Monitoring wizyjny jest już stałym elementem naszej rzeczywistości. Z monitoringiem mamy do czynienia w przestrzeniach publicznych – na ulicach, w instytucjach, jak również w zakładach pracy czy obiektach handlowych. Przedsiębiorcy stosując monitoring czują się bezpieczni, jednak monitoring to również obowiązki. I to niełatwe.

Stosując monitoring wizyjny administrator przetwarza dane osobowe, a w związku z tym jest zobowiązany do realizowania wymogów stawianych przez RODO, w szczególności administrator ma obowiązek realizować prawo osób do dostępu do danych oraz uzyskiwania kopii danych. Osoba, która została zarejesrtowana przez monitoring ma prawo otrzymać kopię nagrania bez konieczności wykazywania interesu prawnego czy faktycznego.

I tu pojawią się problemy – jak administrator ma realizować to prawo?

W praktyce możemy spotkać się dwoma rodzajami żądań:

– po pierwsze osoba zarejestrowana przez kamery monitoringu żąda od administratora kopii nagrania, na którym została utrwalona jej postać;

– w innym wypadku osoba zgłasza się do administratora z żądaniem udostępnienia kopii nagrania z monitoringu, na którym co prawda nie została utrwalona, ale utrwalone zostało istotne dla niej zdarzenie np. uszkodzenie pojazdu czy też kradzież rzeczy.

W pierwszej sytuacji osoba, która zgłasza żądanie udostępnienia danych powinna przekazać administratorowi dodatkowe dane, które umożliwią zweryfikowanie przed administratora czy ta konkretna osoba znajduje się na nagraniu. Administrator potrzebował będzie informacji, kiedy i w którym miejscu dana osoba została nagrana, opisu sytuacji, w których uczestniczyła, szczegóły jej ubioru. Administrator, jeśli ma wątpliwości co do tożsamości osoby występującej z żądaniem, może poprosić o przedstawienie dodatkowych informacji pozwalających na zweryfikowanie tej osoby. Administrator musi mieć pewność, że nie ujawnia nagrania osobie nieuprawnionej.

W drugiej sytuacji administrator musi, poza weryfikacją tożsamości osoby zgłaszającej się po nagranie, każdorazowo wyważyć interes tejże osoby z prawami i wolnościami osób zarejestrowanych przez monitoring. Ponadto udostępniając nagranie, Administrator powinien zadbać, by nie udostępnić danych osobowych osób nie uczestniczących w danym zdarzeniu (np. uszkodzenia pojazdu czy kradzieży). W tym celu konieczna może okazać się odpowiednia edycja obrazu (np. zamazanie twarzy innych osób).

W wypadku wątpliwości co do faktycznych intencji wnioskodawcy, administrator może odmówić udostępnienia nagrania, jednocześnie informując daną osobę, że zabezpieczy nagranie i zostanie ono udostępnione na żądanie odpowiednich organów bądź instytucji.

Co stanowi dobrą praktykę i ogranicza problemy administratora związanie z realizowaniem praw osób, których dane dotyczą? Krótki czas przechowywania nagrań z monitoringu.

Zdecydowanie niefortunną praktyką jest przechowywanie nagrań z monitoringu przez okres 3 miesięcy. Jako że zezwalają na to przepisy kodeksu pracy (jest to termin maksymalny wskazany przez art. 22² § 3 kodeksu pracy), to wielu przedsiębiorców przyjmuje ten okres jako uzasadniony. Tymczasem przechowywanie nagrań przez tak długi czas (abstrahując od zasadności takiego okresu retencji danych) rodzi ryzyko kłopotliwych działań w zakresie realizacji praw osób, których dane dotyczą, co opisałam powyżej.

Gdyby dane z monitoringu przechowane były np. przez 7 lub 14 dni, a następnie usuwane, w odpowiedzi na żądanie zainteresowanych osób, wystarczy, że administrator powiadomi osobę, której daną dotyczą, że zgodnie z funkcjonującą w organizacji polityką ochrony danych, żądane dane zostały usunięte. I problem z głowy.

W przypadku zaś przechowywania danych przez okres 3 miesięcy realizacja żądania zainteresowanej osoby będzie wiązała się z odszukaniem nagrania, a następnie prześledzeniem jego zawartości, a niekiedy również z edycją obrazu, co z pewnością może zająć godziny pracy.

Wniosek jest prosty: dbajmy o to by okres retencji danych w naszej organizacji był w miarę możliwości jak najkrótszy.