Monitoring wizyjny jest obecnie powszechnie wykorzystywany w wielu sytuacjach. Monitorowane są m.in. środki transportu publicznego, budynki użyteczności publicznej, a także zakłady pracy.
Czym jest monitoring wizyjny?
Monitoring wizyjny jest systemem, który składa się z różnych elementów (w tym m.in. kamer, rejestratora obrazu, oprogramowania, monitorów) stosowanym w celu obserwowania danego terenu lub obiektu (np. pomieszczeń, czy obszaru wokół budynków). Objęcie danego obszaru monitoringiem najczęściej ma na celu zapewnienie bezpieczeństwa osób i mienia znajdującego się na monitorowanym obszarze. Monitoring wizyjny może być przy tym traktowany także jako środek techniczny służący zabezpieczeniu obszaru, w którym przetwarzane są dane osobowe. Przed wprowadzeniem monitoringu wizyjnego w firmie należy przygotować jednak odpowiednie rozwiązania, które zapewnią zgodność przy stosowaniu tego typu rozwiązania z obowiązującymi przepisami prawa.
Monitoring wizyjny przepisy
Zasady stosowania monitoringu wizyjnego pracowników uregulowane są w przepisach kodeksu pracy. Należy także pamiętać, że do przetwarzania danych osobowych pochodzących z nagrań monitoringu wizyjnego zastosowanie znajdą przepisy ogólnego rozporządzenia o ochronie danych (RODO).
W jakich celach można stosować monitoring?
Stosowanie monitoringu wizyjnego zazwyczaj ma na celu zapewnienie bezpieczeństwa osób lub zapewnienie ochrony mienia. Takie cele niewątpliwe w większości typowych przypadków można uznać za prawnie uzasadnione w kontekście przepisów o ochronie danych osobowych. W przypadku monitoringu wizyjnego obejmującego pracowników cele, w jakich może być on stosowany, określają ponadto przepisy kodeksu pracy. Zgodnie z art. 22(2) par. 1 kodeksu pracy pracodawca może wprowadzić szczególny nadzór nad terenem zakładu pracy lub terenem wokół zakładu pracy w postaci środków technicznych umożliwiających rejestrację obrazu (monitoring), jeżeli jest to niezbędne do zapewnienia bezpieczeństwa pracowników lub ochrony mienia, lub kontroli produkcji, lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę.
Jakich miejsc nie może obejmować monitoring wizyjny?
Przed zamontowaniem kamer należy określić obszar, który ma zostać objęty monitoringiem wizyjnym. Podmiot, który decyduje się na wprowadzenie takiego rozwiązania, powinien w szczególności dokładnie rozważyć, czy obszar, który będą obejmować kamery monitoringu, nie będzie naruszał w nadmierny sposób prywatności osób fizycznych.
Warto zwrócić także uwagę na ograniczenia wynikające z kodeksu pracy, które znajdą zastosowanie w przypadku monitoringu wizyjnego obejmującego pracowników. Zgodnie z kodeksem pracy monitoringiem wizyjnym może być objęty teren zakładu pracy lub wokół zakładu pracy. Monitoringiem nie mogą być przy tym objęte pomieszczenia udostępniane zakładowej organizacji związkowej.
Wyłączone z obszaru monitoringu powinny być również pomieszczenia sanitarne, szatnie, stołówki oraz palarnie, chyba że stosowanie monitoringu w tych pomieszczeniach jest niezbędne do realizacji celu określonego w art. 22(1) § 1 kodeksu pracy (w tym przypadku w szczególności dla zapewnienia bezpieczeństwa pracowników lub ochrony mienia) i nie naruszy to godności oraz innych dóbr osobistych pracownika, w szczególności poprzez zastosowanie technik uniemożliwiających rozpoznanie przebywających w tych pomieszczeniach osób. Monitoring wizyjny pomieszczeń sanitarnych wymaga przy tym uzyskania uprzedniej zgody zakładowej organizacji związkowej, a jeżeli u pracodawcy nie działa zakładowa organizacja związkowa — uprzedniej zgody przedstawicieli pracowników wybranych w trybie przyjętym u danego pracodawcy.
Należy także nadmienić, że monitoring wizyjny powinien być ustawiony w taki sposób, aby jego celem było monitorowanie określonego obszaru (miejsca), a nie określonego pracownika. Nie powinno stosować się w związku z tym rozwiązań, które mają za zadanie śledzić działania konkretnego pracownika (np. monitoring ustawiony na ekran komputera pracownika, ruchoma kamera śledząca ruchy danego pracownika itp.). Takie rozwiązania należy ocenić jako, co do zasady, niedopuszczalne z uwagi na nadmierną ingerencję w prawo do prywatności konkretnego pracownika.
Czy można nagrywać pracowników oraz inne osoby bez ich zgody?
Przy założeniu, że przy okazji stosowania monitoringu wizyjnego dochodzi do przetwarzania danych osobowych (taki pogląd jest obecnie dominujący) konieczne jest określenie podstawy prawnej dla takich działań. Katalog podstaw prawnych przetwarzania danych osobowych określony jest w art. 6 ust. 1 RODO. W przypadku przetwarzania danych osobowych w związku ze stosowaniem monitoringu wizyjnego najczęściej przyjmowaną podstawę stanowi art. 6 ust. 1 lit. f RODO (tj. prawnie uzasadniony interes administratora danych lub strony trzeciej). Skorzystanie z tej podstawy prawnej wymaga jednak dokonania wyważenia prawnie uzasadnionych interesów administratora lub strony trzeciej danych względem podstawowych praw i wolności osoby fizycznej. Dla potrzeb wykazania dokonania takiej oceny rekomendowane jest przeprowadzenie i udokumentowanie tzw. testu równowagi.
W standardowych przypadkach przy stosowaniu monitoringu wizyjnego nie ma zatem potrzeby odbierania żadnych zgód od osób, które znajdą się w zasięgu kamer i będą w związku z tym monitorowane. Wypada zresztą zauważyć, że takie rozwiązanie w praktyce bardzo utrudniałoby, a niekiedy wręcz uniemożliwiałoby efektywne stosowanie monitoringu wizyjnego na określonym obszarze. Bardzo trudno byłoby zapewnić przy tym dobrowolność wyrażania takiej zgody, co dodatkowo podważa sens takiego rozwiązania. Należy przy tym pamiętać, że przepisy kodeksu pracy nie przewidują możliwości rejestrowania dźwięku przy okazji stosowania monitoringu wizyjnego. Takie rozwiązanie w świetle przepisów RODO także należałoby uznać generalnie za niedopuszczalne z uwagi na nadmierną ingerencję w prywatność osób znajdujących się na terenie objętym monitoringiem.
Jak realizować obowiązek informacyjny przy monitoringu wizyjnym?
Przy informowaniu o stosowaniu monitoringu wizyjnego należy mieć na uwadze dwa reżimy prawne, które znajdą zastosowanie. Po pierwsze wobec wszystkich osób, które mogą znaleźć się w obszarze będącym w zasięgu kamer monitoringu wizyjnego, konieczne jest spełnienie obowiązku informacyjnego, o którym mowa w art. 13 RODO. Jest to obowiązek tzw. starannego działania. Administrator nie ma zatem obowiązku zapewnienia i udowadniania tego, że każda osoba faktycznie zapoznała się z treścią obowiązku informacyjnego. Musi być on jednak w stanie wykazać, że dochował należytej staranności i zapewnił, aby każda osoba, której dane będą przetwarzane, miała łatwą możliwość zapoznania się z klauzulą informacyjną.
W przypadku stosowania monitoringu wizyjnego taka możliwość powinna być zapewniona przed wejściem na obszar objęty monitoringiem. W praktyce oznacza to, iż taki obszar powinien być odpowiednio oznaczony poprzez zamieszczenie stosownych komunikatów w widocznych miejscach. W przypadku osób, które regularnie pojawiają się w danym miejscu (np. współpracownicy, kontrahenci), warte rozważenia jest także bezpośrednie zrealizowanie takiego obowiązku, zwłaszcza jeśli administrator dysponuje danymi kontaktowymi takich osób (np. adresami mailowymi).
Po drugie, w przypadku pracowników należy uwzględnić szczególne wymagania wynikające z przepisów kodeksu pracy. Zgodnie z kodeksem pracy pracodawca informuje pracowników o wprowadzeniu monitoringu, w sposób przyjęty u danego pracodawcy, nie później niż 2 tygodnie przed jego uruchomieniem. Ponadto pracodawca przed dopuszczeniem pracownika do pracy zobowiązany jest przekazać mu na piśmie informacje o celach, zakresie oraz sposobach zastosowania monitoringu.
Kodeks pracy w art. 22(2) par. 9 wskazuje ponadto, że w przypadku wprowadzenia monitoringu pracodawca oznacza pomieszczenia i teren monitorowany w sposób widoczny i czytelny, za pomocą odpowiednich znaków lub ogłoszeń dźwiękowych, nie później niż jeden dzień przed jego uruchomieniem. Warto mieć na uwadze, że kodeks pracy jednoznacznie wskazuje, że przepis ten nie narusza przepisów art. 12 RODO (przejrzystość przetwarzania danych) i art. 13 RODO (obowiązek informacyjny przy zbieraniu danych od osoby, której one dotyczą).
Po jakim czasie usuwane są nagrania z monitoringu?
Okres przechowywania danych pochodzących z nagrań z monitoringu wizyjnego powinien zostać ustalony na podstawie kryteriów wynikających z zasady ograniczenia czasowego przechowywania danych osobowych, o której mowa w art. 5 ust. 1 lit. e RODO. Zgodnie z tym przepisem przechowywane danych w formie umożliwiającej identyfikację osoby, której dane dotyczą, powinno się odbywać przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane.
Jednocześnie należy pamiętać, że w przypadku monitoringu obejmującego pracowników dopuszczalny czas przechowywania nagrań nie może przekroczyć 3 miesięcy od dnia nagrania. W przypadku, w którym nagrania obrazu stanowią dowód w postępowaniu prowadzonym na podstawie prawa lub pracodawca powziął wiadomość, iż mogą one stanowić dowód w postępowaniu, termin ten ulega przedłużeniu do czasu prawomocnego zakończenia postępowania.
W świetle powyższego można zatem przyjąć, że 3-miesięczny okres przechowywania danych pochodzących z nagrań z monitoringu wizyjnego będzie adekwatny zarówno w przypadku pracowników, jak i innych osób. Jego wydłużenie będzie natomiast dopuszczalne wyłącznie wówczas, gdy konkretne nagrania okażą się potrzebne do celów jakiegokolwiek postępowania prowadzonego na podstawie przepisów prawa (np. dyscyplinarnego, karnego lub cywilnego).
Warto pamiętać przy tym, że zapewnienie okresowego usuwania danych osobowych (retencja danych) stanowi złożony problem, który powinien być kompleksowo potraktowany w każdej organizacji. Więcej na temat retencji danych osobowych można przeczytać w Retencja Danych Osobowych. Dlaczego należy ją zapewnić?
Jak uregulować wewnętrznie zasady monitoringu wizyjnego?
Zasady stosowania monitoringu wizyjnego powinny zostać jasno uregulowane w wewnętrznej dokumentacji obowiązującej w konkretnej organizacji. Dobrym rozwiązaniem może być m.in. wprowadzenie wewnętrznej polityki dotyczącej zasad stosowania monitoringu, a także procedury uwzględniającej praktyczne zastosowanie zasad wykorzystywania monitoringu wizyjnego w firmie.
Jeśli monitoring wizyjny obejmuje pracowników, niezbędne jest uregulowanie celów zakresu oraz sposobu zastosowania monitoringu w układzie zbiorowym pracy lub w regulaminie pracy albo w obwieszczeniu, jeżeli pracodawca nie jest objęty układem zbiorowym pracy lub nie jest obowiązany do ustalenia regulaminu pracy.
Należy przy tym pamiętać o ograniczeniu dostępu do nagrań pochodzących z monitoringu wyłącznie do tych osób, które z racji wykonywanych obowiązków służbowych powinny mieć do nich dostęp (np. pracownicy ochrony).
Czy monitoring podlega pod RODO?
Przetwarzanie danych osobowych, które mogą znajdować się na nagraniach z monitoringu wizyjnego, wiążę się z koniecznością spełnienia szeregu obowiązków wynikających z przepisów RODO, w tym z obowiązkiem stosowania wszystkich zasad przetwarzania danych określonych w art. 5 RODO.
Monitoring wizyjny a obowiązki wynikające z RODO
W ramach zapewnienia zgodności z RODO należy w szczególności zwrócić uwagę na:
- zapewnienie właściwej podstawy prawnej przetwarzania danych osobowych (w większości typowych przypadków taką podstawę przy monitoringu wizyjnym może stanowić prawnie uzasadniony interes administratora danych lub strony trzeciej, co wiąże się jednak z potrzebą przeprowadzenia i udokumentowania tzw. testu równowagi);
- realizację obowiązku informacyjnego w przejrzysty i widoczny sposób;
- zapewnienie okresowego usuwania nagrań monitoringu (retencja danych);
- uwzględnienie czynności związanych z monitoringiem wizyjnym w rejestrze czynności przetwarzania danych;
- dokonanie doboru odpowiednich środków technicznych i organizacyjnych służących zabezpieczeniu danych z uwzględnieniem ryzyka naruszenia praw lub wolności osób fizycznych, w tym ograniczenie dostępu do nagrań z monitoringu;
- zapewnienie obsługi realizacji praw podmiotów danych w związku z przetwarzaniem danych osobowych pochodzących z monitoringu, w tym w zakresie prawa dostępu do danych;
- uwzględnienie wszystkich wymogów związanych z powierzeniem przetwarzania danych określonych w art. 28 RODO, w tym w szczególności z zawarciem umowy powierzenia przetwarzania danych osobowych (w przypadku korzystania z usług zewnętrznych usługodawców przetwarzających dane pochodzące z monitoringu na zlecenie administratora);
- ustalenie, czy istnieje w danym przypadku obowiązek przeprowadzenia oceny skutków dla ochrony danych osobowych (a w razie potrzeby taką ocenę należy przeprowadzić i udokumentować).
Monitoring wizyjny. Podsumowanie
Wprowadzenie monitoringu wizyjnego w firmie wymaga przeprowadzenia analizy w zakresie dopuszczalności stosowania tego typu rozwiązań oraz uwzględnienia wymogów przewidzianych w RODO (w związku z przetwarzaniem danych osobowych) oraz w kodeksie pracy (monitoring pracowniczy). Firma, która nie zadba o zapewnienie zgodności z obowiązującymi wymogami prawnymi, będzie narażona na poniesienie odpowiedzialności administracyjnoprawnej (w tym na nałożenie administracyjnej kary pieniężnej przez Prezesa UODO), jak i odpowiedzialności cywilnoprawnej (np. z tytułu naruszenia dóbr osobistych osoby fizycznej). Wiele problemów mogą także generować wnioski kierowane do administratora danych w związku z realizacją uprawnień przysługujących na mocy przepisów RODO. W przypadku monitoringu wizyjnego będzie to związane zwłaszcza z żądaniami dostępu do danych znajdujących się na nagraniach (na których mogą znajdować się różne osoby fizyczne).
Jeśli jesteś zainteresowany wsparciem przy wprowadzaniu monitoringu wizyjnego lub dostosowywaniu już wprowadzonych rozwiązań do wymogów prawa, zapraszamy do kontaktu. Zachęcamy także do zapoznania się z naszą ofertą doradztwa prawnego oraz ofertą bieżącego wsparcia w obszarze ochrony danych osobowych.
Czytaj także: Procedura obsługi żądań podmiotów danych. Dlaczego warto ją stosować?
