Monitoring w budynkach jest powszechnie stosowanym narzędziem zapewniającym bezpieczeństwo osób, mienia oraz sprawne zarządzanie przestrzenią. Jednak wraz z wdrożeniem systemów monitoringu pojawia się pytanie o odpowiedzialność za przetwarzanie danych osobowych. Kto w takim przypadku jest administratorem danych – najemca czy właściciel budynku? Odpowiedź na to pytanie zależy od kilku czynników, w tym od zakresu monitoringu i miejsc, które są objęte systemem.
Administrator danych – definicja
Zanim przejdziemy do odpowiedzi, warto przypomnieć, kim jest administrator danych w kontekście ochrony danych osobowych, szczególnie w świetle przepisów RODO (Rozporządzenie o Ochronie Danych Osobowych). Administrator danych to podmiot, który samodzielnie lub wspólnie z innymi podmiotami określa cele i sposoby przetwarzania danych osobowych.
Monitoring w budynkach przetwarza dane osobowe w postaci wizerunków osób (np. nagrania z kamer), dlatego ważne jest, aby odpowiedzieć na pytanie, kto odpowiada za przetwarzanie tych danych – właściciel budynku, najemca, czy obaj jako współadministratorzy.
Kiedy właściciel budynku jest administratorem danych?
Właściciel budynku, który instaluje i zarządza systemem monitoringu w częściach wspólnych budynku (np. w hallu, korytarzach, windach, parkingach), zazwyczaj pełni rolę administratora danych w odniesieniu do tych obszarów. Przestrzenie te są dostępne dla wszystkich najemców i ich pracowników, a monitoring ma na celu zapewnienie bezpieczeństwa wszystkim użytkownikom budynku.
Do podstawowych obowiązków właściciela budynku należy:
- Określenie celu monitoringu (np. zapewnienie bezpieczeństwa, zapobieganie kradzieżom),
- Instalacja systemu monitoringu w częściach wspólnych,
- Zbieranie i przechowywanie danych wideo z kamer monitorujących te przestrzenie,
- Przechowywanie danych przez odpowiedni okres (np. 30 dni),
- Ochrona danych przed nieuprawnionym dostępem.
W przypadku monitoringu w częściach wspólnych, takich jak parkingi, korytarze czy wejścia do budynku, właściciel budynku będzie odpowiedzialny za przetwarzanie danych z systemu monitoringu.
Kiedy najemca jest administratorem danych?
Jeśli monitoring obejmuje powierzchnię wynajmowaną przez najemcę, np. biuro, magazyn czy inne pomieszczenia, najemca staje się administratorem danych w odniesieniu do tych przestrzeni. Przetwarzanie danych w tym przypadku ma na celu przede wszystkim ochronę mienia, zapewnienie bezpieczeństwa pracowników lub kontrolowanie dostępu do wynajmowanej powierzchni.
Zgodnie z Kodeksem pracy, monitoring pracowniczy powinien być wdrożony:
- w regulaminie pracy, układzie zbiorowym lub obwieszczeniu. Pracodawca jest zobowiązany wskazać cel, zakres oraz sposób zastosowania monitoringu;
- na 2 tygodnie przed uruchomieniem monitoringu pracodawca powinien poinformować pracowników, w przyjęty u siebie sposób, o jego wprowadzeniu;
- informacje, o których mowa w pkt 1, powinny być przekazane pracownikowi na piśmie przed dopuszczeniem go do pracy. Oświadczenie złożone przez pracownika powinno znaleźć się w aktach pracowniczych w części B;
- najpóźniej na jeden dzień przed uruchomieniem monitoringu pojazd należy oznaczyć w sposób widoczny i czytelny, np. w formie piktogramu.
W takim przypadku najemca nie ponosi odpowiedzialności za dane przetwarzane w częściach wspólnych budynku, które są zarządzane przez właściciela.
Współadministrowanie danymi – kiedy to następuje?
W sytuacji, gdy monitoring obejmuje zarówno przestrzenie wspólne, jak i powierzchnie wynajmowane przez poszczególnych najemców, może wystąpić sytuacja, w której zarówno właściciel budynku, jak i najemcy będą współadministratorami danych.
Przykładem może być monitoring, który obejmuje zarówno wejście do budynku (część wspólna), jak i przestrzeń biurową wynajmowaną przez najemcę.
Współadministrowanie danymi wymaga od obu stron zawarcia odpowiedniej umowy o współadministrowanie, która precyzuje:
- Cele i podstawy przetwarzania danych (np. zapewnienie bezpieczeństwa, ochrona mienia),
- Podział odpowiedzialności za przechowywanie i ochronę danych,
- Określenie, kto jest odpowiedzialny za dostęp do danych, ich udostępnianie i usuwanie,
- Zasady udostępniania danych (np. w przypadku żądań organów ścigania),
- Okres przechowywania danych.
Współadministrowanie danymi umożliwia efektywne zarządzanie danymi z monitoringu, zachowując zgodność z przepisami o ochronie danych osobowych.
Wymogi informacyjne dla osób monitorowanych
Zarówno właściciel budynku, jak i najemcy mają obowiązek poinformowania osób monitorowanych (np. pracowników, odwiedzających) o przetwarzaniu ich danych osobowych. Zgodnie z przepisami RODO, osoby te muszą zostać poinformowane o:
- Celu monitoringu,
- Podstawach prawnych przetwarzania danych,
- Czasie przechowywania nagrań,
- Administratorach danych (właściciel budynku lub najemca, zależnie od obszaru),
- Sposobie ochrony danych,
- Prawach przysługujących osobom monitorowanym (np. prawo do dostępu, prawo do usunięcia danych).
Takie informacje muszą być dostępne w widocznych miejscach, np. poprzez tabliczki informacyjne lub klauzule informacyjne w umowach najmu.
Podsumowanie:
Odpowiedzialność za przetwarzanie danych z systemu monitoringu w biurowcu zależy od obszaru objętego monitoringiem. Właściciel budynku jest administratorem danych w odniesieniu do części wspólnych budynku, takich jak parkingi, korytarze czy wejścia. Najemca staje się administratorem danych w odniesieniu do powierzchni wynajmowanej przez siebie. W przypadku, gdy monitoring obejmuje zarówno części wspólne, jak i wynajmowane pomieszczenia, może wystąpić współadministrowanie danymi, w której zarówno właściciel budynku, jak i najemca pełnią odpowiedzialność za przetwarzanie danych. W każdym przypadku konieczne jest zapewnienie odpowiednich informacji dla osób monitorowanych oraz przestrzeganie przepisów RODO dotyczących ochrony danych osobowych.
Joanna Mikulczyńska – radca prawny | ekspert ds. ochrony danych osobowych
NK Legal Partners
