Nowe wytyczne EROD dotyczące przetwarzania danych osobowych z wykorzystaniem urządzeń wideo

Wybrane wskazówki, precyzujące jak zapewnić zgodność ze wskazanymi w RODO zasadami, opisujemy poniżej.

Zasada ograniczenia celu

Przed wdrożeniem nadzoru wideo na danym obszarze konieczne jest określenie celu takiego przetwarzania – przy czym cel ten może być różny w zależności od monitorowanego obszaru. EROD wskazuje, że zdefiniowanie celu jako zapewnienie bezpieczeństwa (safety, for your safety) nie jest dostatecznie precyzyjne, a w konsekwencji prowadzi do braku wystarczającego poziomu transparentności.

Zasada zgodności z prawem

Jeżeli chodzi o podstawę prawną przetwarzania, w opinii EROD każda podstawa wymieniona w art. 6 ust. 1 RODO może znaleźć zastosowanie – przy czym najczęściej w praktyce właściwa będzie podstawa prawnie uzasadnionego interesu administratora oraz wykonywania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej. Z kolei zgoda podmiotu danych bardzo rzadko będzie właściwą podstawą przetwarzania danych w związku z korzystaniem z urządzeń wideo. EROD podkreśla, że samo wejście na oznaczony monitorowany obszar nie stanowi skutecznej zgody, chyba że administrator wykaże spełnienie wszystkich wymagań RODO dotyczących zgody.
 

Prawnie uzasadniony interes

W przypadku powołania prawnie uzasadnionego interesu administratora, EROD wskazuje na konieczność wykazania, że administrator ma rzeczywistą i realną potrzebę wdrożenia nadzoru wideo. Uzasadnieniem dla takiego przetwarzania może być m.in. występowanie w przeszłości kradzieży, czy innych naruszeń, a także prowadzenie na danym obszarze działalności, która jest podatna na określone zagrożenia (np. sklep jubilerski). Warto podkreślić, że w opinii EROD zapobieganie czysto hipotetycznym zagrożeniom, niemającym poparcia w dotychczasowych doświadczeniach, nie stanowi prawnie uzasadnionego interesu administratora, a tym samym uniemożliwia wdrożenie nadzoru wideo w oparciu o tę podstawę prawną przetwarzania.
 

Zasada minimalizacji

EROD zwraca również uwagę na konieczność zapewnienia zgodności z zasadą minimalizacji. Przykładowo, w przypadku chęci zastosowania nadzoru wideo w celu zapobiegania kradzieżom w biurze, konieczne jest przeanalizowanie, czy zastosowanie innych środków bezpieczeństwa – takich jak zatrudnienie pracowników ochrony, zainstalowanie zamków, czy zabezpieczenie okien - nie jest wystarczające. Dodatkowo może się okazać, że wystarczające będzie stosowanie monitoringu wideo wyłącznie w nocy lub poza regularnymi godzinami pracy biura, co znacząco obniży wpływ takiego środka bezpieczeństwa na prawo do prywatności podmiotów danych. Bardzo istotne jest również zapewnienie, że monitorowany obszar nie jest zbyt szeroki – tj. obejmuje miejsca, które nie są narażone na kradzieże lub powierzchnie publiczne.

Szczególne kategorie danych

Bardzo częstym problemem, z jakim zmagają się administratorzy, jest określenie, czy wdrażając nadzór wideo - będzie dochodziło do przetwarzania szczególnych kategorii danych. EROD wprost wskazuje, że nagrania wideo przedstawiające osobę noszącą okulary lub korzystającą z wózka inwalidzkiego, same w sobie nie są uważane za szczególne kategorie danych osobowych. Jeżeli jednak materiał wideo jest przetwarzany w celu ustalenia specjalnych kategorii danych, zastosowanie znajdzie art. 9 RODO, wskazujący wyjątki, w jakich przetwarzanie takich danych jest dopuszczalne. Dodatkowo EROD precyzuje, że nagranie wideo przedstawiające określoną osobę nie stanowi samo w sobie danych biometrycznych, o ile administrator nie używa specjalnych technik umożliwiających pozyskanie danych biometrycznych. Wydaje się, że wskazówki te można również analogicznie zastosować do zdjęć.
 

Prawa podmiotów danych.

Wytyczne EROD przedstawiają kilka wskazówek dotyczących realizacji prawa dostępu, prawa do usunięcia danych oraz prawa sprzeciwu wobec przetwarzania danych osobowych. W przypadku prawa dostępu do danych zebranych w związku z monitoringiem, EROD zwraca uwagę na konieczność zapewnienia ochrony praw i wolności innych osób, które znajdują się na nagraniu. Niemniej jednak ochrona tych praw nie powinna być wykorzystywana jako pretekst do niewykonania prawa dostępu do danych. Administrator powinien zatem wdrożyć rozwiązania umożliwiające realizację prawa dostępu (np. maskowanie innych osób widocznych na nagraniu). Administratorzy powinni również przewidzieć stosowne techniczne rozwiązania umożliwiające realizację prawa do usunięcia danych, w przypadku gdy nie ma możliwości usunięcia całego nagrania (np. rozmycie obrazu przedstawiającego konkretną osobę).

Obowiązek informacyjny

W swoich wytycznych EROD przedstawia również wskazówki, dotyczące obowiązku informacyjnego w związku ze stosowaniem wideo-monitoringu. Ze względu na specyfikę takiego pozyskiwania danych osobowych, klauzula informacyjna powinna być „dwuwarstwowa”. Najważniejsze informacje dotyczące przetwarzania danych w związku z monitoringiem powinny być przekazane w formie znaku, zamieszczonego w miejscu widocznym przed wejściem na teren monitorowany. Taki znak powinien również zawierać informacje dotyczące sposobu, w jaki można zapoznać się z pełną klauzulą informacyjną – przy czym taka klauzula powinna być dostępna zarówno w formie cyfrowej, jak i tradycyjnej papierowej.

Wytyczne EROD mogą z jednej strony przyczynić się do rozwiania szeregu wątpliwości praktycznych związanych ze stosowaniem monitoringu wizyjnego i interpretacji właściwych wymogów RODO. Z drugiej strony, administratorzy stosujący monitoring powinni dokonać przeglądu procesów wspieranych przez to rozwiązanie w celu upewnienia się, że podejmowane dotąd działania nie pozostają w sprzeczności z wytycznymi.
 

- mówi Julia Rojewska, Senior Associate, Aplikantka adwokacka w Deloitte Legal

Autor:

Agata Jankowska-Galińska, Radca prawny