Subskrybuj nas na Youtube
Większość dyrektorów szkół nie wie o tym, że instalując system monitoringu, powinna zgłosić go do GIODO i wdrożyć specjalne zasady bezpieczeństwa ochrony danych osobowych.
Choć brakuje kompleksowych danych dotyczących systemów monitoringu wizyjnego w szkołach, to wiadomo, że są one powszechnie stosowane. Łatwiej można znaleźć placówki, w których kamery są zainstalowane, niż te bez. Niewielu dyrektorów placówek zdaje sobie jednak sprawę, że wraz z montażem urządzeń muszą spełnić wiele obowiązków prawnych. Wskazują na to dwa dokumenty opublikowane w marcu przez dwie instytucje. Najwyższa Izba Kontroli przedstawiła wyniki kontroli systemów monitoringu w szkołach, generalny inspektor ochrony danych osobowych (GIODO) wydał zaś wytyczne dotyczące ich stosowania.
Zarejestruj zbiór
Z obydwu publikacji wynika, że dyrektorzy szkół nie mają świadomości, że instalując system monitoringu wizyjnego, na ogół zaczynają przetwarzać dane osobowe. Nie będzie tak jedynie wtedy, gdy obraz z kamer nie jest nagrywany i służy wyłącznie do podglądu (np. przez pracownika ochrony lub woźnego). Jeśli jednak jest rejestrowany w sposób uporządkowany (np. na twardym dysku, tak aby móc łatwo odszukać nagrania z konkretnej godziny), to mamy do czynienia z tworzeniem zbioru danych osobowych. A taki zbiór należy zarejestrować u GIODO. Jak pokazała kontrola NIK, mało który dyrektor dopełnia tego obowiązku.
/>
„Spośród 18 szkół, które miały taki obowiązek, jedynie dwie dokonały takiego zgłoszenia przed rozpoczęciem kontroli NIK (w trakcie kontroli zgłoszenia dokonało 13 szkół). Jako przyczynę niewykonania obowiązku zgłoszenia do rejestracji dyrektorzy wskazywali brak jasnych przepisów nakazujących traktować zbiór z monitoringu wizyjnego jako zbiór danych osobowych, do którego stosuje się przepisy ustawy o ochronie danych osobowych” – czytamy w informacji pokontrolnej NIK. Istnieje wyjątek, który pozwala ominąć obowiązek rejestracji zbioru. Na podstawie art. 43 ust. 1a ustawy o ochronie danych osobowych (dalej: u.o.d.o.) zwalnia z niego powołanie administratora bezpieczeństwa informacji (ABI).
Ani NIK, ani GIODO nie kwestionują przy tym samej możliwości instalowania kamer. Jak wynika z wytycznych tego ostatniego, podstawę prawną stanowi art. 23 ust. 1 pkt 5 u.o.d.o., który mówi o usprawiedliwionym celu przetwarzania danych. Takim usprawiedliwionym celem ma być zapewnienie bezpieczeństwa osób i mienia w obszarze objętym monitoringiem.
Informuj filmowanych
Kolejny obowiązek, jaki spoczywa na szkole instalującej monitoring, to informowanie o nim tych, którzy mogą znaleźć się w jego zasięgu. Najlepszym rozwiązaniem jest powieszenie tablic informacyjnych. Nie wystarczy jednak sam piktogram kamery. Zainteresowani muszą bowiem wiedzieć, kto jest administratorem danych.
GIODO w wytycznych podaje przykład klauzuli informacyjnej: „monitoring prowadzony jest przez ... (tu nazwa podmiotu), w celu ... (np. zapewnienie bezpieczeństwa i porządku publicznego oraz ochrony osób i mienia) i obejmuje ... (dokładne wskazanie obszaru). Więcej informacji można uzyskać pod numerem telefonu ... lub drogą elektroniczną ... (podanie adresu poczty elektronicznej, wskazanie strony internetowej)”.
Informacje te muszą być podawane choćby po to, by osoby zainteresowane wiedziały, do kogo się zwrócić, aby zażądać wykasowania swego wizerunku. Zgodnie z rozdziałem czwartym u.o.d.o. osoby objęte monitoringiem mają bowiem prawo do:
● dostępu do nagrań w uzasadnionych przypadkach,
● żądania usunięcia danych ich dotyczących,
● anonimizacji wizerunku na zarejestrowanych obrazach i/lub usunięcia dotyczących ich danych osobowych,
● przetwarzania danych przez ograniczony czas.
Z ostatnim punktem wiąże się istotne pytanie – jak długo szkoła może przechowywać nagrania z kamer. Przepisy nie regulują wprost tej kwestii. Niemniej jednak można się odwołać do art. 26 ust. 1 pkt 4 u.o.d.o. - dane w postaci umożliwiającej identyfikację osób, których dotyczą, powinny być przechowywane „nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania”.
„Okres ten powinien być raczej liczony w dniach niż w tygodniach. Należy jednocześnie pamiętać, iż nagrania dotyczące incydentów mogą być przechowywane dłużej – do czasu wyjaśnienia sprawy albo zakończenia odpowiednich postępowań” – można przeczytać w wytycznych GIODO.
Dbaj o bezpieczeństwo
Zgodnie z przepisami dyrektor szkoły musi zadbać o środki techniczne i organizacyjne zapewniające odpowiednią do zagrożeń ochronę przetwarzanych danych osobowych. Urządzenia nagrywające i nośniki danych muszą więc znajdować się w pomieszczeniach, do których dostępu nie mają osoby postronne (lub znajdować się np. w specjalnych szafach). Nie wystarczy kod zabezpieczający lub kluczyk do samego urządzenia, skoro można je zwyczajnie wynieść.
Administrator danych jest też zobowiązany prowadzić dokumentację opisującą sposób przetwarzania danych oraz środki techniczne i organizacyjne zapewniające ich ochronę.
Jak wykazała kontrola NIK, jedynie 7 z 28 kontrolowanych szkół w polityce bezpieczeństwa w wykazie zbiorów danych osobowych uwzględniło zbiór danych osobowych z monitoringu wizyjnego oraz wykazało programy zastosowane do przetwarzania tych danych.
Zgodnie z art. 37 u.o.d.o. do przetwarzania danych mogą być dopuszczone jedynie osoby mające upoważnienie nadane przez administratora danych. W uproszczeniu – dostęp do nagrań może mieć albo sam dyrektor, albo też upoważniona przez niego osoba. Kontrola NIK wykazała, że ewidencję osób upoważnionych do przetwarzania danych osobowych w zbiorze monitoringu wizyjnego prowadziło 12 z 28 szkół.
Kontrolerzy NIK zwrócili również uwagę na rozmieszczenie kamer. W jednej ze szkół kamera obejmowała zasięgiem pisuary, co w sposób oczywisty naruszało prywatność osób korzystających z toalety. GIODO wskazuje w wytycznych, że w takich miejscach jak przebieralnie, szatnie, toalety, natryski i łazienki kamery w ogóle nie powinny być montowane.
Podstawa prawna
Art. 23 ust. 1 pkt 5, art. 26 ust. 1 pkt 4, art. 37, art. 43 ust. 1a ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2016 r. poz. 922).