Monitoring wizyjny a RODO

Przepisy regulujące kwestie związane z monitoringiem wizyjnym w zakładzie pracy oraz innymi formami monitoringu pracownika obowiązują od wejścia w życie Ustawy o ochronie danych osobowych, która zmieniła regulacje Kodeksu Pracy. Miało to miejsce 25 maja 2018 r., a więc już ponad rok temu. Ostatnie zmiany w tych przepisach wprowadzono jeszcze na początku maja tego roku w tzw. ustawie sektorowej RODO.

Wprowadzone do tej pory regulacje określają m.in. granice dopuszczalności stosowania monitoringu, prawa osób, które temu monitoringowi podlegają oraz obowiązki pracodawcy związane z uruchomieniem oraz utrzymaniem różnych form monitorowania. Mimo to, przedsiębiorcy nadal mają wiele wątpliwości związanych z kwestią monitorowania działań swoich pracowników. W naszych dwóch publikacjach poświęconych zagadnieniu monitoringu postaramy się rozwiać te wątpliwości.

Monitoring zgodny z RODO i Kodeksem Pracy – poradnik do obejrzenia na YouTube…

… albo odsłuchania w formie podcastu

Ramy prawne

Wykorzystywanie nowych technologii w celu kontrolowania aktywności pracowników nie jest zjawiskiem nowym. Już na długo przed rozpoczęciem stosowania Ogólnego rozporządzenia o ochronie danych wielu pracodawców korzystało z narzędzi służących do obserwacji, takich jak kamery, programy śledzące aktywność pracowników w sieci czy lokalizatory GPS. Obowiązujące przepisy to jednak milowy krok do pełnej regulacji tej tematyki.

Ramy prawne monitoringu pracowników wyznaczają znowelizowane przepisy Kodeksu pracy tj. art. 22² oraz art. 22³. Z racji tego, że wizerunek i inne dane utrwalone na nagraniach będą stanowić dane osobowe, w zakresie ogólnych warunków związanych z ich przetwarzaniem zastosowanie znajdą również przepisy RODO, a w szczególności art. 5 określający zasady przetwarzania danych.

Monitoring wizyjny

Monitoring wizyjny to jedno z najczęściej stosowanych narzędzi mających służyć podwyższeniu bezpieczeństwa. W jego skład wchodzą wszelkiego rodzaju kamery, systemy przesyłu oraz rejestratory przetwarzające obraz. Ciągły rozwój nowych technologii sprawia natomiast, że urządzenia te stają się coraz bardziej dokładne i precyzyjne.

Zdaniem Prezesa UODO, monitoring jest jedną z najbardziej inwazyjnych form przetwarzania danych osobowych, a jego stosowanie powinno ograniczać się jedynie do sytuacji, kiedy nie istnieją inne, mniej ingerujące w prywatność środki umożliwiające zapewnienie bezpieczeństwa.

Nagranie jako dane osobowe

Wiele osób analizując kwestie związane ze stosowaniem monitoringu poddaje pod wątpliwość to czy wizerunek utrwalony na nagraniu będzie stanowił dane osobowe. Przypomnijmy zatem, że zgodnie z art. 4 pkt 1) RODO dane osobowe oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Możliwą do zidentyfikowania osobą jest osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

Dane osobowe mogą mieć zatem formę nie tylko słowną, ale również graficzną (obraz). Ponadto, wizerunek osoby pozwala na określenie jej cech fizycznych (wyglądu zewnętrznego, charakterystycznego stroju, etc.). Tym samym umożliwia ustalenie jej tożsamości. Istotą stosowania monitoringu jest bowiem właśnie identyfikacja.

Odnosząc się zatem do zakresu danych osobowych przetwarzanych przez monitoring wizyjny właściwym jest wskazywanie w szczególności: wizerunku, cech szczególnych osób i numerów identyfikacyjnych (np. numery tablic rejestracyjnych i numerów bocznych pojazdów).

Warto w tym miejscu zaznaczyć, że zapisowi powinien podlegać jedynie obraz (wizja), a nie dźwięk (fonia). Wykorzystywanie mikrofonów może okazać się bowiem nielegalne. Prezes UODO jasno wskazuje, że uprawnienie do nagrywania dźwięku posiadają jedynie służby porządkowe i specjalne. Stosowanie rejestracji dźwięku może zostać natomiast uznane za nadmiarową formę przetwarzania danych i wiązać się z odpowiedzialnością administracyjną i cywilną, a nawet karną.

Podstawy prawne wykorzystywania kamer

Przesłanki legalizujące instalację kamer i przetwarzanie zarejestrowanych danych będą różnić się w zależności od tego z jakim podmiotem mamy do czynienia. Inaczej bowiem będą wyglądały podstawy prawne zbierania danych przez podmioty publiczne, a inaczej przez podmioty prywatne.

Dla podmiotów prywatnych przesłankę do zainstalowania kamer stanowi art. 6 ust. 1 lit. f) Ogólnego rozporządzenia o ochronie danych, czyli tzw. prawnie uzasadniony interes administratora. W tym wypadku interesem tym będzie przede wszystkim ochrona osób i mienia. Uznanie takiej ochrony za uzasadniony interes potwierdził w swoim stanowisku Trybunał Sprawiedliwości UE (wyrok z dnia 11 grudnia 2014 r. w sprawie C-212/13 Ryneš).

Zgodnie z motywem 47 RODO, prawnie uzasadniony interes administratora nie powinien mieć jednak zastosowania jako podstawa prawna do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Dlatego też, w przypadku podmiotów publicznych oraz podmiotów prywatnych realizujących zadania publiczne, ta przesłanka nie znajdzie zastosowania. Tego rodzaju podmioty, które w celu wykonywania swoich zadań korzystają z monitoringu wizyjnego, muszą opierać się na przepisach dopuszczających albo nakazujących taką formę wykonywania ich zadań. Dlatego też w ich przypadku podstawę instalacji kamer stanowić będą:

Przykładem takich podmiotów będą np. szkoły. Monitoring wizyjny w szkole znajdzie podstawę w 6 ust. 1 lit. e) Ogólnego rozporządzenia o ochronie danych w związku z art. 108a Ustawy Prawo oświatowe (zapewnienie bezpieczeństwa uczniów i pracowników, a także ochrony mienia).

Obowiązki pracodawcy w zakresie monitoringu wizyjnego

Aby monitoring wizyjny był wykorzystywany przez pracodawcę zgodnie z prawem, musi on zrealizować szereg obowiązków wynikających nie tylko z Kodeksu pracy, ale również i RODO. Do najważniejszych z nich zaliczymy:

Niezależnie od informacji ujawnionych w dokumentach, o których mowa w pierwszej zakładce obowiązkiem pracodawcy jako administratora danych, jest wprowadzenie dokładnej dokumentacji opisującej sposób przetwarzania danych z nagrań. Dokumentacja taka powinna określać m.in.:

• osoby, które sprawują nadzór nad monitoringiem,
• lokalizacje objęte monitoringiem,
• miejsca instalacji kamer,
• cele monitoringu,
• części składowe systemu monitoringu,
• warunki dostępu do zapisu nagrań,
• okres przechowywania danych,
• warunki udostępniania zapisu z monitoringu,
• zastosowane środki techniczne.

Czynności związane z przetwarzaniem danych osobowych ujawnionych na nagraniach z monitoringu wizyjnego powinny zostać również ujawnione w rejestrze przetwarzania danych osobowych, o którym mowa w art. 30 ust. 1 RODO (jeżeli pracodawca jest zobowiązany do jego prowadzenia).

Okres przetwarzania nagrań

Zgodnie z art. 22² Kodeksu pracy, nagrania obrazu pracodawca może przetwarzać wyłącznie do celów, dla których zostały zebrane, i przechowywać przez okres nieprzekraczający 3 miesięcy od dnia nagrania. W przypadku, w którym nagrania obrazu stanowią dowód w postępowaniu prowadzonym na podstawie prawa lub pracodawca powziął wiadomość, iż mogą one stanowić dowód w postępowaniu, termin ten może ulec przedłużeniu do czasu prawomocnego zakończenia postępowania.

Miejsca instalacji kamer

Monitoring pomieszczeń sanitarnych wymaga uzyskania uprzedniej zgody zakładowej organizacji związkowej, a jeżeli u pracodawcy nie działa zakładowa organizacja związkowa – uprzedniej zgody przedstawicieli pracowników wybranych w trybie przyjętym u danego pracodawcy.

Obszar monitorowany powinien zostać ograniczony do minimum, aby nie ograniczać prawa do prywatności obserwowanych osób. Jeśli monitoringowi podlega wjazd na halę produkcyjną, to w obszarze kamery nie powinny znaleźć się na przykład ulice wokół niego czy przyległe prywatne posesje.

Zakazane jest przy tym korzystanie z atrap kamer. Dają one bowiem mylne poczucie zwiększonego bezpieczeństwa. Zdaniem UODO, kiedy wchodzimy już w obszar monitoringu i widzimy kamerę, to sądzimy, że ma nas chronić i zapewniać bezpieczeństwo. Atrapa powoduje, że poczucie to okazuje się być oszustwem.

Udostępnianie zapisu z monitoringu

W toku działalności pracodawcy może zdarzyć się sytuacja, w której inny podmiot (instytucja, osoba prywatna, etc.) wystąpi do niego o zapis z nagrania zainstalowanych kamer. Przekazanie takiego zapisu nie zawsze będzie możliwe. Udostępnienie stanowi bowiem jedną z form przetwarzania danych, która wymaga dysponowania odpowiednią przesłanką legalizującą. Udostępnienie nagrania może nastąpić w szczególności na podstawie:

Podsumowanie

Należy zaznaczyć, że wszelkie szczegółowe regulacje w zakresie monitoringu wizyjnego dotyczą pracowników, a właściwie pracodawców jako tych, którzy taki rodzaj nadzoru stosują. Zasady wykorzystywania kamer zostały bowiem określone w Kodeksie pracy.

Ogólne zasady związane z przetwarzaniem danych osobowych pochodzących z nagrań, a w szczególności te określone w RODO, obowiązują jednak wszystkich administratorów danych.

Z uwagi jednak na to, że do tej pory nie doczekaliśmy się tak wyczekiwanej ustawy o monitoringu wizyjnym, z regulacji Kodeksu pracy powinny w odpowiednim zakresie korzystać podmioty nie będące pracodawcami. W szczególności uwaga ta dotyczy regulacji związanych z warunkami instalacji kamer, ich umiejscowieniem, a także przyjętymi terminami retencji.

Monitoring wizyjny to jednak nie jedyna z form kontroli aktywności pracownika. Już za tydzień, w drugiej części naszego artykułu przyjrzymy się innym rodzajom monitoringu pracowników, w tym monitoringowi:

• poczty elektronicznej,
• aktywności w sieci,
• lokalizacji (GPS),
• bilingów rozmów telefonicznych.

Chcesz być na bieżąco? Zapisz się do naszego NEWSLETTERA, a będziesz pierwszy wiedzieć o nowych wpisach na naszym blogu! Możliwość zapisu do newslettera po lewej stronie – ikonka białej koperty na jasnozielonym tle.