W dniu dzisiejszym chciałbym kontynuować tematykę podjętą w poprzednim wpisie związaną z korzystaniem z urządzeń wideo podczas przetwarzania danych osobowych. Zgodnie z wcześniejszą zapowiedzią, analizie zostaną poddane Wytyczne Europejskiej Rady Ochrony Danych (zwaną dalej: EROD)[1], dotyczące podstaw prawnych dla utrwalania wizerunku i dźwięku za pośrednictwem różnego rodzaju kamer.
Podstawy przetwarzania danych za pomocą urządzeń wideo
Przed przystąpieniem do przetwarzania wizerunku np. monitoringiem przemysłowym bądź kamerą „ręczną” należy upewnić się, czy istnieje dla takiego działania właściwa podstawa prawna. Te zostały wymienione w art. 6 ust. 1 RODO[2]. Zgodnie z nim, aby przetwarzanie było zgodne z prawem, koniecznym jest zaistnienie co najmniej jednej z poniższych przesłanek:
a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych;
b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą;
c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
e) przetwarzanie jest niezbędne z punktu widzenia interesu publicznego;
f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią.
Co do zasady każda z powyższych przesłanek może uzasadnić korzystanie z monitoringu. Jednakże do najczęściej występujących można zaliczyć uzasadniony interes administratora oraz interes publiczny. Zdecydowanie rzadziej podstawy upatruje się w zgodzie wyrażonej przez osobę objętą nagrywaniem. Wszystko jednak zależy od sposobu uwieczniania wizerunku. Z oczywistych przyczyn, w odniesieniu do monitoringu miejskiego, odbieranie zgód byłoby całkowicie chybionym rozwiązaniem. Natomiast zupełnie inaczej zgoda byłaby traktowana w przypadku nagrywania treningów sportowych, startów podczas zawodów, czy też oficjalnych wystąpień na imprezach wewnętrznych w danym klubie sportowym lub związku sportowym. Danej osobie może zależeć na uwiecznieniu jej występu w celu poprawienia techniki i wyników.
Z uwagi na fakt, iż kwestia uzasadnionego interesu administratora budzi najwięcej wątpliwości, warto poświęcić mu szczególną uwagę. Istnieją trzy główne wskazówki, które należy brać pod uwagę przy weryfikowaniu, czy można zastosować tę podstawę. Znajdują się one w pkt 47 Preambuły do RODO i kształtują się następująco.
1) Istnienie uzasadnionych interesów
Nie ma jednoznacznej definicji odnoszącej się do pojęcia „uzasadnionych interesów. Mogą mieć one np. charakter prawny, ekonomiczny lub niematerialny. Istotą jest wystąpienie sytuacji, w której owe interesy podmiotu korzystającego z kamer/monitoringu mogą być uznane za nadrzędne wobec interesów lub podstawowych praw i wolności osób, których dane dotyczą. Biorąc przykładowo pod uwagę rzeczywiste i niebezpieczne zagrożenie, aktualizujące się w związku z lokalizacją obiektu w niebezpiecznej dzielnicy, cel ochrony mienia przed włamaniem, kradzieżą lub wandalizmem, może stanowić uzasadniony interes w zakresie nadzoru wideo.
Ważnym jest, aby uzasadniony interes był realny. Nie wykluczając całkowicie korzystania z monitoringu wyłącznie profilaktycznie, warto wskazać, że udokumentowane w przeszłości zdarzenia uzasadniające jego stosowanie, korzystnie wpływa na wiarygodność administratora. Przekładając to np. na narastający w ostatnim czasie problem dewastowania lokalnych boisk piłkarskich poprzez jeżdżenie po nich samochodami, klub dotknięty takim aktem wandalizmu będzie miał legitymację do zastosowania monitoringu. Uprawnionym będzie również sąsiedni klub, który może stać się kolejną „ofiarą” podobnego czynu.
2) Niezbędność korzystania z określonych sposobów przetwarzania danych
Przed przystąpieniem do utrwalania wizerunku za pomocą urządzeń wideo, administrator musi zbadać, czy taki rodzaj przetwarzania danych jest niezbędny dla realizacji zamierzonego celu. Jeżeli dojdzie do wniosku, że można go osiągnąć przy użyciu mniej inwazyjnych środków, powinien odstąpić od nagrywania. Koresponduje to z zasadą „minimalizacji przetwarzania danych” (art. 5 ust. 1 lit. c RODO). Przenosząc to na przykład zdewastowanego boiska piłkarskiego, gdyby okazało się, iż alternatywne środki bezpieczeństwa, takie jak ogrodzenie płyty, korzystanie z usług dozorcy lub personelu ochrony, czy zapewnianie lepszego oświetlenia, w równie skuteczny sposób odstraszą potencjalnych wandali, to należy z nich skorzystać w pierwszej kolejności. Jeżeli zaś administrator dojdzie do wniosku, że monitoring musi być zainstalowany, warto by rozważył, czy może on zostać ograniczony jedynie do godzin nocnych.
3) Równoważenie interesów
O tym elemencie wspomniano już w pkt 1. Przyjmując, że nadzór wideo jest niezbędny do ochrony uzasadnionych interesów administratora, może on zostać uruchomiony jedynie, jeżeli prawa i wolności osób objętych monitoringiem nie są ważniejsze. administrator musi rozważyć 1) w jakim stopniu monitoring wpływa na osoby postronne oraz 2) czy narusza ich prawa, wolności i interesy w stopniu nie do zaakceptowania.
Jako przykład EROD podała kazus firmy obsługującej prywatny parking, która udokumentowała powtarzające się problemy z kradzieżami w zaparkowanych samochodach. Pomimo, iż parking jest odpowiednio oznakowany, stanowi łatwo dostępną przestrzeń. W takim wypadku administrator ma uzasadniony interes (zapobieganie kradzieżom w samochodach klientów), aby monitorować obszar parkingu w ciągu dnia, jak i w nocy. Osoby, których dane dotyczą, są monitorowane w ograniczonym czasie, nie przebywają w okolicy w celach rekreacyjnych, a także w ich własnym interesie leży zapobieganie kradzieżom. W przedstawionej sytuacji interesy osób, których dane mogą być rejestrowane, nie są nadrzędne wobec uzasadnionego interesu administratora.
Podsumowanie
Ponieważ każda okoliczność jest inna, powinna być analizowana oddzielnie z uwzględnieniem istotnych i charakterystycznych dla niej cech. Inaczej trzeba podejść do monitorowania ogólnie dostępnej przestrzeni takiej jak np. parki przyrody, czy centra handlowe, a inaczej nagrywanie drużyny podczas zamkniętych zajęć sportowych. W obu sytuacjach inna będzie skala przetwarzania danych osobowych i inne interesy wszystkich zainteresowanych podmiotów. Dlatego przedstawione w dzisiejszym wpisie informacje powinny być traktowane przede wszystkim jako wskazówki.
Kolejny blog zostanie poświęcony zagadnieniom związanym z udostępnianiem materiałów wideo podmiotom trzecim oraz elementom, o których należy pamiętać w związku z przetwarzaniem szczególnych kategorii danych osobowych.
[1] https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32019-processing-personal-data-through-video_en
[2] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)
