Czy monitoring wizyjny w pracy jest dozwolony przez RODO?

Gdy celem wideofilmowania jest między innymi zapewnienie kontroli nad obserwowanym obiektem, w tym nadzoru nad zachodzącymi tam zdarzeniami, czynności takie nazywamy  monitoringiem (wizyjnym) lub audiomonitoringiem – jeśli rejestrowany jest nie tylko obraz, lecz także dźwięki. Czy taki monitoring wizyjny podlega pod przepisy RODO, czy zapis z kamer zawiera dane osobowe? 

Czy zapis z monitoringu zawiera dane osobowe?

W zależności od celu i okoliczności wideofilmowania obraz rejestrowany przez kamery może być przekazywany do „centrum obserwacyjnego”, gdzie jest:

• tylko oglądany,

• oglądany i zapisywany na elektronicznych nośnikach informacji (np. płyty CD),

• tylko  zapisywany.

Dane osobowe to wszelkie dane, za których pomocą można rozpoznać konkretną osobę. Czasem do zidentyfikowania wystarczy jedna dana, a czasami aby móc taką osobę określić, potrzeba paru informacji. Dane osobowe mogą mieć zarówno formę słowną, jak i graficzną, np. obraz.

Monitoring, co do zasady, nie ma na celu śledzenia danej osoby, ale nadzorowanie obszaru, aby zapewnić bezpieczeństwo osób czy obiektu. Jednak zdarza się, że na nagraniu zostanie uwidoczniona osoba, jej wizerunek.

Grupa Robocza 29, czyli zespół ekspertów powołanych do wyjaśniania przepisów o ochronie danych osobowych stanowi, że zapis z monitoringu zawiera dane osobowe. Tą daną osobową jest właśnie wizerunek osoby na nagraniu.

Podstawą prawną przetwarzanych danych osobowych pochodzących z monitoringu może być prawnie usprawiedliwiony cel. Prawnie usprawiedliwionym celem jest np. bezpieczeństwo obiektu, mienia, osób czy ochrona tajemnicy prawnie chronionej.

Prawa osób monitorowanych i obowiązki monitorujących

Osobom monitorowanym przysługują takie same prawa jak osobom, których dane są przetwarzane. Natomiast podmioty monitorujące mają takie same obowiązki jak podmioty przetwarzające dane. Prawa jednej strony są zarazem obowiązkiem drugiej. Stąd też do praw (monitorowanych) i  obowiązków (monitorujących) należy zaliczyć przede wszystkim:

• świadomość bycia monitorowanym – poprzez informacje, że na danym obszarze znajduje się monitoring. W celu poinformowania o nagrywaniu wystarczy sam napis „obiekt monitorowany”. Zalecane jest także, aby obok napisu dodać obrazek kamery. Natomiast pozostałe informacje, czyli jaki jest cel monitoringu oraz kto jest przetwarzającym dane, można umieścić w innym powszechnie dostępnym miejscu, np. informacja na recepcji.

• zgodę na objęcie monitoringiem – za zgodę rozumie się wejście do obiektu po przeczytaniu informacji, że obiekt jest monitorowany.

Wskazuje się, aby monitoring był stosowany tylko wtedy, gdy cel, dla którego został utworzony, nie był możliwy do osiągnięcia w inny sposób, np. gdy dla zapewnienia bezpieczeństwa obiektu nie będą wystarczające drzwi antywłamaniowe.

Monitoring wizyjny oraz poczty elektronicznej w pracy

Kwestie monitoringu (wizyjnego) w pracy regulują artykuły 22² oraz 22³ Kodeksu pracy. Regulacje te pozwalają przedsiębiorcy wprowadzić monitoring, jeśli zachodzi uzasadniony prawnie interes przedsiębiorstwa, czyli jest to np. niezbędne dla zapewnienia bezpieczeństwa:

• pracowników,

• mienia,

• kontroli produkcji,

• zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę.

Monitoringu natomiast nie można stosować w tzw. miejscach ochrony intymności, prywatności – czyli w toaletach, szatniach, palarniach, przebieralniach, stołówkach.

Pracodawca może wykorzystywać nagrania wyłącznie do celów, w jakich zostały zebrane. Taśmy nie mogą być przechowywane dłużej niż 3 miesiące od dnia nagrania. Po tym czasie nagrania należy zniszczyć.

W związku ze stosowanym monitoringiem, przedsiębiorca powinien stworzyć procedurę, w której zawrze przede wszystkim:

• cel, np. bezpieczeństwo pracowników, pełne wykorzystanie czasu pracy,

• zakres objęty monitoringiem, np. pomieszczenia nadzorowane (niekoniecznie miejsca instalacji kamer),

• sposób zastosowania monitoringu, np. kamera, monitor z kamerą,

• jak długo nagrania są gromadzone, kiedy taśmy są usuwane.

Taką procedurę (informację) należy zawrzeć w regulaminie, w układzie zbiorowym pracy lub w obwieszczeniu – dostępnym dla każdego pracownika.

Powyższe informacje należy przekazać nowemu pracownikowi przed dopuszczeniem go do pracy.

O wprowadzeniu monitoringu pracodawca powinien poinformować pracowników – w sposób przyjęty u danego pracodawcy – nie później niż 2 tygodnie przed jego uruchomieniem.

W przypadku wprowadzenia monitoringu, pracodawca oznacza pomieszczenia i teren monitorowany w sposób widoczny i czytelny, za pomocą odpowiednich znaków lub ogłoszeń dźwiękowych, nie później niż jeden dzień przed jego uruchomieniem.

Wskazówki Grupy Roboczej 29 dotyczące monitoringu

Grupa robocza 29 to zespół ekspertów powołanych do wyjaśniania oraz doradzania w zakresie ochrony danych osobowych. Grupa ta składa się z przedstawicieli państw członkowskich – znawców w dziedzinie ochrony danych osobowych.

Jedną z opinii, które wydała Grupa Robocza 29 jest ta w sprawie przetwarzania danych osobowych przy nadzorze z użyciem kamer video.

Zalecenia Grupy Roboczej 29:

1. Jakość danych – obrazy muszą  być przetwarzane rzetelnie i legalnie – tylko dla określonych i legalnych celów. Nie mogą być dalej przetwarzane w sposób niezgodny z celem, dla którego zostały zgromadzone, muszą być przechowywane przez określony okres itd.

2. Kryterium legalności przetwarzania danych – przetwarzanie danych z zapisów monitoringu jest dozwolone na podstawie jednej z przesłanek legalności przetwarzania danych:

1. zgoda osoby, której dane są lub mogą być przetwarzane,

2. przetwarzanie jest niezbędne dla celów realizacji umowy,

3. przetwarzanie jest niezbędne do wykonania obowiązku prawnego nałożonego na monitorującego,

4. przetwarzanie jest niezbędne do ochrony żywotnych (ważnych, doniosłych, np. ochrona przed epidemią) interesów osoby,

5. przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów monitorującego, np. zapewnienie bezpieczeństwa obiektowi, klientom.

3. Informowanie osób, których dane są lub mogą być przetwarzane na podstawie monitoringu.

4. Prawa osób, których dane dotyczą, zwłaszcza prawo dostępu i prawo sprzeciwu z ważnych i legalnych powodów.

5. Zastosowanie odpowiednich środków zabezpieczających mających zastosowanie w przypadku decyzji zautomatyzowanych

6. Zapewnienie bezpieczeństwa przetwarzanych danych.