Monitoring wizyjny
Stosowanie monitoringu wizyjnego (rejestracja zdarzeń za pomocą kamer i innych urządzeń rejestrujących obraz) w miejscu pracy jest formą przetwarzania danych osobowych wszystkich osób, które monitoring obejmuje. Działanie to jest prawem dozwolone, ale musimy pamiętać o spełnieniu kilku wymagań wynikających z przepisów. Podstawą prawną do przetwarzania danych w ramach monitoringu jest uzasadniony interes administratora, a w odniesieniu do pracowników dodatkowo przepisy Kodeksu Pracy (art. 222). W tym wypadku uzasadniony interes polega na zapewnieniu bezpieczeństwa wszystkich osób przebywających w pomieszczaniach monitorowanych i ochrony mienia.
Jakie mamy obowiązki związane ze stosowaniem monitoringu wizyjnego?
Przede wszystkim należy poinformować osoby pozostające w obszarze zapisu monitoringu o jego stosowaniu, jak również przekazać im informacje wymagane na mocy art. 13 RODO (m.in. wskazać kto jest administratorem danych, w jakim celu je przetwarza oraz poinformować o przysługujących uprawnieniach związanych z przetwarzaniem danych). Najbardziej praktyczne są tabliczki umieszczone w widocznych miejscach z informacją o monitoringu, natomiast obowiązek informacyjny z uwagi na obszerność tekstową lepiej sprawdzi się w formie wydruku umieszczonego np. na recepcji, lub w innym miejscu dostępnym w chwili wkroczenia w obszar monitorowany.
Powszechnie stosowany monitoring poczty elektronicznej lub inne formy, np. monitoring korzystania z witryn internetowych są dozwolone przepisami prawa – Kodeksem Pracy (art. 22 3).
Jego wprowadzenie jest obostrzone podobnymi wymaganiami jak stosowanie monitoringu wizyjnego (poinformowanie pracowników, zapisy w regulaminach pracy, obowiązki informacyjne), jednak w przeciwieństwie do tego pierwszego czynność ta wymaga przeprowadzenia oceny skutków dla ochrony danych.
Sokół Doradztwo Prawne
Dodatkowe obowiązki w związku ze stosowanym monitoringiem wizyjnym powstają w stosunku do pracowników, a wynikają one z regulacji Kodeksu Pracy
- Pracownicy muszą zostać poinformowani o stosowaniu monitoringu co najmniej na 2 tygodnie przed jego wprowadzeniem. (W przypadku jego prowadzania należy przekazać informację niezwłocznie, żeby uniknąć dalszego stanu naruszenia prawa).
- Cele, zakres oraz sposób zastosowania monitoringu ustala się w układzie zbiorowym pracy lub w regulaminie pracy albo w obwieszczeniu, jeżeli pracodawca nie jest objęty układem zbiorowym pracy lub nie jest obowiązany do ustalenia regulaminu pracy. Informacje te przekazuje się następnie nowo przyjętym pracownikom.
- Co najmniej na jeden dzień przed uruchomieniem monitoringu pracodawca oznacza pomieszczenia i teren monitorowany w sposób widoczny i czytelny, za pomocą odpowiednich znaków lub ogłoszeń dźwiękowych.
O czym jeszcze należy pamiętać?
Zgodnie z RODO dane osobowe przetwarzamy przez czas nie dłuższy niż konieczny do osiągnięcia celu – dotyczy to również nagrań z monitoringu. Jednakże Kodeks Pracy jest bardziej restrykcyjny w tym zakresie i zgodnie z nim możemy przetwarzać dane pracowników „wyłącznie do celów, dla których zostały zebrane (…) przez okres nieprzekraczający 3 miesięcy od dnia nagrania”. Natomiast
w przypadku konieczności zabezpieczenia nagrań przez czas dłuższy z uwagi na zastosowanie lub potencjalną możliwość zastosowania ich jako dowód w postępowaniu prowadzonym na podstawie przepisów prawa nagrania możemy przechowywać do czasu prawomocnego zakończenia tego postępowania. W każdym przypadku nagrania muszą ostatecznie zostać zniszczone, jeżeli ustał cel, w którym zostały utrwalone.
Należy również zwrócić uwagę na miejsca, w których planujemy zainstalować system monitoringu – Kodeks Pracy nie zezwala na jego stosowanie w pomieszczeniach sanitarnych, szatniach, stołówkach oraz palarni lub pomieszczeniach udostępnianych zakładowej organizacji związkowej – chyba, że spełnimy dodatkowe przesłanki, które sprowadzają się najprościej rzecz ujmując do jakiegoś szczególnego powodu uzasadniającego takie wkroczenie w sferę prywatności pracowników i współpracowników.
Co istotne, zgodnie z Komunikatem Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 sierpnia 2018 r. w sprawie wykazu
rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony – przetwarzanie danych osobowych w ramach monitoringu wizyjnego nie wymaga przeprowadzenia oceny skutków dla ochrony danych (poza przypadkiem, gdy monitoring dotyczy miejsc publicznych). Naszym zdaniem przeprowadzenie oceny skutków dla ochrony danych w tym wypadku nie jest błędem, nie mniej istnieją mocne argumenty, aby odstąpić od takiego działania.
Co z innymi rodzajami monitoringu?
Coraz częściej spotykaną formą monitoringu jest monitoring obejmujący automatyczną analizę obrazu wykorzystywaną do identyfikacji osób obserwowanych – co skutkuje przetwarzaniem danych szczególnie wrażliwych w rozumieniu art. 9 ust. 1 RODO (dane biometryczne). Zastosowanie tego typu monitoringu opiera się na szczególnych podstawach prawnych, jak również związane jest z koniecznością zapewnienia odpowiedniego (wyższego) stopnia bezpieczeństwa tych danych.
Czy mogę monitorować pocztę elektroniczną pracowników?
Powszechnie stosowany monitoring poczty elektronicznej lub inne formy, np. monitoring korzystania z witryn internetowych są dozwolone przepisami prawa – Kodeksem Pracy (art. 22 3).
Jego wprowadzenie jest obostrzone podobnymi wymaganiami jak stosowanie monitoringu wizyjnego (poinformowanie pracowników, zapisy w regulaminach pracy, obowiązki informacyjne), jednak w przeciwieństwie do tego pierwszego czynność ta wymaga przeprowadzenia oceny skutków dla ochrony danych.