Czy kamery będą musiały zniknąć z siedzib władz miast i gmin? GIODO uważa, że tak. RODO wymaga bowiem podstawy ustawowej dla takiego przetwarzania danych. Eksperci przekonują, że to zbyt formalistyczne podejście.
Podmioty publiczne, takie jak urzędy gmin, które nie mają ustawowej podstawy prawnej do dbania o bezpieczeństwo na terenie placówki, nie będą mogły wkrótce przetwarzać danych osobowych z wykorzystaniem monitoringu wizyjnego w oparciu o przesłankę prawnie uzasadnionego interesu administratora – tak przekonuje generalny inspektor ochrony danych osobowych (GIODO).
Skąd takie podejście? Jak tłumaczy nam Agnieszka Świątek-Druś, rzecznik prasowy GIODO, wynika to z motywu 47 preambuły do unijnego rozporządzenia o ochronie danych osobowych (tzw. RODO). Motyw ten stanowi, że dla organów publicznych ustawodawca powinien określić podstawę prawną dla przetwarzania danych osobowych, którego dokonują w ramach realizacji swoich zadań. Zdaniem GIODO stanowisko to znajduje również potwierdzenie w art. 6 ust. 1 akapicie 2 RODO.
Trzeba ustalić zasady
Co to wszystko oznacza? Otóż podmioty publiczne, które stosują dotychczas monitoring wizyjny, powołując się na tzw. prawnie usprawiedliwiony cel administratora (art. 23 ust. 5 ustawy o ochronie danych osobowych), za który uznawano np. zapewnienie bezpieczeństwa, od 25 maja 2018 r., tj. od dnia rozpoczęcia stosowania RODO, nie będą mogły powoływać się już na tę przesłankę. – Aby korzystanie z takiej przesłanki było wciąż możliwe, ustawodawca powinien stworzyć odpowiednią podstawę prawną w ustawie, o ile to jest potrzebne – wyjaśnia Agnieszka Świątek-Druś.
Rzeczniczka podkreśla, że GIODO oczekuje większej aktywności innych resortów w opisywanym temacie. Nie ma bowiem informacji, aby toczyły się jakiekolwiek prace legislacyjne związane z kompleksowym uregulowaniem zasad stosowania monitoringu wizyjnego. Wspomina jedynie o pracach nad przepisami dotyczącymi szkół. [ramka] My od wydziału prasowego Ministerstwa Spraw Wewnętrznych i Administracji dowiadujemy się dodatkowo, że resort widzi potrzebę wprowadzenia regulacji, które umożliwią rejestrowanie obrazu z kamer nasobnych podczas interwencji policyjnych w miejscach niepublicznych. Poza tym MSWiA informuje, że nie prowadzi żadnych prac nad zmianami uregulowań prawnych dla monitoringu wizyjnego.
Na problem braku odpowiednich regulacji zwrócił uwagę również rzecznik praw obywatelskich Adam Bodnar. Kilka dni temu zaapelował on do MSWiA, by resort ustalił zasady monitoringu wizyjnego w instytucjach publicznych. RPO argumentował, że obecnie podstawy prawne do rejestracji obrazu (w niektórych przypadkach również dźwięku) mają jedynie służby związane z szeroko rozumianym bezpieczeństwem lub porządkiem publicznym, jak Policja, Straż Miejska, Straż Graniczna, Centralne Biuro Antykorupcyjne itp.
W sprawie kamer w urzędach zadaliśmy też pytanie MSWiA, ale nie dostaliśmy odpowiedzi.
To nie realizacja zadań własnych
Eksperci nie zgadzają się z restrykcyjnym podejściem GIODO. Doktor Paweł Litwiński, adwokat w kancelarii Barta Litwiński, związany z Instytutem Allerhanda, twierdzi, że jeśli przetwarzanie danych przy użyciu kamer, np. w urzędzie miasta bądź gminy, nie wiąże się z wykonywaniem zadań publicznych przez te podmioty, to taki podmiot publiczny jako administrator danych może powołać się na działanie w swoim prawnie uzasadnionym interesie, który polega właśnie na ochronie własności, jaką jest budynek urzędu, czy w innych przypadkach na np. zapewnieniu bezpieczeństwa osób przebywających na terenie urzędu.
– Prawnie uzasadniony interes administratora nie powinien mieć zastosowania jako podstawa prawna do przetwarzania, którego dokonują organy publiczne, ale tylko wtedy, gdy organy przetwarzają dane w ramach realizacji swoich zadań, wyznaczonych w obowiązujących przepisach – podkreśla dr Paweł Litwiński. - W takim wypadku przepis prawa wprost powinien zezwalać na stosowanie monitoringu i ten monitoring regulować – dodaje.
Wtóruje mu dr Marlena Sakowska-Baryła, radca prawny i partner w Sakowska-Baryła Czaplińska Kancelaria Radców Prawnych sp.p. oraz redaktor naczelna „ABI Expert”. Jej zdaniem umieszczenie kamer w urzędach czy innych publicznych jednostkach organizacyjnych niekoniecznie musi wymagać ustawy. Zależy to m.in. od miejsc usytuowania kamer i rzeczywistego celu ich wykorzystywania. - Nie sposób twierdzić, że przetwarzanie danych w ramach monitoringu każdorazowo dokonywane jest przez organ publiczny w ramach realizacji zadań przypisanych temu organowi. Wówczas faktycznie nie byłoby możliwe powoływanie się na prawnie uzasadniony interes - zauważa ekspertka. - Jednak w sytuacji, gdy przetwarzania w postaci monitoringu nie wykorzystuje się w ramach sprawowania władztwa publicznego przez ten organ i zadań jemu przypisanych, ale wyłącznie ze względów bezpieczeństwa, wspomniana podstawa przetwarzania danych nie powinna być kwestionowana. Czym innym jest np. nagrywanie rozprawy na sali sądowej, do czego faktycznie potrzebny jest przepis ustawy, czym innym monitorowanie sytuacji na sądowych traktach komunikacyjnych, załomkach korytarzy, w wejściach do budynku - wyjaśnia Marlena Sakowska-Baryła.
Pojawiają się także eksperci, którzy podzielają zdanie GIODO, ale... różnią się w kwestii monitoringu w szkołach. [opinia eksperta]
Straż miejska może obserwować
GIODO obstaje jednak przy swoim. Urząd wyjaśnia, że podstawę do prowadzenia monitoringu zachowa np. straż gminna (miejska). Ma ona bowiem prawny obowiązek m.in. ochrony spokoju i porządku w miejscach publicznych, ochrony obiektów komunalnych i urządzeń użyteczności publicznej czy współdziałania z organizatorami oraz innymi służbami w ochronie porządku podczas zgromadzeń i imprez publicznych. A gdy jest to niezbędne w tym celu, straży przysługuje prawo do obserwowania i rejestrowania przy użyciu środków technicznych obrazu zdarzeń w miejscach publicznych. – Straż miejska może więc nadal wykorzystywać kamery w takim zakresie, w jakim uprawniają ją do tego przepisy – mówi Agnieszka Świątek-Druś. Podkreśla jednak, że jeśli przepisy nie będą określały zasad prowadzenia monitoringu przez takie podmioty, to wówczas regulacje RODO będą miały do nich zastosowanie wprost. Oznacza to, że będą one musiały wypełnić wskazane w RODO obowiązki – m.in. przeprowadzić ocenę skutków planowanych operacji przetwarzania dla ochrony danych osobowych (wpływu przyjmowanych rozwiązań na prywatność). ⒸⓅ
Co mówi unijne rozporządzenie o ochronie danych osobowych
Motyw 47
(...) Ponieważ dla organów publicznych podstawę prawną przetwarzania danych osobowych powinien określić ustawodawca, prawnie uzasadniony interes administratora nie powinien mieć zastosowania jako podstawa prawna do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. (...)
Artykuł 6. Zgodność przetwarzania z prawem
1. Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. (...)
Kamery zostaną w placówkach oświaty
Dowiedzieliśmy się, że Ministerstwo Edukacji Narodowej wraz z Ministerstwem Cyfryzacji i GIODO pracują nad regulacjami dotyczącymi monitoringu wizyjnego w obszarze edukacji narodowej. – Projekt przepisów sektorowych zapewniających skuteczne stosowanie RODO będzie zawierał przepisy regulujące zasady korzystania z monitoringu wizyjnego w szkołach – dowiadujemy się od wydziału prasowego MC. Sama zapowiedź regulacji to jednak dobra wiadomość dla samorządowców, którzy się martwili, czy w publicznych szkołach wciąż będzie mógł być prowadzony monitoring (szkoły prywatne mogą powoływać się na prawnie uzasadniony interes administratora).
Jak dopowiada GIODO, w ustawie z 14 grudnia 2016 r. - Prawo oświatowe (Dz.U z 2017 r. poz. 59 ze zm.) mają zostać określone: obszary, które mogłyby zostać objęte nadzorem kamer, oraz te, które muszą być z niego wyłączone, okres przechowywania nagrań, a także sposób dopełniania obowiązku informacyjnego. Doradzając Ministerstwu Edukacji Narodowej przy formułowaniu projektowanych przepisów, GIODO wskazywał m.in. na postanowienia rozporządzenia RODO oraz na opracowane w 2017 r. „Wytyczne GIODO dotyczące wykorzystywania monitoringu wizyjnego w szkołach” (dostępne na stronie internetowej urzędu pod linkiem https://www.giodo.gov.pl/pl/1520056/9840).
OPINIA EKSPERTA
Dla szkół są wystarczające przesłanki
Wojciech Dziomdziora radca prawny z kancelarii Domański Zakrzewski Palinka oraz ekspert Polskiej Izby Informatyki i Telekomunikacji / Dziennik Gazeta Prawna
Wątpliwości sygnalizowane przez rzecznika praw obywatelskich dotyczące legalności stosowania monitoringu wizyjnego w szkołach czy urzędach publicznych po 25 maja 2018 r., tj. po rozpoczęciu obowiązywania RODO, nie są pozbawione podstaw. Ustawa dotycząca monitoringu wizyjnego jest bardzo potrzebna. Nie tylko jeśli chodzi o monitoring w szkołach i urzędach, lecz także we wszystkich innych miejscach.
W przypadku szkół to pomimo wątpliwości wyrażanych przez RPO, które należy potraktować z najwyższą powagą, uważam, że monitoring wizyjny w szkołach będzie mógł być kontynuowany, nawet jeżeli zabraknie szczegółowej regulacji w tym zakresie. Samo RODO jest elastyczne i pozwala znaleźć inne podstawy prawne dla takiego monitoringu. Jest choćby przesłanka niezbędności przetwarzania dla wypełnienia obowiązku prawnego ciążącego na administratorze lub dla ochrony żywotnych interesów osoby, której dane dotyczą (przy czym mogą pojawić się poglądy, że przesłanka te są niewystarczające).
Inna jest sytuacja urzędów publicznych. W tym przypadku bardzo wstępna analiza prawna każe sformułować wniosek, że monitoring taki nie będzie mógł być kontynuowany.
Podstawa prawna
Motyw 47 preambuły oraz art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE z 2016 r. L 119, s. 1).
Art. 23 ust. 5 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2016 r. poz. 922 ze zm.).