Audyt wewnętrzny systemu monitoringu CCTV: jak sprawdzić zgodność z RODO w 8 krokach

Audyt wewnętrzny systemu monitoringu CCTV to uporządkowany przegląd istniejącego procesu zbierania, przechowywania, udostępniania i anonimizacji obrazu, którego celem jest sprawdzenie, czy organizacja ogranicza ryzyka dla osób widocznych na nagraniach i działa zgodnie z wymaganiami RODO oraz zasadą minimalizacji danych. W praktyce taki audyt nie służy projektowaniu nowego monitoringu. Służy ocenie tego, co już działa: kamer, retencji, klauzul informacyjnych, uprawnień, obsługi żądań i jakości anonimizacji materiałów wizualnych.

To ważne rozróżnienie. Checklista wdrożeniowa odpowiada na pytanie, jak uruchomić system. Audyt odpowiada na pytanie, czy obecny system da się obronić podczas kontroli, incydentu albo wniosku osoby, której wizerunek został utrwalony.

Na czym polega zgodność CCTV z RODO w obszarze obrazu?

W kontekście zdjęć i nagrań wideo dane osobowe to nie tylko wyraźny portret twarzy. To także każdy obraz, który pozwala bezpośrednio albo pośrednio zidentyfikować osobę. Dlatego przegląd zgodności powinien koncentrować się na materiale wizualnym, a nie tylko na ustawieniach rejestratora. W praktyce organizacje najczęściej badają cztery obszary: zakres pola widzenia kamer, transparentność wobec osób nagrywanych, czas przechowywania oraz sposób anonimizacji przed publikacją lub udostępnieniem.

W tym miejscu warto uporządkować pojęcia. Visual data anonymization oznacza takie przetworzenie zdjęcia lub nagrania, aby nie dało się zidentyfikować osoby, a w niektórych przypadkach także pojazdu lub jego właściciela na podstawie obrazu. Najczęściej stosowane techniki to face blurring i license plate blurring. Przy systemach lokalnych często rozważane jest także on-premise software, czyli oprogramowanie działające w infrastrukturze organizacji, bez konieczności wysyłania materiału poza jej środowisko.

Jeżeli audyt obejmuje także ocenę narzędzi do anonimizacji materiałów archiwalnych, dobrym punktem odniesienia może być Gallio PRO jako rozwiązanie do pracy na zdjęciach i nagraniach wideo. Z perspektywy zgodności istotne jest to, że oprogramowanie automatycznie zamazuje wyłącznie twarze i tablice rejestracyjne, nie zamazuje całych sylwetek, nie wykonuje anonimizacji w czasie rzeczywistym ani anonimizacji strumienia wideo, a także zgodnie z deklaracją producenta nie zapisuje logów zawierających dane detekcji ani danych osobowych.

Co należy sprawdzić w audycie istniejącego systemu CCTV - 8 kroków

1. Inwentaryzacja kamer i pól widzenia

Pierwsza czynność jest prosta do zweryfikowania: należy sporządzić aktualną mapę kamer, przypisać im lokalizacje, cele przetwarzania, administratora systemu oraz określić, jakie obszary realnie obejmuje obraz. Audytor nie powinien opierać się na dokumentacji sprzed lat. Trzeba fizycznie sprawdzić podgląd lub próbki nagrań.

Wynik audytu powinien odpowiadać na konkretne pytania: czy kamera obejmuje tylko obszar niezbędny, czy rejestruje chodnik, ulicę, okna sąsiadujących budynków albo strefę socjalną pracowników. Jeżeli pole widzenia wykracza poza niezbędny zakres, organizacje często uznają to za pierwszy sygnał niezgodności z zasadą minimalizacji z art. 5 RODO [1].

2. Weryfikacja podstawy i celu dla każdej kamery

Drugi krok polega na zestawieniu każdej kamery z celem przetwarzania. W istniejących systemach częsty problem polega na tym, że monitoring został zamontowany dla bezpieczeństwa, ale po czasie nagrania są używane także do celów wizerunkowych, promocyjnych albo szkoleniowych bez osobnej analizy. Tego nie należy zakładać automatycznie.

Jeżeli organizacja publikuje fragmenty obrazu z monitoringu, audyt powinien rozdzielać dwa etapy: samo nagranie oraz późniejszą publikację. To dwa różne momenty ryzyka. Obowiązek anonimizacji twarzy nie wynika wprost z jednego przepisu RODO, lecz z potrzeby zapewnienia zgodnej z prawem podstawy przetwarzania, minimalizacji danych i poszanowania praw osób, a przy rozpowszechnianiu wizerunku dodatkowo z przepisów Kodeksu cywilnego oraz ustawy o prawie autorskim i prawach pokrewnych. Są jednak od niego 3 wyjątki:

• mamy do czynienia z osobą powszechnie znaną, a wizerunek wykonano w związku z pełnieniem przez nią funkcji publicznych, w szczególności politycznych, społecznych lub zawodowych,
• wizerunek osoby stanowi jedynie szczegół całości, takiej jak zgromadzenie, krajobraz lub publiczna impreza,
• osoba otrzymała umówioną zapłatę za pozowanie, chyba że wyraźnie zastrzeżono inaczej.

3. Sprawdzenie klauzul informacyjnych i oznaczeń stref monitorowanych

Trzeci krok jest w pełni audytowalny, bo można go potwierdzić zdjęciem oznaczeń i porównaniem z obowiązkiem przejrzystości z art. 12 i 13 RODO [1]. Należy sprawdzić, czy osoba wchodząca do strefy monitorowanej otrzymuje informację warstwowo: najpierw krótki komunikat przy wejściu, a następnie pełną klauzulę w łatwo dostępnym miejscu.

W audycie warto odnotować nie tylko obecność tabliczek, ale też ich treść. Typowe braki to brak wskazania administratora, brak celu, brak informacji o retencji i brak informacji o prawach osoby. W systemach używanych od dawna często występują komunikaty sprzed aktualizacji procedur, które nie odpowiadają obecnej praktyce przechowywania i udostępniania nagrań.

4. Kontrola retencji nagrań i automatycznego usuwania

Czwarty krok powinien opierać się na danych technicznych, a nie deklaracjach. Trzeba sprawdzić ustawienia retencji w rejestratorze, politykę nadpisywania, wyjątki od usuwania oraz to, czy materiał zabezpieczony do konkretnej sprawy ma odrębną ścieżkę przechowywania. EDPB w wytycznych dotyczących urządzeń wideo podkreśla znaczenie ograniczenia okresu przechowywania do minimum niezbędnego [2].

Najczęstszy problem w istniejących systemach nie polega na zbyt krótkiej retencji, lecz na jej niekontrolowanym wydłużaniu. Jeżeli nagrania są przechowywane dłużej niż wynika to z celu, audyt powinien wskazać rozbieżność i dowody jej występowania, na przykład zrzuty konfiguracji lub logikę eksportów archiwalnych.

5. Test DSAR dotyczący obrazu i nagrań

Piąty krok polega na wykonaniu kontrolnego scenariusza żądania osoby, której dane dotyczą. Nie chodzi o teorię, tylko o praktyczny test: czy organizacja umie wyszukać materiał po dacie, miejscu i przybliżonej godzinie, odseparować właściwy fragment oraz przygotować go do udostępnienia bez naruszenia praw innych osób. To właśnie tutaj wiele systemów ujawnia najsłabsze punkty.

Jeżeli organizacja nie jest w stanie sprawnie wyodrębnić nagrania i zanonimizować osób postronnych, formalna procedura nie wystarczy. Dobre podejście compliance polega na tym, by test DSAR wykonywać okresowo i dokumentować czas realizacji, liczbę osób zaangażowanych oraz sposób anonimizacji [1][2].

6. Audyt dostępów do podglądu, eksportu i archiwum

Szósty krok dotyczy ról i uprawnień. Trzeba ustalić, kto ma dostęp do podglądu na żywo, kto może eksportować materiał, kto zatwierdza wydanie kopii i czy da się ustalić historię operacji. W wielu organizacjach liczba osób z nadmiernymi uprawnieniami rośnie stopniowo i nie jest później porządkowana.

W tym punkcie warto oddzielić system CCTV od narzędzia do anonimizacji. Jeżeli materiał jest obrabiany lokalnie, organizacje często preferują on-premise software, bo ogranicza to krąg odbiorców materiału i ułatwia kontrolę środowiska. W przypadku bardziej złożonych wymagań infrastrukturalnych warto skontaktować się z zespołem i potwierdzić, jak wdrożenie lokalne wpisze się w przyjęty model bezpieczeństwa.

7. Weryfikacja procesu anonimizacji przed publikacją lub udostępnieniem

Siódmy krok powinien być opisany jako test jakości procesu, a nie tylko funkcji narzędzia. Należy wziąć próbkę istniejących nagrań i zdjęć, sprawdzić, czy face blurring i license plate blurring są wykonywane konsekwentnie, a następnie ocenić, czy na materiale nie pozostały inne identyfikatory wizualne.

To miejsce wymaga precyzji. Gallio PRO automatycznie zamazuje tylko twarze i tablice rejestracyjne. Nie wykrywa automatycznie logotypów firm, tatuaży, tabliczek z imionami, dokumentów ani obrazu na ekranach monitorów. Te elementy mogą wymagać procesów manualnych z użyciem wbudowanego edytora. Dlatego poprawny audyt nie może kończyć się na pytaniu, czy system ma automatyczne wykrywanie. Musi sprawdzać, czy organizacja ma procedurę ręcznej weryfikacji materiału po automatycznej obróbce.

Jeżeli potrzebny jest test takiego przepływu pracy na realnych plikach, można to zrobić, pobierając wersję demo i porównując wynik automatycznego zamazania z listą elementów wymagających korekty ręcznej.

8. Audyt anonimizacji nagrań archiwalnych

Ósmy krok bywa pomijany, mimo że w praktyce to właśnie archiwum generuje najwięcej ryzyk. Trzeba sprawdzić, czy starsze materiały wykorzystywane wtórnie, na przykład do celów PR, raportowych lub szkoleniowych, przechodzą ponowną ocenę i anonimizację. To, że nagranie było legalnie przechowywane, nie oznacza jeszcze, że może zostać opublikowane bez dodatkowej obróbki.

W tym punkcie szczególne znaczenie mogą mieć tablice rejestracyjne. Na poziomie unijnym nie ma przepisu, który zawsze nakazywałby ich zamazywanie, ale w wielu sytuacjach mogą one stanowić dane osobowe lub prowadzić do identyfikacji pośredniej, zależnie od kontekstu i dostępnych środków. W Polsce stanowiska nie są całkowicie jednolite: część orzecznictwa i praktyki wskazuje, że sam numer rejestracyjny nie zawsze identyfikuje osobę fizyczną, ale podejście organów ochrony danych i analiza ryzyka często przemawiają za ostrożnością przy publikacji. Dlatego w audycie warto opisać tę niejednoznaczność wprost i przyjąć praktykę opartą na poziomie ryzyka, zwłaszcza przy publikacji materiałów w internecie.

Jak ocenić wynik audytu?

Dobry audyt nie kończy się ogólnym stwierdzeniem, że system jest zgodny albo niezgodny. Powinien wskazać niezgodności, dowody, właściciela działania naprawczego, termin oraz poziom ryzyka. W odniesieniu do obrazu i wideo najczęściej pojawiają się trzy klasy ustaleń: nadmiarowy zakres obserwacji, brak spójnej retencji oraz brak skutecznego procesu anonimizacji przed publikacją.

Jeżeli organizacja korzysta z narzędzi do obróbki materiałów wizualnych, audyt powinien również potwierdzić ograniczenia techniczne. W przypadku Gallio PRO trzeba jasno odnotować, że system nie służy do anonimizacji całych sylwetek, nie działa w czasie rzeczywistym i zgodnie z deklaracją producenta nie prowadzi logów zawierających detekcję twarzy lub tablic rejestracyjnych ani innych danych osobowych.

FAQ - audyt wewnętrzny systemu monitoringu CCTV i zgodność z RODO

Czy każdy system CCTV wymaga audytu pod kątem anonimizacji obrazu?

Nie zawsze w tym samym zakresie, ale jeżeli organizacja publikuje zdjęcia lub nagrania, udostępnia je na wniosek albo wykorzystuje materiały archiwalne wtórnie, taki przegląd jest typową praktyką compliance. Ryzyko dotyczy przede wszystkim twarzy i innych identyfikatorów widocznych w materiale.

Czy zamazanie twarzy zawsze wystarcza?

Nie. Face blurring jest podstawowym środkiem, ale materiał może zawierać także tablice rejestracyjne, tatuaże, identyfikatory, logotypy, dokumenty lub obraz z monitorów. Część z tych elementów wymaga ręcznej korekty, zależnie od kontekstu użycia.

Czy tablica rejestracyjna to zawsze dana osobowa?

Nie zawsze. Ocena zależy od kontekstu, celu użycia i możliwości powiązania numeru z konkretną osobą fizyczną. Dlatego wiele organizacji przyjmuje ostrożne podejście i stosuje license plate blurring przy publikacji materiałów.

Czy można opublikować nagranie bez anonimizacji twarzy?

Co do zasady to rozwiązanie ryzykowne. Wyjątki są trzy i powinny być oceniane ostrożnie: mamy do czynienia z osobą powszechnie znaną w związku z pełnieniem funkcji publicznych, wizerunek stanowi jedynie szczegół całości, takiej jak zgromadzenie, krajobraz lub publiczna impreza, albo osoba otrzymała umówioną zapłatę za pozowanie, chyba że zastrzeżono inaczej.

Czy oprogramowanie do anonimizacji powinno działać w chmurze?

Niekoniecznie. W środowiskach o podwyższonych wymaganiach organizacje często rozważają on-premise software, aby ograniczyć przekazywanie materiałów i lepiej kontrolować środowisko przetwarzania. Wybór zależy od modelu bezpieczeństwa i architektury organizacji.

Czy Gallio PRO automatycznie wykrywa wszystkie elementy identyfikujące?

Nie. Automatyczna detekcja obejmuje wyłącznie twarze i tablice rejestracyjne. Inne elementy, takie jak logotypy firm, tatuaże, tabliczki z imionami, dokumenty czy obraz na ekranie monitora, wymagają działania manualnego we wbudowanym edytorze.