Audyt wewnętrzny a badanie wariografem — dozwolone i zabronione działania

Audyt wewnętrzny a badanie wariografem — dozwolone i zabronione działania

Wykrywanie kradzieży wewnętrznych i wycieków danych to codzienność audytorów wewnętrznych. Pytanie, czy badanie wariografem może być elementem takiego audytu, ma precyzyjną odpowiedź prawną — opartą na Kodeksie pracy, RODO i przepisach o ochronie dóbr osobistych.

Ramy ogólne — prawo pracy

Audyt wewnętrzny to funkcja pracodawcy realizowana w ramach stosunku pracy. Jego zakres ograniczony jest przez ogólne zasady prawa pracy oraz przepisy o przetwarzaniu danych osobowych pracowników.

Art. 22¹ § 1 KP. Pracodawca żąda od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących: 1) imię (imiona) i nazwisko; 2) datę urodzenia; 3) dane kontaktowe wskazane przez taką osobę; 4) wykształcenie; 5) kwalifikacje zawodowe; 6) przebieg dotychczasowego zatrudnienia (…).

Katalog z art. 22¹ KP jest zamknięty. Dane biometryczne i dotyczące zdrowia — zbierane podczas badania wariografem — w tym katalogu nie mieszczą się.

Art. 22¹ᵇ § 1 KP. Zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę danych osobowych, o których mowa w art. 9 ust. 1 rozporządzenia 2016/679, wyłącznie w przypadku, gdy przekazanie tych danych osobowych następuje z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika.

Źródło: ustawa z dnia 26 czerwca 1974 r. — Kodeks pracy (Dz.U. 1974 Nr 24 poz. 141 z późn. zm.).

Audyt wewnętrzny — co można bez zgody

W ramach audytu wewnętrznego pracodawca może — na podstawie przepisów ogólnych — m.in.:

1. Analizować dokumenty służbowe — umowy, faktury, korespondencję, raporty, logi systemów informatycznych.
2. Stosować monitoring wizyjny — w zakresie art. 22² KP (cele: bezpieczeństwo pracowników, ochrona mienia, kontrola produkcji, zachowanie poufności informacji).
3. Monitorować pocztę służbową — art. 22³ KP, wyłącznie gdy jest to niezbędne do celu zapewnienia organizacji pracy i jej rozliczenia.
4. Przeprowadzać rozmowy — formalne i nieformalne, bez naruszania godności pracownika.
5. Zlecać audyty zewnętrzne — np. firmom audytorskim, prawnikom, biegłym rewidentom.

Audyt wewnętrzny — co wymaga zgody

Badanie wariografem — ze względu na charakter danych (biometrycznych, dotyczących zdrowia) — wymaga nie tylko zgody pracownika, ale także inicjatywy z jego strony (art. 22¹ᵇ § 1 KP). Oznacza to, że:

• Pracodawca nie może zaproponować badania wariografem jako „standardowej procedury audytu”.
• Jeśli pracownik sam, z własnej inicjatywy, proponuje poddanie się badaniu (np. by oczyścić się z zarzutów), wówczas przetwarzanie danych z badania na tej zgodzie może być legalne.
• Odmowa poddania się badaniu nie może być podstawą negatywnych konsekwencji — wprost z art. 22¹ᵃ § 2 KP.

Gdy audyt ujawni przestępstwo

Jeśli audyt wewnętrzny wskaże na uzasadnione podejrzenie popełnienia przestępstwa, właściwym działaniem jest zawiadomienie organów ścigania. Typowe kwalifikacje prawne:

Art. 278 § 1 KK — kradzież

Art. 278 § 1 KK. Kto zabiera w celu przywłaszczenia cudzą rzecz ruchomą, podlega karze pozbawienia wolności od 3 miesięcy do lat 5.

Art. 284 KK — przywłaszczenie

Art. 284 § 1 KK. Kto przywłaszcza sobie cudzą rzecz ruchomą lub prawo majątkowe, podlega karze pozbawienia wolności do lat 3.

§ 2. Kto przywłaszcza sobie powierzoną mu rzecz ruchomą, podlega karze pozbawienia wolności od 3 miesięcy do lat 5.

Art. 267 KK — hacking i wyciek danych

Art. 267 § 1 KK. Kto bez uprawnienia uzyskuje dostęp do informacji dla niego nieprzeznaczonej, otwierając zamknięte pismo, podłączając się do sieci telekomunikacyjnej lub przełamując albo omijając elektroniczne, magnetyczne, informatyczne lub inne szczególne jej zabezpieczenie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2.

Art. 296 KK — nadużycie zaufania menedżera

Cytowane wcześniej. Dotyczy osób pełniących funkcje kierownicze.

Źródło: ustawa z dnia 6 czerwca 1997 r. — Kodeks karny (Dz.U. 1997 Nr 88 poz. 553 z późn. zm.).

Po zawiadomieniu organu ścigania ewentualne badanie wariografem może być zarządzone przez prokuratora lub sąd w trybie:

Art. 199a KPK. Stosowanie w czasie badania przez biegłego środków technicznych mających na celu kontrolę nieświadomych reakcji organizmu badanej osoby możliwe jest wyłącznie za jej zgodą. Przepisu art. 199 nie stosuje się.

RODO — konsekwencje nieuprawnionego przetwarzania

Jeśli pracodawca przetwarza dane biometryczne pracownika bez właściwej podstawy prawnej, narusza art. 5 ust. 1 lit. a RODO (zasada zgodności z prawem). Skutki:

• Administracyjne kary pieniężne (art. 83 ust. 5 RODO — do 20 mln EUR lub 4% rocznego obrotu).
• Odpowiedzialność odszkodowawcza wobec osoby, której dane dotyczą (art. 82 RODO).
• Postępowanie przed Prezesem Urzędu Ochrony Danych Osobowych (PUODO).

Ochrona dóbr osobistych pracownika

Art. 23 KC. Dobra osobiste człowieka, jak w szczególności zdrowie, wolność, cześć, swoboda sumienia, nazwisko lub pseudonim, wizerunek, tajemnica korespondencji, nietykalność mieszkania, twórczość naukowa, artystyczna, wynalazcza i racjonalizatorska, pozostają pod ochroną prawa cywilnego niezależnie od ochrony przewidzianej w innych przepisach.

Art. 24 § 1 KC. Ten, czyj dobro osobiste zostaje zagrożone cudzym działaniem, może żądać zaniechania tego działania, chyba że nie jest ono bezprawne.

Źródło: ustawa z dnia 23 kwietnia 1964 r. — Kodeks cywilny (Dz.U. 1964 Nr 16 poz. 93 z późn. zm.).

Próba wymuszenia badania wariografem może być traktowana jako naruszenie dóbr osobistych — pracownik może żądać zaniechania działania oraz odszkodowania lub zadośćuczynienia (art. 448 KC).

Zalecany tryb postępowania audytora

1. Przeprowadź audyt metodami dozwolonymi (dokumentacja, logi, monitoring zgodny z KP).
2. Jeśli zachodzi uzasadnione podejrzenie przestępstwa — zawiadom prokuraturę (art. 304 KPK).
3. Dobrowolne badanie wariografem pracownika może być dodatkowym elementem dochodzenia tylko z inicjatywy pracownika (art. 22¹ᵇ § 1 KP).
4. W żadnym wypadku nie uzależniaj dalszego zatrudnienia od zgody na badanie.
5. Dokumentuj wszystkie czynności — dla potrzeb ewentualnego postępowania sądowego.

Źródła

• Ustawa z 26 czerwca 1974 r. — Kodeks pracy (Dz.U. 1974 Nr 24 poz. 141 z późn. zm.). ISAP
• Ustawa z 23 kwietnia 1964 r. — Kodeks cywilny (Dz.U. 1964 Nr 16 poz. 93 z późn. zm.). ISAP
• Ustawa z 6 czerwca 1997 r. — Kodeks karny (Dz.U. 1997 Nr 88 poz. 553 z późn. zm.). ISAP
• Ustawa z 6 czerwca 1997 r. — Kodeks postępowania karnego (Dz.U. 1997 Nr 89 poz. 555 z późn. zm.). ISAP
• Rozporządzenie 2016/679 (RODO) — Dz.U.UE.L. 2016, Nr 119, str. 1. EUR-Lex

Zobacz również

• FAQ — najczęstsze pytania
• Lokalizacje w całej Polsce
• Jak działa wykrywacz kłamstw?
• Cennik badań — ile kosztuje?