Według ekspertów kwestie monitoringu należy więc omawiać na gruncie przepisów RODO oraz przepisów szczegółowych. Nie zostały też jeszcze przyjęte przepisy dyrektywy dotyczącej zapobieganie i zwalczanie przestępczości i ochrona danych osobowych w tym sektorze.
Mówiono o tym we wtorek podczas Kongresu RODO zorganizowanego przez Wolters Kluwer Polska. Wzięło w nim udział kilkuset przedstawicieli przedsiębiorstw, instytucji publicznych i kancelarii prawnych, którzy dyskutowali o praktycznych aspektach wdrażania reformy ochrony danych osobowych.
Czytaj: Inspektor ochrony danych nie powinien być osobą przypadkową >>
Jak podkreślił Mirosław Wróblewski, dyrektor Zespołu Prawa Konstytucyjnego, Międzynarodowego i Europejskiego w biurze Rzecznika Praw Obywatelskich, wszystkie jednostki publiczne stosujące monitoring wizyjny są obowiązane do stosowania przepisów ogólnego rozporządzenia o ochronie danych osobowych, jeśli dochodzi do przetwarzania danych.
Zasady RODO
- Wszystkie zasady określone przez RODO należy mieć na względzie, tworząc, projektując systemy monitoringu wizyjnego – powiedział. Jak wyjaśnił, dotyczy to również wszystkich instytucji, które dysponują elementem władztwa publicznego albo wykonują zadania publiczne.
Według niego najczęstszą przesłanką legalizacyjną monitoringu wizyjnego jest przetwarzanie niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora.
Pytaniem jest jednak, czy jest to podstawa wystarczająca dla sektora publicznego. – Mając na względzie motywy rozporządzenia ogólnego, należy raczej odpowiedzieć, że nie - zaznaczył Mirosław Wróblewski. Jak dodał, jeżeli mamy do czynienia z zadaniami realizowanymi w interesie publicznym, podstawę przetwarzania danych powinny stanowić przepisy unijne albo prawo państwa członkowskiego.
Fragmentacja przepisów i podstawa ustawowa
Mirosław Wróblewski powiedział, że mamy do czynienia z pewną fragmentacją przepisów, ustawodawca dał w niektórych przepisach wyraźne podstawy do prowadzenia monitoringu, np. w ustawie o bezpieczeństwie imprez masowych, o grach hazardowych i w prawie oświatowym.
Do ograniczania praw jednostki niezbędna jest podstawa ustawowa. Tak jednak nie jest, czego przykładem są szpitalne oddziały ratunkowe, gdzie monitoring wizyjny, w którym może wchodzić w grę przetwarzanie danych szczególnych, wrażliwych, reguluje tylko rozporządzenie ministra zdrowia.
Niektóre podmioty zaprzestały monitoringu
Jak podkreślił Mirosław Wróblewski rozpoczęcie obowiązywania przepisów o RODO wzbudziło wiele emocji, przede wszystkim gmin. Niektóre uznały, że nic się nic nie zmieniło, w innych wyłączono monitoring wizyjny. Również niektórzy dyrektorzy szkół przestali stosować monitoring, powstała niejednolitość w tym zakresie.
- Właściwa byłaby jednolitość podejścia, jest to istotne dla administratorów i podmiotów, których dane dotyczą, ta informacja powinna być wyraźna i rozstrzygnięta przez ustawodawcę – podkreślił.
Znaczenie prawidłowej identyfikacji administratora
Według mec. Joanny Noga-Bogomilskiej z Departamentu Zarządzania Danymi Ministerstwa Cyfryzacji, członka grupy roboczej ds. odo w administracji publicznej przy ministrze cyfryzacji, prawidłowe zidentyfikowanie administratora będzie wpływało na jego obowiązki. Jednak nie w każdym przypadku w ustawie jest definicja administratora danych.
- Pewną wskazówką jest rodzaj i charakter nadany przez prawo kompetencji i wyznaczone ustawowo zadania – powiedziała. Jak dodała, może też zdarzyć się tak, że są dwa podmioty, które mogą być administratorem. Wtedy trzeba się zastanowić, czy to dwa oddzielne podmioty, czy współadministratorzy, co ma znaczenie przy ustaleniu odpowiedzialności.
Administrator danych w gminie
Pojawiło się też pytanie, kto jest administratorem danych w gminie – gmina czy wójt, burmistrz, prezydent. Gmina była np. wskazywana jako adresat decyzji GIODO, ale pisma były adresowane do burmistrza.
- Jest różnorodność w stanie prawnym, w niektórych przypadkach to burmistrz jest podawany jako administrator, w innych gmina, moim zdaniem administratorem powinna być gmina - uważa mecenas Noga-Bogomilska.
Obowiązek informacyjny
Przedstawiciele administracji musza się liczyć z dopełnieniem obowiązku informacyjnego. Zakres tego obowiązku jest szeroki, a żeby skorzystać z wyłączenia, organ musi wiedzieć, że dana osoba jest w posiadaniu wszystkich informacji.
Zorganizowany przez Wolters Kluwer Polska kongres RODO odbył się w Warszawie 23 października.
Czytaj też: Gdyby nie RODO, Facebook nie rozmawiałaby z nami o wycieku danych>>
-------------------------------------------------------------------------------------------------------------------
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów w programie LEX jest zależny od posiadanych licencji.