Monitoring we Francji a RODO: zasady CNIL, tabliczka, wniosek o nagranie i kara 100 000 euro dla Samaritaine

TL;DR: Firma z kamerami we Francji musi mieć pełną tabliczkę zgodną z zaleceniami CNIL, przechowywać nagrania najwyżej miesiąc i odpowiadać na wnioski o dostęp do nagrań bez ujawniania osób trzecich. Kamery w strefach dostępnych publicznie wymagają dodatkowo zezwolenia prefekta. Dom towarowy Samaritaine zapłacił 100 000 euro za ukryte kamery. Tekst jest dla IOD, compliance i IT. Gallio PRO automatycznie zamazuje twarze i tablice rejestracyjne. Sprawdź swój system w teście zgodności monitoringu : dziewięć pytań, wynik od razu na stronie, bez podawania adresu e-mail.

Dla kogo jest ten tekst?

Opisujemy sytuację we Francji. Tekst jest przeznaczony dla polskich firm, które mają we Francji sklepy, magazyny, biura lub inne placówki, oraz dla ich zespołów ochrony danych.

RODO obowiązuje w całej UE, ale Francja dokłada własną warstwę: francuski organ ochrony danych (Commission nationale de l'informatique et des libertés, CNIL), Kodeks bezpieczeństwa wewnętrznego (Code de la sécurité intérieure, CSI) i Kodeks pracy (Code du travail). Francuskie nazwy podajemy w nawiasach, żeby łatwiej było je dopasować do lokalnych dokumentów i doradców.

Zgłoszenia do CNIL już nie ma. Kontrole są nadal

Zgłoszenie monitoringu do CNIL (déclaration CNIL) zniesiono 25 maja 2018 r., ale w zamian musisz w każdej chwili umieć wykazać, że system jest zgodny z przepisami (art. 5 ust. 2 RODO). Co dokładnie zastąpiło zgłoszenie, wyjaśniamy w tekście „Zgłoszenie monitoringu do CNIL we Francji: zniesione w 2018 r. Oto, co je zastąpiło”.

Dwa reżimy prawne, zależnie od tego, co filmują kamery

We Francji kluczowe jest pytanie, czy kamera obejmuje miejsce dostępne publicznie.

Strefy dostępne publicznie (wejścia, sala sprzedaży, kasy): to tzw. vidéoprotection. System musi zatwierdzić prefekt departamentu na podstawie art. L251-1 i nast. Kodeksu bezpieczeństwa wewnętrznego. Równolegle obowiązuje RODO.

Strefy niedostępne publicznie (magazyny, biura, pomieszczenia tylko dla personelu): to tzw. vidéosurveillance. Zezwolenie prefekta nie jest potrzebne, ale RODO obowiązuje w pełni: rejestr, obowiązek informacyjny, minimalizacja danych, IOD.

Gdy nagrywani są pracownicy, francuski Kodeks pracy dodaje trzy zasady:

• Rada pracowników (comité social et économique, CSE) musi zostać poinformowana i skonsultowana przed wprowadzeniem jakiegokolwiek środka kontroli pracy (art. L2312-38).
• Nie wolno zbierać informacji o pracowniku za pomocą urządzenia, o którym wcześniej go nie poinformowano (art. L1222-4).
• Ograniczenia swobód pracowników muszą być uzasadnione i proporcjonalne do celu (art. L1121-1).

CNIL zaznacza, że kamery nie mogą służyć do sprawdzania, czy personel dobrze wykonuje pracę, ani obejmować przymierzalni i toalet.

Obowiązek 1: pełna tabliczka, a nie sam piktogram

Tabliczka musi być widoczna, zanim ktoś wejdzie w obszar nagrywania. Według CNIL powinna zawierać:

• Piktogram kamery informujący, że miejsce jest monitorowane
• Cele przetwarzania
• Okres przechowywania nagrań
• Nazwę lub funkcję oraz numer telefonu administratora albo IOD
• Informację o prawach osób, których dane dotyczą
• Prawo wniesienia skargi do CNIL wraz z danymi kontaktowymi

Pozostałe informacje z art. 13 RODO, np. podstawę prawną czy odbiorców, można przekazać w drugiej warstwie: na ogłoszeniu w recepcji, na stronie internetowej albo przez kod QR na tabliczce. Ogólna naklejka „Uśmiechnij się, jesteś nagrywany” nie wystarczy.

Obowiązek 2: wniosek o dostęp do nagrania

Każda nagrana osoba może poprosić o wgląd w nagranie, które jej dotyczy. W przypadku vidéoprotection art. L253-5 Kodeksu bezpieczeństwa wewnętrznego stanowi, że „dostęp ten przysługuje z mocy prawa”. RODO daje na odpowiedź miesiąc, z możliwością przedłużenia o dwa miesiące przy złożonych wnioskach (art. 12 ust. 3).

Problemem są wszyscy pozostali w kadrze. Klienci, pracownicy, przechodnie: widać ich niemal na każdym nagraniu.

Art. L253-5 pozwala odmówić dostępu ze względu na prawa osób trzecich. Art. 15 ust. 4 RODO stanowi, że kopia nie może naruszać praw innych osób. Wytyczne 3/2019 Europejskiej Rady Ochrony Danych (EROD) wskazują praktyczne rozwiązanie: zamaskować lub zamazać osoby trzecie zamiast odmawiać.

Zamazanie osób trzecich pozwala więc spełnić wniosek bez tworzenia nowego problemu. Odmowę uzasadnioną samą obecnością innych osób trudno obronić, jeśli zamazanie było możliwe.

Obowiązek 3: krótkie i uzasadnione przechowywanie

Dla vidéoprotection zasadę określa art. L252-5 Kodeksu bezpieczeństwa wewnętrznego: poza śledztwem lub postępowaniem sądowym nagrania są niszczone w terminie wskazanym w zezwoleniu prefekta, który nie może przekroczyć miesiąca.

CNIL dodaje dwie uwagi. Okres przechowywania nie może wynikać wyłącznie z pojemności dysku. A do sprawdzenia incydentu zwykle wystarcza kilka dni.

Jeśli wszczęto postępowanie, odpowiednie nagrania wyodrębnia się i przechowuje przez czas jego trwania. Takie wyodrębnienie trzeba odnotować.

Sprawa Samaritaine: 100 000 euro za ukryte kamery

18 września 2025 r. skład orzekający CNIL (formation restreinte) nałożył karę 100 000 euro na SAMARITAINE SAS, spółkę prowadzącą paryski dom towarowy ( źródło: CNIL).

W sierpniu 2023 r., po wzroście kradzieży towaru, spółka zamontowała kamery w dwóch magazynach. Wyglądały jak czujniki dymu i mogły nagrywać dźwięk. Odkryli je pracownicy, a we wrześniu 2023 r. kamery zdjęto. Kontrolę CNIL wywołał artykuł prasowy, a potem skarga.

CNIL stwierdził trzy naruszenia:

• Zgodność z prawem i rozliczalność (art. 5 ust. 1 lit. a i art. 5 ust. 2 RODO): brak wcześniejszej analizy zgodności, nieudokumentowany tymczasowy charakter, brak wpisu w rejestrze i w ocenie skutków.
• Minimalizacja danych (art. 5 ust. 1 lit. c RODO): nagrywanie dźwięku obejmowało prywatne rozmowy pracowników.
• Rola IOD (art. 38 ust. 1 RODO): inspektor dowiedział się o kamerach dopiero kilka tygodni po instalacji.

Co pokazuje ta sprawa:

• Ukryta kamera to z definicji kamera bez tabliczki. CNIL dopuszcza takie rozwiązanie tylko w wyjątkowych okolicznościach, tymczasowo i po udokumentowanej analizie.
• Magazyny nie są dostępne publicznie, więc zezwolenie prefekta nie było potrzebne. RODO obowiązywało jednak w pełni.
• Handel detaliczny jest szczególnie narażony: dużo kamer, dużo klientów i pracowników, dużo wniosków o dostęp. Zobacz naszą stronę o anonimizacji monitoringu w centrach handlowych .

Naruszenia zasad RODO podlegają art. 83 ust. 5: do 20 mln euro albo 4% rocznego światowego obrotu. Francuskie prawo karne (art. 226-1 Kodeksu karnego, Code pénal) przewiduje za utrwalanie wizerunku osoby w miejscu prywatnym bez jej zgody do roku więzienia i 45 000 euro grzywny.

Jak w 5 krokach odpowiedzieć na wniosek o nagranie we Francji

1. Zarejestruj wniosek i termin. Zapisz datę wpływu: od niej biegnie miesięczny termin. Sprawdź tożsamość wnioskodawcy i poproś o miejsce, datę i przybliżoną godzinę.
2. Zabezpiecz fragment, zanim zostanie usunięty. Przy przechowywaniu od kilku dni do miesiąca czasu jest mało. Wyeksportuj fragment z systemu zarządzania nagraniami i odnotuj to w rejestrze.
3. Zamaż osoby trzecie. Wczytaj fragment do Gallio PRO . Program automatycznie wykrywa twarze i tablice rejestracyjne i je zamazuje. Wykrywanie twarzy nie identyfikuje nikogo, a jedynie znajduje obszary obrazu, na których są twarze. Pamiętaj, by wnioskodawca pozostał rozpoznawalny: zamazujesz tylko osoby trzecie.
4. Popraw ręcznie, gdzie trzeba. Identyfikatory z imionami, ekrany kas, dokumenty i logotypy nie są wykrywane automatycznie. Zaznaczasz je ręcznie we wbudowanym edytorze Gallio PRO. Sprawdź też odbicia w witrynach i lustrach.
5. Sprawdź, wydaj, udokumentuj. Obejrzyj cały wynik. Wydaj kopię i wpisz wydanie do rejestru: kto, kiedy, który fragment, co zostało zamazane.

Gallio PRO działa jako aplikacja na systemach Windows i macOS. Dla środowisk korporacyjnych jest dostępna wersja on-premise z wiersza poleceń dla systemu Linux. Nagrań nie trzeba wysyłać do zewnętrznej usługi chmurowej. Przy dużej liczbie wniosków zajrzyj też do naszego tekstu o wnioskach o dostęp do danych w handlu .

Lista kontrolna dla monitoringu we Francji

Punkt kontrolny	Podstawa prawna	Zrobione?
Zezwolenie prefekta dla kamer w strefach dostępnych publicznie	CSI, art. L251-1 i nast.	☐
Pełna tabliczka przed każdą monitorowaną strefą	Art. 13 RODO	☐
Konsultacja z CSE i indywidualna informacja dla pracowników	Code du travail, art. L2312-38 i L1222-4	☐
Wpis w rejestrze i DPIA, jeśli jest wymagana	Art. 30 i 35 RODO	☐
Udział IOD przed instalacją	Art. 38 ust. 1 RODO	☐
Przechowywanie najwyżej miesiąc, ustalone według realnej potrzeby	CSI, art. L252-5	☐
Procedura obsługi wniosków z miesięcznym terminem	Art. 12 i 15 RODO, CSI art. L253-5	☐
Narzędzie do zamazywania osób trzecich przed wydaniem nagrania	Art. 15 ust. 4 RODO	☐
Bez nagrywania dźwięku, bez kamer w toaletach i przymierzalniach	Art. 5 ust. 1 lit. c RODO	☐

Najczęściej zadawane pytania

Czy we Francji trzeba nadal zgłaszać monitoring do CNIL?

Nie, zgłoszenie zniesiono 25 maja 2018 r., gdy zaczęło obowiązywać RODO. Co je zastąpiło, opisujemy w tekście „Zgłoszenie monitoringu do CNIL we Francji: zniesione w 2018 r. Oto, co je zastąpiło”.

Czy tabliczka o monitoringu jest we Francji obowiązkowa?

Tak. Osoby muszą być poinformowane, zanim wejdą w obszar nagrywania. Sam piktogram nie wystarczy: tabliczka musi wskazywać cele, okres przechowywania, kontakt do administratora lub IOD, prawa osób i możliwość złożenia skargi do CNIL.

Czy na kamery w sklepie we Francji potrzebne jest zezwolenie?

Tak dla stref dostępnych publicznie, np. sali sprzedaży i kas: zezwolenie wydaje prefekt. Nie dla magazynów i biur, ale tam obowiązuje RODO.

Jak długo można przechowywać nagrania z monitoringu we Francji?

Najwyżej miesiąc w przypadku vidéoprotection (art. L252-5 Kodeksu bezpieczeństwa wewnętrznego). CNIL przypomina, że zwykle wystarcza kilka dni. Nagrania związane z postępowaniem można przechowywać przez czas jego trwania.

Czy pracodawca we Francji może używać ukrytych kamer?

Tylko w wyjątkowych okolicznościach, tymczasowo i po udokumentowanej analizie. Spółka Samaritaine zapłaciła 100 000 euro za niespełnienie tych warunków.

Czy można odmówić wydania nagrania, bo widać na nim inne osoby?

Odmowa jest możliwa w celu ochrony osób trzecich, ale zwykle da się odpowiedzieć dzięki zamazaniu. Twarze i tablice rejestracyjne innych osób są zamazywane, a potem wydaje się kopię.

Jaka grozi kara za monitoring niezgodny z przepisami we Francji?

Do 20 mln euro albo 4% rocznego światowego obrotu na podstawie RODO. Spółka Samaritaine zapłaciła 100 000 euro w 2025 r. Francuski Kodeks karny przewiduje też do roku więzienia i 45 000 euro grzywny za utrwalanie wizerunku w miejscu prywatnym bez zgody.

Podsumowanie

Zniesienie zgłoszenia do CNIL nie zmniejszyło obowiązków, tylko przeniosło je na udowodnienie zgodności. Pełna tabliczka, wpis w rejestrze, krótkie przechowywanie i odpowiedzi na wnioski z zamazanymi osobami trzecimi to podstawa, którą sprawdza CNIL. Sprawa Samaritaine pokazuje, że wystarczy tymczasowy, słabo udokumentowany system, by skończyło się karą.

Masz placówki także poza Francją? Przepisy krajowe różnią się między państwami, mimo że wszędzie obowiązuje to samo RODO.

Sprawdź swój system w teście zgodności monitoringu : dziewięć pytań, wynik od razu na stronie, bez podawania adresu e-mail.