Kontrole sektorowe Urzędu Ochrony Danych Osobowych

31 maja 2019

Ochrona-danych-osobowych

Plan kontroli sektorowych Urzędu Ochrony Danych Osobowych (UODO) przewiduje kontrolę systemu monitoringu wizyjnego przedsiębiorców. Co podlega ochronie danych osobowych i jak należy się przygotować, aby przejść ją pozytywnie?

 

Co podlega ochronie danych osobowych?

 

Do zakresu danych osobowych przetwarzanych w monitoringu wizyjnym w szczególności zaliczymy wizerunek, cechy szczególne osób i numery identyfikacyjne, jak numery tablic rejestracyjnych i numery boczne pojazdów.

Właściciel systemu monitoringu, podejmując decyzję o stosowaniu tej formy nadzoru, powinien zweryfikować, czy realizowane przez niego cele uzasadniają obserwację osób. Musi więc brać pod uwagę potrzebę ochrony prawa do prywatności i ochrony danych osobowych i ich ograniczanie tylko w niezbędnym zakresie.

Podejmując decyzję o wprowadzeniu monitoringu należy pamiętać o:

 

a) przeprowadzeniu oceny skutków dla ochrony danych

Jest ona wymagana, gdy operacja przetwarzania ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. Zgodnie z art. 35 ust. 3 lit. c rozporządzenia 2016/679 (RODO), jest ona obowiązkowa dla monitorowania miejsc dostępnych publicznie.

Zgodnie z art. 35 ust. 7, ocena zawiera co najmniej systematyczny opis planowanych operacji przetwarzania i celów przetwarzania, w tym, gdy ma to zastosowanie – prawnie uzasadnionych interesów realizowanych przez administratora, ocenę, czy operacje przetwarzania są niezbędne oraz proporcjonalne w stosunku do celów, ocenę ryzyka naruszenia praw lub wolności osób, których dane dotyczą oraz środki planowane w celu zaradzenia ryzyku, w tym zabezpieczenia oraz środki i mechanizmy bezpieczeństwa mające zapewnić ochronę danych osobowych i wykazać przestrzeganie niniejszego rozporządzenia, z uwzględnieniem praw i prawnie uzasadnionych interesów osób, których dane dotyczą, i innych osób, których sprawa dotyczy.

 

b) poinformowaniu o systemie monitoringu osoby obserwowanej

Obowiązek informacyjny wynikający z art. 13 RODO powinien zostać zrealizowany w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem oraz powinna być dostępna w miejscu monitorowanym np. na tablicach albo w formie dokumentu dostępnego w sekretariacie. UODO zaleca dodatkowe stosowanie znaków (piktogramów) lub ogłoszeń dźwiękowych. Sposób wykonania obowiązku informacyjnego powinien być przedstawiony w taki sposób, aby osoby obserwowane mogły się z nim zapoznać.

Ustawa z dnia 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE weszła w życie 4 maja 2019 r. i wprowadza do Kodeksu pracy zmiany dotyczące monitoringu wizyjnego i monitoringu poczty elektronicznej. Kontroli UODO może podlegać każdy pracodawca posiadający w swoim lokalu kamery rejestrujące obraz.

 

Jak przygotować się na kontrolę?

 

Krok 1: Określić obszar monitorowania

Kodeks pracy określa miejsca, w których, co do zasady, monitoring nie powinien być prowadzony. Dotyczy to pomieszczeń sanitarnych, szatni, stołówek oraz palarni i pomieszczeń udostępnianych zakładowej organizacji związkowej.

 

Krok 2: Sprawdzić przez jaki czas nagrania są przechowywane

Z przepisów jednoznacznie wynika, że nagrania pochodzące z systemu monitoringu nie mogą być przechowywane dłużej niż 3 miesiące od dnia nagrania.  Oznacza to, że pracodawca może określić krótszy okres przechowywania nagrań (np. okres miesięczny), co może być spowodowane m.in. względami technicznymi. Po upływie okresu przechowywania nagrania powinny zostać usunięte.

Zapis nagrań może być przechowywany przez dłuższy okres, w przypadku gdy nagrania obrazu stanowią dowód w postępowaniu prowadzonym na podstawie przepisów prawa lub pracodawca dowiedział się, że mogą one stanowić dowód w postępowaniu. W tego rodzaju sytuacjach okres przechowywania można liczyć do czasu prawomocnego zakończenia postępowania. 

 

Krok 3: Wprowadzić zmiany w regulaminie prac lub innym wewnętrznym akcie

Pracodawca ma obowiązek poinformowania pracowników o systemie monitoringu w sposób przyjęty u danego pracodawcy, nie później niż 2 tygodnie przed uruchomieniem monitoringu.

Wymóg dotyczący terminu informowania nie jest możliwy do spełnienia w przypadku pracodawców, którzy uruchomili tego rodzaju systemy przed wejściem w życie przepisów regulujących monitoring wizyjny w miejscu pracy, Dlatego należy przyjąć, że pracodawcy, którzy z takich rozwiązań już korzystają powinny dopełnić obowiązku niezwłocznie.

Informację pracodawcy mogą udostępnić przez wywieszenie jej na tablicy ogłoszeń czy zamieszczenie informacji w wewnętrznej sieci informatycznej.

 

Krok 4: Przygotować oświadczenie dla pracownika

Obowiązki informacyjne obejmują również wymóg przekazania pracownikowi na piśmie informacji dotyczących celów, zakresu i sposobu stosowania monitoringu. Dla wykazania prawidłowej realizacji przez siebie obowiązków pracodawca powinien zadbać, aby pracownik potwierdził, że zapoznał się z oświadczeniem o stosowaniu monitoringu.

 

Krok 5: Oznaczenie terenu monitorowanego

Na pracodawców został nałożony obowiązek oznaczenia pomieszczeń i terenu monitorowanego „w sposób widoczny i czytelny, za pomocą odpowiednich znaków lub ogłoszeń dźwiękowych, nie później niż jeden dzień przed jego uruchomieniem”. Obowiązek ten może być realizowany przez wywieszenie tabliczek z napisem „Obiekt monitorowany”, piktogramów i innych oznaczeń jednoznacznie wskazujących na stosowanie monitoringu.

 

Co uzasadnia korzystanie z monitoringu?

Kodeks pracy przewiduje szczególny nadzór w postaci monitoringu wizyjnego, który może zostać wprowadzony, jeżeli jest to niezbędne do zapewnienia bezpieczeństwa pracowników, ochrony mienia, kontroli produkcji lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę.

Pracodawca nie jest uprawniony do wykorzystywania nagrań do innych celów, niż te, które określi. Oznacza, to że pracodawca nie ma swobody w wykorzystywaniu nagrań do promocji swojej działalności, instruktaży czy podobnych działań prewencyjnych.

 

Kiedy UODO może rozpocząć kontrolę nowych obowiązków?

Uchwalone w nowej ustawie o ochronie danych osobowych przepisy szczególne dotyczące monitoringu wizyjnego nie przewidują okresów przejściowych, na które nie zdecydował się ustawodawca. Także przepisy RODO nie przewidują dodatkowych terminów na dostosowanie. W związku z tym Prezes UODO przyjmuje, że przepisy te oraz właściwe postanowienia RODO mają zastosowanie do wszystkich istniejących i przyszłych systemów nadzoru wizualnego. Tym samym podlegają bieżącej kontroli.

 

Uwaga: Obraz, ale nie dźwięk

 

Kodeks pracy przewiduje rejestrację obrazu, natomiast nie wprowadza podstawy do nagrywania dźwięku lub obrazu i dźwięku, co ma zapobiegać dalej idącym formom ingerowania w sferę prywatności osób objętych zasięgiem monitoringu.

Sankcje z tytułu naruszenia przepisów o dozwolonym monitoringu pracownika określają przepisy ustawy o ochronie danych osobowych z dnia 10 maja 2018 roku, a w zakresie przez nią nieuregulowanym lub z nią sprzecznym RODO.

Ponadto, w przypadku wykazania przez pracownika naruszenia jego dóbr osobistych lub poniesienia z tego tytułu szkody może on żądać przed sądem ochrony na podstawie przepisów Kodeksu cywilnego (w związku z art. 300 k.p.). Na ogół pracownik będzie mógł również skorzystać z prawa do niezwłocznego rozwiązania stosunku pracy z powodu ciężkiego naruszenia przez pracodawcę podstawowych obowiązków wobec pracownika na podstawie art. 55 § 11.

 

Autorem artykułu jest Joanna Arendarska, Chief of Legal Support for Business Department w Kancelarii Prawnej Widuch i Wspólnicy sp.k.

Najpopularniejsze: