Dzisiejszy wpis zainspirowało życie. Spotkałam się ostatnio z klientem, który przyszedł po poradę prawną na skutek gróźb sąsiedzkich o zamiarze zgłoszenia skargi do Prezesa UODO w związku z podejrzeniem, że kamery zainstalowane na jego posiadłości obejmują swoim terytorium obszar poza posesją – chodnik, drogę publiczną i kawałek ogrodu sąsiadów.
„Pani Mecenas, owszem mam kamerę na mojej posesji, ale przecież zarejestrowane dane przetwarzam tylko dla użytku osobistego, więc RODO mnie nie dotyczy, prawda?”
Jestem przekonana, że wiele osób monitorujących swoje posesje myśli podobnie jak mój klient. Pytanie tylko, czy aby na pewno mają rację?
Wizerunek – a dana osobowa
Na gruncie samego RODO, nie ma żadnych wątpliwości, iż wizerunek osoby fizycznej, czy jej cechy fizyczne (wygląd, znaki szczególne, wyróżniający ją strój, itp.) są informacjami umożliwiającymi identyfikację osoby.
Zgodnie bowiem z art. 4 pkt 1) RODO:
„dane osobowe” oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej;”
Bezsprzecznie zatem wizerunek osoby, stanowi daną osobową, a Ty w momencie rozpoczęcia przetwarzania tej danej stajesz się jej administratorem,
Co więcej, sama istota czy przeznaczenie monitoringu, polega na identyfikacji osób i mienia, zatem jest to narzędzie stworzone wręcz w zasadniczym celu do ustalania tożsamości czy identyfikacji.
W tym miejscu warto jeszcze dodać, że monitoring w zakresie przetwarzania danych osobowych nie musi skupiać się wyłącznie na cechach fizycznych ludzi. Weźmy przykładowo na warsztat monitoring stosowany na parkingach. Choć identyfikacji podlega sam pojazd, np. poprzez rejestrację numerów tablic rejestracyjnych, to w gruncie rzeczy są to w obecnych czasach dane pozwalające ustalić dane osobowe także właściciela pojazdu.
Skoro ustaliliśmy już, że za pomocą monitoringu dochodzi do przetwarzania danych osobowych w myśl RODO, to warto zastanowić się, czy wymusza to na właścicielach monitoringu konieczność wypełniania szeregu wymagań nakładanych na administratora danych przez Rozporządzenie.
Czy mnie to w ogóle dotyczy?
To zależy, co konkretnie monitorujesz. Jeżeli kamery na Twojej posesji obejmują swoim zasięgiem wyłącznie jej teren i nie ma możliwości, aby obserwowały osoby spoza Twojej rodziny lub kręgu najbliższych znajomych – np. przechodniów na chodniku, to RODO Cię nie dotyczy. Korzystasz bowiem z wyjątku dotyczącego przetwarzania danych w ramach czynności o czysto osobistym lub domowym charakterze,zawartego w art. 2 ust. 2 lit. c) RODO.
Jeżeli jednak kamery wychwytują obraz spoza terenu Twojej posesji i rejestrują osoby trzecie spoza grona rodziny i znajomych, wyjątek wskazany powyżej Cię nie obejmie i jako administrator danych osób, których dane przetwarzasz masz konkretne obowiązki, a osoby obserwowane dysponują szeregiem praw i żądań, które musisz respektować. Stanowisko takie jest zgodne z dotychczasową linią orzeczniczą Trybunału Sprawiedliwości, który w wyroku z dnia 11 grudnia 2014 r. w sprawie C-212/13František Ryneš stwierdził, że:
„Artykuł 3 ust. 2 tiret drugie dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych należy interpretować w ten sposób, że wykorzystywanie systemu kamer przechowującego zapis obrazu osób na sprzęcie nagrywającym w sposób ciągły, takim jak dysk twardy, zainstalowanego przez osobę fizyczną na jej domu rodzinnym w celu ochrony własności, zdrowia i życia właścicieli domu, który to system monitoruje również przestrzeń publiczną, nie stanowi przetwarzania danych w trakcie czynności o czysto osobistym lub domowym charakterze w rozumieniu tego przepisu.”
Choć orzeczenie zapadło na gruncie nieobowiązującej już dyrektywy 95/46/WE (uchylonej przez RODO), stanowisko to zdaje się zachowywać aktualność także i dzisiaj również na gruncie RODO.
Podstawa prawna przetwarzania danych
Zacznijmy od podstawowej kwestii – podstawy przetwarzania danych.
Dla osób fizycznych, będących podmiotami prywatnymi, podstawą prawną takiego przetwarzania danych jest art. 6 ust. 1 lit. f) RODO, tj. prawnie uzasadniony interes administratora. Co ważne interes ten musi zostać skonkretyzowany – w tym przypadku można wskazać, iż w szczególności obejmuje on podejmowanie działań w celu zabezpieczania ochrony osób i mienia oraz zabezpieczenia istotnych faktów, w celu ich wykazania, np. Na wypadek konieczności obrony swoich praw czy wykazania zasadności roszczeń.
Uznanie ochrony osób i mienia za uzasadniony interes administratora potwierdził w przytaczanym już powyżej wyroku Trybunał Sprawiedliwości Unii Europejskiej. Co ważne, przesłanka prawnie uzasadnionego interesu administratora nie znajdzie zastosowania w przypadku podmiotów publicznych, lub podmiotów prywatnych realizujących zadania publiczne, które to podmioty muszą w tej materii zawsze działać w oparciu o konkretny przepis prawa.
Cel przetwarzania danych
Jeżeli dysponujemy już adekwatną podstawą prawną do przetwarzania danych w postaci monitoringu wizyjnego, musimy określić cel takiego przetwarzania, zwłaszcza, że zdaniem Urzędu Ochrony Danych Osobowych, „Monitoring wizyjny jest inwazyjną formą przetwarzania danych osobowych i jako taki powinien podlegać szczególnej weryfikacji przez administratora potrzeby jego stosowania i konieczności zabezpieczenia oraz kontroli przez organy kontrolne” (źródło: https://uodo.gov.pl/pl/file/1200). Należy mieć zatem na uwadze, że jego użycie powinno być ograniczone do przypadków wyjątkowych i sytuacji, kiedy rzeczywiście nie da się tej formy przetwarzania danych zastąpić inną formą zabezpieczeń, jak np. system alarmowy, a w przeszłości dochodziło już do naruszania Twojego miru domowego, czy włamań na Twoją posesję.
Zasada minimalizmu
Ważne, aby zgodnie z jedną z naczelnych zasad RODO – zasadą minimalizmu przetwarzania danych, przetwarzać dane osobowe w zakresie możliwie niewielkim i koniecznym dla realizacji celu przetwarzania danych – przede wszystkim zaś nie pozyskiwać danych nadmiarowych. W związku z tym zasięg monitoringu nie powinien przekraczać terytorium Twojej posesji i najbliższego terenu wokół niej – zatem miejsc, których obserwacja służyć ma osiągnięciu celu zainstalowania kamer. Dlatego też niedopuszczalnym jest monitorowanie posesji sąsiadujących, czy przypadkowych przechodniów na oddalonej nieopodal drodze.
Przewidując nagrywanie osób fizycznych musisz zadbać o to, aby zagwarantować poszanowanie ich dóbr osobistych, takich jak godność, czy prawo do prywatności, zatem absolutnie zabronione jest nie tylko nagrywanie, ale już samo obserwowanie osób w sytuacjach intymnych, pomieszczeń takich jak garderoba czy łazienka.
Co więcej w myśl zasady minimalizmu Twoje kamery nie powinny rejestrować dźwięku, a jedynie obraz. Nagrywając również fonię narażasz się zaś nie tylko na złamanie przepisów RODO.,a le także innych ustaw, bowiem zgodnie ze stanowiskiem Prezesa UODO uprawnienie do nagrywania dźwięku posiadają jedynie służby porządkowe i specjalne.
Jednocześnie warto pamiętać, że jeżeli na terenie Twojej posesji pracują osoby, które zatrudniasz w oparciu o umowę o pracę, obowiązują Cię przepisy kodeksu pracy i ustawy o ochronie danych osobowych w zakresie monitoringu pracowniczego.
Czas przechowywania danych z rejestratora
W myśl zasady minimalizmu czasu przetwarzania danych powinieneś zadbać o to, aby nie przetwarzać danych dłużej niż wymaga tego osiągniecie celu, w którym dane są przetwarzane. W aspekcie monitoringu oznacza to konieczność skrócenia czasu przechowywania danych do niezbędnego minimum. Zatem jeżeli celem zastosowania monitoringu jest ochrona osób i mienia nie ma racjonalnego powodu, aby przechowywać dane dłużej niż przez okres naszej nieobecności na posesji z uwzględnieniem niezbędnego marginesu czasu na przejrzenie zarejestrowanego materiału dla potrzeb weryfikacji, czy do żadnego niebezpiecznego incydentu rzeczywiście nie doszło. Oczywiście w przypadku zajścia niepożądanego incydentu masz prawo zabezpieczyć nagranie na czas postępowania wiążącego się z naruszeniem Twojej prywatności.
Ostatecznie to Ty jako administrator będziesz musiał podjąć decyzję o czasie usuwania danych, pamiętaj jednak, że – po pierwsze – nie masz podstaw prawnych do nadmiarowego przetrzymywania danych osobowych, jeżeli na terenie Twojej posesji nie doszło do żadnych incydentów naruszenia bezpieczeństwa, a nadto przechowywanie tak ważnych danych wiąże się z koniecznością ich solidnego zabezpieczenia, którego okres wydłuża się wraz z wydłużaniem czasu przetwarzania danych, o czym poniżej.
Bezpieczeństwo nośników danych
RODO wymaga od Ciebie jako administratora danych, abyś stosował adekwatne środki zabezpieczenia nośników, na których przechowujesz dane osobowe. Co więcej, dzisiejsze systemy monitoringu częstokroć nie ograniczają się do prostej kamery z pamięcią w środku. Coraz częściej i chętniej korzystamy z opcji obserwacji on -line, czy automatycznego przesyłania zapisów nagrań z kamery w danych odstępach czasu na wskazany adres mailowy, czy na wskazany serwer. W myśl RODO jesteś jednak odpowiedzialny, mi.in. za to, aby chronić dane przed nieuprawnionym dostępem do nich. W praktyce oznacza to konieczność uniemożliwienia podłączania się z zewnątrz do sygnału z kamer czy do treści nagrań. Jeżeli przechowujesz nagrania na komputerze, musisz zadbać o stosowne zabezpieczenia dostępu do danych zarówno w sferze fizycznej poprzez ograniczenie dostępu do komputera wobec osób trzecich, ale także w sferze zabezpieczeń systemowych i technicznych, poprzez stosowanie odpowiednich haseł dostępu, wielopoziomowego systemu uwierzytelniania użytkowników sprzętu, na którym dane są przechowywane i przetwarzane. Warto również zadbać o ograniczenia fizycznej dostępności samych kamer czy źródeł ich zasilania dla osób postronnych.
Wyrazem troski o bezpieczeństwo danych i nośników, na których są zapisywane jest również dbałość o to, aby podmioty, którym powierzasz przetwarzanie danych pochodzących z nagrań – jak agencje ochrony -dawały gwarancje stosowania adekwatnych zabezpieczeń danych i ich przepływu. Twoim obowiązkiem w tym zakresie jest w pierwszej kolejności weryfikacja podmiotu, któremu zamierzasz powierzyć przetwarzanie danych na Twoje polecenie i podpisanie z nim stosownej, spełniającej wymogi z art. 28 RODO, umowy powierzenia przetwarzania danych osobowych.
Prawa osób nagrywanych
Osobom, których wizerunek administrator przetwarza w formie monitoringu, przysługują wszelkie prawa, jakie nadaje im RODO. Przede wszystkim zatem przysługuje im prawo do informacji o przetwarzaniu ich danych osobowych z wykorzystaniem monitoringu. Informacja taka powinna być umieszczona w łatwo dostępnym dla potencjalnie nagrywanych osób miejscu, np. przy wejściu na teren objęty monitoringiem. Informacja powinna określać obszar objęty monitoringiem oraz spełniać wymogi klauzuli informacyjnej wskazane w art. 13 RODO, w szczególność zaś wskazywać na osobę administratora, jego dane kontaktowe, podstawę prawną i cele przetwarzania danych, okres przetwarzania danych, informację o odbiorcach danych, czy prawach osoby, której dane są przetwarzane, w tym prawie do skargi wobec przetwarzania danych.
Osobie nagrywanej przysługuje także prawo dostępu do nagrań, na których uwieczniono jej wizerunek. Możesz jednak zweryfikować tożsamość osoby żądającej wydania nagrania. Poza szczególnymi przypadkami, uzasadnionymi interesem publicznym – np. żądania wydania nagrania przez policję, która zabezpiecza dowody przestępstwa uchwyconego zasięgiem kamery umieszczonej na Twojej posesji – udostępniając nagrania na żądanie osoby, której prawa dotyczą, jesteś zobligowany zadbać o poufność innych danych osobowych zawartych na nagraniu, np. poprzez zanonimizowanie wizerunków innych osób na nagraniu lub zamazaniu numerów identyfikacyjnych (np. numerów rejestracyjnych samochodów).
Konsekwencje
Stosując monitoring musisz mieć świadomość, że – jak każdy administrator danych – możesz zostać poddany kontroli prawidłowości przetwarzania danych przez Prezesa UODO – wszczętej zarówno samoistnie przez organ nadzoru, jak również na skutek wniesionej przeciwko Twojemu przetwarzaniu skargi.
Jeżeli kontrola wykaże nieprawidłowości w przestrzeganiu bezpieczeństwa ochrony danych lub bezprawność ich przetwarzania, musisz liczyć się z możliwością ukarania, w tym karą finansową.
ROD(e)O 