Prowadzony na dużą skalę, systematyczny monitoring miejsc dostępnych publicznie oznacza przetwarzanie danych osobowych. Oczywistą oczywistością jest też, że zgodnie z RODO w przypadku zbierania danych osobowych należy zainteresowanym zaserwować odpowiednią dozę informacji o przetwarzaniu. Załóżmy jednak, że w określonym miejscu jest monitoring, ale nie doszło do zarejestrowania obrazu określonej osoby — czy w takim przypadku administrator powinien spełnić obowiązek informacyjny? (wyrok Naczelnego Sądu Administracyjnego z 3 września 2025 r., III OSK 1531/22).
opis stanu faktycznego:
- sprawa zaczęła się od wniesionej do PUODO skargi na nieprawidłowości w przetwarzaniu danych osobowych przez spółkę, a to poprzez bezprawne prowadzenie monitoringu wizyjnego na działce należącej do zainteresowanej, a sąsiadującej z terenem należącym do firmy, przy braku jakichkolwiek informacji;
- po zbadaniu sprawy urząd stwierdził, że grunt (nieuprawiane i niewykorzystywane pole) i owszem, jest własnością kobiety, ale jest też objęty służebnością gruntową na rzecz hurtowni budowlanej — jest tam kolektor ściekowy, zaś rolą monitoringu jest m.in. pilnowanie stanu technicznego urządzeń;
art. 13 ust. 1 RODO
Jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, administrator podczas pozyskiwania danych osobowych podaje jej wszystkie następujące informacje: […]
- co oznacza, że stosowanie monitoringu jest uzasadnione i niezbędne dla realizacji prawnie uzasadnionych celów, jak też dla celów związanych z ochroną środowiska;
- jednakże przyklejenie na drzwiach wejściowych do budynku piktogramu „teren monitorowany” nie jest wystarczające dla spełnienia obowiązku informacyjnego, zatem w wydanej decyzji nakazano bezpośrednie przekazanie skarżącej tych informacji;
skarga spółki:
- w skardze na tę decyzję spółka podkreśliła, iż monitoring fragmentu pola nie oznacza przetwarzania danych właściciela tego pola, gdyż „wizerunek terenu” nie pozwala na zidentyfikowanie konkretnej osoby fizycznej;
- po drugie na żadnym etapie postępowania nie wykazano, by jakiekolwiek dane osobowe kobiety były przetwarzane, zatem odkąd obowiązek informacyjny jest obligatoryjny „podczas” pozyskiwania danych — monitoring, który nie zarejestrował danych osobowych, nie pociąga za sobą takich wymogów;
wyrok WSA:
- WSA tak sformułowaną skargę oddalił: realizacja obowiązku informacyjnego RODO z musi mieć charakter uprzedni, tj. administrator musi przekazać odpowiednie informacje przed pozyskaniem i utrwaleniem danych osobowych;
- tylko wówczas można mówić o poszanowaniu autonomii jednostki, która ma szansę podjąć prawidłową decyzję o zgodzie na przetwarzanie swych danych osobowych;
- skoro więc przyjmuje się, że monitoring miejsc dostępnych publicznie stanowi przetwarzanie danych osobowych, to obowiązkiem podmiotu decydującego się na montaż kamer jest udostępnienie wymaganych informacji w swym biurze lub innym wskazanym i łatwo dostępnym miejscu (wyrok WSA w Warszawie z 24 listopada 2021 r., II SA/Wa 1842/21);
wyrok NSA:
- odmiennie spór ocenił NSA, do którego trafiła skarga kasacyjna spółki: obowiązek informacyjny odnosi się do zbierania danych od „osoby, której dane dotyczą”, zaś przepis ten wiąże się z pojęciem zgody na przetwarzanie danych osobowych;
- uzasadnienie zaskarżonego wyroku nie jest jednak jednoznaczne w kontekście odpowiedzi na pytanie, czy „osoba pozwalająca się nagrać, czyli udostępniająca w ten sposób swój wizerunek”, wyraża zgodę na przetwarzanie? — a więc czy art. 13 RODO w ogóle ma w takim przypadku zastosowanie?
- biorąc zatem pod uwagę, iż uzasadnienie wyroku powinno przedstawiać wyjaśnienie rozstrzygnięcia (art. 141 par. 4 ppsa) — które powinno być jasne i jednoznaczne — należy przyjąć, iż zaskarżone orzeczenie nie spełnia tego wymogu, a więc podlega uchyleniu i zwrotowi do ponownego rozpoznania przez WSA.
Tytułem komentarza: tytuł niniejszego tekściku traktuję jako pewnego rodzaju clickbait, ale cóż począć, skoro taki pogląd przedstawił administrator? Na logikę: zbliżam się do określonego terenu, na którym jest prowadzony monitoring — czy już w tym momencie administrator powinien wykonać obowiązek informacyjny? Upraszczając: czy tabliczka z wyjaśnieniem kto, co i po co powinna znaleźć się na przy wejściu do tej strefy — niejako uprzedzając mnie z góry? Czy jednak rzeczywiście informacja o przetwarzaniu danych przysługuje dopiero osobie, której dane już zostały zebrane — a więc dopóki nie wlazłem, dopóty nic mi się nie należy?