Monitoring w biurowcach i coworkingach: compliance dla zarządców budynków i najemców

Visual data anonymization w biurowcach i coworkingach to praktyka takiego przygotowania zdjęć i nagrań wideo, aby przed ich przekazaniem lub publikacją nie identyfikowały osób ani pojazdów w zakresie, który jest zbędny dla celu użycia materiału. W praktyce chodzi głównie o face blurring i license plate blurring, czyli rozmywanie twarzy oraz tablic rejestracyjnych. W tym obszarze kluczowe nie jest tylko pytanie, czy monitoring jest legalny, ale kto odpowiada za konkretne nagranie i w którym momencie powinno dojść do anonimizacji.

W biurowcach i przestrzeniach coworkingowych często działają równolegle co najmniej dwa podmioty: właściciel lub zarządca budynku oraz najemca. Oba podmioty mogą być odrębnymi administratorami danych, jeżeli samodzielnie ustalają cele i sposoby wykorzystywania zdjęć lub nagrań. To właśnie ten split governance najczęściej decyduje o tym, kto ma obowiązek anonimizować materiał przed udostępnieniem drugiej stronie.

Kto jest administratorem nagrań w biurowcu i coworkingu?

Najczęstszy model wygląda następująco. Właściciel albo zarządca budynku obsługuje kamery w częściach wspólnych - wejściach, lobby, windach, garażach czy recepcji. Najemca kontroluje własne kamery w wynajmowanym biurze, strefie wejścia do lokalu albo w przestrzeni eventowej używanej na potrzeby swojej działalności. Jeżeli każdy z tych podmiotów niezależnie określa cel monitoringu, zakres retencji i zasady udostępniania, to co do zasady działa jako osobny administrator.

To rozróżnienie ma praktyczny skutek. Właściciel budynku nie przejmuje automatycznie odpowiedzialności za każde nagranie powstałe u najemcy. Najemca również nie może zakładać, że skoro budynek ma wspólną politykę bezpieczeństwa, to wolno przekazywać surowe wideo bez wcześniejszej oceny ryzyka i potrzeby anonimizacji.

Wspólne ustalenia organizacyjne są potrzebne, ale nie zastępują rozdzielenia ról. Dobra praktyka compliance polega na tym, by w umowie najmu, regulaminie monitoringu albo załączniku operacyjnym opisać co najmniej cztery kwestie:

• kto jest administratorem danego systemu kamer,
• w jakich scenariuszach możliwe jest udostępnienie materiału,
• kto wykonuje visual data anonymization,
• kto dokumentuje podstawę takiego działania.

Dlaczego anonimizacja wizualna jest centralnym elementem podziału odpowiedzialności?

Zdjęcia i nagrania z biurowców prawie zawsze zawierają wizerunki osób. Mogą też obejmować tablice rejestracyjne na parkingach i podjazdach. Jeżeli materiał ma zostać użyty szerzej niż do wewnętrznego podglądu bezpieczeństwa, pojawia się pytanie o minimalizację danych z art. 5 RODO oraz o legalność dalszego użycia [1].

W praktyce oznacza to, że przekazanie całego, niezanonimizowanego nagrania drugiemu administratorowi powinno być wyjątkiem, a nie standardem. Jeżeli cel da się osiągnąć po rozmyciu twarzy i tablic rejestracyjnych, organizacje często przyjmują właśnie taki model jako bezpieczniejszy operacyjnie.

W tym miejscu warto odróżnić dwa zastosowania. Pierwsze to materiał dowodowy przekazywany organom lub używany w związku z incydentem. Drugie to materiał przekazywany biznesowo między właścicielem a najemcą, na przykład do analizy zdarzenia, przygotowania komunikacji lub publikacji. W drugim przypadku potrzeba anonimizacji pojawia się znacznie częściej.

Workflow: kiedy najemca musi anonimizować przed przekazaniem właścicielowi

Najemca powinien zacząć od pytania o cel udostępnienia. Jeżeli właściciel budynku prosi o nagranie z recepcji najemcy tylko po to, by potwierdzić przebieg zdarzenia technicznego, surowe twarze osób postronnych zwykle nie są potrzebne. W takim scenariuszu częstym podejściem compliance jest przekazanie wersji po face blurring, a jeżeli w kadrze widoczne są pojazdy - również po license plate blurring.

Jeżeli materiał ma trafić do innego najemcy, potrzeba anonimizacji jest jeszcze silniejsza. Udostępnianie nagrań między najemcami bez rozmycia twarzy i tablic rejestracyjnych powinno być traktowane jako rozwiązanie wysokiego ryzyka. Najpierw należy ocenić, czy cel da się osiągnąć na materiale zanonimizowanym. W większości sporów operacyjnych odpowiedź brzmi: tak.

Dobry workflow można opisać w czterech krokach:

• Po pierwsze, najemca identyfikuje cel i odbiorcę.
• Po drugie, ocenia, czy do realizacji celu potrzebny jest materiał surowy.
• Po trzecie, przygotowuje kopię roboczą po anonimizacji wizualnej.
• Po czwarte, dokumentuje zakres udostępnienia.

Taki model ogranicza nadmiarowe ujawnianie wizerunków i lepiej realizuje zasadę minimalizacji [1].

Jeżeli najemca potrzebuje narzędzia do lokalnego przetwarzania materiałów, sensownym rozwiązaniem bywa Gallio PRO jako on-premise software. To istotne tam, gdzie organizacja nie chce przenosić nagrań do usług zewnętrznych i zależy jej na kontroli nad obiegiem plików. Zgodnie z materiałami produktowymi oprogramowanie automatycznie zamazuje wyłącznie twarze i tablice rejestracyjne, nie całe sylwetki, nie działa w czasie rzeczywistym i nie prowadzi anonimizacji strumienia wideo. Nie wykrywa automatycznie logotypów firm, tatuaży, tabliczek z imionami, dokumentów ani obrazu na ekranach monitorów, natomiast takie elementy można zamazywać manualnie we wbudowanym edytorze. Oprogramowanie nie zapisuje też logów zawierających dane osobowe.

Workflow: kiedy właściciel budynku musi anonimizować przed przekazaniem najemcy

Ten sam mechanizm działa w drugą stronę. Jeżeli zarządca budynku przekazuje najemcy nagranie z lobby, windy lub parkingu, nie powinien domyślnie przekazywać pełnego materiału z twarzami wszystkich odwiedzających. Najemca zwykle potrzebuje tylko wycinka zdarzenia i tylko tych informacji, które są niezbędne do jego celu biznesowego lub bezpieczeństwa.

Przykład jest prosty. Najemca zgłasza zniszczenie mienia przy wejściu do lokalu. Zarządca ma kamery obejmujące korytarz i sąsiednie powierzchnie. Jeżeli celem jest potwierdzenie przebiegu incydentu, wersja po rozmyciu osób postronnych będzie zazwyczaj wystarczająca. Surowe nagranie może być potrzebne jedynie w sytuacjach szczególnych, zależnych od kontekstu i podstawy prawnej.

Z perspektywy zarządcy ważne jest także rozdzielenie materiału operacyjnego od materiału komunikacyjnego. To, że nagranie zostało zgodnie z prawem zebrane dla bezpieczeństwa, nie oznacza automatycznie możliwości przekazania go najemcy do celów PR, marketingu lub publikacji. Dalsze użycie wymaga osobnej analizy.

Podział odpowiedzialności w praktyce - tabela dla zarządców i najemców

Publikacja zdjęć i nagrań z biurowca - kiedy twarze trzeba rozmyć

Obowiązek anonimizacji twarzy nie wynika automatycznie z jednego przepisu, lecz z oceny podstawy przetwarzania danych osobowych, ochrony dóbr osobistych oraz zasad rozpowszechniania wizerunku. Znaczenie mają tu w szczególności RODO, Kodeks cywilny oraz Prawo autorskie. W prawie autorskim przewidziano wyjątki od wymogu zezwolenia na rozpowszechnianie wizerunku, m.in. gdy:

• chodzi o osobę powszechnie znaną i wizerunek wykonano w związku z pełnieniem przez nią funkcji publicznych, w szczególności politycznych, społecznych lub zawodowych,
• osoba stanowi jedynie szczegół całości takiej jak zgromadzenie, krajobraz lub publiczna impreza,
• osoba otrzymała umówioną zapłatę za pozowanie, chyba że wyraźnie zastrzeżono inaczej.

W biurowcach i coworkingach wyjątki te trzeba stosować ostrożnie. Event branżowy w przestrzeni coworkingowej nie zawsze będzie wydarzeniem publicznym w rozumieniu praktyki prawa autorskiego. Podobnie fakt, że ktoś jest rozpoznawalnym prelegentem, nie legalizuje automatycznie publikacji twarzy wszystkich uczestników w tle. Dlatego face blurring pozostaje częstym rozwiązaniem dla materiałów promocyjnych, relacji z wydarzeń i komunikacji kryzysowej.

Tablice rejestracyjne na parkingach i podjazdach

W materiałach z parkingów i stref dostaw pojawia się dodatkowy problem. Nie ma ogólnej zasady, zgodnie z którą zamazywanie tablic rejestracyjnych byłoby w całej Europie Zachodniej zawsze obowiązkowe na podstawie jednolitych rekomendacji unijnych. Ocena zależy od kontekstu użycia materiału oraz od tego, czy tablica w danych okolicznościach pozwala zidentyfikować osobę. W Polsce stanowiska również nie są całkowicie jednolite: w praktyce ochrony danych tablice rejestracyjne bywają traktowane jako dane osobowe lub dane umożliwiające identyfikację pośrednią, choć w orzecznictwie sądowym pojawiały się także bardziej zawężające podejścia.

Dla zarządców biurowców oznacza to jedno: jeżeli materiał ma być przekazywany poza ścisły krąg niezbędnych odbiorców albo publikowany, license plate blurring jest rozsądną praktyką ograniczającą spór interpretacyjny. To podejście jest szczególnie uzasadnione przy obiektach międzynarodowych, gdzie standardy grupowe bywają ustawione szerzej niż lokalne minimum.

Jak wdrożyć procedurę split governance bez nadmiernej biurokracji?

Najlepiej działa prosty model operacyjny. W umowach i procedurach warto wskazać, że każda strona odpowiada za anonimizację materiału pochodzącego z własnego systemu kamer przed jego przekazaniem drugiej stronie, o ile nie istnieje udokumentowana potrzeba przekazania materiału surowego. Taka klauzula upraszcza codzienną praktykę i zmniejsza liczbę sporów kompetencyjnych.

Drugim elementem jest narzędzie. W obiektach z dużą liczbą kamer i częstym eksportem nagrań liczy się możliwość przetwarzania wielu plików oraz wdrożenia lokalnego. Jeżeli organizacja chce sprawdzić taki workflow w praktyce, może to zrobić, pobierając wersję demonstracyjną. W materiałach Gallio PRO istotne jest to, że automatyczna detekcja obejmuje wyłącznie twarze i tablice rejestracyjne, a pozostałe elementy wizualne wymagają pracy manualnej.

Trzecim elementem jest ścieżka wyjątków. Jeżeli budynek ma skomplikowaną strukturę najmu, centralny SOC, wiele parkingów albo wymagania enterprise dla on-premise software, rozsądne bywa skontaktować się z zespołem i dopasować proces do rzeczywistego modelu odpowiedzialności. Dotyczy to zwłaszcza sytuacji, w których materiał krąży między zarządcą, najemcami i zewnętrznymi podmiotami obsługi.

Najczęstszy błąd: utożsamienie dostępu technicznego z rolą administratora

To, że właściciel budynku ma techniczną możliwość pobrania nagrania, nie oznacza jeszcze, że staje się administratorem wszystkich materiałów najemcy. Analogicznie sam fakt, że najemca może otrzymać kopię z kamer części wspólnych, nie czyni go współadministratorem systemu zarządcy. O roli decyduje przede wszystkim to, kto ustala cel i sposób przetwarzania [1].

Właśnie dlatego split governance wymaga nie tylko zapisów umownych, ale także dyscypliny operacyjnej. Każda strona powinna anonimizować materiał u źródła, zanim przekaże go drugiej stronie, chyba że istnieje konkretny i udokumentowany powód, aby tego nie robić.

FAQ - monitoring w biurowcach i coworkingach

Czy zarządca budynku i najemca zawsze są współadministratorami?

Nie. W biurowcach częściej występuje model odrębnych administratorów, gdy każdy podmiot samodzielnie ustala cele i sposoby działania własnego monitoringu. Współadministracja może wystąpić, ale wymaga wspólnego decydowania o celach i sposobach przetwarzania [1].

Czy najemca może przekazać właścicielowi surowe nagranie z własnego biura?

To zależy od celu i podstawy udostępnienia. Częstą praktyką compliance jest wcześniejsza anonimizacja wizualna, jeżeli właściciel nie potrzebuje identyfikowalnych twarzy lub tablic rejestracyjnych do realizacji konkretnego celu.

Czy nagrania można przekazywać między najemcami bez rozmywania twarzy?

Co do zasady nie powinno to być standardem. Przy udostępnianiu między najemcami anonimizacja jest zwykle pierwszym krokiem, ponieważ każdy dodatkowy odbiorca zwiększa zakres ujawnienia danych wizualnych.

Czy Gallio PRO anonimizuje cały obraz i wszystkie dane osobowe widoczne na nagraniu?

Nie. Gallio PRO automatycznie zamazuje tylko twarze i tablice rejestracyjne. Nie wykrywa automatycznie logotypów firm, tatuaży, tabliczek z imionami, dokumentów ani ekranów monitorów. Takie elementy można ukryć manualnie w edytorze.

Czy Gallio PRO działa w czasie rzeczywistym na streamie z kamer?

Nie. Zgodnie z materiałami produktowymi oprogramowanie nie wykonuje anonimizacji w czasie rzeczywistym ani anonimizacji strumienia wideo.

Czy tablice rejestracyjne zawsze trzeba rozmywać?

Nie zawsze. Ocena zależy od celu użycia materiału i kontekstu identyfikacji. Przy przekazywaniu lub publikacji materiałów license plate blurring jest jednak częstą i ostrożną praktyką compliance.

Czy narzędzie zapisuje logi z informacją o wykrytych twarzach i tablicach?

Zgodnie z materiałami Gallio PRO oprogramowanie nie zapisuje logów zawierających dane osobowe.