Regulamin korzystania z monitoringu wizyjnego: zgodność z RODO i informowanie osób

Po co instytucji regulamin monitoringu wizyjnego i kogo on dotyczy

Regulamin monitoringu jako narzędzie porządku i dowód zgodności z RODO

Regulamin monitoringu wizyjnego jest jednym z kluczowych dokumentów, który pozwala uporządkować sposób korzystania z kamer i nagrań w każdej instytucji. Bez jasno opisanych zasad praktyka jest taka: „wszyscy coś robią”, ale nikt nie wie dokładnie, na jakiej podstawie, kto decyduje o udostępnieniu nagrania, ile czasu przechowuje się zapis i co wolno ochronie. Regulamin porządkuje te obszary, wskazując konkretne role, odpowiedzialności i procedury.

Dzięki dobrze opracowanemu regulaminowi monitoring wizyjny przestaje być „samopasem” działającym systemem IT, a staje się częścią świadomie zarządzanego procesu przetwarzania danych osobowych. Dokument jest też praktycznym dowodem na przestrzeganie zasady rozliczalności z RODO – podczas kontroli UODO możesz przedstawić spisane zasady, procedury i zakresy obowiązków. To jeden z pierwszych dokumentów, o które organ nadzorczy zwykle pyta.

Regulamin monitoringu wizyjnego ułatwia również pracę kierownikom, działowi kadr, ochronie, administratorom IT i Inspektorowi Ochrony Danych. Gdy pojawia się wniosek o udostępnienie nagrania lub zgłoszenie incydentu, wystarczy odwołać się do gotowej procedury, zamiast za każdym razem wymyślać rozwiązanie ad hoc lub – co gorsza – decydować emocjonalnie. Jasne zasady ograniczają też ryzyko konfliktów z pracownikami, związkami zawodowymi czy mieszkańcami osiedli.

Jakie osoby obejmuje regulamin monitoringu wizyjnego

Regulamin monitoringu wizyjnego nie służy tylko „na potrzeby kadr”. Powinien obejmować wszystkie kategorie osób, które mogą znaleźć się w zasięgu kamer:

• Pracownicy – zarówno zatrudnieni na umowę o pracę, jak i zleceniobiorcy, stażyści czy praktykanci, jeżeli pojawiają się w monitorowanych przestrzeniach.
• Klienci i petenci – osoby korzystające z usług urzędu, firmy, placówki medycznej, szkoły czy instytucji kultury.
• Kontrahenci i podwykonawcy – np. firmy sprzątające, serwisowe, ochroniarskie, dostawcy towaru – wszyscy, którzy mogą poruszać się po monitorowanym terenie.
• Odwiedzający – rodziny pacjentów, rodzice uczniów, goście na terenie wspólnoty mieszkaniowej lub zakładu pracy.
• Osoby postronne – np. przechodnie przechodzący w zasięgu kamer zewnętrznych, jeżeli ich wizerunek jest rejestrowany.

Regulamin nie musi oczywiście wymieniać każdej kategorii z osobna w sposób barokowy, ale powinien jasno wskazywać, że monitoring obejmuje wszystkie osoby przebywające w zasięgu kamer. Jednocześnie trzeba pamiętać, że różne kategorie osób mogą mieć różne oczekiwania i różne kanały komunikacji – inne rozwiązania zadziałają w relacji z pracownikiem (np. szkolenie wstępne), a inne względem klienta (tabliczka, strona www, klauzula przy wejściu).

Różne typy instytucji – różne akcenty w regulaminie

Zakres i szczegółowość regulaminu monitoringu wizyjnego będzie się różnił w zależności od typu podmiotu. Przepisy ogólne RODO są wspólne, ale praktyka ich stosowania w szkołach, urzędach czy wspólnotach mieszkaniowych jest inna.

W instytucjach publicznych (urzędy, samorządy, jednostki organizacyjne JST) monitoring często opiera się na przesłance wykonywania zadania realizowanego w interesie publicznym. Dochodzą do tego przepisy szczególne, np. regulujące monitoring w szkołach. Regulamin powinien dokładnie wskazać podstawy prawne, powiązanie z zadaniami ustawowymi oraz sposób nadzoru organu prowadzącego.

W podmiotach prywatnych (firmy, centra handlowe, zakłady produkcyjne, biurowce) monitoring zwykle opiera się na uzasadnionym interesie administratora, jakim jest ochrona osób i mienia. W regulaminie trzeba wtedy dobrze uzasadnić ten interes oraz wykazać, że nie przeważa on nad prawami i wolnościami osób fizycznych. Wspólnoty i spółdzielnie mieszkaniowe mają dodatkowo specyficzną strukturę decyzyjną (uchwały, zarząd, administrator), co powinno być odzwierciedlone w podziale ról opisanym w regulaminie.

W placówkach oświatowych (szkoły, przedszkola) i medycznych (szpitale, przychodnie) w grę wchodzi ochrona osób szczególnie wrażliwych – dzieci, pacjentów, osób niepełnosprawnych. W takich miejscach regulamin musi szczególnie precyzyjnie opisywać wyłączone strefy (np. gabinety lekarskie, sale zabiegowe, szatnie, toalety) oraz bardzo ostrożnie regulować dostęp do nagrań dla rodziców czy rodzin pacjentów. W tle cały czas czai się pytanie: „Czy to jeszcze bezpieczeństwo, czy już naruszenie godności?”.

Relacja regulaminu monitoringu do innych dokumentów

Regulamin monitoringu wizyjnego nie powinien funkcjonować w próżni. To element szerszego systemu zarządzania ochroną danych i bezpieczeństwem informacji. W praktyce musi spójnie współgrać z kilkoma innymi dokumentami:

• Polityka bezpieczeństwa informacji / ochrony danych osobowych – regulamin rozwija jej postanowienia dotyczące przetwarzania danych z monitoringu; nie powinien im przeczyć.
• Regulamin pracy – jeśli monitoring obejmuje miejsca pracy, dobrze jest odesłać w regulaminie pracy do regulaminu monitoringu i odwrotnie, aby pracownicy mieli kompletny obraz swoich praw i obowiązków.
• Instrukcje IT i instrukcje zarządzania systemem informatycznym – dotyczą konfiguracji systemu, uprawnień w systemie VMS, sposobu kopiowania nagrań, procedur backupów i usuwania danych.
• Procedury bezpieczeństwa fizycznego – np. instrukcje ochrony obiektu, procedury reagowania na incydenty, książki służby ochrony.

W regulaminie warto umieścić krótką część wstępną, w której wskazuje się te powiązania, aby uniknąć sprzeczności. Dobrą praktyką jest też wskazanie, że w sprawach nieuregulowanych w regulaminie monitoringu stosuje się ogólne zasady wynikające z RODO, przepisów krajowych oraz wewnętrznych polityk ochrony danych.

Podstawy prawne monitoringu wizyjnego: RODO i przepisy krajowe

Monitoring jako przetwarzanie danych osobowych

Monitoring wizyjny bardzo często oznacza przetwarzanie danych osobowych. Dzieje się tak wtedy, gdy na nagraniu można zidentyfikować osobę fizyczną – bezpośrednio (po wizerunku) lub pośrednio (po innych cechach, np. tablicy rejestracyjnej powiązanej z konkretną osobą, charakterystycznym stroju połączonym z inną wiedzą administratora).

Jeśli kamera obejmuje jedynie obszar w sposób uniemożliwiający identyfikację konkretnej osoby, a administrator w ogóle nie ma dostępu do innych informacji, które pozwoliłyby taką identyfikację przeprowadzić, można dyskutować, czy RODO ma zastosowanie. W praktyce jednak w zdecydowanej większości przypadków monitoring budynków, ulic, wnętrz czy parkingów spełnia kryteria przetwarzania danych osobowych. Regulamin monitoringu powinien więc zakładać, że:

• nagrania są danymi osobowymi,
• system monitoringu jest zbiorem danych,
• wszystkie wymagania z RODO dotyczą tego systemu na równi z innymi systemami (np. kadrowym czy CRM).

To ma praktyczne konsekwencje: konieczność posiadania podstawy prawnej, zapewnienia bezpieczeństwa danych, spełnienia obowiązku informacyjnego, prowadzenia rejestru czynności przetwarzania, realizacji praw osób, których dane dotyczą, a czasem przeprowadzenia oceny skutków dla ochrony danych (DPIA) w przypadku szczególnie inwazyjnego monitoringu.

Podstawy prawne z RODO – w jakich sytuacjach które przepisy

RODO wymienia kilka przesłanek legalizujących przetwarzanie danych osobowych. W regulaminie monitoringu najczęściej pojawiają się trzy z nich:

• art. 6 ust. 1 lit. c RODO – obowiązek prawny,
• art. 6 ust. 1 lit. e RODO – zadanie realizowane w interesie publicznym,
• art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes administratora.

Obowiązek prawny wchodzi w grę wtedy, gdy przepisy szczególne wprost przewidują stosowanie monitoringu i nakładają na administratora dane obowiązki – przykładowo w niektórych ustawach sektorowych. Zadanie realizowane w interesie publicznym będzie typowe dla jednostek sektora finansów publicznych, gdy monitoring służy wykonywaniu ustawowych zadań, np. zapewnieniu bezpieczeństwa w szkołach czy urzędach.

Prawnie uzasadniony interes administratora to najczęstsza podstawa w sektorze prywatnym i we wspólnotach mieszkaniowych. Chodzi tu np. o ochronę mienia, zapobieganie kradzieżom, możliwość dochodzenia i obrony roszczeń. Przy tej podstawie konieczne jest dokonanie testu równowagi, czyli analizy, czy interes administratora nie jest nadrzędny w stosunku do praw i wolności osób, których dane są przetwarzane. Wyniki tej analizy powinny być udokumentowane, a w regulaminie można zawrzeć ich zwięzłe podsumowanie.

Zgoda osoby (art. 6 ust. 1 lit. a RODO) w monitoringu wizyjnym co do zasady nie jest wygodnym i bezpiecznym rozwiązaniem. Trudno bowiem mówić o dobrowolności zgody pracownika, który musi wejść na teren objęty monitoringiem, aby pracować, lub klienta, który chce załatwić swoją sprawę w urzędzie. Regulamin monitoringu raczej nie powinien opierać się na zgodzie – wyjątki są rzadkie i wymagają bardzo ostrożnego podejścia.

Przepisy szczególne – kodeks pracy i ustawy sektorowe

Oprócz RODO niezwykle istotne są przepisy krajowe, które regulują monitoring w konkretnych obszarach. W Polsce kluczowe znaczenie ma kodeks pracy, a także ustawowe regulacje sektorowe, np. w oświacie czy ochronie zdrowia.

Kodeks pracy określa m.in.:

• cele, w jakich można stosować monitoring wizyjny w stosunku do pracowników (ochrona mienia, kontrola produkcji, zachowanie tajemnicy informacji, bezpieczeństwo),
• zakaz obejmowania określonych pomieszczeń (np. sanitariatów, szatni, palarni, stołówek, chyba że szczególne przypadki),
• obowiązek poinformowania pracowników o wprowadzeniu monitoringu z odpowiednim wyprzedzeniem,
• konieczność uregulowania monitoringu w układzie zbiorowym, regulaminie pracy lub obwieszczeniu – regulamin monitoringu często pełni tu rolę dokumentu uzupełniającego.

W placówkach oświatowych monitoring reguluje dodatkowo prawo oświatowe i akty wykonawcze. Ustawodawca wskazuje m.in. cel monitoringu (bezpieczeństwo uczniów i pracowników), obowiązek konsultacji z radą rodziców i samorządem uczniowskim, sposób informowania o monitoringu oraz techniczne i organizacyjne wymogi systemu.

W podmiotach leczniczych monitoring musi być dostosowany do szczególnej ochrony tajemnicy medycznej i prywatności. Kamery nie mogą naruszać intymności pacjentów, a udostępnianie nagrań musi uwzględniać przepisy o dokumentacji medycznej, tajemnicy zawodowej i prawach pacjenta. Z kolei w transporcie publicznym (autobusy, tramwaje, pociągi) monitoring opisują przepisy dotyczące bezpieczeństwa i porządku, czasem branżowe rozporządzenia.

Wytyczne UODO i orzecznictwo – czego już nie wypada robić

Choć wytyczne UODO czy decyzje organu nie są „źródłem prawa” w sensie technicznym, to w praktyce wyznaczają standardy interpretacyjne. Brak ich uwzględnienia w regulaminie monitoringu to proszenie się o kłopoty przy pierwszej kontroli. UODO wielokrotnie podkreślał kilka podstawowych tez:

• monitoring w szatniach, toaletach, przebieralniach jest co do zasady niedopuszczalny, chyba że zachodzą wybitnie wyjątkowe okoliczności i zastosowano daleko idące środki ochrony (np. zamazanie obrazu, ograniczenie pola widzenia, ścisła kontrola dostępu),
• monitoring nie może prowadzić do stałego, szczegółowego śledzenia pracownika w sposób naruszający jego godność,
• monitoring musi być proporcjonalny – nie można stosować go „na wszelki wypadek” w każdym możliwym miejscu,
• kwalifikowana jest też kwestia łączenia monitoringu z innymi technikami, jak rozpoznawanie twarzy, geolokalizacja czy nagrywanie dźwięku – to wymaga bardzo solidnej oceny skutków dla ochrony danych.

W regulaminie korzystania z monitoringu wizyjnego warto odwołać się do zasady proporcjonalności i minimalizacji danych, a przy opisie pomieszczeń objętych monitoringiem jasno wskazać wyłączenia i ograniczenia. Liczenie, że „jakoś to będzie” i nikt się nie zorientuje, gdy kamera wisi w przebieralni, zwykle kończy się źle – jeśli nie decyzją UODO, to przynajmniej medialną aferą.

Zakres i cel monitoringu – jak to precyzyjnie opisać w regulaminie

Definiowanie celów monitoringu: co naprawdę chcemy osiągnąć

Jak formułować cele w regulaminie – przykłady i typowe błędy

Cele monitoringu najlepiej opisywać w sposób zwięzły, ale konkretny. Zamiast ogólników typu „w celu bezpieczeństwa”, lepiej wskazać, jakiego bezpieczeństwa i w jakim obszarze dotyczy to w praktyce. Dobrze działają krótkie, numerowane punkty w treści regulaminu, np.:

• zapewnienie bezpieczeństwa osób przebywających na terenie obiektu (pracowników, klientów, kontrahentów),
• ochrona mienia Administratora i osób trzecich znajdującego się na terenie obiektu,
• udokumentowanie zdarzeń naruszających porządek lub przepisy prawa w celu dochodzenia lub obrony roszczeń,
• kontrola prawidłowego korzystania z infrastruktury i urządzeń technicznych.

Krótki test praktyczny: jeśli po przeczytaniu celów pracownik ochrony wciąż nie jest pewny, po co ma ten monitoring, to znaczy, że opis jest zbyt ogólny. Z kolei zbyt szerokie cele („zapewnienie prawidłowego funkcjonowania organizacji w każdym obszarze”) w razie kontroli wyglądają jak próba „złapania wszystkiego”.

Przy doprecyzowaniu celów dobrze jest wprost wskazać, czego monitoring nie służy. Np.:

• nie jest wykorzystywany do stałej, szczegółowej oceny efektywności pracy konkretnych pracowników,
• nie jest wykorzystywany do profilowania osób, których wizerunek zarejestrowano,
• nie jest łączony z systemami biometrii (np. rozpoznawania twarzy), chyba że regulamin przewiduje wyraźne i odrębne zasady takiego rozwiązania.

Taki zapis pokazuje organowi nadzorczemu, że administrator rozumie zasadę minimalizacji i ma przemyślaną rolę monitoringu, a nie traktuje systemu kamer jako „wszechwidzącego oka” do wszystkiego.

Zakres przestrzenny monitoringu – jak opisać miejsca objęte kamerami

Opis zakresu przestrzennego nie może się ograniczać do zdania „monitoring obejmuje teren obiektu”. Z punktu widzenia RODO i praktyki ważna jest mapa monitoringu – najlepiej zarówno w formie graficznej (plan z zaznaczonymi kamerami), jak i tekstowej w regulaminie.

W regulaminie sprawdza się podział na kategorie miejsc:

• Wejścia i wyjścia – drzwi główne, wejścia od zaplecza, bramy wjazdowe.
• Strefy wspólne – korytarze, klatki schodowe, recepcje, hole, poczekalnie.
• Strefy szczególnego ryzyka – magazyny, serwerownie, pomieszczenia kasowe, punkty wydawania towaru, parkingi.
• Teren zewnętrzny – dojścia do budynków, place manewrowe, ogrodzenia.

Dobrą praktyką jest wprowadzenie w regulaminie załącznika opisującego:

• lokalizację każdej kamery lub strefy kamer,
• kierunek i zasięg pola widzenia (np. „kamera nie obejmuje wnętrza lokali mieszkalnych położonych naprzeciw budynku”),
• informację o braku rejestracji dźwięku, jeśli system tej funkcji nie wykorzystuje.

Tam, gdzie kamery potencjalnie „łapią” obszary sąsiednie (ulicę, mieszkania naprzeciwko, inne firmy), trzeba wyraźnie zaznaczyć w regulaminie i dokumentacji technicznej, że zastosowano ograniczenie pola widzenia (np. maski prywatności, odpowiednie ustawienie obiektywu). W razie skargi sąsiada to często pierwsza rzecz, o którą zapyta UODO.

Monitoring a obszary wyłączone – jak to ująć, żeby nie było wątpliwości

Wrażliwe miejsca (szatnie, toalety, pomieszczenia socjalne, gabinety lekarskie, pokoje rozmów z psychologiem itp.) powinny zostać w regulaminie wymienione wprost jako nieobjęte monitoringiem. Przejrzysty, konkretny zapis:

• ułatwia pracownikom i innym osobom zorientowanie się, gdzie mogą liczyć na pełniejszą prywatność,
• pokazuje podczas kontroli, że administrator świadomie ograniczył ingerencję w dane osobowe,
• zmniejsza ryzyko „twórczej inwencji” przy późniejszej rozbudowie systemu (ktoś wpada na pomysł dołożenia kamery „na wszelki wypadek”).

Jeżeli w jakimś pomieszczeniu z natury wrażliwym zastosowano monitoring (np. z powodu szczególnych zagrożeń bezpieczeństwa), regulamin musi jasno opisać:

• podstawę prawną i szczegółowe uzasadnienie takiego rozwiązania,
• jak ograniczono pole widzenia (np. kamera obejmuje wyłącznie wejście i ciąg komunikacyjny, a nie miejsca, gdzie można się przebierać),
• dodatkowe środki ochrony (silnie ograniczony dostęp do nagrań, krótszy czas przechowywania itp.).

Monitoring ciągły czy wycinkowy – tryby pracy systemu

W regulaminie warto wskazać, czy monitoring działa w trybie:

• ciągłym – nagrywanie 24/7,
• czasowym – np. tylko w godzinach nocnych lub w innych określonych porach,
• zdarzeniowym – nagrywanie po wykryciu ruchu, naruszeniu strefy, sygnale z innego systemu (alarm, BMS).

Ma to znaczenie nie tylko dla prywatności, ale też dla późniejszego wyjaśniania incydentów. Jeśli w regulaminie wskazano nagrywanie wyłącznie w godzinach pracy ochrony, a poszkodowany oczekuje nagrania z weekendu – łatwiej wyjaśnić, dlaczego go po prostu nie ma. Dobrze więc dodać krótki opis:

• ram czasowych pracy monitoringu,
• ewentualnych wyjątków (np. imprezy masowe, okresy wzmożonego zagrożenia),
• powiązań z innymi systemami (alarm, kontrola dostępu).

Dane dodatkowe – czy jest dźwięk, analityka, rozpoznawanie twarzy

Coraz częściej systemy CCTV oferują „gratis” funkcje, które z perspektywy RODO są zupełnie inną ligą, np.:

• nagrywanie i analizę dźwięku,
• zaawansowaną analitykę obrazu (zliczanie osób, rozpoznawanie twarzy, śledzenie obiektów),
• integrację z systemem kontroli dostępu, geolokalizacją i innymi danymi.

Jeśli takie funkcje są używane, regulamin musi:

• wprost je wskazać,
• określić cel ich stosowania i podstawę prawną,
• opisać dodatkowe zabezpieczenia (np. ograniczenia uprawnień, szyfrowanie, krótszy retention).

Jeżeli system technicznie umożliwia takie funkcje, ale administrator ich nie używa, można w regulaminie dodać krótką informację typu: „System monitoringu nie jest wykorzystywany do rozpoznawania twarzy ani nagrywania dźwięku”. Oszczędza to wielu nieporozumień i podejrzeń.

Rola administratora, IOD i osób upoważnionych – odpowiedzialności krok po kroku

Administrator – kto nim jest i za co odpowiada

W regulaminie trzeba jasno wskazać, kto jest administratorem danych z monitoringu. Zazwyczaj jest to:

• pracodawca – w przypadku zakładu pracy,
• jednostka samorządu terytorialnego – w przypadku monitoringu miejskiego, szkolnego itp.,
• wspólnota lub spółdzielnia mieszkaniowa – dla monitoringu części wspólnych budynków.

Administrator:

• ustala cele i sposoby przetwarzania danych z monitoringu,
• decyduje o lokalizacji kamer, parametrach nagrywania i okresie przechowywania,
• zapewnia środki techniczne i organizacyjne ochrony danych,
• przyjmuje i realizuje wnioski osób, których dane dotyczą (dostęp, sprzeciw, ograniczenie),
• nadzoruje podmioty przetwarzające (firmy ochroniarskie, serwisujące system).

Te obowiązki nie muszą być opisane w regulaminie w języku prawniczym. Wystarczy prosty zapis, który wskaże, że to administrator „ponosi odpowiedzialność za zgodność przetwarzania danych z przepisami prawa oraz niniejszym regulaminem” oraz że wykonuje te obowiązki bezpośrednio lub przez upoważnionych pracowników.

Inspektor ochrony danych – co musi mieć w ręku, aby realnie działać

Jeżeli administrator wyznaczył Inspektora Ochrony Danych, warto w regulaminie:

• podać jego dane kontaktowe (adres e-mail, adres pocztowy),
• krótko określić jego rolę w obszarze monitoringu.

Najczęściej rola IOD obejmuje:

• opiniowanie projektów zmian systemu monitoringu (nowe kamery, zmiana lokalizacji, nowe funkcje),
• udział w analizie ryzyka i ewentualnej ocenie skutków (DPIA) dla monitoringu,
• współpracę przy przygotowywaniu klauzul informacyjnych, piktogramów, procedur dostępu do nagrań,
• udział w szkoleniach dla osób upoważnionych do obsługi systemu,
• kontakt z UODO w razie incydentów lub kontroli dotyczących monitoringu.

Regulamin nie zastąpi oczywiście zakresu czynności IOD, ale jasno zakomunikuje pracownikom, do kogo zgłaszać wątpliwości i pytania związane z monitoringiem. W praktyce bywa to po prostu krótka sekcja typu „W sprawach ochrony danych osobowych związanych z monitoringiem można kontaktować się z IOD pod adresem…”.

Osoby upoważnione – kto może oglądać nagrania i na jakich zasadach

Najczęściej problemy nie wynikają z tego, że system jest źle ustawiony technicznie, ale z tego, że zbyt wiele osób „ma dostęp do nagrań”. Regulamin powinien jasno:

• wskazać stanowiska lub funkcje osób, które mogą mieć dostęp do systemu (np. kierownik działu ochrony, dyrektor szkoły, administrator systemu IT),
• określić, czy dostęp obejmuje podgląd na żywo, odtwarzanie nagrań, kopiowanie, usuwanie,
• wymagać imiennych upoważnień do przetwarzania danych z monitoringu.

Plus kilka prostych zasad, które dobrze działają w praktyce:

• zakaz udostępniania loginów i haseł do systemu monitoringu innym osobom,
• obowiązek logowania się do systemu wyłącznie w zakresie koniecznym do wykonywania obowiązków służbowych,
• obowiązek zachowania w tajemnicy informacji uzyskanych z nagrań.

W większych organizacjach przydaje się też rozróżnienie ról:

• operatorzy – odpowiedzialni za obsługę bieżącą (patrz: pracownicy ochrony),
• osoby decyzyjne – które mogą zatwierdzać udostępnienie nagrania na zewnątrz,
• administratorzy techniczni – mający dostęp do konfiguracji systemu, ale niekoniecznie do merytorycznej analizy nagrań.

Powierzenie przetwarzania – firmy ochroniarskie i serwis IT

Jeśli w obsługę systemu zaangażowana jest zewnętrzna firma ochroniarska lub dostawca systemu (serwis, helpdesk zdalny), niezbędna jest umowa powierzenia przetwarzania danych. Regulamin może:

• wskazać, że administrator korzysta z usług konkretnych podmiotów zewnętrznych,
• odwołać się do zawartych z nimi umów powierzenia i wymaganego poziomu zabezpieczeń,
• opisać zasady obecności serwisantów w pomieszczeniu z rejestratorem (np. praca pod nadzorem upoważnionego pracownika administratora).

Umowa powierzenia powinna regulować m.in.:

• zakres dostępu podmiotu zewnętrznego do nagrań,
• zasady dokumentowania zleceń serwisowych,
• zakaz wykorzystywania nagrań do innych celów niż określone w umowie,
• obowiązek zachowania poufności i stosowania odpowiednich środków bezpieczeństwa.

Szkolenia i odpowiedzialność dyscyplinarna

Monitoring bywa traktowany jak oczywistość („kamery są, wszyscy o tym wiedzą”), przez co często nikt nie tłumaczy pracownikom, jak z nim obchodzić się zgodnie z prawem. Regulamin może wprowadzać:

• obowiązek okresowych szkoleń dla osób upoważnionych do obsługi systemu,
• zasadę zapoznania z regulaminem każdej nowej osoby mającej dostęp do monitoringu, potwierdzoną podpisem,
• informację, że naruszenie zasad (np. nieuprawnione kopiowanie nagrań, udostępnianie ich w mediach społecznościowych) może skutkować odpowiedzialnością dyscyplinarną, porządkową, a nawet karną.

Obowiązek informacyjny przy monitoringu: jak informować osoby i co dokładnie napisać

Dwustopniowa informacja: tabliczka + pełna klauzula

Przy monitoringu nie działa zasada „kto widzi kamerę, ten wie, że jest nagrywany”. RODO wymaga realnej informacji, a nie gry w zgaduj-zgadulę. W praktyce najlepiej sprawdza się model dwustopniowy:

• pierwsza warstwa – krótka informacja przy wejściu (piktogram + podstawowe dane),
• druga warstwa – pełna klauzula informacyjna w wersji pisemnej lub elektronicznej.

Regulamin może i powinien opisywać obie warstwy oraz to, gdzie są dostępne. Dzięki temu przy kontroli UODO nie trzeba tłumaczyć, że „tabliczki były, tylko ktoś je zdjął do malowania” – wystarczy pokazać, jak to zostało ujęte w dokumentach i jak jest wdrażane w praktyce.

Co musi się znaleźć na tabliczce informacyjnej

Tabliczka z kamerą nie musi być dziełem sztuki, ale powinna zawierać kilka kluczowych elementów. W regulaminie można wskazać minimalny zakres informacji, np. że piktogram obejmuje:

• czytelny symbol kamery w widocznym miejscu,
• informację, że obszar jest monitorowany,
• nazwę administratora danych (np. pełną nazwę firmy, szkoły, spółdzielni),
• skrótową informację o celu, np. „Monitoring wizyjny prowadzony w celu zapewnienia bezpieczeństwa osób i mienia”,
• odnośnik do pełnej klauzuli informacyjnej – np. adres strony WWW lub informację, gdzie dostępna jest wersja papierowa („pełna informacja o przetwarzaniu danych dostępna w sekretariacie / recepcji / BOK”),
• adres e-mail kontaktowy (zwłaszcza w większych organizacjach).

Warto doprecyzować, że tabliczki:

• powinny być umieszczone przed wejściem w zasięg kamer (a nie dopiero nad rejestratorem w piwnicy),
• muszą być w rozmiarze i kolorystyce zapewniających dobrą widoczność,
• są aktualizowane przy zmianie administratora, adresu strony internetowej czy kontaktu do IOD.

Pełna klauzula informacyjna – obowiązkowe elementy

Druga warstwa informacji to klasyczna klauzula zgodna z art. 13 RODO, dopasowana do specyfiki monitoringu. Regulamin może opisywać, że klauzula powinna obejmować co najmniej:

• dane administratora (nazwa, dane kontaktowe),
• dane kontaktowe IOD (jeśli został wyznaczony),
• cel przetwarzania (np. zapewnienie bezpieczeństwa osób i mienia, ochrona tajemnicy przedsiębiorstwa, kontrola wstępu na teren),
• podstawę prawną (np. prawnie uzasadniony interes administratora, przepis szczególny ustawy, obowiązek prawny),
• informację o odbiorcach lub kategoriach odbiorców danych (np. policja, sądy, firmy ochroniarskie, serwis IT),
• okres przechowywania nagrań (albo kryteria jego ustalenia),
• informację o prawach osób, których dane dotyczą (dostęp, sprostowanie, ograniczenie, usunięcie, sprzeciw),
• informację o prawie wniesienia skargi do organu nadzorczego (UODO) wraz z danymi kontaktowymi,
• ewentualną informację o przekazywaniu danych do państw trzecich (jeśli jest stosowane, np. przy chmurze),
• informację, czy przetwarzanie obejmuje zautomatyzowane podejmowanie decyzji lub profilowanie (przy zaawansowanej analityce obrazu).

Dobrym pomysłem jest dopisanie w regulaminie, że treść klauzuli jest spójna z rejestrem czynności przetwarzania i innymi dokumentami RODO. Dzięki temu przy aktualizacji czegokolwiek (np. okresu retencji) wiadomo, że trzeba „ruszyć” kilka miejsc naraz, a nie tylko jedną kartkę na korytarzu.

Gdzie i w jakiej formie udostępniać pełną informację

Sama treść klauzuli to połowa sukcesu. Druga połowa to pytanie: gdzie ją umieścić, żeby faktycznie była dostępna? Regulamin może wprost wskazać:

• miejsce wywieszenia wersji papierowej (np. recepcja, sekretariat, tablica ogłoszeń w holu),
• adres strony internetowej z pełną treścią klauzuli,
• sposób udostępniania jej pracownikom (np. w intranecie, przy podpisywaniu umów o pracę, w pakiecie dokumentów BHP),
• procedurę udostępnienia na żądanie – np. wydruk na prośbę osoby wchodzącej na teren, przesłanie mailem.

W instytucjach publicznych i większych firmach dobrze sprawdza się zapis, że klauzula jest stałym załącznikiem do regulaminu monitoringu oraz że każda zmiana regulaminu, która dotyka danych osobowych, pociąga za sobą aktualizację klauzuli.

Monitoring a obowiązek informacyjny wobec pracowników

W przypadku pracowników sam piktogram na drzwiach stanowczo nie wystarcza. Kodeks pracy wymaga wyraźnego poinformowania o monitoringu przed dopuszczeniem do pracy w monitorowanych pomieszczeniach. W regulaminie można więc opisać, że:

• informacja o monitoringu jest przekazywana pracownikom na piśmie (np. w pakiecie dokumentów przy zatrudnieniu),
• pracownik potwierdza zapoznanie się z informacją o monitoringu i regulaminem podpisem lub elektronicznie,
• informacja obejmuje co najmniej: zakres monitorowanego obszaru, cele, podstawę prawną, okres przechowywania nagrań oraz przysługujące prawa.

Przyda się też doprecyzowanie, że zmiany systemu monitoringu (np. nowe kamery, zmiana zakresu pomieszczeń objętych nagraniem, wprowadzenie nagrywania dźwięku) wymagają ponownego poinformowania pracowników w odpowiednim wyprzedzeniem.

Monitoring a goście, mieszkańcy, uczniowie – specyfika różnych grup

Różne grupy korzystają z przestrzeni na innych zasadach, więc sposób informowania też bywa inny. Regulamin może doprecyzować:

• klienci / goście – podstawową formą informacji są tablice przy wejściu oraz pełna klauzula dostępna w recepcji i na stronie internetowej,
• mieszkańcy – oprócz tablic w częściach wspólnych, pełna informacja może być dołączana do umów, regulaminów wspólnoty/spółdzielni, wysyłana wraz z korespondencją okresową,
• uczniowie i rodzice – informacja może być częścią regulaminu szkoły, statutu, zestawu dokumentów na rozpoczęcie roku, a także ogłoszona na zebraniach; przy młodszych dzieciach przydaje się proste objaśnienie, co to znaczy, że „szkoła ma kamery”.

Taki podział w regulaminie ułatwia potem wykazanie, że każda z grup miała realną możliwość zapoznania się z zasadami monitoringu – a to przy ewentualnym sporze czy kontroli bywa bardzo pomocne.

Informowanie o szczególnych funkcjach – dźwięk, analityka, rozpoznawanie twarzy

Jeżeli monitoring obejmuje funkcje wykraczające poza standardowe nagrywanie obrazu, obowiązek informacyjny trzeba rozszerzyć. Regulamin może wskazywać, że:

• w przypadku nagrywania dźwięku tabliczki i klauzula zawierają jasną informację o rejestracji obrazu i dźwięku,
• przy stosowaniu rozpoznawania twarzy, śledzenia osób lub innych zaawansowanych funkcji analitycznych, opisuje się to wprost w klauzuli, wraz z wyjaśnieniem celu i skutków takiego przetwarzania,
• zmiana konfiguracji systemu (np. włączenie analityki, która wcześniej była wyłączona) jest traktowana jak zmiana zasad przetwarzania danych i wymaga aktualizacji informacji dla osób.

Jeżeli administrator nie korzysta z takich funkcji, dobrym zwyczajem jest krótka, uspokajająca formuła w klauzuli, zgodna z tym, co opisano w regulaminie, np. „System monitoringu nie jest wykorzystywany do zdalnej identyfikacji osób na podstawie wizerunku ani do nagrywania dźwięku”.

Okres przechowywania nagrań i zasady usuwania – jak to rozsądnie ustalić

Jak ustalić czas przechowywania nagrań

RODO nie podaje konkretnej liczby dni, więc administrator musi sam określić okres retencji – ale nie według zasady „im dłużej, tym lepiej”. Regulamin powinien opisywać kryteria doboru tego okresu, np.:

• typ obiektu (szkoła, biurowiec, magazyn wysokiego ryzyka, parking),
• częstotliwość występowania incydentów (kradzieże, akty wandalizmu, naruszenia bezpieczeństwa),
• czas potrzebny na zgłoszenie szkody lub zdarzenia (np. rozliczenia kasowe, przegląd nagrań po weekendach),
• wymogi przepisów szczególnych, jeżeli takie istnieją dla danej branży.

Dobrą praktyką jest ustalenie „bazowego” okresu (np. 7, 14 lub 30 dni) oraz opisanie w regulaminie, że:

• jest on okresowo weryfikowany (np. raz na rok),
• może być skrócony lub wydłużony w uzasadnionych przypadkach, z odnotowaniem tego w dokumentacji RODO (rejestr czynności, analiza ryzyka).

Retencja a zasada minimalizacji

Monitoring ma pomagać, a nie tworzyć prywatne archiwum życia mieszkańców i pracowników. W regulaminie warto wyjaśnić, że:

• nagrania przechowywane są tylko tak długo, jak to niezbędne do realizacji celu (np. zapewnienia bezpieczeństwa, wyjaśniania incydentów),
• po upływie okresu retencji nagrania są automatycznie nadpisywane lub usuwane w sposób uniemożliwiający ich odtworzenie,
• okres retencji może być wydłużony wyłącznie wobec wybranych fragmentów nagrania, jeżeli:
  • zawierają one zarejestrowane zdarzenie istotne z punktu widzenia bezpieczeństwa,
  • są potrzebne jako dowód w postępowaniu (np. karnym, cywilnym, dyscyplinarnym),
  • osoba zażądała zabezpieczenia nagrania w związku ze zdarzeniem.

Procedura zabezpieczania nagrań „na żądanie”

Najwięcej zamieszania pojawia się, gdy ktoś zgłasza, że „w sobotę coś się stało, proszę zabezpieczyć nagranie”. Regulamin może szczegółowo opisywać prostą procedurę:

• kto przyjmuje zgłoszenie zabezpieczenia nagrania (np. recepcja, dyżurny ochrony, sekretariat),
• jakie informacje minimalnie należy podać (data, przybliżona godzina, miejsce zdarzenia, opis incydentu),
• w jakim czasie od zgłoszenia nagranie jest wstępnie zabezpieczane przed nadpisaniem,
• kto decyduje o finalnym zachowaniu lub usunięciu nagrania (np. kierownik jednostki, dział prawny),
• jak długo takie zabezpieczone nagrania są przechowywane i na jakiej podstawie.

Dobrze działają proste formularze zgłoszeniowe (papierowe lub elektroniczne), do których regulamin się odwołuje. Dzięki temu zamiast chaotycznych maili i telefonów jest konkretne zgłoszenie z datą i podpisem.

Techniczne zasady usuwania i nadpisywania nagrań

Sam zapis „nagrania są kasowane po 14 dniach” nie sprawi, że magicznie znikną z dysku. Regulamin może opisywać ogólne zasady techniczne, np.:

• system monitoringu jest skonfigurowany tak, aby po upływie ustalonego okresu nagrania były automatycznie nadpisywane najstarszym materiałem,
• zabezpieczone fragmenty są wyłączane z automatycznego nadpisywania i przechowywane w odrębnej przestrzeni (np. innym folderze, nośniku),
• kopie nagrań tworzone na potrzeby postępowań lub udostępnień są oznaczane (data, cel, osoba kopiująca) i usuwane po zakończeniu sprawy, chyba że przepisy wymagają dłuższego przechowywania.

W regulaminie nie trzeba wchodzić w szczegóły konfiguracji kamer czy rejestratorów – ważne jest raczej opisanie zasad i odpowiedzialności. Szczegóły techniczne mogą trafić do osobnych procedur IT, na które regulamin się powołuje.

Dokumentowanie operacji na nagraniach

Aby wykazać zgodność z RODO, przydaje się ślad po tym, kto, kiedy i w jakim celu coś robił z nagraniami. Regulamin może wymagać:

• prowadzenia rejestru udostępnień i kopiowania nagrań (komu, kiedy, jaki zakres, na jakiej podstawie prawnej),
• odnotowywania przypadków wydłużenia okresu przechowywania (np. z powodu postępowania karnego),
• zapisywania decyzji o odmowie udostępnienia nagrania wraz z uzasadnieniem (np. brak możliwości identyfikacji osoby, nadmierna ingerencja w prywatność innych osób).

Najczęściej zadawane pytania (FAQ)

Czy każda instytucja z kamerami musi mieć regulamin monitoringu wizyjnego?

Jeżeli monitoring pozwala zidentyfikować osoby (np. po wizerunku, tablicy rejestracyjnej), to mamy do czynienia z przetwarzaniem danych osobowych, a więc z RODO. W takiej sytuacji regulamin nie jest „fanaberią prawnika”, tylko podstawowym dokumentem porządkującym zasady korzystania z systemu.

Regulamin jest szczególnie istotny w instytucjach publicznych, firmach, wspólnotach i spółdzielniach mieszkaniowych oraz placówkach oświatowych i medycznych. Bez niego trudno wykazać rozliczalność wobec UODO, jasno podzielić odpowiedzialności czy obsłużyć wnioski o udostępnienie nagrań.

Kogo obejmuje regulamin monitoringu – tylko pracowników czy wszystkie osoby na terenie?

Regulamin powinien obejmować wszystkie osoby, które mogą znaleźć się w zasięgu kamer, a nie wyłącznie pracowników. Chodzi m.in. o:

• pracowników, zleceniobiorców, stażystów, praktykantów,
• klientów, pacjentów, petentów, uczniów i ich rodziców,
• kontrahentów, podwykonawców, dostawców, firmy serwisowe,
• gości i osoby odwiedzające, a także osoby postronne w zasięgu kamer zewnętrznych.

W regulaminie zwykle stosuje się ogólne sformułowanie, że monitoring obejmuje wszystkie osoby przebywające w zasięgu kamer. Szczegóły komunikacji (szkolenie pracowników, tablice informacyjne dla klientów, informacje na stronie www) można różnicować w zależności od grupy.

Jakie przepisy RODO są podstawą prawną monitoringu wizyjnego?

Monitoring to przetwarzanie danych osobowych, więc musi mieć jedną z podstaw wymienionych w art. 6 RODO. W praktyce przy monitoringu wizyjnym najczęściej stosuje się:

• art. 6 ust. 1 lit. c RODO – gdy monitoring wynika z konkretnego obowiązku prawnego (np. przepisy branżowe),
• art. 6 ust. 1 lit. e RODO – w instytucjach publicznych, gdy służy realizacji zadania w interesie publicznym,
• art. 6 ust. 1 lit. f RODO – w podmiotach prywatnych, wspólnotach i spółdzielniach, gdy celem jest ochrona osób i mienia jako uzasadniony interes administratora.

Regulamin powinien jasno wskazywać, która podstawa ma zastosowanie w danej instytucji, z odwołaniem do przepisów krajowych (np. oświatowych, samorządowych, mieszkaniowych) oraz krótkim uzasadnieniem, dlaczego monitoring jest potrzebny.

Jak informować osoby o monitoringu, żeby było to zgodne z RODO?

RODO wymaga spełnienia obowiązku informacyjnego, czyli przekazania osobom nagrywanym podstawowych informacji: kto jest administratorem, w jakim celu i na jakiej podstawie prowadzi monitoring, jak długo przechowuje nagrania, komu je udostępnia oraz jakie prawa przysługują osobom, których dane dotyczą.

W praktyce stosuje się zwykle „dwustopniowe” podejście:

• krótka informacja przy wejściu lub w strefie monitorowanej (piktogram, podstawowe dane, odwołanie do pełnej klauzuli),
• pełna klauzula informacyjna – np. na stronie internetowej, w recepcji, w BIP urzędu, w regulaminie pracy lub w osobnej procedurze.

Regulamin monitoringu dobrze jest powiązać z tymi formami informacji, tak aby osoba zainteresowana łatwo znalazła wszystkie szczegóły – bez detektywistycznego śledztwa po korytarzach.

Jakie elementy powinien zawierać regulamin monitoringu wizyjnego?

Poza częścią „techniczną” (gdzie są kamery, jaki system, czas przechowywania) regulamin powinien opisywać przede wszystkim zasady przetwarzania danych. Typowy zestaw elementów obejmuje:

• cele i podstawy prawne monitoringu,
• zakres monitoringu (obszar, wyłączone strefy, brak monitoringu np. w toaletach),
• podział ról i odpowiedzialności (kto administratorem, kto ma dostęp, kto decyduje o udostępnieniu nagrań),
• czas przechowywania nagrań oraz sposób ich usuwania/anonimizacji,
• procedurę udostępniania nagrań (policji, sądom, osobom nagranym),
• środki bezpieczeństwa technicznego i organizacyjnego,
• powiązanie z innymi dokumentami (polityka bezpieczeństwa, regulamin pracy, instrukcje IT).

Dzięki temu regulamin nie jest „suchą listą kamer”, lecz realnym narzędziem zarządzania procesem przetwarzania danych z monitoringu.

Jaka jest relacja regulaminu monitoringu do regulaminu pracy i polityki bezpieczeństwa?

Regulamin monitoringu powinien uzupełniać, a nie dublować inne dokumenty. Zwykle rozwija on postanowienia polityki bezpieczeństwa informacji dotyczące systemu monitoringu i wskazuje szczegółowe procedury (np. kto ma dostęp do VMS, jak kopiować nagrania).

Jeśli monitoring obejmuje stanowiska pracy lub ciągi komunikacyjne używane przez pracowników, warto w regulaminie pracy zamieścić odesłanie do regulaminu monitoringu oraz krótko opisać zasady obserwacji pracowników. Z kolei w regulaminie monitoringu można wskazać, że w sprawach nieuregulowanych stosuje się ogólne zasady z RODO, przepisów krajowych i wewnętrznych polityk ochrony danych.

Czy w szkołach, szpitalach i wspólnotach mieszkaniowych regulamin monitoringu wygląda tak samo?

Podstawowe wymagania RODO są wspólne, ale akcenty w regulaminie będą inne. W instytucjach publicznych trzeba mocno odnieść się do zadań ustawowych i interesu publicznego, w szkołach oraz placówkach medycznych – do ochrony osób szczególnie wrażliwych i wyraźnie opisać strefy wyłączone z monitoringu (gabinet lekarski, toaleta, szatnia).

We wspólnotach i spółdzielniach mieszkaniowych kluczowa jest specyficzna struktura decyzyjna (uchwały właścicieli, rola zarządu, administratora). Regulamin musi pokazywać, kto faktycznie odpowiada za system, jak mieszkańcy mogą zgłaszać uwagi oraz w jaki sposób otrzymują informacje o zasadach działania monitoringu. Dzięki temu unika się klasycznych sporów „kamera pod moim oknem” vs. „bezpieczeństwo klatki schodowej”.