Czy prywatny monitoring musi być zgodny z RODO?

Monitoring pozwala w prosty sposób odtworzyć przebieg wydarzeń na posesji i bywa skutecznym narzędziem ochrony przed kradzieżą, wandalizmem czy nawet uciążliwymi sporami sąsiedzkimi.

Może okazać się szczególnie przydatny, gdy trudno uchwycić sprawcę zdarzenia na gorącym uczynku.

Nie można jednak zapominać, że kamery gromadzą znaczne ilości informacji o osobach - rejestrują ich wizerunek, sposób poruszania się, a często także zachowania. W praktyce oznacza to, że monitoring obejmuje również osoby, które mogą nie być świadome, że są nagrywane, lub które nie życzą sobie, aby ich wizerunek czy aktywność były utrwalane.

Kamera na prywatnej nieruchomości

Kamera obejmująca wyłącznie teren posesji osoby, która ją instaluje, nie jest objęta regulacjami RODO. Art. 2 ust. 2 lit. c RODO przewiduje, że rozporządzenie nie ma zastosowania, gdy dane osobowe są przetwarzane przez osobę fizyczną w ramach działalności o charakterze czysto osobistym lub domowym. Europejska Rada Ochrony Danych w wytycznych nr 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo wskazała, że należy przyjąć wąską interpretację tzw. wyjątku dla gospodarstw domowych w kontekście monitoringu wizyjnego. Zwrócono uwagę również na inne czynniki, które trzeba wziąć pod uwagę: użytkownik monitoringu wizyjnego o charakterze domowym musi rozważyć, czy łączą go jakiekolwiek relacje z osobą, której dane dotyczą, czy skala i częstotliwość monitoringu wskazują na jakąkolwiek działalność zawodową z jego strony, a także potencjalny negatywny wpływ monitoringu na osoby, których dane dotyczą. Obecność któregokolwiek z wyżej wymienionych elementów niekoniecznie sugeruje, że przetwarzanie wykracza poza zakres wyjątku dla gospodarstw domowych: aby to stwierdzić, należy dokonać ogólnej oceny.

Jeśli ocena konkretnego przypadku wskazuje, że monitoring służy działalności o charakterze czysto osobistym lub domowym, taka sytuacja nie jest objęta przepisami RODO. Co ważne, jeśli kamera, choćby przypadkowo, obejmuje drogę publiczną, chodnik, klatkę schodową czy fragment sąsiedniej działki, właściciel staje się administratorem danych osobowych i ma obowiązek stosować RODO.

Stanowisko UODO dotyczące ustawień kamery

Prezes Urzędu Ochrony Danych Osobowych w decyzji DS.523.399.2021 zwrócił uwagę na bardzo istotną kwestię, dotyczącą stosowania monitoringu. Właściciele monitoringu często by uniknąć zarzutu monitorowania przestrzeni publicznej lub np. posesji sąsiada stosują funkcje, które zakrywają część monitorowanego ekranu. Taka sytuacja miała miejsce w stanie faktycznym prowadzonej sprawy - podniesiono, że do miejsc objętych monitoringiem, wykraczających poza teren nieruchomości prywatnej, została zastosowana tzw. maska prywatności.

Jak zauważył Prezes Urzędu Ochrony Danych Osobowych w swojej decyzji: „W tym miejscu należy podkreślić, że proces konfigurowania sfery prywatności  - tzw. maskowania obszaru obrazu, który jest wyłączony z monitoringu - jest procesem odwracalnym i może być w każdym czasie zmieniony przez użytkownika systemu monitoringu. Możliwość wielokrotnej zmiany ustawień pola widzenia kamery, a tym samym modyfikowania nałożonej tzw. strefy prywatności na dowolne obszary, nie może być uznana za skuteczne narzędzie, które w sposób trwały zapewni wyłączenie danego obszaru z monitoringu.  W konsekwencji możliwość taka powoduje, że nie jest zapewniona ochrona prywatności osób mogących znaleźć się w zasięgu kamery.”

W praktyce oznacza to, że samo zastosowanie masek prywatności nie jest wystarczającym środkiem ochrony, a właściciel monitoringu musi zadbać o takie ustawienia systemu, które realnie uniemożliwią rejestrowanie przestrzeni wykraczającej poza jego posesję.

Kamera obejmująca drogę

Monitoring zamontowany na prywatnej posesji bardzo często obejmuje również fragment drogi znajdującej się tuż obok nieruchomości. Z perspektywy użytkownika wydaje się to niewielką różnicą, jednak z punktu widzenia prawa ochrony danych osobowych ma to ogromne znaczenie. W momencie, w którym kamera obejmuje przestrzeń publiczną, jej właściciel staje się administratorem danych osobowych osób zarejestrowanych na nagraniach, a to wiąże się z koniecznością stosowania wszystkich wymogów wynikających z RODO.

Jak stwierdził Trybunał Sprawiedliwości Unii Europejskiej w wyroku w sprawie C-212/13, František Ryneš przeciwko Úřad pro ochranu osobních údajů, z dnia 11 grudnia 2014 r., opierając się jeszcze na dyrektywie 95/46, nie zaś na RODO: O ile nadzór kamer wideo, (…), rozciąga się choćby częściowo na przestrzeń publiczną i tym samym jest skierowany poza sferę prywatną osoby dokonującej w ten sposób przetwarzania danych, o tyle nie powinien on być rozumiany jako czynność o czysto „osobistym lub domowym charakterze” (…). Jednocześnie zastosowanie przepisów tej dyrektywy pozwala, w razie konieczności, uwzględnić, (…) uzasadnione interesy administratora danych, które w szczególności obejmują, tak jak w sprawie będącej przedmiotem postępowania głównego, ochronę własności, zdrowia i życia tego administratora, a także jego rodziny. (…) wykorzystywanie systemu (…) zainstalowanego przez osobę fizyczną na jej domu rodzinnym w celu ochrony własności, zdrowia i życia właścicieli domu, który to system monitoruje również przestrzeń publiczną, nie stanowi przetwarzania danych w trakcie czynności o czysto osobistym lub domowym charakterze w rozumieniu tego przepisu.

Na gruncie RODO oznacza to, że właściciel monitoringu obejmującego drogę powinien jasno określić cel przetwarzania i upewnić się, że nie istnieją mniej ingerujące środki do jego realizacji. Niezbędne jest wykazanie prawnie uzasadnionego interesu oraz udokumentowanie, dlaczego nagrywanie określonej przestrzeni publicznej jest proporcjonalne względem prawa do prywatności osób postronnych. Kluczowe obowiązki obejmują również wyraźne oznaczenie monitorowanego obszaru, zapewnienie odpowiednich środków bezpieczeństwa dla przechowywanych nagrań oraz stosowanie zasady minimalizacji - w praktyce oznacza to ustalenie możliwie krótkiego okresu retencji.

Właściciel prywatnego monitoringu, który decyduje się objąć nim przestrzeń publiczną, powinien zatem pamiętać, że staje się w pełnym tego słowa znaczeniu administratorem danych i musi wykazać zgodność całego procesu z RODO. Brak świadomości w tym zakresie nie zwalnia z odpowiedzialności, a ryzyko naruszeń dotyczy nie tylko relacji z sąsiadami, ale również potencjalnych kontroli ze strony organów ochrony danych.

Kamera obejmująca posesję sąsiada

Jednym z najczęstszych źródeł sporów sąsiedzkich są sytuacje, w których kamera prywatna obejmuje - choćby częściowo - teren należący do sąsiada. W takim przypadku niezwykle trudno jest obronić się argumentem o istnieniu prawnie uzasadnionego interesu administratora, który przeważałby nad prawem do prywatności właściciela sąsiedniej posesji. W praktyce jedyną podstawą legalizacji takiego nagrywania jest zgoda sąsiada, przy czym zgoda ta powinna być wyraźna, świadoma i możliwa do wycofania w dowolnym momencie.

Przykładową sprawę pomiędzy sąsiadami opisał irlandzki organ nadzorczy (Data Protection Commission) w opublikowanych wskazówkach dotyczących prywatnego monitoringu. W powyższej sprawie kamery uchwyciły drogę publiczną, chodnik i zieleń publiczną z przodu posesji sąsiada oraz część posesji sąsiada. Irlandzki organ nadzorczy przekazał wytyczne właścicielowi kamery i zwrócił się o dostosowanie kąta ustawienia kamer. Po interwencji dostarczono nagrania potwierdzające, że monitoring został ograniczony wyłącznie do granicy własnej posesji.

Dostarczono również zgodę sąsiada na dalsze rejestrowanie obrazu z jego posesji, ponieważ - jak się okazało - sąsiad również obawiał się o swoje bezpieczeństwo. Jednocześnie organ poinformował, że sąsiad może w każdej chwili wycofać tę zgodę, a w takim przypadku należy natychmiast zaprzestać używania kamer w ten sposób.

Wskazówki irlandzkiego organu nadzorczego (DPC)

W swoich wytycznych dotyczących monitorowania prywatnych posesji irlandzki organ nadzorczy (Data Protection Commission) zwrócił uwagę, że instalacja kamer przez osoby fizyczne nie zawsze wynika z potrzeby ochrony bezpieczeństwa czy mienia. Bardzo często powodem są konflikty sąsiedzkie dotyczące korzystania ze wspólnych wejść, spory o dostęp do nieruchomości, sytuacje związane z zakłócaniem porządku, a nawet akty przemocy czy uszkodzenia mienia. Organ podkreślił przy tym, że każda sprawa wymaga indywidualnej oceny i nie zawsze jest właściwa do rozstrzygnięcia na gruncie RODO. W wielu przypadkach lepszym rozwiązaniem okazuje się mediacja lub porozumienie sąsiedzkie niż interwencja organu ochrony danych.

W opublikowanych wskazówkach organ wskazał na sytuacje, kiedy - pomimo, że wydawałoby się, iż jednym z elementów sporu może być spór z zakresu ochrony danych osobowych, choćby jako dodatkowa dolegliwość dla drugiej strony - organ nie uważa za stosowne podejmowania jakichkolwiek działań na gruncie RODO i nie rozpoznaje skarg. Zdaniem organu, w pierwszej kolejności powinna następować ocena, czy faktycznie ma miejsce przetwarzanie danych osobowych - jeśli kamera nie działa albo jest tylko atrapą lub obejmuje wyłącznie użytek osobisty lub domowy, RODO nie ma zastosowania i sprawa nie powinna być rozpoznawana. Jeśli stosowany monitoring faktycznie dotyczy sporu o drogę lub o grunt, organ nadzorczy w ogóle nie będzie badał sprawy z punktu widzenia RODO. Organ zatem nie oceni,  czy ma zastosowanie wyłączenie dotyczące osób lub gospodarstw domowych, ani nie podejmie żadnych działań do czasu rozstrzygnięcia sporu prawnego przez odpowiedni organ.   Działania zostaną podjęte wyłącznie wtedy gdy po rozstrzygnięciu sporu przetwarzanie danych będzie kontynuowane.

Jednocześnie DPC podkreśla, że jeśli monitoring rzeczywiście wiąże się z utrwalaniem danych osobowych, rolą organu jest przede wszystkim współpraca z zainteresowanymi stronami. Celem jest takie dostosowanie systemu kamer, aby działał on w ramach wyłączenia przewidzianego dla celów czysto osobistych lub domowych i w możliwie najmniejszym stopniu ingerował w prywatność osób trzecich.

W świetle wyżej opisanych wskazówek, podejście organu nadzorczego należy więc ocenić jako praktyczne i mające na celu możliwe ograniczenie stosowania RODO w codziennych  drobnych sprawach czy sporach sąsiedzkich. Jednocześnie organ jest otwarty na pomoc, szczególnie poprzez udzielanie wskazówek i opinii na temat tego, jak rozwiązać spór i zakończyć sprawę bez korzystania z szeregu regulacji przewidzianych w RODO.