Rozmowa z inspektorem pracy o systemie RCP przebiega zwykle w dwóch etapach. Najpierw pyta o dane: pokażcie ewidencję za marzec. Potem pyta o podstawę: na jakiej zasadzie zbieracie te informacje i gdzie pracownicy zostali o tym poinformowani.
Na pierwsze pytanie system odpowiada w trzy kliknięcia. Na drugie odpowiada segregator, którego często po prostu nie ma.
Poniżej lista dokumentów, które warto przygotować przed uruchomieniem czytnika, i jeden dokument, którego wbrew powszechnemu przekonaniu przygotowywać nie należy.
Zacznijmy od najczęstszego błędu: zgoda pracownika
Firmy wdrażające ewidencję elektroniczną odruchowo drukują oświadczenia „wyrażam zgodę na rejestrację mojego czasu pracy”. To błąd, i to podwójny.
Po pierwsze, zgoda jest tu niepotrzebna. Prowadzenie ewidencji czasu pracy jest obowiązkiem pracodawcy wynikającym z art. 149 Kodeksu pracy, a podstawą przetwarzania danych jest art. 6 ust. 1 lit. c RODO, czyli wypełnienie obowiązku prawnego. Nie potrzebujesz niczyjej zgody na robienie tego, co i tak musisz robić.
Po drugie, zgoda w relacji pracodawca – pracownik jest podstawą wątpliwą, bo trudno mówić o dobrowolności tam, gdzie jedna strona zależy finansowo od drugiej. Organy nadzorcze konsekwentnie podchodzą do niej nieufnie.
Jest jeszcze konsekwencja praktyczna, najbardziej dotkliwa. Zgodę można wycofać. Jeśli oprzesz na niej ewidencję, pierwszy pracownik, który ją wycofa, wybije Ci dziurę w dokumencie, który masz obowiązek prowadzić dla wszystkich.
Wyjątkiem są dane biometryczne, ale o tym za chwilę.
Sześć dokumentów, które faktycznie musisz mieć
| Dokument | Podstawa | Kto przygotowuje |
|---|---|---|
| Klauzula informacyjna dla pracowników | art. 13 RODO | Pracodawca lub IOD |
| Zapis w regulaminie pracy albo obwieszczenie | art. 104 i art. 150 Kodeksu pracy | Kadry, w uzgodnieniu ze związkami, jeśli działają |
| Aktualizacja rejestru czynności przetwarzania | art. 30 RODO | IOD lub osoba odpowiedzialna za dane |
| Umowa powierzenia przetwarzania danych | art. 28 RODO | Dostawca systemu, do podpisu przez pracodawcę |
| Upoważnienia do przetwarzania danych | art. 29 RODO | Pracodawca, imiennie dla kadr i kierowników |
| Analiza ryzyka, w razie potrzeby ocena skutków | art. 32 i art. 35 RODO | IOD lub zewnętrzny doradca |
Dwa wiersze z tej tabeli wymagają komentarza, bo to one najczęściej zostają pominięte.
Umowa powierzenia jest obowiązkowa zawsze, gdy dane pracowników przetwarza podmiot zewnętrzny – a tak jest w każdym systemie działającym w chmurze. To dokument, który dostawca powinien przedstawić sam, bez proszenia. Jeśli go nie ma, to pierwszy sygnał ostrzegawczy przy wyborze dostawcy. Warto sprawdzić w niej, gdzie fizycznie są przechowywane dane i kto jeszcze ma do nich dostęp; rozwinęliśmy ten temat w tekście o bezpieczeństwie danych w systemach RCP.
Upoważnienia to zwykle jedna kartka na osobę, a rozwiązują konkretny problem: określają, kto może oglądać godziny pracy kolegów. W firmie wielooddziałowej wynikają wprost z układu uprawnień w panelu, więc najprościej wystawić je równolegle z konfiguracją systemu.
Co wpisać do regulaminu pracy
Obowiązek posiadania regulaminu pracy zależy od wielkości firmy. Przy zatrudnieniu poniżej pięćdziesięciu osób regulaminu mieć nie musisz, o ile nie zażąda tego działająca u Ciebie organizacja związkowa. Nie zwalnia Cię to jednak z obowiązku ustalenia systemów i rozkładów czasu pracy – jeśli nie masz regulaminu, robisz to obwieszczeniem.
Niezależnie od formy, przy wdrożeniu RCP trzeba opisać pięć rzeczy:
- Sposób potwierdzania przybycia do pracy i obecności, czyli wprost: odbicie na czytniku przy wejściu.
- Moment rozpoczęcia i zakończenia czasu pracy w stosunku do odbicia, szczególnie tam, gdzie po odbiciu trzeba jeszcze przejść na stanowisko albo się przebrać.
- Zasady zgłaszania i korygowania błędnych wpisów: kto zgłasza, komu, w jakim terminie i kto zatwierdza.
- Tryb postępowania przy zapomnianej karcie lub nieudanym odbiciu, żeby nie improwizować przy każdym takim przypadku.
- Zasady wyjść prywatnych i przerw, jeśli w firmie funkcjonują, wraz ze sposobem ich rejestrowania.
Punkt drugi bywa źródłem realnych sporów, zwłaszcza w zakładach produkcyjnych, gdzie od czytnika do stanowiska idzie się cztery minuty. Lepiej rozstrzygnąć to na papierze przed startem niż przy pierwszym roszczeniu o nadgodziny. Podobnie z punktem piątym: to obszar, w którym łatwo o nieprawidłowość, dlatego opisaliśmy osobno, jak zgodnie z prawem odliczać przerwy i wyjścia prywatne.
Pamiętaj też o trybie: zmiana regulaminu pracy wchodzi w życie po upływie dwóch tygodni od podania jej do wiadomości pracowników. To realny termin, który trzeba uwzględnić w harmonogramie wdrożenia.
Biometria to osobna sprawa
Wszystko powyżej dotyczy danych zwykłych: imienia, nazwiska, godzin wejścia i wyjścia. Odcisk palca należy do szczególnej kategorii danych i rządzi się innymi zasadami, opisanymi w art. 221b Kodeksu pracy.
Dwie rzeczy trzeba wiedzieć zawczasu. Przetwarzanie danych biometrycznych pracownika bez jego zgody Kodeks dopuszcza wyłącznie wtedy, gdy jest to niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji lub do pomieszczeń wymagających szczególnej ochrony – a sama wygoda ewidencji tego warunku nie spełnia. Do przetwarzania takich danych mogą być dopuszczone tylko osoby z pisemnym upoważnieniem, zobowiązane do zachowania ich w tajemnicy.
W praktyce oznacza to, że wybór między odciskiem palca a kartą zbliżeniową jest nie tylko decyzją techniczną, ale i prawną. Rozłożyliśmy ją na czynniki w tekście o tym, czy pracodawca może pobierać odciski palca pracownika. Jeśli chcesz uniknąć tematu w całości, wybierz identyfikację kartą lub kodem PIN – z punktu widzenia ewidencji efekt jest ten sam.
Jak długo trzymać ewidencję
Karta ewidencji czasu pracy wchodzi w skład dokumentacji pracowniczej, a tę przechowuje się przez okres zatrudnienia oraz dziesięć lat po jego zakończeniu, licząc od końca roku kalendarzowego, w którym stosunek pracy ustał. Dłuższy, pięćdziesięcioletni okres dotyczy pracowników zatrudnionych przed 1 stycznia 1999 roku, a przy zatrudnionych między 1999 a 2018 rokiem skrócenie do dziesięciu lat wymaga złożenia raportu informacyjnego do ZUS.
Wniosek dla wdrożenia jest prosty: z systemu musi dać się wyeksportować pełną ewidencję w formacie, który przetrwa dekadę i nie będzie wymagał działającej licencji do odczytu. Więcej o tym w tekście o terminach przechowywania ewidencji i cyfryzacji akt.
Kolejność działań
Papier przed sprzętem, nie odwrotnie. Sprawdzony harmonogram wygląda tak:
- Cztery tygodnie przed startem. Wybór metody identyfikacji, uzyskanie umowy powierzenia od dostawcy, aktualizacja rejestru czynności.
- Trzy tygodnie przed. Przygotowanie zmiany regulaminu lub obwieszczenia, konsultacja ze związkami zawodowymi, jeśli działają.
- Dwa tygodnie przed. Podanie zmian do wiadomości pracowników, wręczenie zaktualizowanej klauzuli informacyjnej, wystawienie upoważnień.
- Tydzień przed. Montaż czytnika, import listy pracowników, wydanie kart, krótkie szkolenie.
- Start. Pierwszy miesiąc równolegle ze starą metodą, żeby wychwycić rozbieżności.
Etap piąty jest opcjonalny tylko pozornie. To on decyduje o tym, czy pierwsze rozliczenie płac przebiegnie spokojnie. Jak przeprowadzić go tak, żeby zespół nie odebrał systemu jako narzędzia kontroli, opisaliśmy w tekście o wdrożeniu bez oporu pracowników.
Najczęstsze pytania
Czy muszę zbierać od pracowników zgody na rejestrację czasu pracy?
Nie. Podstawą jest obowiązek prawny pracodawcy wynikający z art. 149 Kodeksu pracy, a nie zgoda. Zgoda jest potrzebna wyłącznie przy danych biometrycznych i tylko w ściśle określonych sytuacjach.
Czy przy firmie zatrudniającej 20 osób potrzebny jest regulamin pracy?
Nie musi go być, chyba że zażąda tego zakładowa organizacja związkowa. Systemy i rozkłady czasu pracy trzeba jednak ustalić – w takim przypadku obwieszczeniem podanym do wiadomości pracowników.
Kto powinien przygotować umowę powierzenia przetwarzania danych?
Dostawca systemu, i powinien zrobić to z własnej inicjatywy przy podpisywaniu umowy. Brak takiego dokumentu w ofercie usługi chmurowej to poważny sygnał ostrzegawczy.
Czy trzeba przeprowadzić ocenę skutków dla ochrony danych (DPIA)?
Zależy od skali i zakresu przetwarzania. Sama ewidencja godzin zwykle jej nie wymaga, ale przy danych biometrycznych albo połączeniu ewidencji z lokalizacją GPS ocena staje się zasadna. Decyzję warto skonsultować z inspektorem ochrony danych.
Na koniec
Komplet dokumentów przy wdrożeniu RCP to zwykle sześć pozycji, z czego dwie dostarcza dostawca, a cztery przygotowuje pracodawca. Zebranie ich zajmuje kilka godzin rozłożonych na miesiąc. Brak choćby jednej potrafi zamienić rutynową kontrolę w postępowanie.
Powyższy tekst opisuje typowy przebieg wdrożenia i nie zastępuje opinii prawnej – przy nietypowej strukturze zatrudnienia warto skonsultować dokumentację z inspektorem ochrony danych albo prawnikiem.
Wdrażasz elektroniczną ewidencję czasu pracy i chcesz mieć pewność, że papier jest po Twojej stronie? Odezwij się – prześlemy wzór umowy powierzenia i listę zapisów do regulaminu jeszcze przed zamówieniem sprzętu.
Czas na automatyzację HR?
Przetestuj system ewidencji przez 14 dni za darmo. Fizyczny czytnik wyślemy Ci kurierem.