Codzienna obecność kamer na ulicach, w sklepach czy galeriach handlowych sprawia, że ochrona wizerunku staje się coraz częściej poruszanym tematem. Rosnąca popularność prywatnych systemów monitoringu wizyjnego wymusza na przedsiębiorcach i właścicielach posesji konieczność pogodzenia dbałości o bezpieczeństwo z konstytucyjnym prawem do prywatności, co wymaga zrozumienia przepisów o ochronie danych osobowych.
Ochrona wizerunku jako danej osobowej i elementu tożsamości
Zacznijmy od ustalenia, czy wizerunek osoby fizycznej uchwycony na nagraniu wideo z kamery monitoringu stanowi daną osobową. W świetle art. 4 pkt 1 RODO daną osobową jest każda informacja o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Wizerunek – rozumiany jako utrwalony obraz osoby, w szczególności twarz lub inne cechy charakterystyczne – jeżeli umożliwia identyfikację, choćby pośrednią, niewątpliwie spełnia to kryterium.
Powyższe potwierdza zresztą najnowsze orzecznictwo sądów administracyjnych, w tym wyrok NSA z 6 lutego 2026 roku (sygn. akt: III OSK 2014/24), w którym sąd stwierdził, że wizerunek – także utrwalony w systemach monitoringu – należy zakwalifikować jako element tożsamości człowieka, podlegający pełnej ochronie wynikającej z przepisów o danych osobowych.
Ponadto NSA we wspomnianym orzeczeniu podkreślił, że znaczenie wizerunku wykracza poza jego funkcję identyfikacyjną. Jest on bowiem postrzegany jako:
element fizycznej i społecznej tożsamości jednostki;
nośnik informacji o jej obecności, zachowaniu i aktywności;
składnik sfery prywatności i autonomii osobistej.
Takie zdefiniowanie tego pojęcia prowadzi do wniosku, że przetwarzanie wizerunku – zwłaszcza w sposób ciągły i niezauważalny dla jego właściciela – stanowi ingerencję w jego prawo do decydowania o własnym życiu prywatnym.
Monitoring wizyjny a ochrona wizerunku przy przetwarzaniu danych
Nie ma żadnych wątpliwości w tym, że rejestracja obrazu za pomocą kamer monitoringu stanowi przetwarzanie danych osobowych w rozumieniu RODO. Obejmuje bowiem takie operacje jak:
utrwalanie obrazu, a więc zbieranie danych;
przechowywanie nagrań (danych);
ich odtwarzanie;
analiza danych;
ewentualne udostępnianie nagrań (danych) innym podmiotom.
Każda z tych czynności jest poczytywana jako przetwarzanie danych (również danych osobowych) i wymaga istnienia odpowiedniej podstawy prawnej oraz działania zgodnie z zasadami określonymi w RODO, w szczególności z zasadami legalności, minimalizacji i proporcjonalności.
Warto w tym miejscu wspomnieć o wyjątku od powyższej zasady, czyli o tzw. monitoringu domowym. Zasadniczo nie podlega on przepisom RODO, o ile spełnione zostają określone warunki:
przetwarzanie danych odbywa się wyłącznie w ramach działalności osobistej lub domowej osoby fizycznej;
rejestracja obejmuje wyłącznie prywatną posesję, tj. kamera obejmuje wnętrze domu lub mieszkania, ogród czy podjazd i nie wykracza swoim zasięgiem poza teren działki;
monitoring służy wyłącznie celom bezpieczeństwa domowników lub ochrony własnego mienia, a nagrania nie są upubliczniane ani przekazywane osobom trzecim;
kamery nie nagrywają chodnika, ulicy, drogi dojazdowej będącej własnością gminy czy działki sąsiada.
Ochrona wizerunku z nagrań a podstawa przetwarzania danych osobowych
Administrator danych może przetwarzać dane osobowe wyłącznie na podstawie jednej z przesłanek wskazanych w art. 6 ust. 1 RODO. W praktyce najczęściej powoływaną podstawą przy monitorowaniu wizyjnym jest tzw. prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO).
Zastosowanie art. 6 ust. 1 lit. f RODO jest możliwe wyłącznie przy łącznym spełnieniu trzech warunków:
przetwarzanie jest niezbędne do realizacji konkretnego celu;
cel ten wynika z prawnie uzasadnionego interesu administratora;
interes administratora jest nadrzędny wobec praw i wolności osoby, której dane dotyczą.
Kluczowe znaczenie ma przesłanka niezbędności, rozumiana rygorystycznie – jako brak możliwości osiągnięcia celu w inny, mniej ingerujący sposób. Naczelny Sąd Administracyjny we wspomnianym już wyroku (sygn. akt: III OSK 2014/24) przyjął, że poprzez cel, dla którego osiągnięcia przetwarzanie danych osobowych jest niezbędne, należy rozumieć stan rzeczy, układ rzeczywistości, do którego dąży administrator poprzez przetwarzanie danych osobowych. „Niezbędność” przetwarzania danych osobowych do osiągnięcia obranego przez administratora celu sprowadza się do ustalenia, że bez tego przetwarzania nie da się go zrealizować. Chodzi więc o wykazanie logicznie uzasadnionego i weryfikowalnego związku przyczynowo-skutkowego pomiędzy przetwarzaniem danych osobowych a realizacją stanu rzeczy, do którego dąży administrator. Związek ten musi wskazywać na niezbędność przetwarzania danych osobowych. Na gruncie semantyki języka polskiego „niezbędne” jest to, bez czego nie możemy się obejść. Wyrażenie to należy odróżnić od innego, dość zbliżonego w pierwszych intuicjach semantycznych, wyrażenia, jakim jest słowo „konieczne”, czyli to, czego nie możemy uniknąć, choćbyśmy tego nie potrzebowali i nie chcieli. Ustalenie „niezbędności” przetwarzania danych osobowych dla celów administratora musi opierać się na przesłankach konkretnych, uwzględniających możliwie najszersze spektrum uwarunkowań jego realizacji. Przetwarzanie danych osobowych na podstawie art. 6 ust. 1 lit. f RODO wymaga od administratora wykazania, że jest to „niezbędne”, a zatem i „konieczne” z uwagi na charakter celu, okoliczności faktyczne i prawne jego realizacji oraz relacje podmiotowe pomiędzy administratorem a osobą, której te dane dotyczą.
Kolejnym warunkiem przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO jest ustalenie, że cel, dla którego osiągnięcia przetwarzanie to jest niezbędne, „wynika z prawnie uzasadnionych interesów realizowanych przez administratora (lub przez stronę trzecią)”. Desygnatami „prawnie uzasadnionych interesów administratora” nie są wyłącznie te interesy, które ściśle wiążą się z realizacją praw i obowiązków wynikających z przepisów prawa, a zatem interesy prawne sensu stricto. Takie wąskie rozumienie tego pojęcia prowadziłoby bowiem do częściowego zdublowania przesłanki przetwarzania danych osobowych z art. 6 ust. 1 lit. f z przesłanką określoną w art. 6 ust. 1 lit. c RODO. Art. 6 ust. 1 lit. c RODO legitymizuje przetwarzanie danych osobowych, jeżeli „jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze”. Prawnie uzasadniony interes administratora należy więc rozumieć jako interes prawnie dopuszczony, niesprzeczny z porządkiem prawnym, czyli interes mieszczący się w ramach porządku prawnego.
Ponadto NSA zauważył, że w motywie 47 preambuły RODO prawodawca unijny stwierdził, że taki prawnie uzasadniony interes może istnieć np. w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem – np., gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki, by spodziewać się, że może nastąpić przetwarzanie danych w tym celu.
Test równowagi – sprawdzenie interesu administratora
Jeżeli przetwarzanie danych osobowych poprzez dokonywanie nagrań monitoringu jest niezbędne do realizacji konkretnego celu, a cel ten wynika z prawnie uzasadnionego interesu administratora, trzeba jeszcze ustalić, czy ten interes ma charakter nadrzędny wobec praw i wolności osoby, której dane dotyczą. Aby to sprawdzić, należy przeprowadzić tzw. test równowagi.
Test równowagi w rozumieniu RODO to mechanizm ważenia dwóch wartości – celu administratora oraz prawa jednostki do prywatności i ochrony danych. Przeprowadzenie takiego testu nie ma charakteru fakultatywnego – stanowi obowiązek każdego administratora, który zamierza oprzeć przetwarzanie na przesłance prawnie uzasadnionego interesu. Brak tej analizy oznacza naruszenie zasady rozliczalności i może prowadzić do uznania całego procesu przetwarzania danych za niezgodny z prawem. Co więcej, test powinien zostać wykonany jeszcze przed rozpoczęciem przetwarzania, a nie dopiero w jego trakcie – późniejsza analiza nie jest w stanie „zalegalizować” wcześniejszych bezprawnych działań.
Test równowagi sprowadza się do odpowiedzi na trzy zasadnicze pytania:
Czy istnieje rzeczywisty i prawnie uzasadniony interes administratora?
Czy przetwarzanie danych jest niezbędne do realizacji tego interesu?
Czy prawa i wolności osoby, której dane dotyczą, nie przeważają nad interesem administratora?
Jedynie odpowiedzi twierdzące na wszystkie trzy pytania pozwalają na uznanie przetwarzania za zgodne z prawem. Warto przy tym podkreślić, że im większa ingerencja w prywatność (np. poprzez monitoring wizyjny), tym bardziej rygorystycznie należy oceniać wynik testu.
Więcej na temat testu równowagi RODO można przeczytać w artykule: Test równowagi RODO – czym jest i kto powinien go przeprowadzać?
Ochrona wizerunku osoby fizycznej a zasada proporcjonalności
Ochrona wizerunku osoby fizycznej wymaga od administratora, aby bezwzględnie przestrzegał on zasady proporcjonalności w procesie przetwarzania danych osobowych. Zasada proporcjonalności wymaga, aby środek ingerencji był adekwatny do celu, był najmniej dolegliwy spośród dostępnych, a korzyści z jego zastosowania przewyższały negatywne skutki dla jednostki.
W odniesieniu do monitoringu oznacza to konieczność ograniczenia:
zakresu przestrzennego, czyli obszaru objętego kamerami;
zakresu czasowego, tj. czasu przechowywania nagrań;
funkcjonalności systemu, np. brak funkcji rozpoznawania twarzy, jeśli nie jest to konieczne.
Przykład 1.
Wspólnota mieszkaniowa instaluje całodobowy monitoring wizyjny na każdej klatce schodowej i w piwnicach w celu przeciwdziałania drobnym aktom wandalizmu. Do tej pory nie stosowano żadnych innych form zabezpieczeń. Czy wspólnota może przetwarzać wizerunek mieszkańców, powołując się na prawnie uzasadniony interes? Nie. Administrator nie wykazał przesłanki niezbędności. Cel (bezpieczeństwo) można osiągnąć środkami mniej inwazyjnymi dla prywatności – montażem domofonów, wzmocnieniem zamków lub poprawą oświetlenia. Wykorzystanie monitoringu jako „rozwiązania pierwszego wyboru” narusza zasadę proporcjonalności, czyniąc przetwarzanie wizerunku niezgodnym z prawem.
Co zamiast monitoringu?
Jeżeli administrator uzna, że jego interes nie stoi ponad prawami osób fizycznych, których dobra mogłyby zostać naruszone wskutek instalacji kamer monitoringu, powinien rozważyć inne, alternatywne środki ochrony. Współczesna technologia daje szeroki wybór rozwiązań chroniących dobra materialne na równo z monitoringiem. Należą do nich m.in.:
systemy kontroli dostępu;
zabezpieczenia fizyczne – ogrodzenia, zamki, domofony itd.;
systemy alarmowe;
monitoring bez rejestracji obrazu (np. czujniki ruchu).
Konieczność rozważenia powyższych alternatywnych środków ochrony wynika bezpośrednio z zasady minimalizacji danych oraz przesłanki niezbędności przetwarzania danych osobowych.
