Monitoring w hotelu a przetwarzanie danych w świetle RODO
W dzisiejszych czasach niemalże każdy hotel czy pensjonat wyposażony jest w system monitoringu. System ten ma na celu przede wszystkim zwiększenie poczucia bezpieczeństwa gości, jak również zapobieżenie takim działaniom niepożądanym jak np. kradzież czy dewastacja budynku. Nierozłącznie jednak używanie przez obiekt monitoringu wiąże się z pewnymi obowiązkami, jakie nakładają na niego obowiązujące przepisy, w tym Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dn. 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), zwane potocznie „RODO”, które weszło w życie w dn. 25 maja 2018 roku.
Monitoring a przetwarzanie danych
Czy monitoring wiąże się z przetwarzaniem danych osobowych? Takie pytanie z całą pewnością zadaje sobie niejeden hotelarz. Odpowiedzieć na nie należy w większości przypadków twierdząco.
Odnosząc się do monitoringu wizyjnego, przetwarzaniem danych będzie szereg operacji, takich jak zbieranie, przechowywanie, udostępnianie bądź usuwanie zarejestrowanych przez system nagrań zdarzeń i osób w nich uczestniczących. Zakres danych przetwarzanych przez monitoring obejmuje – prócz wizerunku w/w osób – również ich cechy szczególne, a także wszelkie numery identyfikacyjne, przykładowo numery tablic rejestracyjnych pojazdów. Nie jest natomiast w tym przypadku istotny charakter nośnika, w którym powyższe dane są przechowywane. Mogą to być przykładowo dysk twardy systemu, pamięć urządzenia umożliwiającego zdalny dostęp do nagrań, smartfony czy laptopy.
Z powyższego nie można jednakże wywieść wniosku, że monitoring wiąże się z przetwarzaniem danych osobowych w każdym przypadku. Zgodnie z definicją zawartą w art. 4 pkt 2 RODO, z przetwarzaniem danych będziemy mieć bowiem do czynienia wyłącznie w sytuacji, gdy dane te będą: „zbierane, utrwalane, organizowane, porządkowane, przechowywane, adaptowane lub modyfikowane, pobierane, przeglądane, wykorzystywane, ujawniane poprzez przesłanie, rozpowszechniane lub w inny sposób udostępniane, dopasowywane lub łączone, ograniczane, usuwane lub niszczone”. Co za tym idzie, jeżeli monitoring wykorzystywany jest wyłącznie do podglądu danego miejsca, a samo nagranie nie jest przechowywane na nośniku, błędnym byłoby zakwalifikowanie powyższego jako przetwarzania danych osobowych. Przetwarzanie danych osobowych odnosi się bowiem do sytuacji, gdy obraz z monitoringu zawiera wizerunki osób oraz jednocześnie zostaje on utrwalony na nośniku danych.
Do głównych uczestników procesu przetwarzania danych należy zaliczyć „osobę obserwowaną”, administratora, podmiot przetwarzający i odbiorcę danych. Kim są wyżej wskazani? Jakie obowiązki nakłada, a jakie uprawnienia przyznaje im RODO w związku z przetwarzaniem danych osobowych?
„Osoba obserwowana” jako uczestnik procesu przetwarzania
Pierwszy z uczestników to osoba, której przetwarzane dane bezpośrednio dotyczą. Jest to zatem osoba fizyczna – zidentyfikowana bądź możliwa do zidentyfikowania, której dane zostały przez monitoring zebrane i są przechowywane na nośniku. Zgodnie z RODO, osoba taka korzystać może z szeregu uprawnień, które rozporządzenie przyznaje jej w dziale III. Jednocześnie RODO nakłada pewne obowiązki na podmiot przetwarzający jej dane.
Art. 12 i 13 RODO wskazują na obowiązek informacyjny administratora wobec osoby obserwowanej. Oznacza to, iż powinien on w sposób zwięzły, przejrzysty i zrozumiały udzielić w/w osobie wszelkich informacji wyszczególnionych w art. 13 i 14 RODO, m.in. tych dotyczących celu przetwarzania, tożsamości i danych kontaktowych administratora, informacji o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją. Co istotne z punktu widzenia hotelarzy, pełna informacja o monitoringu, odpowiadająca wszystkim wymogom przewidzianym przez art. 13 RODO, winna być dostępna na terenie obszaru objętego monitoringiem, przykładowo na tablicach informacyjnych lub jako dokument dostępny na recepcji. Możliwa zatem jest realizacja w/w obowiązku poprzez podanie informacji podstawowych, a następnie uzupełnienie ich w kolejnych warstwach informacyjnych.
Należy jednak pamiętać o zasadzie minimalizacji danych osobowych zawartej w art. 5 ust. 1 pkt c RODO, która wymaga od obiektu wyznaczenia terenu objętego monitoringiem wyłącznie w niezbędnym zakresie. W myśl powyższej zasady interesy administratora nie mogą nadmiernie ograniczać jednego z podstawowych praw gości hotelowych, a mianowicie prawa do prywatności. Patrząc z punktu widzenia klienta jadącego na wypoczynek, nikt nie chciałby chyba, by jego sfera intymności została przesadnie naruszona… Co za tym idzie, administrator powinien w szczególności powstrzymywać się od instalowania systemu monitoringu w takich pomieszczeniach jak toalety czy przebieralnie.
Istotnym prawem, przysługującym omawianemu uczestnikowi procesu przetwarzania, jest uprawnienie do skontrolowania zgromadzonych przez administratora danych, żądanie ich sprostowania bądź usunięcia, przewidziane przez art. 15 i nast. RODO. W przypadku wideomonitoringu realizacja tegoż uprawnienia może napotkać jednak na pewne ograniczenia. W myśl motywu 63 RODO administrator przetwarzający dużą ilość informacji o danej osobie może bowiem od niej zażądać doprecyzowania informacji lub czynności przetwarzania, których dotyczy jej żądanie, tj. np. wskazania okresu, w jakim określone zdarzenie, w związku z którym dane osobowe są przetwarzane, miało miejsce.
Administrator i podmiot przetwarzający
W myśl art. 4 pkt 7 RODO, Administrator jest „osobą fizyczną lub prawną, organem publicznym, jednostką lub innym podmiotem, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych”. Administratorem danych „osób obserwowanych” będzie zatem podmiot, który podejmuje decyzje dotyczące instalacji, celów oraz obszaru, który ma zostać objęty systemem monitorowania, który to system pozostaje w jego dyspozycji.
Administrator powinien przede wszystkim uprzednio zweryfikować, czy cele, jakie ma zamiar realizować poprzez system monitoringu, uzasadniają obserwację osób. Tym samym winien on mieć na względzie zasadę ograniczenia celu przewidzianą w art. 5 ust. 1 lit. b RODO. Z tej zasady należy zatem wywieść wniosek, iż monitoring winno się stosować wyłącznie wówczas, gdy nie jest możliwe zapewnienie gościom hotelowym bezpieczeństwa w inny, mniej inwazyjny sposób.
Zgodnie z art. 28 RODO, administrator może powierzyć przetwarzanie danych osobowych innemu podmiotowi na podstawie umowy, która winna określać przedmiot oraz czas trwania przetwarzania, jego charakter i cel, rodzaj danych osobowych i kategorie osób, których dane mają być przetwarzane, jak również prawa i obowiązki administratora. Przykładem takiego podmiotu może być firma ochroniarska prowadząca monitoring hotelu czy firma IT posiadająca dostęp do systemu i dbająca o jego konserwację. Podmiot ten musi jednak zapewnić wystarczające gwarancje wdrożenia stosownych środków techniczno-organizacyjnych celem spełnienia wymogów przewidzianych w RODO. Odpowiada on bowiem wobec administratora za przetwarzanie danych w sposób niezgodny z zawartą umową. Nie oznacza to jednak, iż umowa taka zwalnia administratora od odpowiedzialności za nieprawidłowe przetwarzanie danych.
Odbiorca danych jako końcowy uczestnik procesu przetwarzania
Zgodnie z art. 4 pkt 9 RODO odbiorcą jest „osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, któremu ujawnia się dane osobowe, niezależnie od tego, czy jest stroną trzecią”. Co istotne w myśl zdania 2 powyższego przepisu, „organy publiczne, które mogą otrzymywać dane osobowe w ramach konkretnego postępowania zgodnie z prawem Unii lub prawem państwa członkowskiego, nie są jednak uznawane za odbiorców”.
Zgodnie z art. 13 i 14 RODO, o odbiorcach danych osobowych lub ich kategoriach winien informować „osoby obserwowane” administrator. W praktyce oznaczać to może dla obiektu konieczność informowania gości hotelowych, iż dane z nagrań udostępniane będą firmie ochroniarskiej sprawującej pieczę nad hotelem. Ponadto, obiekt powinien również zwrócić uwagę gościa, że dane rejestrowane przez monitoring mogą być także udostępnione na żądanie osoby trzeciej, która wykaże, że ma w tym uzasadniony interes.
Anna Kuźniak, aplikantka radcowska
Kraków, kwiecień 2019 roku
Dodaj komentarz