Przepisy dotyczące monitoringu wizyjnego w firmie są rygorystyczne. Oto najważniejsze zasady.
Zasada proporcjonalności: można rejestrować wyłącznie to, co jest niezbędne do osiągnięcia konkretnego celu związanego z bezpieczeństwem. Nadmierny monitoring jest niedopuszczalny.
Informowanie osób: należy w widoczny sposób poinformować o prowadzeniu monitoringu oraz o jego celu.
Przykładowa tablica informacyjna
„Obiekt objęty monitoringiem wizyjnym.
Administrator danych: [Nazwa firmy].
Cel: bezpieczeństwo osób i mienia.
Okres przechowywania nagrań: [30] dni.
W celu realizacji swoich praw skontaktuj się z: [dział / adres e-mail].
Więcej informacji: uodo.gov.pl”
Pracownicy: Kodeks pracy określa zasady stosowania monitoringu wizyjnego w miejscu pracy. Monitoring może być stosowany, jeżeli jest to niezbędne m.in. do zapewnienia bezpieczeństwa pracowników, ochrony mienia, kontroli produkcji lub ochrony informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę.
- Należy poinformować pracowników o wprowadzeniu monitoringu nie później niż 2 tygodnie przed jego uruchomieniem.
- Cele, zakres i sposób stosowania monitoringu należy określić w odpowiednich wewnętrznych regulacjach pracodawcy.
- Co do zasady monitoring nie może obejmować toalet, szatni, stołówek, palarni ani pomieszczeń udostępnianych organizacji związkowej, z wyjątkami przewidzianymi przez prawo.
- Nagrania należy przechowywać przez okres nieprzekraczający 3 miesięcy od dnia nagrania, chyba że stanowią dowód w postępowaniu – wówczas okres ten może zostać przedłużony do czasu prawomocnego zakończenia postępowania.
Klienci i odwiedzający: jasna informacja przy wejściu pozwala poinformować ich o prowadzeniu monitoringu.
RODO i UODO: należy również:
- zapewnić odpowiednią podstawę prawną przetwarzania danych osobowych;
- uwzględnić system w rejestrze czynności przetwarzania, jeżeli jest to wymagane;
- ograniczyć okres przechowywania nagrań do czasu niezbędnego do realizacji celu monitoringu, z uwzględnieniem szczególnych zasad dotyczących monitoringu pracowników;
- zabezpieczyć dostęp do nagrań, ograniczając go do osób upoważnionych;
- w przypadku wysokiego ryzyka dla praw i wolności osób ocenić, czy konieczne jest przeprowadzenie oceny skutków dla ochrony danych (DPIA).
Obowiązki te mogą czasami być postrzegane jako ograniczenie. Jeśli zostaną prawidłowo uwzględnione już na etapie projektowania systemu, stają się jednak dodatkowym zabezpieczeniem firmy, zarówno w przypadku kontroli, jak i sporu.