Obowiązek informacyjny a monitoring wizyjny miejsc publicznych (jak się to robi w ZEW Niedzica S.A.)

Dla przypomnienia: zbieranie danych osobowych nie zawsze wymaga zgody zainteresowanej osoby, jednak nawet w takim przypadku administrator zobowiązany jest udzielić informacji o przetwarzaniu danych osobowych (Przetwarzanie danych osobowych bez zgody osoby).


Obowiązek informacyjny monitoring wizyjny

ZEW Niedzica S.A. całkiem sensownie informuje o przetwarzaniu danych osobowych pozyskanych z monitoringu wizyjnego. Ideał wymagałby drugiej takiej tablicy obok (fot. Olgierd Rudak, CC-BY-SA 3.0)


I tak zgodnie z art. 25 UoODO podmiot zbierający dane osobowe nie od osoby, której dane są zbierane, ma obowiązek udzielić nam następujących informacji:

  • o adresie i siedzibie oraz pełnej nazwie;
  • celu i zakresie zbierania danych (w szczególności o odbiorcach danych osobowych);
  • o źródle, z którego dane są pozyskiwane (przypominam, że mówimy o ich przetwarzaniu bez wyraźnej zgody wyrażonej przez osobę zainteresowaną);
  • o prawie dostępu do danych i uprawnieniu do ich poprawiania;
  • o prawie do wniesienia żądania zaprzestania przetwarzania danych w przypadkach wskazanych w art. 32 ust. 1 pkt 7-8 UoODO;
  • przy czym administrator jest zwolniony z tego obowiązku w ściśle określonych przypadkach (art. 25 ust. 2 UoODO).

Niedowierzanie: dokładnie te same przepisy odnoszą się do przetwarzania danych pozyskanych z monitoringu wizyjnego. Jak to wygląda w praktyce dobrze wiemy (stąd też uważałem niegdysiejszy projekt ustawy o monitoringu jako w pewnym sensie szansę dla operatorów systemów CCTV).

Zdarzają się jednak ciekawe wyjątki, a przynajmniej wyjątek, który udało mi się uchwycić na płocie obiektu Zespołu Elektrowni Wodnych Niedzica S.A. Na załączonym obrazku:

  • informuje się nad kto jest administratorem danych osobowych;
  • podany jest cel przetwarzania danych (zabezpieczenie obiektów i terenu);
  • wskazuje się w jakich miejscach prowadzony jest monitoring (to ma chyba wskazywać na źródło pozyskiwania danych).

Do ideału daleko, ale ideał zmusiłby chyba przedsiębiorstwo do dołożenia drugiej tablicy i zapisania jej drobnym drukiem. Mi zwłaszcza brakuje informacji, że monitoring właściwie oznacza przetwarzanie danych osobowych (a może odesłanie do ustawy wystarczy?). No i skoro udało się wcisnąć nawet namiary na serwis internetowy elektrowni, to fajnie byłoby przygotować tam szczegółową informację o przetwarzaniu danych w ramach monitoringu — a na tablicy podać dokładny adres tej strony.

  • b52t

    można narzekać, ale i tak jest lepiej niż w 99,8% procentach sytuacji, gdy jest kamerka, a jedyna informacja, to tak, że obiekt/teren monitorowany.

  • RYBY

    Już widzę pod każdą kamerą miejskiego monitoringu tablicę:
    Monitoring prowadzony przez Straż Miejską / Komisariat Policji w celu zapobiegania i wykrywania sprawców przestępstwa …..
    Adres, tel, email i wszystkie pouczenia z ustawy ODO.
    To by się producenci tablic obłowili ;-)

  • Nie narzekam :) wskazuję jako wyjątek od naprawdę nędznej reguły.

    A naszą ustawę uważam za lekko przeżyłą. Z nowymi regulacjami pewnie będzie jeszcze większy cyrk..

  • zaba

    Dlaczego obowiązek z art 25 uodo? Faktycznie brakuje informacji o dobrowolności podania danych i prawie dostępu/poprawiania treści danych. Jednak nigdy nie uznałbym, że w tym wypadku ADO pozyskuje dane nie od osoby, której dane dotyczą. (No chyba, że wydrukuje czyjś dowód osobisty w skali A3 i będę paradował przed kamerą).

  • IMHO dlatego, że jeśli sobie idę ulicą to generalnie nie spodziewam się, że ktoś mnie rejestruje. I nie chodzi o dowód osobisty (jego fotografowanie lub kopiowanie), lecz o to, że rozpoznawanie ludzi przez systemy „po gębie” to już nie SF (jak było w okolicach 2008 r.).

  • zaba

    No ale jeśli mnie filmuje (choćbym się tego nie spodziewał, choć dziś to raczej naiwność) to nadal nie znajduje uzasadnienia do uznania, że dane osobowe (w tym wypadku wizerunek) pochodzą nie od osoby, której dane dotyczą – o czym traktuje art. 25 uodo. Ponieważ jest to mój wizerunek, pozyskany ode mnie – dlatego obowiązek z 24 uodo jest właściwy.

  • Właściwie wychodzi na to samo.

    Natomiast IMHO z tego, że „to ja tamtędy szedłem” nie wynika, że dane są ode mnie — zwłaszcza jeśli nie wiedziałem, że dane te są „pobierane”.

  • zaba

    Jak to nie? IMHO świadomość podmiotu nie ma nic do rzeczy. Istotne jest źródło pozyskania danych, w przypadku monitoringu jest nim co do zasady osoba, której dane dotyczą. Dlaczego moja wiedza lub nie wiedza miałaby wpływ na cokolwiek?

  • Dlatego, że zgodnie z art. 25 ust. 2 pkt 6 UoODO wiedza osoby zwalnia ADO z obowiązku zaserwowania informacji.

    Zatem jeśli szedłem i widziałem tablicę, to niezależnie od wszystkiego — czyli od tego, że nie podałem moich danych — już wiem, że są one zbierane.

    Gdzie uważam, że „nie od osoby” oznacza np. „nie ja podałem”, „nie ja przesłałem”, „nie ja przekazałem” — natomiast oznacza „tak, to mnie tam widzieli”, „tak, to ja tamtędy szedłem”.