GIODO wskazuje, że obowiązujący w Polsce zakres prawnych podstaw instalowania i wykorzystywania monitoringu wizyjnego odnosi się jedynie do wybranych aspektów jego stosowania. Podstawy prawne do rejestracji obrazu mają służby związane z szeroko rozumianym bezpieczeństwem lub porządkiem publicznym (np. Policja, Straż Miejska).  Nie ma natomiast ustawowych uregulowań w tym zakresie dotyczących innych podmiotów państwowych i prywatnych, w tym osób fizycznych. W odniesieniu do podmiotów, które takich szczegółowych uregulowań nie posiadają, zastosowanie mają przepisy ustawy o ochronie danych osobowych („ustawa o GIODO”).

W związku z tym, GIODO opracował we współpracy z MEN, zbiór informacji na ten temat skierowany do placówek oświatowych.

Administratorem danych osobowych („ADO”) jest zgodnie z ustawą o GIODO, m.in. podmiot decydujące o celach i środkach przetwarzania danych osobowych (np. zbierania, usuwania, przechowywania).

Administratorem danych osobowych uczniów, ich rodziców lub opiekunów prawnych, nauczycieli i innych pracowników szkoły lub osób znajdujących się na terenie szkoły jest szkoła. Kierujący i reprezentujący ją dyrektor zobowiązany jest zapewnić w kierowanej przez siebie placówce zgodne z prawem przetwarzanie danych osobowych. Ponadto ponosi on odpowiedzialność za działania wszystkich osób upoważnionych do przetwarzania danych osobowych.

Szkoła (placówka oświatowa), jako ADO jest obowiązana m.in. do:

• Przetwarzania danych osobowych zgodnie z prawem, w tym z przepisami z zakresu ochrony danych osobowych, jak i przepisami odrębnymi, szczególnymi z zakresu szeroko rozumianego sektora oświaty;

• Stosowania środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną. ADO powinien zabezpieczyć dane osobowe przed ich udostępnieniem osobom nieupoważnionym, prowadzić dokumentację opisującą sposób przetwarzania danych oraz zastosowane środki techniczne i organizacyjne, a także ewidencję osób upoważnionych do ich przetwarzania. Jeśli ADO uzna za wskazane, może powołać administratora bezpieczeństwa informacji („ABI”), który będzie odpowiedzialny za zapewnienie przestrzegania przepisów o ochronie danych osobowych w działalności szkoły i prowadzenie rejestru zbiorów danych przetwarzanych przez ADO;

• Wypełniania obowiązku informacyjnego, o którym mowa w art. 24 i art. 25 ustawy o GIODO;

• Zgłaszania zbioru danych osobowych do rejestracji GIODO, z wyjątkiem przypadków, o których mowa w art. 43 ustawy o GIODO.

Zwolnione z obowiązku zgłoszenia do rejestracji są również m.in. zbiory danych przetwarzanych w związku z zatrudnieniem u ADO (dotyczących kandydatów do pracy, obecnych i byłych pracowników), świadczeniem mu usług na podstawie umów cywilnoprawnych (np. umowy o dzieło, zlecenia), czy zbiory danych dotyczące osób uczących się u ADO;

Zdaniem GIODO zwolnienie z obowiązku zgłoszenia do rejestracji nie obejmuje zbioru danych osób upoważnionych przez rodziców, czy opiekunów prawnych dziecka do ich odbioru ze szkoły (placówki oświatowej). Ponadto przesłanki zwolnienia zbioru z obowiązku rejestracji nie będą miały zastosowania do większości zbiorów związanych z monitoringiem wizyjnym w szkołach, gdyż takie zbiory obejmują również dane osób innych niż te, które zostały wskazane w tych przesłankach. Stąd w większości przypadków zbiory takie są zgłaszane przez placówki oświatowe do rejestracji GIODO.

• Respektowania prawa do kontroli danych osobowych osób, których te dane dotyczą;

• Zawierania pisemnych umów z podmiotami zewnętrznymi, którym ADO powierza przetwarzanie danych osobowych (np. przy prowadzeniu obsługi dzienników elektronicznych, czy całego systemu monitoringu wizyjnego zainstalowanego w danej szkole).

Monitoring wizyjny jest szczególną formą przetwarzania informacji o osobach.

• Nie zawsze monitoring wizyjny wiąże się z przetwarzaniem danych osobowych (np. jeśli monitoring służy jedynie do podglądu danego miejsca, a nagranie nie jest zachowywane na twardym dysku komputera czy innym nośniku). Ustawę o GIODO można zastosować do monitoringu, jeśli jest on wykorzystywany w celu przetwarzania (np. gromadzenia, przechowywania) danych osobowych (np. gdy obraz z kamery zawiera wizerunek osoby i jest utrwalony w systemie monitoringu na elektronicznym nośniku lub kiedy system, który jest instalowany równolegle z monitoringiem, umożliwia powiązanie konkretnych nagrań z konkretną osobą);

• Wprowadzenie monitoringu wizyjnego w placówce oświatowej powinno być poprzedzone analizą w zakresie możliwości zastosowania innych, mniej ingerujących w prywatność środków (zasada proporcjonalności). W opinii GIODO cała społeczność szkolna (art. 39 ust. 4 ustawy o systemie oświaty) powinna współpracować z dyrektorem szkoły w kwestii podjęcia decyzji o uruchomieniu monitoringu wizyjnego na terenie placówki, po przeprowadzeniu oceny (prognozy) skuteczności tego systemu w utrzymaniu bezpieczeństwa w szkole i jego wpływu na konstytucyjne prawo do prywatności.

Tam, gdzie monitoring już istnieje, powinny być natomiast przeprowadzane konsultacje wraz z przeglądem stanu bezpieczeństwa w związku ze stosowaniem monitoringu, także w celu podjęcia decyzji, czy jego stosowanie jest nadal zasadne. Wpływ systemu monitoringu na bezpieczeństwo powinien być okresowo badany, celem stwierdzenia, czy rozwiązanie takie przynosi zamierzone skutki i nie narusza w sposób nadmierny praw osób obserwowanych;

• Zdaniem GIODO stosowanie atrap kamer monitoringu powinno być zakazane;

• Celem monitoringu wizyjnego powinno być zapewnienie bezpieczeństwa i porządku publicznego oraz ochrony osób i mienia, nie zaś nadzór nad efektywnością czy wydajnością wykonywanej przez pracownika (np. nauczyciela) pracy w szkole (placówce oświatowej). Zgodnie z art. 39 ust. 1 pkt 5a ustawy o systemie oświaty, to dyrektor szkoły wykonuje zadania związane z zapewnieniem bezpieczeństwa uczniom i nauczycielom w czasie zajęć organizowanych przez szkołę;

• Każdej osobie przysługuje prawo do informacji (m.in. tablice informacyjne w widocznych miejscach) o objęciu jej monitoringiem wizyjnym oraz prawo do ochrony swojego wizerunku przed rozpowszechnianiem, chyba że przepisy odrębne stanowią inaczej;

• Miejsca monitorowane powinny być wyznaczone tam, gdzie dochodzi do incydentów albo istnieje realne zagrożenie dla bezpieczeństwa, zaś niemożliwe jest objęcie takich miejsc innymi formami nadzoru, np. dyżurami nauczycieli czy pracowników szkoły. Monitoring jest niedopuszczalny w takich miejscach jak szatnie, przebieralnie, toalety, czy natryski;

• Zgodnie z ustawą o GIODO dane osobowe powinny być przechowywane w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania (okres przechowywania danych). W ocenie GIODO, w przypadku danych z monitoringu wizyjnego w placówkach oświatowych okres ten powinien być raczej liczony w dniach niż w miesiącach, o ile nie mamy do czynienia z nagraniami jakichś szczególnych incydentów (np. zagrażających bezpieczeństwu uczniów).

(źródło: giodo.gov.pl)

Autor: Mirosław Stefanik, radca prawny