Monitoring wizyjny a RODO

Gminy coraz częściej decydują się na instalowanie na terenach publicznych systemów monitoringu. Chodzi zwłaszcza o budynki użyteczności publicznej. Brak jasnych przepisów oraz wizja wejścia w życie rozporządzenia RODO mogą stanowić barierę w rozwoju gminnych i miejskich sieci monitoringu wizyjnego. Dodatkowo wciąż prowadzone są prace nad projektem nowej ustawy regulującej ochronę danych osobowych.

Dane osobowe to wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby (art. 6 ust. 1 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych; dalej: u.o.d.o.). W wyroku z 18 listopada 2009 r. (sygn. akt I OSK 667/09) NSA zauważył, że dane osobowe to zespół wiadomości (komunikatów) o konkretnym człowieku, na tyle zintegrowany, że pozwala na jego zindywidualizowanie. Obejmuje co najmniej informacje niezbędne do identyfikacji (imię, nazwisko, miejsce zamieszkania). Pojęcie to nie ogranicza się jednak tylko do tych danych. Mieszczą się w nim również dalsze informacje, wzmacniające stopień identyfikacji.

Polecamy: RODO 2019. Plusy i minusy zmian od 4 maja

W art. 6 ust. 2 u.o.d.o. wyjaśniono dodatkowo, że możliwa do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio. W szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne.

Wizerunek jako dane osobowe

Do informacji odnoszących się do możliwej do zidentyfikowania osoby można zaliczyć jej wizerunek. Z pewnością sam wizerunek odnosi się do cech fizycznych osoby. Istnieją różne formy utrwalenia wizerunku. Jedną z takich form jest zapis wizerunku na materiale wideo. Może on pochodzić m.in. z kamer wykorzystywanych przez podmioty publiczne.

Polecamy: BILANS jednostki budżetowej i samorządowego zakładu budżetowego

Z orzecznictwa

Straż miejska, realizując uprawnienia ustawowe do obserwowania obrazu zdarzeń w miejscach publicznych przy użyciu środków technicznych, przetwarza w ramach monitoringu wizyjnego dane osobowe w postaci wizerunków osób przebywających na miejscach objętych zasięgiem monitoringu.

Wyrok WSA w Warszawie z 9 kwietnia 2013 r., sygn. akt II SA/Wa 211/13

W ocenie Sądu Apelacyjnego w Warszawie, wyrażonej w wyroku z 5 lipca 2012 r. (sygn. akt I ACa 4/12), nagrania z monitoringu nie można uznać za zbiór danych osobowych, jeśli w strukturze nagrania nie ma informacji o charakterze osobowym, które byłyby dostępne według określonego kryterium. Nie istnieje wtedy możliwość dotarcia do danych konkretnej osoby (obrazu, twarzy, sylwetki) za pomocą jakiegokolwiek kryterium, bez konieczności normalnego przeglądania obszernego fragmentu nagrania. Sąd potwierdził natomiast, że nawet jeśli nagrania nie są zbiorem danych osobowych, to jednak zawierają dane osobowe o charakterze obrazowym. Przyjmuje się, że cechą konieczną zbioru danych, w rozumieniu art. 7 pkt 1 u.o.d.o., jest posłużenie się co najmniej dwoma kryteriami umożliwiającymi dostęp do znajdujących się w nim danych.

Bez względu na przyjęcie, czy zapis monitoringu składa się z wielu danych osobowych o charakterze obrazowym, czy też ze względu na stopień ich zorganizowania i indeksację stanowi zbiór danych osobowych, należy uznać, że operator systemu monitorującego dokonuje przetwarzania danych osobowych w rozumieniu art. 7 pkt 2 u.o.d.o.

Zakwalifikowanie zapisu wizerunku jako obrazowych danych osobowych wzmacnia też art. 4 pkt 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (dalej: RODO). Zalicza on wizerunek do tzw. danych biometrycznych. Rozporządzenie to zacznie obowiązywać również w Polsce od 25 maja 2018 r.

Polecamy: RODO. Ochrona danych osobowych. Przewodnik po zmianach

Wizerunek jako dobro osobiste

Bez względu na przypisanie zapisu wizerunku (np. zapisu pochodzącego z monitoringu miejskiego) do kategorii danych osobowych, należy zauważyć, że wizerunek jest również samodzielnym dobrem osobistym człowieka (art. 23 ustawy z 23 kwietnia 1964 r. - Kodeks cywilny; dalej: k.c.). Sądy powszechne zwracają przy tym uwagę, że wizerunek jako dobro osobiste powinien być rozumiany jako pewien obraz fizyczny.

Z orzecznictwa

Wizerunek jest odrębnym dobrem osobistym. Na pojęcie to składa się ogół zewnętrznych cech, które charakteryzują daną osobę. Innymi słowy, wizerunek definiowany jest jako wygląd człowieka, jego podobizna, jego obraz fizyczny.

Zobacz: Rozwój i promocja

Wyrok Sądu Apelacyjnego w Warszawie z 22 maja 2016 r., sygn. akt I ACa 1741/14

Wizerunek, jako dobro osobiste, to przedstawienie danej osoby w znaczeniu obrazu, fotografii. Z pewnością za takie przedstawienie można również uznać zapisanie wizerunku na materiale wideo pochodzącym z monitoringu miejskiego. Precyzyjnie ujął to Sąd Apelacyjny we Wrocławiu w wyroku z 13 maja 2014 r. (sygn. akt I C 1777/12), w którym podkreślił, że ochrona wizerunku wiąże się z utrwaleniem obrazu fizycznego człowieka na odpowiednim nośniku, np. zdjęciu, obrazie czy nagraniu filmowym.

Dopuszczalność stosowania monitoringu i niektóre obowiązki

Monitoring wizyjny stosowany w miejscach publicznych z pewnością umożliwia gromadzenie danych osobowych. Pomimo znacznego rozwoju tego typu monitoringu, nie istnieje kompleksowa regulacja odnosząca się do zasad jego wykorzystania przy uwzględnieniu jego specyfiki. Wielokrotnie zwracał na to uwagę generalny inspektor ochrony danych osobowych. Również WSA w Warszawie w wyroku z 8 października 2013 r. (sygn. akt II SA/Wa 977/13) podkreślił, że skutkiem stosowania monitoringu może być utrwalenie wizerunku osób fizycznych, a następnie jego przechowywanie, opracowywanie i wykorzystanie dla różnych celów. Przy okazji sąd zwrócił uwagę, że choć przepisy u.o.d.o. nie regulują szczegółowo tych kwestii, to jednak organ ochrony danych osobowych powinien w takich przypadkach m.in. kontrolować przestrzeganie obowiązku informacyjnego wynikającego z art. 33 ust. 1 u.o.d.o.

Bez względu na obowiązki będące rezultatem rozpoczęcia gromadzenia danych osobowych za pośrednictwem monitoringu wizyjnego, niekiedy podawana jest w wątpliwość sama dopuszczalność jego stosowania z perspektywy ochrony danych osobowych. Przy braku przepisów uprawnienie to wywodzone jest najczęściej z art. 23 ust. 1 pkt 4 u.o.d.o. Wskazuje się, że stosowanie monitoringu jest niezbędne do wykonywania określonych prawem zadań realizowanych dla dobra wspólnego. Podstawą prawną może być również art. 23 ust. 1 pkt 5 u.o.d.o. Założeniem jest, że stosowanie monitoringu jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratora danych albo odbiorców danych. W związku z wejściem w życie przepisów RODO, od 25 maja 2018 r. stosowanie monitoringu wizyjnego przez gminy może być znacznie utrudnione, jeśli do tego czasu nie zostanie przyjęta stosowna regulacja ustawowa, wskazująca wprost na możliwość jego stosowania.

Od 25 maja 2018 r. możliwość przetwarzania danych osobowych przez stosowanie monitoringu wizyjnego będzie uzależniona od istnienia bezpośredniego upoważnienia ustawowego umożliwiającego jego stosowanie. Obecnie upoważnienie takie zawarte jest wyłącznie w regulacjach dotyczących organów ścigania, kasyn czy konkretnych sytuacji (np. imprez masowych). Nie istnieje natomiast regulacja wprost upoważniająca do stosowania monitoringu przez jednostki samorządu terytorialnego.

Prowadzone obecnie przez Ministerstwo Cyfryzacji prace nad zmianą u.o.d.o. doprowadziły do wypracowania wstępnego projektu (z 12 września 2017 r.) nowej regulacji. W dotychczasowej wersji projektu nie ma jednak regulacji dotyczących stosowania monitoringu wizyjnego.

Z wdrożeniem systemu monitoringu gminnego wiąże się wiele obowiązków, jakie w dotychczasowej regulacji zostały nałożone na administratora danych osobowych w związku z ich przetwarzaniem. Problematyczne może okazać się już samo poinformowanie osób objętych monitoringiem wizyjnym o fakcie jego stosowania i wynikających z tego uprawnieniach i obowiązkach.

Popularnym rozwiązaniem jest stosowanie odpowiednich piktogramów informujących o obecności kamer. Jednocześnie wywiesza się, np. na tablicy urzędu, w którym stosowany jest monitoring, informacje wymagane art. 24 u.o.d.o. Na administratorze danych ciąży również obowiązek informacyjny na wniosek osoby, której dane dotyczą w oparciu o art. 33 u.o.d.o. Istnieje wreszcie bardzo szeroki obowiązek ochrony zgromadzonych danych osobowych przed ich nieuprawnionym wykorzystaniem. W związku jednak z pracami nad projektem ustawy należy przypuszczać, że obowiązki te zostaną w znacznym stopniu rozszerzone w zgodzie z regulacją RODO.

Zapis monitoringu jako informacja publiczna

Problem monitoringu miejsc publicznych nie może być utożsamiany wyłącznie z prawnymi aspektami przetwarzania danych osobowych przez podmiot publiczny obsługujący system monitoringu. Okazuje się bowiem, że podejmowane są próby pozyskania kopii zapisów monitoringu wizyjnego w trybie ustawy z 6 września 2001 r. o dostępie do informacji publicznej (dalej: u.d.i.p.). WSA w Kielcach w postanowieniu z 15 października 2010 r. (sygn. akt II SAB/Kr 67/10) stanął na stanowisku, że zapis z monitoringu nie stanowi informacji publicznej w rozumieniu art. 1 ust. 1 u.d.i.p. W nieprawomocnym jeszcze wyroku WSA w Bydgoszczy z 14 kwietnia 2015 r. (sygn. akt II SAB/Bd 77/14) sąd stwierdził, że nagrania z monitoringu budynku nie są informacją publiczną, ponieważ nie zostały wytworzone przez władzę publiczną. Nie odnoszą się do sfery publicznej działalności tej władzy. Nie są też informacją o zasadach funkcjonowania organu władzy publicznej. Nie można jednak wykluczyć zmiany stanowiska sądów w przypadku wejścia w życie nowych przepisów.

W przypadku uznania zapisu monitoringu wizyjnego za informację publiczną wydaje się, że w większości przypadków kopia takiego zapisu nie będzie mogła zostać wydana ze względu na potrzebę ochrony prywatności osób fizycznych. Organ powinien odmówić udostępnienia na podstawie art. 5 ust. 2 u.d.i.p. Natomiast samodzielną podstawą odmowy nie mogą być tu przepisy u.o.d.o.

Stosowanie monitoringu gminnego, zwłaszcza w przypadku zapisu na nośnikach danych, wiąże się z przetwarzaniem danych osobowych. Podmiot prowadzący taki monitoring powinien przestrzegać przepisów gwarantujących właściwą ochronę tych danych, przy czym sama dopuszczalność stosowania monitoringu zależna może być od przyszłej regulacji ustawowej.

dr Kazimierz Pawlik

radca prawny, ekspert w zakresie prawa administracyjnego

Podstawy prawne

• art. 1 ust. 1, art. 5 ust. 2 ustawy z 6 września 2001 r. o dostępie do informacji publicznej (j.t. Dz.U. z 2016 r. poz. 1764)

• art. 6 ust. 1 i 2, art. 7 ust. 1, art. 23 ust. 1 pkt 4 i pkt 5, art. 33 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (j.t. Dz.U. z 2016 r. poz. 922)

• art. 23 ustawy z 23 kwietnia 1964 r. - Kodeks cywilny (j.t. Dz.U. z 2017 r. poz. 459; ost. zm. Dz.U. z 2017 r. poz. 1132)