RODO a monitoring w pracy to temat, który spędza sen z powiek niejednemu przedsiębiorcy. Kamery w firmie są dziś standardem, ale ich montaż „na wszelki wypadek" potrafi skończyć się skargą pracownika, kontrolą albo karą. Dobra wiadomość: przepisy są jasne i da się je spełnić bez prawnika u boku. Trzeba tylko wiedzieć, co, komu i kiedy zakomunikować, jak długo trzymać nagrania i gdzie kamer stawiać nie wolno. W tym artykule tłumaczymy po ludzku, na jakiej podstawie firma może stosować monitoring, jakie obowiązki trzeba spełnić przed jego uruchomieniem, ile wolno przechowywać nagrania i jakie kary grożą za złamanie zasad. Wszystko w oparciu o polskie przepisy obowiązujące w 2026 roku.
Tak, ale nie w dowolnym celu. Monitoring pracowników reguluje art. 22² Kodeksu pracy, który dopuszcza kamery wyłącznie w czterech sytuacjach: dla zapewnienia bezpieczeństwa pracowników, ochrony mienia, kontroli produkcji oraz zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę. To katalog zamknięty. Oznacza to, że monitoringu nie wolno używać do kontrolowania wydajności czy „pilnowania", ile ktoś siedzi przy biurku.
Nagranie z kamery to dane osobowe (wizerunek, tablice rejestracyjne), więc obok Kodeksu pracy obowiązuje też RODO. Podstawą przetwarzania jest tu prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO), a to oznacza konkret: zanim zamontujesz kamery, powinieneś udokumentować rzeczywiste zagrożenie, które je uzasadnia (na przykład wcześniejsze kradzieże czy incydenty). Monitoring „bo tak wypada" nie spełnia tego wymogu.
Ważny szczegół techniczny: Kodeks pracy mówi o rejestracji obrazu. Nagrywanie dźwięku jest co do zasady niedozwolone i Prezes UODO traktuje je jako nadmiarowe.
To rozróżnienie jest kluczowe, bo wiele firm o nim zapomina. Kodeks pracy (art. 22²) dotyczy wyłącznie pracowników. Jeśli kamery obejmują też przestrzeń dostępną dla klientów, kontrahentów czy przypadkowych przechodniów, na przykład salę sprzedaży, parking albo wejście, to wobec tych osób podstawą jest samo RODO, również prawnie uzasadniony interes (art. 6 ust. 1 lit. f).
W praktyce oznacza to, że przy typowym sklepie czy biurze musisz spełnić dwa zestawy obowiązków naraz: wobec pracowników wynikające z Kodeksu pracy i wobec pozostałych osób wynikające z RODO.
Zanim pierwsza kamera zacznie nagrywać, trzeba dopełnić kilku formalności. Bez nich monitoring jest formalnie nielegalny, nawet jeśli technicznie działa bez zarzutu.
| Obowiązek | Podstawa prawna | Termin |
|---|---|---|
| Zapis celów, zakresu i sposobu w regulaminie pracy lub obwieszczeniu | art. 22² § 6 KP | przed uruchomieniem |
| Poinformowanie pracowników o monitoringu | art. 22² § 7 KP | 2 tygodnie przed uruchomieniem |
| Informacja na piśmie dla nowego pracownika | art. 22² § 8 KP | przed dopuszczeniem do pracy |
| Oznaczenie stref widocznymi znakami | art. 22² § 9 KP | 1 dzień przed uruchomieniem |
| Klauzula informacyjna wobec obserwowanych | art. 12–13 RODO | przy uruchomieniu |
| Wpis do rejestru czynności przetwarzania | art. 30 RODO | przed uruchomieniem |
Do tego dochodzą obowiązki, które zależą od skali: ocena skutków dla ochrony danych (DPIA, art. 35 RODO) przy monitoringu dużej skali w miejscach publicznych, upoważnienia dla osób z dostępem do nagrań (art. 29 RODO) oraz umowy powierzenia (art. 28 RODO) z każdą firmą zewnętrzną, która ma podgląd do nagrań, czyli z serwisem, obsługą IT lub ochroną.
Klauzulę informacyjną warto zbudować dwuwarstwowo: przy wejściu krótka tablica z najważniejszymi informacjami, a pełna treść (administrator, cel, okres przechowywania, prawa osób) dostępna na przykład na recepcji lub stronie internetowej. Taki model rekomenduje Europejska Rada Ochrony Danych.
Dla nagrań pracowników przepis jest jednoznaczny: maksymalnie 3 miesiące od dnia nagrania (art. 22² § 3 Kodeksu pracy). Wyjątek dotyczy sytuacji, gdy nagranie stanowi dowód w postępowaniu, wtedy okres przedłuża się do prawomocnego zakończenia sprawy (§ 4). Po upływie terminu nagrania trzeba usunąć lub nadpisać.
Dla monitoringu klientów i przestrzeni publicznej Kodeks pracy nie ma zastosowania wprost, ale obowiązuje zasada ograniczenia przechowywania z RODO (art. 5 ust. 1 lit. e). UODO zaleca tu okresy raczej krótsze, liczone w tygodniach niż w miesiącach, dlatego sklepy w praktyce stosują 14–30 dni. Zasada jest prosta: trzymaj nagrania tylko tak długo, jak realnie potrzebujesz.
Kodeks pracy (art. 22² § 1¹) wprost wyłącza spod monitoringu pomieszczenia sanitarne, szatnie, stołówki i palarnie, a także pomieszczenia udostępniane zakładowej organizacji związkowej. W przypadku pomieszczeń związkowych zakaz jest bezwzględny. Pozostałe (sanitarne, szatnie, stołówki, palarnie) można monitorować tylko wyjątkowo i pod czterema warunkami naraz: gdy jest to niezbędne do realizacji dozwolonego celu, nie narusza godności pracownika, zastosowano techniki uniemożliwiające rozpoznanie osób oraz uzyskano zgodę związków lub przedstawicieli pracowników.
Poza tym kamer nie wolno kierować na cudzą posesję ani drogę publiczną bez podstawy, o czym w grudniu 2025 roku przypomniał Prezes UODO, nakazując osobie prywatnej przekierowanie kamer w ciągu 7 dni. Nie działa tu „wyjątek domowy", potwierdził to Trybunał Sprawiedliwości UE w wyroku w sprawie Ryneš (C-212/13).
RODO przewiduje kary administracyjne do 20 mln euro lub 4% rocznego światowego obrotu firmy (art. 83). To górny pułap, w praktyce rzadko stosowany wobec drobnych firm, ale pokazuje skalę ryzyka.
Najgłośniejsza polska kara za monitoring dotyczy sektora medycznego: Centrum Medyczne Ujastek w Krakowie zapłaciło łącznie 1 145 891,25 zł (decyzja UODO o sygnaturze DKN.5131.4.2024) za ukryty monitoring na oddziale neonatologii bez podstawy prawnej i bez poinformowania osób, połączony z brakiem zabezpieczeń, czyli niezaszyfrowanymi kartami pamięci. Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę placówki.
Warto jednak uczciwie powiedzieć, że wobec prywatnych przedsiębiorców UODO za sam monitoring stosuje zwykle nakazy zaprzestania i upomnienia, a nie kary pieniężne. To nie znaczy, że można lekceważyć przepisy, bo do tego dochodzą inne ryzyka: roszczenia pracowników z tytułu naruszenia dóbr osobistych, nakaz demontażu systemu, a od 8 lipca 2026 roku wyższe grzywny Państwowej Inspekcji Pracy (mandat inspektora wzrósł z 2 000 do 5 000 zł, a grzywna sądowa do 60 000 zł).
Cały proces można sprowadzić do uporządkowanej listy kroków:
Tu dochodzimy do rzeczy, o której zapomina większość firm montujących same kamery. RODO w art. 32 wymaga odpowiednich zabezpieczeń technicznych, a rejestrator monitoringu to w praktyce mały komputer podłączony do sieci. Jeśli ma domyślne hasło, jest wystawiony do internetu albo trzyma nagrania na niezaszyfrowanym nośniku, stanowi realną lukę bezpieczeństwa. W polskim internecie publicznie dostępne są setki firmowych kamer właśnie z tego powodu, a przypomnijmy: w sprawie Centrum Medyczne Ujastek część kary dotyczyła właśnie braku szyfrowania.
Zgodne z RODO wdrożenie monitoringu wymaga więc zmiany domyślnych haseł rejestratora, szyfrowania nośników, odseparowania kamer od głównej sieci firmowej (VLAN), regularnych aktualizacji i pilnowania, by rejestrator nie był bezpośrednio dostępny z internetu. To już nie jest robota dla instalatora kamer, tylko dla informatyka.
I właśnie dlatego w IQ-Networks łączymy montaż systemów monitoringu z obsługą IT i cyberbezpieczeństwem. Instalujemy kamery zgodnie z wymogami prawa i od razu zabezpieczamy je informatycznie, tak jak wymaga tego art. 32 RODO. Zwykła firma od monitoringu kończy pracę na powieszeniu kamery, my dbamy też o to, żeby nagrania nie wyciekły. Jak to wygląda w praktyce, pokazuje nasza realizacja monitoringu dla magazynu dystrybucyjnego w Poznaniu. Ceny montażu zaczynają się od 170 zł za kamerę i znajdziesz je na stronie cennika.
Planujesz monitoring w firmie i chcesz mieć pewność, że jest zgodny z RODO od kamery po rejestrator? Napisz do nas, doradzimy i wdrożymy całość. Więcej o samych przepisach znajdziesz też na stronie Urzędu Ochrony Danych Osobowych.
Co do zasady nie. Kodeks pracy dopuszcza rejestrację obrazu, a Prezes UODO traktuje nagrywanie dźwięku jako nadmiarowe i mogące rodzić odpowiedzialność administracyjną, cywilną, a nawet karną. Za bezpodstawne nagrywanie dźwięku UODO nałożył już karę na jedną z instytucji publicznych.
Nagrania pracowników maksymalnie 3 miesiące od dnia nagrania (art. 22² § 3 Kodeksu pracy). Wyjątek to sytuacja, gdy nagranie jest dowodem w postępowaniu, wtedy do prawomocnego zakończenia sprawy. Dla monitoringu klientów zaleca się okresy krótsze, zwykle 14–30 dni.
Tak. Pracowników trzeba poinformować na 2 tygodnie przed uruchomieniem, zapisać zasady w regulaminie pracy lub obwieszczeniu, a strefy oznaczyć tablicami najpóźniej dzień przed startem. Nowy pracownik dostaje informację na piśmie przed dopuszczeniem do pracy.
Zasadniczo nie. Pomieszczenia sanitarne, szatnie, stołówki i palarnie są wyłączone spod monitoringu i można je objąć tylko wyjątkowo, przy spełnieniu czterech warunków naraz, w tym zgody związków i uniemożliwienia rozpoznania osób. Pomieszczenia związkowe są objęte zakazem bezwzględnym.
Tak, na podstawie prawa dostępu do danych (art. 15 RODO), na przykład poszkodowany po wypadku. Udostępniając nagranie, trzeba jednak zamaskować wizerunek innych osób, których dane się na nim znajdują.
Nie ma obowiązku rejestrowania monitoringu w UODO. Trzeba natomiast wpisać go do wewnętrznego rejestru czynności przetwarzania (art. 30 RODO), a przy dużej skali w miejscach publicznych wykonać ocenę skutków dla ochrony danych (DPIA).
Kary z RODO sięgają do 20 mln euro lub 4% obrotu, choć wobec drobnych firm UODO stosuje zwykle nakazy zaprzestania. Do tego dochodzą roszczenia pracowników, nakaz demontażu systemu oraz grzywny Państwowej Inspekcji Pracy, które od lipca 2026 roku wzrosły.
Powiedz nam, czego potrzebujesz, a doradzimy i wdrożymy całość. Pierwsza konsultacja jest bezpłatna, bez zobowiązań.