Stan faktyczny
Prezes UODO został poinformowany o praktykach stosowanych przez Stołeczny Ośrodek dla Osób Nietrzeźwych z siedzibą w Warszawie (dalej: „Ośrodek”, „Administrator”). Ośrodkowi zarzucono pozbawione podstawy prawnej rejestrowanie dźwięku na terenie placówki za pośrednictwem zainstalowanego systemu monitoringu.
Prezes UODO zwrócił się do Ośrodka o zajęcie stanowiska w związku z zawiadomieniem. Ośrodek wskazał podstawy prawne przetwarzania danych osobowych dokonywane przez monitoring (obraz/dźwięk) tj.: przepisy ustawy z 26.10.1982 r. o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi (Dz.U. z 2021 r. poz. 1119; dalej: AlkU) i aktów wykonawczych do AlkU oraz art. 6 ust. 1 w zw. z art. 9 ust. 2 lit. b, c i z art. 3 ust. 2 lit. b i art. 4 pkt 2 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L Nr 119, s. 1; dalej: rozporządzenie 2016/679). W toku postępowania wskazano dodatkowo na art. 6 ust. 1 lit. c, d i e rozporządzenia 2016/679.
W tych okolicznościach wszczęto z urzędu postępowanie administracyjne w sprawie naruszenia przepisów o ochronie danych osobowych w związku z przetwarzaniem danych osobowych w rozumieniu rozporządzenia 2016/679. Przedmiotem postępowania uczyniono naruszenie przez Ośrodek, przepisów art. 5 ust. 1 lit a oraz art. 6 ust. 1 rozporządzenia 2016/679 wobec przetwarzania danych osobowych związanych z utrwalaniem dźwięku w ramach zainstalowanego systemu monitoringu.
Rozstrzygnięcie i argumentacja prawna
Prezes UODO wydał decyzję administracyjną, w której stwierdził naruszenie przez Administratora przepisu art. 5 ust. 1 lit a rozporządzenia 2016/679, tj. zasadę zgodności z prawem przetwarzania danych osobowych oraz art. 6 ust. 1 rozporządzenia 2016/679 przez utrwalanie dźwięku w ramach zainstalowanego systemu monitoringu tj. przetwarzanie bez podstawy prawnej danych osobowych w zakresie nagrań dźwięku dokonanego na terenie placówki Administratora.
W związku z naruszeniem przepisów rozporządzenia 2016/679, została nałożona kara administracyjna w wysokości 10.000 złotych.
Uzasadniając decyzję organ wskazał, że w sprawie kluczowe było określenie, czy przetwarzanie danych osobowych w tym zakresie odbywało się bez podstawy prawnej wobec tego, że fakt nagrywania dźwięku był bezsporny. Prezes UODO wskazał, że zasady przetwarzania danych w ramach monitoringu w miejscach takich jak Ośrodek nie mogą budzić wątpliwości. Organ nadzorczy w uzasadnieniu dokonał wykładni przepisów AlkU w zakresie tego, czy pomieszczenia Ośrodka powinny być wyposażone w monitoring utrwalający wyłącznie obraz, czy jednocześnie obraz i dźwięk.
Wykładnia językowa przepisów, jak i wykładnia porównawcza przeprowadzona przez porównanie aktu wykonawczego wydanego na podstawie art. 15 ust. 10 ustawy z 6.4.1990 r. o Policji (Dz.U. z 2021 r. poz. 1882; dalej: PolicjaU) wskazuje, że monitoring prowadzony w Ośrodku może ograniczać się tylko i wyłącznie do obrazu. Porównanie tych regulacji, jest zasadne z uwagi na jednakowe cele, które realizują jednostki samorządu terytorialnego tworzące izby wytrzeźwień i Policja. W zakresie świadczeń dla tych osób jednostki te pełnią tę samą rolę. W pomieszczeniach budynku Policji, policjanci mają prawo obserwowania i rejestrowania przy użyciu środków technicznych obrazu (art. 15 ust. 1 pkt 4a PolicjaU).
Prezes UODO wskazał w decyzji podstawy prawne rejestracji dźwięku w innych miejscach, w których pobyt osób nie ma charakteru dobrowolnego. Przywołano przepisy ustawy z 6.6.1997 r. Kodeks karny wykonawczy (Dz.U. z 2021 r. poz. 53; dalej: KKW) oraz przepisy regulujące pracę służb. I tak w art. 73a § 1 KKW, art. 116 § 5a KKW, art. 212b § 1 KKW, ustawodawca wprost wskazał na monitorowanie przez utrwalenie obrazu i dźwięku. Zatem, jak wynika z przywołanych przepisów, ustawodawca wskazuje wprost w normie prawnej na możliwość utrwalania w ramach monitoringu nie tylko obrazu ale i dźwięku. Dlatego brak regulacji w odpowiednich przepisach możliwości utrwalenia dźwięku przez podmioty takie jak Administrator, prowadzi do wniosku, że nie mają one prawa do takiego przetwarzania danych osobowych. W decyzji Prezes UODO podkreślił, że rejestrowanie dźwięku to uprawnienie, które jest w prawie krajowym zastrzeżone dla służb. Prawo do takiej rejestracji zostało wprost określone w konkretnych przepisach prawa, co wskazuje na zakaz rozszerzającej interpretacji przepisów AlkU.
Prezes UODO powołał się na Wytyczne Europejskiej Rady Ochrony Danych Osobowych określonych w „Wytycznych 3/19 w sprawie przetwarzania danych osobowych przez urządzenia audio” Wersja 2.0, przyjętej w dniu 29.1.2020 r. (dalej: „Wytyczne”). Wynika z ich, że zapis audiowizualny stanowi większą formę ingerencji w prywatność niż sam obraz. Wytyczne wskazują, że administrator przy wybieraniu rozwiązań technicznych prowadzonego monitoringu nie powinien wybierać rozwiązań zawierających funkcje, które nie są niezbędne.
Nagrywanie głosów osób będących w Ośrodku zostało ocenione jako działanie nadmiarowe, niecelowe i nie znajdujące rzeczywistego uzasadnienia. Prezes UODO wskazał, że z ustawy AlkU wynika, że Ośrodek ma prawo do stosowania monitoringu jedynie w zakresie rejestracji obrazu. Ośrodek instalując w na swoim terenie urządzenia do monitoringu w postaci kamer oraz mikrofonów powinien dysponować przesłanką dopuszczającą nie tylko nagrywanie obrazu, ale również dźwięku.
Z tych względów za bezzasadną uznano podstawę prawną do przetwarzania dźwięku wskazaną przez Administratora tj. art. 6 ust. 1 czy art. 9 ust. 1 lit. b i c rozporządzenia 2016/679. Przetwarzanie danych osobowych przez Ośrodek w zakresie nagrywania dźwięku nie jest niezbędne dla wypełnienia obowiązków i wykonywania szczególnych praw przez Administratora lub osobę, której dane dotyczą, a także nie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej – fizycznie lub prawnie niezdolnych do wyrażenia zgody.
Wysokość administracyjnej kary pieniężnej
Przy ustalaniu wysokości kary Prezes UODO wziął pod uwagę okoliczności sprawy wpływające obciążająco na wymiar kary finansowej tj. charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu/celu przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody. Prezes UODO ocenił, że naruszenie ma dużą wagę i poważny charakter (naruszenia zasady legalności przetwarzania) oraz było długotrwałe (od maja 2018 r. do grudnia 2021 r.), przez co dotyczyło potencjalnie bardzo dużej liczby osób. Jako okoliczność obciążającą uwzględniono też umyślny charakter naruszenia. Prezes UODO uwzględnił również okoliczność łagodzącą, mającą wpływ na ostateczny wymiar kary, tj. stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków.
Decyzja Prezesa UODO jest słuszna i odpowiada prawu. Prezes UODO wskazał, że nagrywanie dźwięku, które dalece ingeruje w sferę prywatności jednostki chronione Konstytucją RP, może odbywać się tylko i wyłącznie na podstawie przepisu prawa. Zatem, aby przetwarzanie danych osobowych w postaci rejestracji dźwięku było zgodne z prawem, konieczne jest wykazanie podstawy prawnej przetwarzania, w postaci wskazania konkretnej normy kreującej takie uprawnienie dla danego podmiotu.
Prezes UODO przedstawił swoją argumentację, odnosząc się do każdego z przepisów (zwłaszcza art. 9 ust. 2 lit. b i c dyrektywy 2016/697) powołanych przez Administratora i przez wykładnię przepisów porządku krajowego orzekł, że przetwarzanie danych osobowych w zakresie nagrywania dźwięku nie jest niezbędne dla ani dla wypełnienia obowiązków i wykonywania szczególnych praw przez Administratora lub osobę, której dane dotyczą, ani nie jest niezbędne do ochrony żywotnych interesów osoby, której dotyczą lub innej osoby fizycznej. Należy się z tym zgodzić, nie tylko dlatego, że prowadzi do tego wniosku wykładnia językowa i porównawcza przepisów krajowych, wskazanych w uzasadnieniu decyzji, ale przede wszystkim dlatego, że art. 9 ust. 2 lit. b, c dyrektywy 2016/697 wskazuje przesłanki zastosowania jako wyjątek od zasady zamieszczonej w art. 9 ust. 1 rozporządzenia 2016/697 a wprowadzającej zakaz przetwarzania szczególnych kategorii danych (wrażliwych). Natomiast wszelkie wyjątki nie podlegają wykładni rozszerzającej ale muszą być rozumiane ściśle.
W dalszej kolejności Prezes UODO, odnosząc się do później przywołanych przez Administratora przepisów art. 6 ust. 1 lit. c, d i e rozporządzenia 2016/679, wskazał: „w niniejszej sprawie Administrator nie może powołać się na żadną z przesłanek wymienionych w art. 6 ust. 1 rozporządzenia 2016/679, a w szczególności na wskazaną w art. 6 ust. 1 lit. c) (..). Jak bowiem wykazano wyżej, żaden z przepisów regulujących kwestie związane z działalnością Ośrodka nie pozwala na nagrywanie przez niego w ramach monitoringu tego typu danych (dźwięk). Na tej podstawie stwierdzić również należy, że przesłanka wskazana w art. 6 ust. 1 lit. e) rozporządzenia 2016/679 nie może być zastosowana. Pozostałe przesłanki dopuszczalności przetwarzania danych osobowych wymienione w art. 6 ust. 1 rozporządzenia 2016/679 z uwagi na ich charakter nie mogą stanowić podstawy przetwarzania danych osobowych w niniejszej sprawie.”
Wskazać należy na słuszność powyższego, natomiast argument przemawiający za prawidłowością tezy końcowej, a mianowicie, że konkretna norma prawna musi wyraźnie kreować prawo do takiego przetwarzania danych wynika z art. 6 ust. 3 zdanie 1 rozporządzenia 2016/697. Stanowi on o końcowym wniosku wypływającym z decyzji, że „podstawa przetwarzania, o którym mowa w ust. 1 lit. c i e) musi być określona: a) w prawie Unii; lub b) w prawie państwa członkowskiego, któremu podlega administrator.”
Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →
