Monitoring miejski – na jakiej podstawie prawnej można go stosować i co z obowiązkami informacyjnymi

Zgodnie z ogólnym rozporządzeniem podmioty publiczne będą mogły przetwarzać dane osobowe w postaci wizerunku w celu wykonywania swoich zadań tylko wtedy, gdy stosowny przepis prawa będzie im na to zezwalał.

Obecnie obowiązujące polskie regulacje przewidują podstawy prawne do wideorejestracji dla służb zajmujących się ochroną bezpieczeństwa i porządku publicznego np. Policji, Straży Miejskiej, Centralnego Biura Antykorupcyjnego itp. Nie ma natomiast odpowiednich przepisów określających zasady postępowania w przypadku rejestracji obrazu przez inne podmioty publiczne (np. szkoły, szpitale, gminy) lub podmioty prywatne. W odniesieniu do tego rodzaju podmiotów rejestrujących obraz zastosowanie mogą znaleźć przepisy ustawy o ochronie danych osobowych (dalej uodo).

Jeśli monitoringiem objęte są ogólnodostępne miejsca, w którym pojawiają się przypadkowe osoby (np. ulica, plac publiczny), to ustalenie tożsamości tych osób, co do zasady, wymagałoby nadmiernych kosztów lub działań. W tych okolicznościach nagrane wizerunki osób fizycznych nie będą stanowiły danych osobowych i uodo nie znajdzie zastosowania (por. art. 6 ust. 3 ustawy). Natomiast w przypadku gdy rejestracja obrazu odbywa się w miejscu, gdzie ustalenie tożsamości osób jest możliwe w szybki lub łatwy sposób (np. na niewielkim osiedlu mieszkaniowym, w szkole), to wizerunki nagranych osób stanowić będą zbiór danych osobowych. Wówczas przepisy uodo znajdą w pełni zastosowanie.

Podstawą prawną przetwarzania danych osobowych w zakresie wizerunku nagranych osób będzie przesłanka określona w art. 23 ust. 1 pkt 5 uodo.  Podmiot stosujący monitoring może powołać się na prawnie usprawiedliwiony cel administratora danych, jakim jest zapewnienie bezpieczeństwa osób i mienia w obszarze objętym monitoringiem. W konsekwencji podmiot, który zainstalował na swoim terenie system monitoringu wizyjnego, powinien poinformować osoby, które potencjalnie mogą zostać nim objęte, o stosowaniu monitoringu i obszarze nim objętym oraz o celu monitorowania. Powinien także przekazać tym osobom kompleksowe informacje na swój temat jako że jest administratorem ich danych osobowych (por. art. 24 uodo). Z uwagi na faktyczne trudności realizacja obowiązku informacyjnego powinna przynajmniej polegać na wprowadzeniu stosownych oznaczeń graficznych i informacji na obszarze monitorowanym o treści zgodnej z wymaganiami art. 24 uodo.

Obowiązkiem podmiotu stosującego monitoring jest również odpowiednie zabezpieczenie systemu monitoringu przed dostępem osób nieuprawnionych oraz zapewnienie, by dostęp do systemu miały wyłącznie osoby, którym wydano upoważnienie do przetwarzania danych. Kolejnym obowiązkiem, jaki należy dopełnić, jest zgłoszenie zbioru danych osobowych (wizerunki nagranych osób fizycznych) do rejestru zbiorów danych prowadzonego przez GIODO, chyba że podmiot stosujący monitoring powołał i zgłosił do GIODO administratora bezpieczeństwa informacji.

Gdy zacznie być stosowane ogólne rozporządzenie o ochronie danych, dla podmiotów prywatnych stosujących monitoring, nadal będzie istniała podstawa prawna do przetwarzania danych osobowych uzyskanych podczas wideorejestracji. Rodo przewiduje bowiem przesłankę przetwarzania danych, jaką jest prawnie uzasadniony interes realizowany przez administratora danych (por. art. 6 pkt f). W przypadku podmiotów publicznych zastosowanie tej przesłanki do przetwarzania danych osobowych nie będzie dopuszczalne.

Podmioty publiczne będą mogły przetwarzać dane osobowe w postaci wizerunku w celu wykonywania swoich zadań tylko wtedy, gdy stosowny przepis prawa będzie im na to zezwalał. Jeśli zatem taka podstawa prawna nie pojawi się w polskim porządku prawnym w postaci np. ustawy o monitoringu wizyjnym, wówczas po 25 maja 2018 r. stosowanie monitoringu przez podmioty publiczne nie będzie możliwe.