Czy pracodawca może sam ustalić okres retencji danych przy monitoringu poczty elektronicznej?

Każda forma monitoringu prowadzona przez pracodawcę, aby mogła być uznana za legalną, musi być zgodna z obowiązujący przepisami. Warto przy tym pamiętać, że nie tylko kodeks pracy reguluje kwestie dotyczące monitoringu. Innymi przepisami, które pracodawcy muszą przestrzegać są m. in. regulacje RODO.

RODO a monitoring

Realizacja wymogów kodeksowych w zakresie monitoringu nie wyłącza konieczności przestrzegania przepisów w zakresie ochrony danych osobowych. W szczególności trzeba pamiętać, że wypełnienie przez pracodawcę obowiązków informacyjnych przewidzianych w kodeksie pracy (o których pisałam tutaj) nie zwalnia go z obowiązku informacyjnego wynikającego z art. 13 RODO.

Poza tym pracodawca stosujący monitoring poczty elektronicznej powinien przetwarzać dane osobowe zgodnie z zasadami wynikającymi z art. 5 RODO. Przepis ten nakłada obowiązek przetwarzania danych zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (tzw. zasadna zgodności z prawem, rzetelności i przejrzystości).

Z kolei zgodnie z zasadą ograniczonego celu, pracodawca może zbierać dane osobowe w związku z prowadzonym monitoringiem poczty elektronicznej pracownika, w konkretnych, wyraźnych i prawnie uzasadnionych celach. Pracodawca jednocześnie nie może przetwarzać dalej tych danych osobowych w sposób niezgodny z określonymi przez siebie celami. Przy czym dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane, w myśl art. 89 ust. 1 RODO, za niezgodne z pierwotnymi celami.

Pracodawca powinien również pamiętać o zasadzie minimalizacji danych, według której dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane.

Kolejną zasadą przewidzianą przez przepisy RODO jest zasada prawidłowości, która przewiduje, że dane osobowe muszą być prawidłowe i w razie potrzeby uaktualniane. Pracodawca respektujący ww. zasadę, powinien podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane.

Ponadto dane osobowe należy przechowywać w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane. Przy czym art. 5 ust. 2 lit. e) RODO zawiera zastrzeżenie, zgodnie z którym dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1 RODO. W takim przypadku muszą zostać wdrożone odpowiednie środki techniczne i organizacyjne wymagane na mocy RODO w celu ochrony praw i wolności osób, których dane dotyczą (zgodnie z zasadą ograniczonego przechowywania).

Z kolei zgodnie z zasadą integralności i poufności, pracodawca, jako administrator danych, powinien je przetwarzać w sposób zapewniający odpowiednie ich bezpieczeństwo, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych.

Reasumując pracodawca jest uprawniony do przetwarzania danych osobowych pochodzących z monitoringu skrzynek e-mail pracowników w ściśle określonych celach, przez czas oznaczony (zależny od celów), w zakresie niezbędnym do realizacji celów, dla których te dane są zbierane.

Okres przechowywania (retencji) danych pochodzących z monitoringu poczty elektronicznej 

Jak wynika z ww. zasady ograniczonego przechowywania, administrator danych może przetwarzać dane przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane. Z kolei ww. cele określa pracodawca. Stąd to pracodawca ustala okres retencji danych mając na uwadze m. in. cele (które wskazał), dla których dane te są zbierane.

Warto jednocześnie zauważyć, że kwestia okresu przechowywania danych pochodzących z monitoringu poczty elektronicznej została uregulowana w sposób odmienny niż zagadnienie przechowywania danych pochodzących z monitoringu wizyjnego. W przypadku tego ostatniego ustawodawca krajowy wprost wskazał, że nagrania obrazu pracodawca przechowuje przez okres nieprzekraczający 3 miesięcy od dnia nagrania. Jednocześnie kodeks pracy przewiduje możliwość przedłużenia tego okresu w przypadku, w którym nagrania obrazu stanowią dowód w postępowaniu prowadzonym na podstawie prawa lub pracodawca powziął wiadomość, iż mogą one stanowić dowód w postępowaniu. W takim przypadku, termin przechowywania nagrań ulega przedłużeniu do czasu prawomocnego zakończenia postępowania. Regulacja ta jest zgodna z zasadą ograniczonego przechowywania danych osobowych wynikającą z art. 5 ust. 1 lit. e) RODO.

W odniesieniu do okresu retencji danych pochodzących z monitoringu poczty elektronicznej nie ma tak szczegółowych przepisów kodeksu pracy. Stąd należy, przy ustalaniu okresu przechowywania danych kierować się ww. zasadą ograniczonego przechowywania danych. Stąd pracodawca, jako administrator danych osobowych, powinien ustalić okres retencji danych z uwzględnieniem realizacji celów, dla których dane są zbierane, kategorii danych osobowych oraz osób, których dane dotyczą. Jednocześnie dane, które są zbędne (w kontekście celów ich zbierania) powinny zostać usunięte.

Podsumowanie

Odpowiadając na tytułowe pytanie, należy stwierdzić, że pracodawca, jako administrator danych, nie tylko może sam ustalić okres retencji danych przy monitoringu poczty elektronicznej, ale nawet jest do tego zobowiązany. Przepisy kodeksu pracy bowiem nie regulują tej kwestii.