Monitoring GPS pracowników a RODO

Najczęstszy błąd we wdrożeniach monitoringu GPS nie jest techniczny. Jest prawny i wygląda tak: firma przygotowuje oświadczenie, kierowcy je podpisują, urządzenia trafiają do pojazdów. Wszyscy są zadowoleni, dopóki jeden z pracowników nie wycofa zgody — bo zgodę można wycofać w każdej chwili — i cała konstrukcja nie zostanie bez podstawy prawnej.

Monitoring pojazdów służbowych w Polsce jest legalny. Wymaga jednak innej podstawy i trzech formalności, których nie da się zastąpić podpisem pracownika.

Podstawa prawna: dlaczego nie zgoda

Monitoring lokalizacji pojazdu służbowego opiera się na prawnie uzasadnionym interesie administratora — art. 6 ust. 1 lit. f RODO. Chodzi o interesy, które da się nazwać konkretnie: ochrona mienia, rozliczenie czasu pracy i kosztów, bezpieczeństwo kierowcy, organizacja zleceń.

Zgoda pracownika jest w tej relacji podstawą wadliwą. Powód jest systemowy: między pracodawcą a pracownikiem istnieje nierównowaga, przez którą trudno mówić o dobrowolności. Pracownik, który odmawia, ryzykuje — a zgoda pod ryzykiem nie jest zgodą. Drugi powód jest praktyczny: zgodę wolno wycofać w dowolnym momencie, więc oparcie na niej monitoringu oznacza, że system działa dopóki nikt nie zmieni zdania.

Konsekwencja jest wygodna dla pracodawcy: skoro nie zgoda, to nie ma czego zbierać ani odnawiać. Trzeba za to wykonać test równowagi — spisać, jaki interes realizuje monitoring, dlaczego nie da się go osiągnąć mniej ingerującym środkiem i dlaczego nie przeważają nad nim prawa pracownika. Ten dokument nie idzie do nikogo na zewnątrz, ale w razie kontroli jest pierwszym, o który zapyta organ.

Trzy formalności, bez których monitoring nie działa

Kodeks pracy traktuje GPS jako „inną formę monitoringu” i stosuje do niej te same zasady co do monitoringu wizyjnego. W praktyce oznacza to trzy kroki, wykonane w tej kolejności.

1. Zapis w regulaminie pracy albo obwieszczeniu. Cele, zakres i sposób zastosowania monitoringu ustala się w układzie zbiorowym pracy, regulaminie pracy albo — jeżeli pracodawca nie ma obowiązku tworzenia regulaminu — w obwieszczeniu. To jest dokument źródłowy. Wszystko dalej się do niego odwołuje.

2. Informacja dla pracowników na dwa tygodnie przed startem. Nie dwa dni i nie w dniu montażu. Termin jest twardy, a sposób przekazania — przyjęty u danego pracodawcy: intranet, tablica, mail, byle dało się wykazać, że informacja dotarła. Osobno: pracownik zatrudniany po uruchomieniu monitoringu dostaje informację na piśmie przed dopuszczeniem do pracy.

3. Oznaczenie pojazdów. W sposób widoczny i czytelny, najpóźniej na dzień przed uruchomieniem. Naklejka w kabinie, w polu widzenia kierowcy. To element, o którym najłatwiej zapomnieć przy rozbudowie floty — nowy pojazd dostaje tracker, a naklejki nie.

Do tego dochodzi obowiązek informacyjny z RODO: pracownik ma wiedzieć, kto jest administratorem, jaki jest cel i podstawa przetwarzania, kto będzie odbiorcą danych, jak długo będą przechowywane i jakie ma prawa. W praktyce klauzula informacyjna bywa dołączana do tej samej informacji o monitoringu — i tak jest najprościej.

Co dokładnie zapisać w regulaminie

Zapis ogólny w stylu „pracodawca może stosować monitoring pojazdów” nie spełnia wymogu określenia celu, zakresu i sposobu. Użyteczny zapis odpowiada na pytania, które kierowca zada jako pierwsze:

• Które pojazdy są objęte monitoringiem — lista albo kryterium, nie „wszystkie, które pracodawca wskaże”.
• Jakie dane są zbierane: lokalizacja, przebieg, czas pracy silnika, prędkość, poziom paliwa, styl jazdy. Każda z tych kategorii to osobna decyzja i osobna ingerencja.
• Kiedy monitoring działa: w godzinach pracy, w czasie wykonywania zadań służbowych, oraz jak wygląda tryb prywatny.
• Kto ma dostęp do danych i w jakim zakresie. Kierownik oddziału widzący całą flotę to inna sytuacja niż kierownik widzący własne pojazdy.
• Do czego dane są używane: rozliczenie kilometrów, rozliczenie paliwa, ustalanie kolejności zleceń, wyjaśnianie zdarzeń drogowych. Jeżeli mają wpływać na premię — to też trzeba napisać.
• Jak długo dane są przechowywane i co się z nimi dzieje później.

Ostatni punkt bywa pomijany, a jest tym, na którym opiera się zaufanie zespołu. Wdrożenia, w których wskaźniki są jawne dla kierowców i jasno powiązane z zasadami rozliczeń, spotykają się z oporem nieporównywalnie rzadziej — o czym piszemy szerzej przy planie wdrożenia monitoringu GPS.

GPS w samochodzie służbowym: co pracodawca widzi, a czego nie

Pytanie, które kierowca zadaje jako pierwsze, brzmi zwykle inaczej niż to, na które odpowiada regulamin. Nie „jaka jest podstawa prawna”, tylko „co on tam właściwie widzi”. Warto odpowiedzieć wprost, bo połowa oporu bierze się z wyobrażeń większych niż rzeczywistość.

Co widzi standardowo: pozycję pojazdu i przejechaną trasę, przebieg, czas pracy silnika i długość postojów, prędkość. To dane, których pracodawca potrzebuje do rozliczenia kilometrów, paliwa i czasu pracy — i to one uzasadniają całą konstrukcję.

Co widzi, jeżeli tak zdecydowano i zapisano: poziom paliwa z czujnika albo z magistrali CAN, zdarzenia stylu jazdy (gwałtowne hamowanie, przyspieszanie, przekroczenia), temperaturę w zabudowie chłodniczej, otwarcia drzwi, dane z tachografu.

Czego nie widzi: dźwięku w kabinie, obrazu, treści rozmów, zawartości telefonu. Kamera w pojeździe to osobna decyzja, osobna podstawa prawna i osobna informacja dla pracownika — nie „rozszerzenie” monitoringu GPS.

Samo urządzenie nie jest ukryte i nie powinno być. W samochodzie osobowym i dostawczym siedzi zwykle w gnieździe OBD albo pod deską rozdzielczą przy wiązce zasilania, w ciężarówce przy magistrali FMS. Kodeks pracy wymaga oznaczenia pojazdu, więc chowanie trackera po to, żeby kierowca go nie znalazł, jest działaniem przeciwko własnemu regulaminowi. Dobór urządzenia do typu pojazdu opisujemy osobno przy wyborze lokalizatora GPS.

Jazdy prywatne: granica, której nie wolno przekroczyć

Jeżeli firma dopuszcza używanie pojazdu poza godzinami pracy, monitoring nie może obejmować tego czasu w pełnym zakresie. Śledzenie trasy pracownika wracającego z zakupów nie realizuje żadnego uzasadnionego interesu pracodawcy — realizuje ciekawość, a to nie jest podstawa prawna.

Standardowym rozwiązaniem jest tryb prywatny: kierowca przełącza pojazd w tryb, w którym rejestrowany jest sam fakt przejazdu i liczba kilometrów, bez zapisu trasy. Pracodawca dalej dostaje to, czego naprawdę potrzebuje — rozdzielenie kilometrów służbowych od prywatnych na potrzeby rozliczeń — i nie dostaje tego, do czego nie ma prawa.

Dwa warunki, żeby to działało. Przełącznik musi być po stronie kierowcy, nie dyspozytora. I musi być opisany w regulaminie razem z zasadą, że nadużycie trybu prywatnego jest kwestią dyscyplinarną, a nie technicznym problemem do rozwiązania przez wyłączenie funkcji.

Retencja: ile trzymać dane

Tu panuje najwięcej nieporozumień. Kodeks pracy wprost podaje okres — nie dłużej niż 3 miesiące — ale robi to dla nagrań z monitoringu wizyjnego. Dane lokalizacyjne nie są nagraniem obrazu i ten termin nie przenosi się na nie automatycznie.

Obowiązuje za to ogólna zasada ograniczenia przechowywania: dane trzyma się tak długo, jak to niezbędne do celu, dla którego zostały zebrane. Jeżeli celem jest rozliczenie miesiąca, kilka tygodni wystarczy. Jeżeli dane wchodzą do ewidencji przebiegu albo rozliczeń podatkowych, punktem odniesienia są terminy wynikające z przepisów podatkowych. Jeżeli mają służyć wyjaśnianiu szkód komunikacyjnych — okres przedawnienia roszczeń.

Ważne jest, żeby ten okres wynikał z decyzji i był zapisany, a nie z tego, ile miejsca ma platforma. „Trzymamy wszystko, bo się może przydać” jest naruszeniem niezależnie od tego, czy ktoś kiedykolwiek do tych danych zajrzy.

Ocena skutków: kiedy jest potrzebna

Systematyczne monitorowanie pracowników na dużą skalę należy do operacji, dla których organ nadzorczy oczekuje przeprowadzenia oceny skutków dla ochrony danych. Przy flocie kilkudziesięciu pojazdów i monitoringu działającym w sposób ciągły warto założyć, że DPIA będzie potrzebna, i wykonać ją przed uruchomieniem, a nie po wezwaniu.

Sama ocena nie jest dokumentem na sto stron. Opisuje: co przetwarzamy i po co, jakie ryzyka to rodzi dla pracowników, jakie środki je ograniczają — tryb prywatny, ograniczenie uprawnień, krótka retencja, brak stałego podglądu na żywo dla całego zespołu — i jaka jest ocena ryzyka szczątkowego.

Pięć błędów, które widzimy najczęściej

1. Zgoda zamiast regulaminu. Opisane wyżej. Najpowszechniejszy i najłatwiejszy do naprawienia.
2. Montaż przed formalnościami. Urządzenia w pojazdach, dokumenty „w przygotowaniu”. Odwrotna kolejność jest tania, ta kosztuje.
3. Brak trybu prywatnego przy pojazdach używanych po godzinach. Częste zwłaszcza tam, gdzie samochód jest elementem wynagrodzenia.
4. Zakres szerszy niż cel. Włączone wszystko, co platforma potrafi, bo „skoro już mamy”. Każda dodatkowa kategoria danych wymaga uzasadnienia — a nieużywane dane to samo ryzyko bez żadnej korzyści.
5. Nowe pojazdy poza procedurą. Flota rośnie, tracker trafia do kolejnego auta, a naklejki, informacji i aktualizacji listy w regulaminie brakuje.

Podsumowanie

Monitoring GPS pojazdów służbowych jest zgodny z prawem, jeżeli opiera się na prawnie uzasadnionym interesie, jest opisany w regulaminie albo obwieszczeniu, pracownicy zostali poinformowani z dwutygodniowym wyprzedzeniem, pojazdy są oznaczone, a zakres i okres przechowywania danych wynikają z celu, nie z możliwości technicznych.

Formalności zajmują tydzień pracy i chronią przed problemem, który trudno naprawić wstecz. Konfigurację trybu prywatnego, uprawnień i okresów przechowywania ustawiamy na etapie wdrożenia — jest to część monitoringu floty GPS, a nie dopłata.

Ten tekst opisuje stan na wrzesień 2026 roku i jest materiałem informacyjnym, nie poradą prawną. Treść regulaminu i zakres oceny skutków warto potwierdzić z inspektorem ochrony danych albo prawnikiem obsługującym firmę.