Czym jest monitoring w transporcie publicznym?

Monitoring w transporcie publicznym - definicja

Monitoring w transporcie publicznym to system rejestracji obrazu, a czasem także dźwięku, stosowany w pojazdach, na przystankach, dworcach, pętlach, parkingach typu park and ride oraz w innych miejscach obsługi pasażerów. W kontekście ochrony danych oznacza przetwarzanie nagrań, na których mogą znajdować się twarze pasażerów, kierowców, pieszych, numery tablic rejestracyjnych i inne informacje pozwalające na identyfikację osoby.

W prawie UE i polskim taki monitoring co do zasady podlega RODO, czyli rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679. Obraz osoby fizycznej jest daną osobową, jeżeli umożliwia jej bezpośrednią lub pośrednią identyfikację zgodnie z art. 4 pkt 1 RODO. Sam fakt nagrania twarzy nie oznacza jeszcze przetwarzania danych biometrycznych z art. 4 pkt 14 RODO. Dane biometryczne powstają dopiero wtedy, gdy obraz jest przetwarzany technicznie w celu jednoznacznej identyfikacji osoby, na przykład przez system rozpoznawania twarzy. W przypadku narzędzi do anonimizacji, takich jak Gallio PRO, istotne jest wykrywanie twarzy, a nie rozpoznawanie twarzy.

Podstawy prawne monitoringu w pojazdach i na przystankach

Podstawa prawna zależy od tego, kto prowadzi monitoring i w jakim celu. Inaczej ocenia się system gminny obejmujący przystanki, inaczej monitoring operatora autobusowego, a jeszcze inaczej kamery obejmujące pracowników.

Obszar	Typowa podstawa	Uwagi praktyczne
Monitoring przystanków i przestrzeni publicznej przez gminę	art. 6 ust. 1 lit. e RODO oraz art. 9a ustawy z 8 marca 1990 r. o samorządzie gminnym	Cel musi dotyczyć porządku publicznego, bezpieczeństwa obywateli lub ochrony mienia.
Monitoring w pojeździe przez organizatora lub operatora realizującego zadania publiczne	najczęściej art. 6 ust. 1 lit. e RODO	Należy wykazać związek z bezpieczeństwem pasażerów, ochroną mienia lub obsługą incydentów.
Monitoring przez prywatnego przewoźnika	art. 6 ust. 1 lit. f RODO	Wymagany jest test równowagi interesów i ocena wpływu na prywatność pasażerów.
Monitoring obejmujący pracowników, np. kierowców	właściwa przesłanka z art. 6 ust. 1 RODO w związku z art. 222 Kodeksu pracy	Cel może obejmować bezpieczeństwo pracowników, ochronę mienia, kontrolę produkcji lub zachowanie tajemnicy informacji.

Retencja nagrań z monitoringu w transporcie publicznym

RODO nie wskazuje jednego okresu przechowywania nagrań. Wymaga jednak ograniczenia przechowywania do czasu niezbędnego dla celu przetwarzania, zgodnie z art. 5 ust. 1 lit. e RODO. Okres retencji powinien być zapisany w dokumentacji administratora, informacji dla pasażerów i procedurach dostępu do nagrań.

W przypadku monitoringu gminnego art. 9a ustawy o samorządzie gminnym przewiduje zasadniczo maksymalny okres 3 miesięcy, chyba że nagranie stanowi dowód w postępowaniu albo gmina powzięła wiadomość, że może taki dowód stanowić. Dla monitoringu pracowników art. 222 § 3 Kodeksu pracy również wskazuje co do zasady okres nieprzekraczający 3 miesięcy, z analogicznym wyjątkiem dowodowym. W praktyce wielu operatorów stosuje krótsze okresy, na przykład kilkanaście lub kilkadziesiąt dni, ale taki termin musi wynikać z analizy ryzyka, liczby incydentów i realnego czasu zgłaszania szkód.

Redakcja nagrania przed przekazaniem materiału

Redakcja nagrania polega na usunięciu lub zasłonięciu danych osób, które nie są niezbędne dla celu udostępnienia. W materiałach wideo najczęściej dotyczy to zamazywania twarzy oraz tablic rejestracyjnych. Może też obejmować ręczne zasłonięcie elementów widocznych w kadrze, takich jak identyfikatory, dokumenty, ekran monitora, tatuaże lub logotypy, jeżeli mogą prowadzić do identyfikacji.

Zakres redakcji zależy od odbiorcy i podstawy przekazania. Typowe przypadki można rozróżnić w następujący sposób:

• Policja, prokuratura, sąd - przekazanie może obejmować materiał bez anonimizacji, jeżeli żądanie ma podstawę prawną i dotyczy konkretnego zdarzenia. Nadal obowiązuje minimalizacja z art. 5 ust. 1 lit. c RODO.
• Osoba, której dane dotyczą - przy realizacji prawa dostępu z art. 15 RODO należy chronić prawa i wolności innych osób, zgodnie z art. 15 ust. 4 RODO. W praktyce wymaga to zamazania twarzy osób postronnych.
• Wniosek o informację publiczną - udostępnienie może wymagać anonimizacji ze względu na prywatność osoby fizycznej, o której mowa w art. 5 ust. 2 ustawy z 6 września 2001 r. o dostępie do informacji publicznej.
• Ubezpieczyciel, podwykonawca, kancelaria - należy ograniczyć materiał do fragmentu potrzebnego do obsługi roszczenia lub analizy incydentu.

Anonimizacja twarzy i tablic rejestracyjnych

Anonimizacja wideo powinna być rozumiana jako operacja, po której osoba nie jest już możliwa do zidentyfikowania przy użyciu rozsądnie dostępnych środków. Samo rozmycie może być niewystarczające, jeżeli pozostają inne identyfikatory, takie jak numer pojazdu służbowego, charakterystyczny ubiór lub kontekst zdarzenia.

W przypadku twarzy znaczenie mają także przepisy o wizerunku. Art. 23 i 24 Kodeksu cywilnego chronią wizerunek jako dobro osobiste, a art. 81 ustawy z 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych reguluje rozpowszechnianie wizerunku. Zezwolenia co do zasady nie wymaga rozpowszechnianie wizerunku osoby, która otrzymała umówioną zapłatę za pozowanie, chyba że wyraźnie zastrzegła inaczej, osoby powszechnie znanej, jeżeli wizerunek wykonano w związku z pełnieniem przez nią funkcji publicznych, oraz osoby stanowiącej jedynie szczegół całości takiej jak zgromadzenie, krajobraz lub publiczna impreza.

Tablice rejestracyjne są w Polsce sporne. Wytyczne Europejskiej Rady Ochrony Danych 3/2019 dotyczące przetwarzania danych przez urządzenia wideo, przyjęte 29 stycznia 2020 r., traktują numery rejestracyjne jako dane mogące identyfikować osobę. Podobne podejście prezentuje UODO. Z kolei w orzecznictwie NSA, na przykład w wyroku z 28 czerwca 2019 r., I OSK 2063/17, wskazano, że numer rejestracyjny nie zawsze stanowi daną osobową. Z perspektywy redakcji nagrań bezpieczniejszą praktyką jest zamazywanie tablic, zwłaszcza przed publikacją lub przekazaniem materiału poza wąski krąg uprawnionych odbiorców.

Parametry techniczne redakcji nagrań

Proces redakcji powinien być powtarzalny i możliwy do udokumentowania. W systemach on-premise materiał pozostaje w infrastrukturze organizacji, co ułatwia kontrolę dostępu i ogranicza transfer danych do podmiotów zewnętrznych.

Parametr	Znaczenie	Ryzyko kontrolowane
Skuteczność detekcji twarzy i tablic	Odsetek obiektów prawidłowo wykrytych w klatkach nagrania	Pominięcie danych osobowych w materiale przekazywanym dalej
Stabilność maski w czasie	Utrzymanie rozmycia na obiekcie w kolejnych klatkach	Chwilowe odsłonięcie twarzy lub tablicy
Kontrola manualna	Możliwość ręcznej korekty maski i dodania nowych obszarów	Obiekty nietypowe, odbicia, ekran monitora, identyfikator
Eksport i integralność	Oddzielenie pliku źródłowego od wersji zredagowanej	Utrata materiału dowodowego lub niekontrolowane nadpisanie nagrania

Gallio PRO automatycznie zamazuje twarze i tablice rejestracyjne. Nie wykonuje anonimizacji w czasie rzeczywistym ani anonimizacji strumienia wideo. Elementy takie jak logotypy, tatuaże, tabliczki z imionami, dokumenty lub obraz na monitorze mogą wymagać ręcznej redakcji w edytorze. Oprogramowanie nie zbiera logów zawierających wyniki detekcji twarzy i tablic rejestracyjnych oraz nie zbiera logów zawierających dane osobowe lub dane wrażliwe.

Odniesienia normatywne dla monitoringu w transporcie publicznym

Najważniejsze obowiązki wynikają z zasad legalności, minimalizacji, ograniczenia celu, ograniczenia przechowywania i bezpieczeństwa. Dla monitoringu obejmującego publicznie dostępne miejsca szczególnie istotna jest ocena skutków dla ochrony danych.

• RODO 2016/679: art. 5, art. 6, art. 12-15, art. 25, art. 30, art. 32, art. 35.
• RODO: art. 35 ust. 3 lit. c - systematyczne monitorowanie na dużą skalę miejsc dostępnych publicznie.
• Ustawa z 8 marca 1990 r. o samorządzie gminnym: art. 9a.
• Kodeks pracy: art. 22².
• Kodeks cywilny: art. 23 i 24.
• Prawo autorskie: art. 81.
• EDPB Guidelines 3/2019 on processing of personal data through video devices, version 2.0, 29 stycznia 2020 r.
• ISO/IEC 27001:2022 - system zarządzania bezpieczeństwem informacji.
• ISO/IEC 27701:2019 - rozszerzenie zarządzania informacjami o prywatności.