Kamery monitoringu poza kontrolą

Rz: Spotykamy coraz więcej kamer ?– nie tylko w firmach prywatnych, ale ?i w urzędach czy na ulicach. Czy ?z decyzją o zainstalowaniu takiego monitoringu wiążą się jakieś obowiązki związane z ochroną danych osobowych?

Maciej Byczkowski, prezes Zarządu Stowarzyszenia Administratorów Bezpieczeństwa Informacji:

Oczywiście. Materiały gromadzone w ten sposób zawierają dane osobowe, jakim jest wizerunek osób. Zbiory zawierające te informacje powinny zostać zgłoszone do rejestracji generalnemu inspektorowi ochrony danych osobowych (GIODO). Zwłaszcza jeśli monitorowanie obiektu jest połączone z odnotowywaniem informacji o osobach wchodzących do budynku w rejestrach wejść/wyjść. Wówczas bowiem taki administrator danych ma nie tylko wizerunek, ale i konkretne imię i nazwisko, które może przypisać do danej twarzy. Zwraca na to dużą uwagę GIODO. Tego typu sprawy trafiały już do sądów administracyjnych. Te orzekały m.in. o nieprzestrzeganiu przepisów ochrony danych osobowych przez instytucje publiczne.

Jakie mają obowiązki, jeśli nie prowadzą takiego rejestru wejść i wyjść, tylko sam monitoring?

Każda instytucja publiczna czy prywatna, która prowadzi monitoring wizyjny pomieszczeń czy obiektów, ma obowiązek z punktu widzenia ustawy o ochronie danych osobowych realizować obowiązek informacyjny wobec osób, które są nagrywane. W związku z tym przy wejściach do budynków czy pomieszczeń instytucji w widocznym miejscu powinna się znaleźć informacja o tym, kto jest administratorem systemu monitorującego, z podanym adresem i numerem kontaktowym. W praktyce jest to zazwyczaj tabliczka na ścianie budynku informująca jedynie o prowadzeniu monitoringu.

Do czego osobie monitorowanej może posłużyć taka informacja?

Może się zwrócić do takiego administratora danych z pytaniem, w jaki sposób są przetwarzane są  jego dane, jak długo są przechowywane, po jakim czasie są niszczone oraz czy przekazywane są innym podmiotom. Takie prawo wynika z przepisów odnoszących się do ochrony prywatności m.in. z konstytucyjnego prawa do informacji oraz z ustawy o ochronie danych osobowych. W przypadku takiego zapytania instytucja ma obowiązek odpowiedzi w ciągu 30 dni. Istotną informacją jest to, do jakich celów wykorzystywane są zapisy z monitoringu. Standardowo są to cele bezpieczeństwa, a zapisy takie są po określonym czasie niszczone lub nadpisywane. Zapisy sprawdza się, jeśli coś się wydarzyło w danym budynku, włączył się alarm, coś zginęło. Ale zazwyczaj nie ma potrzeby długiego ich archiwizowania czy też przekazywania innym firmom, instytucjom. O to wszystko obywatel może po prostu zapytać.

A co z monitoringiem dróg czy też ?ulic, prowadzonym np. przez samorząd terytorialny, zarządców dróg? Czy tu też powinna być tabliczka informująca o tym, kto jest administratorem?

W każdym przypadku przetwarzania naszych danych powinniśmy posiadać taką informację. Nad wieloma rondami, np. w stolicy, wisi mnóstwo kamer. Nie wiemy, kto monitoruje, w jakim celu. Tymczasem takie nagrania mogą zawierać wiele wrażliwych dla nas informacji. Ich jakość jest coraz lepsza. Można sprawdzić, kto jechał danych pojazdem, kto do niego wsiadał. Czasem przed wjazdem do jakiejś miejscowości widzimy tabliczkę – miasto monitorowane. To już jest jakaś informacja, ale nadal nie dowiadujemy się z niej, kto administruje naszymi danymi. GIODO stoi na stanowisku, że taka informacja też powinna się znaleźć na takim znaku. Na przykład – „administratorem danych jest urząd miasta X". O zakresie stosowania ustawy o ochronie danych osobowych w monitoringu będziemy rozmawiać m.in. podczas najbliższego Kongresu Administratorów Bezpieczeństwa Informacji, który planowany jest na 22–23 października w Pałacu Żelechów pod Warszawą. Dla wielu osób, instytucji zakres obowiązków ciągle nie jest jasny. Dlatego GIODO postuluje o jak najszybsze przyjęcie ustawy o monitoringu wizyjnym, która uściślałaby i porządkowała te kwestie.

Technologia w tym zakresie ?szybko się rozwija. Pojawiają się ?np. drony, które budzą dużo emocji. ?Te urządzenia zawierają też ?często kamery. Czy drony również przysparzają kłopotów administratorom bezpieczeństwa informacji? Czy taki dron z kamerą trzeba gdzieś zarejestrować właśnie w związku z możliwością przetwarzania danych?

To nowe zagrożenie dla naszej prywatności. Natomiast co do możliwości użytkowania samych dronów przepisy nie są jednoznaczne. To nowy problem. Nad regulacją w tej sprawie pracuje m.in. Komisja Europejska. Coraz więcej osób używa dronów w celach prywatnych, np. do robienia zdjęć swoich miejscowości czy nawet prywatnych posiadłości. Z takim problemem zetknął się ostatnio m.in. jeden z byłych ministrów. Czy można to robić? Jakie są granice? Jak można się zabezpieczyć przed wykonywaniem takich zdjęć wbrew naszej woli? To też są kwestie, o których ostatnio dużo dyskutuje się w środowisku administratorów bezpieczeństwa informacji, będziemy o tym rozmawiać m.in. podczas najbliższego kongresu.