Monitoring wizyjny a dane osobowe – zasady, obowiązki, najczęstsze błędy

Monitoring wizyjny a dane osobowe to temat, w którym decydujące znaczenie ma nie samo posiadanie kamery, lecz cel, zakres i sposób wykorzystania obrazu. Jeżeli za pomocą urządzenia wideo można zidentyfikować osobę fizyczną bezpośrednio albo pośrednio, dochodzi do przetwarzania danych osobowych i trzeba stosować RODO. Dotyczy to zarówno przedsiębiorców, wspólnot mieszkaniowych i pracodawców, jak i części przypadków prywatnego monitoringu wizyjnego.

Podstawą analizy jest zawsze ustalenie, czy w danej sytuacji nagranie pozostaje w ramach tzw. czynności czysto osobistych lub domowych, o których mowa w art. 2 ust. 2 lit. c RODO. Jeżeli kamera obejmuje wyłącznie własną posesję i materiał nie jest wykorzystywany poza sferą prywatną, RODO może nie mieć zastosowania. Jeżeli jednak monitoring obejmuje chodnik, drogę publiczną, wejście do cudzego lokalu, część wspólną budynku albo posesję sąsiada, ocena prawna zmienia się zasadniczo.

Kary UODO nie grożą każdemu filmującemu przestrzeń publiczną – decydujący jest cel rejestracji oraz sposób wykorzystania materiału. W praktyce najwięcej problemów powoduje nadmierny zasięg kamer, brak obowiązku informacyjnego, zbyt długi okres przechowywania danych oraz brak podstawowych zabezpieczeń rejestratora.

Kiedy monitoring podlega RODO

RODO stosuje się wtedy, gdy monitoring wizyjny służy do przetwarzania danych osobowych, czyli informacji o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Wizerunek utrwalony przez kamerę bardzo często spełnia tę definicję z art. 4 pkt 1 RODO. Nie jest konieczne, aby administrator znał imię i nazwisko osoby. Wystarczy, że przy użyciu rozsądnych środków da się ustalić, kogo dotyczą dane.

W praktyce monitoring a RODO najczęściej łączą się wtedy, gdy:

• kamera rejestruje wejście do biura, sklepu, magazynu lub zakładu pracy,
• monitoring obejmuje klientów, pracowników, dostawców lub gości,
• kamera obejmuje części wspólne nieruchomości,
• prywatny monitoring wizyjny wychodzi poza granice własnej posesji,
• nagrania są przechowywane, odtwarzane, udostępniane albo analizowane.

Jeżeli monitoring jest stosowany przez przedsiębiorcę lub inną organizację, co do zasady należy przyjąć, że dane są przetwarzane w ramach działalności administratora i trzeba wdrożyć wymagania wynikające z RODO oraz – zależnie od sytuacji – z przepisów szczególnych, np. Kodeksu pracy.

Podstawa prawna przetwarzania danych z monitoringu

Aby zgodnie z prawem przetwarzać dane z monitoringu, administrator musi wskazać podstawę z art. 6 ust. 1 RODO. W typowych przypadkach są to:

• art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes administratora, np. ochrona mienia, zapewnienie bezpieczeństwa osób, kontrola dostępu do obiektu, ustalanie przebiegu incydentów;
• art. 6 ust. 1 lit. c RODO – wypełnienie obowiązku prawnego, jeżeli stosowania monitoringu wymaga przepis szczególny;
• art. 6 ust. 1 lit. e RODO – wykonanie zadania realizowanego w interesie publicznym, jeśli administrator działa na podstawie właściwych przepisów.

Zgoda osoby nagrywanej co do zasady nie jest właściwą podstawą dla standardowego monitoringu wizyjnego. Trudno mówić o dobrowolności zgody przy wejściu do sklepu, budynku lub zakładu pracy. Z tego powodu w większości przypadków należy opierać się nie na zgodzie, lecz na prawnie uzasadnionym interesie lub przepisie ustawowym.

Stosowanie monitoringu musi spełniać także zasady z art. 5 RODO: legalność, rzetelność i przejrzystość, ograniczenie celu, minimalizacja danych, prawidłowość, ograniczenie przechowywania oraz integralność i poufność. Oznacza to, że kamera nie może rejestrować „na zapas”, a administrator powinien umieć wykazać, dlaczego monitoring jest niezbędne do celów, które wskazał.

Prywatny monitoring wizyjny – gdzie kończy się użytek domowy

Prywatny monitoring wizyjny nie zawsze pozostaje poza RODO. Wyłączenie dla czynności osobistych lub domowych jest interpretowane wąsko. Jeżeli kamera monitoruje wyłącznie wnętrze domu, ogród lub bramę od strony własnej posesji i nie obejmuje przestrzeni dostępnej dla ogółu, można argumentować, że RODO nie ma zastosowania. Jeżeli jednak obraz obejmuje chodnik, ulicę, miejsca parkingowe używane przez innych albo posesję sąsiada, dochodzi do ingerencji w prawa i wolności osób trzecich.

W takiej sytuacji właściciel kamery staje się administratorem danych i powinien wykazać podstawę prawną, zakres niezbędności oraz spełnić obowiązek informacyjny. Samo przekonanie, że kamera służy bezpieczeństwu, nie wystarcza. Liczy się to, czy pole widzenia jest ograniczone do minimum i czy nie da się osiągnąć celu mniej inwazyjnie.

Prywatny monitoring wizyjny był już bezpośrednią przyczyną decyzji Prezesa UODO o nałożeniu administracyjnej kary pieniężnej. To ważny sygnał praktyczny: organ nadzorczy ocenia nie tylko systemy firmowe, lecz również monitoring instalowany przez osoby fizyczne, jeżeli nie mieści się on w wyłączeniu domowym.

Monitoring pracowników i klientów – szczególne reguły

W relacjach pracowniczych oprócz RODO zastosowanie ma Kodeks pracy. Zgodnie z art. 22² Kodeksu pracy monitoring wizyjny może być wprowadzony, jeżeli jest to niezbędne do zapewnienia bezpieczeństwa pracowników, ochrony mienia, kontroli produkcji albo zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę.

Pracodawca musi określić cele, zakres oraz sposób zastosowania monitoringu w układzie zbiorowym pracy, regulaminie pracy albo obwieszczeniu. Pomieszczenia udostępniane zakładowej organizacji związkowej, sanitarne, szatnie, stołówki i palarnie podlegają szczególnym ograniczeniom, a ich monitorować wolno tylko wyjątkowo i przy spełnieniu dodatkowych warunków określonych w ustawie.

Wobec klientów i innych osób odwiedzających obiekt stosuje się ogólne zasady RODO. Administrator danych powinien zatem:

• określić cel przetwarzania,
• przeprowadzić test równowagi przy art. 6 ust. 1 lit. f RODO,
• wdrożyć obowiązek informacyjny z art. 13 RODO,
• ograniczyć obszar objęty kamerami,
• ustalić okres przechowywania danych,
• zabezpieczyć nagrania przed nieuprawnionym dostępem.

Tabliczki informacyjne i klauzula informacyjna

Obowiązek informacyjny przy monitoringu realizuje się warstwowo. Osoba wchodząca w zasięg kamery powinna najpierw otrzymać informację skróconą, a następnie mieć łatwy dostęp do pełnej klauzuli informacyjnej.

Co powinna zawierać tabliczka informacyjna

Tabliczka powinna być umieszczona przed wejściem w obszar monitorowany albo najpóźniej w chwili wejścia do tego obszaru. Powinna być czytelna i widoczna. W praktyce stosuje się piktogram kamery oraz najważniejsze informacje, w szczególności:

• informację, że teren jest objęty monitoringiem,
• tożsamość administratora,
• cel monitoringu,
• wskazanie, gdzie dostępna jest pełna klauzula informacyjna.

Taka forma odpowiada zasadzie przejrzystości z art. 12 i 13 RODO. Sama tabliczka „obiekt monitorowany” bez wskazania administratora i celu bywa niewystarczająca.

Co powinna zawierać pełna klauzula informacyjna

Pełna klauzula informacyjna powinna zawierać elementy wymagane przez art. 13 RODO, w tym:

• dane administratora i dane kontaktowe,
• dane kontaktowe inspektora ochrony danych, jeżeli został wyznaczony,
• cele i podstawę prawną przetwarzania danych,
• prawnie uzasadniony interes administratora, jeśli podstawą jest art. 6 ust. 1 lit. f RODO,
• odbiorców danych lub kategorie odbiorców,
• okres przechowywania danych albo kryteria jego ustalania,
• informację o prawach osób, których dane dotyczą,
• informację o prawie wniesienia skargi do Prezesa UODO,
• informację, czy dane są przetwarzane w sposób zautomatyzowany, jeżeli ma to miejsce.

Jak długo przechowywać nagrania z monitoringu

Okres przechowywania danych musi wynikać z celu monitoringu i zasady ograniczenia przechowywania z art. 5 ust. 1 lit. e RODO. Nagrania z monitoringu nie powinny być przechowywane dłużej, niż jest to niezbędne.

W praktyce bardzo istotny jest art. 22² § 3 Kodeksu pracy, zgodnie z którym nagrania obrazu pracodawca przetwarza wyłącznie do celów, dla których zostały zebrane, i przechowuje przez okres nieprzekraczający 3 miesięcy od dnia nagrania. Jeżeli nagrania stanowią dowód w postępowaniu lub pracodawca powziął wiadomość, że mogą stanowić dowód, termin ten ulega przedłużeniu do czasu prawomocnego zakończenia postępowania.

Poza stosunkiem pracy 3 miesiące nie są uniwersalnym limitem ustawowym dla każdego administratora, ale w wielu przypadkach stanowią praktyczny punkt odniesienia. Administrator powinien ustalić własny, uzasadniony okres retencji, np. 14, 30 lub 90 dni, zależnie od rodzaju ryzyk, częstotliwości incydentów i realnej potrzeby odtworzenia materiału. Jeżeli nie ma zdarzenia wymagającego zabezpieczenia nagrania, materiał powinien być automatycznie nadpisywany lub usuwany.

Bezpieczeństwo danych i zabezpieczenie rejestratora

Monitoring wizyjny a ochrona danych to nie tylko podstawa prawna, ale też bezpieczeństwo danych. Art. 32 RODO wymaga wdrożenia odpowiednich środków technicznych i organizacyjnych, uwzględniających ryzyko naruszenia praw lub wolności osób fizycznych.

W przypadku systemów CCTV oznacza to co najmniej:

• silne hasła do rejestratora i kamer oraz zmianę ustawień fabrycznych,
• ograniczenie liczby osób mających dostęp do podglądu i nagrań,
• nadawanie uprawnień zgodnie z zakresem obowiązków,
• zabezpieczenie fizyczne rejestratora przed dostępem osób postronnych,
• szyfrowanie transmisji i nośników, jeżeli jest dostępne i adekwatne do ryzyka,
• aktualizowanie oprogramowania urządzeń,
• prowadzenie ewidencji udostępnienia nagrań,
• ustalenie procedury reagowania na incydenty i naruszenia ochrony danych osobowych.

Typowym błędem jest pozostawienie systemu z domyślnym hasłem, podglądem dostępnym z każdego telefonu pracownika albo bez jakiejkolwiek kontroli, kto kopiował nagrania. Takie zaniedbania mogą prowadzić do naruszenia poufności danych.

Rejestracja dźwięku jest co do zasady nadmiarowa

Jeżeli kamera rejestruje nie tylko obraz, ale również fonię, poziom ingerencji w prywatność znacząco rośnie. Rejestracja audio pozwala utrwalać treść rozmów, informacje poufne, dane szczególnych kategorii ujawnione mimochodem, a nawet szczegóły życia prywatnego. Z perspektywy zasady minimalizacji z art. 5 ust. 1 lit. c RODO takie rozwiązanie będzie zwykle trudne do obrony.

W praktyce prywatny monitoring wizyjny oraz standardowy monitoring obiektów powinny ograniczać się do obrazu. Nagrywanie dźwięku organy nadzorcze i wytyczne europejskie traktują jako rozwiązanie zdecydowanie bardziej inwazyjne, które rzadko bywa niezbędne do ochrony mienia lub zapewnienia bezpieczeństwa. Jeżeli system posiada aktywny mikrofon, warto ocenić zasadność tej funkcji i co do zasady ją wyłączyć.

Wideorejestratory samochodowe, rowerowe i kamery nasobne

Używanie kamerki samochodowej, rowerowej lub nasobnej w przestrzeni publicznej nie narusza przepisów RODO, jeśli nagrywanie służy wyłącznie celom bezpieczeństwa lub rejestracji zdarzeń drogowych, a materiał nie jest wykorzystywany w sposób wykraczający poza ten cel. Problem prawny pojawia się przede wszystkim wtedy, gdy nagranie zostaje publicznie rozpowszechnione bez anonimizacji wizerunku, numerów rejestracyjnych albo innych danych pozwalających zidentyfikować osoby.

Samo utrwalanie incydentu drogowego dla celów dowodowych zasadniczo można uznać za zgodny sposób użycia. Inaczej należy ocenić publikowanie nagrań w internecie dla rozrywki, zawstydzenia kierowcy czy komentowania zachowania przechodniów. Wtedy dochodzi nie tylko do dalszego przetwarzania danych, ale nierzadko również do naruszenia dóbr osobistych. Każdorazowo trzeba ocenić cel przetwarzania i zakres ujawnionych informacji.

Najczęstsze błędy przy stosowaniu monitoringu

Najwięcej naruszeń nie wynika z samego faktu instalacji kamery, lecz z nieprawidłowej organizacji systemu. Do najczęstszych błędów należą:

• obejmowanie kamerą obszaru szerszego niż to konieczne, np. posesji sąsiada lub dużego fragmentu ulicy,
• brak analizy podstawy prawnej i celu przetwarzania danych,
• brak testu równowagi przy powołaniu na prawnie uzasadniony interes,
• brak tabliczek i pełnej klauzuli informacyjnej,
• przechowywanie nagrań bez wyznaczonego terminu usunięcia,
• brak polityki dostępu do nagrań,
• udostępnianie materiału osobom nieuprawnionym,
• publikowanie nagrania w mediach społecznościowych,
• włączenie rejestracji dźwięku bez realnego uzasadnienia,
• brak zabezpieczeń technicznych urządzeń i kont użytkowników.

Warto też pamiętać, że osoba, której dane dotyczą, może żądać realizacji swoich praw, w tym dostępu do danych na podstawie art. 15 RODO. Przy monitoringu wykonanie tego prawa bywa technicznie trudne, zwłaszcza gdy na nagraniu są także inne osoby. Nie zwalnia to jednak administratora z obowiązku przygotowania procedury obsługi takich wniosków i oceny, w jakim zakresie można udostępnić materiał bez naruszenia praw innych osób.

Jak wdrożyć monitoring zgodny z prawem

Aby monitoring był zgodny z RODO i zasadami ochrony danych osobowych, warto przejść przez prostą sekwencję działań:

• ustalić konkretny cel, np. ochrona mienia lub zapewnienie bezpieczeństwa,
• sprawdzić, czy monitoring jest rzeczywiście niezbędny,
• ustalić podstawę z art. 6 ust. 1 RODO,
• ograniczyć pole widzenia kamer do niezbędnego minimum,
• wyłączyć dźwięk, jeśli nie ma wyjątkowego uzasadnienia,
• przygotować tabliczki i klauzula informacyjna zgodna z art. 13 RODO,
• określić okres przechowywania danych i automatyczne usuwanie,
• wdrożyć środki bezpieczeństwa i zasady dostępu,
• uregulować udostępnianie nagrań organom i osobom uprawnionym,
• udokumentować przyjęte rozwiązania.

W bardziej złożonych przypadkach, zwłaszcza gdy monitoring obejmuje miejsca pracy, duże obiekty handlowe albo części wspólne nieruchomości, zasadna może być także ocena skutków dla ochrony danych, jeżeli skala lub charakter obserwacji wskazuje na wysokie ryzyko dla praw i wolności osób fizycznych.

FAQ

Czy monitoring podlega RODO?

Tak, jeżeli za pomocą monitoringu można zidentyfikować osobę fizyczną, a nagranie jest przetwarzane poza czysto osobistą lub domową sferą. Wizerunek z kamery bardzo często stanowi dane osobowe w rozumieniu art. 4 pkt 1 RODO.

Czy monitoring zewnętrzny jest zgodny z RODO?

Tak, ale tylko wtedy, gdy ma wyraźny cel, odpowiednią podstawę prawną i ograniczony zakres. Monitoring zewnętrzny nie może obejmować większego obszaru, niż jest to niezbędne, i powinien być oznaczony tabliczką informacyjną oraz objęty pełną klauzulą z art. 13 RODO.

Czy potrzebna jest zgoda na monitoring?

Zwykle nie. Standardowy monitoring najczęściej opiera się na art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadnionym interesie administratora, albo na przepisie szczególnym. Zgoda przy monitoringu bywa problematyczna, ponieważ często nie jest w pełni dobrowolna.

Czy pracownik może nie wyrazić zgody na monitoring?

Nie, zgoda pracownika co do zasady nie jest podstawą legalności monitoringu w zakładzie pracy. Jeżeli pracodawca wprowadza monitoring zgodnie z art. 22² Kodeksu pracy i spełnia obowiązki informacyjne, brak zgody pracownika nie blokuje jego stosowania. Kluczowe jest jednak to, by monitoring był niezbędny, proporcjonalny i wdrożony zgodnie z ustawą.

Jak długo można przechowywać nagrania z monitoringu?

Tylko tak długo, jak jest to niezbędne do celu, dla którego zostały zebrane. W przypadku monitoringu pracowniczego Kodeks pracy wskazuje co do zasady maksymalnie 3 miesiące od dnia nagrania, z możliwością wydłużenia, gdy materiał stanowi dowód w postępowaniu.

Czy można nagrywać sąsiada lub ulicę przed domem?

Co do zasady nie powinno się obejmować kamerą posesji sąsiada ani szerszego fragmentu ulicy, jeśli nie jest to niezbędne. Taki prywatny monitoring wizyjny może wyjść poza użytek domowy i prowadzić do naruszenia RODO oraz prawa do prywatności osób trzecich.