Bezprawna rejestracja dźwięku

Autor: Malgorzata Cwynar pod red. Marcina Soczko — w kategorii Komunikaty IOD-y — 18 lipca 2022

18

lip
2022

Decyzją z dnia 31 maja 2022 r. Prezes UODO nałożył administracyjną karę pieniężną w wysokości 10 tys. zł. na Stołeczny Ośrodek dla Osób Nietrzeźwych. Powodem ukarania było utrwalanie bez podstawy prawnej obrazu, a nawet dźwięku w miejscach udzielania świadczeń zdrowotnych.

STOSOWANIE MONITORINGU WRAZ Z REJESTRACJĄ DŹWIĘKU

Prezes UODO został poinformowany o praktykach stosowanych przez Stołeczny Ośrodek dla Osób Nietrzeźwych w Warszawie polegających na stosowaniu systemu monitoringu wraz z rejestracją dźwięku. Prezes UODO w związku z tą informacją w lutym 2021 r. zwrócił się do Ośrodka z prośbą o odniesienie się do zarzutów. W związku z potwierdzeniem informacji Prezes UODO zażądał wskazania podstawy prawnej takich działań, celu, niezbędności, a także okresu przechowywania danych.

W odpowiedzi Ośrodek poinformował, że system rejestrujący dźwięk i obraz funkcjonuje całą dobę, a jako podstawę prawną administrator przywołał art. 39 ust. 2 pkt. 1 i 3, art. 42 ust. 12 oraz art. 423 ust. 1 ustawy z dnia 26 października 1982 r. o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi. Jako cel stosowania tej formy monitoringu przywołano „sprawowanie stałego nadzoru nad osobami doprowadzonymi w celu wytrzeźwienia dla zapewnienia im bezpieczeństwa”. Okres przez jaki przechowywane są nagrania wynosił co najmniej 30, a nie dłużej niż 60 dni.

Zdaniem prezesa UODO wskazana podstawa prawna nie upoważniała administratora do przetwarzania danych osobowych w zakresie nagrań dźwięku dokonywanych na terenie Ośrodka. W  jego ocenie „nagrywanie dźwięku jest w przedmiotowym przypadku działaniem nadmiarowym, którego nie uzasadniają wyżej wskazane przepisy ustawy”. Wskazany przez administratora cel monitoringu Prezes UODO uznał za chybiony, ponieważ „pacjent ma prawo do poszanowania intymności i godności, w szczególności w czasie udzielania mu świadczeń zdrowotnych”. Rejestrowanie dźwięku to uprawnienie zastrzeżone przede wszystkim dla służb i to w konkretnych sytuacjach. Można jeszcze dodać, że w/w przepisy prawa nakładają raczej obowiązek bieżącej obserwacji pacjentów niż rejestrowania ich zachowań.

W decyzji Prezes UODO przywołał dokument Europejskiej Rady Ochrony Danych „Wytyczne 3/19 w sprawie przetwarzania danych osobowych przez urządzenia wideo”, zgodnie z którym „zapis audiowizualny stanowi niewątpliwie większą formę ingerencji w prywatność niż sam obraz”. Według organu nadzorczego Ośrodek przetwarzając dźwięk i obraz nie może powołać się na żadną z przesłanek wymienionych w art. 6 ust. 1 RODO.

PRZESŁANKI DOTYCZĄCE NAŁOŻENIA KARY PIENIĘŻNEJ

Przedmiotowe praktyki były podejmowane w Ośrodku w okresie od 2016 do 2021 r. Biorąc jednak pod uwagę, że naruszenie przepisów RODO miało miejsce od dnia jego obowiązywania (a więc od 25 maja 2018 r.), nakładając karę Prezes UODO wziął pod uwagę okres od rozpoczęcia stosowania RODO do dnia wyłączenia nagrywania dźwięku, a więc ponad trzy i pół roku.


Wpływ na wysokość kary miała również okoliczność łagodząca, czyli stopień współpracy z organem nadzorczym. Należy podkreślić, że administrator natychmiast zareagował na wszczęcie postępowania przez organ i 6 grudnia 2021 r. zaprzestał rejestracji dźwięku i obrazu, a następnie usunął wszystkie nagrania.

REJESTRACJA DŹWIĘKU I OBRAZU A OCHRONA DANYCH OSOBOWYCH

Monitoring należy do najbardziej inwazyjnych form przetwarzania danych osobowych. Jego zastosowanie powinno być ograniczone do sytuacji, w których rozwiązania mniej ingerujące w  prywatność byłyby niewystarczające w celu zapewnienia bezpieczeństwa. Decydując się na instalację urządzenia rejestrującego obraz należy pamiętać o przestrzeganiu przepisów RODO, ponieważ wizerunek stanowi dane osobowe.

Przed okresem obowiązywania RODO, w Polsce nie funkcjonowały żadne regulacje prawne dotyczące monitoringu. Dlatego po ich jednoczesnym wprowadzeniu podmioty stosujące monitoring zmuszone były dostosować się do nowych przepisów. Aby ułatwić ten proces, Prezes UODO wydał Wskazówki dotyczące wykorzystywania monitoringu wizyjnego.

Przetwarzanie danych osobowych w przypadku monitoringu może odbywać się jedynie po spełnieniu jednego z warunków określonych w art. 6, a w przypadku specjalnego przetwarzania technicznego, powodującego pozyskanie danych biometrycznych, również przesłanek określonych w art. 9 RODO.

O CZYM NALEŻY PAMIĘTAĆ INSTALUJĄC MONITORING

Podejmując decyzję o instalacji monitoringu należy sprecyzować konkretny cel przetwarzania danych osobowych związanych z rejestracją obrazu. Z reguły jest to zapewnienie bezpieczeństwa osób lub mienia. Jeżeli określimy cel przetwarzania, następnym krokiem jest określenie adekwatnej przesłanki przetwarzania określonej w RODO. Najczęściej będzie to art. 6 ust. 1 lit. f RODO, a więc prawnie uzasadniony interes realizowany przez administratora. Chcąc wprowadzić monitoring należy zadbać o to, aby osoby nim objęte zostały należycie o tym poinformowane. W tym o możliwości skorzystania z uprawnień określonych w rozdziale III RODO.

Jeżeli zdecydujemy się na stosowanie monitoringu musimy wdrożyć odpowiednie środki techniczne i organizacyjne zapewniające odpowiedni stopień bezpieczeństwa danych. Administrator powinien również określić okres przechowywania nagrań z monitoringu.

CO Z REJESTRACJĄ DŹWIĘKU

Przepisy prawa dotyczące monitoringu możemy znaleźć właściwie tylko w Kodeksie pracy. Nie obejmują one przyzwolenia na rejestrację dźwięku. Zgodnie z wspomnianymi wcześniej wytycznymi Prezesa UODO: „Takie uprawnienia posiadają jedynie służby porządkowe i  specjalne na podstawie ustaw regulujących ich działalność. Stosowanie rejestracji dźwięku może zostać uznane za nadmiarową formę przetwarzania danych, wiązać się z odpowiedzialnością administracyjną i cywilną, a nawet karną.”, co zostało podkreślone w omawianej decyzji.

Dołącz do dyskusji

Podanie adresu e-mail jest związane z moderacją treści komentarza, w szczególności z ewentualnym kontaktem z Użytkownikiem, w celu uzgodnienia ostatecznej treści, co stanowi prawnie uzasadniony interes administratora. Po opublikowaniu komentarza widoczna jest jedynie jego treść i data publikacji oraz imię autora, reszta danych jest niezwłocznie usuwana. Szczegóły dotyczące przetwarzania danych osobowych zawarte są w Polityce prywatności.