Source: https://bezpieczniwbiznesie.pl/rodo-a-monitoring-wizyjny/
Timestamp: 2020-02-25 05:39:37
Legal References Found: art. 6
 art. 22
 art. 22
 art. 13
 art. 22
 art. 13
 art. 13

Document Content:
RODO, a monitoring wizyjny. | Bezpieczni w biznesie
RODO, a monitoring wizyjny.
utworzone przez Sylwia Templin-Świtała | Lut 10, 2020 | bezpieczeństwo online, IOD, IT, Ochrona danych osobowych, Prawa RODO, RODO
Decydując się na instalację monitoringu wizyjnego lub chcąc utrzymać aktualnie zainstalowany nadzór kamer, trzeba mieć na uwadze wypełnienie kilku podstawowych obowiązków, które nakładają na administratora danych przepisy Ogólnego rozporządzenia o ochronie danych (RODO), a względem pracodawców także przepisy Kodeksu Pracy.
Monitoring wizyjny może być instalowany wyłącznie w celu zapewnienia bezpieczeństwa osób i mienia.
W tym artykule odpowiadam na najczęściej pojawiające się pytania w związku z monitoringiem wizyjnym:
kiedy można zainstalować nadzór kamer?
kto jest administratorem danych monitoringu?
czy potrzebna jest zgoda klienta lub pracownika na monitoring?
jak długo przechowywać nagrania?
kiedy informować o zainstalowanym nadzorze kamer?
na jakie cele można wykorzystać nagrania z monitoringu wizyjnego?
Monitoring wizyjny może być instalowany wyłącznie w celu zapewnienia bezpieczeństwa osób i mienia, w tym dochodzenia praw i roszczeń z tym związanych. Nadzór kamer powinien być instalowany dopiero w sytuacji, gdy inne sposoby osiągnięcia tego celu są bezskuteczne. Ma to zapobiegać nadmiarowości zbierania danych w sytuacji, gdy ten sam cel można osiągnąć innymi środkami, np. ochroną fizyczną, która będzie czuwać 24 godziny na dobę. W praktyce, najczęściej wybieranym rozwiązaniem jest jednak monitoring, gdyż dzięki niemu można objąć nadzorem duży obszar, a koszt jego instalacji jest obecnie w zasięgu ręki wielu przedsiębiorców.
Administratorem danych osobowych w przypadku monitoringu będzie jego właściciel – podmiot lub osoba, która zdecydowała o jego zainstalowaniu, celach przetwarzania, jak i sposobach w jaki to się będzie odbywać. Najczęściej administratorem danych jest właściciel budynku lub najemca konkretnych pomieszczeń, np. magazynu, sali sprzedaży, etc.
Czy potrzebna jest zgoda na monitoring?
Przetwarzanie danych z monitoringu na cele bezpieczeństwa dotyczy zarówno klientów, pracowników, jak i osób trzecich, które wchodzą na teren objęty nadzorem kamer.
To bezpieczeństwo jest celem nadrzędnym, a przetwarzanie danych nie narusza praw i wolności osób, których dane dotyczą. Oznacza to, że przetwarzanie danych z monitoringu odbywa się na podstawie art. 6 ust. 1 lit. f) RODO. Ta podstawa prawna oznacza, że przetwarzanie danych w tym celu jest usprawiedliwione. W związku z tym zgody na przetwarzanie danych monitoringu nie pobiera się. Dotyczy to zarówno klienta, jak i pracowników objętych monitoringiem wizyjnym.
W przypadku pracowników nagrania z monitoringu mogą być przechowywane przez okres do 3 miesięcy.
W przypadku pracowników nagrania z monitoringu mogą być przechowywane przez okres do 3 miesięcy, od dnia nagrania, co wynika bezpośrednio z art. 22’2 paragraf 3 Kodeksu Pracy. Pracodawca może ten okres skrócić, ale nie może go samodzielnie wydłużać. Oczywiście okres przetwarzania nagrania zawsze ulegnie wydłużeniu automatycznie jeśli będzie ono stanowiło dowód w sprawie prowadzonej przez organa ścigania. Dłuższy termin przechowywania jest możliwy wtedy wyłącznie w stosunku do konkretnego nagrania, które ma służyć celom dowodowym, np. w prowadzonym postępowaniu przed sądem, etc.
Natomiast w przypadku klientów i innych osób, które mogą się znajdować w obszarze monitorowanym, to administrator danych powinien samodzielnie wskazać okres, który jest niezbędny do zrealizowania celu tego monitorowania. A celem tym jest oczywiście zapewnienie bezpieczeństwa osób i mienia, w związku z czym rozsądnym wydaje się wskazanie okresu przechowywania od 2 tygodni do maksymalnie 3 miesięcy.
Klient lub inna osoba, która wchodzi na teren objęty monitoringiem wizyjnym powinna zostać poinformowana o tym fakcie jeszcze przed wejściem w zasięg kamer.
Natomiast pracownik powinien zostać poinformowany o monitoringu na piśmie, najpóźniej w pierwszym dniu pracy. A w przypadku planowanego dopiero monitoringu pracodawca, zgodnie z art. 22’2 paragraf 7 Kodeksu Pracy, jest zobowiązany informować pracowników na 2 tygodnie przed jego uruchomieniem.
Jak informować o zainstalowanym nadzorze kamer?
Należy pamiętać o umieszczeniu piktogramu (znaczek „kamerki”) w miejscu widocznym dla klienta, np. przy wejściu w obszar przetwarzania (wejście na teren budynku, ewentualnie pomieszczenia). Teren objęty monitoringiem powinien zostać odpowiednio oznaczony, aby nie było wątpliwości dotyczących zasięgu kamer.
Wzór informacji o monitoringu dla klienta i pracownika możesz zakupić tutaj:
Następnie, niezbędne jest wykonanie obowiązku informacyjnego z art. 13 RODO, czyli wtedy, gdy administrator danych zbiera dane bezpośrednio od osoby, której dane dotyczą. Nazywam to informacją słowną o stosowanym monitoringu, gdyż osoba wchodząca na teren monitorowany musi otrzymać szereg informacji, które wynikają z tego przepisu. Dotyczy to między innymi tożsamości administratora danych, celu przetwarzania, okresu przechowywania nagrań, jak i praw osób, której dane dotyczą. Ta informacja powinna być dostępna dla klienta, osób wchodzących na teren monitorowany, jak i dla ewentualnych pracowników, w miejscu dla nich widocznym, jeszcze przed wejściem w zasięg kamer.
W przypadku pracodawców, którzy tworzą regulamin pracy (np. gdy pracodawca zatrudnia więcej niż 20 pracowników) zapis dotyczący monitorowania pracowników musi zostać dodany do regulaminu pracy. Wymóg ten wynika z art. art. 22’2 paragraf 6 Kodeksu Pracy. W przypadku pozostałych pracodawców informację można przekazać pracownikom w innej formie, np. informacji indywidualnej do pracownika lub w formie zarządzenia wprowadzającego monitorowanie, etc.
Jeśli nie mamy możliwości umieszczenia całej informacji od razu przy wejściu obok piktogramu (np. ograniczone miejsce, budynek współdzielony z innymi) to należy informacji udzielić przynajmniej w tzw. warstwowym obowiązku informacyjnym.
Warstwowy obowiązek informacyjny oznacza, że informacja jest przekazywana w dwóch krokach.
Warstwowy obowiązek informacyjny oznacza, że informacja jest przekazywana w dwóch krokach, tzw. warstwach. W pierwszej kolejności, np. przy wejściu informujemy co najmniej o tożsamości administratora danych (nazwa i adres Twojej organizacji), celu przetwarzania danych, okresie przechowywania danych, a także ewentualnie innych informacji, które mogłyby zaskoczyć daną osobę, np. o niestandardowych odbiorcach danych. W ramach tej pierwszej warstwy należy także wskazać miejsce, w którym osoba otrzyma więcej informacji na temat monitoringu, np. w lokalu administratora danych, na wskazanej stronie www lub w inny sposób. Istotne jest to, aby druga warstwa, czyli pozostałe informacje wynikające z art. 13 RODO, między innymi prawa osoby, której dane dotyczą były dla tej osoby łatwo dostępne.
Pierwsza warstwa, np.:
Administratorem danych osobowych jest [nazwa i adres Twojej firmy]. Dane osobowe będą przetwarzane w celu zapewnienia bezpieczeństwa obszaru przetwarzania, w tym osób i mienia. Dane osobowe będą przechowywane do [wskazać konkretny okres, np. 4 tygodni] od dnia nagrania. Więcej informacji znajduje się [wskazać miejsce, np. w lokalu administratora danych, etc.]
Druga warstwa to dalsza część informacji, które zgodnie z art. 13 RODO powinien otrzymać klient lub pracownik, którego dane będą przetwarzane, jak np. prawa osoby, której dane dotyczą, czy podmioty, które mogą mieć dostęp do danych.
Jeśli administrator danych ma możliwość przekazania od razu całej informacji o stosowanym monitoringu to nie ma potrzeby dzielenia jej na tzw. warstwy. Wówczas od razu przy wejściu na teren monitorowany umieszczamy piktogram i cały obowiązek informacyjny.
Przede wszystkim monitoring wizyjny może służyć wyłącznie zapewnieniu bezpieczeństwu osób i mienia, w tym nie tylko administratora danych, ale i klientów, pracowników i innych osób wchodzących na teren monitorowany. Obraz z monitoringu nie może być więc analizowany na inne cele niż te związane ze zdarzeniami niepożądanymi, jak kradzież, włamanie, zniszczenie mienia, etc. Wyłącznie w takich sytuacjach administrator danych powinien weryfikować nagrania, jak i udostępniać je organom ścigania. Trzeba także pamiętać o tym, że monitoring wizyjny nie może być także instalowany w takim pomieszczeniach, jak toaleta, szatnia, stołówka czy palarnia. Takie przetwarzanie danych z monitoringu naruszałoby prywatność osób, jak i ich prawa i wolności w zakresie ochrony danych.
← Plan kontroli PUODO na 2020 rok. Jak napisać politykę prywatności? →
Działalność nierejestrowana, a RODO.
RODO - reforma czy rewolucja w ochronie danych…