RODO: monitoring wizyjny do kontroli

24 stycznia 2019 roku Prezes Urzędu Ochrony Danych Osobowych opublikował „Roczny plan kontroli sektorowych na 2019 rok”. Weryfikacja prawidłowości przetwarzania danych osobowych prowadzona przez UODO obejmie m.in. przetwarzanie danych osobowych pracowników za pomocą monitoringu wizyjnego.

Monitoring wizyjny w zakładzie pracy

Przetwarzanie danych osobowych pracowników poprzez stosowanie monitoringu wizyjnego na terenie zakładu pracy uregulowane zostało szczegółowo w art. 22² Kodeksu pracy. Kodeks pracy dopuszcza stosowanie monitoringu przez pracodawcę jedynie w sytuacji, gdy jest to niezbędne do zapewnienia bezpieczeństwa pracowników, ochrony mienia, kontroli produkcji lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę. Oznacza to, że monitoring wizyjny nie może być wykorzystywany do innych celów niż wskazane w kodeksie pracy - jak np. oceny pracowników. Jest to jedno z podstawowych wymagań względem monitoringu i pracodawca powinien upewnić się, że wykorzystywanie zapisu z zainstalowanych kamer jest ograniczone do celów wskazanych w ustawie (przykładowo nie jest stosowane jako uzasadnienie decyzji o awansie, premii lub ich braku). Pracodawcy powinni także pamiętać, że stosowanie przez nich monitoringu wizyjnego powinno być niezbędne dla wymienionych celów.

W związku z tym monitoring powinien być stosowany wyłącznie gdy osiągnięcie każdego z założonych celów w inny, mniej inwazyjny sposób byłoby nieefektywne lub niemożliwe. Dotyczy to także zakresu zbieranych danych (wynikającego np. z rozdzielczości nagrań, ilości kamer itd.), który nie powinien wykraczać poza to co jest konieczne.

Informacja o monitoringu

Pracodawca zobowiązany jest zrealizować obowiązek informacyjny względem osób monitorowanych. W tym celu, powinien udostępnić w miejscu monitorowanym pełną informację o stosowanym monitoringu, obejmującą wszelkie elementy wymagane art. 13 RODO. Przed uruchomieniem monitoringu wizyjnego, pracodawca powinien oznaczyć pomieszczenia i teren monitorowany za pomocą odpowiednich znaków lub ogłoszeń dźwiękowych. Należy pamiętać, że monitoring, co do zasady, nie powinien obejmować pomieszczeń sanitarnych, szatni, stołówek, palarni oraz pomieszczeń udostępnianych zakładowej organizacji związkowej. Ponadto, pracodawca ma obowiązek poinformować pracowników o wprowadzeniu monitoringu, w sposób przyjęty u danego pracodawcy, nie później niż 2 tygodnie przed jego uruchomieniem. Każdorazowo, przy zatrudnieniu nowego pracownika, pracodawca zobowiązany jest przekazać mu informacje o celach, zakresie oraz sposobie zastosowania monitoringu na piśmie. Co więcej, cele, zakres oraz sposób zastosowania monitoringu powinny zostać ustalone w układzie zbiorowym pracy, regulaminie pracy lub obwieszczeniu.

Pracodawcy powinni zatem upewnić się, że posiadana przez nich dokumentacja jest kompletna oraz została przyjęta w odpowiedni sposób, a także, że wszystkie osoby, które mogą być uchwycone na zapisie z monitoringu otrzymują pełną informację na ten temat.

Okres przechowywania

Okres przechowywania danych z monitoringu wizyjnego został określony w Kodeksie pracy i wynosi 3 miesiące od dnia nagrania. Po tym czasie nagrania z monitoringu powinny ulec zniszczeniu. Wyjątkiem od powyższego jest sytuacja, gdy nagrania stanowią dowód w postępowaniu prowadzonym na podstawie przepisów prawa. Wtedy 3-miesięczny termin ulega przedłużeniu do czasu prawomocnego zakończenia tego postępowania.

Ocena skutków dla ochrony danych

W przypadku, gdy przetwarzanie danych osobowych za pomocą monitoringu wizyjnego może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, konieczne jest przeprowadzenie oceny skutków dla ochrony danych. Taka sytuacja będzie miała miejsce m.in. w przypadku systematycznego monitorowania na dużą skalę miejsc dostępnych publicznie. Zgodnie z wykazem operacji przetwarzania wymagających przeprowadzenia oceny skutków sporządzonego przez PUODO, nie obejmuje to jednak systemów monitoringu wizyjnego, w których obraz jest nagrywany i wykorzystywany tylko w przypadku potrzeby analizy incydentów naruszenia prawa. Wyłączenie to jest jednak problematyczne, ponieważ jednocześnie zarówno opublikowany przez PUODO wykaz, jak i wytyczne Europejskiej Rady Ochrony Danych potwierdzają, że w przypadkach systematycznego monitorowania zachowań pracowników uprzednia ocena skutków dla ochrony danych powinna zostać przeprowadzona.

Z większą dozą pewności można wskazać, że ocena skutków będzie wymagana, jeżeli stosowany przez pracodawcę monitoring umożliwia automatyczną analizę obrazu pozwalającą na jednoznaczną identyfikację osób monitorowanych. Zastosowanie specjalnych metod technicznych umożliwiających identyfikację sprawi, że przetwarzany wizerunek będzie objęty definicją danych biometrycznych, które stanowią jedną ze szczególnych kategorii danych osobowych i wymagają wypełnienia dodatkowych obowiązków związanych z ich przetwarzaniem.

Kary administracyjne

Za nieprzestrzeganie przepisów rozporządzenia grożą wysokie kary administracyjne. W sytuacji, gdy kontrola wykaże nieprawidłowości w przetwarzaniu danych osobowych, Prezes Urzędu Ochrony Danych może nałożyć karę nawet do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego.