Temat monitoring a RODO dotyczy każdego, kto planuje lub już prowadzi rejestrację obrazu za pomocą kamer. Kamery do monitoringu rejestrują nie tylko obraz, ale również wizerunek osób a wizerunek jest daną osobową w rozumieniu prawa. To oznacza, że każdy, kto instaluje monitoring niezależnie od tego, czy chodzi o niewielki sklep, duży zakład produkcyjny czy prywatną posesję powinien wiedzieć, jakie obowiązki nakłada na niego RODO i polskie prawo.
Brak odpowiednich oznaczeń, zbyt długie przechowywanie nagrań lub kamery skierowane w niewłaściwe miejsca to błędy, które mogą skutkować kontrolą ze strony Urzędu Ochrony Danych Osobowych (UODO) i dotkliwą karą finansową. W tym artykule wyjaśniamy krok po kroku, co musisz wiedzieć, zanim włączysz kamery albo jeśli Twój system już działa, a nie masz pewności, czy spełnia wymagania przepisów.
— Monitoring a RODO - dlaczego kamery podlegają przepisom o ochronie danych?
Wiele osób nie zdaje sobie sprawy, że każda kamera rejestrująca obraz osób przetwarza dane osobowe. Wystarczy, że na nagraniu można zidentyfikować konkretną osobę po: twarzy, sylwetce, tablicy rejestracyjnej samochodu czy nawet po charakterystycznym ubraniu żeby uruchomić przepisy o ochronie danych.
Nie ma przy tym znaczenia, czy nagranie ogląda ktokolwiek na bieżąco. Sam fakt rejestracji i przechowywania obrazu oznacza przetwarzanie danych osobowych, a właściciel systemu monitoringu staje się ich administratorem. Z tego tytułu ciąży na nim szereg obowiązków – zarówno wobec pracowników, klientów, jak i przypadkowych osób, które znajdą się w polu widzenia kamery.
— Monitoring a RODO - jakie przepisy regulują stosowanie kamer w Polsce?
Monitoring wizyjny w Polsce podlega kilku aktom prawnym jednocześnie. Najważniejsze z nich to:
- RODO (Rozporządzenie ogólne o ochronie danych osobowych) — unijne rozporządzenie obowiązujące od 25 maja 2018 roku. Określa zasady przetwarzania danych osobowych, w tym wizerunku rejestrowanego przez kamery. Na jego podstawie administrator musi m.in. realizować obowiązek informacyjny, zapewnić bezpieczeństwo danych i usunąć nagrania po upływie ustalonego czasu.
- Kodeks pracy (art. 22² i art. 22³) — reguluje zasady stosowania monitoringu wizyjnego oraz innych form nadzoru (np. kontroli poczty elektronicznej) przez pracodawcę wobec pracowników. Określa dozwolone cele, miejsca zakazane, maksymalny okres przechowywania nagrań i obowiązki informacyjne.
- Ustawa o ochronie danych osobowych — polska ustawa dostosowująca przepisy RODO, określająca m.in. kompetencje Prezesa UODO i procedury kontroli.
- Przepisy sektorowe — w zależności od typu obiektu mogą obowiązywać dodatkowe regulacje, np. ustawa o samorządzie gminnym (monitoring przestrzeni publicznej), ustawa Prawo oświatowe (monitoring w szkołach) czy ustawa o działalności leczniczej (monitoring w placówkach medycznych).
W praktyce temat monitoring a RODO sprowadza się do tego, że przed zamontowaniem kamer warto sprawdzić, które przepisy dotyczą konkretnego obiektu – inne wymagania obowiązują firmę produkcyjną, inne szkołę, a jeszcze inne prywatną posesję.
— Monitoring a RODO w firmie - obowiązki pracodawcy wobec pracowników
Pracodawca, który decyduje się na montaż monitoringu w zakładzie pracy, musi spełnić precyzyjnie określone warunki wynikające z art. 22² Kodeksu pracy.
Dozwolone cele instalacji kamer to wyłącznie: zapewnienie bezpieczeństwa pracowników, ochrona mienia, kontrola produkcji oraz zachowanie w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę. Monitoring nie może być stosowany w celu oceny jakości pracy pracownika. Kamery nie służą do pilnowania, czy ktoś pracuje wystarczająco szybko.
Obowiązki pracodawcy przed uruchomieniem monitoringu:
- Ustalić cele, zakres i sposób stosowania monitoringu w regulaminie pracy, układzie zbiorowym lub w obwieszczeniu.
- Poinformować pracowników o wprowadzeniu monitoringu nie później niż 2 tygodnie przed jego uruchomieniem.
- Przekazać każdemu pracownikowi na piśmie informację o celach, zakresie i sposobie zastosowania monitoringu – przed dopuszczeniem do pracy.
- Zrealizować obowiązek informacyjny wynikający z art. 13 RODO.
- Oznaczyć pomieszczenia i teren monitorowany w sposób widoczny i czytelny, za pomocą odpowiednich znaków, nie później niż jeden dzień przed uruchomieniem monitoringu.
Maksymalny czas przechowywania nagrań w zakładzie pracy wynosi 3 miesiące od dnia nagrania. Wyjątkiem jest sytuacja, gdy nagranie stanowi dowód w postępowaniu – wówczas termin biegnie do prawomocnego zakończenia tego postępowania.
— Monitoring a RODO w domu i na posesji - kiedy przepisy obowiązują, a kiedy nie?
Jeśli kamery na Twojej posesji rejestrują obraz wyłącznie na terenie Twojej nieruchomości – podwórka, ogrodu, garażu i nagrania służą celom osobistym lub domowym, RODO formalnie nie ma zastosowania. Mówi o tym wprost art. 2 ust. 2 lit. c rozporządzenia, który wyłącza z jego zakresu przetwarzanie danych przez osoby fizyczne w ramach czynności o czysto osobistym lub domowym charakterze.
Sytuacja zmienia się, gdy kamery IP obejmują swoim zasięgiem przestrzeń wykraczającą poza Twoją nieruchomość – chodnik, drogę publiczną, wjazd do sąsiada czy wspólne części osiedla. W takim przypadku rejestrujesz wizerunek osób, które nie mają żadnego związku z Twoim gospodarstwem domowym, i stajesz się administratorem ich danych osobowych. Wówczas obowiązują Cię te same zasady, co każdego innego administratora: obowiązek informacyjny, określenie celu przetwarzania, ograniczenie czasu przechowywania nagrań i ich odpowiednie zabezpieczenie.
W praktyce oznacza to, że już na etapie planowania montażu monitoringu warto tak ustawić kamery, aby ich pole widzenia nie wykraczało poza granice Twojej działki lub, jeśli jest to niemożliwe (np. kamera przy bramie wjazdowej musi częściowo obejmować ulicę), maskować zbędne fragmenty obrazu w konfiguracji rejestratora.
— Monitoring a RODO - obowiązek informacyjny, tabliczki i klauzule
Jednym z najważniejszych obowiązków administratora monitoringu jest poinformowanie osób o tym, że wchodzą w strefę objętą rejestracją obrazu. Obowiązek ten wynika z art. 13 RODO i składa się z dwóch warstw.
Pierwsza warstwa — oznaczenie wizualne (tabliczka). Zanim osoba wejdzie w strefę monitorowaną, powinna zobaczyć wyraźny piktogram kamery oraz podstawowe informacje: kto jest administratorem danych, jaki jest cel monitoringu i gdzie można zapoznać się z pełną klauzulą informacyjną. Tabliczka musi być umieszczona w widocznym miejscu — przy wejściu na teren obiektu, przy drzwiach do budynku lub na ogrodzeniu.
Druga warstwa — pełna klauzula informacyjna. Szczegółowy dokument, do którego odsyła tabliczka. Powinien zawierać dane administratora (nazwa, adres, dane kontaktowe), cel i podstawę prawną przetwarzania danych, okres przechowywania nagrań, informację o odbiorcach danych (np. firmie ochroniarskiej, serwisowi IT), a także pouczenie o prawach osoby, której dane dotyczą (prawo dostępu, usunięcia, wniesienia skargi do UODO). Klauzulę można udostępnić np. w recepcji, na stronie internetowej firmy lub w sekretariacie.
Błędem, który UODO wskazuje najczęściej podczas kontroli, jest brak jakiejkolwiek tabliczki przy wejściu lub tabliczka zawierająca sam piktogram kamery bez żadnych danych administratora. Takie oznaczenie nie spełnia wymogów RODO.
— Monitoring a RODO - jak długo można przechowywać nagrania?
RODO nie podaje jednej, uniwersalnej liczby dni. Mówi ogólnie, że dane osobowe powinny być przechowywane nie dłużej, niż jest to niezbędne do realizacji celu, dla którego zostały zebrane. W praktyce konkretne terminy wynikają z przepisów sektorowych.
Dla zakładów pracy Kodeks pracy wyznacza maksymalny okres 3 miesięcy od dnia nagrania. Pracodawca może ustalić krótszy termin (np. 30 dni), jeśli dłuższe przechowywanie nie jest uzasadnione.
Dla jednostek samorządu terytorialnego (np. monitoring miejski) maksymalny termin również wynosi 3 miesiące – wynika to z odpowiednich ustaw samorządowych.
Dla szkół i placówek oświatowych obowiązuje ten sam limit 3 miesięcy na podstawie ustawy Prawo oświatowe.
Dla placówek medycznych ustawa o działalności leczniczej również wskazuje okres nieprzekraczający 3 miesięcy.
Wyjątek dotyczy każdej z powyższych sytuacji: jeśli nagranie zawiera zapis zdarzenia, które jest lub może być przedmiotem postępowania prawnego, termin przechowywania wydłuża się do prawomocnego zakończenia tego postępowania.
W przypadku firm prywatnych (sklepów, restauracji, magazynów), które nie podlegają przepisom Kodeksu pracy wobec klientów i kontrahentów, okres przechowywania powinien zostać ustalony samodzielnie przez administratora i udokumentowany. UODO zaleca, aby nie przekraczał kilku tygodni – chyba że istnieje konkretne uzasadnienie dla dłuższego terminu.
Niezależnie od ustalonego okresu, po jego upływie nagrania muszą zostać trwale usunięte – najczęściej realizuje to automatyczne nadpisywanie w rejestratorze. Warto upewnić się, że system monitoringu jest odpowiednio skonfigurowany, aby nadpisywanie działało prawidłowo.
— Monitoring a RODO - gdzie nie wolno montować kamer?
Przepisy Kodeksu pracy wprost zakazują instalowania kamer w określonych pomieszczeniach na terenie zakładu pracy. Monitoring nie może obejmować:
- pomieszczeń sanitarnych (toalety, łazienki),
- szatni,
- stołówek,
- palarni,
- pomieszczeń udostępnianych zakładowej organizacji związkowej.
Wyjątek istnieje wyłącznie wtedy, gdy stosowanie monitoringu w tych pomieszczeniach jest niezbędne do realizacji jednego z dozwolonych celów (bezpieczeństwo, ochrona mienia) i nie naruszy godności oraz innych dóbr osobistych pracowników – w szczególności poprzez zastosowanie technik uniemożliwiających rozpoznanie osób, np. maskowania twarzy.
Poza Kodeksem pracy, zasada ochrony prywatności i godności obowiązuje w każdym obiekcie. Kamery nie powinny być kierowane na przebieralnie, kabiny przymierzalni, pokoje matki z dzieckiem w galeriach handlowych czy pomieszczenia, w których osoby mogą oczekiwać prywatności.
Również w przestrzeni domowej warto pamiętać, że kamera skierowana na okna czy podwórko sąsiada może naruszać jego dobra osobiste, a to otwiera drogę do roszczeń cywilnoprawnych – niezależnie od tego, czy RODO formalnie ma zastosowanie.
— Monitoring a RODO - najczęstsze błędy przy instalacji kamer
Na podstawie kontroli przeprowadzanych przez UODO oraz doświadczeń z wdrożeń monitoringu w firmach i instytucjach, można wskazać powtarzające się błędy.
❎ Brak jakiejkolwiek tabliczki informacyjnej. Kamery działają, ale nikt nie informuje osób wchodzących na teren obiektu o tym, że są nagrywane. To najczęstsza i najłatwiejsza do wyeliminowania nieprawidłowość.
❎ Tabliczka zawierająca wyłącznie piktogram kamery. Sam symbol nie spełnia wymagań RODO — konieczne są dane administratora i odesłanie do pełnej klauzuli informacyjnej.
❎ Brak regulaminu monitoringu w zakładzie pracy. Pracodawca zamontował kamery, ale nie ustalił zasad ich stosowania w regulaminie pracy ani nie przekazał pracownikom pisemnej informacji o monitoringu.
❎ Zbyt długie przechowywanie nagrań. Nagrania archiwizowane są miesiącami lub latami bez żadnego uzasadnienia prawnego. RODO wymaga, aby czas przechowywania był adekwatny do celu — bez konkretnego powodu nie powinien przekraczać kilku tygodni.
❎ Kamery w zakazanych pomieszczeniach. Kamery zamontowane w szatniach, toaletach lub stołówkach — bez spełnienia ścisłych warunków dopuszczalności.
❎ Brak zabezpieczenia systemu. Rejestrator podłączony do Internetu z domyślnym hasłem producenta, brak szyfrowania transmisji, nieograniczony zdalny dostęp. Wycieki nagrań z kamer — transmitowane na żywo w Internecie bez wiedzy właściciela.
❎ Udostępnianie nagrań bez podstawy prawnej. Nagrania przekazywane osobom trzecim (np. sąsiadom, osobom postronnym) bez wniosku uprawnionego organu i bez procedury udostępniania.
— Monitoring a RODO - jak zadbać o zgodność z przepisami?
Dostosowanie się do zasad monitoring a RODO nie wymaga wymiany całego systemu. W większości przypadków wystarczy zadbać o kilka kluczowych elementów: prawidłowe oznaczenie stref monitorowanych, przygotowanie klauzuli informacyjnej, ustalenie czasu przechowywania nagrań i w przypadku firm – wpisanie zasad monitoringu do regulaminu pracy.
Jeśli dopiero planujesz instalację kamer, warto uwzględnić te kwestie już na etapie projektu systemu monitoringu. Profesjonalny wykonawca nie tylko zamontuje kamery w odpowiednich miejscach i pod właściwym kątem, ale też pomoże tak skonfigurować system, aby pole widzenia kamer nie obejmowało stref zakazanych, a czas nadpisywania nagrań odpowiadał przyjętej polityce przechowywania danych.
W Infomech od lat projektujemy i instalujemy systemy monitoringu dla firm, instytucji publicznych i klientów prywatnych w regionie Stalowej Woli, Tarnobrzega, Sandomierza i Rzeszowa. Znamy specyfikę różnych obiektów i pomagamy dobrać rozwiązania, które łączą skuteczną ochronę z pełną zgodnością z przepisami. Jeśli masz pytania dotyczące swojego systemu lub planujesz nową instalację — skontaktuj się z nami.
— Działamy lokalnie na terenie trzech województw
Kliknij i sprawdź czy działamy w Twoim mieście!
Niniejszy artykuł ma charakter informacyjny i nie stanowi porady prawnej. W przypadku wątpliwości dotyczących konkretnej sytuacji zalecamy konsultację z inspektorem ochrony danych lub radcą prawnym.
