W ciągu ostatnich kilku lat pojawiło się kilka projektów aktu prawnego, który regulowałby wideonadzór (w tym monitoring wizyjny) na poziomie ogólnym, jednak żaden z nich nie stał się aktem obowiązującym. Do momentu powstania takiej ustawy najważniejszym aktem prawnym dla podmiotów korzystających z monitoringu wizyjnego jest ustawa z dnia 29 lipca 1997r. o ochronie danych osobowych (dalej u.o.d.o.).
Wizerunek człowieka, utrwalony przez kamerę systemu, może być w pewnych sytuacjach uznany za dane osobowe, a wykorzystywanie systemu monitoringu – za przetwarzanie danych osobowych. Operator monitoringu jest zarazem administratorem danych osobowych w rozumieniu u.o.d.o., dlatego spoczywają na nim obowiązki związane z przetwarzaniem danych osobowych jeśli:
- jakość obrazu z kamer pozwoli na zidentyfikowanie konkretnej osoby fizycznej nagrania są porządkowane (np. chronologicznie), dzięki czemu możliwe jest odnalezienie utrwalonego wizerunku konkretnej osoby fizycznej,
- system monitoringu, oprócz zapewnienia podglądu w czasie rzeczywistym, umożliwia także nagrywanie obrazu.
Zasady ochrony danych osobowych wskazują, że administrator danych zobowiązany jest w szczególności do zrealizowania obowiązku informacyjnego, tj. przekazania osobom, których dane gromadzi, następujących informacji:
- pełnej nazwy oraz adresu siedziby administratora danych,
- celu i zakresu zbierania danych (m.in. ewentualnych odbiorców danych osobowych),
- źródła pochodzenia danych,
- informacji o prawie dostępu do danych i ich poprawiania,
- informacji o prawie wniesienia żądania zaprzestania przetwarzania danych w przypadkach wskazanych w art. 32 u.o.d.o.
Stuprocentowa realizacja wskazanego obowiązku byłaby dla operatora monitoringu bardzo utrudniona (tabliczka informująca o monitoringu musiałaby mieć znaczne rozmiary) lub wręcz niemożliwa – bo jak realizować prawo do poprawiania danych w postaci wizerunku utrwalonego na nagraniu? W praktyce podmioty stosujące wideonadzór ograniczają się do umieszczenia na terenie obszaru, objętym zasięgiem kamer, tabliczek lub piktogramów informujących o fakcie monitorowania i praktykę tę należy uznać za prawidłową.
Na kim spoczywa obowiązek informacyjny?
Obowiązkiem podmiotu stosującego monitoring jest również odpowiednie zabezpieczenie systemu wideonadzoru tak, aby nie miały do niego dostępu osoby nieupoważnione oraz by nie doszło do zniszczenia lub uszkodzenia nagrań. Jeśli operator powołał u siebie administratora bezpieczeństwa informacji (ABI), może skonsultować z tą osobą niezbędne środki bezpieczeństwa. W przeciwnym razie administrator danych sam będzie musiał sprawować kontrolę nad tym obszarem swojej działalności.
Operator monitoringu może być nawet zobowiązany do zgłoszenia GIODO prowadzonego przez siebie zbioru danych osobowych pod nazwą „Monitoring”. Także w tym wypadku ABI może oszczędzić administratorowi danych pracy, bowiem obowiązek rejestracji zbiorów danych osobowych nie obejmuje administratorów danych, którzy powołali ABI i zgłosił go GIODO do rejestracji.
Obowiązek informacyjny spoczywa także na pracodawcach, którzy pragnęliby wykorzystać monitoring wizyjny dla kontrolowania poczynań swoich pracowników. Wymagane jest jednak, by wiedzieli oni o stosowanych wobec nich środkach nadzoru. Rekomendowane jest, by pracodawca udzielił pracownikom informacji o stosowaniu monitoringu, jego zakresie (np. poprzez wskazanie pomieszczeń biurowych, gdzie zostały zainstalowane kamery) oraz powodach jego wykorzystania. Zalecane jest także odebranie od podwładnych pisemnych oświadczeń, w treści których potwierdzą otrzymanie ww. informacji.
Nieuzasadnionym działaniem jest wymaganie od pracownika udzielenia zgody na wykorzystywanie monitoringu bowiem charakter relacji między pracodawcą a pracownikiem uzasadnia przekonanie, że ewentualna zgoda pracownika mogłaby zostać uznana za wymuszoną.
Wideonadzór dość mocno ingeruje w cudzą prywatność, dlatego należy się nim posługiwać z dużą ostrożnością. Specjalistów od ochrony danych osobowych oraz prywatności zgodnie oceniają, że monitoring powinien być stosowany jedynie, gdy inne środki ochrony lub bezpieczeństwa, niewymagające pozyskiwania obrazu, okażą się ewidentnie niewystarczające lub niemożliwe do zastosowania.