4 godzin temu
Analiza wiadomości w Slacku i Teams
Myndoor opracował wtyczkę do komunikatorów Slack i Microsoft Teams, którą przedsiębiorstwa i instytucje mogą udostępniać pracownikom, decydującym o jej aktywacji.
System analizuje semantykę wiadomości i określa parametry stresu oraz dobrostanu psychicznego. Treść mogła obejmować dane zwykłe i szczególne kategorie danych z art. 9 RODO. Po wygenerowaniu odpowiedzi dane źródłowe miały być usuwane. Odrębną kategorię stanowiły określone przez spółkę jako anonimowe dane o korzystaniu z aplikacji, m.in. liczba wiadomości i oceny poziomu stresu.
Cel przetwarzania określono jako medycynę prewencyjną, diagnozę i pomoc, w szczególności ocenę dobrostanu lub stresu użytkownika. Administratorem był Myndoor, a relacja dotycząca przetwarzania zachodziła bezpośrednio między dostawcą a pracownikiem. Pracodawca nie uzyskiwał dostępu do wiadomości ani indywidualnych wyników.
Postępowanie wszczęte po publikacjach prasowych
Włoski Garante per la Protezione dei Dati Personali wszczął postępowanie z urzędu po doniesieniach prasowych sugerujących wykorzystywanie wtyczki w kilku jednostkach administracji publicznej. Czynności kontrolne przeprowadzono 3 i 4.6.2025 r. Myndoor wyjaśnił, iż wskazany w materiałach prasowych podmiot publiczny nie kupił wtyczek do firmowych komunikatorów.
Decyzja nie dotyczyła więc konkretnego wdrożenia w administracji, ale ryzyk związanych z konfiguracją produktu i możliwym przetwarzaniem danych przez pracodawców.
Wątpliwości wzbudził cotygodniowy raport o poziomie stresu. Według spółki powstawał po osiągnięciu progu co najmniej dziesięciu aktywnych użytkowników, a w Teams obejmował wszystkich pracowników klienta, nie poszczególne departamenty. Nie zawierał identyfikatorów ani danych jednostkowych i był dostępny tylko do podglądu na zabezpieczonym koncie. System nie pozwalał pobierać danych źródłowych ani częściowo zagregowanych. Spadek liczby użytkowników poniżej progu automatycznie blokował raporty.
Po zmianie architektury aktywacja odbywała się przy użyciu identyfikatora, który według spółki nie pozwalał dostawcy ustalić tożsamości użytkownika. Raport udostępniono tylko jednemu przedsiębiorstwu. Organ ustalił, iż klient nie dysponował dodatkowymi informacjami pozwalającymi zidentyfikować pracowników.
Brak stwierdzonego naruszenia, ale ryzyko na przyszłość
Garante przyjął, iż zgromadzony materiał nie potwierdza, aby przedsiębiorstwa lub instytucje kupujące usługę faktycznie przetwarzały dane osobowe pracowników korzystających z wtyczki. W jedynym przypadku udostępnienia raportu nie wykazano możliwości ponownej identyfikacji użytkowników. Organ nie przypisał więc Myndoor odpowiedzialności za dokonane naruszenie RODO.
Nie oznaczało to jednak zaakceptowania funkcji raportowania. Zdaniem Garante nie można wykluczyć, iż inny pracodawca będzie w stanie połączyć dane zagregowane z posiadanymi informacjami i ustalić tożsamość osób korzystających z narzędzia. Ryzyko może zależeć m.in. od wielkości przedsiębiorstwa, liczby zatrudnionych i struktury personelu. Próg dziesięciu użytkowników nie stanowi zatem gwarancji, iż wynik analizy w każdych warunkach pozostanie anonimowy.
Organ uznał, iż przyszłe przekazywanie raportów stwarza ryzyko naruszenia art. 5, 6, 9, 24, 25 i 88 RODO oraz art. 2-ter i 113 włoskiego kodeksu. Na podstawie art. 58 ust. 2 lit. a RODO skierował do spółki ostrzeżenie i wskazał na potrzebę rozwiązań zapobiegających także pośredniemu udostępnianiu pracodawcom informacji o użytkownikach.
Stan emocjonalny poza zakresem wiedzy pracodawcy
Istotną część argumentacji Garante oparto na włoskim prawie pracy. Artykuł 113 włoskiego kodeksu ochrony danych odsyła do przepisów chroniących godność pracownika i zakazujących pracodawcy zbierania informacji niezwiązanych z wykonywaną pracą. Organ uznał, iż dane o stanie emocjonalnym, dobrostanie i stresie psychicznym pracownika należą do tej sfery, a pracodawca nie powinien uzyskiwać do nich dostępu.
Według Garante również wskazany w dokumentacji cel w postaci medycyny prewencyjnej, diagnozy i pomocy nie uprawnia pracodawcy do pozyskiwania takich informacji. W ramach włoskich regulacji dotyczących bezpieczeństwa i zdrowia w pracy wykonywanie zadań tego rodzaju należy do lekarza medycyny pracy. Rozdzielenie ról pracodawcy i lekarza stanowi przy tym jedną z gwarancji ochrony informacji o zdrowiu pracownika.
Organ powiązał te wymagania z art. 25 RODO. Architektura usługi powinna od początku eliminować ryzyko udostępnienia informacji nieuprawnionemu podmiotowi. Funkcje pozbawione podstawy prawnej, niezgodne z celem lub mogące kolidować z przepisami sektorowymi wymagają oceny pod kątem ich wyłączenia.
Zakaz rozpoznawania emocji w miejscu pracy
Garante odwołał się również do art. 5 ust. 1 lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13.6.2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji oraz zmiany rozporządzeń (WE) nr 300/2008, (UE) nr 167/2013, (UE) nr 168/2013, (UE) 2018/858, (UE) 2018/1139 i (UE) 2019/2144 oraz dyrektyw 2014/90/UE, (UE) 2016/797 i (UE) 2020/1828 (akt w sprawie sztucznej inteligencji) (Dz.Urz.UE.L z 2024 r., s. 1689; dalej: AIAct). Przepis ten zakazuje wprowadzania do obrotu, oddawania do użytku w tym celu oraz wykorzystywania systemów AI do wyciągania wniosków na temat emocji osoby fizycznej w miejscu pracy lub instytucji edukacyjnej. Wyjątek dotyczy systemów wdrażanych lub wprowadzanych do obrotu ze względów medycznych albo bezpieczeństwa.
Zdaniem włoskiego organu regulacja ta potwierdza, iż korzystanie z podobnych systemów nie powinno prowadzić do udostępniania pracodawcom informacji o ich personelu, wywnioskowanych przy użyciu AI. Garante zwrócił też uwagę na ryzyka adekwatne analizie semantycznej i modelom językowym: ograniczoną przewidywalność wniosków, niewielką przejrzystość procesu ich tworzenia, możliwość powielania uprzedzeń oraz trudne do wykrycia błędy.
Decyzja nie zawiera jednak rozstrzygnięcia, iż spółka Myndoor stworzyła system AI wysokiego ryzyka. Przywołując art. 13 AIAct, organ przedstawił jedynie ogólne znaczenie przejrzystości, informacji o dokładności i ograniczeniach systemu oraz możliwości wyjaśnienia jego wyników. Nie nałożył na spółkę obowiązków przewidzianych dla dostawcy systemu wysokiego ryzyka ani sankcji wynikających z AIAct.
Komentarz
Rozstrzygnięcie ma charakter prewencyjny. Formalne ostrzeżenie na podstawie art. 58 ust. 2 lit. a RODO oznacza, iż organ dostrzegł prawdopodobieństwo naruszenia przy planowanym przetwarzaniu, ale nie stwierdził, iż do naruszenia już doszło. Decyzji nie należy zatem przedstawiać jako kary za monitorowanie pracowników ani jako potwierdzenia, iż udostępniony dotychczas raport pozwalał na ich identyfikację.
Z perspektywy pracodawców i dostawców narzędzi HR najważniejsze znaczenie ma podejście do agregacji. Sam próg liczbowy, brak nazwisk i określenie raportu jako anonimowego nie przesądzają, iż jego odbiorca nie może ustalić, kogo dotyczą wyniki. Ocena powinna uwzględniać strukturę organizacji, liczbę użytkowników, częstotliwość raportowania oraz dodatkową wiedzę posiadaną przez pracodawcę. Ochrona musi wynikać z architektury produktu, a nie jedynie z deklaracji umownych.
Role w ochronie danych należy przypisywać do konkretnych operacji. Spółka Myndoor była administratorem danych przetwarzanych w celu świadczenia usługi pracownikom. Sam zakup narzędzia nie oznaczał przetwarzania tych danych przez pracodawcę. Sytuacja mogłaby się zmienić, gdyby raport pozwalał mu wyodrębnić lub zidentyfikować użytkowników.
Bezpośrednie znaczenie decyzji dla Polski jest ograniczone. Wykładnia włoskiego prawa pracy dokonana przez Garante nie wiąże polskich organów ani sądów. W Polsce bezpośrednio obowiązuje natomiast art. 5 ust. 1 lit. f AIAct, dlatego systemy służące analizowaniu emocji w środowisku pracy wymagają oceny pod kątem zakazanych praktyk niezależnie od zgodności przetwarzania z RODO.
Nie oznacza to jednak, iż każda analiza nastroju lub stresu na podstawie tekstu automatycznie podlega temu zakazowi. Definicja „systemu rozpoznawania emocji” z art. 3 pkt 39 AIAct odwołuje się do identyfikowania lub wywnioskowania emocji na podstawie danych biometrycznych, podczas gdy narzędzie Myndoor analizuje treść wiadomości. Decyzja Garante przywołuje zakaz, ale nie wyjaśnia tej rozbieżności ani szczegółowo nie ocenia wyjątku dotyczącego względów medycznych i bezpieczeństwa. Każde wdrożenie wymaga więc odrębnej oceny jego danych wejściowych, przeznaczenia, rzeczywistych funkcji oraz roli pracodawcy. Samo nazwanie usługi narzędziem wspierającym dobrostan nie przesądza ani o zastosowaniu zakazu ani o możliwości skorzystania z wyjątku medycznego.
Provvedimento del 14 maggio 2026, doc. web n. 10255494
