Monitoring wizyjny a ochrona danych osobowych

Monitoring jest obecnie zjawiskiem powszechnym. Zaczęło się od instalowania monitoringu w sklepach, w celu zapobiegania kradzieżom i w pobliżu bankomatów dla zwiększenia bezpieczeństwa korzystających z usług banków. Dzisiaj jesteśmy już „obserwowani” na większych ulicach miast, w autobusach, w zakładach pracy, najczęściej zupełnie nie zdając sobie z tego sprawy.

Monitoring zgodny z RODO i Kodeksem Pracy – poradnik do obejrzenia na YouTube…

… albo odsłuchania w formie podcastu

Nagrania z monitoringu – czy dane osobowe?

Podstawowym elementem monitoringu jest kamera, która przekształca obraz obserwowanego obszaru i w postaci sygnałów analogowych lub cyfrowych przekazuje go do centrum obserwacyjnego. Otrzymany obraz może być na bieżąco odtwarzany lub zapisywany na elektronicznych nośnikach danych. Samo stosowanie kamer do rejestracji obrazu to jeszcze nie monitoring. Monitoringiem nazywamy wideofilmowanie, które ma zapewnić kontrolę nad obserwowanym obszarem.

 Celem większości przypadków wideofilmowania jest sprawowanie kontroli nad określonym obszarem. Ma to na celu zwiększenia bezpieczeństwa poprzez działanie czynnika odstraszającego od popełnienia przestępstw, poprzez działania zapobiegawcze (szybka interwencja)[1]. Czasem cel jest inny – jak na przykład mobilizowanie do pracy w zakładzie produkcyjnym. Tak czy inaczej monitoruje się określony obszar, nie zaś określone osoby. Jeżeli zostanie zarejestrowany obraz pewnej osoby, to tylko dlatego, że znalazła się w monitorowanym obszarze, a nie dlatego, że to właśnie ona miała zostać sfilmowana. Obraz danej osoby stanowi jedynie element nagrania, dopiero gdy jest to niezbędne do podjęcia określonych działań dochodzeniowo-śledczych, dochodzi do identyfikacji sfilmowanej osoby.

 Rozważając zagadnienie stosowania monitoringu w kontekście ochrony danych osobowych, należy najpierw postawić pytanie – czy stosując monitoring przetwarza się dane osobowe. Zdaniem Grupy Roboczej art. 29[2] tak – stosując monitoring mamy do czynienia z przetwarzaniem danych osobowych. W swojej opinii na ten temat, Grupa Robocza zdefiniowała dane osobowe jako informacje dostępne w jakiejkolwiek formie – na przykład alfabetycznej, liczbowej, graficznej, fotograficznej czy akustycznej. Danymi osobowymi są zatem także wizerunki osób fizycznych, jak i profile otaczających je przedmiotów, ułatwiających często identyfikację osób.

 Proporcjonalność przy stosowaniu monitoringu

W opinii nr 4/2004 Grupa Robocza art. 29, zwróciła uwagę m.in. na konieczność respektowania zasady proporcjonalności przy stosowaniu monitoringu. Zbierane dane muszą być adekwatne i istotne dla celów przetwarzania, czyli urządzenia służące do monitoringu mogą być stosowane wyłącznie jako środki pomocnicze, jeśli istnieje cel rzeczywiście uzasadniający ich użycie. Systemy te mogą być stosowane, gdy inne środki prewencyjne, ochrony bezpieczeństwa o charakterze fizycznym, okażą się ewidentnie niewystarczające lub niemożliwe do zastosowania dla realizacji powyższych prawnie uzasadnionych celów. Zasadę proporcjonalności należy stosować także przy wyborze odpowiedniej technologii, kryteriów wykorzystywania urządzeń w konkretnych sytuacjach oraz ustaleń dotyczących przetwarzania danych, odnoszących się także do zasad dostępu i okresu przechowywania. Ponadto w opinii tej wskazano, iż osoby, których dane dotyczą, powinny być świadome faktu prowadzenia tego rodzaju monitoringu, a w szczególności posiadać szczegółowe informacje na temat miejsc objętych takim systemem.

Brak ustawy poświęconej stricte monitoringowi

 Polska ustawa o ochronie danych osobowych reguluje głównie przetwarzanie danych osobowych o charakterze tekstowym. Wiele zawartych w niej zasad nie da się wprost zastosować do danych osobowych o charakterze obrazowym, które przetwarzane są w systemach monitoringu. Stąd GIODO zwraca uwagę na potrzebę wprowadzenia odrębnej ustawowej regulacji stosowania wideonadzoru, ponieważ w wielu sytuacjach dochodzi tam do przetwarzania danych osobowych i następuje ingerencja w prywatność osoby, która chroniona jest mocą przepisów Konstytucji RP oraz w prawie międzynarodowym i UE. W praktyce problemem może być m. in. wykonywanie przez administratora wielu obowiązków wynikających z przepisów o ochronie danych osobowych, np. obowiązku informacyjnego, o którym mowa w art. 24 UODO, czy też zapewnienie realizacji uprawnień kontrolnych osobie, której dane dotyczą (art. 32 i art. 33 UODO).

 W wydanym przez GIODO dokumencie „Wymagania w zakresie regulacji monitoringu”[3] proponuje się  kształt takiego aktu prawnego. Zdaniem GIODO regulacje dotyczące monitoringu powinny w szczególności określić:

• miejsca i okoliczności, w jakich stosowanie monitoringu jest dopuszczalne,
• prawa i obowiązki podmiotu prowadzącego monitoring, prawa osób objętych monitoringiem,
• zasady dotyczące wykorzystywania danych zebranych w procesie monitoringu.

Regulacje powinny dążyć do zapewnienia równowagi między uzasadnionymi potrzebami podmiotów stosujących monitoring i prawem do prywatności osób, które zostały objęte monitoringiem.

Zakres przedmiotowy ustawy powinien obejmować stosowanie monitoringu w celu poprawy bezpieczeństwa, jak również monitoring dla innych celów (monitoring pracowników w miejscu pracy, monitoring ruchu drogowego dla celów synchronizacji świateł na skrzyżowaniu w zależności od natężenie ruchu pieszych i pojazdów, monitoring parkingów w celach automatyzacji rozliczeń za korzystanie z miejsca i informowania o wolnych lub zajętych miejscach itp.), jeżeli w obrębie monitorowanego obszaru pojawiają się lub mogą się pojawić osoby fizyczne. GIODO proponuje wyłączenie od stosowania ustawy wideorozmów i wideokonferencji, prostych zestawów wideofonowych bez możliwości nagrywania, instalowanych np. przy bramach wjazdowych na posesję, wejściach do budynku, lokali, stosowania kamer do celów artystycznych lub dziennikarskich, nagrywania bądź emisji materiałów z konferencji, seminariów, spotkań czy szkoleń oraz nagrań lub zdjęć wykonywanych do osobistego użytku.

 Projekty systemów monitoringu, do których ustawa miałaby zastosowanie, miałyby być zgłaszane do akceptacji przez GIODO lub inny urząd, w przypadku gdy w systemie stosowane są elementy automatycznego przetwarzania obrazu mające na celu rozpoznanie osób. Celem takiego zgłoszenia byłaby weryfikacja zastosowanych przez administratora środków ochrony danych osobowych na podstawie przekazanego projektu systemu i przewidzianych w nim środków ochrony danych. GIODO przedstawia kilka możliwych rozwiązań obowiązku zgłoszenia – bądź to zgłoszenia samego systemu monitoringu, bądź zgłaszania zbiorów danych osobowych tworzonych w wyniku stosowania monitoringu.

 W „Wymaganiach w zakresie regulacji monitoringu” znajdziemy także propozycję nałożenia na podmiot stosujący monitoring obowiązku informowania osób, które potencjalnie mogą znaleźć się w obszarze objętym monitoringiem, o tym że monitoring jest stosowany, jaki jest jego cel, jaki obejmuje teren oraz kto nim zarządza. Podmiot ten powinien przekazać informacje o swojej nazwie i o adresie swojej siedziby, obszarze stosowania oraz celu i ewentualnie podstawie prawnej monitorowania, jeśli taki obowiązek na nim spoczywa, stosownie do obowiązujących przepisów prawa. Sposób wypełnienia tego obowiązku powinien być dostosowany do okoliczności i miejsca, którego dotyczy, w taki sposób by informacje mogły być łatwo dostrzeżone, bez potrzeby szczegółowych oględzin otoczenia.

Monitoring zgodny z RODO – praktyczny pakiet procedur, wytycznych i klauzul

Stosujesz monitoring (wizyjny lub aktywności pracowników)? Jesteś zobowiązany do wdrożenia odpowiedniej dokumentacji regulującej te kwestie.

Aby ułatwić Ci zadanie przygotowaliśmy dla Ciebie kompleksowy pakiet wytycznych i procedur związanych z monitoringiem.

Sprawdź

Prawa osób monitorowanych

 W opinii GIODO osobom objętych monitoringiem powinny przysługiwać takie same prawa jak osobom, których dane osobowe są przetwarzane. Jedyne różnice, jakie mogą w tym obszarze wystąpić, powinny być uzasadnione specyficznymi właściwościami stosowanej w systemach monitoringu technologii. Analogicznie, obowiązki podmiotów stosujących monitoring powinny być nie mniejsze niż obowiązki administratorów danych przetwarzających dane osobowe. Inny może być jedynie sposób realizacji niektórych obowiązków, usprawiedliwiony specyfiką systemów monitoringu, których ogólną cechą jest to, że dane identyfikacyjne osób objętych monitoringiem nie są na ogól znane administratorowi systemu, i to, że systemy takie bardzo często pracują w trybie bezobsługowym, to znaczy pracują autonomicznie, bez udziału człowieka, który mógłby np. określony obowiązek informacyjny przekazać słownie. Okoliczności te sprawiają, że takie obowiązki jak np. obowiązek informacyjny – nie mogą być wykonane imiennie. Z tych samych względów nie jest również możliwe uzyskanie zgody od osób objętych monitoringiem – na identycznych zasadach jak w przypadku przetwarzania danych osobowych. Uzasadnione wydaje się przyjęcie zasady, że wejście osoby w wyraźnie oznaczoną strefę objętą systemem monitoringu równoznaczne jest z wyrażeniem przez tę osobę zgody na przetwarzanie jej danych w zakresie wizerunku i wykonywanych czynności, jakie zostaną zarejestrowane przez kamery tego systemu.

 Nie ulega wątpliwości, że wszelkie działania ingerujące w prawo do prywatności powinny być prowadzone z poszanowaniem obowiązujących przepisów prawa. Brak regulacji odnoszących się do stosowania monitoringu wizyjnego jest istotną luką, osłabiająca ochronę danych osobowych. Akt prawny dotyczący wyłącznie monitoringu wizyjnego pozwoli na pełną i właściwą regulację, rozróżniając monitoring zwiększający bezpieczeństwo klientów różnych instytucji, od systemów zabezpieczających obiekty i mienie. Przed ustawodawcą stoi trudne zadanie zrównoważenia interesów podmiotów stosujących monitoring i praw osób, które zostaną zarejestrowane.

 Artykuł powstał na podstawie opracowania autorstwa Katarzyny Oksiędzkiej.