Czy pracodawca może kontrolować służbową pocztę?

Tak, pracodawca może kontrolować służbową pocztę elektroniczną, ale tylko w granicach określonych przez Kodeks pracy i RODO. Monitoring musi mieć konkretny, niezbędny cel, być proporcjonalny i wcześniej zakomunikowany pracownikom. Nie daje on prawa do swobodnego czytania prywatnej korespondencji.

Na jakiej podstawie pracodawca może kontrolować pocztę?

Podstawę stanowi art. 22³ Kodeksu pracy. Pracodawca może wprowadzić monitoring służbowej poczty elektronicznej, jeżeli jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy albo do właściwego użytkowania narzędzi pracy udostępnionych pracownikowi.

Nie oznacza to dowolnego nadzoru nad pracownikiem. Pracodawca powinien ocenić, czy kontrola jest rzeczywiście potrzebna, jaki zakres danych wystarczy do osiągnięcia celu i czy nie da się zastosować mniej ingerującego rozwiązania. W wielu sytuacjach wystarczająca może być analiza logów, liczby wiadomości, czasu wysyłania lub danych odbiorców. Stałe czytanie pełnej treści korespondencji będzie trudniejsze do uzasadnienia.

W praktyce trzeba odróżnić dwa rodzaje działań:

• Monitoring poczty elektronicznej – systematyczna, stała kontrola skrzynki lub określonych danych związanych z jej używaniem.
• Kontrola doraźna – incydentalny dostęp do poczty, na przykład podczas nagłej nieobecności pracownika, gdy trzeba znaleźć wiadomość niezbędną do zachowania ciągłości pracy.
• Dostęp zastępczy – ograniczone wyszukanie korespondencji służbowej po odejściu pracownika albo w sytuacji pilnej sprawy wymagającej reakcji.
• Kontrola narzędzia pracy – sprawdzenie, czy służbowa skrzynka jest wykorzystywana zgodnie z ustalonymi zasadami i przeznaczeniem.

Kontrola incydentalna nie zawsze jest monitoringiem w rozumieniu art. 22³ Kodeksu pracy, ale nadal musi być zgodna z zasadami proporcjonalności, przejrzystości i poszanowania prywatności. Sam fakt, że skrzynka należy do pracodawcy, nie uzasadnia nieograniczonego dostępu do całej jej zawartości.

Jak pracodawca powinien poinformować o monitoringu?

Pracodawca musi określić cel, zakres i sposób stosowania monitoringu w układzie zbiorowym pracy, regulaminie pracy albo – gdy nie ma obowiązku ustalenia regulaminu – w obwieszczeniu. Informacja powinna być zrozumiała i wskazywać między innymi, jakie dane są kontrolowane, kto może mieć do nich dostęp oraz jak długo będą przechowywane.

Wdrożenie monitoringu powinno przebiegać w następującej kolejności:

1. Ustalenie celu – pracodawca wskazuje, czy kontrola ma służyć organizacji pracy, właściwemu korzystaniu z narzędzi czy zapewnieniu ciągłości działania.
2. Ocena niezbędności i zakresu – należy ustalić, jakie dane wystarczą do realizacji celu i ograniczyć kontrolę do tego minimum.
3. Uregulowanie zasad – cele, zakres i sposób monitoringu wpisuje się do regulaminu pracy, układu zbiorowego albo obwieszczenia.
4. Poinformowanie pracowników – pracownicy powinni otrzymać informację o monitoringu najpóźniej dwa tygodnie przed jego uruchomieniem.
5. Spełnienie obowiązków z RODO – pracodawca przekazuje klauzulę informacyjną i wskazuje podstawę przetwarzania danych, okres retencji oraz osoby uprawnione do dostępu.

Nowy pracownik powinien zostać poinformowany o zasadach monitoringu przed dopuszczeniem do pracy. Kontrola ukryta jest co do zasady niedopuszczalna. Komunikat może być przekazany papierowo, elektronicznie, przez intranet albo w inny sposób przyjęty w danej organizacji.

Gdzie kończą się uprawnienia pracodawcy?

Art. 22³ § 2 Kodeksu pracy wyraźnie stanowi, że monitoring poczty nie może naruszać tajemnicy korespondencji ani innych dóbr osobistych pracownika. Tajemnica korespondencji jest chroniona także jako dobro osobiste oraz przez przepisy konstytucyjne.

Pracodawca nie może czytać wiadomości o oczywiście prywatnym charakterze. Dotyczy to również sytuacji, w której pracownik naruszył zakaz używania służbowej skrzynki do celów prywatnych. Zakaz organizacyjny może uzasadniać reakcję na samo korzystanie ze skrzynki niezgodnie z zasadami, ale nie uchyla ochrony prywatnej treści wiadomości.

Jeżeli pracodawca przypadkowo otworzy prywatną wiadomość, powinien natychmiast przerwać zapoznawanie się z jej treścią. Nie powinien przekazywać jej dalej ani wykorzystywać informacji w niej zawartych. Dostęp podczas nieobecności powinien zostać ograniczony do niezbędnego wyszukania korespondencji służbowej.

Dotyczy to także urlopu wypoczynkowego. Pracownik co do zasady nie musi stale sprawdzać służbowej skrzynki ani pozostawać w gotowości do wykonywania obowiązków. Wyjątkiem może być dyżur albo szczególne zasady związane z danym stanowiskiem. Samo posiadanie telefonu lub konta służbowego nie oznacza jednak obowiązku bieżącej dostępności.

Jakie znaczenie ma RODO?

Monitoring poczty wiąże się z przetwarzaniem danych osobowych. Pracodawca jako administrator musi stosować zasady RODO, w szczególności legalność, przejrzystość, ograniczenie celu, minimalizację danych, bezpieczeństwo i ograniczenie przechowywania.

Przed wdrożeniem systematycznego monitoringu pracodawca powinien ocenić jego skutki dla ochrony danych, czyli przeprowadzić DPIA. Jeżeli podstawą przetwarzania jest prawnie uzasadniony interes, należy także wykonać test równowagi. Polega on na sprawdzeniu, czy interes pracodawcy przeważa nad prawem pracowników do prywatności i tajemnicy korespondencji.

Pracodawca powinien z góry określić okres przechowywania danych. Nie ma jednego ustawowego terminu dla danych z monitoringu poczty, dlatego retencja musi wynikać z celu i nie może trwać dłużej, niż jest to potrzebne. Dostęp do informacji powinny mieć tylko osoby upoważnione i zobowiązane do zachowania poufności.

Najczęstsze pytania

• Czy potrzebna jest zgoda pracownika? – Co do zasady nie. Zgoda nie zastępuje obowiązku wskazania celu, ograniczenia zakresu kontroli i poinformowania pracownika.
• Czy pracodawca może czytać prywatne maile? – Nie. Ochrona prywatnej korespondencji obowiązuje także wtedy, gdy pracownik użył służbowej skrzynki wbrew zakazowi.
• Czy pracodawca może wejść do skrzynki podczas urlopu? – W wyjątkowej sytuacji może uzyskać ograniczony dostęp do niezbędnej korespondencji służbowej, aby zapewnić ciągłość pracy. Nie powinien przeglądać całej skrzynki ani oczekiwać stałej dostępności pracownika.
• Czy monitoring może być ukryty? – Co do zasady nie. Pracownik powinien wcześniej znać cel, zakres i sposób prowadzenia monitoringu.
• Co zrobić, gdy pracodawca przekracza uprawnienia? – Warto zachować regulamin, komunikaty i inne dowody, zgłosić sprawę pracodawcy lub inspektorowi ochrony danych, a przy podejrzeniu naruszenia prawa rozważyć kontakt z Państwową Inspekcją Pracy, UODO albo prawnikiem.

Najważniejsza granica jest prosta: kontrola służbowej poczty może służyć organizacji pracy, ale nie może zamienić się w nieograniczone czytanie korespondencji ani w ukryte śledzenie pracownika.

Artykuł ma charakter informacyjny i nie stanowi porady prawnej w konkretnej sprawie.