Za taką właśnie przestrzeń uważane będą miejsca prowadzenia działalności gospodarczej, takie jak lokale usługowe, sklepy, zakłady pracy, fabryki, biura, niezależnie od tego czy dostęp do nich mają wyłącznie pracownicy, czy także osoby trzecie (klienci, kontrahenci).Pomimo tego, że Projekt dość ogólnie reguluje obowiązki administratora systemu monitoringu wizyjnego obejmującego tę przestrzeń, warto już w tej chwili wskazać kwestie, które, zdaniem Konfederacji Lewiatan, wymagają doprecyzowania na dalszym etapie prac, wraz z kierunkiem, w jakim powinny one zmierzać.
System automatycznej identyfikacji
Projekt wymaga zgody GIODO na prowadzenie systemu zapewniającego automatyczną identyfikację osób oraz rejestracji tego systemu w powołanym do tego celu rejestrze, niezależnie od rodzaju przestrzeni, w jakiej monitoring będzie prowadzony.
Dla uniknięcia wątpliwości warto wyjaśnić, że równoległe funkcjonowanie w tej samej przestrzeni systemu monitoringu wizyjnego i elektronicznego systemu kontroli dostępu, które nie są ze sobą zintegrowane, nie są systemami automatycznej identyfikacji osób. Chodzi tu o przypadki, kiedy w przestrzeni objętej monitoringiem znajdują się inne, niepowiązane z nim automatycznie, systemy identyfikujące osoby wchodzące na ten obszar (spersonalizowane karty umożliwiające wejście do budynku, elektroniczne książki gości).
Bardzo ważne jest, aby prowadzenie tych systemów nie powodowało obowiązku ich rejestracji w GIODO oraz nie było uwarunkowane uzyskaniem zgody na monitoring. Tego typu systemy kontroli wejść oraz systemy monitoringu mają bardzo duże znaczenie dla zapewnienia bezpieczeństwa zakładów pracy i innych obiektów, dlatego możliwość ich stosowania nie powinna być uzależniana od zgody GIODO.
Przyjęcie odmiennej interpretacji powodowałoby, że pracodawcy byliby zobowiązani do uzyskania zgody na prowadzenie systemów monitoringu obejmującego pracowników, mimo, że zgodnie z art. 43 ust 1 pkt 4 ustawy o ochronie danych osobowych, zbiory danych osobowych przetwarzanych w związku z zatrudnieniem nie podlegają obowiązkowi rejestracji. Byłoby to sprzeczne z intencją prawodawcy i spowodowałoby duże obciążenia zarówno po stronie pracodawców jak i GIODO – zauważa Konfederacja Lewiatan.
Termin przechowywania nagrań z monitoringu
Projekt przewiduje, że o terminie przechowywania danych decydował będzie administrator systemu, jednak termin ten nie może przekraczać 90 dni. Konfederacja Lewiatan popiera podejście, zgodnie z którym administrator może wyznaczyć krótszy, odpowiadający jego potrzebom okres. Z drugiej strony, w niektórych przypadkach termin 90-dniowy może okazać się zbyt krótki. Dane z monitoringu są często wykorzystywane jako dowód w sprawach pracowniczych (niedopełnienie obowiązków, nadużycia). Są też przydatne dla analizy zgłoszonych przedsiębiorcy reklamacji, które w praktyce docierają do nich po około 3-4 miesiącach. Nagrania pozwalają sprawdzić, czy zgłoszone uszkodzenie towaru nastąpiło przed jego wysłaniem, czy już w transporcie, umożliwiając szybkie wyjaśnienie sprawy.
Obowiązki administratorów
Warto zaznaczyć, że Projekt nakłada na administratorów systemów obowiązki analogiczne do istniejących już wobec administratorów danych osobowych na mocy ustawy o ochronie danych osobowych. Istotne jest to, by nie dublować tych obowiązków, ale umożliwić ich realizację w ramach istniejących już systemów, np. systemu ewidencji osób upoważnionych. Projekt powinien utrzymać opcjonalność mianowania administratora bezpieczeństwa systemu monitoringu wizyjnego.
Precyzując obowiązki administratorów na dalszym etapie prac należy uwzględnić sytuację mikro i małych przedsiębiorstw, które często monitorują zachowanie pojedynczych pracowników. W odniesieniu do tych firm obowiązek prowadzenia dokumentacji określającej środki techniczne i organizacyjne, zapewniające ochronę odbioru, rejestrację, odtwarzanie, sposób przechowywania i niszczenia zarejestrowanych danych jest realnym obciążeniem finansowym i administracyjnym – podkreśla Konfederacja Lewiatan.
Biorąc pod uwagę dynamiczny rozwój nowych technologii i środków porozumiewania się na odległość uważamy, że nie należy zbytnio formalizować sposobu nadawania upoważnień dostępowych i prowadzenia ewidencji osób upoważnionych. Również decyzja o formie poinformowania pracownika o prowadzonym monitoringu powinna zostać pozostawiona do decyzji pracodawcy. Z pewnością nie należy wymagać w tym wypadku formy pisemnej.
Konfederacja Lewiatan
