TOP | Outsourcing 360°

Monitoring wizyjny a RODO

Ustawa dotycząca nadzoru wizyjnego w miejscu pracy oraz innych form monitorowania pracowników jest w mocy od momentu wejścia w życie Ustawy o ochronie danych osobowych, która wprowadziła zmiany w przepisach Kodeksu Pracy. Ta zmiana miała miejsce 25 maja 2018 roku, co oznacza, że minęło już ponad rok od tego momentu. Niedawno, na początku maja tego roku, wprowadzono kolejne poprawki do tych przepisów w ramach ustawy sektorowej RODO.

Obecnie obowiązujące przepisy precyzują wiele aspektów związanych z wykorzystaniem nadzoru wizyjnego oraz innymi formami monitorowania pracowników. Określają one granice dozwolonego zakresu monitorowania, prawa jednostek podlegających temu monitorowaniu oraz obowiązki pracodawcy związane z wprowadzeniem i utrzymaniem różnych metod monitorowania. Mimo to, przedsiębiorcy wciąż mają wiele pytań i niejasności odnośnie do monitorowania działań swoich pracowników. W dwóch naszych publikacjach, które poświęcone są tematyce monitoringu, postaramy się wyjaśnić te niejasności.

Ramy prawne

Zastosowanie nowoczesnych technologii do nadzorowania działań pracowników to praktyka, która nie jest nowa. Już długo przed wprowadzeniem Ogólnego rozporządzenia o ochronie danych osobowych, wiele pracodawców używało narzędzi takich jak kamery, programy monitorujące aktywność pracowników w sieci lub lokalizatory GPS do monitorowania ich działań. Aktualne przepisy stanowią jednak ważny krok w kierunku pełnej regulacji tego zagadnienia.

Nowe uregulowania dotyczące monitorowania pracowników zostały wprowadzone w znowelizowanych artykułach Kodeksu pracy, a mianowicie w art. 222 i art. 223. Ponieważ nagrane obrazy i inne dane zawarte na tych zapisach są danymi osobowymi, ogólne zasady dotyczące ich przetwarzania są również objęte przepisami RODO, a w szczególności art. 5, który określa podstawowe zasady przetwarzania danych.

Monitoring wizyjny

Powszechnie wykorzystywaną strategią mającą na celu podniesienie poziomu bezpieczeństwa jest zastosowanie monitoringu wizyjnego. W skład tego narzędzia wchodzą różnorodne kamery, systemy przekazu danych oraz urządzenia rejestrujące obraz. Dynamiczny rozwój nowych technologii skutkuje tym, że te urządzenia stają się coraz bardziej precyzyjne i dokładne.

Prezes Urzędu Ochrony Danych Osobowych wyraża zdanie, że monitoring jest jednym z najbardziej inwazyjnych sposobów przetwarzania danych osobowych, a powinno się go stosować jedynie w przypadkach, gdy brak innych, mniej ingerujących w prywatność środków, które mogą zapewnić bezpieczeństwo.

Artykuł 222 Kodeksu pracy zezwala na wykorzystywanie środków technicznych do rejestrowania obrazu tylko wtedy, gdy jest to niezbędne:

• dla ochrony pracowników lub
• dla zabezpieczenia mienia lub
• do nadzoru nad procesem produkcyjnym lub
• w celu zachowania poufności informacji, których ujawnienie mogłoby spowodować szkodę dla pracodawcy.

Nagranie jako dane osobowe

Analizując zagadnienia związane z zastosowaniem monitoringu, wiele osób wyraża wątpliwości co do tego, czy wizerunek zarejestrowany na nagraniu będzie traktowany jako dane osobowe. Przypomnijmy sobie jednak, że zgodnie z definicją zawartą w art. 4 pkt 1) Rozporządzenia Ogólnego o Ochronie Danych Osobowych (RODO), dane osobowe stanowią informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Osobą możliwą do zidentyfikowania jest taka, którą można bezpośrednio lub pośrednio zidentyfikować, szczególnie poprzez dane identyfikacyjne, takie jak imię i nazwisko, numer identyfikacyjny, dane lokalizacyjne, identyfikator internetowy lub inne czynniki, które określają fizyczne, fizjologiczne, genetyczne, psychiczne, ekonomiczne, kulturowe lub społeczne cechy danej osoby.

Przykładem danych osobowych może być nie tylko informacja w formie tekstowej, ale także graficzna, jak w przypadku obrazu. Ponadto, wizerunek jednostki pozwala na identyfikację jej cech fizycznych, takich jak wygląd zewnętrzny czy charakterystyczne stroje. Dzięki temu możliwe jest ustalenie tożsamości tej osoby. Istotą stosowania monitoringu jest właśnie umożliwienie identyfikacji jednostek.

Związane z zakresem danych osobowych, które są poddawane przetwarzaniu poprzez monitoring wizyjny, istotne jest wskazanie zwłaszcza na: obrazy twarzy, charakterystyczne cechy jednostek oraz numery identyfikacyjne (jak np. numery rejestracyjne pojazdów i boczne numery identyfikacyjne).

Warto podkreślić, że powinno się ograniczyć zapisywanie tylko do obrazów (widoków), a nie do dźwięku (dźwięków). Wykorzystanie mikrofonów może się okazać niezgodne z prawem. Prezes Urzędu Ochrony Danych Osobowych jednoznacznie wskazuje, że uprawnienie do nagrywania dźwięku jest zastrzeżone wyłącznie dla służb porządkowych i specjalnych. Natomiast korzystanie z rejestrowania dźwięku może być uznane za nadmiarowe przetwarzanie danych, co może skutkować sankcjami administracyjnymi, cywilnymi lub nawet karnymi.

Podstawy prawne wykorzystywania kamer

Kryteria legalizujące montaż kamer i obróbkę zarejestrowanych danych będą różne, w zależności od rodzaju podmiotu, z którym mamy do czynienia. Oznacza to, że podstawy prawne zbierania danych będą się różnić dla podmiotów publicznych i prywatnych.

W przypadku podmiotów prywatnych, uzasadnienie dla instalacji kamer wynika z art. 6 ust. 1 lit. f) Ogólnego Rozporządzenia o Ochronie Danych (RODO), co jest nazywane prawnie uzasadnionym interesem administratora. W takim przypadku, głównym celem takiego interesu jest ochrona osób i mienia. Wsparcie dla takiej ochrony jako uzasadnionego interesu zostało potwierdzone przez Trybunał Sprawiedliwości Unii Europejskiej w wyroku z dnia 11 grudnia 2014 r. w sprawie C-212/13 Ryneš.

Zgodnie z treścią motywu 47 RODO, prawnie uzasadniony interes administratora nie powinien jednak stanowić podstawy prawnej dla przetwarzania danych przez organy publiczne w ramach wykonywania swoich zadań. W rezultacie ta przesłanka nie będzie miała zastosowania dla podmiotów publicznych ani dla podmiotów prywatnych realizujących cele publiczne. Tego typu podmioty, które w celu spełnienia swoich zadań korzystają z nadzoru wizyjnego, muszą działać w oparciu o przepisy prawa, które dopuszczają lub nakazują takie postępowanie. W związku z tym w tych przypadkach podstawą do instalacji kamer będą:

• 6 ust. 1 lit. c) Ogólnego rozporządzenia o ochronie danych – przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (tylko kiedy przepis prawa jasno wskazuje na obowiązek), lub

• 6 ust. 1 lit. e) Ogólnego rozporządzenia o ochronie danych – przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (jeżeli brak obowiązku (tj. uprawnienie) lub w ogóle brak przepisu prawa)

Przykładem takich instytucji są na przykład szkoły. W przypadku monitoringu wizyjnego w szkole, jego podstawą jest art. 6 ust. 1 lit. e) Ogólnego Rozporządzenia o Ochronie Danych w związku z art. 108a Ustawy Prawo oświatowe. Celem tego jest zapewnienie bezpieczeństwa uczniom i pracownikom oraz ochrona mienia.

Zakres obowiązków pracodawcy w zakresie monitoringu wizyjnego obejmuje kilka kluczowych punktów, wynikających zarówno z Kodeksu Pracy, jak i RODO. Do najważniejszych zadań należy:

1. Ustalenie celu, zakresu i sposobu wykorzystania monitoringu wizyjnego w kontekście układu zbiorowego pracy, regulaminu pracy lub poprzez ogłoszenie – jeśli pracodawca nie podlega układowi zbiorowemu pracy lub nie ma obowiązku ustanowienia regulaminu pracy.
2. Poinformowanie pracowników o planowanej implementacji monitoringu wizyjnego, najpóźniej na dwa tygodnie przed jego uruchomieniem (z wyjątkiem przypadków, gdy już stosowany jest taki monitoring). W przypadku nowo zatrudnionych pracowników, ta informacja musi być dostarczona przed ich rozpoczęciem pracy. Jeśli pracownicy już pracują, pracodawca powinien ich poinformować o zamierzeniach dotyczących wprowadzenia monitoringu.
3. Spełnianie obowiązków informacyjnych wobec monitorowanych pracowników (oraz innych osób, które mogą znaleźć się w obszarze monitorowanym) zgodnie z przepisami Ogólnego Rozporządzenia o Ochronie Danych.
4. Wyraźne oznakowanie obszaru poddawanego monitorowaniu, tak aby było to widoczne i czytelne (np. poprzez umieszczenie tablicy z piktogramem kamery), za pomocą odpowiednich oznaczeń lub ogłoszeń dźwiękowych, nie później niż jeden dzień przed rozpoczęciem działania monitoringu.

Nie zważając na treść zawartą w dokumentach, o których mówi się w punkcie 1), pracodawca w charakterze administratora danych ma obowiązek sporządzenia szczegółowej dokumentacji, opisującej sposób przetwarzania danych z zarejestrowanych nagrań. Tego rodzaju dokumentacja winna precyzować między innymi:

• tożsamość osób odpowiedzialnych za nadzór nad procesem monitoringu,

• zakres obszarów objętych monitorowaniem,

• miejsca, w których kamery zostały zamontowane,

• zamiary monitoringu,

• składniki składowe systemu monitoringu,

• wytyczne dotyczące dostępu do przechowywanych nagrań,

• okres, przez jaki dane będą przechowywane,

• przepisy dotyczące udostępniania nagrań z monitoringu,

• wykorzystane środki techniczne.

Również działania związane z przetwarzaniem danych osobowych wyłapanych na nagraniach z monitoringu wizyjnego winny być odnotowane w rejestrze przetwarzania danych osobowych, o którym mówi art. 30 ust. 1 RODO (jeżeli pracodawca ma obowiązek go prowadzić). Okres przetwarzania nagrań Zgodnie z art. 222 Kodeksu pracy, pracodawca może przetwarzać nagrania wizyjne tylko w celu, dla którego zostały zebrane, i musi je zachować przez okres nieprzekraczający 3 miesięcy od chwili ich utworzenia. W przypadku, gdy nagrania stanowią dowód w toku postępowania prowadzonego na mocy prawa, lub gdy pracodawca ma informację, że mogą stanowić dowód w postępowaniu, czas ten może zostać wydłużony do czasu zakończenia postępowania ostatecznym orzeczeniem.

Miejsca instalacji kamer Zgodnie z art. 222 Kodeksu pracy monitoring nie może obejmować:

• pomieszczeń udostępnianych zakładowej organizacji związkowej,

• Monitoring nie powinien obejmować przestrzeni takich jak toalety, przebieralnie, jadalnie i miejsca do palenia, chyba że jest to absolutnie konieczne w celu zagwarantowania bezpieczeństwa pracowników, ochrony mienia, kontrolowania produkcji lub zachowania poufności informacji, których ujawnienie mogłoby wyrządzić pracodawcy szkodę, a jednocześnie nie naruszać godności ani innych dóbr osobistych pracowników. Jeśli chodzi o monitoring pomieszczeń sanitarnych, konieczne jest uzyskanie uprzedniej zgody ze strony zakładowej organizacji związkowej, chyba że taka organizacja nie działa w danym miejscu pracy, wówczas zgoda musi być uzyskana od wybranych przedstawicieli pracowników według procedury przyjętej w danym zakładzie. Obszar objęty monitoringiem powinien być ograniczony do minimum, aby nie naruszać prawa do prywatności obserwowanych osób. Jeśli monitoring obejmuje obszar hali produkcyjnej, to nie powinien uwzględniać na przykład sąsiadujących ulic ani przyległych prywatnych posesji.

Zabronione jest używanie atrap kamer w tym kontekście. Atrapy te mogą wprowadzać mylne wrażenie, że bezpieczeństwo jest wzmocnione. Według opinii Urzędu Ochrony Danych Osobowych (UODO), kiedy widzimy kamerę w obszarze objętym monitoringiem, zakładamy, że ma ona na celu naszą ochronę i zapewnienie bezpieczeństwa. Jednak zastosowanie atrapy sprawia, że to odczucie jest fałszywe.

W trakcie działalności pracodawcy może się zdarzyć, że inny podmiot (np. instytucja, osoba prywatna itp.) poprosi go o dostęp do zapisów z nagrań monitoringu. Udostępnienie takich nagrań nie zawsze będzie możliwe. Udostępnianie stanowi formę przetwarzania danych, której legalność musi być odpowiednio uzasadniona. Przekazanie nagrań może mieć miejsce na podstawie: • artykuł 6 ustęp 1 litera c) Ogólnego Rozporządzenia o Ochronie Danych (RODO) – przetwarzanie jest niezbędne do wykonywania obowiązku prawnego ciążącego na administratorze, takie jak postępowania prowadzone przez podmioty uprawnione zgodnie z przepisami prawa (szczególnie w przypadku żądań udostępnienia nagrań przez organy ścigania, prokuraturę itp.), lub • artykuł 6 ustęp 1 litera f) RODO – uzasadniony interes strony trzeciej – jeśli taka strona udowodni ten interes (zwłaszcza w przypadku, gdy osoba prywatna prosi o dostęp do nagrań) (wyłącza to organy publiczne i podmioty prywatne wykonujące zadania publiczne), lub • artykuł 6 ustęp 1 litera a) RODO – zgoda osób, których wizerunek został ujawniony na nagrań.

Podsumowując, należy zaznaczyć, że szczegółowe regulacje dotyczące monitoringu wizyjnego skupiają się na pracownikach i pracodawcach, którzy wykorzystują tę formę nadzoru. Zasady stosowania kamer zostały ustanowione w Kodeksie Pracy. Ogólne zasady dotyczące przetwarzania danych osobowych z nagrań, zwłaszcza zgodnie z RODO, obowiązują jednak wszystkich administratorów danych. Biorąc jednak pod uwagę brak długo oczekiwanej ustawy dotyczącej monitoringu wizyjnego, regulacje z Kodeksu Pracy powinny być stosowane w odpowiednim zakresie także przez inne podmioty niż pracodawcy. Zwłaszcza odnosi się to do regulacji dotyczących warunków instalacji kamer, ich umiejscowienia i okresów retencji danych. Monitoring wizyjny to jednak tylko jedna z wielu form kontroli aktywności pracowników. W drugiej części naszego artykułu, za tydzień, przyjrzymy się innym rodzajom monitoringu pracowników, w tym monitorowaniu:

• poczty elektronicznej,

• aktywności w sieci,

• lokalizacji (GPS),

• bilingów rozmów telefonicznych