Monitoring wizyjny w kontekście RODO

Przeczytaj także: Ocena skutków przetwarzania danych dla ich ochrony

Regulacje RODO zaczęły obowiązywać 25 maja 2018 roku, ale emocje budziły już dużo wcześniej. W kontekście ochrony danych osobowych bardzo interesującym zagadnieniem są działania monitoringu wizyjnego. Jest to o tyle oczywiste, że monitoring dotyczy przecież wizerunku osób i umożliwia ich identyfikację. I wprawdzie nie da się zaprzeczyć, że dzięki monitoringowi jest po prostu bezpieczniej (z badania Panoptykon wynika, że 56 proc. Polaków jest za rozbudowywaniem sieci monitoringu w przestrzeni publicznej), to jednocześnie ciągła obserwacja budzi również pewne wątpliwości. Skoro bowiem już musimy być monitorowani, to czy nasze dane osobowe są bezpieczne? To temat, wokół którego przez lata narosło sporo mitów. Oto te, które powielane są najczęściej.

Mit 1: Monitoring jest zawsze formą przetwarzania danych osobowych.

Z danymi osobowymi mamy do czynienia wówczas, gdy obraz z kamer zawiera wizerunki, a więc cechy fizyczne osób umożliwiające ich identyfikację. Gromadzenie i analizowanie (także przeglądanie) - przetwarzanie materiałów wideo w takich razach będzie więc podlegało przepisom o ochronie danych osobowych.

Jeśli kamery służą jedynie do monitorowania terenu i nie odzwierciedlają – nie rejestrują cech wizerunku – np. kamery na podczerwień, pokazujące sylwetki i uniemożliwiające identyfikację osoby – nie możemy mówić o konieczności przestrzegania RODO. Podobnie będzie, gdy kamery dozorują wyłącznie pracę maszyn, urządzeń – jak np. na platformach wiertniczych, w zakładach przemysłowych i nie zachodzi gromadzenie wizerunków operatorów tych urządzeń. Nie ma etycznego monitoringu bez przestrzegania prawa. Jeśli obywatele są podglądani okiem kamery w miejscach publicznych, powinni być o tym poinformowani – mówi Konrad Badowski, Business Relationships Manager Poland and Baltics w AXIS Communications Polska.

Mit 2: Przepisy RODO obowiązują tylko w przypadku monitoringu zainstalowanego już po wejściu w życie ustawy o ochronie danych osobowych.

Krajowa legislacja – podrzędna w tym przypadku względem legislacji UE – dość późno zaadaptowała nowe przepisy o ochronie danych osobowych do polskiego porządku prawnego. Ze względu na krótkie terminy, UODO dostrzegło potrzebę przedłużenia możliwości wprowadzania przepisów w życie i to okazało się mylące dla wielu organizacji. Tyle, że ten okres ochronny się już skończył, a przecież przedsiębiorcy powinni byli dostosowywać się do RODO jeszcze przed majem 2018 r.

Przepisy RODO są po prostu tak skonstruowane, że nakładają obowiązek ochrony danych osobowych bez względu na stosowaną technologię i narzędzia przez gromadzących i przetwarzających te dane oraz bez względu na to kiedy dana technologia zaczęła być przez monitorujących stosowana. Sam fakt przetwarzania i gromadzenia danych nakłada obowiązek ich ochrony.

Mit 3: Pomimo RODO, pracodawcy mogą wykorzystywać monitoring do kontroli pracy.

Prawdą jest, że monitoring może być instalowany w zakładach pracy, jednak wedle prawa, pracodawcy nie mogą wykorzystywać go jako środka dozoru nad realizacją zadań pracowników. Kwestie te szczegółowo reguluje, zmieniony na potrzeby przepisów o ochronie danych osobowych, Kodeks pracy (KP). Pracodawcy mogą zdecydować się na monitoring w przypadkach gdy służy on zapewnieniu bezpieczeństwa pracowników, ochronie mienia lub kontroli produkcji, a także jeśli jest niezbędny do zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę.

Monitoring zakładów pracy dla celów bezpieczeństwa, w tym dozoru produkcji w rzeczywistości może obejmować osoby pracujące w firmie. Przepisy RODO wskazują jak sobie z tym radzić. Najistotniejsza jest celowość (informowanie o tym pracowników jest obligatoryjne) i minimalizacja danych: można monitorować produkcję tak, aby dane pracowników były bezpieczne, technologia daje wiele możliwości. Kodeks pracy doprecyzowuje temat dając na przechowywanie tych danych maksymalnie trzy miesiące. W regulacjach wymienione są także obszary, których kamery nie powinny obejmować, m.in. pomieszczenia sanitarne, szatnie czy stołówki. Wyjątkiem może być jedynie sytuacja gdy monitorowanie tych obszarów jest niezbędne do realizacji ww. w Kodeksie pracy celów, które muszą być jasno wykazane, zgodnie z zasadą rozliczalności – dodaje Konrad Badowski

Mit 4: RODO nie dotyczy monitoringu prywatnego, np. na terenie własnej posiadłości.

Większość właścicieli prywatnego monitoringu faktycznie nie musi przejmować się kwestiami RODO, ponieważ przepisy o ochronie danych osobowych nie dotyczą przetwarzania danych w celach osobistych lub domowych (RODO nie obejmuje prywatnych osób monitorujących swoje mienie, co nie umniejsza jednak poszanowania prywatności innych osób).
Inaczej, gdy monitoring obejmuje swoim zasięgiem strefy poza terenem prywatnym, jak np. fragment ulicy czy chodnika. Może dojść wtedy do sytuacji, poprzez nagranie wizerunku osoby lub identyfikowalnego pojazdu (tablice rejestracyjne), w której mówimy o przetwarzaniu danych osobowych, tyle że w celach prywatnych. Dotyczy to także prywatnych zakładów produkcyjnych, czy firm, a więc podmiotów, których zakres RODO już obejmuje. UODO podpowiada, że takim przypadku należy odpowiednio oznaczyć posesję prywatnego zakładu i w miarę możliwości, nie obejmować zasięgiem kamer sąsiednich, prywatnych budynków czy terenu publicznego.

Mit 5: Według RODO, kamery mogą służyć jedynie rejestracji obrazu.

Zgodnie z przepisami, monitoring miejski ma prawo rejestrować jedynie dane wizualne, a nie dźwiękowe. Ludzki głos ma indywidualny charakter, a więc jest daną biometryczną i może być uznany za dane szczególnej kategorii (art. 9 RODO). Uprawnienia do nagrywania dźwięku posiadają jedynie służby specjalne i porządkowe, na postawie odrębnych przepisów. Nagrywanie może być także wymogiem wynikającym z innych przepisów np. Ustawy o grach hazardowych. Niemniej Kodeks pracy dopuszcza sytuacje, w których dozwolone jest stosowanie „innych form monitoringu” .

RODO nie określa zakazów lub nakazów związanych z konkretną technologią – np. wykorzystaniem audio w kamerach; jeśli tylko nie zachodzi przetwarzanie danych biometrycznych (głosu) obserwowanych osób. Możliwe jest więc bezpieczne nadawanie komunikatu głosowego tj. wykorzystywanie technologii audio w połączeniu z kamerami, czyli możliwość reakcji głosowej przez osobę obsługującą monitoring. Takie rozwiązanie funkcjonuje już m.in. w Żywcu i wspiera działania prewencyjne służb mundurowych – dodaje Konrad Badowski.