Regulamin monitoringu wizyjnego

Regulamin monitoringu wizyjnego w Polsce to wewnętrzny dokument prawny i informacyjny określający zasady stosowania systemu telewizji przemysłowej (CCTV) przez przedsiębiorcę, pracodawcę lub zarządcę obiektu. Regulamin stanowi realizację obowiązków wynikających z art. 13 rozporządzenia (UE) 2016/679 (RODO) — obowiązku informacyjnego wobec osób, których wizerunek jest rejestrowany przez kamery — oraz z art. 22² Kodeksu pracy, który w szczegółowy sposób reguluje warunki dopuszczalności stosowania monitoringu wizyjnego w miejscu pracy.

Monitoring wizyjny (CCTV) polega na rejestracji obrazu z kamer zainstalowanych w określonych lokalizacjach w celu zapewnienia bezpieczeństwa osób i mienia. Nagrania z systemu CCTV rejestrują wizerunki osób przebywających w monitorowanym obszarze, co sprawia, że są danymi osobowymi w rozumieniu art. 4 pkt 1 RODO — danymi, na podstawie których można zidentyfikować konkretną osobę fizyczną. Podmiot stosujący monitoring jest administratorem tych danych (art. 4 pkt 7 RODO) i podlega wszystkim obowiązkom wynikającym z RODO, nadzorowanym przez Prezesa Urzędu Ochrony Danych Osobowych (PUODO).

Podstawa prawna przetwarzania danych z monitoringu CCTV opiera się zazwyczaj na prawnie uzasadnionym interesie administratora z art. 6 ust. 1 lit. f RODO — ochronie bezpieczeństwa osób i mienia. Administrator musi przeprowadzić test równowagi, oceniając, czy jego interes przeważa nad interesami i prawami osób rejestrowanych. Monitoring musi być proporcjonalny do celu — kamery nie mogą obejmować miejsc, w których naruszałyby prywatność i godność osobistą, takich jak toalety, szatnie i pomieszczenia socjalne. Kodeks pracy w art. 22² § 2 bezwzględnie zakazuje instalacji kamer w tych miejscach.

W zakresie stosowania monitoringu pracowniczego (art. 22² Kodeksu pracy) pracodawca może wprowadzić monitoring wyłącznie w celu zapewnienia bezpieczeństwa pracowników, ochrony mienia lub kontroli produkcji. Pracodawca musi poinformować pracowników o monitoringu nie później niż 2 tygodnie przed jego uruchomieniem, a informację o monitoringu zamieścić w regulaminie pracy lub zakładowym układzie zbiorowym. Czas retencji nagrań z monitoringu pracowniczego nie może przekraczać 3 miesięcy zgodnie z art. 22² § 3 Kodeksu pracy, chyba że nagrania stanowią dowód w postępowaniu.

Zasadą proporcjonalności przetwarzania jest ograniczenie liczby kamer do minimum niezbędnego do realizacji celu. Kamery nie powinny rejestrować obszarów nieobjętych uzasadnionym celem monitoringu — np. widoku za oknem na ulicę publiczną (co może naruszać prawa osób trzecich). Regulamin monitoringu wizyjnego jako dokument jawny pozwala osobom przebywającym w obiekcie zapoznać się z zasadami stosowania monitoringu, celami, czasem retencji i sposobem korzystania z praw RODO.

Regulamin monitoringu wizyjnego w Polsce jest wymagany lub wysoce zalecany w następujących przypadkach.

Monitoring w miejscu pracy. Pracodawca wprowadzający monitoring wizyjny pracowników jest zobowiązany przez art. 22² Kodeksu pracy do określenia celu, zakresu i sposobu stosowania monitoringu w regulaminie pracy lub odrębnym regulaminie monitoringu. Brak regulaminu naraża pracodawcę na sankcje ze strony Państwowej Inspekcji Pracy (PIP) i Prezesa Urzędu Ochrony Danych Osobowych (PUODO).

Monitoring obiektów handlowych i usługowych. Właściciele i zarządcy centrów handlowych, galerii, sklepów, restauracji i punktów usługowych stosujący monitoring CCTV powinni mieć sporządzony regulamin monitoringu wskazujący administratora, cel i czas retencji nagrań, dostępny dla klientów lub wywieszony przy wejściach.

Monitoring budynków biurowych i kompleksów biurowych. Zarządcy biurowców stosujący monitoring CCTV w przestrzeniach wspólnych (hole, korytarze, windy, parkingi) muszą wywiązać się z obowiązków informacyjnych wobec pracowników najemców i gości poprzez tablice informacyjne i regulamin.

Monitoring wspólnot i spółdzielni mieszkaniowych. Wspólnoty mieszkaniowe i spółdzielnie mieszkaniowe instalujące kamery w częściach wspólnych (klatki schodowe, windy, parking, okolice wejść) powinny uchwalić regulamin monitoringu i poinformować mieszkańców o stosowaniu CCTV.

Monitoring obiektów użyteczności publicznej. Szkoły, szpitale, urzędy publiczne, muzea stosujące monitoring są zobowiązane do wdrożenia polityki monitoringu i spełnienia obowiązków informacyjnych zgodnie z RODO i sektorowymi przepisami ochrony danych w instytucjach publicznych.

Monitoring obiektów ochrony zdrowia. Podmioty lecznicze stosujące monitoring w rejestracji, korytarzach, wejściach muszą zadbać, aby rejestracja nie obejmowała danych wrażliwych o stanie zdrowia pacjentów — monitoring musi być skonfigurowany z poszanowaniem tajemnicy lekarskiej i szczególnej kategorii danych z art. 9 RODO.

Wdrożenie systemu monitoringu po raz pierwszy. Każdy podmiot instalujący system CCTV po raz pierwszy powinien, jeszcze przed uruchomieniem, sporządzić regulamin monitoringu, przeprowadzić ocenę skutków dla ochrony danych (DPIA) jeżeli jest wymagana (art. 35 RODO), zawrzeć umowę powierzenia przetwarzania z firmą monitorującą i umieścić tablice informacyjne.

Regulamin monitoringu wizyjnego w Polsce powinien zawierać następujące elementy zapewniające zgodność z RODO, Kodeksem pracy i Ustawą o Ochronie.

Oznaczenie administratora danych. Pełne dane administratora danych osobowych: firma lub imię i nazwisko, adres, dane kontaktowe (e-mail, telefon). Jeżeli wyznaczono Inspektora Ochrony Danych (IOD) zgodnie z art. 37 RODO, wskazanie jego danych kontaktowych. Wyznaczenie IOD jest obowiązkowe m.in. dla organów publicznych i podmiotów przetwarzających dane na dużą skalę.

Opis obiektu i obszarów objętych monitoringiem. Precyzyjny wykaz obszarów monitorowanych (np. wejścia, hol, korytarze, parking) i wyraźne wskazanie obszarów wyłączonych z monitoringu (toalety, szatnie, pomieszczenia socjalne — zakaz bezwzględny z art. 22² § 2 Kodeksu pracy). forms-legal.com zaleca dołączenie do regulaminu planu obiektu z zaznaczonymi lokalizacjami kamer.

Cel przetwarzania. Konkretny, wyraźny i prawnie uzasadniony cel monitoringu: zapewnienie bezpieczeństwa osób, ochrona mienia, kontrola dostępu, zapobieganie zdarzeniom zagrażającym bezpieczeństwu. Zasada ograniczenia celu (art. 5 ust. 1 lit. b RODO) — monitoring nie może być stosowany w celach innych niż wskazane w regulaminie.

Podstawa prawna przetwarzania. Wskazanie podstawy z art. 6 ust. 1 RODO: zazwyczaj prawnie uzasadniony interes administratora (lit. f) — ochrona bezpieczeństwa i mienia. Wyjaśnienie testu równowagi — dlaczego interes administratora przeważa nad interesami osób rejestrowanych.

Czas retencji nagrań. Konkretny czas przechowywania nagrań (zazwyczaj 30 dni dla obiektów komercyjnych; do 3 miesięcy dla monitoringu pracowniczego na podstawie art. 22² § 3 Kodeksu pracy), zasady automatycznego usuwania i wyjątki (dowód w postępowaniu). Zasada ograniczenia przechowywania z art. 5 ust. 1 lit. e RODO.

Prawa osób zarejestrowanych. Katalog praw RODO: prawo dostępu (art. 15), usunięcia (art. 17), ograniczenia przetwarzania (art. 18), sprzeciwu (art. 21), informacja o prawie skargi do Prezesa Urzędu Ochrony Danych Osobowych (PUODO). Tryb realizacji praw — adres do kontaktu.

Informacja o monitoringu. Zobowiązanie do oznaczenia monitorowanych obszarów tablicami informacyjnymi z piktogramem kamery i podstawowymi danymi (administrator, cel, retencja) — obowiązek informacyjny z art. 13 RODO.

Bezpieczeństwo danych. Opis środków technicznych i organizacyjnych zabezpieczających nagrania przed nieuprawnionym dostępem (art. 32 RODO). Wskazanie kręgu osób uprawnionych do dostępu i zasad przekazywania nagrań organom ścigania (Policja, prokuratura).

Regulamin monitoringu wizyjnego w Polsce należy sporządzić i wdrożyć według poniższych kroków, zanim system CCTV zostanie uruchomiony.

Krok 1 — oceń cel i konieczność monitoringu. Zanim uruchomisz monitoring, zidentyfikuj konkretne zagrożenia, którym ma przeciwdziałać, i sprawdź, czy są mniej inwazyjne metody ich ograniczenia. Monitoring powinien być środkiem proporcjonalnym — odpowiednim do celu i nienadmiernym wobec praw osób (zasada proporcjonalności z art. 5 ust. 1 lit. c RODO).

Krok 2 — wyznacz i opisz monitorowane obszary. Wpisz precyzyjnie, które obszary obiektu będą monitorowane. Wyraźnie wyklucz toalety, szatnie i pomieszczenia socjalne — obowiązek ten wynika bezpośrednio z art. 22² § 2 Kodeksu pracy i zasad poszanowania godności.

Krok 3 — wpisz dane administratora i IOD. Wpisz pełne dane administratora danych (firma, adres, kontakt). Jeżeli Twoja organizacja jest zobowiązana do wyznaczenia Inspektora Ochrony Danych (IOD) — np. jesteś organem publicznym lub przetwarzasz dane na dużą skalę (art. 37 RODO) — wpisz dane kontaktowe IOD.

Krok 4 — określ cel i podstawę prawną. Wpisz konkretny cel monitoringu (np. zapewnienie bezpieczeństwa osób i mienia). Jako podstawę prawną wskaż zazwyczaj art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes). Pamiętaj, że cel musi być wskazany zarówno w regulaminie, jak i na tablicach informacyjnych.

Krok 5 — ustal czas retencji. Wpisz czas przechowywania nagrań — zalecane 30 dni. Dla monitoringu pracowniczego limit ustawowy to 3 miesiące (art. 22² § 3 Kodeksu pracy). Zadbaj, aby system nagrywania automatycznie nadpisywał nagrania po upływie okresu retencji.

Krok 6 — poinformuj pracowników. Jeżeli monitoring obejmuje miejsca pracy, poinformuj pracowników nie później niż 2 tygodnie przed uruchomieniem systemu. Dodaj informacje o monitoringu do regulaminu pracy lub zakładowego układu zbiorowego.

Krok 7 — umieść tablice informacyjne. Przed każdym obszarem monitorowanym umieść tablice z piktogramem kamery, nazwą administratora, celem monitoringu, czasem retencji i prawem do skargi do Prezesa Urzędu Ochrony Danych Osobowych (PUODO) — realizując obowiązek z art. 13 RODO.

Krok 8 — zawrzyj umowę powierzenia z firmą monitorującą. Jeżeli dostęp do nagrań ma zewnętrzna firma monitorująca, zawrzyj z nią umowę powierzenia przetwarzania danych (art. 28 RODO). Podpisz regulamin i wdroż go w życie.

Stosowanie monitoringu wizyjnego w Polsce podlega rygorystycznym wymogom prawnym wynikającym z RODO, Kodeksu pracy i przepisów ochrony danych.

RODO — monitoring jako przetwarzanie danych osobowych. Nagrania z kamer CCTV rejestrujące wizerunek osób są danymi osobowymi (art. 4 pkt 1 RODO). Administrator musi mieć podstawę prawną przetwarzania (art. 6 RODO) — zazwyczaj prawnie uzasadniony interes (lit. f). Przetwarzanie musi spełniać zasady: legalności, rzetelności i przejrzystości (lit. a), ograniczenia celu (lit. b), minimalizacji danych (lit. c), prawidłowości (lit. d), ograniczenia przechowywania (lit. e) oraz integralności i poufności (lit. f).

Obowiązek informacyjny (art. 13 RODO). Administrator zobowiązany jest poinformować osoby rejestrowane o: swojej tożsamości i danych kontaktowych, danych IOD (jeśli wyznaczono), celu i podstawie prawnej przetwarzania, czasie retencji nagrań, prawie dostępu, usunięcia, ograniczenia i sprzeciwu, prawie skargi do PUODO. Informacja jest przekazywana przez tablice informacyjne i regulamin monitoringu.

Monitoring pracowniczy — art. 22² Kodeksu pracy. Pracodawca może stosować monitoring wizyjny pracowników wyłącznie dla ściśle określonych celów: bezpieczeństwo pracowników, ochrona mienia, kontrola produkcji. Monitoring musi być wprowadzony w regulaminie pracy lub układzie zbiorowym, a pracownicy informowani 2 tygodnie przed uruchomieniem. Zakaz kamer w toaletach, szatniach, pomieszczeniach socjalnych jest bezwzględny. Czas retencji nagrań nie może przekraczać 3 miesięcy.

Umowa powierzenia przetwarzania (art. 28 RODO). Gdy firma zewnętrzna obsługuje system monitoringu lub ma dostęp do nagrań, wymagana jest umowa powierzenia przetwarzania spełniająca wymagania art. 28 ust. 3 RODO. Brak umowy jest naruszeniem RODO.

Ocena skutków dla ochrony danych (DPIA — art. 35 RODO). Dla monitoringu na dużą skalę (np. monitoring centrum handlowego) lub monitoringu obejmującego miejsca publiczne może być wymagane przeprowadzenie DPIA przed uruchomieniem systemu. Prezes Urzędu Ochrony Danych Osobowych (PUODO) opublikował wykaz rodzajów operacji wymagających DPIA.

Sankcje za naruszenia. Naruszenie obowiązków RODO w zakresie monitoringu może skutkować administracyjną karą pieniężną nałożoną przez PUODO do 20 000 000 euro lub 4% całkowitego rocznego obrotu na mocy art. 83 RODO. Naruszenie art. 22² Kodeksu pracy może skutkować odpowiedzialnością wykroczeniową pracodawcy (art. 281 § 1 pkt 6d KP, kara grzywny do 30 000 zł).

Regulaminy monitoringu wizyjnego w Polsce bywają wadliwe lub ich wdrożenie naruszające przepisy RODO z powodu następujących błędów.

Błąd 1 — kamery w toaletach, szatniach lub pomieszczeniach socjalnych. Instalacja kamer w miejscach chronionych stanowi bezwzględne naruszenie art. 22² § 2 Kodeksu pracy i zasad poszanowania godności. Zalecenie: nigdy nie instaluj kamer w tych miejscach niezależnie od uzasadnienia.

Błąd 2 — brak lub niepoprawne tablice informacyjne o monitoringu. Stosowanie monitoringu bez czytelnych tablic informacyjnych przed obszarami monitorowanymi narusza obowiązek informacyjny z art. 13 RODO i naraża na sankcje PUODO. Zalecenie: umieść tablice z pełną informacją RODO przed każdym obszarem monitorowanym.

Błąd 3 — zbyt długi czas retencji nagrań. Przechowywanie nagrań przez rok lub dłużej bez uzasadnienia narusza zasadę ograniczenia przechowywania z art. 5 ust. 1 lit. e RODO. Zalecenie: ustal retencję 30 dni (obiekty komercyjne) lub maksymalnie 3 miesiące (monitoring pracowniczy), zadbaj o automatyczne nadpisywanie.

Błąd 4 — brak umowy powierzenia z firmą monitorującą. Gdy firma zewnętrzna ma dostęp do nagrań, a nie zawarto umowy powierzenia przetwarzania (art. 28 RODO), jest to naruszenie przepisów ochrony danych. Zalecenie: zawrzyj umowę powierzenia przed udostępnieniem nagrań firmie zewnętrznej.

Błąd 5 — brak poinformowania pracowników przed uruchomieniem monitoringu. Naruszenie art. 22² § 7 Kodeksu pracy (obowiązek poinformowania 2 tygodnie przed uruchomieniem). Zalecenie: doręcz pracownikom informację o monitoringu z 2-tygodniowym wyprzedzeniem i odbierz potwierdzenie.

Błąd 6 — monitoring bez podstawy prawnej lub w celu inwigilacji pracowników. Stosowanie monitoringu wyłącznie jako narzędzia kontroli każdego ruchu pracownika bez uzasadnionego celu związanego z bezpieczeństwem lub mieniem może naruszać zasadę proporcjonalności z RODO i Kodeksu pracy. Zalecenie: opieraj monitoring na konkretnym, uzasadnionym celu i dokumentuj ocenę proporcjonalności.