Monitorizarea angajaților la birou și de…

Tot mai mulți angajatori din România folosesc camere video, urmărire GPS pe mașinile de serviciu sau programe care înregistrează activitatea de pe laptop, inclusiv pentru cei care lucrează de acasă. Legea nu interzice monitorizarea, dar o condiționează strict: trebuie să existe un scop legitim, o măsură proporțională, o informare clară a salariaților și, în cazurile cu risc ridicat, o evaluare de impact. Când aceste condiții lipsesc, Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) poate aplica amenzi, iar practica arată că a făcut-o în mod repetat, tocmai pe tema supravegherii la locul de muncă.

Baza este Regulamentul general privind protecția datelor, care se aplică oricărei prelucrări a datelor angajaților. Textul integral, în română, poate fi consultat pe portalul EUR-Lex. Principiile relevante sunt cele din articolul 5: legalitate și transparență, limitarea scopului, reducerea la minimum a datelor, limitarea stocării.

România a adăugat, prin Legea nr. 190/2018 de punere în aplicare a GDPR, un articol dedicat monitorizării angajaților prin mijloace de comunicații electronice și supraveghere video. În esență, angajatorul poate recurge la astfel de măsuri doar dacă:

interesul legitim urmărit este temeinic justificat și prevalează asupra drepturilor salariaților;
angajații au fost informați în prealabil, complet și explicit;
sindicatul sau reprezentanții salariaților au fost consultați înainte de introducerea sistemului;
alte metode, mai puțin intruzive, nu și-au dovedit eficiența;
datele sunt păstrate o perioadă limitată, în principiu cel mult 30 de zile, cu excepția situațiilor prevăzute expres de lege.

Un detaliu important: consimțământul angajatului nu este, de regulă, un temei valid. Relația de muncă implică un dezechilibru de putere, iar autoritățile europene consideră că acordul dat în aceste condiții nu este cu adevărat liber.

Camere video: unde da și unde nu

Supravegherea video este cea mai frecventă formă de monitorizare și cea mai des sancționată. Camerele pot fi justificate pentru securitatea bunurilor și a persoanelor, în zone de acces, depozite, case de marcat sau parcări. Devin problematice atunci când sunt îndreptate permanent spre birourile angajaților pentru a le urmări randamentul, când sunt instalate în vestiare, toalete sau spații de relaxare, ori când înregistrează și sunetul fără o justificare serioasă.

ANSPDCP a sancționat de-a lungul anilor angajatori din comerț, servicii și industrie pentru camere amplasate în spații unde salariații aveau o așteptare rezonabilă de intimitate, pentru lipsa informării prin pictograme și note de informare, sau pentru păstrarea înregistrărilor mult peste termenul permis. Amenzile au variat de la sume modeste, aplicate firmelor mici, până la cifre semnificative pentru companii mari, iar în multe cazuri au fost însoțite de obligația de a demonta sau reorienta camerele.

GPS, software de monitorizare și email de serviciu

Localizarea prin GPS a autovehiculelor de serviciu este acceptabilă dacă urmărește optimizarea rutelor, siguranța mărfii sau protecția șoferului, dar trebuie limitată la programul de lucru. Dacă mașina poate fi folosită și în scop personal, angajatul trebuie să aibă posibilitatea de a dezactiva urmărirea în afara orelor de serviciu. Un GPS montat pe telefonul personal al salariatului este, în aproape toate situațiile, disproporționat.

Programele care fac capturi de ecran, înregistrează tastele apăsate sau măsoară „activitatea” mouse-ului au devenit populare odată cu munca de acasă. Aici riscul juridic este ridicat: locuința este un spațiu privat, iar o monitorizare continuă a ecranului captează inevitabil și informații despre familie, conturi personale sau conversații private. Autoritățile europene recomandă înlocuirea acestor instrumente cu evaluarea rezultatelor muncii, nu a fiecărui minut petrecut în fața laptopului.

În privința corespondenței de serviciu, reperul rămâne hotărârea Curții Europene a Drepturilor Omului în cauza Bărbulescu împotriva României, din 2017. Curtea a stabilit că angajatorul nu poate citi mesajele unui salariat fără ca acesta să fi fost avertizat în prealabil despre posibilitatea și întinderea monitorizării, și că accesul trebuie să fie justificat, limitat și însoțit de garanții. O politică internă care spune vag că „echipamentele pot fi verificate” nu este suficientă.

Proporționalitate, informare și DPIA

Testul de proporționalitate se face în scris, înainte de a instala orice sistem. Angajatorul trebuie să răspundă la câteva întrebări simple: ce problemă concretă rezolvă monitorizarea, există o metodă mai puțin intruzivă, ce date sunt strict necesare, cine are acces la ele și cât timp se păstrează. Documentul rezultat, adesea numit evaluarea interesului legitim, este primul lucru pe care îl cere Autoritatea în cazul unei plângeri.

Informarea salariaților se face printr-o notă distinctă, nu ascunsă în regulamentul intern sau în contractul de muncă. Ea trebuie să precizeze ce este monitorizat, în ce scop, pe ce temei, cât timp se păstrează datele și ce drepturi au angajații. Materialele oficiale publicate de ANSPDCP insistă pe caracterul prealabil și explicit al acestei informări.

Evaluarea impactului asupra protecției datelor (DPIA) este obligatorie când prelucrarea prezintă un risc ridicat. Monitorizarea sistematică a angajaților, mai ales prin mijloace tehnologice noi sau la scară largă, se încadrează în această categorie potrivit listei publicate de Autoritate. DPIA nu este o formalitate: ea documentează riscurile, măsurile de diminuare și motivele pentru care măsura rămâne, în final, justificată.

Ce pot face angajatorii și angajații

Pentru angajatori, pașii practici sunt: inventarierea tuturor formelor de monitorizare existente, inclusiv a celor introduse „temporar” în pandemie; redactarea unei evaluări de proporționalitate pentru fiecare; consultarea reprezentanților salariaților; actualizarea notelor de informare; setarea unor termene automate de ștergere; restrângerea accesului la înregistrări la un număr mic de persoane. Acolo unde există un responsabil cu protecția datelor, acesta trebuie implicat din faza de proiectare, nu după instalare.

Angajații care suspectează o monitorizare abuzivă pot cere angajatorului, în baza dreptului de acces, să le comunice ce date se colectează despre ei și în ce scop. Dacă răspunsul lipsește sau este nesatisfăcător, pot depune o plângere la ANSPDCP, gratuit, direct pe site-ul Autorității, iar în paralel se pot adresa Inspectoratului Teritorial de Muncă sau instanței. Un dosar bine documentat, cu note de informare, capturi ale politicilor interne și date concrete, cântărește mult mai mult decât o sesizare generală.