TL;DR: Brytyjskie firmy rzadko mają problem z tabliczką. Problem pojawia się, gdy ktoś prosi o nagranie. Zgodnie z UK GDPR jest miesiąc na odpowiedź, trzeba chronić inne osoby w kadrze i nie można dopuścić do utraty nagrania. Brytyjski organ ochrony danych (ICO) udzielił reprymendy policji w Manchesterze po zaginięciu dwóch godzin nagrania. Dla IOD, compliance i IT. Gallio PRO automatycznie zamazuje twarze i tablice rejestracyjne. Sprawdź swój system w teście zgodności monitoringu : dziewięć pytań, wynik od razu na stronie, bez podawania adresu e-mail.
Opisujemy sytuację w Wielkiej Brytanii. Tekst jest przeznaczony dla polskich firm, które mają w UK sklepy, magazyny, biura lub inne placówki, oraz dla ich zespołów ochrony danych.
Po brexicie Wielka Brytania stosuje własną wersję RODO (UK GDPR) i ustawę o ochronie danych z 2018 r. (Data Protection Act 2018, DPA 2018). Nadzór sprawuje Information Commissioner's Office (ICO). Brytyjskie nazwy podajemy w nawiasach, żeby łatwiej było je dopasować do lokalnych dokumentów i doradców.
Większość organizacji wiesza tabliczkę, ustala okres przechowywania i uznaje temat za zamknięty.
Słaby punkt pojawia się później, gdy klient, pracownik albo osoba zatrzymana prosi o kopię nagrania. Wtedy jednocześnie muszą zadziałać trzy rzeczy:
Ogólne ramy prawne, w tym podstawę prawną i wysokość kar, opisujemy w tekście o zasadach i przepisach dotyczących monitoringu CCTV w Wielkiej Brytanii . Ten tekst skupia się na tym, co dzieje się po wniosku o nagranie.
Zasady przejrzystości UK GDPR (art. 13) wymagają informowania osób o przetwarzaniu w chwili zbierania danych. Przy kamerach oznacza to tabliczkę widoczną, zanim ktoś wejdzie w obszar nagrywania.
Dobra tabliczka powinna wskazywać co najmniej:
Sam piktogram mówi, że ktoś jest nagrywany, ale nie mówi, do kogo się zwrócić. Ta luka zamienia się później w opóźnienia i skargi. Policja i samorządy muszą też uwzględniać kodeks postępowania dla kamer monitoringu (Surveillance Camera Code of Practice) wydany na podstawie ustawy Protection of Freedoms Act 2012.
Każda osoba widoczna na nagraniu może zażądać kopii na podstawie art. 15 UK GDPR. Wytyczne ICO dotyczące monitoringu są jasne: odpowiedź musi nastąpić szybko i w ciągu miesiąca od otrzymania wniosku, z możliwością przedłużenia o dwa miesiące przy wnioskach złożonych lub licznych.
ICO wskazuje też praktyczne ryzyko. Okres przechowywania może sprawić, że nagranie zostanie usunięte przed odpowiedzią. Dobrą praktyką jest zablokowanie nadpisywania nagrań objętych wnioskiem.
Prawie każde nagranie pokazuje osoby inne niż wnioskodawca. Zgodnie z DPA 2018 (załącznik 2, część 3, ust. 16) nie trzeba ujawniać informacji o innych osobach, chyba że wyrażą zgodę albo ujawnienie bez zgody jest uzasadnione.
W praktyce zgoda przechodniów rzadko jest realna. Wytyczne ICO wskazują alternatywę: rozmycie, zamaskowanie albo zakrycie fragmentów obrazu jednolitym wypełnieniem. ICO zaleca też usuwanie metadanych z plików, gdy to potrzebne, i szkolenie pracowników z narzędzi do anonimizacji, by mogli zmieścić się w ustawowych terminach.
Prośba policji nie jest wnioskiem o dostęp do danych. ICO uznaje, że przekazanie nagrania organom ścigania jest właściwe, jeśli system służy zapobieganiu przestępstwom i ich wykrywaniu. Co do zasady jest to dobrowolne, chyba że istnieje nakaz sądowy. Zapisz, co, komu i dlaczego przekazano.
Wewnętrzne prośby pracowników i podwykonawców opisujemy w tekście o obsłudze wniosków o nagrania od pracowników i wykonawców .
Sprawa policji w Manchesterze: reprymenda za zaginione nagranie
29 maja 2025 r. ICO udzielił reprymendy policji Greater Manchester Police (GMP) za sposób postępowania z nagraniami z monitoringu ( źródło: ICO, po angielsku).
Co się stało według ICO:
ICO uznał, że GMP nie przekazała wnioskodawcy jego danych bez zbędnej zwłoki i w ciągu miesiąca oraz nie wdrożyła odpowiednich środków chroniących nagrania przed przypadkową utratą. Pracownicy nie wiedzieli, kto odpowiada za sprawdzanie jakości przechowywanych nagrań, a żadna procedura nie określała, kiedy i przez kogo takie kontrole mają być robione.
Szefowa działu postępowań ICO stwierdziła, że GMP „wykazała poważne braki w postępowaniu z nagraniami z monitoringu”. GMP wprowadziła potem jaśniejsze zasady przechowywania i ściśle kontrolowany proces, w którym dostęp do serwera nagrań mają tylko upoważnione osoby.
Co pokazuje ta sprawa:
Wobec instytucji publicznych ICO często poprzestaje na reprymendzie zamiast kary pieniężnej. Firmy prywatne podlegają pełnemu reżimowi kar: do 17,5 mln funtów albo 4% rocznego światowego obrotu za naruszenie zasad i praw osób oraz do 8,7 mln funtów albo 2% za inne naruszenia. ICO zaznacza też, że jego wytyczne dotyczące monitoringu są aktualizowane po wejściu w życie ustawy Data (Use and Access) Act 2025.
Gallio PRO działa jako aplikacja na systemach Windows i macOS. Dla środowisk korporacyjnych jest dostępna wersja on-premise z wiersza poleceń dla systemu Linux. Nagrań nie trzeba wysyłać do zewnętrznej usługi chmurowej.
Punkt kontrolny | Podstawa prawna lub źródło | Zrobione? |
Tabliczka z operatorem, celem i kanałem kontaktu w sprawie nagrań | UK GDPR, art. 13 | ☐ |
Pełna informacja o prywatności dostępna online lub na miejscu | UK GDPR, art. 13 | ☐ |
Udokumentowany okres przechowywania, ustalony według celu | UK GDPR, art. 5 ust. 1 lit. e | ☐ |
Procedura blokowania nagrania zaraz po wpływie wniosku | Wytyczne ICO dotyczące monitoringu | ☐ |
Wskazane osoby odpowiedzialne za eksport i kontrolę jakości | UK GDPR, art. 5 ust. 1 lit. f i art. 32 | ☐ |
Dostęp do serwera nagrań tylko dla upoważnionych osób | UK GDPR, art. 32 | ☐ |
Procedura obsługi wniosków z miesięcznym terminem | UK GDPR, art. 12 i 15 | ☐ |
Narzędzie i przeszkoleni pracownicy do zakrywania osób trzecich | DPA 2018, zał. 2, cz. 3, ust. 16 | ☐ |
Rejestr każdego wydania nagrania, także policji | UK GDPR, art. 5 ust. 2 | ☐ |
Tak. Każda osoba widoczna na nagraniu może złożyć wniosek o dostęp na podstawie art. 15 UK GDPR. Operator musi odpowiedzieć w ciągu miesiąca, z możliwością przedłużenia o dwa miesiące przy złożonych wnioskach.
Tabliczka powinna być widoczna przed obszarem nagrywania i wskazywać, kto prowadzi monitoring, w jakim celu i jak się skontaktować, wraz z odesłaniem do pełnej informacji o prywatności. Sam piktogram nie mówi, jak skorzystać z praw.
Nie trzeba ujawniać danych innych osób, chyba że wyrażą zgodę albo ujawnienie bez zgody jest uzasadnione (DPA 2018, załącznik 2, część 3, ust. 16). ICO wymienia rozmycie, zamaskowanie i jednolite wypełnienie jako sposoby ich zakrycia.
Nie ma jednego ustawowego terminu. Nagrania przechowuje się tak długo, jak wymaga tego cel, okres trzeba udokumentować, a nagrania objęte toczącym się wnioskiem należy zabezpieczyć.
Nie. Przekazanie nagrania policji to osobna ścieżka. ICO uznaje je za właściwe, jeśli system służy zapobieganiu przestępstwom i ich wykrywaniu, a co do zasady jest dobrowolne, chyba że istnieje nakaz sądowy.
Może to być jednocześnie przekroczenie terminu i naruszenie bezpieczeństwa. W 2025 r. ICO udzielił reprymendy policji w Manchesterze po utracie dwóch godzin nagrania objętego wnioskiem.
Do 17,5 mln funtów albo 4% rocznego światowego obrotu za naruszenie zasad i praw osób oraz do 8,7 mln funtów albo 2% za inne naruszenia. Instytucje publiczne częściej otrzymują reprymendy.
Tabliczka zaczyna rozmowę, ale prawdziwym sprawdzianem dla operatorów w UK jest wniosek o nagranie. Zabezpiecz fragment, chroń osoby trzecie i odpowiedz w ciągu miesiąca. Sprawa policji w Manchesterze pokazuje, jak szybko niejasny podział odpowiedzialności kończy się formalnym rozstrzygnięciem ICO.
Masz placówki także w UE? Przepisy krajowe różnią się między państwami, nawet tam, gdzie obowiązuje RODO.
Sprawdź swój system w teście zgodności monitoringu : dziewięć pytań, wynik od razu na stronie, bez podawania adresu e-mail.
