O tym, że ukryty monitoring pracowników w szczególnych okolicznościach, krótko mówiąc w celu wykrycia sprawcy kradzieży czy innych naruszeń prawa na szkodę pracodawcy, jest legalny można dowodzić odwołując się do argumentacji opartej na rodo, kodeksie cywilnym, kodeksie postępowania cywilnego, a także innych przepisach prawa. Generalnie argumentacja ta jest analogiczna do przedstawionej przeze mnie na potrzeby uzasadnienia możliwości przekazania danych osobowych sprawcy przestępstwa innemu administratorowi (innej spółce z grupy), o czym pisałem w tym miejscu.
Cel monitoringu
Tutaj warto jedynie uzupełnić, że do stosowania tego monitoringu nie stoi na przeszkodzie również prawo pracy. Art. 22(2) i n. k.p. dotyczy bowiem monitoringu w celu zapobiegania naruszeniom prawa, natomiast monitoring ukryty ma na celu wykrycie naruszenia, czy też potwierdzenie uzasadnionego podejrzenia co do naruszenia, i zabezpieczenie dowodów. Stosując monitoring ukryty, pracodawca niejako robi to w zastępstwie organów powołanych do ścigania przestępstw. Nie było by więc właściwe stosować do tego zdarzenia prawnego, regulacji przewidzianej dla innych celów.
Dodatkowo należy wskazać, że działanie pracodawcy musi być proporcjonalne, a więc podejmowane w ograniczonym zakresie, co do czasu i miejsca rejestracji obrazu.
OI
Zakładając, że taki monitoring ukryty jest dopuszczalny, powstaje pytanie, co ze spełnieniem obowiązku informacyjnego, jak wiadomo bowiem rodo każe informować osobę, której dane dotyczą o tym, że jej dane są przetwarzane.
Obowiązek informacyjny jest uregulowany w art. 13 i 14 rodo. Art. 13 rodo dotyczy zbierania danych od osoby, której dane dotyczą, zaś art. 14 rodo przypadku pozyskiwania danych osobowych w sposób inny niż od osoby, której dane dotyczą. W pierwszym rzędzie należy rozstrzygnąć, który z tych przepisów ma zastosowanie do ukrytego monitoringu pracownika.
Świadomość osoby, że jej dane są zbierane
Aby odpowiedzieć na to pytanie należy ustalić, jaka jest istota tych przepisów, co oznacza zwrot „od osoby” i „w sposób inny niż od osoby”. Według mnie kryterium odróżnienia, jest tu świadomość osoby, że jej dane są zbierane. Stąd w art. 13 mowa jest o tym, że treść klauzuli informacyjnej ma dotrzeć (przynajmniej w swojej pierwszej warstwie) do osoby, podczas pozyskiwania danych. Świadczy to o intencji prawodawcy uregulowania w art. 13 sytuacji, gdy osoba, której dane dotyczą jest świadomym uczestnikiem pozyskiwania jej danych przez administratora, natomiast sama klauzula ma tę świadomość wzbogacić i sprecyzować.
Z kolei art. 14 dotyczy sytuacji, gdy osoba nie jest świadoma, że jej dane zostały zebrane. Taka sytuacja ma najczęściej miejsce, gdy dane osoby zostaną przekazane innemu administratorowi (odbiorcy) przez aktualnego administratora. Aktualny administrator często nie informuje osoby, w swojej klauzuli z art. 13, o konkretnych odbiorcach, tylko ich kategorii, art. 14 służy więc do tego, żeby osoba, której dane dotyczą dowiedziała się o kolejnym administratorze od niego samego. Z tego też powodu kolejny administrator nie przekazuje klauzuli informacyjnej podczas pozyskiwania danych, ale w rozsądnym terminie od pozyskania danych, nie później niż w ciągu miesiąca, ewentualnie przy pierwszym kontakcie albo przy pierwszym ujawnieniu, jeśli dane mają być dalej udostępnione.
Monitoring jawny a ukryty
O ile więc monitoring jawny, którego pracownik jest świadomy, powinien być zakwalifikowany pod hipotezę art. 13 rodo, bowiem osoba jest (ma być zgodnie z celem tego monitoringu) świadoma pozyskiwania przez administratora jej danych, o tyle monitoring ukryty, którego osoba ma nie być świadoma, bo inaczej jego cel zostałby zniweczony, powinien być zakwalifikowany pod hipotezę art. 14 rodo.
Taka kwalifikacja otwiera drogę do zastosowania art. 14 ust. 5 lit. b rodo, a więc administrator nie spełnia obowiązku informacyjnego, o ile obowiązek ten może uniemożliwić lub poważnie utrudnić realizację celów takiego przetwarzania.