Monitoring w częściach wspólnych budynku - definicja
Monitoring w częściach wspólnych budynku to system kamer obejmujący przestrzenie dostępne dla wielu mieszkańców, użytkowników lub osób trzecich, takie jak wejścia, klatki schodowe, korytarze, garaże, windy, pomieszczenia techniczne, śmietniki i teren bezpośrednio przy budynku. W prawie UE i polskim nagrania z takiego monitoringu są co do zasady danymi osobowymi, jeżeli pozwalają zidentyfikować osobę fizyczną bezpośrednio albo pośrednio. Wynika to z art. 4 pkt 1 RODO, czyli rozporządzenia (UE) 2016/679.
W praktyce monitoring wizyjny w budynku wielolokalowym służy ochronie osób, mienia, porządku oraz dochodzeniu roszczeń po incydentach. Nie oznacza to jednak dowolności. Administrator musi określić cel, podstawę prawną, zakres kamer, czas przechowywania, osoby z dostępem oraz zasady udostępniania nagrań. Przy przekazywaniu kopii nagrania mieszkańcowi, ubezpieczycielowi, wykonawcy lub organowi zewnętrznemu często konieczne jest zamazywanie twarzy i tablic rejestracyjnych osób postronnych.
Administrator monitoringu w budynku wielolokalowym
Administratorem danych jest podmiot, który decyduje o celach i sposobach przetwarzania nagrań. W budynkach wielolokalowych nie zawsze jest to ta sama osoba, która technicznie obsługuje system kamer.
Sytuacja | Typowy administrator | Uwagi praktyczne
|
|---|---|---|
Wspólnota mieszkaniowa | Wspólnota mieszkaniowa reprezentowana przez zarząd lub zarządcę | Podstawą decyzji może być uchwała właścicieli, zgodna z ustawą z 24 czerwca 1994 r. o własności lokali. |
Spółdzielnia mieszkaniowa | Spółdzielnia mieszkaniowa | Decyzje wynikają z kompetencji organów spółdzielni i regulaminów, z uwzględnieniem ustawy z 15 grudnia 2000 r. o spółdzielniach mieszkaniowych. |
Budynek komercyjny lub najem instytucjonalny | Właściciel, operator albo zarządca obiektu | Umowa z firmą ochrony lub dostawcą IT zwykle tworzy relację powierzenia z art. 28 RODO. |
Firma ochrony, instalator kamer lub dostawca oprogramowania nie staje się automatycznie administratorem. Jeżeli działa na polecenie wspólnoty lub spółdzielni, jest zwykle podmiotem przetwarzającym i powinien mieć zawartą umowę powierzenia zgodną z art. 28 RODO.
Podstawa prawna i obowiązki RODO
Najczęściej stosowaną podstawą prawną monitoringu części wspólnych jest prawnie uzasadniony interes administratora z art. 6 ust. 1 lit. f RODO. Interesem może być bezpieczeństwo mieszkańców, ochrona mienia, zapobieganie dewastacjom lub dokumentowanie zdarzeń. Administrator powinien wykonać test równowagi, aby wykazać, że interes ten nie narusza nadmiernie praw osób nagrywanych.
Minimalny zakres obowiązków obejmuje kilka elementów, które powinny być udokumentowane przed uruchomieniem systemu. Dotyczy to również modernizacji kamer lub rozszerzenia ich zasięgu.
- określenie celu monitoringu zgodnie z art. 5 ust. 1 lit. b RODO,
- ograniczenie pola widzenia kamer zgodnie z zasadą minimalizacji z art. 5 ust. 1 lit. c RODO,
- podanie informacji o monitoringu w warstwie podstawowej, np. na tabliczce przy wejściu, oraz w pełnej klauzuli z art. 13 RODO,
- ustalenie retencji nagrań i automatycznego kasowania po upływie tego okresu,
- ograniczenie dostępu do nagrań zgodnie z art. 32 RODO,
- ocenę skutków dla ochrony danych, jeżeli monitoring ma charakter systematycznego monitorowania na dużą skalę miejsca dostępnego publicznie, o którym mowa w art. 35 ust. 3 lit. c RODO.
Europejska Rada Ochrony Danych w wytycznych 3/2019 dotyczących przetwarzania danych przez urządzenia wideo, przyjętych 29 stycznia 2020 r., wskazuje, że im dłuższy okres przechowywania nagrań, tym silniejsze musi być uzasadnienie. Dla prostych celów bezpieczeństwa wystarczające są zwykle krótkie okresy retencji, chyba że doszło do incydentu wymagającego zabezpieczenia materiału.
Dostęp do nagrań i zakres redakcji
Dostęp do nagrań powinien być imienny, ograniczony i rozliczalny. W praktyce oznacza to, że nie każdy członek wspólnoty, pracownik administracji lub mieszkaniec może swobodnie przeglądać zapis z kamer. Dostęp powinien wynikać z roli, procedury i konkretnej potrzeby.
Przypadek użycia | Ryzyko prywatności | Zalecana redakcja nagrania
|
|---|---|---|
Mieszkaniec prosi o kopię nagrania po uszkodzeniu pojazdu | Widoczne są osoby postronne i inne pojazdy | Zamazanie twarzy oraz tablic rejestracyjnych niezwiązanych ze zdarzeniem. |
Zarząd analizuje dewastację w windzie | Nagranie może ujawniać codzienne zwyczaje mieszkańców | Ograniczenie fragmentu do czasu incydentu i osób niezbędnych dla sprawy. |
Materiał trafia do ubezpieczyciela lub wykonawcy | Odbiorca nie potrzebuje pełnych danych osób postronnych | Eksport z zamazaniem twarzy i tablic, z zachowaniem integralności sceny. |
Udostępnienie policji | Udostępnienie może obejmować pełny materiał dowodowy | Zakres zależy od podstawy żądania i powinien być odnotowany w rejestrze udostępnień. |
Prawo dostępu z art. 15 RODO nie daje osobie żądającej automatycznego prawa do otrzymania pełnego nagrania z wizerunkami innych osób. Zgodnie z art. 15 ust. 4 RODO prawo do kopii nie może niekorzystnie wpływać na prawa i wolności innych osób. Dlatego redakcja obrazu, w tym zamazywanie twarzy i tablic rejestracyjnych, jest typowym środkiem ograniczającym ryzyko.
Anonimizacja nagrań z części wspólnych
Anonimizacja albo, w wielu przypadkach precyzyjniej, redakcja nagrań polega na trwałym usunięciu albo zasłonięciu elementów pozwalających zidentyfikować osoby, które nie są niezbędne dla celu udostępnienia materiału. W kontekście wideo z budynku najczęściej chodzi o twarze i tablice rejestracyjne.
Gallio PRO może być używane do przetwarzania wyeksportowanych nagrań z monitoringu. Oprogramowanie automatycznie wykrywa twarze i tablice rejestracyjne oraz umożliwia ich zamazanie. Nie wykonuje anonimizacji w czasie rzeczywistym i nie anonimizuje strumienia wideo na żywo. Nie wykrywa automatycznie logotypów, tatuaży, tabliczek z imionami, dokumentów ani obrazu na ekranach monitorów. Takie elementy mogą być zasłonięte ręcznie w edytorze.
Przy redakcji nagrań znaczenie mają parametry techniczne, które powinny być kontrolowane przed przekazaniem pliku poza administrację budynku. Najważniejsze są skuteczność detekcji, stabilność maski w kolejnych klatkach, brak możliwości odwrócenia zamazania oraz zachowanie jakości fragmentów istotnych dowodowo.
- Recall detekcji - odsetek rzeczywistych twarzy lub tablic, które zostały wykryte przez model.
- False negatives - niewykryte twarze lub tablice, które wymagają kontroli manualnej.
- Trwałość redakcji - zamazanie powinno być zapisane w kopii wynikowej, a nie tylko jako nakładka możliwa do usunięcia.
- Zakres czasowy eksportu - plik powinien obejmować tylko fragment potrzebny do celu udostępnienia.
- Ścieżka audytu - organizacja powinna odnotować, kto, kiedy i na jakiej podstawie wykonał eksport lub udostępnienie.
Granice monitoringu w częściach wspólnych
Monitoring nie powinien obejmować przestrzeni, w których mieszkańcy mają wysokie oczekiwanie prywatności. Dotyczy to w szczególności wnętrz lokali, balkonów, okien mieszkań, sanitariatów, przebieralni, pomieszczeń socjalnych oraz miejsc niezwiązanych z celem bezpieczeństwa.
Nagrywanie dźwięku jest zwykle środkiem bardziej ingerującym niż rejestracja obrazu i wymaga odrębnej, bardzo silnej podstawy. W standardowym monitoringu części wspólnych rejestracja audio może naruszać zasadę minimalizacji. Administrator powinien także unikać atrap kamer, jeżeli wprowadzają osoby w błąd co do faktycznego przetwarzania danych.
Odniesienia normatywne
Dla monitoringu w częściach wspólnych budynku kluczowe są przepisy RODO, polskie regulacje dotyczące zarządzania nieruchomościami oraz przepisy o ochronie dóbr osobistych i wizerunku. Wizerunek osoby może być chroniony jako dobro osobiste na podstawie art. 23 i 24 Kodeksu cywilnego, a jego rozpowszechnianie - na zasadach art. 81 ustawy z 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych.
- RODO, art. 4 pkt 1, art. 5, art. 6 ust. 1 lit. f, art. 13, art. 15, art. 28, art. 32 i art. 35.
- Wytyczne EROD 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo, wersja 2.0 z 29 stycznia 2020 r.
- Ustawa z 24 czerwca 1994 r. o własności lokali.
- Ustawa z 15 grudnia 2000 r. o spółdzielniach mieszkaniowych.
- Kodeks cywilny, art. 23 i 24, oraz Prawo autorskie, art. 81.
W Polsce status tablic rejestracyjnych jako danych osobowych bywa oceniany niejednolicie. UODO i EROD przyjmują szerokie podejście oparte na możliwości identyfikacji osoby przy użyciu dostępnych środków. W orzecznictwie NSA występowało stanowisko odmienne, zgodnie z którym sama tablica rejestracyjna nie zawsze stanowi dane osobowe. Przy udostępnianiu nagrań poza administratora bezpieczniejszym rozwiązaniem jest ich zamazanie, szczególnie gdy nie są niezbędne dla celu sprawy.