Nagrania z monitoringu jako dowód w postępowaniu dyscyplinarnym wobec pracownika: co wolno administratorowi

W tym kontekście visual data anonymization oznacza takie przygotowanie nagrania wideo, aby mogło zostać użyte jako materiał dowodowy, ale bez niepotrzebnego ujawniania wizerunku i innych identyfikatorów osób postronnych. W praktyce najczęściej chodzi o face blurring i license plate blurring przed okazaniem materiału komisji dyscyplinarnej, prawnikowi lub innym osobom uczestniczącym w sprawie. To punkt wyjścia do odpowiedzi na pytanie, które w organizacjach pojawia się bardzo często: prowadzone jest postępowanie dyscyplinarne wobec pracownika - czy można użyć nagrania z monitoringu i co trzeba z nim zrobić wcześniej.

Co do zasady organizacja często może wykorzystać nagranie z monitoringu jako dowód w sprawie pracowniczej, jeżeli monitoring został wdrożony zgodnie z prawem pracy i zasadami ochrony danych, a cel użycia mieści się w granicach, dla których monitoring został ustanowiony albo pozostaje z nimi ściśle związany. Samo posiadanie nagrania nie oznacza jednak dowolności. Kluczowe są trzy kwestie: podstawa użycia materiału, zakres ujawnienia nagrania oraz okres jego dalszego przechowywania [1][2][3].

Kiedy nagranie z monitoringu może być użyte w postępowaniu dyscyplinarnym?

W polskich realiach punktem odniesienia jest art. 222 Kodeksu pracy, który dopuszcza monitoring wizyjny między innymi wtedy, gdy jest to niezbędne do zapewnienia bezpieczeństwa pracowników, ochrony mienia, kontroli produkcji albo zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę [2]. Jeżeli zdarzenie objęte postępowaniem dyscyplinarnym zostało zarejestrowane w ramach legalnie działającego monitoringu, organizacje często uznają takie nagranie za materiał, który może zostać zabezpieczony i wykorzystany dowodowo.

Nie oznacza to jednak, że całe nagranie można swobodnie rozpowszechniać wewnątrz firmy. Zasada minimalizacji z RODO wymaga ograniczenia dostępu do osób, które rzeczywiście muszą zapoznać się z materiałem [1]. W praktyce zgodności najbezpieczniejsze jest wydzielenie konkretnego fragmentu, obejmującego zdarzenie, i przygotowanie wersji roboczej tylko dla wąskiego grona osób prowadzących sprawę.

Co administrator powinien zrobić od razu po wykryciu incydentu?

Pierwszym krokiem jest zabezpieczenie nagrania przed nadpisaniem. Kodeks pracy przewiduje co do zasady okres przechowywania nagrań nieprzekraczający 3 miesięcy od dnia nagrania, chyba że nagranie stanowi dowód w postępowaniu prowadzonym na podstawie prawa lub pracodawca powziął wiadomość, że może ono stanowić dowód w takim postępowaniu. Wtedy termin ulega przedłużeniu do czasu prawomocnego zakończenia postępowania [2].

To ważne rozróżnienie. Administrator nie powinien przechowywać wszystkiego „na wszelki wypadek”. Może jednak zatrzymać konkretne nagranie ponad standardowy czas retencji, jeżeli istnieje realny, udokumentowany związek z postępowaniem dyscyplinarnym, sporem pracowniczym albo przewidywanym postępowaniem przed sądem lub organem. Dobrą praktyką jest odnotowanie daty zabezpieczenia, zakresu materiału, osoby odpowiedzialnej i celu zatrzymania. Taki ślad organizacyjny pomaga wykazać zgodność z zasadą rozliczalności [1].

Przed okazaniem nagrania trzeba ograniczyć dane osób postronnych

Najczęstszy błąd polega na tym, że dział HR albo przełożony pokazuje surowe nagranie całej komisji, kancelarii zewnętrznej lub kilku menedżerom. Z perspektywy ochrony danych to ryzykowne. Jeżeli w kadrze znajdują się inne osoby niż pracownik objęty postępowaniem, przed okazaniem materiału należy co najmniej ocenić, czy ich identyfikacja jest niezbędna dla celu dowodowego. W bardzo wielu przypadkach nie jest.

Dlatego przed okazaniem nagrania komisji lub prawnikowi co do zasady należy rozważyć anonimizację lub pseudonimizację twarzy i innych identyfikatorów osób widocznych w kadrze, jeżeli ich identyfikacja nie jest niezbędna dla celu dowodowego. Taki kierunek wynika z zasady minimalizacji danych oraz z podejścia rekomendowanego przy przetwarzaniu obrazu przez organy ochrony danych [1][3]. Jeżeli dla oceny zachowania pracownika wystarczy widoczna sekwencja zdarzeń, nie ma uzasadnienia, aby ujawniać twarze świadków, klientów, gości lub innych pracowników.

W praktyce przydaje się tu Gallio PRO jako on-premise software do przygotowania materiałów wideo do dalszego udostępnienia. To istotne zwłaszcza tam, gdzie organizacja nie chce wynosić nagrań poza własne środowisko. Z perspektywy zgodności ważne jest także to, że oprogramowanie nie zbiera logów zawierających detekcję twarzy i tablic rejestracyjnych oraz nie zbiera logów zawierających danych osobowych i szczególnych kategorii danych osobowych.

Jak daleko powinna sięgać anonimizacja nagrania?

W sprawach dyscyplinarnych celem nie jest „upiększenie” nagrania, ale ograniczenie ujawnienia danych do minimum. Typowy zakres prac obejmuje:

• wycięcie właściwego fragmentu czasowego,
• face blurring osób postronnych,
• license plate blurring, jeśli tablice pojawiają się w kadrze i ich ujawnienie nie jest niezbędne,
• ręczną redakcję innych elementów pozwalających na identyfikację lub ujawniających nadmiarowe informacje.

Tu potrzebna jest precyzja. Gallio PRO automatycznie zamazuje wyłącznie twarze i tablice rejestracyjne. Nie zamazuje całych sylwetek. Nie wykonuje anonimizacji w czasie rzeczywistym ani anonimizacji strumienia wideo. Nie wykrywa automatycznie logotypów firm, tatuaży, tabliczek z imionami, dokumentów ani obrazu na ekranach monitorów. Te elementy mogą być zredagowane manualnie w prostym edytorze wbudowanym w narzędzie. To ważne, bo w postępowaniu dyscyplinarnym właśnie takie detale często pojawiają się przypadkowo w tle.

Jeżeli organizacja chce przećwiczyć taki workflow na własnych materiałach, warto zrobić to na próbce, pobierając wersję demo i sprawdzając, czy przygotowanie wersji dla komisji oraz wersji archiwalnej odpowiada wewnętrznym procedurom.

Tabela: surowe nagranie a wersja do okazania w postępowaniu dyscyplinarnym

Czy trzeba anonimizować nagranie także przed pokazaniem prawnikowi?

W wielu organizacjach pada argument, że prawnik i tak jest zobowiązany do poufności. To prawda, ale nie usuwa zasady minimalizacji. Jeżeli zewnętrzna kancelaria ma ocenić zachowanie konkretnego pracownika, a identyfikacja innych osób nie ma znaczenia dla analizy, organizacje często przygotowują wersję zanonimizowaną. Taki model ogranicza zakres udostępnienia i zwykle lepiej wpisuje się w data protection by design [1].

Sytuacje graniczne są możliwe. Jeżeli przebieg zdarzenia wymaga rozpoznania konkretnej osoby towarzyszącej, świadka albo kierowcy pojazdu, pełna anonimizacja może osłabić wartość dowodową. Wtedy zakres zamazania jest zależny od kontekstu i powinien wynikać z udokumentowanej potrzeby dowodowej. Nie warto udawać pewności tam, gdzie prawo zostawia pole oceny.

Twarze i tablice rejestracyjne - co naprawdę trzeba zamazać

Obowiązek ochrony wizerunku wynika nie tylko z RODO, ale również z przepisów prawa cywilnego i prawa autorskiego. Są jednak od niego 3 wyjątki:

• mamy do czynienia z osobą powszechnie znaną, jeżeli wizerunek wykonano w związku z pełnieniem przez nią funkcji publicznych, w szczególności politycznych, społecznych lub zawodowych,
• wizerunek osoby stanowi jedynie szczegół całości takiej jak zgromadzenie, krajobraz, publiczna impreza,
• osoba otrzymała umówioną zapłatę za pozowanie, chyba że wyraźnie zastrzeżono inaczej.

Te wyjątki mają jednak ograniczone znaczenie w sprawach z monitoringu zakładowego, ponieważ materiał dowodowy z miejsca pracy rzadko mieści się w tych scenariuszach.

W przypadku tablic rejestracyjnych sytuacja jest bardziej złożona. W prawie unijnym i polskiej praktyce ich status zależy od kontekstu oraz możliwości powiązania numeru z konkretną osobą. Nie można więc kategorycznie twierdzić, że zawsze albo nigdy stanowią dane osobowe. W praktyce compliance przy okazywaniu nagrania osobom trzecim bezpieczniejsze jest license plate blurring, zwłaszcza gdy numer nie jest potrzebny do celu dowodowego [1][3][4].

Jak długo wolno przechowywać nagranie po zakończeniu standardowej retencji?

Tu najważniejsza jest proporcja. Standardowo monitoring pracowniczy nie powinien prowadzić do nieograniczonego magazynowania materiału. Jeżeli jednak konkretne nagranie zostało zabezpieczone jako dowód, może być przechowywane dłużej niż zwykłe 3 miesiące - do czasu prawomocnego zakończenia postępowania [2]. Po tym momencie organizacja powinna ocenić, czy istnieje jeszcze odrębna podstawa dalszego przechowywania kopii, na przykład związana z obroną przed roszczeniami. Jeżeli nie, materiał powinien zostać usunięty zgodnie z przyjętą procedurą [1].

Dobrą praktyką jest rozdzielenie dwóch zbiorów: materiału źródłowego zabezpieczonego jako dowód oraz kopii roboczych przygotowanych do okazania. Kopie robocze, szczególnie zanonimizowane, nie powinny krążyć po skrzynkach mailowych i katalogach współdzielonych dłużej, niż wymaga tego sprawa.

Jak zorganizować bezpieczny workflow dowodowy?

Najbardziej praktyczny model wygląda następująco. Najpierw zabezpiecza się oryginalny plik i ogranicza dostęp. Następnie tworzy się kopię roboczą. Potem wykonuje się face blurring i license plate blurring osób postronnych, a pozostałe elementy identyfikujące usuwa manualnie. Na końcu przygotowuje się wersję do okazania oraz notatkę, kto i w jakim celu uzyskał dostęp do materiału.

Jeżeli sprawa wymaga wdrożenia on-premise software, osobnej polityki retencji albo procedury dla dużej organizacji, rozsądnie jest skontaktować się z zespołem i omówić przypadek wdrożeniowy oraz wymagania zgodności. Dotyczy to zwłaszcza środowisk, w których nagrania nie mogą opuszczać infrastruktury organizacji.

Warto też odnotować osobną podstronę dotyczącą anonimizacji wideo, ponieważ właśnie ten rodzaj przetwarzania najczęściej pojawia się w sprawach dowodowych opartych na monitoringu.

FAQ - Nagrania z monitoringu jako dowód w postępowaniu dyscyplinarnym wobec pracownika

Czy pracodawca może użyć nagrania z monitoringu jako dowodu przeciwko pracownikowi?

Najczęściej tak, o ile monitoring został wdrożony legalnie, a nagranie pozostaje związane z celem monitoringu lub z postępowaniem prowadzonym na podstawie prawa. Ocena zawsze zależy od kontekstu faktycznego i poprawności wdrożenia monitoringu [1][2].

Czy przed pokazaniem nagrania komisji dyscyplinarnej trzeba zamazać inne osoby?

W praktyce zgodności najczęściej tak. Przed okazaniem nagrania komisji lub prawnikowi zwykle należy ograniczyć identyfikację innych osób widocznych w kadrze, jeśli ich identyfikacja nie jest niezbędna dla celu dowodowego [1][3].

Czy można zatrzymać nagranie dłużej niż 3 miesiące?

Tak, jeśli nagranie stanowi dowód w postępowaniu lub pracodawca powziął wiadomość, że może stanowić taki dowód. Wtedy retencja może zostać przedłużona do czasu prawomocnego zakończenia postępowania [2].

Czy wystarczy zamazać całą sylwetkę osoby postronnej?

To zależy od narzędzia i celu. W Gallio PRO automatyczna detekcja obejmuje wyłącznie twarze i tablice rejestracyjne. Oprogramowanie nie zamazuje całych sylwetek, a inne elementy identyfikujące wymagają ręcznej redakcji.

Czy tablice rejestracyjne zawsze są danymi osobowymi?

Nie. Ich status zależy od kontekstu oraz od tego, czy administrator może rozsądnie powiązać numer z konkretną osobą. Z perspektywy ostrożności i minimalizacji danych przy okazywaniu nagrań osobom trzecim często stosuje się license plate blurring [1][3][4].

Czy prawnik zewnętrzny może zobaczyć surowe nagranie?

Czasem tak, ale nie powinno to być automatyczne. Jeżeli dla analizy sprawy nie jest potrzebna identyfikacja osób postronnych, częstą praktyką jest przekazanie wersji zanonimizowanej zgodnie z zasadą minimalizacji [1].

Czy Gallio PRO zapisuje logi z danymi detekcji twarzy i tablic?

Nie. Zgodnie z wytycznymi produktowymi oprogramowanie nie zbiera logów zawierających detekcję twarzy i tablic rejestracyjnych ani logów zawierających dane osobowe i szczególnych kategorii danych osobowych.