Omówienie nowych wytycznych EROD w sprawie stosowania monitoringu wizyjnego – część pierwsza.

Omówienie nowych wytycznych EROD w sprawie stosowania monitoringu wizyjnego – część pierwsza.

Powyżej szablon tabliczki informującej o monitoringu proponowany przez EROD

Co dalej z popularnymi rejestratorami w samochodach ? Jak należy podejmować decyzję o miejscach, gdzie zainstalowany będzie monitoring? Gdzie nie wolno go absolutnie stosować? EROD, czyli organ powołany do dokonywania wykładni legalnej RODO podejmuje próbę odpowiedzi na te pytanie w projekcie najnowszych wytycznych.

EROD (Europejska Rada Ochrony Danych Osobowych) wydała projekt wytycznych w sprawie monitoringu wizyjnego 12 lipca, o czym na swojej stronie informuje PUODO Link – nie jest to wersja ostateczna, uwagi do tekstu wytycznych każda zainteresowana osoba może przesyłać jeszcze do 9 września.

Na obecną chwilę dostępna jest jedynie angielska wersja wytycznych – to, czy PUODO przygotuje tłumaczenie zależy już tylko od jego woli (a w praktyce środków).

Warto dostrzec, że jest to trzeci tej rangi dokument, który dotyczy zasad stosowania monitoringu w kontekście przepisów o ochronie danych osobowych – poprzednio zostały wydane:

– Opinia grupy roboczej art. 29  z dnia 11 lutego 2004 roku „Opinion 4/2004 on the Processing of Personal Data  by means of Video Surveillance (WP 89)”

– „Wskazówki Prezesa Urzędu Ochrony Danych Osobowych dotyczące wykorzystywania monitoringu wizyjnego” z czerwca 2018 roku

Pamiętajmy, że w polskim systemie prawnym najbardziej „konkretne” przepisy dotyczące stosowania monitoringu zostały zawarte w art. 22[2] kodeksu pracy – dotyczą one jednak (wprost) jedynie stosowania monitoringu w relacji pracodawca-pracownik.

Warto też zwrócić uwagę, że nie będzie tu konfliktu z wytycznymi EROD – wspomnianego przepisu kodeksu pracy nie należy bowiem traktować jako bezpośrednią podstawę prawną, o której stanowi art. 6 ust. 1 lit. c RODO, a jedynie jako wyznaczenie ram, w granicach których pracodawca jako administrator danych może stosować monitoring powołując się na uzasadniony interes w rozumieniu art. 6 ust. 1 lit. f RODO.

Otwarta pozostaje kwestia interpretowania art. 6 ust. 1 zdanie drugie, który stanowi, że uzasadnionego interesu nie stosuje się – „do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.”. EROD jedynie przytacza w pkt 23 to ograniczenie, ale nie precyzuje, w jaki sposób je interpretować – wśród osób zajmujących się prawem ochrony danych formułowane są dwa poglądy, jeden polega na tym, że ograniczenie to oznacza całkowity i absolutny zakaz powoływania się przez organy publiczne na uzasadniony interes (wydaje się to mało praktyczne), drugi zaś polega na tym, że ograniczenie jest stosowane wyłącznie w sytuacji, w której organ działa w kontekście władczym, związanym bezpośrednio z działaniem jako organ publiczny – przyjęcie tego drugie poglądu oznaczałoby, że np. zamontowanie monitoringu wokół urzędu gminy w celu ograniczenia wandalizmu jako podstawę mogłoby mieć za podstawę uzasadniony interes, ponieważ w tym kontekście rola administratora nie różni się od żadnego innego przedsiębiorstwa prywatnego w podobnej sytuacji. Byłoby pożądane, by ta wątpliwość została jednoznacznie wyjaśniona w ostatecznej wersji wytycznych.

W wytycznych wielką wagę przywiązuje się do bardzo praktycznego aspektu stosowania monitoringu – tzn. do stosowania kryterium „czy osoba przebywająca w określonym miejscu, biorąc pod uwagę jej rozsądne oczekiwania może się spodziewać tego, że obszar w którym przebywa jest monitorowany ?” I tu wypada się zgodzić, czego innego spodziewa się klient restauracji, a czego innego oczekiwać może klient banku lub kantoru, nikt np. nie spodziewa się kamer w saunie lub  toalecie:

„For instance, an employee in his/her workplace is in most cases not likely expecting to bemonitored by his or her employer. Furthermore, monitoring is not to be expected in one’s private garden, in living areas, or in examination and treatment rooms. In the same vein, it is not reasonable to expect monitoring in sanitary or sauna facilities–monitoringsuch areas is an intense intrusion into the rights of the data subject. The reasonable expectations of data subjects are that no video surveillance will take place in those areas. On the other hand, the customer of a bank might expect that he/she is monitored inside the bank or bythe ATM.” – pkt 36 wytycznych.

Tu EROD wyraźnie podkreśla, że nie chodzi tu o samo poinformowanie „tabliczką”, że obszar jest objęty monitoringiem, tylko oczekiwania osób rozumiane w sposób bardziej ogólny – tzn. czy wchodząc do określonego obszaru wydało im by się oczywiste, że mogą tam znajdować się kamery.

Kryterium oczekiwań osoby, która wchodzi w obszar monitorowany można też rozciągnąć nie tyle na sam fakt monitorowania, co na fakt sposobu wykorzystania nagrania – jak wskazano w pkt 2: „guarantees must be taken to avoid any misuse for totally different and – to the data subject – unexpected purposes (e.g. marketing purpose, employee performance monitoring etc.).”

Wytyczne wprost wyłączają  (co do zasady) kamery wbudowane do aut związane z systemami parkowania:

„However, the Regulation does not apply to processing of data that has no reference to a person, e.g. if an individual cannot be identified, directly orindirectly. (…)A video camera is integrated in a car for providing parking assistance. If the camera is constructed or adjusted in such a way that it does not collect any information relating to a natural person (such aslicenceplates or information which couldidentifypassers-by) the GDPR does not apply.” –  pkt 8 wytycznych.

Jednak duże kontrowersje może budzić stanowisko na temat bardzo popularnych w ostatnim czasie „rejestratorów samochodowych”:

„If a dash cam is installed (e. g. for the purpose of collecting evidence in case of an accident), it is important to ensure that this camera is not constantly recording traffic, as well as persons who are near a road. Otherwise theinterest in having video recordings as evidence in the more theoretical case of a road accident cannot justify this serious interference with data subject’s rights. (…)Even if under some circumstances it might theoretically be possible to identify a legal basis for parts of such surveillance, the controller will still have to comply with the general principles (Art. 5 GDPR) and the transparency obligations to properly inform the data subject (Art.13 GDPR).” – pkt 34 wytycznych.

A wiec jeżeli rejestrator nagrywa przestrzeń przed autem w trybie ciągłym, EROD formułuje stanowisko o konieczności wypełnienia obowiązku informacyjnego z art. 13 RODO – jak to zrealizować w praktyce? Taka interpretacja wydaje się  – mówiąc delikatnie – mało praktyczna, pozostaje mieć nadzieję stanowisko to zostanie złagodzone w tekście ostatecznym.

Przyłącz się do konwersacji

2 komentarze

  1. „powołując się na uzasadniony interes w rozumieniu art. 6 ust. 1 lit. b RODO” mały błąd art. 6 ust. 1 lit. f RODO

Dodaj komentarz