Informacje wstępne …..

Ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych, która weszła w życie w dniu 25 maja 2018 r. zostały wprowadzone przepisy sektorowe w zakresie monitoringu stosowanego przez pracodawców, placówki oświatowe oraz jednostki samorządu terytorialnego. Ustawa nie przewidziała jednak przepisów przejściowych wskazujących okres na dostosowanie się do nowych regulacji, co wprowadziło wiele wątpliwości interpretacyjnych oraz obaw przed karami, jakie mogą być nałożone na administratorów danych osobowych. Poniżej przedstawiamy informacje na temat monitoringu, jaki może być stosowany przez pracodawców oraz staramy się odpowiedzieć na najbardziej nurtujące pytania w tym zakresie.

Wizerunek jest daną osobową zwykłą (szczególne kategorie danych osobowych są wymienione w art 9 i 10 RODO), gdyż jest informacją o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej wskazującą na jej cechy fizyczne. Należy jednak pamiętać, że danymi osobowymi nie są pojedyncze informacje o dużym stopniu ogólności. Stają się nimi dopiero z chwilą zestawienia ich z innymi, dodatkowymi informacjami, które w konsekwencji pozwalają na odniesienie ich do konkretnej osoby. Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań (motyw 26 RODO)

W przypadku monitoringu wizyjnego przetwarzanie polega w szczególności na zapisywaniu, przeglądaniu, udostępnianiu i usuwaniu zarejestrowanych zdarzeń i osób. Należy jednak pamiętać, że nie zawsze monitoring wizyjny wiąże się z przetwarzaniem danych osobowych. Jeżeli monitoring służy jedynie do podglądu danego miejsca, a nagranie nie jest zachowywane na twardym dysku komputera czy innym nośniku, to wówczas trudno mówić o przetwarzaniu danych osobowych.

Przetwarzanie danych zwykłych może się odbywać jedynie po spełnieniu jednego z warunków określonych w art. 6 RODO, a w przypadku danych wrażliwych w art. 9 i 10 RODO. I tak podstawą prawną stosowania monitoringu przez pracodawców są przepisy zawarte obecnie w Kodeksie pracy. Natomiast w przypadkach nieuregulowanych przez przepisy szczególne, jako podstawę prawną przetwarzania danych osobowych w zakresie wizerunku przez podmioty sektora prywatnego należy wskazać przesłankę legalności określoną w art. 6 ust. 1 lit. f RODO tj. zapewnienie bezpieczeństwa osób i mienia w obszarze objętym monitoringiem jako prawnie usprawiedliwiony cel administratora danych. Każdorazowo musi to się jednak wiązać z poszanowaniem praw i wolności osoby obserwowanej oraz wypełnianiem obowiązków ustawowych administratora. Oznacza to m.in. poszanowanie prywatności osób w obszarach podwyższonego oczekiwania prywatności (przebieralnie, toalety itp.) oraz realizowania obowiązków informacyjnych wobec osób obserwowanych.

Kończąc informację wstępną należy pamiętać, że w przypadku stosowania monitoringu muszą być zachowane zasady postępowania przy przetwarzaniu danych osobowych wskazane w art. 5 ust. 1 RODO, a mianowicie zasada:

1. zgodności z prawem, rzetelności i przejrzystości danych;

2. ograniczonego celu;

3. minimalizacji danych;

4. prawidłowości danych;

5. ograniczenia czasowego przechowywania;

6. integralności i poufności danych.

Monitoring wizyjny, o czym musi pamiętać pracodawca …

Monitoring wizyjny jest narzędziem ingerencji w konstytucyjnie chronione prawo jednostki do prywatności. Dlatego wszelkie działania ingerujące w to prawo powinny być dokonywane rozważnie i z poszanowaniem obowiązujących przepisów prawa. Administrator danych na wstępie  powinien zadać sobie pytanie o adekwatność wprowadzenia monitoringu wizyjnego, jako metody zapewnienia bezpieczeństwa czy ochrony mienia.

Mając na względzie przepis art. 22(2) k.p. pracodawcy muszą pamiętać, że:

1. monitoring wizyjny może być stosowany wyłącznie w celu zapewnienia bezpieczeństwa pracowników lub ochrony mienia lub kontroli produkcji lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę;

2. monitoring może obejmować zakład pracy, jak i teren wokół niego;

3. monitoring może obejmować wyłącznie rejestracje obrazu, czy nie można rejestrować dźwięku;

4. monitoring nie może obejmować pomieszczeń sanitarnych, szatni, stołówek oraz palarni lub pomieszczeń udostępnianych zakładowej organizacji związkowej, chyba że stosowanie monitoringu w tych pomieszczeniach jest niezbędne do realizacji celu określonego pkt 1 i nie naruszy to godności oraz innych dóbr osobistych pracownika, a także zasady wolności i niezależności związków zawodowych, w szczególności poprzez zastosowanie technik uniemożliwiających rozpoznanie przebywających w tych pomieszczeniach osób;

5. nagranie nie może być przechowywane dłużej niż 3 miesiące od dna nagrania, termin ten ulega przedłużenie do czasu prawomocnego zakończenia postępowania w przypadku, w którym nagrania obrazu stanowią dowód w postępowaniu prowadzonym na podstawie prawa lub pracodawca powziął wiadomość, iż mogą one stanowić dowód w postępowaniu, po upływie powyższych terminów nagranie musi zostać zniszczone;

6. cele, zakres oraz sposób zastosowania monitoringu ustala się w układzie zbiorowym pracy lub w regulaminie pracy albo w obwieszczeniu, jeżeli pracodawca nie jest objęty układem zbiorowym pracy lub nie jest obowiązany do ustalenia regulaminu pracy;

7. mają obowiązek poinformowania pracowników o wprowadzeniu monitoringu, w sposób przyjęty u nich, nie później niż 2 tygodnie przed jego uruchomieniem, a w przypadku nowozatrudnionych pracowników na piśmie przed dopuszczeniem do pracy;

8. należy oznaczyć pomieszczenia i teren monitorowany w sposób widoczny i czytelny, za pomocą odpowiednich znaków lub ogłoszeń dźwiękowych, nie później niż jeden dzień przed jego uruchomieniem

Natomiast mając na uwadze przepisy RODO, pracodawcy muszą pamiętać o:

1. umieszczeniu stosownych zapisów o stosowaniu monitoringu w obowiązku informacyjnym z art. 13 RODO zarówno w stosunku do pracowników, zleceniobiorców, pracowników klientów/kontrahentów, osób trzecich wchodzących na teren zakładu pracy;

2. umieszczeniu w rejestrze czynności przetwarzania, o którym mowa w art. 30 ust. 1 RODO, stosownych informacji o monitoringu;

3. zawarciu umowy powierzenia przetwarzania danych osobowych, o której mowa w art. 28 ust. 3 RODO jeżeli monitoring obsługuje podmiot zewnętrzny np. firma ochroniarska;

4. udzieleniu stosownych upoważnień dla pracowników, którzy będą mieli dostęp do nagrań

Co z istniejącym monitoringiem …

Uchwalone w nowej ustawie o ochronie danych osobowych przepisy szczególne dotyczące monitoringu wizyjnego nie przewidują okresów przejściowych. Także przepisy RODO nie przewidują dodatkowych terminów na dostosowanie. W związku z tym Prezes Urzędu Ochrony Danych Osobowych w wydanych przez siebie wskazówkach dotyczących wykorzystywania monitoringu wizyjnego (https://ilawit.rodo.ostrowski.legal/wp-content/uploads/attachments/911.pdf)  przyjął, że przepisy te oraz właściwe postanowienia RODO mają zastosowanie do wszystkich istniejących i przyszłych systemów nadzoru wizualnego. Jednocześnie organ nadzorczy wskazał, że zdaje sobie sprawę, że przystosowanie systemów do nowych przepisów wymaga przeprowadzenia konsultacji z zaangażowanymi podmiotami, zmian dokumentów wewnętrznych oraz spełnienia obowiązków wobec osób obserwowanych, dlatego wyznaczył termin do końca września 2018 r. na aktualizacje i dostosowanie do wymogów określonych nowymi przepisami. Organ ds. ochrony danych osobowych stwierdził, że w pierwszej kolejności będzie monitorował postępy w dostosowywaniu do nowych wymogów. Działania takie powinny być przez administratorów i podmioty przetwarzające podejmowane niezwłocznie, tak by wykazać dążenie do zapewnienia zgodności z obowiązującym prawem. W dalszej kolejności prowadzone będą działania weryfikujące wypełnianie zasad stosowania monitoringu wizyjnego przewidzianych w RODO oraz przepisach szczególnych.

Możliwość stosowania monitoringu w stosunku do osób odwiedzających …

Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych nie zawiera również regulacji odnoszącej się do osób odwiedzających teren zakładu pracy (np. dostawców, klientów, osób współpracujących na zasadach umów cywilnoprawnych). Wobec tych osób administrator również powinien spełnić obowiązek informacyjny ujęty w art. 13 RODO. Nie jest wystarczające oznaczenie obszaru objętego monitoringiem jedynie piktogramami. Nie oznacza to jednak konieczności umieszczania wszystkich informacji wskazanych w tym przepisie. W takiej sytuacji możliwe zastosowanie warstwowych not informacyjnych oraz informacji, że szczegóły są umieszczone na stronie internetowej lub np. można je uzyskać w sekretariacie lub portierni.

Możliwość stosowania monitoringu do efektywności oceny pracowników …

W myśl przepisów Kodeksu pracy, monitoring ma służyć zapewnienia bezpieczeństwa pracowników lub ochrony mienia lub kontroli produkcji lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę. W tych celach nie mieści się stosowanie monitoringu jako środka nadzoru nad jakością wykonywania pracy. Mogą  istnieć pokusy, by monitoring przy okazji był narzędziem np. kontroli długości przerw czy opuszczania przez pracownika miejsca pracy, a także obserwacji czynności wykonywanych podczas świadczenia pracy, w szczególności z uwagi na to, że pracodawca ma uprawnienie do oceny pracy pracowników. Niemniej jednak należy pamiętać o adekwatności i proporcjonalności stosowanych środków do celów przetwarzania danych osobowych.

Co w przypadku, gdy istniej potrzeba monitorowania miejsc zakazanych …

Środki techniczne uniemożliwiające rozpoznanie osób zostały wskazane jako przykładowe rozwiązania zapewniające ochronę godności oraz innych dóbr osobistych osób obserwowanych. Możliwe jest stosowanie oprogramowania zamazującego określone fragmenty kadrowanego obrazu (w tym postacie osób obserwowanych), bądź też takie ustawienie kamer, by naruszenie godności oraz innych dóbr osobistych, czy też zasady wolności i niezależności związków zawodowych, było niemożliwe. Rozwiązania techniczne mające na celu zminimalizowanie ryzyka naruszenia praw lub wolności osób, których dane dotyczą, w odniesieniu do monitoringu miejsc, w których co do zasady taki monitoring jest zakazany powinny uwzględniać zasadę zapewnienia ochrony danych osobowych na etapie projektowania i domyślnej ochrony danych ujęte w art. 25 RODO. Należy pamiętać, że pomieszczenia wyłączone z monitoringu mogą być nim objęte tylko wyjątkowo, ze względu na istniejące zagrożenie dla realizacji celu (bezpieczeństwo osób i mienia itd.). Może to np. oznaczać tymczasowe objęcie nadzorem kamer szafek, do których ktoś usiłował się włamać albo dokonał z nich kradzieży. Nie stanowi to podstawy do nieograniczonego w czasie monitorowania tych obszarów.

Monitoring poczty elektronicznej …

Zgodnie z art. 22(3) § 1 k.p. pracodawca może wprowadzić kontrolę służbowej poczty elektronicznej pracownika, jeżeli jest to niezbędne do:

1. zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy;

2. właściwego użytkowania udostępnionych pracownikowi narzędzi pracy.

Korzystanie z tego monitoringu niego musi zostać również uregulowane w układzie zbiorowym pracy lub w regulaminie pracy albo w obwieszczeniu, jeżeli pracodawca nie jest objęty układem zbiorowym pracy lub nie jest obowiązany do ustalenia regulaminu pracy. Ponadto pracodawca musi spełnić pozostałe obowiązki informacyjne, o których była mowa powyżej.

Monitoring poczty elektronicznej nie może naruszać tajemnicy korespondencji oraz innych dóbr osobistych pracownika. Pracodawcy często głowią się jak to zrobić. Po pierwsze pracodawca może zastosować taki algorytm przeszukiwania poczty, że będą monitorowane wyłącznie te wiadomości, których domena będzie wskazywała, że zostały przesłane lub są od klientów/kontrahentów pracodawcy. Po drugie pracodawca może zobowiązać pracowników do odpowiedniego oznaczania wiadomości prywatnych. Po trzecie i to rozwiązanie wydaje się najwłaściwsze, pracodawca powinien ustalić w regulaminie pracy (lub w innym odpowiednim akcie), że ze służbowej poczty elektronicznej nie można korzystać w celach prywatnych.

Inne formy monitoringu, w tym stosowanie GPS …

Ustawodawca w art. 22(3) k.p. zezwolił na stosowanie przez pracodawców również innych form monitoringu, przy spełnieniu określonych warunków, o których była mowa powyżej, jeśli ich zastosowanie jest konieczne do realizacji celów związanych z zapewnieniem organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwym użytkowaniem udostępnionych pracownikowi narzędzi pracy. Na podstawie tej regulacji rodzi się pytanie czy pracodawca może sprawdzać lokalizację samochodu służbowego poza godzinami pracy pracownika, któremu samochód ten został powierzony. Mając powyższe na względzie oraz sytuację, iż pracodawca w regulaminie pracy wprowadziłby zakaz korzystanie z samochodów służbowych do celów prywatnych, wydaje się, że odpowiedzieć na to pytanie powinna być twierdząca. Można odnaleźć jednak inne stanowiska w tej kwestii, choćby takie, które kategorycznie zabraniało by stosowania GPS po godzinach pracy pracowników z uwagi na prawo do prywatności.

Wpis nie stanowi porady ani opinii prawnej w rozumieniu przepisów prawa  oraz ma charakter wyłącznie  informacyjny. Stanowi  wyraz poglądów jego autora na tematy prawnicze związane z treścią przepisów prawa, orzeczeń sądów, interpretacji organów państwowych i publikacji prasowych. Kancelaria Ostrowski i Wspólnicy Sp.K. i autor wpisu nie ponoszą odpowiedzialności za ewentualne skutki decyzji podejmowanych na jego podstawie.