Przewiduje się dopuszczalność stosowania monitoringu wyłącznie, jeżeli jest to niezbędne do zapewnienia bezpieczeństwa pracowników lub ochrony mienia lub kontroli produkcji lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę. Po spełnieniu co najmniej jednego z wskazanych warunków pracodawca może wprowadzić szczególny nadzór nad terenem zakładu pracy lub terenem wokół zakładu pracy w postaci środków technicznych umożliwiających rejestrację obrazu (art. 22(2) § 1 kodeksu pracy).

Co do zasady monitoring nie może obejmować pomieszczeń sanitarnych, szatni, stołówek, palarni, a także pomieszczeń udostępnianych zakładowej organizacji związkowej. Jedynie wyjątkowo w tych pomieszczeniach mogą zostać zainstalowane kamery. Musi to być jednak niezbędne do realizacji celu zastosowania monitoringu i nie może naruszać godności oraz innych dóbr osobistych pracownika, a także zasady wolności i niezależności związków zawodowych, w szczególności poprzez zastosowanie technik uniemożliwiających rozpoznanie przebywających w tych pomieszczeniach osób (art. 22(2) § 2 kodeksu pracy).

Pracodawca musi pamiętać, że nagrania obrazu może przetwarzać wyłącznie do celów, dla których zostały zebrane, i przechowywać je przez okres nieprzekraczający 3 miesięcy. Termin ten może ulec przedłużeniu, jeśli nagrania z monitoringu stanowią dowód w postępowaniu lub pracodawca powziął wiadomość, iż mogą taki dowód stanowić. W takiej sytuacji pracodawca może posługiwać się takimi nagraniami najpóźniej do czasu prawomocnego zakończenia postępowania, po czym powinien je zniszczyć.

Zgodnie z wprowadzoną regulacją pracodawca jest zobowiązany do poinformowania pracowników o wprowadzeniu monitoringu co najmniej na 2 tygodnie przed jego uruchomieniem. Może to uczynić w sposób przyjęty w danym zakładzie. Dodatkowo w aktach prawa wewnętrznego – układzie zbiorowym pracy lub w regulaminie pracy albo w obwieszczeniu, jeżeli pracodawca nie jest objęty układem zbiorowym pracy i nie jest zobowiązany do ustalenia regulaminu pracy - muszą zostać określone cele, zakres i sposób zastosowania monitoringu wizyjnego. Niezależnie od tego pracodawca jest zobowiązany do przekazania na piśmie informacji w tym zakresie pracownikowi przed dopuszczeniem go do pracy.

W przypadku wprowadzenia monitoringu pracodawca musi oznaczyć pomieszczenia monitorowane w sposób widoczny i czytelny, za pomocą odpowiednich znaków lub ogłoszeń dźwiękowych, nie później niż jeden dzień przed jego uruchomieniem.

Jednocześnie każdy pracodawca przed zastosowaniem monitoringu będzie musiał pamiętać o stosowaniu art. 35 ogólnego rozporządzenia o ochronie danych osobowych (nr 2016/679), który obliguje administratora do dokonania oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych przed rozpoczęciem przetwarzania, w przypadku gdy dany rodzaj przetwarzania (w szczególności z użyciem nowych technologii) ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych.

Ponadto trzeba dodać, iż stosowanie monitoringu nie zwalnia pracodawcy z realizacji obowiązków informacyjnych wynikających z art. 12 i 13 rozporządzenia nr 2016/679 wobec osób trzecich, które będą objęte monitoringiem. Zgodnie z art. 13 rozporządzenia administrator (tj. pracodawca) będzie zobowiązany przekazać konkretnej osobie (pracownikowi) następujące informacje na temat monitorowania:

• adres, pełna nazwa administratora danych osobowych,
• dane kontaktowe administratora (np. mail, telefon),
• cel przetwarzania danych osobowych,
• podstawa przetwarzania danych osobowych wraz z ew. opisem prawnie uzasadnionych interesów realizowanych przez administratora,
• informację o odbiorcach danych osobowych,
• informację o zamiarze przekazania danych osobowych do państwa trzeciego,
• informację o okresie przechowywania danych osobowych,
• informację o prawie dostępu do danych osobowych oraz ich sprostowania,
• informację o prawie usunięcia danych osobowych lub ograniczenia przetwarzania, o prawie do wniesienia sprzeciwu oraz o prawie do przenoszenia danych,
• informację o prawie do cofnięcia zgody na przetwarzanie danych,
• informację o prawie do wniesienia skargi do organu nadzorczego,
• informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych.