Dlaczego firmy wciąż odkładają temat eTeczki?

Kiedy pytamy działy HR o elektroniczne akta osobowe, odpowiedź jest niemal zawsze ta sama: mamy ważniejsze priorytety. Presja na wyniki, rotacja pracowników, kolejne projekty transformacyjne – to wszystko sprawia, że eTeczka ląduje na końcu listy rzeczy do zrobienia. I tam tkwi. Miesiąc po miesiącu.

Problem w tym, że odkładanie tematu nie jest neutralną decyzją. To aktywne akumulowanie ryzyka. Każdy dzień bez eTeczki to dzień, w którym dokumentacja pracownicza jest przechowywana w sposób, który może nie wytrzymać zderzenia z kontrolą PIP, audytem RODO ani – dosłownie – z wodą po powodzi.

Trzy bariery powtarzają się najczęściej: brak czasu na eksperymentowanie, strach przed błędem przy wdrożeniu oraz presja na natychmiastowe, mierzalne rezultaty. Każda z nich jest zrozumiała. Żadna z nich nie zmienia rachunku ryzyka.

Ten artykuł nie jest zachętą do rewolucji w dziale HR. To zestawienie faktów – kar, precedensów i realnych kosztów – które pozwoli podjąć świadomą decyzję: czy warto ubezpieczyć się przed ryzykiem, czy grać dalej w rosyjską ruletkę z segregatorami.

Cyfrowe dane też można zgubić – lekcja z pendrive’a

Wyobraź sobie sytuację: lipiec 2023 roku, pracownik firmy gastronomicznej z Kolbuszowej wychodzi z biura. W kieszeni ma pendrive’a. Nazajutrz – nie ma go. Na nośniku: imię, nazwisko, PESEL, numer paszportu, adres, zdjęcia i zarobki innego pracownika. Wszystko niezaszyfrowane.
Firma zachowała się wzorowo: zgłosiła naruszenie do UODO, współpracowała z urzędem, pokazała rejestr ryzyka i film instruktażowy dla pracowników. Nic to nie dało.

Decyzja UODO (DKN.5131.29.2023): kara 239 868 zł. I to przy uwzględnieniu pełnej współpracy firmy z organem. Wyjściowa kwota, którą rozważał Prezes UODO, oscylowała na poziomie ponad 10 000 000 zł.

Morał z tej sprawy jest głębszy niż szyfrujcie pendrive’y. Kluczowy wniosek UODO brzmiał: firma źle oceniła ryzyko. Zakładała, że nośnik może być skradziony lub zniszczony – ale nie wzięła pod uwagę, że można go po prostu zgubić. Odpowiedzialność za sposób przetwarzania danych nie leży po stronie pracownika, który zgubił – leży po stronie pracodawcy, który nie wdrożył systemowych zabezpieczeń.

To fundamentalna różnica między eTeczką a elektroniczną teczką na pendrivie. Prawdziwe elektroniczne akta osobowe to środowisko kontrolowanego dostępu, z pełną ścieżką audytu, przechowywaniem w zabezpieczonej chmurze i brakiem możliwości niekontrolowanego skopiowania dokumentu. Digitalizacja bez systemu to pozorna ochrona – i UODO to wie.

Seria przypadków z pendrive’ami – to nie jest incydent jednostkowy

Sprawa Res-Gastro to nie wyjątek. Sąd Rejonowy Szczecin-Centrum zapłacił 30 000 zł za zgubienie trzech pendrive’ów z projektami orzeczeń – w tym dwóch prywatnych nośników, których pracownicy używali na służbowym sprzęcie od 2004 roku. Izba Adwokacka zapłaciła 23 580 zł za zgubienie nagrania rozprawy rozwodowej. Wzorzec jest identyczny we wszystkich przypadkach: brak systemowych zabezpieczeń, zakwestionowana analiza ryzyka, kara.

Każda z tych spraw, oprócz finansowego kosztu kary, generowała coś trudniejszego do wyceny: miesięcy pracy prawników, korespondencji z UODO, stres zarządu i – co nie bez znaczenia – wizerunkowe ryzyko ujawnienia, że firma nie chroniła danych swoich pracowników.

SZYBKIE ODPOWIEDZI

Czy muszę chronić dane pracownicze tak samo jak dane klientów? TAK – RODO nie rozróżnia kategorii osób.
Czy jeśli mam dokumenty w chmurze, jestem bezpieczny? NIE – jeśli dostęp jest niekontrolowany lub brak odpowiedniej analizy ryzyka.
Czy PIP może przyjść bez zapowiedzi? TAK – uprawnienie wynika wprost z ustawy o PIP.
Czy powódź zwalnia mnie z obowiązku posiadania akt? NIE – obowiązek odtworzenia spoczywa wyłącznie na pracodawcy.

PIP puka bez ostrzeżenia – i sprawdza do 3 lat wstecz

Państwowa Inspekcja Pracy ma uprawnienie, o którym wielu pracodawców woli nie myśleć: może przeprowadzić kontrolę bez uprzedzenia, o dowolnej porze, i zażądać dokumentacji za ostatnie trzy lata. Nie istnieje branża ani wielkość firmy, która by to uprawnienie wyłączała. Kontrole obejmują każdego, kto zatrudnia kogokolwiek – na umowę o pracę, zlecenie, dzieło, a nawet B2B.

Co sprawdza inspektor? Przede wszystkim akta osobowe: kompletność, prawidłowość prowadzenia poszczególnych części, dokumenty obowiązkowe – od zakresu obowiązków po szkolenia BHP, od informacji o warunkach zatrudnienia po oświadczenia o przetwarzaniu danych osobowych. Szuka niekompletnych akt, brakujących podpisów, dokumentów złożonych nie w tej części teczki, w której powinny być.

Kluczowy fakt: bałagan w dokumentacji pracowniczej sam w sobie może stanowić podstawę do nałożenia kary. Nieprowadzenie lub niewłaściwe prowadzenie akt osobowych to wykroczenie przeciwko prawom pracownika.

Widełki kar PIP: mandat do 5 000 zł, a gdy sprawa trafia do sądu – grzywna od 1 000 do 30 000 zł. Kontrola może trwać od kilku godzin do kilku tygodni w zależności od skali firmy. I jeszcze jeden szczegół, który niewielu pracodawców zna: jeśli inspektor uzna, że naruszenia mają charakter ciągły, może skierować do sądu wniosek o ukaranie za każdy okres, w którym dokumentacja była nieprawidłowa – osobno.

Dział HR, który wie, że akta są niekompletne, żyje w permanentnym napięciu. Każde pytanie pracownika o wgląd do teczki, każda skarga do PIP, każda rotacja w zespole – to potencjalny wyzwalacz kontroli. eTeczka nie eliminuje tego ryzyka magicznie, ale radykalnie je redukuje: automatyczne przypomnienia o brakujących dokumentach, kontrola kompletności w czasie rzeczywistym, ścieżka audytu. Święty spokój HR-owca to też wartość, którą warto wycenić.

Kiedy woda weszła do archiwum – lekcja z powodzi 2024

We wrześniu 2024 roku powódź nawiedziła południe Polski. Obok strat materialnych – zalanych hal, zniszczonych maszyn, wyposażenia biur – wiele firm stanęło przed problemem, o którym wcześniej w ogóle nie myślały: zniknęły segregatory z aktami osobowymi. Latami skrzętnie wypełniane teczki pracownicze, umowy, zaświadczenia, orzeczenia lekarskie – mokre, nieczytelne lub całkowicie zniszczone.

Pierwsze, co trzeba wiedzieć w takiej sytuacji: prawo nie przewiduje zwolnienia z obowiązku posiadania dokumentacji z powodu siły wyższej. Powódź nie jest wymówką. Pracodawca, który utracił akta, ma obowiązek je odtworzyć – na własny koszt, we własnym zakresie, zbierając dane z ZUS, urzędów skarbowych, banków, byłych pracowników i archiwów.

Eksperci Grant Thornton opisali dziesięciokrokowy proces odtwarzania dokumentacji pracowniczej. Każdy z tych kroków kosztuje czas, pieniądze i zasoby HR. Firma z pięćdziesięcioma pracownikami, która traciła dokumentację, mogła spędzić na odtwarzaniu tygodnie.

Firmy, które miały eTeczkę, miały problem inny: jak szybko zorganizować zdalną pracę dla ewakuowanych pracowników. Firmy, które jej nie miały, miały problem egzystencjalny: jak odtworzyć dokumentację dziesiątek lub setek pracowników, zanim przyjdzie kontrola PIP lub pracownik złoży wniosek o zaświadczenie o zatrudnieniu.

Warto pamiętać, że przechowywanie dokumentacji w warunkach grożących jej zniszczeniem lub uszkodzeniem samo w sobie stanowi wykroczenie. Jeśli akta leżały w piwnicy, która mogła zostać zalana, a firma nie wdrożyła odpowiednich środków ochrony – to nie tylko problem po zalaniu. To problem, który istniał wcześniej.

Ukryte koszty papierowej teczki – co mówią liczby

Kary i kontrole to czubek góry lodowej. Pod powierzchnią kryją się koszty codzienne – powtarzalne, akceptowane jako normalne, niewidoczne w żadnym raporcie zarządczym. Poniżej zestawienie oparte na danych z kalkulatora kosztów dokumentacji pracowniczej dla przykładowej firmy z 11-osobowym działem HR przy stawce godzinowej 50 zł:

Te liczby nie mówią o redukcji etatów – mówią o uwolnieniu czasu. Czasu, który HR może przeznaczyć na pracę strategiczną: onboarding, rozwój, employer branding. Na to, od czego faktycznie zależy jakość organizacji – nie na szukanie zaświadczenia sprzed trzech lat w pudełku oznaczonym archiwum 2021-2022.

eTeczka ≠ digitalizacja. eTeczka = bezpieczne środowisko dla danych pracowniczych

Tu pojawia się punkt, który wymaga zatrzymania. Wiele firm reaguje na ryzyko opisane w tym artykule skanowaniem dokumentów i wrzucaniem plików na dysk Google. To nie jest eTeczka. To papierowa teczka w wersji PDF – z tymi samymi podatnościami, tylko przeniesionymi do chmury.

Prawdziwa eTeczka to zamknięte, kontrolowane środowisko, które spełnia wymogi rozporządzenia Ministra Rodziny, Pracy i Polityki Społecznej w sprawie dokumentacji pracowniczej. Co to oznacza w praktyce?

• • Dokumenty są przechowywane w podziale na ustawowe części akt (A, B, C, D, E) – automatycznie.
  • Każde zdarzenie jest logowane – kto otworzył, kto dodał, kto usunął. Pełna ścieżka audytu na potrzeby RODO i PIP.
  • Dostęp jest kontrolowany rolami – pracownik widzi swoje dokumenty, manager to, co powinien, HR wszystko.
  • Dokumenty mogą być podpisywane elektronicznie – bez drukowania, bez skanowania, bez kuriera.
  • System sam pilnuje kompletności – przypomina o brakujących dokumentach, przeterminowanych badaniach, wygasających umowach.

Warto zaznaczyć, że najdojrzalsze rozwiązania na rynku łączą eTeczkę z elektronicznym obiegiem dokumentów i kwalifikowanym podpisem elektronicznym w ramach jednej platformy. Oznacza to, że firma zamiast kilku osobnych narzędzi – jednego do akt, drugiego do wniosków urlopowych, trzeciego do podpisywania dokumentów – może mieć jedno spójne środowisko. Mniej integracji, mniej punktów ryzyka, jeden dostawca odpowiedzialny za bezpieczeństwo danych.

Kluczowa różnica: w bezpiecznym systemie elektronicznym nie można zgubić pendrive’a z aktami pracownika. Nie istnieje fizyczny nośnik, który można wyjąć z kieszeni. Dane są zaszyfrowane, archiwizowane i dostępne tylko dla uprawnionych – niezależnie od tego, czy biuro zostanie zalane, czy spłonie.

Jak przekonać zarząd do eTeczki? Mów językiem ryzyka, nie językiem usprawnienia

Zarządy kupują rozwiązania z jednego z dwóch powodów: albo widzą szansę na wzrost, albo chcą uniknąć straty. W przypadku eTeczki – szczególnie na początku rozmowy – skuteczniejszy jest drugi argument.

Kara RODO od UODO to nie abstrakcja. Prawie 240 000 zł za jednego niezaszyfrowanego pendrive’a, przy wyjściowej kwocie rozważanej przez organ na poziomie ponad 10 000 000 zł – to argument, który rozumie każdy CFO. Grzywna od PIP do 30 000 zł za bałagan w aktach to argument, który rozumie każdy prawnik. Tygodnie pracy przy odtwarzaniu dokumentacji po powodzi to argument, który rozumie każdy COO.

Ramka argumentacyjna dla zarządu powinna brzmieć następująco:

Checklist: czy Twoja firma jest narażona na ryzyko?

Zanim podejmiesz decyzję, odpowiedz szczerze na poniższe pytania:

• • Czy masz pewność, że wszystkie dane pracownicze w wersji elektronicznej są zaszyfrowane i kontrolowany jest dostęp do nich?
  • Czy Twoja firma przeżyłaby kontrolę PIP jutro rano, bez żadnego przygotowania?
  • Czy jesteś w stanie odtworzyć komplet dokumentacji dowolnego pracownika w ciągu godziny?
    • Czy Twoje akta są fizycznie bezpieczne – nie w piwnicy, nie w zagrożonej przestrzeni?
    • Czy masz udokumentowaną analizę ryzyka przetwarzania danych pracowniczych zgodnie z RODO?

Jeśli na którekolwiek z tych pytań odpowiedź brzmi nie wiem lub prawdopodobnie nie – to nie jest znak, że trzeba panikować. To znak, że wiesz już, od czego zacząć rozmowę o eTeczce.

Podsumowanie: eTeczka jako polisa, nie jako projekt IT

Najlepsza analogia dla eTeczki to ubezpieczenie. Nikt nie kupuje OC, bo jutro planuje stłuczkę. Kupuje je, bo stłuczka może się zdarzyć i lepiej być przygotowanym na koszt 500 zł składki niż na koszt 50 000 zł naprawy.

Kary RODO za niezabezpieczone dane pracownicze sięgają setek tysięcy złotych – i mamy polskie precedensy, nie tylko europejskie strachy. Kontrole PIP mogą pojawić się bez ostrzeżenia i cofnąć się trzy lata. Powódź może zalać archiwum w ciągu godziny, a prawo i tak wymaga, żebyś te akta odtworzył.

eTeczka nie rozwiązuje wszystkich problemów HR. Ale eliminuje całą klasę ryzyk, które bez niej są po prostu wbudowane w codzienne funkcjonowanie firmy. Ryzyk, które nie są widoczne, dopóki nie zmaterializują się jako kara, kontrola lub katastrofa.

Pytanie nie brzmi: Czy wdrożyć eTeczkę?. Pytanie brzmi: Ile jeszcze jesteś gotów ryzykować, czekając?

FAQ – najczęstsze pytania

Czy eTeczka jest obowiązkowa?

Nie – przepisy dopuszczają zarówno formę papierową, jak i elektroniczną. Obowiązkowe jest natomiast właściwe prowadzenie i zabezpieczenie dokumentacji, niezależnie od jej formy. eTeczka ułatwia spełnienie tych wymagań.

Co się stanie, jeśli PIP znajdzie niekompletne akta?

Inspektor może nałożyć mandat (do 5 000 zł) lub skierować sprawę do sądu – grzywna wówczas wynosi od 1 000 do 30 000 zł. Przy stwierdzeniu naruszeń ciągłych możliwe jest nałożenie kary za każdy okres, w którym naruszenie trwało.

Czy skanowanie dokumentów do PDF to eTeczka?

Nie. PDF na dysku Google nie spełnia wymogów rozporządzenia o dokumentacji pracowniczej. Elektroniczne akta osobowe muszą zapewniać integralność, poufność, kompletność i dostępność danych – co oznacza dedykowany system z kontrolą dostępu, ścieżką audytu i możliwością weryfikacji autentyczności dokumentów.

Czy po powodzi lub pożarze prawo zwalnia mnie z posiadania akt?

Nie. Zdarzenie losowe nie zwalnia pracodawcy z obowiązku przechowywania i odtworzenia dokumentacji pracowniczej. Koszt i czas odtworzenia leżą po stronie pracodawcy.

Jak zabezpieczone są dane w eTeczce przed RODO?

Profesjonalne rozwiązania eTeczki są projektowane zgodnie z zasadą privacy by design – szyfrowanie danych, kontrola dostępu oparta na rolach, logi zdarzeń i możliwość wykazania zgodności z RODO na potrzeby ewentualnego postępowania przed UODO.