Karę taką wymierzył Prezes Urzędu Ochrony Danych Osobowych, który został poinformowany o praktykach stosowanych przez Stołeczny Ośrodek dla Osób Nietrzeźwych związanych ze stosowanym systemem monitoringu. Ośrodkowi zarzucono pozbawione podstawy prawnej rejestrowanie dźwięku na terenie tej placówki za pośrednictwem zainstalowanego systemu monitoringu. Organ nadzorczy zwrócił się do administratora z prośbą o odniesienie się do uzyskanych informacji i wskazanie podstawy prawnej upoważniającej go do pozyskiwania danych osobowych w postaci dźwięku.
Był rejestrowany obraz i głos
Administrator potwierdził, że jego system rejestruje zarówno obraz, jak i dźwięk, a celem przetwarzania jest m.in. sprawowanie stałego nadzoru nad osobami doprowadzonymi w celu wytrzeźwienia dla zapewnienia im bezpieczeństwa. Zapis z monitoringu obejmujący pomieszczenia, w których rejestrowany jest sygnał audio i wideo, jest przechowywany od 30 do 60 dni z wyjątkiem sytuacji, gdy nagranie jest zabezpieczone jako dowód w toczącym się postępowaniu. Jako podstawę prawną przetwarzanych przez siebie danych w ten sposób administrator wskazał przesłankę, zgodnie z którą przetwarzanie danych jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Administrator powołał się też na uregulowania zawarte w ustawie o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi, aktach wykonawczych do tej ustawy oraz statucie placówki.
Nie było podstawy do przetwarzania danych
W ocenie UODO, przepisy prawa nie upoważniały administratora do przetwarzania danych w zakresie nagrań dźwięku dokonanych na terenie Ośrodka. Nagrywanie dźwięku jest w tym przypadku działaniem nadmiarowym, którego nie uzasadniają przepisy zarówno RODO, jak i ustawy o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi.
UODO podkreśla, że rejestrowanie dźwięku to uprawnienie, które jest w prawie krajowym zastrzeżone przede wszystkim dla służb i to w konkretnych sytuacjach. Zdaniem organu trudno przyjąć, że zapewnienie stanu bezpieczeństwa i zdrowia osób nietrzeźwych uzasadnia utrwalanie dźwięku w ramach prowadzonego monitoringu, skoro ustawodawca nie przyjął takiego rozwiązania wprost w przepisach prawa.
UODO w swojej decyzji wskazał również na dokument Europejskiej Rady Ochrony Danych „Wytyczne 3/19 w sprawie przetwarzania danych osobowych przez urządzenia wideo”, które uznają, że zapis audiowizualny stanowi niewątpliwie większą formę ingerencji w prywatność niż sam obraz. Ponadto w wytycznych wskazano, że administrator przy wybieraniu rozwiązań technicznych odnoszących się do prowadzonego monitoringu nie powinien wybierać rozwiązań zawierających funkcje, które nie są niezbędne. Do takich zaliczyć można: nieograniczone śledzenie ruchów kamery, możliwość przybliżenia, transmisja radiowa czy nagrania dźwiękowe.
Czytaj także: Pytanie do UODO o zainteresowanie służb dokumentacją psychiatryczną>>
Naruszenie od czasu obowiązywania RODO
Z wyjaśnień złożonych przez administratora wynikało, że dane obejmujące dźwięk były rejestrowane od 2016 r. do 2021 r. W tej sprawie UODO przyjął, że stan naruszenia przepisów RODO trwał od 25 maja 2018 r., a więc od rozpoczęcia stosowania RODO, do dnia wyłączenia nagrywania dźwięku minęło ponad trzy i pół roku. Dyrektor Ośrodka wydał prewencyjne polecenie wyłączenia monitoringu dźwiękowego na terenie tej placówki, obowiązujące do chwili prawomocnego i ostatecznego zakończenia sprawy.
Przesłanki o nałożeniu administracyjnej kary pieniężnej
W ocenie UODO administrator nie może powołać się na żadną z przesłanek wymienionych w art. 6 ust. 1 RODO, a w szczególności na wskazaną w art. 6 ust. 1 lit. c), zgodnie z którą przetwarzanie danych jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Organ uznał też, że żaden z przepisów regulujących kwestie związane z działalnością Ośrodka nie pozwala na nagrywanie przez niego w ramach monitoringu tego typu danych (dźwięku).
- Fakt rejestrowania dźwięku przez tak długi czas sprawia, że naruszenie dotyczy potencjalnie bardzo dużej liczby osób. W opinii UODO nagrywanie głosów osób będących często w stanie upojenia alkoholowego uniemożliwiającym im świadome formułowanie wypowiedzi czy panowanie nad wydawanymi dźwiękami, jest działaniem nadmiarowym, niecelowym - stwierdził Prezes UODO.
Z informacji Urzędu wynika, że ustalając wysokość nałożonej kary pieniężnej, uwzględniono również okoliczność łagodzącą, czyli stopień współpracy z organem nadzorczym. Trzeba zaznaczyć, że administrator zareagował (choć nie od razu) na zawiadomienie o wszczęciu postępowania administracyjnego i zaprzestał (prewencyjnie – do czasu wydania decyzji) przetwarzania danych i usunął wszystkie dane zarejestrowane do 6 grudnia 2021 r. Takie działanie administratora świadczy o uwzględnieniu praw osób znajdujących się na terenie Ośrodka.