KOMPAS FORSAFE 2026/56

Podstawa prawna naruszenia

Art. 5 ust. 1 lit. a), c), ust. 2, art. 12 ust. 1, ust. 2, art. 13, art. 15 ust. 1, ust. 3, art. 31 RODO.

Nieprzestrzeganie ogólnych zasad przetwarzania danych.

Przyczyna naruszenia

Naruszenie wynikało z wykorzystania materiału z systemu monitoringu wizyjnego do celu, o którym osoba, której dane dotyczą, nie została uprzednio poinformowana, czyli do dochodzenia i obrony roszczeń w postępowaniu sądowym. Warstwa informacyjna monitoringu ograniczała się do wskazania celu ochrony osób i mienia, a ogólna polityka prywatności opublikowana na stronie internetowej nie obejmowała danych przetwarzanych za pomocą kamer. Drugim źródłem naruszenia było potraktowanie jednoznacznie sformułowanego wniosku o dostęp jako żądania wymagającego dodatkowych wyjaśnień od wnioskodawcy, zamiast udzielenia informacji wymaganych art. 15 RODO. W przypadku jednego z administratorów zabrakło również środków organizacyjnych, wskutek czego pracownicy ochrony samodzielnie zmienili sposób działania kamer i przekazali materiał organom wymiaru sprawiedliwości.

Opis wydarzeń

Dwie skargi dotyczące tego samego mechanizmu naruszenia: Do greckiego organu nadzorczego wpłynęły dwie skargi jednej osoby fizycznej, skierowane przeciwko dwóm niepowiązanym ze sobą administratorom — operatorowi centrum wystawienniczego oraz sieci handlowej. Zarzuty w obu przypadkach były tożsame i obejmowały nienależytą realizację prawa dostępu, bezprawne przetwarzanie danych za pomocą systemu monitoringu wizyjnego oraz ujawnienie materiału z monitoringu podmiotom trzecim.
Wniosek o dostęp i żądanie wyjaśnień w odpowiedzi: Skarżący skierował do obu administratorów wnioski o dostęp, załączając materiał fotograficzny pochodzący z ich systemów monitoringu oraz listę pytań. Wniósł między innymi o udostępnienie polityki ochrony danych dotyczącej monitoringu, wskazanie odbiorców danych, kopię danych ujawnionych podmiotom trzecim oraz kopię oceny wniosku, na podstawie którego doszło do ujawnienia. Obaj administratorzy w odpowiedzi zażądali od wnioskodawcy dodatkowych wyjaśnień, mimo że treść żądania nie budziła wątpliwości. Recki organ nadzorczy ocenił takie postępowanie jako utrudnianie wykonywania prawa dostępu, sprzeczne z art. 12 ust. 2 RODO.
Zaprzeczenie ujawnieniu danych i częściowa odpowiedź: Po uzyskaniu wyjaśnień od skarżącego administratorzy przekazali niemal identyczne odpowiedzi, w których wskazali, że monitoring służy ochronie osób i mienia oraz że nigdy nie ujawnili nagrań podmiotom trzecim, a w konsekwencji pozostałe żądania nie mogą zostać zrealizowane. Odpowiedzi nie zawierały informacji wymaganych art. 13 RODO, czyli tożsamości i danych kontaktowych administratora, danych inspektora ochrony danych, podstawy prawnej przetwarzania, kategorii odbiorców, okresu przechowywania, informacji o prawach oraz o prawie wniesienia skargi.
Wykorzystanie nagrań w postępowaniu o zabezpieczenie: W toku postępowania przed greckim organem nadzorczym pierwszy administrator przyznał, że wykorzystał zdjęcia z monitoringu w celu obrony swoich praw w postępowaniu o udzielenie zabezpieczenia skierowanym przeciwko skarżącemu, a materiał trafił do podmiotu trzeciego za pośrednictwem akt sprawy. Grecki organ nadzorczy nie zakwestionował dopuszczalności procesowego wykorzystania nagrań jako takiego, lecz brak uprzedniego poinformowania osoby, której dane dotyczą, o tym celu przetwarzania. Ujawnienie danych zostało zakwalifikowane jako odrębna operacja przetwarzania, wymagająca własnej podstawy prawnej.
Warstwa informacyjna nieobejmująca monitoringu: Ustalono, że cel dochodzenia roszczeń był wprawdzie wymieniony w polityce prywatności opublikowanej na stronie internetowej administratora, jednak dokument ten nie odnosił się do danych przetwarzanych przez system monitoringu. Tablice rozmieszczone w obszarze objętym nadzorem informowały wyłącznie o celu ochrony osób i mienia, bez pozostałych elementów wymaganych art. 13 RODO oraz bez odesłania do informacji drugiego poziomu, przewidzianego w Wytycznych EROD 3/2019 dotyczących przetwarzania danych przez urządzenia wideo.
Kwestionowanie statusu numeru rejestracyjnego pojazdu: Drugi administrator argumentował, że na zdjęciach nie utrwalono danych osobowych skarżącego, ponieważ widoczny jest wyłącznie jego samochód, a pojazd nie stanowi danej osobowej. Grecki organ nadzorczy odrzucił to stanowisko, wskazując, że numer rejestracyjny umożliwia identyfikację posiadacza pojazdu, w szczególności w powiązaniu z innymi informacjami i nawet w obrębie niewielkiej grupy osób, oraz powołując się na własne wcześniejsze rozstrzygnięcia i orzecznictwo TSUE.
Samowolne działanie pracowników ochrony: Drugi administrator wyjaśnił, że kamery nie są stałe, a pracownicy ochrony po zdarzeniu z udziałem skarżącego samodzielnie obrócili je, aby sfotografować jego samochód, następnie wydrukowali materiał i przekazali go organom prokuratorskim bez udziału administratora. Twierdzenie to nie zostało w żaden sposób udokumentowane, nie wykazano również sposobu przekazania materiału. Grecki organ nadzorczy uznał, że taka argumentacja potwierdza brak odpowiednich środków technicznych i organizacyjnych, w tym szkoleń i procedur, a tym samym naruszenie zasady rozliczalności oraz zasady minimalizacji danych.
Utrudnianie współpracy z organem nadzorczym: Odpowiedzi na wystąpienia greckiego organu nadzorczego zostały przekazane dopiero po wielokrotnej korespondencji i po upływie znacznego czasu, przy czym drugi administrator odpowiedział po ponad roku, mimo ponaglenia i wyznaczenia ostatecznego pięciodniowego terminu. Ustalono również, że opublikowany na stronie internetowej adres poczty elektronicznej przeznaczony do spraw ochrony danych nie był obsługiwany przez żadną osobę fizyczną, co grecki organ nadzorczy ocenił jako wprowadzające w błąd.
Brak zgłoszenia danych inspektora ochrony danych: W przypadku pierwszego administratora ustalono, że inspektor ochrony danych został powołany, a jego adres kontaktowy wskazano w polityce prywatności, jednak dane te nie zostały zgłoszone greckiemu organowi nadzorczemu. Uchybienie to zostało zakwalifikowane jako naruszenie art. 37 ust. 7 RODO i objęte odrębną sankcją.
Brak pisma procesowego po rozprawie: Po przeprowadzonej zdalnie rozprawie strony uzyskały termin na złożenie pisma rozwijającego stanowisko. Obaj administratorzy wnieśli o przedłużenie terminu, jednak żaden z nich nie złożył pisma. Okoliczność ta została uwzględniona jako czynnik obciążający przy ustalaniu wymiaru kar, obok braku działań ograniczających skutki naruszenia.
Ocena organu nadzorczego i wymiar kar: Stopień wagi naruszeń oceniono jako średni, z uwagi na niewielką liczbę osób dotkniętych naruszeniem, ograniczony zakres i czas przetwarzania oraz brak danych szczególnych kategorii. Na Market-In nałożono karę w wysokości 95 000 EUR.

Źródło

Pełna treść decyzji organu nadzorczego

Aby uniknąć podobnych naruszeń, zalecamy:

Objęcie obowiązkiem informacyjnym wszystkich celów przetwarzania danych z monitoringu: Jeżeli nagrania mogą być wykorzystywane do ustalania, dochodzenia lub obrony roszczeń, cel ten powinien zostać wprost wskazany w klauzuli informacyjnej dotyczącej monitoringu. Powołanie się na ogólną politykę prywatności serwisu internetowego nie wystarcza, jeżeli dokument ten nie odnosi się do danych przetwarzanych przez kamery.
Stosowanie dwuwarstwowego modelu informowania w monitoringu wizyjnym: Warstwa pierwsza, czyli tablica informacyjna umieszczona przed wejściem do obszaru objętego nadzorem, powinna zawierać najistotniejsze informacje oraz wyraźne odesłanie do warstwy drugiej. Warstwa druga, dostępna na przykład w recepcji, na stronie internetowej lub pod kodem QR, powinna obejmować pełny zakres informacji wymaganych art. 13 RODO.
Traktowanie każdego udostępnienia nagrań jako odrębnej operacji przetwarzania: Przekazanie materiału z monitoringu sądowi, pełnomocnikowi, ubezpieczycielowi czy organom ścigania wymaga własnej podstawy prawnej oraz udokumentowania. Zalecane jest prowadzenie rejestru udostępnień zawierającego datę, zakres materiału, odbiorcę, podstawę prawną oraz osobę decydującą o udostępnieniu.
Uregulowanie zasad obsługi systemu monitoringu przez pracowników i podmioty zewnętrzne: Instrukcja obsługi systemu powinna jednoznacznie zakazywać doraźnej zmiany położenia kamer, ukierunkowanego obserwowania konkretnych osób oraz samodzielnego wydawania nagrań na zewnątrz. Uprawnienia do odtwarzania i eksportu materiału należy przypisać wskazanym osobom, a czynności te rejestrować.
Rezygnacja z żądania wyjaśnień przy jednoznacznych wnioskach o dostęp: Dodatkowe pytania kierowane do wnioskodawcy są dopuszczalne wyłącznie wtedy, gdy są rzeczywiście niezbędne do zidentyfikowania osoby lub zakresu żądania. Zwłoka w realizacji prawa dostępu wymaga udokumentowanego uzasadnienia odwołującego się do czynników złożoności wskazanych w Wytycznych EROD 01/2022, takich jak wolumen danych czy konieczność wyłączenia informacji dotyczących innych osób.
Udzielanie pełnej odpowiedzi w zakresie odbiorców danych: Odpowiedź na wniosek o dostęp powinna wskazywać odbiorców lub kategorie odbiorców, którym dane ujawniono lub zostaną ujawnione, a nie ograniczać się do ogólnego zaprzeczenia.
Utrzymanie sprawnych kanałów kontaktu i realizacja obowiązków wobec organu nadzorczego: Adresy poczty elektronicznej publikowane jako punkt kontaktu w sprawach ochrony danych muszą być rzeczywiście obsługiwane przez wyznaczone osoby i monitorowane. Dane kontaktowe inspektora ochrony danych należy zgłosić organowi nadzorczemu a na wystąpienia organu odpowiadać w wyznaczonych terminach.
Weryfikacja aktualności dokumentacji monitoringu wobec stanu faktycznego: Zaleca się okresowy przegląd obejmujący liczbę i rozmieszczenie kamer, obszar objęty nadzorem, urządzenia wyłączone z eksploatacji, okres przechowywania nagrań oraz zgodność treści tablic informacyjnych z rejestrem czynności przetwarzania. Rozbieżność między dokumentacją a stanem rzeczywistym jest jednym z pierwszych ustaleń w postępowaniu nadzorczym.