Source: https://82.pre.zzz-temp.e-firma.pl/artykul/ewidencjonowanie-wejsc-i-wyjsc-a-obowiazek-informacyjny
Timestamp: 2020-01-20 08:51:19+00:00
Document Index: 7608074

Matched Legal Cases: ['art. 6', 'art. 6', 'art. 1', 'art. 6', 'art. 46', 'art. 6', 'art. 24']

Ewidencjonowanie wejść i wyjść a obowiązek informacyjny -
Koleją ważną kwestią dotyczącą spełnienia obowiązku informacyjnego w związku z prowadzaną ewidencją wejść i wyjść, na którą zwraca uwagę Urząd Ochrony Danych Osobowych, jest kwestia wskazania w klauzuli informacyjnej podstawy prawnej jej prowadzenia. Ewidencja wejść i wyjść prowadzona w celu zapewnienia bezpieczeństwa osób znajdujących się w budynku lub ochrony znajdującego się w nim mienia może opierać się na różnych podstawach prawnych. W takim przypadku prowadzenie ewidencji wejść i wyjść będzie opierało się na przesłance prawnej uzasadnionego interesu administratora (art. 6 ust. 1 lit. f RODO).
Jak wskazuje Urząd Ochrony Danych Osobowych w powołanym wyżej komunikacie[1], przedmiotowa ewidencja może być prowadzona w celu wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (art. 6 ust. 1 lit. e RODO). Jako przykład takiego działania Urząd podaje ogólny obowiązek zapewnienia bezpieczeństwa w szkole (art. 1 pkt 14 ustawy Prawo oświatowe). Inną podstawą prawną uzasadniającą prowadzenie takiej ewidencji może być art. 6 ust. 1 lit. c RODO, który dopuszcza przetwarzanie danych, jeśli jest ono niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Jako przykład Urząd podał obowiązek wynikający z przepisów ustawy o ochronie informacji niejawnych w zakresie kontroli wejść i wyjść do/z określonych stref ochronnych (art. 46 pkt 1 ustawy o ochronie informacji niejawnych).
Przygotowując klauzulę informacyjną dotyczącą ewidencji wejść i wyjść, należy dokładnie określić podstawę prawną, na której administrator danych zamierza oprzeć ten rodzaj przetwarzania danych osobowych.
Jest to o tyle istotne, że wybrana podstawa prawna będzie determinowała dalsze zapisy w klauzuli informacyjnej, gdyż administrator danych, opierając się na podstawie prawnej prowadzenia przedmiotowej ewidencji, będzie mógł ustalić np. okres przechowywania tych danych osobowych.
Jeżeli bowiem administrator danych opiera prowadzenie ewidencji wejść i wyjść na przepisach konkretnej ustawy, to w jej zapisach sprawdza, czy nie ma szczegółowych przepisów, które np. określałby czas przechowywania tego rodzaju danych osobowych.
Natomiast jeśli administrator danych opiera prowadzenie ewidencji wejść i wyjść na prawnie uzasadnionym interesie, czyli art. 6 ust. 1 lit. f RODO, administrator powinien przechowywać dane przez okres nie dłuższy niż jest to niezbędne do celów, w których dane te są przetwarzane, a zatem szczegółowy okres ich przechowywania musi zostać określony przez administratora danych.
Urząd Ochrony Danych Osobowych w powołanym komunikacie[2] zwraca też uwagę na fakt, że administrator danych powinien także szczegółowo ustalić procedury dotyczące weryfikacji tożsamości osób, które będą wchodzić do budynku lub innej wyznaczonej strefy. Urząd zauważył również, że zgodnie z zasadą minimalizacji danych admi­nistrator danych powinien przetwarzać dane osobowe w zakresie adekwatnym, stosownym i ograniczonym do tego, co niezbędne do realizacji celów, w których dane zostały mu przekazane. Urząd wprost wskazuje, że w przypadku prowadzenia ewidencji wejść i wyjść przez zarządców czy właścicieli budynków zakres przetwarzanych przez nich danych powinien obejmować: imię, nazwisko oraz numer dokumentu tożsamości wraz z jego nazwą.
Ponadto Urząd podkreśla także, że administrator danych prowadzący ewidencję wejść i wyjść jest zobowiązany do zabezpieczenia zawartych w niej danych osobowych zgodnie z zasadami wskazami w art. 24 i 32 RODO. Oznacza to, że administrator wdraża odpowiednie środki techniczne i organizacyjne, uwzględniając stan wiedzy technicz­nej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze, tak aby zapewnić stopień bezpieczeństwa odpowiadający ustalonemu w przeprowadzonej analizie ryzyku.
Wprowadzając ewidencję wejść i wyjść, administrator danych powinien zadbać przede wszystkim o spełnienie obowiązku informacyjnego wobec osób, od których będzie zbierał dane osobowe.
Konieczne jest ustalenie wszystkich informacji, które będą ujęte w przedmiotowej klauzuli, w tym zakres gromadzonych danych, sposób ich pozyskiwania oraz okres ich przechowywania.
Dodatkowo administrator danych powinien wdrożyć odpowiednie procedury w zakresie sposobu przekazywania klauzuli informacyjnej, weryfikacji tożsamości osób wpisywanych do tej ewidencji, jak również środków wdrożonych w celu zabezpieczenia danych osobowych zawartych w przedmiotowej ewidencji.
[1] //uodo.gov.pl/pl/138/883
[2] //uodo.gov.pl/pl/138/883