Monitoring wizyjny – nowe wytyczne EROD

Europejska Rada Ochrony Danych (EROD) wydała właśnie wytyczne dotyczące stosowania monitoringu wizyjnego. [1] To ostateczna wersja wytycznych, poprzedzona publicznymi konsultacjami.

Wcześniej, bo już w 2018 r. – na poziomie krajowym – wskazówki dotyczące monitoringu opublikował Prezes Urzędu Danych Osobowych[2]. Co ciekawe, interpretacje obu organów nie zawsze są zgodne. Jakie zasady powinny więc obowiązywać?

Wszechobecny monitoring

Monitoring stał się nieodłącznym elementem funkcjonowania naszego społeczeństwa – znajduje powszechne zastosowanie w samochodach, w domach, na ulicach czy w miejscu pracy, o czym szerzej pisaliśmy m.in. tutaj. Jest on jednocześnie uznawany za jedną z najbardziej inwazyjnych form przetwarzania danych osobowych. W zależności od zastosowanych rozwiązań technicznych, może wiązać się nawet z przetwarzaniem szczególnych kategorii danych (np. danych biometrycznych) i wymagać podwyższonej ochrony.

Monitoring to nie zawsze przetwarzanie danych

Stanowisko EROD potwierdza, że nie każdy monitoring będzie przetwarzaniem danych osobowych. Przykładowo RODO nie będzie miało zastosowania w przypadku monitorowania z dużej odległości, gdzie nie jest możliwe ustalenie tożsamości monitorowanej osoby – np. z wykorzystaniem drona.

A jeśli przetwarzanie – to na jakiej podstawie?

W zakresie, w jakim monitoring jest przetwarzaniem danych osobowych – co potwierdza EROD – Administrator, w zależności od celu, teoretycznie mógłby go stosować na każdej z podstaw przetwarzania wymienionych w art. 6 RODO. W szczególności, ze względu na:

  • niezbędność przetwarzania do wypełnienia obowiązku prawnego administratora,
  • uzasadnionego interesu administratora,
  • a nawet zgody – przy czym tu organ zwraca uwagę na wysokie ryzyko podważenia dobrowolności udzielenia tej zgody i komplikacji, w przypadku wycofania zgody przez monitorowaną osobę.

Co również istotne, w przypadku działania na podstawie przesłanki uzasadnionego interesu administratora, aby móc prowadzić monitoring zgodnie z RODO, określenie celu monitorowania jako „zapewnienia bezpieczeństwa” jest niewystarczające.

Interes Administratora vs. osoby monitorowanej

W przypadku przetwarzania danych na podstawie uzasadnionego interesu (w praktyce najczęściej stosowanej przez przedsiębiorców podstawie), kluczowe jest przeprowadzenie „testu interesów”, czyli określenie, czy w konkretnym przypadku przeważa interes Administratora, czy osoby monitorowanej. Przykładowo zdaniem EROD, ze względu na niewspółmierność w stosunku do ochrony prywatności monitorowanych osób, testu mógłby nie zdać monitoring w miejscach przeznaczonych do rekreacji czy wypoczynku.

Ocenie Administratora powinien podlegać także:

  • stosowany sprzęt (i uwaga, nie zawsze ten nowocześniejszy będzie lepszą opcją!) – Organ podkreśla, że coraz bardziej zaawansowane środki techniczne pozwalają na lepszą identyfikację czy profilowanie osób – w większości przypadków nie jest to jednak niezbędne i wtedy EROD sugeruje np. pikselowanie zbędnych fragmentów obrazu czy rezygnację z kamer z „zoomem”;
  • zasięg monitoringu – tu EROD (podobnie jak wcześniej Prezes UODO) potwierdził, że granica działki powinna być również granicą monitoringu. Administrator powinien ograniczyć monitoring obejmujący sąsiednią posesję czy drogę publiczną – np. poprzez zmianę ustawienia kamery czy usunięcie kamer szerokokątnych.
EROD a Prezes UODO

Jak sygnalizowaliśmy na wstępie, wytyczne EROD nie zawsze pozostają w zgodzie z wcześniejszymi wskazówkami Prezesa UODO. Dotyczy to w szczególności:

  • monitoringu w czasie rzeczywistym – stanowisko Prezesa UODO nie wskazywało jednoznacznie, czy taki monitoring w ogóle stanowi „przetwarzanie danych osobowych”, natomiast EROD rozwiał ewentualne wątpliwości, odpowiadając na to pytanie twierdząco (a nawet uznając ten rodzaj obserwacji za potencjalnie bardziej inwazyjny niż zapis nagrań na dysku, bez ich bieżącej weryfikacji);
  • możliwości stosowania atrap kamer – Prezes UODO nakazał ich usunięcie, a EROD uznał za dopuszczalne i oczywiście nie objęte obowiązkami wynikającymi z RODO.
RODO-formalności

Szczególnie interesująca dla przedsiębiorców może okazać się przedstawiona przez EROD propozycja zwiększenia przejrzystości informacji o przetwarzaniu danych osobowych, którą Administrator zobowiązany jest przekazać monitorowanej osobie, poprzez podzielenie jej na dwa etapy/ warstwy. W pierwszej kolejności, Administrator np. przy wejściu na teren monitorowany miałby udostępniać jedynie piktogram, wraz z najważniejszymi informacjami (typu – kto jest administratorem danych i cel monitoringu), a dopiero później – pełną klauzulę (np. w recepcji, czy pod kodem QR dostępnym online).

Jednocześnie EROD przypomina, że w zależności od rodzaju i zakresu monitoringu, może on wymagać przeprowadzenia oceny skutków dla ochrony danych (tzw. DPA).

O&W ocenia

Wytyczne EROD pozostają pomocnym drogowskazem w zakresie praktycznego stosowania monitoringu.

Jednocześnie, obok wyżej omówionych wskazówek, wprowadzone zostały m.in. niejednoznaczne i często surowe kryteria oceny możliwości stosowania kamer, co wynika m.in. z praktyki nadużywania wszechobecnego utrwalania obrazu i dźwięku, nie zawsze w uzasadnionych przypadkach.

Przy tej okazji pojawia się kluczowy problem ocennego charakteru poszczególnych sytuacji, prowadzący najpewniej do licznych wątpliwości administratorów, które można podsumować pytaniem – „Czy w tym przypadku korzystanie z monitoringu jest uzasadnione?”

Przykładowo: zdaniem EROD, właściciel sklepu przed zainstalowaniem kamer powinien rozważyć, czy jest to uzasadnione rodzajem prowadzonej przez niego działalności (np. jubiler), zdarzającymi się w bezpośredniej okolicy kradzieżami lub aktami wandalizmu. Dodatkowo, proponowane są inne środki ochrony, np. zatrudnienie pracownika ochrony, lepsze oświetlenie czy zabezpieczenia antywłamaniowe – które miałyby mieć niejako „pierwszeństwo” przed monitoringiem.

W efekcie – na pierwszy plan w przypadku decyzji administrowaniu o monitorowaniu określonego obszaru jest przygotowanie i udokumentowanie argumentacji uzasadniającej prowadzenie monitoringu (co może niekiedy ustrzec administratora, przed zastrzeżeniami Prezesa UODO lub koniecznością składania licznych wyjaśnień organowi nadzorczemu np. w przypadku kontroli).

Poważnym problemem, wynikającym z nowych wytycznych, mogą być zasygnalizowane różnice w stanowiskach EROD i Prezesa UODO. Ze względu na ten kontrast, przypadki te wymagają każdorazowo indywidualnej analizy. Niewykluczona jest także zmiana stanowiska Prezesa UODO, w związku z nowymi wytycznymi EROD.

[1] Guidelines 3/2019 on processing of personal data through video devices, Version 2.0, Adopted on 29 January 2020

[2] Wskazówki Prezesa Urzędu Ochrony Danych Osobowych dotyczące wykorzystywania monitoringu wizyjnego z dn. 15 czerwca 2018 r.

Autor: Katarzyna Serwatka

SENIOR CONSULTANT
RADCA PRAWNY

katarzyna.serwatka@olesinski.com

Więcej