Monitoring wizyjny jest zgodny z RODO, gdy ma podstawę w przepisie, jasny cel, oznakowanie i klauzulę informacyjną, omija pomieszczenia wyłączone przez prawo, a nagrania są przechowywane najwyżej 3 miesiące od dnia nagrania. W Polsce zasady ustalają cztery przepisy: art. 22² Kodeksu pracy dla pracodawców, art. 108a Prawa oświatowego dla szkół i placówek, art. 23a ustawy o działalności leczniczej dla podmiotów leczniczych i art. 9a ustawy o samorządzie gminnym dla gmin. Poniżej porównujemy je i podajemy listę kontrolną.
Podstawa prawna zależy od tego, kto monitoruje
Nagranie, na którym można rozpoznać osobę, to jej dane osobowe. Jednostka publiczna wykonująca swoje zadania nie może oprzeć monitoringu na prawnie uzasadnionym interesie, bo wyłącza to art. 6 ust. 1 akapit drugi RODO. Podstawą jest wtedy art. 6 ust. 1 lit. c albo e w związku z jednym z przepisów krajowych.
| Przepis | Kto i po co | Przechowywanie |
|---|---|---|
| art. 22² KP | pracodawca: bezpieczeństwo pracowników, ochrona mienia, kontrola produkcji, tajemnica | do 3 miesięcy, przedłużenie do prawomocnego końca postępowania (§ 3-4) |
| art. 108a Prawa oświatowego | dyrektor szkoły lub placówki: bezpieczeństwo uczniów i pracowników, ochrona mienia | do 3 miesięcy, chyba że przepisy odrębne stanowią inaczej (ust. 4-5) |
| art. 23a ustawy o działalności leczniczej | kierownik podmiotu leczniczego, w regulaminie organizacyjnym | do 3 miesięcy, chyba że przepisy odrębne stanowią inaczej (ust. 2-3) |
| art. 9a ustawy o samorządzie gminnym | gmina: porządek publiczny, bezpieczeństwo, ochrona przeciwpożarowa i przeciwpowodziowa | do 3 miesięcy, chyba że przepisy odrębne stanowią inaczej (ust. 3-4) |
Kilka szczegółów, o których łatwo zapomnieć:
- Szkoła wprowadza monitoring w uzgodnieniu z organem prowadzącym i po konsultacji z radą pedagogiczną, radą rodziców i samorządem uczniowskim (art. 108a ust. 1). Monitoring nie powinien służyć do nadzoru nad jakością pracy (ust. 2). Szkoła jest też pracodawcą, dlatego warto spełnić jednocześnie wymagania Kodeksu pracy wobec pracowników.
- Gmina może monitorować przestrzeń publiczną za zgodą zarządzającego tym obszarem oraz nieruchomości i obiekty swoje i swoich jednostek (art. 9a ust. 1).
- Pracodawca ustala cele, zakres i sposób monitoringu w układzie zbiorowym, regulaminie pracy albo obwieszczeniu (art. 22² § 6).
Gdzie kamer być nie może
| Przepis | Pomieszczenia wyłączone |
|---|---|
| art. 22² § 1¹ i 2 KP | udostępnione związkowi zawodowemu; sanitarne, szatnie, stołówki, palarnie - chyba że to niezbędne i obraz nie pozwala rozpoznać osób, a dla sanitarnych potrzebna jest uprzednia zgoda związku lub przedstawicieli pracowników |
| art. 108a ust. 3 Prawa oświatowego | sale zajęć, pomoc psychologiczno-pedagogiczna, pomieszczenia odpoczynku pracowników, sanitarne, gabinet profilaktyki, szatnie i przebieralnie - chyba że istnieje zagrożenie, a obraz nie pozwala rozpoznać osób |
| art. 23a ust. 1 ustawy o działalności leczniczej | pokoje łóżkowe, sanitarne, przebieralnie i szatnie tylko, jeśli wynika to z przepisów odrębnych; z poszanowaniem intymności pacjenta |
| art. 9a ust. 2 ustawy o samorządzie gminnym | sanitarne, szatnie, stołówki, palarnie, obiekty socjalne - bez wyjątków |
Ile przechowywać nagrania
Trzy miesiące to maksimum, a nie zalecany okres. Zasady minimalizacji i ograniczenia przechowywania (art. 5 ust. 1 lit. c i e RODO) każą ustawić najkrótszy okres, który wystarcza do celu. Wytyczne EROD 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo wskazują, że zwykle wystarcza kilka dni, a każdy dłuższy okres wymaga uzasadnienia. Ustalony okres wpisz do rejestru czynności i klauzuli, a nadpisywanie ustaw w rejestratorze automatycznie.
Dłużej przechowuje się tylko nagrania potrzebne w postępowaniu. Kodeks pracy przedłuża termin do prawomocnego zakończenia postępowania (art. 22² § 4), a ustawa o samorządzie gminnym wyłącza ze zniszczenia nagrania zabezpieczone zgodnie z odrębnymi przepisami (art. 9a ust. 4). Prawo oświatowe nie ma własnego przepisu o przedłużeniu i odsyła do przepisów odrębnych (art. 108a ust. 5), więc szkoła powinna zapisać, kto i na jakiej podstawie zabezpiecza nagranie - na przykład na żądanie policji.
Oznakowanie i klauzula informacyjna
Teren i pomieszczenia monitorowane oznacza się w sposób widoczny i czytelny, najpóźniej dzień przed uruchomieniem (art. 22² § 9 KP, art. 108a ust. 8 Prawa oświatowego). Gmina oznacza obiekty objęte monitoringiem, w szczególności znakami (art. 9a ust. 5 ustawy o samorządzie gminnym). Pracowników informuje się 2 tygodnie przed uruchomieniem (art. 22² § 7 KP), a w szkole uczniów i pracowników 14 dni wcześniej (art. 108a ust. 6). Nowa osoba dostaje informację przed dopuszczeniem do pracy (art. 22² § 8 KP, art. 108a ust. 7).
Sama tabliczka z kamerą nie wystarcza - obowiązek informacyjny z art. 13 RODO nadal działa (art. 22² § 10 KP). Wytyczne EROD 3/2019 zalecają podejście warstwowe:
- Pierwsza warstwa - znak przy wejściu w strefę: kto jest administratorem, cel monitoringu, prawa osób, kontakt do inspektora ochrony danych i informacja, gdzie znaleźć pełną treść.
- Druga warstwa - pełna klauzula z art. 13 RODO: podstawa prawna, okres przechowywania, odbiorcy (na przykład firma ochroniarska), prawo skargi do Prezesa UODO. Dostępna w recepcji, sekretariacie i na stronie internetowej.
Dostęp do nagrań i żądania osób
Osoba nagrana ma prawo dostępu do swoich danych i kopii nagrania (art. 15 ust. 1 i 3 RODO). Poproś o datę, godzinę i miejsce, by odnaleźć fragment. Kopia nie może naruszać praw innych osób (art. 15 ust. 4), dlatego ich wizerunki zamazuje się albo maskuje. Jeśli nagranie zostało już nadpisane, odpowiedz, że danych nie ma. Odpowiedź należy się w ciągu miesiąca (art. 12 ust. 3).
Przy monitoringu opartym na art. 6 ust. 1 lit. e osoba może też wnieść sprzeciw (art. 21 ust. 1). Udostępnienie nagrania policji, prokuraturze czy sądowi opiera się na przepisie, który daje im to uprawnienie - zapisz, komu, kiedy i na jakiej podstawie je wydano. Dostęp wewnątrz jednostki mają tylko osoby upoważnione (art. 29 RODO).
Kiedy potrzebna jest DPIA
Ocenę skutków dla ochrony danych przeprowadza się m.in. przy systematycznym monitorowaniu na dużą skalę miejsc dostępnych publicznie (art. 35 ust. 3 lit. c RODO). Wykaz Prezesa UODO (M.P. 2019 poz. 666) obejmuje takie monitorowanie z rozpoznawaniem cech osób lub obiektów, ale wyłącza systemy, w których obraz jest nagrywany i oglądany tylko przy analizie incydentów. Monitoring miejski z rozpoznawaniem tablic rejestracyjnych albo twarzy zwykle wymaga oceny skutków; kamery przy wejściu do szkoły zwykle nie, ale analizę ryzyka trzeba przeprowadzić zawsze (art. 32).
Firma ochroniarska i inni dostawcy
Firma ochroniarska, która ogląda obraz albo ma dostęp do rejestratora, przetwarza dane w imieniu jednostki. Potrzebna jest umowa powierzenia spełniająca art. 28 ust. 3 RODO, a wcześniej sprawdzenie, czy firma daje wystarczające gwarancje (art. 28 ust. 1). To samo dotyczy serwisu kamer z dostępem zdalnym i nagrywania w chmurze.
Lista kontrolna
- Ustal przepis, na którym opierasz monitoring, i jego cel.
- W szkole uzgodnij monitoring z organem prowadzącym i przeprowadź konsultacje.
- Zapisz cele, zakres i sposób monitoringu w regulaminie pracy, obwieszczeniu albo zarządzeniu.
- Sprawdź rozmieszczenie kamer z listą pomieszczeń wyłączonych.
- Ustaw najkrótszy wystarczający okres przechowywania, nie dłuższy niż 3 miesiące, i automatyczne nadpisywanie.
- Poinformuj pracowników (2 tygodnie, w szkole 14 dni) i oznacz teren najpóźniej dzień przed startem.
- Przygotuj znak pierwszej warstwy i pełną klauzulę z art. 13 RODO.
- Dodaj czynność do rejestru czynności przetwarzania.
- Upoważnij osoby, które mają dostęp do podglądu i nagrań.
- Zawrzyj umowę powierzenia z firmą ochroniarską i serwisem.
- Oceń ryzyko, a przy monitoringu na dużą skalę przeprowadź DPIA.
- Przygotuj procedurę wydawania kopii i zabezpieczania nagrań.
Jak pomaga Cyberenu
W Cyberenu monitoring wizyjny to osobna cecha jednostki. Po jej wybraniu katalog podsuwa kartę czynności monitoringu do rejestru czynności, którą dopasowujesz do swoich przepisów i okresów. Przy budynkach zapisujesz monitoring, alarm i firmę ochroniarską, a w rejestrze podmiotów przetwarzających - umowę powierzenia ze skanem i datą przeglądu.
Żądania osób, w tym o kopię nagrania, prowadzisz w rejestrze żądań z terminem odpowiedzi, a analiza ryzyka zawiera kryteria DPIA. Całość składa się na dokumentację RODO; w sprawie oferty napisz przez stronę kontaktową.
