Monitoring wizyjny w miejscu pracy – wskazówki dla pracodawcy / administratora

Monitoring wizyjny jest powszechnie stosowany a Ustawy o monitoringu niestety nie ma. Mamy za to, jako drogowskazy, przepisy dotyczące stosowania monitoringu wizyjnego w miejscu pracy wynikające ze zmian w Kodeksie Pracy, mamy wskazówki Prezesa Urzędu Ochrony Danych Osobowych dotyczące wykorzystania monitoringu wizyjnego oraz mamy RODO. Od czego powinien zacząć administrator, co zrobić krok po kroku i na co zwrócić uwagę aby stosowanie monitoringu wizyjnego w miejscu pracy było zgodne z prawem?

Ocena ryzyka naruszenia praw lub wolności osób i ocena skutków przetwarzania dla ochrony danych

Pierwszą czynnością administratora powinno być przeprowadzenie oceny ryzyka naruszenia praw lub wolności osób i oceny skutków przetwarzania dla ochrony danych. Przy wykonywaniu oceny ryzyka pomocne mogą być dwa poradniki Prezesa Urzędu Ochrony Danych Osobowych dotyczące tego jak rozumieć i stosować podejście oparte na ryzyku. Pierwszy z nich porusza kwestie tego jak rozumieć podejście oparte na ryzyku według RODO, drugi zaś jak stosować podejście oparte na ryzyku. Jeżeli z oceny ryzyka wynikać będzie, że przetwarzanie danych za pomocą monitoringu wizyjnego powodować może wysokie ryzyko naruszenia praw lub wolności osób, których dane dotyczą koniecznym jest przeprowadzenie oceny skutków przetwarzania dla ochrony danych.

Administrator podczas montażu kamer powinien uwzględnić zapisy Kodeksu Pracy oraz wytyczne Urzędu Ochrony Danych Osobowych

Przeprowadzanie oceny skutków przetwarzania może być wykonywane fakultatywnie w sytuacjach gdy ryzyko naruszenia praw lub wolności osób będzie średnie lub niskie i jest traktowane jako dobra praktyka. Przy wykonywaniu oceny ryzyka i oceny skutków wymagana jest konsultacja z Inspektorem Ochrony Danych jeżeli administrator powołał IOD w swojej organizacji. Co do zasady ocena ryzyka i ocena skutków powinna być przeprowadzona przez administratora przed rozpoczęciem przetwarzania.

Umiejscowienie kamer i sposób prowadzenia monitoringu wizyjnego

Administrator podczas montażu kamer powinien uwzględnić zapisy Kodeksu Pracy oraz wytyczne Urzędu Ochrony Danych Osobowych. Zgodnie z zapisami w powyższych dokumentach zakazane jest monitorowanie pomieszczeń socjalnych, szatni, toalet, palarni, zakładowej kuchni itp., pomieszczeń zakładowej organizacji związkowej, terenu zewnętrznego nie należącego do administratora spełniającego cechy przestrzeni publicznej. Zakazane jest monitorowanie pojedynczego stanowiska pracy oraz pojedynczego monitora pracownika wykonującego pracę. Zakazane jest używanie kamer rejestrujących dźwięk, atrap kamer lub niedziałających kamer, które mogą być traktowane jako atrapa.

Jeżeli dany obszar posiada inne narzędzie monitorowania zgodne z celami określonymi w Kodeksie Pracy, wtedy monitoring może być nieproporcjonalny i nadmiarowy (co może zostać uznane za naruszenie). Przykładowo nauczyciel pilnujący klasy w szkole jest wystarczającym zabezpieczeniem do utrzymania porządku i bezpieczeństwa więc monitoring będzie w tym miejscu nadmiarowy. W każdym wypadku należy określić czy administrator montując kamerę monitoringu wizyjnego realizuje cel dopuszczony kodeksem pracy. Należy ocenić czy kamera realizująca cel nie będzie naruszała praw, wolności i godności osób objętych monitoringiem.

Dyskusyjnym może być montaż monitoringu w korytarzach

Monitoring realizowany w pomieszczeniach lub na obszarach gdzie z definicji realizowana jest praca powinien być obszarowy. Dyskusyjnym może być montaż monitoringu w korytarzach. Należy uwzględnić, że powinien on realizować cel wynikający z kodeksu pracy. Najlepiej by jego montaż wynikał z sytuacji, które miały miejsce wcześniej, a którym chce przeciwdziałać administrator. W przeciwnym wypadku może się okazać, że monitoring w korytarzu będzie spełniał cechy naruszenia. Należy również określić czy monitoring w wybranych miejscach ma być prowadzony w sposób ciągły czy nie z punktu widzenia praw osób, których dane dotyczą.

Konieczność spełnienia obowiązku informacyjnego

Administrator musi pamiętać o spełnieniu obowiązku informacyjnego wobec osób, które będą objęte monitoringiem wizyjnym. Za niespełnienie obowiązku informacyjnego grożą poważne kary ponieważ uniemożliwia to w dalszej perspektywie realizację praw osobie, której dane dotyczą. Podejście organu do sprawy obowiązku informacyjnego pokazuje między innymi sprawa ukarania spółki Bisnode przez Prezesa Urzędu Ochrony Danych Osobowych. Obowiązek informacyjny w stosunku do osoby, której dane dotyczą powinien być spełniony np. w formie tablicy informacyjnej zawierającej odpowiedni piktogram oraz klauzuli informacyjnej pod piktogramem. Klauzula informacyjna może być warstwowa i odsyłać do pełnej klauzuli np. zamieszczonej na stronie internetowej, niemniej powinna zawierać co najmniej szereg obowiązkowych informacji.

Administrator po wprowadzeniu monitoringu wizyjnego na terenie zakładu pracy powinien dokonać aktualizacji regulaminu pracy

Obowiązkowe informacje, które powinny znaleźć się na tablicy informacyjnej pod piktogramem to między innymi nazwa, dane adresowe i kontaktowe administratora danych osobowych, cel w jakim będą przetwarzane dane osobowe, informacje o prawie do dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, wniesienia sprzeciwu wobec przetwarzania danych oraz wniesienia skargi. Dodatkowo należy zamieścić informacje o sposobie wnioskowania o prawa (adres mail, korespondencyjny) oraz o tym gdzie znaleźć pełną klauzulę informacyjną (w przypadku warstwowej klauzuli informacyjnej). Tablica z rzeczonymi informacjami powinna być czytelna i umieszczona w widocznym miejscu, jeszcze przed wejściem osoby w obszar monitorowania (może to być również zalaminowana wydrukowana kartka papieru lub dowolne inne rozwiązanie, które spełni powyższe wymagania). Jeśli kamery monitoringu wizyjnego znajdują się na terenie zewnętrznym to tabliczka powinna być umieszczona przed wejściem osoby w obszar pracy kamery.

Niezbędne zapisy, które należy wprowadzić do regulaminu pracy

Administrator po wprowadzeniu monitoringu wizyjnego na terenie zakładu pracy powinien dokonać aktualizacji regulaminu pracy. W regulaminie powinny się znaleźć między innymi informacje o tym, że w organizacji prowadzony jest monitoring wizyjny, o celu prowadzenia monitoringu wizyjnego i rodzaju prowadzenia monitoringu (czy jest ciągły czy nie). Ponadto należy poinformować pracowników za pomocą regulaminu tym, że monitoring rejestruje tylko obraz,o czasie przechowywania nagrań, sposobie usuwania lub nadpisywania danych czy o tym, że jeżeli nagrania stanowią dowód w postępowaniu to czas ich przechowywania może ulec wydłużeniu do momentu prawomocnego zakończenia postępowania. Do regulaminu powinno wprowadzić się dodatkowo zapisy o sposobie oznakowania miejsc objętych monitoringiem, o tym jakich miejsc zgodnie z Kodeksem Pracy nie obejmuje monitoring wizyjny, czy możliwy jest tylko podgląd w czasie rzeczywistym, czy rejestrowane są nagrania.

Osoby, których dane dotyczą mają prawo żądania dostępu do nagrań z monitoringu wizyjnego

Dobrze by dodatkowo regulamin pracy określał kwestie takie jak to, jakie osoby (o jakich uprawnieniach lub jakie stanowiska, bez wskazywania konkretnego pracownika) w organizacji posiadają dostęp do nagrań czy to, że rejestratory są zabezpieczone przed dostępem osób trzecich i znajdują się w zabezpieczonych adekwatnie miejscach.

Retencja danych i wnioskowanie o dostęp do nagrań

Nagrania monitoringu nie powinny być przechowywane dłużej niż do 3 miesięcy, chyba, że są niezbędne na potrzeby postępowania prowadzonego przez organy ścigania wtedy okres ten może być wydłużony. Czas przechowywania nagrań monitoringu wizyjnego powinien być jak najkrótszy z punktu widzenia celu jaki chce realizować administrator. Dostęp do monitoringu powinny mieć ściśle określone osoby w organizacji. Należy też pamiętać o prowadzeniu ewidencji dostępu i wydanych nagrań z monitoringu.

Osoby, których dane dotyczą mają prawo żądania dostępu do nagrań z monitoringu wizyjnego (prawo dostępu do danych wynikające z RODO). Po otrzymaniu wniosku o realizację praw dostępu do danych (udostępnienia nagrań monitoringu wizyjnego) należy zweryfikować, czy na nagraniu nie znajdują się osoby trzecie. Udostępnianie nagrania zawierającego zarejestrowany wizerunek osób trzecich powinno się wiązać z uzyskaniem na to ich zgody.

Podstawy prawne:

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)

Ustawa z dnia 26 czerwca 1974 r. Kodeks pracy.

Wskazówki Prezesa Urzędu Ochrony Danych Osobowych dotyczące wykorzystywania monitoringu wizyjnego

Hasła kluczowe:

Monitoring wizyjny a obowiązki pracodawcy

Monitoring wizyjny a prawa pracownika

Monitoring wizyjny zgodnie z RODO

Monitoring wizyjny zgodnie z Kodeksem Pracy

Czy pracodawcy wolno monitorować pracownika


AUTOR: Tomasz Wącirz