Firma produkcyjna przetwarza znacznie więcej danych osobowych, niż mogłoby się wydawać. Choć produkcja kojarzy się z maszynami, surowcami i wyrobami, to za każdą zmianą na hali stoją dane setek osób: pracowników etatowych i tymczasowych, kierowców, serwisantów, audytorów klienta. Do tego dochodzi monitoring wizyjny, systemy kontroli dostępu, rejestracja czasu pracy i rozbudowane systemy ERP. Wszystko to podlega RODO — a specyfika zakładu produkcyjnego tworzy ryzyka, których nie ma w biurze.
W tym artykule wyjaśniamy, jakie obowiązki nakłada RODO na firmy produkcyjne, na co zwrócić uwagę przy monitoringu i kontroli dostępu oraz kiedy zakład produkcyjny musi wyznaczyć Inspektora Ochrony Danych.
Jakie dane osobowe przetwarza firma produkcyjna?
Firma produkcyjna przetwarza przede wszystkim dane pracowników — w tym dane o zdrowiu z medycyny pracy, zapisy rejestracji czasu pracy i nagrania z monitoringu — oraz dane osób spoza organizacji: kierowców, serwisantów, audytorów i gości. Każda z tych kategorii wymaga podstawy prawnej i określonego okresu przechowywania.
Największą kategorią danych w zakładzie produkcyjnym są dane pracowników. Obejmują one nie tylko standardową dokumentację kadrowo-płacową, ale również:
- dane z badań medycyny pracy — orzeczenia o zdolności do pracy na stanowisku, w tym przy maszynach czy w warunkach szkodliwych (dane dotyczące zdrowia to dane szczególnej kategorii),
- dokumentację BHP i wypadkową — protokoły powypadkowe zawierają szczegółowe informacje o stanie zdrowia poszkodowanych,
- zapisy z rejestracji czasu pracy (RCP) — odbicia kart, logowania do systemów, dane o nadgodzinach,
- uprawnienia i certyfikaty — np. uprawnienia UDT na wózki widłowe, uprawnienia spawalnicze,
- dane związane z kontrolą dostępu do stref produkcyjnych, w których obowiązują szczególne wymogi higieniczne,
- nagrania z monitoringu wizyjnego hal, magazynów i terenu zakładu.
Drugą grupą są dane osób spoza organizacji: kierowców odbierających i dostarczających towar, pracowników firm serwisujących maszyny, audytorów jakości ze strony klientów, gości wpisywanych do księgi wejść. Każda z tych kategorii wymaga podstawy prawnej przetwarzania i odpowiedniego okresu retencji.
Jak długo przechowywać dane osobowe w firmie produkcyjnej? Okresy retencji
Dla części danych przepisy wyznaczają maksymalny okres przechowywania (np. nagrania z monitoringu — dłużej nie wolno), a dla innych minimalny obowiązkowy (np. dokumentacja pracownicza — krócej nie wolno). Poniższa tabela porządkuje oba przypadki.
| Kategoria danych | Okres przechowywania | Podstawa prawna |
|---|---|---|
| Nagrania z monitoringu wizyjnego | maks. 3 miesiące — dłużej tylko, gdy nagranie jest dowodem w postępowaniu prowadzonym na podstawie prawa | art. 22² § 3–4 KP |
| Dokumentacja pracownicza (zatrudnieni od 1.01.2019) | co najmniej 10 lat od końca roku kalendarzowego, w którym ustał stosunek pracy | art. 94 pkt 9b KP |
| Dokumentacja pracownicza (zatrudnieni przed 2019) | co najmniej 50 lat — możliwość skrócenia do 10 lat po złożeniu raportów informacyjnych ZUS | przepisy przejściowe (ustawa z 10.01.2018) |
| Protokoły powypadkowe wraz z dokumentacją | co najmniej 10 lat | art. 234 § 3¹ KP |
| Dane kandydatów do pracy | do zakończenia rekrutacji — dłużej wyłącznie za odrębną zgodą (przyszłe rekrutacje) | art. 6 ust. 1 lit. a RODO |
| Księga wejść / ewidencja gości | tak krótko, jak to możliwe — okres ustala administrator (rekomendowane tygodnie, nie lata) | art. 5 ust. 1 lit. e RODO |
Monitoring wizyjny w zakładzie produkcyjnym a RODO
Monitoring to najczęstszy obszar naruszeń RODO w produkcji. Kodeks pracy (art. 22² § 1) pozwala stosować monitoring, gdy jest to niezbędne do zapewnienia bezpieczeństwa pracowników, ochrony mienia, kontroli produkcji lub zachowania tajemnicy informacji. W praktyce zakład produkcyjny musi pamiętać o kilku zasadach:
- Ograniczenia dla pomieszczeń socjalnych — szatnie, stołówki i palarnie mogą być objęte monitoringiem tylko wyjątkowo — gdy jest to niezbędne do realizacji celu monitoringu i nie narusza godności pracowników, w szczególności dzięki technikom uniemożliwiającym rozpoznanie osób. Monitoring pomieszczeń sanitarnych wymaga dodatkowo uprzedniej zgody zakładowej organizacji związkowej lub przedstawicieli pracowników, a pomieszczenia udostępniane organizacji związkowej są wyłączone z monitoringu bezwzględnie.
- Okres przechowywania nagrań — maksymalnie 3 miesiące, chyba że nagranie stanowi dowód w postępowaniu prowadzonym na podstawie prawa.
- Obowiązek informacyjny — pracodawca powinien: cele, zakres i sposób monitoringu określić w regulaminie pracy (lub obwieszczeniu), poinformować pracowników nie później niż 2 tygodnie przed uruchomieniem, oraz widocznie oznaczyć strefy monitorowane — najpóźniej dzień przed.
- Monitoring jakości produkcji a nadzór nad pracownikiem — kamera może służyć kontroli procesu produkcyjnego, zapewnieniu jakości wyrobów czy bezpieczeństwa produkcji, ale nie powinna być wykorzystywana do bieżącej oceny wydajności lub zachowania konkretnych pracowników. Cel musi być jasno określony i udokumentowany.
Biometria i kontrola dostępu — czy skaner linii papilarnych jest legalny?
Coraz więcej zakładów rozważa biometryczną kontrolę dostępu — odcisk palca zamiast karty, której nie można zgubić ani pożyczyć koledze. RODO traktuje jednak dane biometryczne jako dane szczególnej kategorii. W relacji pracodawca — pracownik art. 22¹ᵇ Kodeksu pracy dopuszcza ich przetwarzanie tylko w dwóch sytuacjach: za zgodą pracownika, gdy przekazanie danych następuje z jego inicjatywy, albo — niezależnie od zgody — gdy jest to niezbędne do kontroli dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę, lub do pomieszczeń wymagających szczególnej ochrony.
W praktyce zgoda pracownika nie może być domniemana ani wymuszona. Odmowa jej udzielenia lub późniejsze wycofanie nie może prowadzić do mniej korzystnego traktowania pracownika.
Biometryczna rejestracja czasu pracy jest natomiast niedopuszczalna. UODO wprost wskazuje, że dane biometryczne nie mogą służyć ewidencji czasu pracy, a Naczelny Sąd Administracyjny (wyrok I OSK 1476/10) uznał, że nawet zgoda pracownika nie legalizuje pobierania odcisków palców w tym celu — w relacji zależności trudno mówić o pełnej dobrowolności.
Zakład, który chce wdrożyć biometrię przy kontroli dostępu, powinien wcześniej przeprowadzić ocenę skutków dla ochrony danych (DPIA), czyli analizę ryzyka związanego z przetwarzaniem danych osobowych.
Pracownicy tymczasowi i agencje pracy — kto jest administratorem danych?
Produkcja sezonowa i szczyty zamówień oznaczają pracowników tymczasowych. Częstym błędem jest założenie, że obowiązki wynikające z RODO realizuje wyłącznie agencja pracy tymczasowej. Tymczasem pracodawca użytkownik jako odrębny administrator odpowiada za zgodność przetwarzania danych w zakresie własnych procesów.
W tym układzie zarówno agencja pracy tymczasowej, jak i pracodawca użytkownik przetwarzają dane tej samej osoby — ale w różnych celach i na różnych podstawach. Agencja odpowiada za dokumentację zatrudnienia, zakład produkcyjny za dane związane z organizacją pracy: RCP, szkolenia BHP, monitoring, kontrolę dostępu.
Kluczowe jest precyzyjne rozdzielenie ról w umowie z agencją oraz spełnienie obowiązku informacyjnego wobec pracownika tymczasowego przez każdego z administratorów. To obszar, który podczas audytów RODO w firmach produkcyjnych niemal zawsze wymaga uporządkowania.
Umowy powierzenia — serwis maszyn, IT i podwykonawcy
Nowoczesny park maszynowy oznacza zdalny serwis: producent maszyny lub integrator systemów MES/SCADA ma dostęp do infrastruktury zakładu, a często pośrednio do danych osobowych operatorów (loginy, wydajność, zdarzenia na stanowisku). W identycznej roli występują zewnętrzne biuro kadrowo-płacowe, dostawca systemu ERP czy firma ochroniarska obsługująca monitoring — każdy z tych podmiotów przetwarza dane osobowe w imieniu zakładu. Z każdym z nich konieczne jest zawarcie umowy powierzenia przetwarzania danych (art. 28 RODO) oraz weryfikacja, czy zapewnia odpowiednie środki techniczne i organizacyjne gwarantujące bezpieczeństwo danych. Brak umów powierzenia to jedno z najczęstszych ustaleń audytowych — i jedno z najprostszych do wykrycia przez UODO podczas kontroli.
Czy firma produkcyjna musi wyznaczyć Inspektora Ochrony Danych?
RODO nie nakłada obowiązku wyznaczenia IOD na każdą firmę produkcyjną. Obowiązek powstaje (art. 37 RODO), gdy główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę lub przetwarzaniu na dużą skalę danych szczególnych kategorii. W praktyce duży zakład łączący rozbudowany monitoring wizyjny, RCP, dane o zdrowiu z medycyny pracy oraz kontroli dostępu do stref produkcyjnych, a także setki zatrudnionych, może spełniać te przesłanki — każdy przypadek wymaga indywidualnej oceny.
Nawet gdy obowiązku nie ma, wyznaczenie IOD jest zalecane. Alternatywą dla etatu jest outsourcing IOD — zewnętrzny ekspert przejmuje pełnienie funkcji, prowadzi szkolenia załogi (również pracowników produkcyjnych bez dostępu do komputera — to specyfika, o której łatwo zapomnieć), audytuje procesy i stanowi punkt kontaktowy dla UODO. Firma zyskuje zgodność z przepisami bez kosztów etatu.
Od czego zacząć wdrożenie RODO w firmie produkcyjnej?
Punktem wyjścia jest audyt: zmapowanie – jakie dane, gdzie, po co i w jaki sposób przetwarza zakład — od kadr, przez halę, po bramę wjazdową. Na tej podstawie powstaje rejestr czynności przetwarzania, komplet obowiązków informacyjnych, procedury dla monitoringu i kontroli dostępu, umowy powierzenia z dostawcami oraz plan postępowania z naruszeniami. Całość domyka szkolenie pracowników — dostosowane do realiów produkcji, czyli krótkie, konkretne i prowadzone również na zmianach. Wszystkie te elementy obejmuje kompleksowe wdrożenie RODO dla firm produkcyjnych.
Eksperci Audytel — twórcy serwisu rodoradar.pl — wspierają firmy produkcyjne na każdym z tych etapów: od audytu zgodności, przez wdrożenie, po stałe pełnienie funkcji IOD. Sprawdź, jak wygląda RODO dla firm produkcyjnych w praktyce, albo skontaktuj się z nami, aby porozmawiać o ochronie danych w Twoim zakładzie.
