Prezes Urzędu Ochrony Danych Osobowych nałożył ponad 26 tys. zł kary na osobę, która nie wykonała decyzji nakazującej zaprzestanie przetwarzania danych osobowych za pomocą monitoringu wizyjnego. Sprawa dotyczyła kamer rejestrujących obraz i dźwięk całą dobę – nie tylko na prywatnej posesji, ale też na drodze publicznej i nieruchomościach sąsiadów. To pierwsza tego typu kara związana z prywatnym monitoringiem i pokazuje, że relacja monitoring wizyjny a RODO wciąż bywa źle rozumiana – zarówno przez osoby prywatne, jak i firmy.
Spis treści
Czego dotyczyła skarga do UODO
Właściciel jednej z nieruchomości zamontował kamery, które obejmowały swoim zasięgiem znacznie więcej niż jego własną posesję. Urządzenia rejestrowały obraz i dźwięk przez 24 godziny na dobę, a ich pole widzenia sięgało drogi publicznej oraz nieruchomości sąsiadów. To właśnie sąsiedzi – czując się stale obserwowani – złożyli skargę do Prezesa UODO.
Po przeprowadzeniu postępowania administracyjnego organ nadzorczy potwierdził, że skarga była zasadna. Prezes UODO nakazał zaprzestanie przetwarzania danych osobowych skarżących za pomocą monitoringu wizyjnego w zakresie wizerunku oraz głosu, obejmującego swym zasięgiem drogę publiczną oraz nieruchomości skarżących, wobec braku podstawy prawnej dla takiego przetwarzania.
Dlaczego monitoring obejmujący drogę publiczną narusza RODO
Monitoring wizyjny a RODO – to pytanie wraca właściwie przy każdej rozmowie o kamerach, niezależnie czy dotyczy właściciela domu, czy firmy. A odpowiedź jest prostsza, niż się wydaje: żeby monitoring był legalny, musi mieć podstawę prawną, a kamery mogą obejmować tylko obszar, do którego administrator ma tytuł prawny – najczęściej własną posesję.
Zakres naruszenia RODO w tej sprawie
W omawianej sprawie zakres naruszenia był wyjątkowo szeroki:
- kamery rejestrowały nie tylko obraz, ale i dźwięk – co stanowi dodatkową, szczególnie inwazyjną kategorię danych,
- zasięg obejmował drogę publiczną, a więc miejsce, z którego korzysta nieograniczony krąg osób,
- monitoring obejmował także nieruchomości sąsiadów, czyli teren, do którego administrator nie miał żadnego tytułu prawnego,
- rejestracja trwała całodobowo, bez żadnego ograniczenia czasowego czy celowościowego.
Jak UODO ocenił wpływ monitoringu na osoby obserwowane
Taki zakres przetwarzania danych osobowych – zdaniem UODO – wywołuje u osób obserwowanych poczucie stałej inwigilacji i nadzorowania ich życia prywatnego, łącznie z danymi o lokalizacji. Mowa tu o wizerunku i głosie rejestrowanych w miejscach codziennego przebywania i przemieszczania się, przy zwykłym korzystaniu z drogi publicznej. Administrator danych nie ma prawa stosować aż tak inwazyjnej metody nadzoru wobec osób, które nie wyraziły na to zgody i wobec których nie istnieje żadna podstawa prawna z RODO.
Decyzja Prezesa UODO - nakaz, który stał się prawomocny
7 dni na usunięcie kamer i brak odwołania do WSA
Organ nadzorczy dał właścicielowi monitoringu 7 dni na usunięcie kamer albo zmianę ich ustawienia tak, by obejmowały wyłącznie jego własną posesję. Adresat decyzji nie skorzystał jednak z prawa do wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie, w związku z czym decyzja stała się prawomocna.
Nieodbieranie korespondencji nie chroni przed konsekwencjami
Mimo prawomocnego nakazu i późniejszego upomnienia ze strony UODO, decyzja nie została wykonana. Korespondencja z Urzędu nie była odbierana – po dwukrotnej awizacji, na podstawie art. 44 § 4 Kodeksu postępowania administracyjnego, pisma uznano za skutecznie doręczone. Formalne „nieodbieranie poczty” nie chroni więc przed konsekwencjami – to jeden z częstszych błędów, jakie popełniają osoby próbujące zignorować postępowanie administracyjne.
Niewykonanie nakazu jako osobne naruszenie RODO
To kluczowy element tej sprawy: kara nie została nałożona za sam fakt nielegalnego monitoringu, lecz za niewykonanie prawomocnego nakazu organu nadzorczego. Prezes UODO Mirosław Wróblewski wszczął odrębne postępowanie administracyjne – tym razem w przedmiocie administracyjnej kary pieniężnej za nieprzestrzeganie nakazu, czyli obowiązku usunięcia lub przestawienia kamer.
Konsekwencją niewykonania nakazu jest dalsze, bezprawne przetwarzanie danych osobowych sąsiadów – mimo że organ nadzorczy jednoznacznie stwierdził brak podstawy prawnej dla takiego przetwarzania. Prawie półroczny, niczym nieusprawiedliwiony stan niewykonania nakazu Prezesa UODO organ potraktował jako okoliczność obciążającą przy ustalaniu wysokości kary.
Ile wyniosła kara i jak wygląda jej egzekucja
26 711 zł przy maksymalnym wymiarze do 20 mln euro
Administracyjna kara pieniężna za nieprzestrzeganie nakazu organu nadzorczego może – zgodnie z RODO – wynieść maksymalnie 20 mln euro. W tej sprawie Prezes UODO ustalił ją na poziomie 26 711 zł. To wyraźny sygnał, że wysokość kary jest dopasowywana indywidualnie do okoliczności sprawy, ale sam fakt zignorowania decyzji administracyjnej organu nadzorczego traktowany jest bardzo poważnie – niezależnie od tego, czy sprawcą jest firma, czy osoba prywatna.
Co się dzieje, gdy kara nie zostanie zapłacona dobrowolnie
Jeśli kara nie zostanie dobrowolnie zapłacona, jej egzekucją zajmie się Urząd Skarbowy. W praktyce oznacza to możliwość zajęcia wynagrodzenia, rachunków bankowych oraz innych składników majątku dłużnika – tak jak przy każdej innej należności publicznoprawnej.
Co ta decyzja oznacza dla firm i osób prywatnych stosujących monitoring
Ta sprawa dotyczyła osoby prywatnej, ale wnioski z niej są równie istotne dla przedsiębiorców. Monitoring wizyjny a RODO to temat, który pojawia się właściwie w każdej firmie – przy wejściach, na parkingach, w magazynach czy sklepach.
Pięć zasad, które wynikają wprost z tej decyzji
- Zasięg kamer musi być ograniczony do terenu, do którego administrator ma tytuł prawny – nie do drogi publicznej ani nieruchomości sąsiednich czy przechodniów.
- Rejestracja dźwięku wymaga szczególnej ostrożności – to dodatkowa kategoria danych osobowych, którą trudniej uzasadnić niż sam obraz.
- Musi istnieć podstawa prawna przetwarzania – np. prawnie uzasadniony interes administratora, o ile nie narusza praw i wolności osób obserwowanych.
- Osoby monitorowane trzeba informować o tym fakcie – zgodnie z obowiązkiem informacyjnym z RODO.
- Decyzji organu nadzorczego nie da się „przeczekać” – brak odbioru korespondencji nie wstrzymuje biegu postępowania, a niewykonanie nakazu jest traktowane jako osobne naruszenie, karane niezależnie od pierwotnego uchybienia.
Od czego zacząć weryfikację monitoringu w firmie
Firmy, które nie mają pewności, czy ich monitoring wizyjny spełnia wymogi RODO, powinny to zweryfikować, zanim zrobi to za nie skarżący sąsiad, klient lub pracownik. Zasięg kamer, cel przetwarzania i podstawa prawna to jeden z elementów, które są sprawdzane podczas audytu RODO – obejmującego całościową ocenę zgodności przetwarzania danych w firmie.
Monitoring wizyjny zgodny z RODO - o czym pamiętać
Zanim zamontujesz kamery – prywatnie czy w firmie – warto przejść przez kilka kroków, które w praktyce chronią przed skargą do UODO i ewentualną karą:
- Ustal dokładny zasięg kamer i sprawdź, czy nie obejmują one terenu poza Twoją posesją czy siedzibą firmy.
- Sprawdź, czy rejestrowany jest wyłącznie obraz, czy również dźwięk – i czy to drugie ma rzeczywiste uzasadnienie.
- Określ cel przetwarzania danych z monitoringu (np. ochrona mienia) i podstawę prawną.
- Przygotuj klauzulę informacyjną dla osób znajdujących się w zasięgu kamer.
- Oceń ryzyko związane z przetwarzaniem danych za pomocą monitoringu – szczególnie tam, gdzie kamery obejmują przestrzeń częściowo publiczną.
- Jeśli dojdzie do zdarzenia, które może być naruszeniem ochrony danych, zweryfikuj, czy nie trzeba go zgłosić do UODO.
Dokumentacja i analiza ryzyka jako podstawa bezpiecznego monitoringu
W firmach, gdzie skala przetwarzania danych jest większa, warto oprzeć te działania na rzetelnej analizie ryzyka RODO oraz na bieżąco aktualizowanej dokumentacji RODO, która jasno określa zasady stosowania monitoringu. To właśnie brak takiej dokumentacji i analizy najczęściej prowadzi do sytuacji, w której administrator dowiaduje się o problemie dopiero po skardze do organu nadzorczego.
Co zrobić, gdy dojdzie do incydentu związanego z monitoringiem
Inaczej wygląda sytuacja, gdy dojdzie już do incydentu związanego z monitoringiem – na przykład wycieku nagrań albo ich udostępnienia osobom nieuprawnionym. Warto wtedy wiedzieć, jak i kiedy dokonać zgłoszenia naruszenia ochrony danych – termin na reakcję wynosi zaledwie 72 godziny od wykrycia incydentu, co w praktyce oznacza, że decyzję o zgłoszeniu trzeba podjąć szybko, bez czekania na pełne wyjaśnienie okoliczności zdarzenia.
Podsumowanie
Monitoring wizyjny to jedynie jeden z elementów szerszego zagadnienia, którym jest zgodne z RODO przetwarzanie danych osobowych w organizacji. Rzeczywista zgodność wymaga uporządkowanej dokumentacji, precyzyjnie określonych podstaw prawnych dla każdego procesu przetwarzania oraz systematycznej identyfikacji obszarów ryzyka. Zespół Ratio-Go zapewnia wsparcie w tym zakresie – od audytu obecnego stanu, przez wdrożenie odpowiednich procedur, po bieżące doradztwo. Zachęcamy do kontaktu.
Najczęściej zadawane pytania | Monitoring wizyjny a RODO
Czy monitoring obejmujący drogę publiczną jest legalny?
Nie, monitoring wizyjny nie może obejmować drogi publicznej. Administrator ma prawo rejestrować obraz tylko na terenie, do którego posiada tytuł prawny – własnej posesji czy siedzibie firmy. Objęcie zasięgiem drogi publicznej lub nieruchomości sąsiadów to przetwarzanie danych osobowych bez podstawy prawnej.
Jaka jest kara za niewykonanie nakazu UODO?
Kara za niewykonanie nakazu Prezesa UODO może wynieść do 20 mln euro. W opisywanej sprawie, dotyczącej nielegalnego monitoringu sąsiada, wyniosła ona 26 711 zł. Niewykonanie nakazu jest traktowane jako naruszenie odrębne od pierwotnego przetwarzania danych bez podstawy prawnej.
Czy nieodebranie pisma z UODO wstrzymuje postępowanie?
Nie, nieodebranie pisma nie wstrzymuje postępowania. Po dwukrotnej awizacji, na podstawie art. 44 § 4 Kodeksu postępowania administracyjnego, przesyłkę uznaje się za skutecznie doręczoną, a postępowanie toczy się dalej – tak jak przy każdym innym piśmie urzędowym.
Czy monitoring wizyjny może rejestrować dźwięk?
Rejestracja dźwięku przez monitoring wizyjny jest dopuszczalna wyjątkowo rzadko, ponieważ stanowi dodatkową, bardziej inwazyjną kategorię przetwarzania danych osobowych niż sam obraz i wymaga mocniejszego uzasadnienia. W typowym monitoringu posesji czy firmy rzadko znajduje realne uzasadnienie.
Co zrobić, gdy kamera sąsiada obejmuje moją posesję?
W takiej sytuacji można złożyć skargę do Prezesa UODO, opisując zasięg i sposób działania monitoringu. Jeśli organ potwierdzi naruszenie RODO, wyda decyzję nakazującą zmianę ustawienia lub usunięcie kamer, a jej niewykonanie może skutkować dodatkową karą finansową dla właściciela monitoringu.
Jaka podstawa prawna wystarczy do stosowania monitoringu wizyjnego?
Najczęstszą podstawą jest prawnie uzasadniony interes administratora, np. ochrona mienia lub bezpieczeństwa osób, o ile monitoring nie narusza praw i wolności osób obserwowanych. Zasięg kamer musi być przy tym proporcjonalny do celu, a osoby monitorowane trzeba o tym poinformować.
