Ewidencja czasu pracy w świetle RODO
Prowadzenie ewidencji czasu pracy jest obowiązkiem każdego pracodawcy wynikającym z Kodeksu pracy. Jednocześnie od 25 maja 2018 roku pracodawcy muszą przestrzegać przepisów RODO (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679) w zakresie ochrony danych osobowych pracowników. Czy te dwa obowiązki mogą kolidować? Jak prowadzić ewidencję czasu pracy zgodnie z RODO? Na te pytania odpowiadamy w tym artykule.
Podstawa prawna przetwarzania danych w ewidencji czasu pracy
RODO wymaga, aby każde przetwarzanie danych osobowych miało odpowiednią podstawę prawną (art. 6 RODO). W przypadku ewidencji czasu pracy mamy do czynienia z kilkoma podstawami:
- Art. 6 ust. 1 lit. c RODO — przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Ewidencja czasu pracy to obowiązek wynikający z art. 149 Kodeksu pracy i rozporządzenia o dokumentacji pracowniczej.
- Art. 6 ust. 1 lit. b RODO — przetwarzanie jest niezbędne do wykonania umowy (umowy o pracę), której stroną jest pracownik.
- Art. 6 ust. 1 lit. f RODO — uzasadniony interes administratora (np. kontrola efektywności, planowanie zasobów).
Oznacza to, że pracodawca nie musi uzyskiwać zgody pracownika na prowadzenie ewidencji czasu pracy — ma do tego podstawę prawną w przepisach prawa pracy.
Jakie dane można zbierać?
Zasada minimalizacji danych (art. 5 ust. 1 lit. c RODO) nakazuje zbieranie tylko tych danych, które są niezbędne do celu przetwarzania. W kontekście ewidencji czasu pracy oznacza to:
Dane dozwolone (niezbędne)
- Godziny rozpoczęcia i zakończenia pracy.
- Czas trwania przerw.
- Godziny nadliczbowe i praca w porze nocnej.
- Rodzaje i terminy nieobecności.
- Imię, nazwisko i stanowisko pracownika (identyfikacja w ewidencji).
Dane wymagające dodatkowej analizy
- Lokalizacja GPS — dopuszczalna, jeśli jest uzasadniona charakterem pracy (np. pracownicy terenowi), ale wymaga informacji dla pracownika i proporcjonalności.
- Dane biometryczne — podlegają szczególnej ochronie jako dane wrażliwe (art. 9 RODO). Ich przetwarzanie wymaga spełnienia dodatkowych warunków.
- Zdjęcia z kamer monitoringu — monitoring wizyjny przy wejściu podlega odrębnym zasadom (art. 22² Kodeksu pracy).
Biometria w systemach RCP — czy jest legalna?
To jedno z najczęściej zadawanych pytań. Art. 22¹b Kodeksu pracy (dodany nowelizacją z 2019 r.) reguluje tę kwestię:
Przetwarzanie danych biometrycznych pracownika jest dopuszczalne, gdy jest to niezbędne do kontroli dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę, lub dostępu do pomieszczeń wymagających szczególnej ochrony.
Oznacza to, że użycie odcisku palca wyłącznie do rejestracji czasu pracy (bez powiązania z kontrolą dostępu do chronionych pomieszczeń) jest co do zasady niedopuszczalne. Prezes UODO wielokrotnie wskazywał, że istnieją mniej inwazyjne metody identyfikacji pracowników.
W praktyce bezpieczniejsze i zgodne z RODO są metody takie jak karty RFID, kody QR czy logowanie w aplikacji.
Obowiązek informacyjny pracodawcy
Zgodnie z art. 13 RODO, pracodawca musi poinformować pracowników o:
- Tożsamości administratora danych — kto przetwarza dane (firma, dane kontaktowe).
- Celu przetwarzania — ewidencja czasu pracy na potrzeby rozliczenia wynagrodzenia.
- Podstawie prawnej — art. 149 KP, rozporządzenie o dokumentacji pracowniczej.
- Odbiorcach danych — np. dostawca systemu RCP, biuro księgowe.
- Okresie przechowywania — 10 lat od zakończenia stosunku pracy.
- Prawach pracownika — prawo dostępu, sprostowania, ograniczenia przetwarzania.
Informację tę najlepiej przekazać pracownikom na piśmie — np. jako załącznik do regulaminu pracy lub odrębny dokument wręczany przy zatrudnieniu.
Powierzenie przetwarzania danych dostawcy systemu RCP
Gdy korzystasz z zewnętrznego systemu ewidencji czasu pracy (np. chmurowego), dostawca tego systemu staje się podmiotem przetwarzającym dane w Twoim imieniu. Art. 28 RODO wymaga w takiej sytuacji zawarcia umowy powierzenia przetwarzania danych, która określa:
- Zakres i cel przetwarzania.
- Rodzaj danych osobowych.
- Czas trwania przetwarzania.
- Obowiązki i prawa administratora.
- Środki bezpieczeństwa stosowane przez dostawcę.
Przed wyborem systemu RCP sprawdź, czy dostawca oferuje gotową umowę powierzenia i jakie certyfikaty bezpieczeństwa posiada.
Przechowywanie i usuwanie danych
RODO nakazuje przechowywanie danych nie dłużej, niż jest to konieczne. W przypadku ewidencji czasu pracy okresy przechowywania wynikają z Kodeksu pracy:
- 10 lat po zakończeniu stosunku pracy (dla umów od 1.01.2019).
- 50 lat dla starszych umów (z możliwością skrócenia do 10 lat).
Po upływie tych terminów dane muszą zostać usunięte lub zanonimizowane. System elektroniczny pozwala na automatyczne zarządzanie retencją danych — znacznie łatwiej niż w przypadku papierowych archiwów.
Praktyczne wskazówki dla pracodawców
- Nie zbieraj więcej danych niż potrzeba — jeśli nie potrzebujesz GPS, nie włączaj tej funkcji.
- Unikaj biometrii do celów RCP — karty, kody QR i aplikacje mobilne są wystarczające i zgodne z RODO.
- Przygotuj klauzulę informacyjną — krótki, zrozumiały dokument dla pracowników.
- Podpisz umowę powierzenia z dostawcą systemu — to obowiązek, nie opcja.
- Ogranicz dostęp do danych — tylko osoby, które potrzebują danych do pracy (HR, przełożeni), powinny je widzieć.
- Reaguj na żądania pracowników — pracownik ma prawo wglądu w swoje dane i żądania ich sprostowania.
- Zadbaj o bezpieczeństwo techniczne — szyfrowanie, silne hasła, regularne aktualizacje systemu.
Podsumowanie
RODO i ewidencja czasu pracy nie są ze sobą w konflikcie — ale wymagają świadomego podejścia. Pracodawca ma prawo i obowiązek prowadzić ewidencję, ale musi to robić z poszanowaniem zasad ochrony danych osobowych: minimalizacji, celowości, transparentności i bezpieczeństwa. Elektroniczny system RCP, taki jak TimeHunter, ułatwia spełnienie tych wymogów — oferuje kontrolę dostępu, szyfrowanie danych, gotowe umowy powierzenia i automatyczne zarządzanie retencją.