RODO a monitoring uprawnień kierowców — czy potrzebna zgoda kierowcy? Przewodnik 2026

Podstawa prawna — uzasadniony interes, nie zgoda

RODO przewiduje sześć przesłanek legalnego przetwarzania danych osobowych (art. 6 ust. 1). Dla monitoringu kierowców w kontekście pracowniczym praktycznie zawsze właściwa jest jedna z dwóch:

• Art. 6 ust. 1 lit. f RODO — przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub stronę trzecią. To podstawa praktycznie zawsze właściwa dla weryfikacji uprawnień kierowców zawodowych.
• Art. 6 ust. 1 lit. c RODO — przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Stosuje się rzadziej, ale ma znaczenie, gdy obowiązek kontroli wynika wprost z ustawy o transporcie drogowym lub innych szczególnych przepisów branżowych.

Często padające pytanie brzmi: „A może bezpieczniej oprzeć się na zgodzie kierowcy (art. 6 ust. 1 lit. a)?". Odpowiedź prawników i UODO jest jednoznaczna: nie. Powody w następnej sekcji.

Dlaczego zgoda kierowcy to zły pomysł prawny

Zgodnie z art. 4 pkt 11 RODO, zgoda musi być m.in. „dobrowolna". W relacji pracownik-pracodawca dobrowolność jest z definicji wątpliwa. Pracownik wie, że jeśli odmówi zgody, może to mieć dla niego negatywne konsekwencje — utratę pozycji, zwolnienie, brak premii. Dlatego zgoda w tym kontekście prawnie nie jest „swobodna" w rozumieniu RODO.

Co jeszcze ważniejsze: zgodę można w każdej chwili wycofać (art. 7 ust. 3 RODO). To znaczy, że jeśli oprzesz monitoring na zgodzie, kierowca może jej cofnąć w piątek po południu — a Ty od poniedziałku tracisz podstawę do dalszej weryfikacji. Tymczasem zatrudnienie kierowcy bez kontroli uprawnień to ryzyko z art. 96 Kodeksu wykroczeń, ITD i regresu ubezpieczyciela (pisaliśmy o tym osobno: co grozi pracodawcy za dopuszczenie kierowcy bez uprawnień).

Praktyczne stanowisko Prezesa UODO można streścić tak: zgoda nie powinna być narzędziem legalizacji przetwarzania w stosunkach pracy, jeśli istnieje inna, mocniejsza podstawa prawna. A dla monitoringu uprawnień taka podstawa istnieje i nazywa się prawnie uzasadnionym interesem pracodawcy.

Test trzech warunków uzasadnionego interesu

Opieranie się na art. 6 ust. 1 lit. f RODO nie jest „wolną amerykanką". Administrator musi udokumentować, że spełnił trzy testy — to standardowa praktyka (tzw. Legitimate Interest Assessment, LIA), zalecana zarówno przez UODO, jak i Europejską Radę Ochrony Danych.

Test 1 — Cel (Purpose test)

Czy istnieje rzeczywisty, prawnie uzasadniony cel? Dla weryfikacji uprawnień kierowców odpowiedź jest oczywista i wielokrotnie potwierdzona: tak — chodzi o bezpieczeństwo ruchu drogowego, ochronę osób trzecich, ochronę pracownika przed konsekwencjami karnymi, ochronę pracodawcy przed odpowiedzialnością z art. 96 KW i regresami z OC. To są cele „uzasadnione" w rozumieniu motywu 47 RODO.

Test 2 — Konieczność (Necessity test)

Czy cel nie da się osiągnąć w sposób mniej inwazyjny? Tu pojawia się pierwsza pułapka. Pracodawca musi udowodnić, że minimalna ilość danych jest przetwarzana minimalną liczbę razy. Konkretnie:

• Sprawdzamy tylko status uprawnień, nie inne dane osobowe (np. nie zbieramy historii wykroczeń kierowcy bez powodu).
• Częstotliwość kontroli jest proporcjonalna — codzienne odpytywanie CEPiK przy flotach powyżej 5 kierowców jest uzasadnione, ale codzienne sprawdzanie kandydata, który dopiero złożył CV, już nie.
• Przechowujemy tylko niezbędne wyniki, a stare zapisy automatycznie usuwamy.

Test 3 — Równowaga (Balancing test)

Czy interes administratora nie przeważa nadmiernie nad prawami i interesami osoby, której dane dotyczą? Tu odpowiedź zależy od konkretnego przypadku, ale dla typowej firmy transportowej argumenty na rzecz pracodawcy są mocne:

• Kierowca z natury swojej pracy podlega kontroli uprawnień (sprawdza go ITD i policja na drodze — dane nie są dla niego niespodzianką)
• Dane są pobierane z oficjalnego rejestru państwowego (CEPiK), a nie z prywatnych źródeł — to wzmacnia legalność
• Pracownik jest informowany o monitoringu w klauzuli informacyjnej i polityce flotowej
• Pracodawca ma kontrwzajemny obowiązek prawny (art. 96 KW), więc jego interes nie jest hipotetyczny — jest realny i poparty ustawą

W praktyce: napisz wewnętrzny dokument o nazwie Ocena uzasadnionego interesu — monitoring uprawnień kierowców, w którym po jednej stronie opisujesz cel i konieczność, a po drugiej prawa pracownika i argumenty na rzecz proporcjonalności. To 1-2 strony A4, do trzymania w segregatorze RODO. W razie kontroli UODO to pierwszy dokument, którego się zażąda.

Stanowisko UODO — co konkretnie powiedział

Prezes Urzędu Ochrony Danych Osobowych wielokrotnie odnosił się do kwestii weryfikacji uprawnień kierowców przez pracodawców. Najważniejsze tezy ze stanowiska UODO i komentarzy prawnych:

• Sprawdzanie prawa jazdy zatrudnionego kierowcy zawodowego jest dozwolone bez jego zgody, na podstawie uzasadnionego interesu pracodawcy (art. 6 ust. 1 lit. f RODO).
• Częstotliwość kontroli powinna być proporcjonalna do ryzyka i być wprost zapisana w wewnętrznych regulacjach firmy (regulamin pracy, polityka flotowa, zakres obowiązków).
• Pracownik musi być poinformowany o fakcie monitoringu — najlepiej przez klauzulę informacyjną przy zawieraniu umowy lub aneksem do istniejącej umowy.
• Wykorzystanie zewnętrznego narzędzia do automatycznej weryfikacji jest dozwolone, pod warunkiem zawarcia umowy powierzenia przetwarzania danych z dostawcą tego narzędzia (art. 28 RODO).

Lista dokumentów — co musisz mieć w segregatorze

Cztery dokumenty stanowią minimum RODO dla pracodawcy monitorującego uprawnienia kierowców. Każdy ma konkretny artykuł RODO jako podstawę:

1. Klauzula informacyjna dla kierowcy (art. 13 RODO)

Jednostronicowy dokument, który kierowca otrzymuje przy zatrudnieniu (lub jako aneks do istniejącej umowy). Zawiera:

• Tożsamość administratora (firma + adres + e-mail kontaktowy)
• Cel przetwarzania (weryfikacja uprawnień do prowadzenia pojazdów służbowych)
• Podstawę prawną (art. 6 ust. 1 lit. f RODO — uzasadniony interes; opis tego interesu)
• Odbiorców danych (jeśli stosujesz narzędzie zewnętrzne — dostawca)
• Okres przechowywania danych
• Prawa kierowcy (dostęp, sprostowanie, sprzeciw — z zastrzeżeniem ograniczeń art. 21)
• Informację o prawie skargi do Prezesa UODO

2. Zapis w polityce flotowej lub regulaminie pracy

Wewnętrzny dokument opisujący jak konkretnie firma kontroluje uprawnienia. Powinien zawierać:

• Częstotliwość kontroli (np. „codziennie automatycznie w bazie CEPiK przez narzędzie XYZ" lub „co najmniej raz na kwartał ręcznie")
• Wskazanie osoby/stanowiska odpowiedzialnej za kontrolę
• Procedura postępowania w razie wykrycia nieważnych uprawnień (odsunięcie od pojazdu, dokumentacja, dalsze kroki)
• Sankcje wewnętrzne za zatajenie utraty uprawnień przez pracownika

3. Wpis do rejestru czynności przetwarzania (art. 30 RODO)

Tzw. RoPA (Record of Processing Activities) to wewnętrzny rejestr wymagany od każdego administratora zatrudniającego więcej niż 250 osób — i bardzo zalecany niezależnie od wielkości firmy. Dla monitoringu uprawnień kierowców wpis zawiera:

• Nazwę czynności: „Weryfikacja uprawnień kierowców do prowadzenia pojazdów służbowych"
• Cel przetwarzania
• Kategorie osób (kierowcy zatrudnieni na umowy o pracę / B2B)
• Kategorie danych (imię, nazwisko, numer blankietu prawa jazdy, status, kategorie)
• Kategorie odbiorców (dostawca narzędzia weryfikacji)
• Termin usunięcia (zgodnie z polityką retencji)
• Stosowane środki bezpieczeństwa

4. Umowa powierzenia przetwarzania (art. 28 RODO)

Jeśli korzystasz z zewnętrznego narzędzia (np. RaportKierowcy.pl) do automatycznej weryfikacji w CEPiK, musisz zawrzeć z dostawcą umowę powierzenia. W RaportKierowcy.pl umowa ta jest dostępna pod adresem /umowa-powierzenia i podpisywana automatycznie wraz z założeniem konta — nie wymaga osobnego negocjowania ani podpisu fizycznego.

Szczególne przypadki — kierowca B2B, agencja, podwykonawca

Kierowca na umowie B2B (samozatrudnienie)

Sytuacja techniczna prawie ta sama jak przy umowie o pracę: podstawą jest uzasadniony interes (art. 6 ust. 1 lit. f RODO). Różnica polega na tym, że dobrą praktyką jest wprost zapisać w umowie B2B obowiązek przedstawienia ważnego prawa jazdy oraz zgodę kierowcy-przedsiębiorcy na cykliczną weryfikację w CEPiK. Tu zgoda działa inaczej niż w stosunku pracy — bo strony są bardziej równe.

Kierowca z agencji pracy tymczasowej

Tu odpowiedzialność RODO leży głównie po stronie agencji jako pracodawcy. Firma korzystająca z pracy kierowcy ma jednak własny uzasadniony interes w weryfikacji (zwłaszcza w razie audytu zleceniodawcy lub kontroli ITD). Najczystszym rozwiązaniem jest umowa współadministrowania (art. 26 RODO) między agencją a firmą korzystającą z pracy, w której obie strony jasno dzielą obowiązki kontroli.

Kierowca podwykonawcy

Coraz częstsza sytuacja przy dużych zleceniodawcach (Amazon, DHL, sieci handlowe), którzy wymagają, by firma transportowa weryfikowała kierowców swoich podwykonawców. Tu RODO komplikuje sprawę — formalnie podwykonawca jest osobnym administratorem swoich danych. Rozwiązanie: w umowie z podwykonawcą zapis o obowiązku udostępnienia wyników weryfikacji uprawnień (i przekazania klauzul informacyjnych własnym kierowcom). Lepsze niż samodzielne odpytywanie CEPiK o kierowców cudzej firmy.

Mit „RODO zabrania monitoringu" — i dlaczego jest błędny

Wciąż słychać w branży transportowej argument: „nie sprawdzam kierowców, bo RODO mi zabrania". To jest całkowicie błędne rozumienie przepisów. RODO nie zabrania monitoringu — RODO go reguluje. Konkretnie:

• Monitoring pracowniczy jest dozwolony, jeśli ma uzasadnioną podstawę prawną
• Musi być proporcjonalny do celu (nie monitorujemy wszystkiego o pracowniku — tylko uprawnienia)
• Musi być transparentny (pracownik wie, że jest monitorowany)
• Co RODO faktycznie zabrania: ukrytego monitoringu, gromadzenia danych „na zapas", łączenia tych danych z innymi rejestrami bez podstawy

Co więcej — w branży transportowej brak monitoringu może być traktowany jako naruszenie należytej staranności pracodawcy, co zwiększa odpowiedzialność z art. 96 KW. Krótko mówiąc: nie tylko możesz, ale powinieneś.