Monitoring w Hiszpanii a RODO: zasady AEPD, tabliczka, wydawanie nagrań i kara 12 000 euro dla supermarketu z Madrytu

TL;DR: W Hiszpanii tabliczka o monitoringu to najłatwiejsza część. Hiszpański organ ochrony danych (AEPD) karze za to, co dzieje się później: kto ogląda nagrania, jak są wydawane i czy widać na nich inne osoby. Supermarket z Madrytu zapłacił 12 000 euro, bo kasjerka wysłała przez WhatsApp nagranie z kasy z innymi klientami. Dla IOD, compliance i IT. Gallio PRO automatycznie zamazuje twarze i tablice rejestracyjne. Sprawdź swój system w teście zgodności monitoringu : dziewięć pytań, wynik od razu na stronie, bez podawania adresu e-mail.

Dla kogo jest ten tekst?

Opisujemy sytuację w Hiszpanii. Tekst jest przeznaczony dla polskich firm, które mają w Hiszpanii sklepy, magazyny, biura lub inne placówki, oraz dla ich zespołów ochrony danych.

RODO obowiązuje w całej UE, ale Hiszpania dokłada własną warstwę: hiszpański organ ochrony danych (Agencia Española de Protección de Datos, AEPD) i ustawę organiczną 3/2018 o ochronie danych osobowych i prawach cyfrowych (Ley Orgánica de Protección de Datos y garantía de los derechos digitales, LOPDGDD). Hiszpańskie nazwy podajemy w nawiasach, żeby łatwiej było je dopasować do lokalnych dokumentów i doradców.

Tabliczka nie chroni, jeśli zawiedzie to, co dzieje się dalej

Wiele firm pobiera wzór tabliczki „zona videovigilada” (strefa monitorowana), wiesza go przy wejściu i uznaje temat za zamknięty.

Opisana niżej sprawa pokazuje coś odwrotnego. Ukarany supermarket twierdził, że miał tabliczki przy wszystkich wejściach. Kara nie dotyczyła tabliczki, tylko tego, jak potraktowano nagranie, gdy było potrzebne.

Ryzyko skupia się w trzech momentach:

• Przed nagrywaniem: tabliczka i informacja dla pracowników.
• W czasie przechowywania: kto może oglądać nagrania i jak długo są przechowywane.
• Przy wydaniu: komu, jakim kanałem i z jakimi osobami trzecimi w kadrze.

Co mówi prawo: art. 22 LOPDGDD

Monitoring w celach bezpieczeństwa reguluje w Hiszpanii RODO oraz art. 22 LOPDGDD:

• Cel (art. 22 ust. 1): ochrona bezpieczeństwa osób, mienia i obiektów.
• Droga publiczna (art. 22 ust. 2): można ją nagrywać tylko w zakresie niezbędnym do tego celu.
• Przechowywanie (art. 22 ust. 3): nagrania usuwa się najpóźniej po miesiącu, chyba że trzeba je zachować jako dowód czynu przeciwko osobom, mieniu lub obiektom. Wtedy należy je przekazać właściwemu organowi w ciągu 72 godzin od dowiedzenia się o istnieniu nagrania.
• Obowiązek informacyjny (art. 22 ust. 4): spełnia go tabliczka umieszczona w wystarczająco widocznym miejscu.

Obowiązek 1: tabliczka „zona videovigilada”

Zgodnie z art. 22 ust. 4 LOPDGDD tabliczka musi wskazywać co najmniej:

• Fakt przetwarzania danych
• Tożsamość administratora
• Możliwość skorzystania z praw z art. 15 do 22 RODO

Tabliczka może zawierać kod QR lub adres strony z pozostałymi informacjami. Administrator musi mieć do dyspozycji osób, których dane dotyczą, pełną informację z art. 13 RODO. AEPD publikuje na swojej stronie wzór tabliczki, który trzeba uzupełnić prawdziwymi danymi firmy: pobrany i niewypełniony wzór nikogo nie informuje.

Jeśli nagrywasz pracowników, art. 89 LOPDGDD dodaje trzy zasady:

• Pracowników, a w razie potrzeby ich przedstawicieli, trzeba poinformować wcześniej, w sposób wyraźny, jasny i zwięzły.
• Zakazane są kamery i nagrywanie dźwięku w szatniach, toaletach, stołówkach i podobnych miejscach odpoczynku.
• Nagrywanie dźwięku jest dopuszczalne tylko przy istotnym ryzyku dla bezpieczeństwa i z zachowaniem proporcjonalności.

Obowiązek 2: kontrolowany dostęp i bezpieczne wydawanie nagrań

Art. 32 RODO wymaga środków technicznych i organizacyjnych odpowiednich do ryzyka. Jego ust. 4 stanowi, że osoby z dostępem do danych przetwarzają je wyłącznie na polecenie administratora.

W monitoringu oznacza to bardzo konkretne pytania:

• Kto może oglądać monitor i eksportować nagrania?
• Czy każde odtworzenie i każdy eksport jest rejestrowany?
• Jakim kanałem wydaje się nagrania, i czy na pewno nie przez prywatny komunikator?

Gdy klient prosi o nagranie, ma prawo do kopii (art. 15 RODO). Termin to miesiąc, z możliwością przedłużenia o dwa miesiące w złożonych sprawach (art. 12 ust. 3). Art. 15 ust. 4 stanowi jednak, że kopia nie może naruszać praw innych osób. Wytyczne 3/2019 Europejskiej Rady Ochrony Danych (EROD) wskazują rozwiązanie: zamazać lub zamaskować osoby trzecie przed wydaniem kopii.

Sprawa supermarketu z Madrytu: 12 000 euro za nagranie wysłane przez WhatsApp

AEPD zakończyła postępowanie EXP202407160 wobec NOVATES ALIMENTACIÓN MADRID, S.L., spółki prowadzącej supermarket w Madrycie ( źródło: decyzja AEPD PS/00345/2024, po hiszpańsku).

Fakty według decyzji:

• Klientka zwróciła produkt. Później personel poinformował ją, że zwrot rozliczono błędnie i musi oddać część kwoty.
• Na dowód kasjerka pokazała jej na swoim telefonie nagranie z kamery skierowanej na kasę, a potem wysłała je przez WhatsApp na prywatny telefon klientki.
• 40-sekundowy film był nagraniem ekranu systemu monitoringu zrobionym telefonem. Słychać na nim było głosy dwóch osób komentujących obraz.
• Oprócz klientki widać było dwie inne osoby: klientkę stojącą przed nią w kolejce przez całe nagranie i klienta wchodzącego do sklepu.

Spółka tłumaczyła, że miała tabliczki informacyjne przy wszystkich wejściach i że to klientka sama poprosiła o nagranie i podała numer telefonu. AEPD i tak uznała naruszenie art. 32 RODO: do nagrań mieli dostęp pracownicy, których związku z ochroną nie wykazano, obraz nagrano drugim urządzeniem i rozesłano bez żadnych zabezpieczeń.

Kara wyjściowa wynosiła 20 000 euro. Spółka przyznała się do odpowiedzialności i 11 kwietnia 2025 r. dobrowolnie zapłaciła, co dało dwie obniżki po 20% i ostateczną kwotę 12 000 euro. AEPD nakazała też wdrożenie w ciągu miesiąca środków bezpieczeństwa dla nagrań z monitoringu.

Co pokazuje ta sprawa:

• Tabliczki nie chronią przed karą, jeśli dostęp do nagrań nie jest kontrolowany.
• Prośba klienta o nagranie nie upoważnia do wysłania go w dowolny sposób ani z widocznymi innymi osobami.
• Spory o zwroty i rozliczenia to codzienność w handlu. Jak je prowadzić, opisujemy w tekście o nagraniach z monitoringu w sporach z klientami .
• Nie trzeba być dużą siecią: według decyzji obroty spółki wynosiły ok. 6,1 mln euro.

Naruszenia art. 32 RODO podlegają art. 83 ust. 4: do 10 mln euro albo 2% rocznego światowego obrotu. Naruszenia zasad i praw osób, których dane dotyczą, podlegają art. 83 ust. 5: do 20 mln euro albo 4%.

Jak w 5 krokach wydać klientowi nagranie z monitoringu w Hiszpanii

1. Skieruj wniosek właściwym kanałem. Wniosek powinien trafić przez kanał realizacji praw wskazany na tabliczce, a nie przy kasie. Zapisz datę: od niej biegnie miesięczny termin. Sprawdź tożsamość i poproś o datę, godzinę i miejsce.
2. Wyeksportuj fragment z systemu. Fragment eksportuje z systemu zarządzania nagraniami tylko upoważniona osoba, nigdy przez nagranie ekranu telefonem. Zrób to przed upływem miesięcznego terminu i odnotuj w rejestrze.
3. Zamaż osoby trzecie. Wczytaj fragment do Gallio PRO . Program automatycznie wykrywa twarze i tablice rejestracyjne i je zamazuje. Wykrywanie twarzy nie identyfikuje nikogo, a jedynie znajduje obszary obrazu, na których są twarze. Pamiętaj, by wnioskodawca pozostał rozpoznawalny: zamazujesz tylko osoby trzecie.
4. Popraw ręcznie, gdzie trzeba. Identyfikatory z imionami, ekrany kas z danymi, dokumenty i logotypy nie są wykrywane automatycznie. Zaznaczasz je ręcznie we wbudowanym edytorze Gallio PRO. Sprawdź też odbicia w szybach i witrynach.
5. Wydaj bezpiecznym kanałem i udokumentuj. Użyj firmowego kanału z kontrolowanym dostępem, a nie prywatnego komunikatora. Zapisz, kto wydał jaki fragment, kiedy i co zostało zamazane.

Gallio PRO działa jako aplikacja na systemach Windows i macOS. Dla środowisk korporacyjnych jest dostępna wersja on-premise z wiersza poleceń dla systemu Linux. Nagrań nie trzeba wysyłać do zewnętrznej usługi chmurowej. Jak korzysta z tego duża sieć handlowa, pokazuje case study Plodine .

Lista kontrolna dla monitoringu w Hiszpanii

Punkt kontrolny	Podstawa prawna	Zrobione?
Widoczna tabliczka z informacją o przetwarzaniu, administratorze i prawach	Art. 22 ust. 4 LOPDGDD	☐
Pełna informacja dostępna (strona, kod QR lub recepcja)	Art. 13 RODO	☐
Pracownicy poinformowani wcześniej i wyraźnie	Art. 89 ust. 1 LOPDGDD	☐
Brak kamer w szatniach, toaletach i stołówkach	Art. 89 ust. 2 LOPDGDD	☐
Droga publiczna nagrywana tylko w niezbędnym zakresie	Art. 22 ust. 2 LOPDGDD	☐
Usuwanie nagrań najpóźniej po miesiącu	Art. 22 ust. 3 LOPDGDD	☐
Dostęp do monitora i eksportu tylko dla upoważnionych osób	Art. 32 ust. 4 RODO	☐
Procedura obsługi wniosków z miesięcznym terminem	Art. 12 i 15 RODO	☐
Narzędzie do zamazywania osób trzecich przed wydaniem nagrania	Art. 15 ust. 4 RODO	☐
Wydawanie bezpiecznym kanałem, nigdy przez prywatny komunikator	Art. 32 RODO	☐

Najczęściej zadawane pytania

Co musi zawierać tabliczka o monitoringu w Hiszpanii?

Co najmniej informację o przetwarzaniu, tożsamość administratora i możliwość skorzystania z praw z art. 15 do 22 RODO (art. 22 ust. 4 LOPDGDD). Można dodać kod QR lub adres strony z pozostałymi informacjami.

Czy tabliczka o monitoringu jest w Hiszpanii obowiązkowa?

Tak. Według LOPDGDD to właśnie ona spełnia obowiązek informacyjny. Musi wisieć w wystarczająco widocznym miejscu, przed wejściem w obszar nagrywania.

Jak długo można przechowywać nagrania z monitoringu w Hiszpanii?

Najwyżej miesiąc od nagrania. Jeśli nagranie dokumentuje czyn przeciwko osobom, mieniu lub obiektom, można je zachować, ale trzeba je przekazać właściwemu organowi w ciągu 72 godzin.

Czy klient może zażądać nagrania z monitoringu sklepu w Hiszpanii?

Tak, na podstawie prawa dostępu z art. 15 RODO. Firma musi odpowiedzieć w ciągu miesiąca i przed wydaniem kopii zamazać inne widoczne osoby.

Czy można wysłać nagranie z monitoringu przez WhatsApp?

To nie jest bezpieczny kanał do takiego przetwarzania. W sprawie supermarketu z Madrytu wysłanie przez WhatsApp nagrania zrobionego telefonem było częścią czynów ukaranych kwotą 12 000 euro.

Czy firma w Hiszpanii może nagrywać pracowników?

Tak, w celu kontroli pracy, jeśli wcześniej i wyraźnie poinformuje pracowników (art. 89 LOPDGDD). Nigdy w szatniach, toaletach ani stołówkach.

Jakie kary może nałożyć AEPD za monitoring?

Za błędy w zabezpieczeniach (art. 32 RODO) do 10 mln euro albo 2% rocznego światowego obrotu. Za naruszenie zasad lub praw do 20 mln euro albo 4%. Supermarket z Madrytu zapłacił 12 000 euro po dwóch obniżkach po 20% od kary wyjściowej 20 000 euro.

Podsumowanie

Tabliczka „zona videovigilada” to pierwszy krok, a nie ostatni. AEPD sprawdza, kto ma dostęp do nagrań, jak są eksportowane i czy kopia, którą dostaje klient, ujawnia inne osoby. Sprawa supermarketu z Madrytu pokazuje, że wystarczy jedno nagranie wysłane na szybko, by skończyło się karą.

Masz placówki także poza Hiszpanią? Przepisy krajowe różnią się między państwami, mimo że wszędzie obowiązuje to samo RODO.

Sprawdź swój system w teście zgodności monitoringu : dziewięć pytań, wynik od razu na stronie, bez podawania adresu e-mail.