innym miejscu przez siebie wskazanym, o ile je zorganizuje i zapewni odpowiednie warunki wykonywania pracy, w tym w zakresie bezpieczeństwa i higieny pracy. W związku z powyższym w ocenie UODO podstawą prawną przetwarzania danych osobowych jest art. 6 ust. 1 lit. c RODO – a nie art. 6 ust. 1 lit. a tego rozporządzenia, czyli zgoda pracownika.
W odniesieniu do kwestii oceny, czy pracownik ma odpowiednie warunki do wykonywania pracy zdalnej, UODO wyraźnie podkreśla, że przepisy w tym zakresie nie dają pracodawcom uprawnienia do kontrolowania warunków lokalowych pracownika. W ocenie urzędu w tej kwestii należy polegać na oświadczeniu złożonym przez pracownika. Będzie ono wiążące, jeśli zatrudniony stwierdzi, że nie ma odpowiednich warunków do wykonywania pracy zdalnej. W konsekwencji w takich przypadkach pracownik będzie musiał wykonywać pracę stacjonarnie, stawiając się do biura, a pracodawca ma wówczas obowiązek odpowiedniego zorganizowania miejsca pracy, z uwzględnieniem zasad sanitarnych.
Odnosząc się do trzeciego tematu, UODO stwierdził, że dokonywanie przez działy IT weryfikacji, z jakiego miejsca dane urządzenie (np. laptop służbowy) loguje się do systemu firmy, stanowi przetwarzanie danych o lokalizacji pracowników. Jest to więc inna forma monitoringu Zgodnie bowiem z art. 223 par. 4 kodeksu pracy przepisy dotyczące monitoringu poczty elektronicznej stosuje się odpowiednio także do innych form monitoringu, pod warunkiem że spełniona zostanie przesłanka celu takich działań, którym jest zapewnienie organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwe użytkowanie udostępnionych narzędzi pracy. Działania takie będą jednak zgodne z prawem pod warunkiem formalnego wprowadzenia przez pracodawcę kolejnej formy monitoringu pracowników. Powyższe będzie zaś wymagało wprowadzenia odpowiednich przepisów do regulaminu pracy oraz poinformowania o tym pracowników z dwutygodniowym wyprzedzeniem. Dla potwierdzenia realizacji tego drugiego wymogu konieczne jest zebranie oświadczeń pracowników o zapoznaniu się z nową formą monitoringu, które należy włączyć do ich aktów osobowych w części B związanej z przebiegiem zatrudnienia.
Wyjaśnienia UODO z 3 września 2020 r.
PYTANIA DGP: 1. Czy pracodawca ma prawo żądać podania przez pracownika adresu wykonywania pracy zdalnej?
2. Czy podstawą prawną do podania adresu wykonywania pracy zdalnej może być konieczność ustalenia, z jakiego miejsca dane urządzenie (np. laptop służbowy) loguje się do systemu pracodawcy?
3. Jeżeli możliwe jest żądanie podania adresu wykonywania pracy zdalnej, to jakie obowiązki pracodawca powinien spełnić wobec pracownika? Czy musi uzyskać jego zgodę na podanie takiego adresu?
ODPOWIEDŹ UODO: Zgodnie z art. 3 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz.U. poz. 374, z późn. zm.) pracodawca może polecić pracownikowi wykonywanie, przez czas oznaczony, pracy określonej w umowie o pracę, poza miejscem jej stałego wykonywania (praca zdalna). Biorąc pod uwagę brzmienie przepisu, oznacza to również, że pracodawca może powierzyć wykonywanie pracy zdalnej także w innym miejscu niż dom pracownika. Nowe przepisy dające pracodawcom takie narzędzie nie odwołują się jednak do warunków mieszkaniowych (lokalowych) lub rodzinnych pracownika przy polecaniu pracy zdalnej. Nie dają one również uprawnienia pracodawcom do weryfikowania tych warunków.
Kwestia oceny możliwości wykonywania pracy zdalnej w miejscu zamieszkania pracownika oznacza, że to sam pracownik, znając swoje warunki mieszkaniowe oraz sytuację rodzinną, jest w stanie dokonać oceny, czy będzie miał możliwość wykonywania pracy zdalnej.
W kwestii dotyczącej przetwarzania adresu wykonywania pracy zdalnej przez pracownika w celu konieczności ustalenia, z jakiego miejsca dane urządzenie (np. laptop służbowy) loguje się do systemu, informuję, że to przetwarzanie danych o lokalizacji pracowników (inna forma monitoringu) regulują przepisy prawa pracy. Kodeks pracy co prawda wprowadza możliwość stosowania innych form monitoringu aniżeli monitoring wizyjny czy monitoring poczty elektronicznej, jeżeli zastosowanie takiego monitoringu służy celowi, w zakresie zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania udostępnionych pracownikowi narzędzi pracy. Natomiast pracodawca zobowiązany jest uprzedzić pracownika o stosowaniu urządzeń monitorujących lokalizację sprzętu służbowego czy też logowania się do systemu (GPS) przed przystąpieniem pracownika do pracy bądź na dwa tygodnie przed uruchomieniem monitoringu. W każdym przypadku dane, które będzie rejestrował, muszą mieścić się w celu, w jakim jest to niezbędne dla zapewnienia sprawnej organizacji pracy, a zasady zbierania i wykorzystywania danych muszą być rzetelne i przejrzyste, jasno określone oraz dostępne dla pracownika.
UZUPEŁNIENIE Z 8 WRZEŚNIA 2020 R.: W ocenie Prezesa Urzędu Ochrony Danych Osobowych pracodawca nie musi pozyskiwać zgody pracownika na przetwarzanie przez niego danych o miejscu wykonywania pracy zdalnej. Podstawą prawną przetwarzania przez pracodawcę adresu w celu ustalenia wykonywania pracy zdalnej będą przepisy ustawy dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych. RODO określa, że zgoda nie powinna stanowić ważnej podstawy prawnej przetwarzania danych osobowych w szczególnej sytuacji, w której istnieje wyraźny brak równowagi między osobą, której dane dotyczą, a administratorem. W relacji pracodawca – pracownik występuje nierówność tych dwóch podmiotów. Odnosząc się do (…) art. 3 ust. 3 tzw. specustawy, jeszcze raz należy podkreślić, że przepis ten nie odwołuje się do warunków mieszkaniowych (lokalowych) lub rodzinnych pracownika przy polecaniu pracy zdalnej i nie daje on uprawnienia pracodawcom do weryfikowania tych warunków.W odniesieniu do obowiązków, jakie spoczywają na pracodawcy w zakresie wykonywania pracy zdalnej, zachęcamy do zapoznania się z materiałem zamieszczonym na stronie https://uodo.gov.pl/pl/138/1513.
Podstawa prawna
• art. 3 ustawy z 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (t.j. Dz.U. z 2020 r. poz. 1842; ost.zm. Dz.U. z 2020 r. poz. 2157; specustawa o COVID-19)
• art. 6 ust. 1 lit. a oraz c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE z 2016 r. L 119, s. 1; RODO)
• art. 223 par. 4 ustawy z 26 czerwca 1974 r. – Kodeks pracy (t.j. Dz.U. z 2020 r. poz. 1320)
