Rejestracja czasu pracy online polega na przetwarzaniu danych osobowych pracowników: imion i nazwisk, godzin wejść i wyjść, nieobecności, a czasem także zdjęć czy lokalizacji z chwili odbicia. Podstawą tego przetwarzania jest przede wszystkim obowiązek prowadzenia ewidencji czasu pracy z art. 149 Kodeksu pracy, a nie zgoda pracownika. RODO nie zakazuje więc elektronicznej ewidencji, ale wymaga, aby pracodawca zbierał tylko niezbędne dane, chronił je i jasno informował o nich pracowników.
W tym artykule wyjaśniamy, na jakiej podstawie prawnej pracodawca przetwarza dane w systemie rejestracji czasu pracy, które dane może zbierać bez zgody, a kiedy potrzebuje dodatkowej podstawy — np. przy biometrii czy lokalizacji. Opisujemy też obowiązek informacyjny, umowę powierzenia z dostawcą systemu oraz zasady przechowywania ewidencji.
W skrócie
Dane w ewidencji czasu pracy pracodawca przetwarza na podstawie obowiązku prawnego (art. 6 ust. 1 lit. c RODO w związku z art. 149 KP), więc zgoda pracownika nie jest potrzebna. Dane biometryczne, np. odcisk palca, wolno przetwarzać tylko na podstawie zgody z inicjatywy pracownika albo przy kontroli dostępu do szczególnie chronionych informacji lub pomieszczeń (art. 22¹b KP). Z dostawcą systemu online trzeba zawrzeć umowę powierzenia (art. 28 RODO), a ewidencję przechowuje się co do zasady 10 lat od końca roku ustania zatrudnienia.
Podstawa prawna
- art. 5, 6, 13, 28 i 32 RODO — zasady, podstawy przetwarzania, obowiązek informacyjny, umowa powierzenia, bezpieczeństwo
- art. 149 KP — obowiązek prowadzenia ewidencji czasu pracy
- art. 22¹, 22¹a i 22¹b KP — dane pracownika, zgoda i dane biometryczne
- art. 94 pkt 9b KP — okres przechowywania dokumentacji pracowniczej
Stan prawny na: 12 października 2026 r.
Na jakiej podstawie pracodawca przetwarza dane w ewidencji czasu pracy?
Pracodawca prowadzi ewidencję czasu pracy do celów prawidłowego ustalenia wynagrodzenia i innych świadczeń związanych z pracą (art. 149 § 1 KP). Ewidencja zawiera m.in. liczbę przepracowanych godzin oraz godziny rozpoczęcia i zakończenia pracy, pracę w porze nocnej, nadgodziny, dni wolne i nieobecności — tak wynika z § 6 rozporządzenia w sprawie dokumentacji pracowniczej. Skoro obowiązek wynika z przepisów, podstawą przetwarzania jest art. 6 ust. 1 lit. c RODO, czyli wypełnienie obowiązku prawnego.
Zgoda pracownika nie jest tu potrzebna i nie powinna być podstawą przetwarzania danych objętych ewidencją, bo pracownik nie mógłby jej swobodnie odmówić ani wycofać. Forma ewidencji — papierowa lub elektroniczna — nie zmienia podstawy prawnej. System online jest jedynie narzędziem do realizacji obowiązku z art. 149 KP.
Jakie dane można zbierać w systemie rejestracji czasu pracy?
Zasada minimalizacji danych (art. 5 ust. 1 lit. c RODO) wymaga, aby pracodawca zbierał tylko dane adekwatne i niezbędne do celu. W rejestracji czasu pracy są to przede wszystkim dane identyfikujące pracownika i dane o czasie pracy. Inne dane wymagają odrębnego uzasadnienia.
| Dane | Podstawa | Uwagi |
|---|---|---|
| Imię, nazwisko, identyfikator karty lub kodu | art. 6 ust. 1 lit. c RODO, art. 149 KP | niezbędne do ewidencji |
| Godziny wejść, wyjść, przerw, nieobecności | art. 6 ust. 1 lit. c RODO, art. 149 KP | zakres z § 6 rozporządzenia o dokumentacji |
| Zdjęcie z chwili rejestracji | uzasadniony interes pracodawcy (art. 6 ust. 1 lit. f) lub inna podstawa — do oceny | tylko gdy potrzebne do potwierdzenia tożsamości, z informacją dla pracownika |
| Lokalizacja w chwili odbicia | uzasadniony interes pracodawcy — do oceny | przy pracy w terenie; ciągłe śledzenie to monitoring z art. 22³ KP |
| Dane biometryczne (odcisk palca, twarz jako wzorzec) | art. 22¹b KP | zgoda z inicjatywy pracownika albo kontrola dostępu do szczególnie chronionych miejsc lub informacji |
Każde rozszerzenie zakresu danych warto poprzedzić analizą, czy cel da się osiągnąć mniej inwazyjnie. Szczegółowo o biometrii piszemy w artykule o danych biometrycznych w miejscu pracy.
Biometria, zdjęcia i lokalizacja — granice
Dane biometryczne należą do szczególnych kategorii danych z art. 9 RODO, a art. 22¹b KP pozwala je przetwarzać tylko za zgodą wyrażoną z inicjatywy pracownika albo przy kontroli dostępu do szczególnie chronionych informacji lub pomieszczeń – rejestracja czasu pracy odciskiem palca „dla wygody” się w tym nie mieści. Szczegóły opisujemy we wpisie o przetwarzaniu danych biometrycznych w miejscu pracy. Zdjęcie przy odbiciu i lokalizacja zapisana w chwili rejestracji to w RCPonline płatne dodatki włączane przez pracodawcę, a ciągłe śledzenie pozycji jest już monitoringiem w rozumieniu art. 22³ § 4 KP; zasady obu funkcji opisuje strona rozwiązania mobilne i lokalizacja.
Obowiązek informacyjny i umowa powierzenia
Pracodawca jako administrator danych musi przekazać pracownikom informacje z art. 13 RODO: cel i podstawę przetwarzania, odbiorców danych (np. dostawcę systemu), okres przechowywania oraz prawa pracownika. Wygodnie jest dołączyć je do informacji o warunkach zatrudnienia albo regulaminu pracy, a przy wprowadzaniu nowego systemu — przekazać osobno przed jego uruchomieniem.
Dostawca systemu rejestracji czasu pracy online przetwarza dane w imieniu pracodawcy, więc jest podmiotem przetwarzającym. Art. 28 RODO wymaga zawarcia z nim umowy powierzenia, która określa przedmiot, czas trwania, charakter i cel przetwarzania, rodzaj danych oraz obowiązki stron, w tym środki bezpieczeństwa z art. 32 RODO. Przed wyborem systemu warto sprawdzić, gdzie przechowywane są dane i jak dostawca realizuje obowiązki z umowy.
Jak długo przechowywać ewidencję czasu pracy?
Ewidencja czasu pracy jest częścią dokumentacji pracowniczej, którą pracodawca przechowuje przez okres zatrudnienia oraz przez 10 lat od końca roku kalendarzowego, w którym stosunek pracy uległ rozwiązaniu lub wygasł, chyba że odrębne przepisy przewidują dłuższy okres (art. 94 pkt 9b KP). Dokumentację trzeba przechowywać w sposób gwarantujący poufność, integralność, kompletność i dostępność.
Dane wykraczające poza ewidencję, np. zdjęcia z rejestracji czy dane lokalizacyjne, powinny mieć krótszy okres przechowywania, adekwatny do celu ich zbierania. Elektroniczna ewidencja ułatwia spełnienie wymogów dokumentacji pracowniczej, co opisujemy w artykule o przechowywaniu dokumentacji czasu pracy, a samą elektroniczną ewidencję czasu pracy przedstawiamy na stronie rozwiązania.
Podsumowanie
Rejestracja czasu pracy online jest zgodna z RODO, jeśli pracodawca opiera ją na obowiązku prowadzenia ewidencji, zbiera tylko niezbędne dane, informuje pracowników i zawiera umowę powierzenia z dostawcą systemu. Dodatkowe dane — zdjęcia, lokalizacja, biometria — wymagają odrębnej oceny i spełnienia warunków z Kodeksu pracy.
- Opieraj ewidencję na art. 6 ust. 1 lit. c RODO i art. 149 KP, a nie na zgodzie pracownika.
- Biometrii używaj tylko w granicach art. 22¹b KP i zapewnij alternatywną metodę rejestracji.
- Zawrzyj umowę powierzenia z dostawcą systemu i ustal okresy przechowywania danych.
Sandra Nowak
