Jak uzasadnić niezbędność wprowadzenia monitoringu

Nie doczekaliśmy się jeszcze ustawy o monitoringu wizyjnym, tym bardziej ustawy dotyczącej monitorowania wykorzystywanych przez pracowników narzędzi pracy (np. kontrola poczty), czy biometrii do kontroli dostępu. Natomiast wraz z ustawą z dnia 10 maja 2018 roku o ochronie danych osobowych zostały wprowadzone zmiany do niektórych przepisów sektorowych, stanowiące punkt wyjścia do stosowania monitoringu przez administratora danych. Gdy na szkoleniach pytam uczestników co administrator musi zrobić, aby móc wprowadzić monitoring? Najczęściej odpowiadają poinformować pracowników. Jest to jeden z elementów związanych ze stosowaniem monitoringu, jednakże punktem wyjścia powinno być uzasadnienie niezbędności zastosowania monitoringu. Wynika to wprost z przepisów prawa, np:

Jeżeli jest to niezbędne do zapewnienia bezpieczeństwa pracowników lub ochrony mienia lub kontroli produkcji lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę, pracodawca może wprowadzić szczególny nadzór nad terenem zakładu pracy lub terenem wokół zakładu pracy w postaci środków technicznych umożliwiających rejestrację obrazu (monitoring) (art. 22^2 par. 1. Kodeksu pracy)
Jeżeli jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania udostępnionych pracownikowi narzędzi pracy, pracodawca może wprowadzić kontrolę służbowej poczty elektronicznej pracownika (monitoring poczty elektronicznej). (art. 22^3 par. 1. Kodeksu pracy)
Jeżeli jest to niezbędne do zapewnienia bezpieczeństwa uczniów i pracowników lub ochrony mienia dyrektor szkoły lub placówki, w uzgodnieniu z organem prowadzącym szkołę lub placówkę oraz po przeprowadzeniu konsultacji z radą pedagogiczną, radą rodziców i samorządem uczniowskim, może wprowadzić szczególny nadzór nad pomieszczeniami szkoły lub placówki lub terenem wokół szkoły lub placówki w postaci środków technicznych umożliwiających rejestrację obrazu (monitoring) (art. 108a ust. 1. ustawy Prawo oświatowe)
Gmina w celu zapewnienia porządku publicznego i bezpieczeństwa obywateli oraz ochrony przeciwpożarowej i przeciwpowodziowej może stosować środki techniczne umożliwiające rejestrację obrazu (monitoring) w obszarze przestrzeni publicznej, za zgodą zarządzającego tym obszarem lub podmiotu posiadającego tytuł prawny do tego obszaru lub na terenie nieruchomości i w obiektach budowlanych stanowiących mienie gminy lub jednostek organizacyjnych gminy, a także na terenie wokół takich nieruchomości i obiektów budowlanych, jeżeli jest to konieczne do zapewnienia porządku publicznego i bezpieczeństwa obywateli lub ochrony przeciwpożarowej i przeciwpowodziowej (art. 9a ust. 1. ustawy o samorządzie gminnym)
Powiat w celu zapewnienia porządku publicznego i bezpieczeństwa obywateli oraz ochrony przeciwpożarowej i przeciwpowodziowej może stosować środki techniczne umożliwiające rejestrację obrazu (monitoring) w obszarze przestrzeni publicznej, za zgodą zarządzającego tym obszarem lub podmiotu posiadającego tytuł prawny do tego obszaru lub na terenie nieruchomości i w obiektach budowlanych stanowiących mienie powiatu lub jednostek organizacyjnych powiatu, a także na terenie wokół takich nieruchomości i obiektów budowlanych, jeżeli jest to konieczne do zapewnienia porządku publicznego i bezpieczeństwa obywateli lub ochrony przeciwpożarowej i przeciwpowodziowej (art. 4b ust. 1. ustawy o samorządzie powiatowym)

Co ciekawe nie ma analogicznego wymogu w ustawie o samorządzie województwa (art. 60 a ust. 1 i 2): Obowiązkiem osób uczestniczących w zarządzaniu mieniem województwa jest zachowanie szczególnej staranności przy wykonywaniu zarządu zgodnie z przeznaczeniem tego mienia i jego ochrona. Ochrona mienia obejmuje w szczególności możliwość korzystania ze środków technicznych umożliwiających rejestrację obrazu (monitoring) na terenie nieruchomości i w obiektach budowlanych stanowiących mienie województwa, a także na terenie wokół takich nieruchomości i obiektów budowlanych.

Jednakże użycie słowa w szczególności oznacza, że jest to jeden z możliwych do zastosowania środków nadzoru, a nie środek wymagany do sprawowania nadzoru. Stosowanie monitoringu jest przywilejem administratora, nawet jeżeli korzystał z narzędzi służących do monitoringu przed nowelizacją przepisów, musi być w stanie wykazać adekwatność zastosowanego narzędzia służącego do przetwarzania danych osobowych do celu tego przetwarzania. W końcu z artykułu 5 RODO wynikają zasady minimalizacji danych i adekwatności do celu przetwarzania.

W praktyce powstaje pytanie, jak udokumentować zasadność monitoringu. Czy wystarczą odpowiednie argumenty lub zapisy w regulaminie pracy? Może trzeba wprowadzić instrukcję monitoringu? Przepisy nie regulują sposobu wykazywania niezbędności zastosowanego środka nadzoru, jednakże warto zwrócić uwagę na artykuł 24 ust. 1 RODO: uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze zagrożenia, administrator wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z niniejszym rozporządzeniem i aby móc to wykazać. Środki te są w razie potrzeby poddawane przeglądom i uaktualniane. Jak dokonać oceny, zostało wskazane w artykule 32 ust. 2 RODO, tzn. należy uwzględnić ryzyko wiążące się z przetwarzaniem. Idealnymi narzędziami do dokonania analizy niezbędności jest dokonanie oceny ryzyka dla ochrony danych osobowych zgodnie z artykułem 35 RODO. Oczywiście administrator wdraża monitoring nie tylko ze względu na zapewnienie ochrony danych osobowych, ale także ochronę mienia, czy zapewnienie bezpieczeństwa osób przebywających w budynku, jednakże nic nie stoi na przeszkodzie, żeby skorzystać z wypracowanej metody „dokonywania oceny niezbędności procesu” do analizy zasadności monitoringu.
Zwracam uwagę, że odrębnie należy przeprowadzać analizę dla monitoringu wizyjnego i monitoringu Internetu lub poczty. Ocena skutków, zgodnie z artykułem 35 RODO, polega na zbadaniu procesu przetwarzania danych (od momentu gromadzenia do momentu usunięcia danych), ocenie czy planowane działania rzeczywiście są niezbędne oraz analizie ryzyka związanej z planowanym przetwarzaniem. Prawo oświatowe wyraźnie wskazuje na obowiązek uprzednich konsultacji niezbędności wprowadzenia monitoringu z konsultacji z radą pedagogiczną, radą rodziców i samorządem uczniowskim. Jest to bardzo dobry wymóg, gdyż pozwala skonfrontować niezbędność proponowanego narzędzia nadzoru, z osobami, których ten nadzór będzie dotyczył. Podobne rozwiązanie może przyjąć pracodawca, przeprowadzając konsultacje z pracownikami, w szczególności z radą pracowników, czy związkami zawodowymi. Wyniki konsultacji mogą stanowić załącznik do przeprowadzanej oceny skutków. Podobnie analiza ryzyka przeprowadzana dla monitoringu powinna być w całości dołączona do oceny skutków. Podczas audytów spotkałam się z praktyką wpisywania w pozycji „analiza ryzyka” w ocenie skutków, krótkiego komunikatu typu „zidentyfikowano średnie ryzyko”. Nie jest to analiza ryzyka, a jedynie jej wynik. Z punktu widzenia celu i zastosowania oceny skutków istotne jest, aby była w niej zawarta pełna analiza ryzyka dla tego procesu przetwarzania.

Ocena skutków będzie stanowiła „materiał dowodowy”, który administrator będzie mógł wykorzystać do udowodnienia niezbędności stosowanego przez siebie monitoringu.

Nazywam się Sylwia Czub-Kiełczewska, jestem ekspertką ds. ochrony danych osobowych oraz certyfikowaną audytorką wewnętrzną ISO 27001 /TISAX. Pomagam organizacjom wdrożyć skuteczne systemy bezpieczeństwa informacji, przeprowadzam audyty zgodności z RODO / ISO27001. Jestem skuteczna, bo stosuję indywidualne podejście, oparte na zrozumieniu klienta oraz jego działalności. Potrzebujesz wsparcia? Napisz do mnie