A teraz coś z jeszcze innej beczki, czyli kilka słów o tym, że kamera nasobna rejestrująca wizerunek osób w otoczeniu to zbieranie danych osobowych, zatem podmiot wyposażający swoich pracowników w taki sprzęt musi pamiętać o obowiązkach wynikających z RODO.
wyrok Trybunału Sprawiedliwości UE z 18 grudnia 2025 r. w/s Integritetsskyddsmyndigheten vs. AB Storstockholms Lokaltrafik (C-422/24)
W sytuacji, w której dane osobowe są zbierane przy użyciu kamer nasobnych noszonych przez kontrolerów w środkach transportu publicznego, informowanie osób, których dane dotyczą, reguluje art. 13 RODO, a nie jego art. 14.
opis stanu faktycznego:
- sprawa dotyczyła sztokholmskiego przedsiębiorstwa komunikacji zbiorowej, które wyposażyło swych kontrolerów w kamery nasobne służące do nagrywania przebiegu czynności kontroli biletów (obrazu i dźwięku), w celu dokumentowania czynności (w tym gróźb i aktów przemocy), jak też utrwalania wizerunku pasażerów w celu weryfikacji ich tożsamości;
- (technikalia: początkowo sprzęt przewidywał dwuminutową retencję danych, po wszczęci postępowania przez organ nadzorczy okres ten został skrócony do minuty, przy czym w przypadku problemów kontroler wstrzymuje automatyczne czyszczenie pamięci;
- zdaniem Integritetsskyddsmyndigheten przewoźnik, choć przetwarzał przy tym dane osobowe pasażerów, zapomniał o RODO, w tym o obowiązkach informacyjnych związanych ze zbieraniem danych osobowych od osoby, za co nałożył nań karę w wysokości 16 mln koron szwedzkich (w tym 4 mln SEK za brak informacji);
- w skardze na tę decyzję przewoźnik przedstawił stanowisko, w myśl którego wyposażenie kontrolerów biletów w nasobne kamery nie prowadziło do zbierania danych bezpośrednio od pasażerów, lecz było to pozyskiwanie danych „z drugiej ręki”, co zmieniało zakres obowiązków informacyjnych;
- a przecież z wytycznych EROD 3/2019 w/s przetwarzania danych osobowych przez urządzenia wideo, przyjęte w dniu 29 stycznia 2020 wynika, że art. 13 RODO nie ma zastosowania do monitoringu wizyjnego;
art. 13 ust. 1 RODO
Jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, administrator podczas pozyskiwania danych osobowych podaje jej wszystkie następujące informacje: […]
art. 14 ust. 1 RODO
Jeżeli danych osobowych nie pozyskano od osoby, której dane dotyczą, administrator podaje osobie, której dane dotyczą, następujące informacje: […]
- sąd I instancji przyznał rację urzędowi, sąd odwoławczy uwzględnił argumenty firmy transportowej — zaś Förvaltningsdomstolar skierował odpowiednie do TSUE;
orzeczenie TSUE:
- różnica pomiędzy zdarzeniami „aktywującymi” obowiązki informacyjne wynikające z art. 13 RODO i art. 14 RODO jest prosta: ten pierwszy dotyczy bezpośredniego brania danych osobowych od osoby, w tym drugim przypadku mowa jest o pośrednim pozyskiwaniu danych osobowych, tj. z innego źródła lub danych osobowych wygenerowanych przez administratora na podstawie posiadanych danych;
- (na marginesie TSUE zwrócił uwagę, że w niektórych wersjach językowych RODO ten pierwszy nie zawiera słowa „zbieranie”, aczkolwiek przepisy prawa UE należy wykładać jednolicie, zaś w przypadku rozbieżności interpretować z uwzględnieniem celu regulacji i systematyki norm — co oznacza, że w takim przypadku należy posprawdzać inne wersje językowe);
- stąd też „zbieranie” danych osobowych nie wymaga jakiejkolwiek aktywności osoby, której dane są zbierane, lecz wyłącznie ze strony administratora;
Art. 13 RODO ma zastosowanie wtedy, gdy osoba, której dane dotyczą, świadomie przekazuje dane osobowe administratorowi lub gdy ten zbiera dane od tej osoby w drodze obserwacji, w szczególności przy użyciu kamer.
- przy czym sam zakres obowiązków jest prawie identyczny, jedyna istotna różnica dotyczy wskazania źródła pochodzenia danych;
- czy zatem rejestrowanie obrazu i dźwięku przy użyciu sprzętu umocowanego do ubioru kontrolerów biletów to zbieranie danych bezpośrednio od osoby? odpowiadając na to pytanie TSUE poszedł po linii najmniejszego oporu, tj. logiki: skoro kontroler staje twarzą w twarz z pasażerem i rejestruje jego obraz „na miejscu”, to taka kamera nasobna powinna być traktowana jako bezpośrednie zbieranie danych osobowych;
- wykładnia przeciwna tworzyłaby ryzyko, że osoba, której wizerunek jest rejestrowany, nie miałaby pojęcia, iż dochodzi do przetwarzania jej danych osobowych, a przecież ukryty monitoring jest sprzeczny z RODO.
Jak pogodzić ten pogląd z wytycznymi EROD dot. monitoringu? Zdaniem TSUE jest to oczywiście możliwe, o ile administrator podejdzie do obowiązków informacyjnych „wielowarstwowo”: najważniejsze informacje powinny być na tablicy ostrzegawczej, zlokalizowanej w miejscu monitorowanym, pozostałe informacje mogą być dostępne w drugiej warstwie, tj. „w miejscu łatwo dostępnym” (por. „Czy monitoring oznacza przetwarzanie danych osobowych — nawet jeśli żadna osoba nie została zarejestrowana?”).