RODO a monitoring uprawnień kierowców: czy potrzebna zgoda kierowcy? Przewodnik 2026

Podstawa prawna: uzasadniony interes zamiast zgody

Art. 6 ust. 1 RODO przewiduje sześć przesłanek zgodnego z prawem przetwarzania danych osobowych. Przy weryfikacji uprawnień kierowców w grę wchodzą przede wszystkim dwie.

Art. 6 ust. 1 lit. f RODO dopuszcza przetwarzanie niezbędne do celów wynikających z prawnie uzasadnionych interesów administratora lub strony trzeciej, o ile nadrzędne nie są interesy lub prawa i wolności osoby, której dane dotyczą. To podstawa wskazywana najczęściej, ponieważ interes pracodawcy wynika z jego odpowiedzialności za to, kto prowadzi pojazdy firmy.

Art. 6 ust. 1 lit. c RODO obejmuje przetwarzanie niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Ma znaczenie, gdy przepis szczególny określa warunki, jakie musi spełniać kierowca, np. art. 39a ustawy o transporcie drogowym: odpowiednie prawo jazdy, brak przeciwwskazań lekarskich i psychologicznych, brak zakazu prowadzenia pojazdów, kwalifikacja zawodowa.

Zgoda kierowcy (art. 6 ust. 1 lit. a RODO) bywa wybierana z ostrożności, jednak w stosunku pracy jest podstawą słabszą od obu powyższych.

Zgoda kierowcy jako podstawa przetwarzania

Zgodnie z art. 4 pkt 11 RODO zgoda musi być m.in. dobrowolna. W stosunku pracy dobrowolność jest z samej istoty tej relacji wątpliwa: pracownik, który odmówi zgody, może obawiać się gorszego traktowania, pominięcia przy premii, a nawet zwolnienia. Motyw 43 RODO wskazuje, że zgoda nie powinna stanowić ważnej podstawy przetwarzania, gdy między osobą, której dane dotyczą, a administratorem występuje wyraźny brak równowagi.

Zgodę można też w każdej chwili wycofać (art. 7 ust. 3 RODO). Pracodawca traci wtedy podstawę do dalszych sprawdzeń, a skutki dopuszczenia do prowadzenia pojazdu osoby bez uprawnień (wykroczenie z art. 96 § 1 Kodeksu wykroczeń, konsekwencje przy kontroli ITD, wyłączenie ochrony w autocasco) nadal go dotyczą; opisuje je artykuł co grozi pracodawcy za dopuszczenie kierowcy bez uprawnień.

Na te same ograniczenia zwraca uwagę Urząd Ochrony Danych Osobowych w poradniku „Ochrona danych osobowych w miejscu pracy. Poradnik dla pracodawców” z października 2018 r.: przy zgodzie rozpatrywanej na gruncie prawa pracy należy uwzględnić nierówność stron, a zgoda pracownika jest możliwa tylko wtedy, gdy może on odmówić jej udzielenia bez negatywnych konsekwencji.

Test trzech warunków uzasadnionego interesu

Powołanie się na art. 6 ust. 1 lit. f RODO wymaga wcześniejszej, udokumentowanej oceny, nazywanej testem równowagi (ang. Legitimate Interest Assessment, LIA). Wytyczne Europejskiej Rady Ochrony Danych nr 1/2024 dotyczące prawnie uzasadnionego interesu, przyjęte w październiku 2024 r., wymieniają trzy warunki, które muszą być spełnione łącznie. Ten sam schemat opisał UODO w odpowiedzi omówionej niżej.

Test 1: cel (purpose test)

Cel przetwarzania musi być rzeczywisty i prawnie uzasadniony. Przy weryfikacji uprawnień jest nim bezpieczeństwo ruchu drogowego, ochrona osób trzecich, ochrona kierowcy przed skutkami jazdy bez uprawnień (w tym przed regresem ubezpieczyciela OC) oraz ochrona pracodawcy przed odpowiedzialnością z art. 96 § 1 Kodeksu wykroczeń. Motyw 47 RODO dodaje, że prawnie uzasadniony interes może istnieć na przykład wtedy, gdy osoba, której dane dotyczą, działa na rzecz administratora, a tak jest w przypadku zatrudnionego kierowcy.

Test 2: konieczność (necessity test)

Przetwarzanie musi być niezbędne. Jeżeli cel można osiągnąć równie skutecznie w sposób mniej ingerujący w prawa kierowcy, warunek nie jest spełniony; wytyczne EROD łączą go z zasadą minimalizacji danych (art. 5 ust. 1 lit. c RODO). Weryfikacja powinna więc obejmować wyłącznie stan dokumentu i uprawnień, bez innych informacji o kierowcy, np. historii wykroczeń. Częstotliwość kontroli powinna odpowiadać ryzyku: codzienne sprawdzanie kierowców, którzy codziennie prowadzą pojazdy firmy, ma uzasadnienie, a codzienne sprawdzanie kandydata, który dopiero złożył CV, już nie. Wyniki przechowuje się przez okres wskazany w polityce retencji, a nie bezterminowo.

Test 3: równowaga interesów (balancing test)

Interesy, prawa i wolności kierowcy nie mogą być nadrzędne wobec interesu pracodawcy. Wynik zależy od okoliczności. Posiadanie uprawnień jest warunkiem wykonywania pracy kierowcy, a dokument sprawdzają na drodze policja i Inspekcja Transportu Drogowego, więc weryfikacja przez pracodawcę mieści się w rozsądnych oczekiwaniach kierowcy, o których mowa w motywie 47 RODO. Dane pochodzą z rejestru państwowego (CEPiK), a nie ze źródeł prywatnych, i obejmują wąski zakres: stan dokumentu oraz kategorie uprawnień z datami ważności. Kierowca jest informowany o weryfikacji w klauzuli informacyjnej i polityce flotowej, a interes pracodawcy wynika z odpowiedzialności przewidzianej w art. 96 § 1 Kodeksu wykroczeń.

Wynik testu zapisuje się w wewnętrznym dokumencie, np. Ocena uzasadnionego interesu: monitoring uprawnień kierowców, który opisuje cel i konieczność przetwarzania, prawa pracownika oraz argumenty za proporcjonalnością. Zwykle zajmuje jedną lub dwie strony A4 i jest przechowywany w dokumentacji RODO firmy. Służy wykazaniu zgodności przetwarzania z prawem, czego wymaga zasada rozliczalności (art. 5 ust. 2 RODO).

Stanowiska Urzędu Ochrony Danych Osobowych

Materiały UODO przywołane w artykule (uodo.gov.pl) nie dotyczą wprost weryfikacji prawa jazdy w CEPiK, ale wyznaczają zasady, które mają do niej zastosowanie. W odpowiedzi na pytanie inspektora ochrony danych „Która przesłanka jest podstawą przetwarzania danych przez pracodawcę stosującego monitoring?” z 29 kwietnia 2021 r. Urząd wskazał art. 6 ust. 1 lit. f RODO jako przesłankę przetwarzania danych pracowników przy monitoringu prowadzonym w celach i na warunkach Kodeksu pracy (wizyjnym, poczty elektronicznej i w innych formach). Powołanie się na tę przesłankę wymaga uprzedniego testu równowagi, a pracodawca powinien umieć wykazać proporcjonalność zastosowanego środka do celu. Stanowisko w sprawie zgody pracownika, pracowników tymczasowych i umów cywilnoprawnych zawiera poradnik dla pracodawców z 2018 r., omówiony w innych sekcjach.

Pozostałe wymogi wynikają z RODO: częstotliwość kontroli powinna odpowiadać ryzyku i zostać zapisana w regulaminie pracy lub polityce flotowej, kierowca musi zostać poinformowany o weryfikacji (art. 13 i 14 RODO), a zewnętrzne narzędzie wymaga umowy powierzenia z jego dostawcą (art. 28 RODO).

Dokumenty wymagane od pracodawcy

Minimum dokumentacji pracodawcy obejmuje cztery dokumenty, z których każdy ma podstawę w konkretnym przepisie RODO.

1. Klauzula informacyjna dla kierowcy (art. 13 i 14 RODO)

Jednostronicowy dokument przekazywany kierowcy przy zatrudnieniu, a osobom już zatrudnionym przed rozpoczęciem weryfikacji. Zawiera:

• Tożsamość administratora (nazwa firmy, adres, adres e-mail do kontaktu)
• Cel przetwarzania (weryfikacja uprawnień do prowadzenia pojazdów służbowych)
• Podstawę prawną (art. 6 ust. 1 lit. f RODO) wraz z opisem prawnie uzasadnionego interesu
• Źródło danych pozyskiwanych z rejestru, czyli Centralną Ewidencję Kierowców w CEPiK (art. 14 RODO)
• Odbiorców danych, w tym dostawcę narzędzia do weryfikacji, jeżeli firma z niego korzysta
• Okres przechowywania danych
• Prawa kierowcy: dostęp do danych, sprostowanie oraz sprzeciw na zasadach art. 21 RODO
• Informację o prawie wniesienia skargi do Prezesa UODO

2. Zapis w polityce flotowej lub regulaminie pracy

Wewnętrzny dokument opisuje, w jaki sposób firma kontroluje uprawnienia. Powinien określać:

• Częstotliwość i sposób kontroli (np. „codziennie, automatycznie w bazie CEPiK, za pośrednictwem narzędzia [nazwa]” albo „co najmniej raz na kwartał, ręcznie”)
• Osobę lub stanowisko odpowiedzialne za kontrolę
• Procedurę postępowania po wykryciu nieważnych uprawnień (odsunięcie od prowadzenia pojazdu, dokumentacja zdarzenia, dalsze kroki)
• Obowiązek zgłaszania przez pracownika utraty uprawnień oraz skutki jego zatajenia

3. Wpis do rejestru czynności przetwarzania (art. 30 RODO)

Rejestr czynności przetwarzania (ang. Record of Processing Activities, RoPA) prowadzi administrator. Art. 30 ust. 5 RODO zwalnia z tego obowiązku podmioty zatrudniające mniej niż 250 osób, ale nie w przypadku przetwarzania, które nie ma charakteru sporadycznego, może powodować ryzyko dla praw lub wolności osób albo obejmuje szczególne kategorie danych. Cykliczna weryfikacja kierowców jest systematyczna, dlatego wpis jest potrzebny niezależnie od wielkości firmy. Stanowisko Grupy Roboczej Art. 29 z 14 maja 2018 r., opublikowane przez UODO, również uznaje systematyczne przetwarzanie danych pracowników za niesporadyczne. Wpis zawiera:

• Nazwę czynności: „Weryfikacja uprawnień kierowców do prowadzenia pojazdów służbowych”
• Cel przetwarzania
• Kategorie osób (kierowcy zatrudnieni na podstawie umowy o pracę lub współpracujący na podstawie umowy B2B)
• Kategorie danych (imię, nazwisko, numer blankietu prawa jazdy, stan dokumentu, kategorie uprawnień)
• Kategorie odbiorców (dostawca narzędzia do weryfikacji)
• Termin usunięcia danych (zgodnie z polityką retencji)
• Ogólny opis stosowanych środków bezpieczeństwa

4. Umowa powierzenia przetwarzania (art. 28 RODO)

Firma, która korzysta z zewnętrznego narzędzia (np. RaportKierowcy.pl) do automatycznego monitorowania prawa jazdy kierowcy w CEPiK, zawiera z jego dostawcą umowę powierzenia. W RaportKierowcy.pl treść umowy jest opublikowana pod adresem /umowa-powierzenia, a umowę zawiera się elektronicznie przy rejestracji konta, bez odrębnych negocjacji i podpisu na papierze.

Szczególne przypadki: kierowca B2B, agencja, podwykonawca

Kierowca na umowie B2B (samozatrudnienie)

Podstawą weryfikacji również jest prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO). Zakres danych przy umowach cywilnoprawnych podmiot zatrudniający ustala sam, w granicach tego, co niezbędne do realizacji umowy (poradnik UODO z 2018 r.). Umowa B2B powinna zawierać obowiązek przedstawienia ważnego prawa jazdy i informację o cyklicznej weryfikacji w CEPiK. Zgoda kierowcy nie jest do tego potrzebna.

Kierowca z agencji pracy tymczasowej

Administratorem danych pracownika tymczasowego jest co do zasady agencja pracy tymczasowej jako jego pracodawca. Według poradnika UODO z 2018 r. agencja zawiera z pracodawcą użytkownikiem umowę powierzenia, a pracodawca użytkownik jest administratorem w zakresie obowiązków wykonywanych samodzielnie na podstawie ustawy o zatrudnianiu pracowników tymczasowych. Firma korzystająca z pracy kierowcy ma też własny interes w weryfikacji, ponieważ to ona dopuszcza go do prowadzenia pojazdu (art. 96 § 1 Kodeksu wykroczeń). Podział obowiązków reguluje umowa agencji z pracodawcą użytkownikiem.

Kierowca podwykonawcy

Umowy z większymi zleceniodawcami mogą wymagać weryfikacji także kierowców podwykonawców. Podwykonawca jest odrębnym administratorem danych swoich kierowców, dlatego rozwiązaniem jest zapis w umowie, który zobowiązuje go do weryfikacji własnych kierowców, udostępniania jej wyników i przekazania kierowcom klauzul informacyjnych. Ogranicza to przetwarzanie danych osób spoza firmy bardziej niż samodzielne sprawdzanie ich w CEPiK.

Mit o zakazie monitoringu w RODO

W branży transportowej spotyka się przekonanie, że sprawdzania kierowców zabrania RODO. Jest to błędne odczytanie przepisów: RODO nie zakazuje monitoringu, lecz określa jego warunki. Weryfikacja uprawnień jest dopuszczalna, jeżeli ma podstawę prawną, jest proporcjonalna do celu (dotyczy uprawnień, a nie wszystkich informacji o pracowniku) i przejrzysta, czyli pracownik wie o kontroli. Niedopuszczalny jest natomiast monitoring ukryty, gromadzenie danych „na zapas” i łączenie ich z innymi rejestrami bez podstawy prawnej.

Brak kontroli ma za to znaczenie dla odpowiedzialności pracodawcy: wykroczenie z art. 96 § 1 Kodeksu wykroczeń można popełnić nieumyślnie, a udokumentowana, cykliczna weryfikacja pozwala wykazać należytą staranność.