Monitoring w windach i częściach wspólnych budynku: obowiązki administratora nieruchomości

Monitoring wizyjny w windach, holach i garażach podziemnych to przetwarzanie wizerunku, czyli danych, które bardzo często pozwalają zidentyfikować konkretną osobę. Z perspektywy zgodności najważniejsze pytanie zarządcy brzmi nie: „czy można nagrywać?”, ale: „co trzeba zrobić, aby legalnie zarządzać obrazem i bezpiecznie go udostępniać?”. W praktyce chodzi przede wszystkim o właściwe określenie administratora, ograniczenie celu monitoringu, kontrolę dostępu do nagrań oraz anonimizację danych wizualnych przed przekazaniem kopii innym osobom lub podmiotom.

W budynkach wielorodzinnych i biurowych problem jest szczególnie praktyczny. Kamera w windzie rejestruje twarze z bliska. Kamera w garażu podziemnym często obejmuje również numery rejestracyjne. Kamera w holu pokazuje nie tylko mieszkańców lub pracowników, ale też gości, kurierów i serwisantów. Każde udostępnienie takiego materiału wymaga więc oddzielnej oceny ryzyka i celu.

Kto jest administratorem monitoringu w częściach wspólnych budynku?

Administratorem jest ten podmiot, który decyduje o celach i sposobach przetwarzania obrazu. W budynku mieszkalnym będzie to najczęściej wspólnota mieszkaniowa, spółdzielnia albo właściciel budynku działający przez zarządcę. W biurowcu administratorem bywa właściciel obiektu, spółka zarządzająca albo najemca, jeżeli to on samodzielnie uruchomił monitoring w wynajmowanej części.

Sam zarządca nieruchomości nie zawsze jest administratorem. Jeżeli działa wyłącznie na podstawie umowy i realizuje instrukcje właściciela lub wspólnoty, częściej występuje jako podmiot przetwarzający. Jeżeli jednak samodzielnie decyduje o rozmieszczeniu kamer, czasie retencji, zasadach udostępniania i celach systemu, może zostać uznany za administratora lub współadministratora. To ocena zależna od konkretnego modelu organizacyjnego.

Dla praktyki compliance najbezpieczniejsze jest ustalenie tej roli na piśmie. Bez tego trudno poprawnie odpowiedzieć na wniosek lokatora o dostęp do nagrania, realizować obowiązek informacyjny i opisać podstawę prawną przetwarzania zgodnie z art. 5, 6, 12 i 13 RODO [1].

Co administrator musi zrobić, żeby monitoring był prowadzony zgodnie z prawem?

Najczęściej stosowane podejście compliance obejmuje pięć kroków. Po pierwsze, trzeba jasno opisać cel monitoringu, na przykład bezpieczeństwo osób i mienia, kontrolę dostępu do stref wspólnych albo wyjaśnianie incydentów. Po drugie, zakres obrazu powinien być ograniczony do minimum potrzebnego do tego celu. Kamera w windzie nie powinna obejmować przestrzeni, która nie ma związku z bezpieczeństwem. Po trzecie, trzeba ustalić okres przechowywania nagrań i nie trzymać ich dłużej, niż jest to uzasadnione. Po czwarte, należy ograniczyć krąg osób mających dostęp do materiału. Po piąte, trzeba wdrożyć procedurę udostępniania kopii nagrań osobom trzecim.

To właśnie na etapie udostępniania najczęściej pojawia się potrzeba anonimizacji obrazu. Jeżeli nagranie ma trafić do lokatora, najemcy, firmy ochroniarskiej, ubezpieczyciela albo kancelarii obsługującej sprawę, administrator zwykle powinien ocenić, czy na materiale znajdują się twarze innych osób lub tablice rejestracyjne pojazdów niezwiązanych z żądaniem. Jeżeli tak, typową praktyką jest zamazywanie twarzy i tablic rejestracyjnych przed wydaniem kopii.

Wizerunek i tablice rejestracyjne - co anonimizować przed udostępnieniem nagrań

Wizerunek osoby w nagraniu z monitoringu bardzo często stanowi daną osobową. Wynika to z szerokiego rozumienia identyfikowalności w RODO oraz z utrwalonego podejścia organów nadzorczych do obrazu z kamer [1][2][3]. Dlatego przy przekazywaniu nagrania innemu lokatorowi lub podmiotowi zewnętrznemu organizacje często przyjmują zasadę, że wszystkie twarze osób postronnych widoczne w kadrze wymagają anonimizacji.

Obowiązek anonimizacji twarzy przy udostępnianiu nagrań wynika przede wszystkim z zasad RODO, zwłaszcza minimalizacji danych oraz ochrony praw i wolności innych osób. Przepisy Kodeksu cywilnego i prawa autorskiego dotyczą ochrony wizerunku w innym kontekście i nie stanowią samodzielnej podstawy regulującej zasady udostępniania nagrań z monitoringu. Wyjątki znane z prawa autorskiego, takie jak osoba powszechnie znana czy wizerunek jako szczegół całości, co do zasady nie rozstrzygają o obowiązkach administratora przy realizacji wniosku o dostęp do nagrania. W realiach monitoringu budynkowego i tak będą miały zastosowanie rzadko.

W przypadku tablic rejestracyjnych sytuacja w Polsce nie jest całkowicie jednoznaczna. Z jednej strony wytyczne organów ochrony danych i praktyka ostrożnościowa przemawiają za ich zamazywaniem przy udostępnianiu nagrań osobom trzecim. Z drugiej strony w orzecznictwie sądów administracyjnych pojawiało się stanowisko, że sama tablica rejestracyjna nie zawsze stanowi daną osobową. Dla zarządcy nieruchomości praktyczny wniosek jest prosty: przy udostępnianiu nagrania z garażu lub podjazdu bezpieczniej przyjąć zamazywanie tablic rejestracyjnych jako standard.

Kiedy lokator może dostać nagranie z monitoringu?

Lokator, którego wizerunek został utrwalony, może żądać dostępu do danych na zasadach wynikających z RODO. Nie oznacza to jednak automatycznego wydania surowego pliku wideo. Administrator powinien najpierw ustalić, czy wnioskodawca rzeczywiście występuje jako osoba, której dane dotyczą, czy żądanie dotyczy konkretnego zdarzenia, oraz czy realizacja wniosku nie naruszy praw i wolności innych osób [1].

W praktyce najczęściej stosuje się następujący model działania. Najpierw identyfikuje się fragment nagrania dotyczący wskazanego zdarzenia. Następnie ocenia się, czy w kadrze są widoczne osoby trzecie lub pojazdy innych użytkowników. Jeżeli tak, przygotowuje się kopię po anonimizacji twarzy i tablic. Dopiero taki materiał może zostać przekazany wnioskodawcy, o ile nie istnieją inne przeszkody prawne lub faktyczne.

Jeżeli lokator domaga się nagrania „bo chce zobaczyć, kto chodził po korytarzu”, taki wniosek nie zawsze będzie uzasadniony. Administrator nie powinien ujawniać obrazu innych mieszkańców bez wyraźnej podstawy. Podobnie przy wnioskach firm zewnętrznych, na przykład ubezpieczyciela, firmy sprzątającej czy wykonawcy serwisu wind. Cel musi być konkretny, a zakres danych ograniczony.

Jak zorganizować anonimizację danych wizualnych w praktyce?

W budynkach mieszkalnych i biurowych najczęściej potrzebne są dwa typy anonimizacji: zamazywanie twarzy i tablic rejestracyjnych. To podejście jest zgodne z zasadą minimalizacji danych. Administrator nie powinien udostępniać więcej obrazu, niż to konieczne do realizacji uzasadnionego celu [1].

Przy większej liczbie wniosków znaczenie ma również organizacja pracy. Oprogramowanie takie jak Gallio PRO wspiera przygotowanie materiału do udostępnienia w modelu on-premise, co dla części zarządców i wspólnot ma znaczenie przy ocenie bezpieczeństwa operacyjnego. Trzeba jednak jasno podkreślić granice funkcjonalne. Gallio PRO automatycznie zamazuje tylko twarze i tablice rejestracyjne. Nie zamazuje całych sylwetek, nie wykonuje anonimizacji w czasie rzeczywistym ani anonimizacji strumienia wideo. Nie wykrywa automatycznie logotypów firm, tatuaży, tabliczek z imionami, dokumentów ani obrazu na ekranach monitorów. Takie elementy mogą być zamazane ręcznie w edytorze wbudowanym w narzędzie.

To rozróżnienie ma znaczenie prawne i organizacyjne. Jeżeli nagranie z holu pokazuje kuriera z identyfikatorem, ekran recepcji albo dokument trzymany w ręku, sama automatyczna detekcja twarzy i tablic nie wystarczy. Przed udostępnieniem materiał należy obejrzeć i w razie potrzeby uzupełnić anonimizację ręcznie.

Praktyczny workflow może wyglądać następująco:

• wyodrębnienie fragmentu nagrania dotyczącego incydentu,
• automatyczne zamazanie twarzy i tablic,
• kontrola materiału klatka po klatce,
• ręczne ukrycie pozostałych elementów widocznych w kadrze,
• eksport kopii do wydania.

Taki proces można przetestować bezpłatnie na materiale roboczym przed wdrożeniem procedury w całym zasobie nieruchomości.

Udostępnianie nagrań policji, ubezpieczycielowi i firmom zewnętrznym

Nie każdy odbiorca wymaga tego samego trybu działania. Jeżeli nagranie jest zabezpieczane dla organów ścigania na podstawie właściwych przepisów, zakres anonimizacji może wymagać odrębnej oceny. Inaczej wygląda sytuacja, gdy materiał ma trafić do innego lokatora, najemcy komercyjnego lub prywatnej firmy. W takim przypadku typowe podejście compliance zakłada, że przed wydaniem kopii należy usunąć z obrazu dane osób postronnych, przede wszystkim twarze i tablice rejestracyjne.

W praktyce warto mieć prostą matrycę decyzji.

Przy bardziej złożonych środowiskach, na przykład portfelu wielu budynków, centralnym dziale compliance albo wymaganiu wdrożenia lokalnego, warto skontaktować się z zespołem i ustalić model pracy, uprawnienia użytkowników oraz zasady działania rozwiązania on-premise.

Dlaczego brak nadmiarowych logów ma znaczenie?

Przy narzędziach do anonimizacji liczy się nie tylko efekt końcowy, ale też ślad operacyjny. Z punktu widzenia minimalizacji danych korzystne jest, gdy system nie tworzy dodatkowych zbiorów zawierających informacje o detekcji twarzy i tablic. Zgodnie z informacjami produktowymi Gallio PRO oprogramowanie nie zapisuje logów zawierających dane detekcji, danych osobowych ani danych szczególnych kategorii. Dla administratora nieruchomości to istotny element oceny ryzyka, ponieważ ogranicza liczbę miejsc, w których mogą powstawać wtórne dane o mieszkańcach lub użytkownikach budynku.

Najczęstszy błąd zarządców: wydanie surowego nagrania

Najbardziej ryzykowny model to przekazanie pełnego nagrania bez selekcji i bez anonimizacji. W windzie oznacza to ujawnienie twarzy wielu osób. W garażu dodatkowo może oznaczać ujawnienie tablic rejestracyjnych, godzin wjazdu i wyjazdu oraz sposobu poruszania się po obiekcie. Taki materiał może wykraczać poza cel wniosku i naruszać prawa innych osób.

Znacznie bezpieczniejsze jest podejście oparte na trzech pytaniach. Po pierwsze, kto i w jakim celu żąda materiału. Po drugie, jaki fragment nagrania jest rzeczywiście potrzebny. Po trzecie, co trzeba ukryć w obrazie przed wydaniem kopii. Dla zarządcy nieruchomości to zwykle najkrótsza droga do odpowiedzi na pytanie: co muszę zrobić, żeby być zgodny z prawem?

FAQ - monitoring w windach i częściach wspólnych budynku

Czy wspólnota mieszkaniowa może montować kamery w windzie?

Co do zasady może, jeżeli potrafi wykazać uzasadniony cel, ograniczy zakres monitoringu do minimum i wdroży zasady dostępu do nagrań zgodnie z RODO [1]. Ocena zawsze zależy od okoliczności konkretnego budynku.

Czy lokator ma prawo dostać kopię nagrania z monitoringu?

Może mieć takie prawo jako osoba, której dane dotyczą, ale nie oznacza to prawa do otrzymania surowego pliku. Administrator zwykle powinien najpierw ocenić prawa innych osób i przygotować wersję po anonimizacji twarzy oraz, w razie potrzeby, tablic rejestracyjnych.

Czy przed udostępnieniem nagrania trzeba zamazać twarze innych mieszkańców?

W praktyce najczęściej tak. Zamazywanie twarzy osób postronnych to standardowe działanie ograniczające ryzyko naruszenia praw i wolności innych osób przy realizacji wniosku o dostęp.

Czy tablice rejestracyjne w garażu podziemnym zawsze trzeba zamazywać?

W Polsce kwestia nie jest całkowicie jednoznaczna, ale podejście ostrożnościowe przemawia za zamazywaniem tablic rejestracyjnych przed udostępnieniem kopii osobom prywatnym lub firmom zewnętrznym.

Czy Gallio PRO anonimizuje całe sylwetki?

Nie. Gallio PRO automatycznie zamazuje wyłącznie twarze i tablice rejestracyjne. Nie zamazuje całych sylwetek i nie prowadzi anonimizacji w czasie rzeczywistym.

Czy Gallio PRO wykrywa automatycznie identyfikatory, tatuaże i dokumenty w kadrze?

Nie. Oprogramowanie nie wykrywa automatycznie logotypów firm, tatuaży, tabliczek z imionami, dokumentów ani obrazu na ekranach monitorów. Takie elementy można ukryć ręcznie w edytorze.

Czy przy anonimizacji nagrań z monitoringu lepsze jest on-premise software?

Dla części administratorów tak, zwłaszcza gdy materiał obejmuje zdarzenia z budynków mieszkalnych lub biurowych i organizacja chce ograniczyć krąg odbiorców. To jednak decyzja zależna od architektury systemu, procedur i oceny ryzyka.