Masz zainstalowany monitoring? Sprawdź, czy musisz powołać IOD

Administrator i podmiot przetwarzający wyznaczają inspektora ochrony danych, zawsze gdy:

• przetwarzania dokonują organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości;
• główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę; lub
• główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych (tzw. danych wrażliwych), lub danych osobowych dotyczących wyroków skazujących i czynów zabronionych (art. 37 ust. 1 RODO).

O ile w istocie używanie monitoringu wizyjnego w firmie można uznać za regularne i systematyczne monitorowanie osób (zakładając, że to pracownicy firmy mają podgląd monitoringu), o tyle nie można przyjąć, że monitorowanie to obejmuje osoby, których dotyczą dane osobowe przetwarzane w ramach głównej (zasadniczej) działalności administratora. Taki przypadek dotyczy głównie agencji ochroniarskich prowadzących monitoring u innych podmiotów, ale nie tych podmiotów, u których monitoring jest prowadzony. Firma, u której jest zainstalowany monitoring, w ramach swojej podstawowej działalności nie zajmuje bowiem się przetwarzaniem danych osobowych osób i w związku z tym ich systematycznym monitorowaniem.

W przedstawionym przypadku firma nie musi więc powoływać IOD, zakładając, że nie zachodzą względem niej pozostałe ww. przesłanki obligatoryjnego wyznaczenia inspektora.