Monitoring wizyjny a ochrona danych osobowych

Transkrypt

1 Monitoring wizyjny a ochrona danych osobowych Monitoring wizyjny nie jest zagadnieniem uregulowanym w jednym akcie prawnym. Na pilną potrzebę unormowania tej kwestii wskazywał już niejednokrotnie m.in. Generalny Inspektor Ochrony Danych Osobowych. Pomimo kilku projektów o jednym z nich pisaliśmy na blogu już w 2013 r. (!) prace nad żadnym z nich nie doprowadziły do uchwalenia kompleksowej ustawy. W związku z tym, analizując tę kwestię należy odnosić się do różnych aktów prawnych. Jak do monitoringu wizyjnego zastosować przepisy z zakresu ochrony danych osobowych? Zapraszam do lektury niniejszego artykułu. Czy zapis z monitoringu zawiera dane osobowe? Kluczowym pytaniem, na które zawsze musimy udzielić odpowiedzi rozpoczynając analizę określonego procesu jest to, czy mamy do czynienia z danymi osobowymi. Przypomnijmy, iż zgodnie z art. 6 Ustawy o ochronie danych osobowych, za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Z kolei osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne. Dane osobowe mogą mieć zatem formę nie tylko słowną, ale również graficzną (obraz). Ponadto, wizerunek osoby pozwala na określenie jej cech fizycznych (wyglądu zewnętrznego, charakterystycznego stroju itd.). Tym samym umożliwia ustalenie jej tożsamości. Istotą stosowania monitoringu jest bowiem właśnie identyfikacja. Warto zwrócić uwagę również na to, iż przeważnie, zidentyfikowanie danej osoby nie będzie wymagało nadmiernych kosztów, czasu lub działań. Będzie tak m.in. w przypadku, gdy znamy osobę, której

2 wizerunek został utrwalony (np. pracownicy wchodzący do budynku) lub posiadamy inne informacje, za pośrednictwem których możliwe będzie przypisanie wizerunku do konkretnej osoby (np. księga wejść/wyjść). W rezultacie zazwyczaj zapis z monitoringu będzie zawierał dane osobowe. Za takim stanowiskiem przemawia również orzecznictwo. Przykładowo: W rozpoznawanej sprawie Straż Miejska w L., realizując uprawnienia ustawowe do obserwowania i rejestrowania obrazu zdarzeń w miejscach publicznych przy użyciu środków technicznych, przetwarza w ramach monitoringu wizyjnego dane osobowe w postaci wizerunków (obrazów) osób przebywających na miejscach objętych zasięgiem monitoringu, a także inne informacje dotyczące tych osób, takie jak sposób zachowania, numery rejestracyjne pojazdów. Dane te prowadzą bowiem do identyfikacji osoby. Wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 9 kwietnia 2013 r., II SA/Wa 211/13 Czy nagrania z monitoringu tworzą zbiór danych? Zbiorem danych jest każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie (art. 7 pkt 1 UODO). Aby można było mówić o zbiorze danych niezbędne jest występowanie pewnej struktury umożliwiającej odnalezienie określonych danych według pewnych kryteriów. Należy uznać, że każde nagranie dokonane w wyniku monitoringu posiada strukturę (uporządkowanie) w uwagi na fakt, iż dotyczy sekwencji zdarzeń następujących w określonym czasie, zarejestrowanych przez urządzenie służące do monitoringu. Jednakże nie w każdym przypadku będzie możliwe dotarcie do danych konkretnej osoby, bez konieczności manualnego

3 przeglądania całego nagrania lub jego obszernego fragmentu. Wymagania w zakresie regulacji monitoringu (str. 28) Ze zbiorem danych nie będziemy mieli do czynienia, gdy stosowany jest monitoring wizyjny w czasie rzeczywistym bez dokonywania zapisu. Nie będzie bowiem wówczas możliwe odszukanie danych. Bezzasadny jest również zarzut strony skarżącej dotyczący niemieszczenia się zarejestrowanych danych w definicji zbioru danych z uwagi na fakt, że informacje te są klasyfikowane jedynie według jednego kryterium czasu zdarzenia, podczas gdy ustawodawca wymaga, by dane zawarte w zbiorze danych były dostępne przynajmniej według dwóch kryteriów. Należy bowiem zgodzić się z organem, że dane zarejestrowane w ramach monitoringu wizyjnego zapisywane są według kryterium czasu, ale również według kryterium miejsca zdarzenia, które jest tożsame z miejscem umieszczenia kamery. Wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 9 kwietnia 2013 r., II SA/Wa 211/13 W przypadku, gdy wykonywany jest zapis nagrań z monitoringu i dane osobowe są dostępne np. według godziny i miejsca, mamy do czynienia ze zbiorem danych. Na co w związku z tym należy zwrócić uwagę? W celu dokonania kompleksowej analizy monitoringu wizyjnego z punktu widzenia wymogów przepisów z zakresu ochrony danych osobowych, najlepiej odnieść się do 5 filarów ochrony danych, na które składają się: 1. Legalność przetwarzania danych osobowych, 2. Świadomość osób przetwarzających dane osobowe, 3. Zabezpieczenia techniczne i organizacyjne,

4 4. Obowiązki rejestracyjne, 5. Obowiązki informacyjne. Podstawę prawną przetwarzania danych osobowych w przypadku monitoringu stanowi zazwyczaj art. 23 ust. 1 pkt 5 UODO, a więc tzw. prawnie usprawiedliwiony cel. Dane te przetwarzanie są bowiem w celu zapewnienia bezpieczeństwa w określonym obszarze. W odniesieniu do filaru 2 i 3 należy m.in.: uwzględnić zbiór danych w dokumentacji ochrony danych osobowych wymaganej na podstawie Rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 r. Nr 100, poz. 1024, dalej Rozporządzenie) dotyczy to m.in. wykazu zbiorów i opisu ich struktury, zweryfikować umiejscowienie kamer (nie mogą one np. poprzez zainstalowanie ich w toaletach, pomieszczeniach socjalnych czy też poszczególnych pomieszczeniach biurowych prowadzić do naruszenia prywatności), wydać upoważnienia do przetwarzania danych osobowych osobom uzyskującym dostęp do wskazanych danych i uwzględnić je w ewidencji (art. 37 i 39 UODO), zweryfikować spełnianie przez system służący do monitoringu wymogów Rozporządzenia, ustalić, czy dane ze zbioru są powierzane (np. ochronie, pomiotom świadczącym usługi informatyczne) czy zawarto umowy powierzenia przetwarzania danych osobowych (art. 31 UODO)? Czy zbiór danych dotyczący monitoringu wizyjnego

5 zgłaszamy do rejestracji GIODO? Zbiór danych przetwarzany w zw. ze stosowaniem monitoringu wizyjnego traktujemy jak każdy inny zbiór danych. Stosujemy zatem te same zasady. A więc sprawdzamy, czy zachodzi któraś z podstaw zwolnienia z obowiązku rejestracji (art. 43 ust. 1 i 1a UODO). Przykładowo, jeśli powołano i zgłoszono ABI (i zbiór nie zawiera tzw. danych wrażliwych wymienionych w art. 27 ust. 1 UODO), zbiór danych nie podlega rejestracji. A co z obowiązkiem informacyjnym? W praktyce, realizacja właśnie tego obowiązku przewidzianego przez Ustawę o ochronie danych osobowych wydaje się najtrudniejsza w odniesieniu do monitoringu wizyjnego. Umieszczanie tablic zawierających wszystkie informacje wymienione w art. 24 UODO (dokładne oznaczenie Administratora danych, wskazanie celu zbierania danych, odbiorców danych, informacja o prawie dostępu do treści danych, możliwości ich poprawiania, dobrowolności albo obowiązku podania danych) jest bowiem problematyczne. Zazwyczaj Administratorzy ograniczają się do piktogramu bądź słownego komunikatu o stosowaniu monitoringu umieszczonego w formie tablicy na ścianie lub naklejki. Rozwiązaniem może być natomiast umieszczanie dodatkowo pełnej informacji, np. przy stanowisku recepcji lub ochrony. Największe zagrożenia pojawiające się w zw. z monitoringiem Na zakończenie chciałabym jeszcze wspomnieć o tym, co moim zdaniem stanowi największe zagrożenie w przypadku, gdy stosujemy monitoring wizyjny. Pierwszym jest brak informacji. Kiedyś pracownicy podmiotu, dla którego prowadziłam szkolenie w trakcie moich zajęć, zupełnie przez przypadek dowiedzieli się, że miejsce ich pracy objęte jest nadzorem kamer. Nikt ich wcześniej o tym nie poinformował. Po drugie, niezbędna jest dokładna analiza miejsc, w których zainstalowane są kamery i obszaru, który obejmują one swoim

6 zasięgiem. Pamiętajmy, iż stosowanie monitoringu i jego dolegliwość dla osób znajdujących w jego zasięgu, musi być proporcjonalna, adekwatna do celu, dla którego jest on stosowany. Podsumowanie Stosowanie monitoringu wizyjnego jest zagadnieniem, które każdy Administrator danych powinien przeanalizować z punktu widzenia przepisów ochrony danych osobowych. Wymaga to jednak uwzględnienia specyfiki wskazanego procesu. Aby ułatwić Państwu to zadanie, zachęcam do skorzystania z listy kontrolnej, która z pewnością pomoże zweryfikować, czy w Państwa organizacji kwestia ta jest uregulowana. Pobierz listę kontrolną Monitoring wizyjny listę kontrolną możecie Państwo pobrać klikając w poniższy przycisk z linkiem Pobierz Źródła prawa: Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922), Wymagania w zakresie regulacji monitoringu ( Zagadnienia dotyczące monitoringu wizyjnego w działalności Biura GIODO (giodo.gov.pl/plik/id_p/2872/j/pl/).