Komputer służbowy, firmowa sieć Wi-Fi i kilka minut na prywatne sprawy między zadaniami – taki obraz pracy jest codziennością także w biurach, szkołach, urzędach i zakładach na Podkarpaciu. Czy pracodawca może sprawdzać, co robisz w internecie w pracy? Tak, ale nie ma prawa robić tego bez ograniczeń ani potajemnie. Zakres kontroli musi mieć konkretny cel, być proporcjonalny i zostać jasno zakomunikowany zatrudnionym.
Czy pracodawca może sprawdzać internet w pracy?
Pracodawca odpowiada za organizację pracy, bezpieczeństwo danych oraz sprzęt, który udostępnia pracownikowi. Może więc kontrolować sposób korzystania ze służbowego komputera, poczty firmowej i sieci internetowej. Dotyczy to zwłaszcza sytuacji, gdy chce chronić dokumenty, zapobiegać atakom cybernetycznym, sprawdzać wykorzystanie narzędzi służbowych albo przeciwdziałać wyciekowi danych.
Nie oznacza to jednak zgody na stałe śledzenie każdego kliknięcia. Pracownik zachowuje prawo do prywatności, a pracodawca musi respektować przepisy Kodeksu pracy i RODO. Kontrola nie może wykraczać poza to, co rzeczywiście jest potrzebne w danym miejscu pracy.
Przykładowo firma może rejestrować, że służbowy komputer łączył się z określoną stroną lub że z firmowej skrzynki wysłano wiadomość z dużym załącznikiem. Znacznie ostrożniej należy oceniać analizę pełnej historii przeglądania, treści prywatnej korespondencji czy aktywności na prywatnych kontach społecznościowych.
Monitoring musi mieć cel i zasady
Kodeks pracy pozwala wprowadzić monitoring poczty elektronicznej, jeśli jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego używania udostępnionych pracownikowi narzędzi pracy. Przepisy dotyczące monitoringu przewidują też, że nie może on naruszać tajemnicy korespondencji ani innych dóbr osobistych pracownika.
W praktyce kontrola internetu bywa częścią szerszych zasad bezpieczeństwa informatycznego. Pracodawca powinien wtedy umieć odpowiedzieć na proste pytanie: po co zbiera te dane? Inaczej uzasadnia się blokowanie stron złośliwych lub serwisów hazardowych, a inaczej regularne zapisywanie całej aktywności konkretnej osoby.
Legalnie prowadzony monitoring powinien spełniać kilka podstawowych warunków:
- mieć określony i zgodny z prawem cel,
- ograniczać się do danych potrzebnych dla tego celu,
- być opisany w regulaminie pracy, układzie zbiorowym albo obwieszczeniu, gdy pracodawca nie ma obowiązku tworzenia regulaminu,
- zostać zakomunikowany pracownikowi przed dopuszczeniem go do pracy.
Co do zasady informację o wprowadzeniu monitoringu przekazuje się zatrudnionym co najmniej dwa tygodnie wcześniej. Pracodawca powinien również poinformować nową osobę o zasadach kontroli przed rozpoczęciem przez nią pracy. Samo zdanie rzucone przy wydawaniu laptopa, że „informatyk wszystko widzi”, nie jest rzetelną informacją o monitoringu.
Co firma może widzieć w sieci?
To zależy od zastosowanych narzędzi i przyjętych zasad. Administrator sieci może widzieć między innymi adresy odwiedzanych domen, czas połączeń, ilość przesyłanych danych czy próby wejścia na zablokowane strony. W wielu przypadkach system automatycznie tworzy takie logi dla bezpieczeństwa infrastruktury, nawet jeśli nikt nie śledzi na bieżąco pracy jednej osoby.
Inaczej wygląda kwestia treści. Zabezpieczenia techniczne nie dają pracodawcy automatycznego prawa do czytania prywatnych wiadomości, przeglądania prywatnych zdjęć czy analizowania zawartości konta w mediach społecznościowych. Jeżeli kontrola służbowej poczty ujawni wiadomość wyraźnie prywatną, granice dalszego działania wyznacza prawo do tajemnicy korespondencji i zasada minimalizacji danych.
Warto też odróżnić monitoring od zwykłego zarządzania systemem. Aktualizacja oprogramowania, blokada instalacji nieautoryzowanych aplikacji, filtrowanie niebezpiecznych stron lub sprawdzenie działania antywirusa zazwyczaj służą ochronie firmowego środowiska pracy. Nie powinny jednak stawać się pretekstem do zbierania informacji niezwiązanych z bezpieczeństwem i obowiązkami zawodowymi.
Służbowy laptop to nie to samo co prywatny telefon
Najszersze możliwości kontroli dotyczą urządzeń i kont służbowych. Jeżeli pracownik korzysta z firmowego laptopa, firmowej poczty oraz firmowej sieci, powinien zakładać, że aktywność techniczna może zostać zarejestrowana zgodnie z obowiązującymi zasadami.
Prywatny telefon podłączony do własnej transmisji danych jest inną sytuacją. Pracodawca co do zasady nie może sprawdzać, co pracownik robi na takim urządzeniu, ani żądać dostępu do prywatnych kont. Może natomiast określić zasady używania telefonu w czasie pracy, jeśli są one uzasadnione organizacją stanowiska lub bezpieczeństwem. W zakładzie produkcyjnym ograniczenie korzystania z telefonów przy maszynach może wynikać wprost z zasad BHP.
Więcej wątpliwości pojawia się przy prywatnym telefonie połączonym z firmowym Wi‑Fi. Sieć może technicznie rejestrować ruch, ale pracodawca nadal nie zyskuje prawa do dowolnego analizowania prywatnej aktywności. Szczególną ostrożność należy zachować również w modelu pracy z własnego sprzętu, czyli BYOD. Jeśli firma instaluje na prywatnym urządzeniu aplikację zarządzającą, pracownik powinien wiedzieć, jakie dane aplikacja gromadzi, czy może lokalizować urządzenie oraz czy administrator może zdalnie usuwać dane.
Prywatne sprawy w godzinach pracy – co wolno pracownikowi?
Nie ma jednego przepisu, który w każdym zakładzie przesądzałby, czy można na chwilę sprawdzić prywatną pocztę, wiadomości od szkoły dziecka albo lokalne informacje. Decydują regulamin pracy, polecenia pracodawcy, charakter stanowiska i praktyka przyjęta w firmie.
Jeżeli regulamin wyraźnie zakazuje prywatnego korzystania z internetu, pracownik powinien się do niego stosować. Gdy firma toleruje rozsądne, incydentalne używanie sieci, nadal nie oznacza to zgody na wielogodzinne oglądanie transmisji, prowadzenie własnej działalności czy pobieranie plików obciążających łącze. Problemem może być nie tylko strata czasu pracy, lecz także ryzyko wirusów, naruszenia licencji lub wycieku danych.
Pracodawca również powinien zachować zdrowy rozsądek. Krótkie sprawdzenie rozkładu jazdy, kontakt z przychodnią czy odpowiedź na pilną wiadomość rodzinną nie muszą świadczyć o nienależytym wykonywaniu obowiązków. Ocenie podlega kontekst: czas, częstotliwość, skutki dla pracy i obowiązujące zasady.
Czy monitoring może być dowodem w sporze?
Dane z monitoringu mogą mieć znaczenie, gdy pracodawca wyjaśnia incydent bezpieczeństwa, podejrzenie wynoszenia informacji, naruszenie obowiązków albo korzystanie z firmowych zasobów wbrew regulaminowi. Nie każdy zapis będzie jednak automatycznie podstawą do kary porządkowej czy zwolnienia. Znaczenie ma to, czy monitoring wprowadzono prawidłowo i czy konkretny dowód został pozyskany z poszanowaniem praw pracownika.
W razie zastrzeżeń warto najpierw poprosić o obowiązujące zasady na piśmie. Pracownik może zapytać, jakie dane są gromadzone, w jakim celu, jak długo będą przechowywane i kto ma do nich dostęp. Takie informacje powinny wynikać z dokumentacji przekazanej w związku z monitoringiem oraz z obowiązku informacyjnego dotyczącego przetwarzania danych osobowych.
Jeśli pracownik uważa, że kontrola jest nadmierna lub prowadzona bez informacji, może zgłosić sprawę przełożonemu, działowi kadr, inspektorowi ochrony danych, związkom zawodowym albo Państwowej Inspekcji Pracy. W sprawach dotyczących danych osobowych właściwy może być także Prezes Urzędu Ochrony Danych Osobowych. W konkretnym sporze, zwłaszcza gdy pojawia się kara lub wypowiedzenie, warto skorzystać z porady prawnika prawa pracy.
Najbezpieczniejsze rozwiązanie jest proste: pracodawca powinien jasno opisać granice kontroli, a pracownik traktować służbowy sprzęt jako narzędzie pracy. Jasne reguły zmniejszają napięcie w zespole i pozwalają uniknąć sytuacji, w której dopiero po konflikcie obie strony zastanawiają się, kto miał rację.