Rejestracja czasu pracy online polega na przetwarzaniu danych osobowych pracowników: imion i nazwisk, godzin wejść i wyjść, nieobecności, a czasem także zdjęć czy lokalizacji z chwili odbicia. Podstawą tego przetwarzania jest przede wszystkim obowiązek prowadzenia ewidencji czasu pracy z art. 149 Kodeksu pracy, a nie zgoda pracownika. RODO nie zakazuje więc elektronicznej ewidencji, ale wymaga, aby pracodawca zbierał tylko niezbędne dane, chronił je i jasno informował o nich pracowników.
W tym artykule wyjaśniamy, na jakiej podstawie prawnej pracodawca przetwarza dane w systemie rejestracji czasu pracy, które dane może zbierać bez zgody, a kiedy potrzebuje dodatkowej podstawy — np. przy biometrii czy lokalizacji. Opisujemy też obowiązek informacyjny, umowę powierzenia z dostawcą systemu oraz zasady przechowywania ewidencji.
W skrócie
Dane w ewidencji czasu pracy pracodawca przetwarza na podstawie obowiązku prawnego (art. 6 ust. 1 lit. c RODO w związku z art. 149 KP), więc zgoda pracownika nie jest potrzebna. Dane biometryczne, np. odcisk palca, wolno przetwarzać tylko na podstawie zgody z inicjatywy pracownika albo przy kontroli dostępu do szczególnie chronionych informacji lub pomieszczeń (art. 22¹b KP). Z dostawcą systemu online trzeba zawrzeć umowę powierzenia (art. 28 RODO), a ewidencję przechowuje się co do zasady 10 lat od końca roku ustania zatrudnienia.
Podstawa prawna
- art. 5, 6, 13, 28 i 32 RODO — zasady, podstawy przetwarzania, obowiązek informacyjny, umowa powierzenia, bezpieczeństwo
- art. 149 KP — obowiązek prowadzenia ewidencji czasu pracy
- art. 22¹, 22¹a i 22¹b KP — dane pracownika, zgoda i dane biometryczne
- art. 94 pkt 9b KP — okres przechowywania dokumentacji pracowniczej
Stan prawny na: 12 października 2026 r.
Na jakiej podstawie pracodawca przetwarza dane w ewidencji czasu pracy?
Pracodawca prowadzi ewidencję czasu pracy do celów prawidłowego ustalenia wynagrodzenia i innych świadczeń związanych z pracą (art. 149 § 1 KP). Ewidencja zawiera m.in. liczbę przepracowanych godzin oraz godziny rozpoczęcia i zakończenia pracy, pracę w porze nocnej, nadgodziny, dni wolne i nieobecności — tak wynika z § 6 rozporządzenia w sprawie dokumentacji pracowniczej. Skoro obowiązek wynika z przepisów, podstawą przetwarzania jest art. 6 ust. 1 lit. c RODO, czyli wypełnienie obowiązku prawnego.
Zgoda pracownika nie jest tu potrzebna i nie powinna być podstawą przetwarzania danych objętych ewidencją, bo pracownik nie mógłby jej swobodnie odmówić ani wycofać. Forma ewidencji — papierowa lub elektroniczna — nie zmienia podstawy prawnej. System online jest jedynie narzędziem do realizacji obowiązku z art. 149 KP.
Jakie dane można zbierać w systemie rejestracji czasu pracy?
Zasada minimalizacji danych (art. 5 ust. 1 lit. c RODO) wymaga, aby pracodawca zbierał tylko dane adekwatne i niezbędne do celu. W rejestracji czasu pracy są to przede wszystkim dane identyfikujące pracownika i dane o czasie pracy. Inne dane wymagają odrębnego uzasadnienia.
| Dane | Podstawa | Uwagi |
|---|---|---|
| Imię, nazwisko, identyfikator karty lub kodu | art. 6 ust. 1 lit. c RODO, art. 149 KP | niezbędne do ewidencji |
| Godziny wejść, wyjść, przerw, nieobecności | art. 6 ust. 1 lit. c RODO, art. 149 KP | zakres z § 6 rozporządzenia o dokumentacji |
| Zdjęcie z chwili rejestracji | uzasadniony interes pracodawcy (art. 6 ust. 1 lit. f) lub inna podstawa — do oceny | tylko gdy potrzebne do potwierdzenia tożsamości, z informacją dla pracownika |
| Lokalizacja w chwili odbicia | uzasadniony interes pracodawcy — do oceny | przy pracy w terenie; ciągłe śledzenie to monitoring z art. 22³ KP |
| Dane biometryczne (odcisk palca, twarz jako wzorzec) | art. 22¹b KP | zgoda z inicjatywy pracownika albo kontrola dostępu do szczególnie chronionych miejsc lub informacji |
Każde rozszerzenie zakresu danych warto poprzedzić analizą, czy cel da się osiągnąć mniej inwazyjnie. Szczegółowo o biometrii piszemy w artykule o danych biometrycznych w miejscu pracy.
Biometria, zdjęcia i lokalizacja — granice
Dane biometryczne należą do szczególnych kategorii danych z art. 9 RODO. Art. 22¹b KP pozwala je przetwarzać tylko w dwóch sytuacjach: na podstawie zgody, gdy przekazanie danych następuje z inicjatywy pracownika, albo gdy jest to niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji lub pomieszczeń wymagających szczególnej ochrony. Rejestracja czasu pracy odciskiem palca „dla wygody” nie mieści się w tych przesłankach, a pracownik, który nie wyraził zgody, musi mieć alternatywną metodę rejestracji.
Zdjęcie wykonywane przy rejestracji wejścia nie jest danymi biometrycznymi, jeśli nie służy do automatycznej identyfikacji na podstawie cech twarzy. Lokalizacja zapisana w chwili odbicia różni się od ciągłego śledzenia pozycji pracownika — to drugie jest monitoringiem i wymaga spełnienia warunków z art. 22³ KP, w tym określenia celów i zakresu w regulaminie pracy oraz poinformowania pracowników. W RCPonline foto-rejestracja i lokalizacja przy odbiciu są płatnymi dodatkami, które pracodawca włącza świadomie, a nie domyślnymi funkcjami.
Obowiązek informacyjny i umowa powierzenia
Pracodawca jako administrator danych musi przekazać pracownikom informacje z art. 13 RODO: cel i podstawę przetwarzania, odbiorców danych (np. dostawcę systemu), okres przechowywania oraz prawa pracownika. Wygodnie jest dołączyć je do informacji o warunkach zatrudnienia albo regulaminu pracy, a przy wprowadzaniu nowego systemu — przekazać osobno przed jego uruchomieniem.
Dostawca systemu rejestracji czasu pracy online przetwarza dane w imieniu pracodawcy, więc jest podmiotem przetwarzającym. Art. 28 RODO wymaga zawarcia z nim umowy powierzenia, która określa przedmiot, czas trwania, charakter i cel przetwarzania, rodzaj danych oraz obowiązki stron, w tym środki bezpieczeństwa z art. 32 RODO. Przed wyborem systemu warto sprawdzić, gdzie przechowywane są dane i jak dostawca realizuje obowiązki z umowy.
Jak długo przechowywać ewidencję czasu pracy?
Ewidencja czasu pracy jest częścią dokumentacji pracowniczej, którą pracodawca przechowuje przez okres zatrudnienia oraz przez 10 lat od końca roku kalendarzowego, w którym stosunek pracy uległ rozwiązaniu lub wygasł, chyba że odrębne przepisy przewidują dłuższy okres (art. 94 pkt 9b KP). Dokumentację trzeba przechowywać w sposób gwarantujący poufność, integralność, kompletność i dostępność.
Dane wykraczające poza ewidencję, np. zdjęcia z rejestracji czy dane lokalizacyjne, powinny mieć krótszy okres przechowywania, adekwatny do celu ich zbierania. Elektroniczna ewidencja ułatwia spełnienie wymogów dokumentacji pracowniczej, co opisujemy w artykule o przechowywaniu dokumentacji czasu pracy, a samą elektroniczną ewidencję czasu pracy przedstawiamy na stronie rozwiązania.
Podsumowanie
Rejestracja czasu pracy online jest zgodna z RODO, jeśli pracodawca opiera ją na obowiązku prowadzenia ewidencji, zbiera tylko niezbędne dane, informuje pracowników i zawiera umowę powierzenia z dostawcą systemu. Dodatkowe dane — zdjęcia, lokalizacja, biometria — wymagają odrębnej oceny i spełnienia warunków z Kodeksu pracy.
- Opieraj ewidencję na art. 6 ust. 1 lit. c RODO i art. 149 KP, a nie na zgodzie pracownika.
- Biometrii używaj tylko w granicach art. 22¹b KP i zapewnij alternatywną metodę rejestracji.
- Zawrzyj umowę powierzenia z dostawcą systemu i ustal okresy przechowywania danych.