Inwentaryzacja wykazuje ubytek, rozliczenie delegacji jednego z handlowców wygląda zbyt gładko, a Państwo chcą wreszcie mieć pewność. Nasuwający się odruch: ukryta kamera, zajrzenie do służbowej skrzynki, sprawdzenie lokalizacji auta firmowego. Właśnie tu leży najdroższa pułapka ochrony danych pracowników — najpierw nadzorować, a dopiero potem pytać, czy było wolno. Bo gdy kontrola była bezprawna, jej wyniku często nie wolno Państwu wykorzystać przed sądem pracy, a ze złapanego złodzieja robi się pracownik z roszczeniem o odszkodowanie. Poniżej pokazujemy, kiedy według niemieckiego prawa wolno Państwu kontrolować, gdzie przebiegają granice i jak wyjaśnić sprawę podejrzenia, nie czyniąc się samemu podatnym na zarzut.
Znikają zapasy, jeden z pracowników jest na celowniku. Odruch, by zawiesić ukrytą kamerę, jest zrozumiały — tyle że wszystko rozstrzyga się tu na kolejności: najpierw musi istnieć konkretne, udokumentowane podejrzenie i muszą być wyczerpane łagodniejsze drogi wyjaśnienia. Kto włączy kamerę wcześniej, ryzykuje, że nagrania później nikt nie będzie mógł zobaczyć.
Handlowiec rozlicza przejazdy i spotkania, które się nie odbyły; inny godzinami surfuje prywatnie. Zajrzenie do służbowej skrzynki, do historii przeglądarki albo do danych GPS wydaje się oczywiste — jest jednak pod względem ochrony danych ryzykowne i zależy w decydujący sposób od tego, czy prywatne używanie było dozwolone i jak przejrzyście uregulowana jest kontrola.
Wprowadzają Państwo rejestrację czasu pracy przez aplikację, telematykę w autach firmowych albo kontrolę dostępu z analizą danych. Takie systemy nadają się do kontroli zachowania i wydajności — i dlatego podlegają współdecydowaniu. Wdrożenie bez rady zakładowej i bez czystej podstawy w ochronie danych wróci później do Państwa jak bumerang.
Punkt wyjścia jest prosty: dane osobowe Państwa pracowników wolno Państwu przetwarzać do celów stosunku pracy, jeśli jest to niezbędne dla jego nawiązania, wykonywania lub zakończenia (§ 26 ust. 1 zd. 1 BDSG). Przepis ten wypełnia dla stosunku pracy europejski wymóg, że każde przetwarzanie danych potrzebuje podstawy prawnej (art. 6 RODO), i opiera się na wyraźnej klauzuli otwierającej dla danych pracowniczych (art. 88 RODO). „Niezbędne" to decydująca dźwignia — i najczęstszy punkt pęknięcia. Powszechny, ciągły nadzór, który protokołuje każdy ruch, praktycznie nigdy nie jest niezbędny; obejmuje osoby niezaangażowane, gromadzi więcej, niż wymaga cel, i jest przez to niedopuszczalny.
Na zgodzie pracownika mogą się Państwo oprzeć tylko w ograniczonym zakresie. W stosunku pracy dobrowolność podlega szczególnemu badaniu, bo pracownik jest od Państwa zależny (§ 26 ust. 2 BDSG). Ryczałtowa zgoda na dowolne kontrole, „współpodpisana" w umowie o pracę, dlatego z reguły się nie ostaje. Proszę oprzeć się raczej na nośnej podstawie ustawowej i przejrzystej regulacji zakładowej niż na podpisie, który w sporze uchodzi za niedobrowolny.
Praktyka Przed każdym środkiem kontroli proszę zadać sobie w tej kolejności pytania: jaki konkretny cel realizuję? Czy środek jest do tego rzeczywiście niezbędny, czy dałoby się też łagodniej? Jak głęboko wnika w dobra osobiste i kogo dotyka? Kto odpowie na te trzy pytania wcześniej na piśmie, ma w razie potrzeby dokładnie tę dokumentację, na której później wszystko się opiera — i często sam zauważa, że planowany środek strzela ponad cel.
Gdy robi się konkretnie — kradzież, oszustwo, sprzeniewierzenie — obowiązuje zaostrzona reguła. Do wykrycia przestępstwa wolno Państwu przetwarzać dane pracowników tylko wtedy, gdy podlegające udokumentowaniu, rzeczywiste przesłanki uzasadniają podejrzenie, że dana osoba popełniła w ramach stosunku pracy przestępstwo, przetwarzanie jest do wykrycia niezbędne, a godny ochrony interes pracownika nie przeważa — w szczególności rodzaj i zakres środka nie są w stosunku do powodu nieproporcjonalne (§ 26 ust. 1 zd. 2 BDSG). Trzy rzeczy stoją tu twardo w ustawie: konkretne podejrzenie, jego udokumentowanie i proporcjonalność. Brak jednej z nich — środek upada.
Dla ukrytego monitoringu wizyjnego orzecznictwo wcześnie i surowo rozpisało te wymogi. Potajemna obserwacja pracowników kamerą jest dopuszczalna tylko wtedy, gdy istnieje konkretne podejrzenie czynu karalnego albo innego ciężkiego naruszenia na szkodę pracodawcy, mniej dotkliwe środki wyjaśnienia zostały wyczerpane bez skutku, ukryty nadzór jest przez to praktycznie jedynym pozostałym środkiem, a całościowo nie jest nieproporcjonalny (BAG, wyrok z 27.03.2003 — 2 AZR 51/02; potwierdzone dla sali sprzedaży przez BAG, wyrok z 21.06.2012 — 2 AZR 153/11, oraz dla wypowiedzenia z przyczyn zachowania przez BAG, wyrok z 22.09.2016 — 2 AZR 848/15). „Wyczerpane bez skutku" znaczy: kontrole inwentaryzacyjne, zasada dwóch par oczu, kontrola wydania towaru, kamery jawne — co jest łagodniejsze, musi być najpierw wypróbowane.
Jawny monitoring wizyjny miejsc powszechnie dostępnych — sala sprzedaży, recepcja, parking — ma własną podstawę i wymaga przede wszystkim, by obserwacja i administrator danych byli rozpoznawalni (§ 4 BDSG, w szczególności obowiązek oznaczenia w ust. 2). Ukryty i jawny to więc dwa zupełnie różne światy: jawna kamera żyje z przejrzystości, ukryta z surowego wyjątku.
Praktyka Najgroźniejsza kolejność jest najczęstsza: najpierw zawiesić kamerę, nagrać sprawcę — i dopiero potem zapytać adwokata, czy było wolno. Proszę utrwalić podejrzenie, jego rzeczywiste przesłanki i już bezskutecznie wypróbowane łagodniejsze środki na piśmie przed podjęciem środka. Ta dokumentacja to nie biurokracja, lecz różnica między nagraniem, które da się wykorzystać, a kosztownym strzałem we własną bramkę.
Poza przypadkiem podejrzenia chodzi zwykle o kontrolę bieżącą. Tu często decyduje szczegół, który łatwo przeoczyć: czy wolno Państwu kontrolować służbową skrzynkę i dostęp do internetu, zależy w decydujący sposób od tego, czy prywatne używanie zostało dozwolone, tolerowane czy zakazane. Gdy prywatne używanie jest dozwolone lub tolerowane, kontrola robi się wyraźnie węższa; gdy jest jasno zakazane i ograniczone do celów służbowych, mają Państwo większy margines. Jasna, pisemna regulacja używania nie jest więc formalizmem, lecz zwrotnicą tego, w co w ogóle będą Państwo później mogli wglądać — i czy analizę wolno w sporze wykorzystać.
Przy GPS i telematyce w autach firmowych lokalizacja do dysponowania flotą, logistyki lub ochrony pojazdu przed kradzieżą łatwiej daje się uzasadnić niż stałe tworzenie profilu ruchu, które w rzeczywistości nadzoruje pracownika. Jak wąskie są granice, pokazuje senat karny Trybunału Federalnego (Bundesgerichtshof): potajemne umieszczanie odbiorników GPS w celu tworzenia profili ruchu — tam przez agencję detektywistyczną — wypełnia znamiona przestępstwa nieuprawnionego pozyskiwania danych; uprawnienie do tego istnieje tylko w wąskich przypadkach wyjątkowych (BGH, wyrok z 04.06.2013 — 1 StR 32/13). Co dla zleconej agencji detektywistycznej jest karalne, nie może bez dalszych warunków być dozwolone dla pracodawcy.
Rejestracja czasu pracy jest wreszcie wprawdzie wskazana i co do zasady dopuszczalna — początek, koniec i długość czasu pracy to legalne dane. Jednak zależnie od systemu staje się kontrolą zachowania i wydajności: kto mierzy, kiedy ktoś ostatnio poruszył myszą, jak długo naprawdę trwają przerwy albo jakie drogi w zakładzie się pokonuje, wychodzi poza czystą rejestrację czasu. Właśnie na tej granicy z nieszkodliwego narzędzia robi się urządzenie nadzorujące — ze wszystkimi skutkami dla ochrony danych i współdecydowania.
Gdzie działa rada zakładowa, tam przy technicznych środkach kontroli nie tylko trzeba ją informować, lecz z nią współdecydować. Wprowadzenie i stosowanie urządzeń technicznych, które są przeznaczone do nadzorowania zachowania lub wydajności pracowników, podlega wymuszalnemu współdecydowaniu (§ 87 ust. 1 nr 6 BetrVG). „Przeznaczone" rozumie się przy tym szeroko: wystarczy, że urządzenie obiektywnie nadaje się do nadzoru — Państwa zamiar nadzoru nie ma znaczenia. Kamera, oprogramowanie do rejestracji czasu i telematyki, kontrole dostępu i przy bramie, narzędzia analityczne w ruchu e-mailowym i sieciowym: wszystkie one typowo pod to podpadają.
Praktycznie znaczy to: bez zgody rady zakładowej — albo, gdy się Państwo nie porozumieją, bez rozstrzygnięcia komisji rozjemczej (§ 87 ust. 2 BetrVG) — nie wolno Państwu takiego systemu wprowadzić. Jeśli mimo to go Państwo zastosują, wprowadzenie jest sprzeczne ze współdecydowaniem; to może zablokować używanie i dodatkowo obciążyć wykorzystanie tak pozyskanych danych. Rada zakładowa nie jest więc Państwa przeciwnikiem, lecz drogą do nośnej podstawy: porozumienie zakładowe, które reguluje cel, zakres, dostęp i usuwanie danych, czyni kontrolę bezpieczną prawnie — i zarazem jest zdatną podstawą prawną przetwarzania danych.
Praktyka Planując nowy system, proszę włączyć radę zakładową wcześnie do współpracy — nie dopiero po wdrożeniu. Czyste porozumienie zakładowe oszczędza Państwu dwie budowy naraz: konflikt o współdecydowanie i pytanie o podstawę prawną w ochronie danych. W ostrym przypadku podejrzenia z kolei udział załatwia się inaczej — także tu obowiązuje: najpierw sprawdzić zwrotnicę, potem działać.
Niedopuszczalny nadzór jest nie tylko „przykry" — uderza w trzech miejscach jednocześnie, a pierwsze trafia Państwa tam, gdzie właściwie chcieli Państwo wygrać.
Gdy nadzorowali Państwo bezprawnie, sąd pracy może wyłączyć tak pozyskane ustalenia jako dowód. Federalny Trybunał Konstytucyjny wyjaśnił, że sam interes w zabezpieczeniu środka dowodowego nie usprawiedliwia ingerencji w dobra osobiste — sam sposób pozyskania informacji musi być usprawiedliwiony (BVerfG, postanowienie z 09.10.2002 — 1 BvR 1611/96). Skutek praktyczny: przyłapany na zakazanym nagraniu pracownik może zachować pracę, bo wypowiedzenie upada bez dowodu, który wolno wykorzystać.
Naruszenie zasad przetwarzania może zostać przez organ ochrony danych ukarane dotkliwą karą pieniężną — przy ciężkich naruszeniach do 20 milionów euro albo 4 procent światowego rocznego obrotu, w zależności od tego, która kwota jest wyższa (art. 83 ust. 5 RODO). Dla większości przedsiębiorstw groźniejszy jest miernik procentowy.
Nadzorowany pracownik może żądać naprawienia poniesionej szkody majątkowej i niemajątkowej (art. 82 RODO). Z podejrzanego robi się w ten sposób osoba dochodząca roszczenia — a Państwo płacą za środek, który podejrzenia nawet nie wyjaśnił w sposób nadający się do wykorzystania.
Te trzy skutki działają niezależnie od siebie. Nawet gdy pracownik rzeczywiście coś zrobił, bezprawne wyjaśnienie może pozbawić wypowiedzenie wartości i dodatkowo wciągnąć Państwa w odpowiedzialność. Właśnie dlatego sprawa rozstrzyga się przed kamerą, a nie po niej.
Proszę utrwalić na piśmie, jakie rzeczywiste przesłanki uzasadniają podejrzenie, przeciwko komu jest skierowane i na czym się opiera. Ta dokumentacja to nie ozdobnik, lecz ustawowa przesłanka każdego ukrytego wyjaśnienia (§ 26 ust. 1 zd. 2 BDSG) — a w procesie Państwa najważniejszy dowód na to, że środek był dozwolony.
Zanim ukryta kamera albo odczyt danych w ogóle wejdą w rachubę, muszą być wypróbowane kontrole jawne, środki organizacyjne i zawężenie kręgu podejrzanych. Proszę zanotować, co Państwo próbowali i dlaczego to nie wystarczyło — to dowód niezbędności.
Proszę zważyć powód wobec głębokości ingerencji: czas trwania, zakres, dotknięty krąg osób, wrażliwość danych. Strefy tabu jak przebieralnie, sanitariaty czy powszechna, stała obserwacja praktycznie nigdy nie dają się uzasadnić. Co jest nieproporcjonalne, pozostaje takie także przy najlepszym podejrzeniu.
Przy bieżących systemach technicznych nie ma drogi obok współdecydowania (§ 87 ust. 1 nr 6 BetrVG). Proszę ustalić porozumieniem zakładowym cel, zakres, prawa dostępu i terminy usuwania — tym spełniają Państwo współdecydowanie i podstawę w ochronie danych w jednym kroku.
Właśnie gdy ma iść szybko, o możliwości wykorzystania i o odpowiedzialności decyduje pierwsze ustawienie zwrotnicy. Proszę dać sprawdzić planowaną drogę, zanim kamera ruszy albo dane zostaną odczytane — kolejność jest tu wszystkim.
Trzeba rozróżnić dwa bardzo różne ryzyka kosztowe. Jedno to ryzyko nadzorcze: potwierdzone naruszenie ochrony danych może pociągnąć karę pieniężną, której ramy sięgają do 20 milionów euro albo 4 procent światowego rocznego obrotu (art. 83 ust. 5 RODO) — rzeczywista wysokość zależy od ciężaru, umyślności i Państwa współdziałania. Drugie to spór z zakresu prawa pracy: gdy wypowiedzenie upada na zakazie wykorzystania dowodu albo pracownik żąda odszkodowania (art. 82 RODO), sprawa trafia przed sąd pracy, gdzie w pierwszej instancji każda strona ponosi własne koszty adwokata sama — także przy wygranej.
Stałych cen ryczałtowych świadomie nie podajemy: to, czy chodzi o bezpieczne prawnie ukształtowanie bieżącej kontroli, czy o wyjaśnienie ostrego podejrzenia, robi dla nakładu i ryzyka całą różnicę. Rząd wielkości poznają Państwo, gdy tylko będziemy wiedzieć, o co chodzi — a z reguły wcześniejsze ustawienie zwrotnicy jest wyraźnie tańsze niż naprawa środka, który przed sądem się nie ostaje. Gdy przy sprawie pojawiają się równolegle inne pytania kadrowe, pomagają nasze poradniki o porozumieniu zakładowym (Betriebsvereinbarung), o wysłuchaniu rady zakładowej przed wypowiedzeniem oraz — gdy z podejrzenia ma wyrosnąć rozstanie — o wypowiedzeniu z powodu podejrzenia, o upomnieniu pracownika (Abmahnung) i o wypowiedzeniu przez pracodawcę. Pozostałe sprawy kadrowe zebraliśmy w dziale Pracodawca i kadry.
Tylko pod wąskimi warunkami. Musi istnieć konkretne, udokumentowane rzeczywistymi przesłankami podejrzenie przestępstwa lub ciężkiego naruszenia, łagodniejsze środki wyjaśnienia muszą być wyczerpane bez skutku, a ukryty nadzór nie może być całościowo nieproporcjonalny (§ 26 ust. 1 zd. 2 BDSG; BAG, wyrok z 27.03.2003 — 2 AZR 51/02; BAG, wyrok z 21.06.2012 — 2 AZR 153/11). Kto włączy kamerę przed tym badaniem, ryzykuje zakaz wykorzystania dowodu.
Zależy to w decydujący sposób od tego, czy prywatne używanie jest dozwolone, tolerowane czy zakazane. Przy dozwolonym lub tolerowanym używaniu prywatnym granice są wyraźnie węższe; przy jasnym ograniczeniu do celów służbowych mają Państwo większy margines. W każdym razie kontrola musi być dla konkretnego celu niezbędna i proporcjonalna (§ 26 ust. 1 BDSG). Pisemna regulacja używania to decydująca zwrotnica.
Z reguły tak. Systemy telematyki i lokalizacji nadają się do nadzorowania zachowania i wydajności i przez to podlegają współdecydowaniu (§ 87 ust. 1 nr 6 BetrVG). Dodatkowo przetwarzanie potrzebuje nośnej podstawy prawnej. Potajemne, stałe tworzenie profilu ruchu jest szczególnie krytyczne — Trybunał Federalny zakwalifikował je w sprawie agencji detektywistycznej nawet jako karalne nieuprawnione pozyskiwanie danych (BGH, wyrok z 04.06.2013 — 1 StR 32/13).
Trzy skutki naraz: sąd pracy może wyłączyć ustalenia jako dowód (zakaz wykorzystania dowodu; por. BVerfG, postanowienie z 09.10.2002 — 1 BvR 1611/96), organ nadzorczy może nałożyć karę pieniężną (art. 83 RODO), a dotknięty pracownik może żądać odszkodowania (art. 82 RODO). Nawet rzeczywiście popełnionej kradzieży często nie da się wtedy ukarać w sposób nadający się do wykorzystania.
Przeważnie nie. W stosunku pracy dobrowolność zgody podlega ze względu na zależność pracownika szczególnemu badaniu (§ 26 ust. 2 BDSG). Ryczałtowa klauzula umowna, która ma pokryć dowolne kontrole, z reguły się nie ostaje. Nośniejsze są podstawa ustawowa i jasna regulacja zakładowa, na przykład porozumienie zakładowe.
Odezwiemy się do Państwa — zwykle w ciągu 24 godzin, w dni robocze gwarantowane w ciągu 48. Zwłaszcza gdy w powietrzu wisi podejrzenie, a Państwo zastanawiają się, jak je wyjaśnić, liczy się właściwa kolejność — proszę opisać sprawę raczej wcześniej, niż zadziałają Państwo sami.
„Najdroższa kamera to ta, która pracuje bez podejrzenia i bez dokumentacji — na końcu przed sądem staje nie złodziej, lecz pracodawca", mówi adwokat Sebastian Müller.
Opiszą Państwo krótko, o co chodzi — otrzymają Państwo pierwszą ocenę. Odezwiemy się do Państwa — zwykle w ciągu 24 godzin, w dni robocze gwarantowane w ciągu 48.
Opisz swoją sprawę