Od dłuższego czasu oczekujemy wejścia w życie ustawy regulującej funkcjonowanie monitoringu wizyjnego. Kontrola NIK przeprowadzona w 2016 r. w 28 szkołach podstawowych i gimnazjalnych na terenie całego kraju potwierdziła potrzebę wprowadzenia przepisów regulujących zasady korzystania z kamer wizyjnych. Chociaż obecność monitoringu przyczyniła się do poprawy bezpieczeństwa młodzieży w szkołach, sposób przetwarzania danych przez administratorów budzi poważne wątpliwości.

Powszechna obecność monitoringu w polskich szkołach (ponad 85% szkół) jest odpowiedzią na rządowy programu „Monitoring wizyjny w szkołach i placówkach”. Głównym powodem przesądzającym o zakładaniu monitoringu jest dążenie do poprawy bezpieczeństwa młodzieży, w tym minimalizowanie przestępczości i aktów agresji¹. W związku z tym, obecność kamer nie tylko jest uzasadniona, ale została także potwierdzona w praktyce. W 5 tys. z 7 tys. polskich szkół zaobserwowano znaczącą poprawę bezpieczeństwa.

Prawnie usprawiedliwiony cel

Podstawą prawną przetwarzania danych z monitoringu uczniów, nauczycieli oraz rodziców jest art. 23 ust. 1 pkt 5 ustawy z 29.8.2007 r. o ochronie danych osobowych (t.j. Dz.U. z 2016 r. poz. 922; dalej: OchrDanychU), tzn. prawnie usprawiedliwiony cel. Przeprowadzona przez NIK kontrola wykazała, że dążenie do poprawy bezpieczeństwa zdominowało inne istotne zagadnienia związane z przetwarzaniem danych osobowych, w tym przede wszystkim dbanie o zgodne z prawem przetwarzanie danych rejestrowanych przez kamery. Kontrola potwierdziła, że cele te są dla większości dyrektorów szkół jako administratorów danych wtórne. Warto uświadomić sobie, że niewłaściwe wykorzystywanie monitoringu wizyjnego może zapobiec kradzieży portfela czy pobiciu, niemniej jednak może również narazić osobę na znacznie poważniejszą szkodę – kradzież danych.

Jak zostało zauważone, większość dyrektorów polskich szkół zdecydowała się na zainstalowanie kamer. Tylko 9% placówek zadeklarowało, że nie zamierza wprowadzać tej formy kontroli². W większości szkół cel jakim była poprawa bezpieczeństwa został zrealizowany. Mając na uwadze zasady przetwarzania danych osobowych, w tym w szczególności zasadę celowości, warto zastanowić się czy wobec tego nie warto zastanowić się nad innymi skutecznymi metodami zapewniającymi bezpieczeństwo młodzieży, mniej ingerującymi w ich prywatność.

Brak konkretnych rozwiązań prawnych (poza przepisami sektorowymi) powoduje dużą dowolność administratorów danych w procesie zbierania, gromadzenia i przetwarzania danych z monitoringu. To zaś w wielu przypadkach może narazić osoby, których dane dotyczą, na poważne ryzyko naruszenia ich praw i wolności. W większości kontrolowanych jednostek NIK nie miała zastrzeżeń co do miejsc, w których były umieszczone kamery (w większości przypadków korytarze, fasada budynku). Niemniej jednak zdarzył się przypadek umieszczania kamer w miejscu niedozwolonym – męskiej toalecie. Chociaż intencją administratora danych było zapewnienie bezpieczeństwa w tym obszarze, gdyż w tym miejscu dochodzi do częstych incydentów, administrator danych jednak zapomniał, że cel ten nie może być nadrzędny wobec prawa do poszanowania prywatności (w tym intymności) uczniów.

Najczęstsze uchybienia administratorów danych

Dyrektorzy szkół, jako administratorzy danych, zobowiązani są do realizowania obowiązków wynikających z obowiązujących przepisów. Przeprowadzona kontrola wykazała, że do najczęstszych uchybień administratorów danych należy nierealizowanie obowiązku zgłaszania zbiorów danych do GIODO. Wśród 18 skontrolowanych szkół przed przystąpieniem do kontroli NIK tylko w dwóch przypadkach został on wypełniony³. Wydaje się, że zaniechanie pozostałych administratorów wynika z braku wiedzy, iż obraz z monitoringu stanowi zbiór danych osobowych podlegający zgłoszeniu do ­GIODO.

Administrator danych zobowiązany jest także realizować obowiązek informacyjny poprzez poinformowanie osób, których dane dotyczą, o tym, że obszar na którym przebywają objęty jest monitoringiem. Obowiązek ten powinien być zrealizowany nie tylko poprzez umieszczenie odpowiedniej plakietki przed wejściem do szkoły, ale także poinformowanie uczniów oraz ich rodziców o tym, gdzie i w jakim celu zakładane są kamery. Tymczasem z przeprowadzonej kontroli wynika, że tylko 38% uczniów zadeklarowało, że administrator danych poinformował ich o zasadach działania monitoringu oraz sposobie wykorzystania nagrań, a aż 93% rodziców lub opiekunów prawnych zadeklarowało, iż nie uczestniczyło w procesie projektowania systemu monitoringu⁴. W tym stanie rzeczy utrudnione staje się realizowanie praw przysługujących osobom monitorowanym, w tym m.in. prawa dostępu do nagrań, prawa do informacji, prawa do żądania usunięcia danych. Sam GIODO rekomenduje „cała społeczność szkolna powinna współpracować z dyrektorem w kwestii podjęcia decyzji o uruchomieniu monitoringu na terenie placówki (…)”⁵.

Obowiązek zastosowania środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych

Na administratorze danych spoczywa również obowiązek zastosowania środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych. Raport NIK wykazał, że tylko w 12 skontrolowanych szkołach była prowadzona ewidencja osób upoważnionych do przetwarzania danych osobowych, a 4 kolejne założyły ewidencję podczas przeprowadzanej kontroli. Sposób przechowywania i udostępniania nagrań w większości szkół również wzbudzał liczne wątpliwości. Tylko w 12 na 28 skontrolowanych jednostek obowiązywały odpowiednie procedury⁶.

Okres przechowywania nagrań z monitoringu

Wiele wątpliwości wzbudza również różny okres przechowywania nagrań z monitoringu przez administratorów danych. Tylko w 4 placówkach okres ten wynosił 7 dni. W pozostałych nie przedstawiono w tym zakresie żadnych szczegółowych informacji. Pomimo braku przepisów szczegółowo określających, jak długo obraz z kamer powinien być przechowywany na nośnikach, warto odwołać się do ogólnych zasad ochrony danych osobowych, w tym do zasady celowości, zgodnie z którą dane powinny być przechowywane w postaci umożliwiającej identyfikację osoby fizycznej nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania (art. 26 ust. 1 pkt 4 OchrDanychU).

dr Agnieszka Stępień, adiunkt w Społecznej Akademii Nauk w Warszawie

 

Podstawa prawna

• art. 23 ust. 1 pkt 5, art. 26 ust. 1 pkt 4 ustawy z 29.8.2007 r. o ochronie danych osobowych (t.j. Dz.U. z 2016 r. poz. 922)

Podsumowanie

Kontrola NIK wykazała, że we wszystkich skontrolowanych szkołach, w których został zamontowany monitoring wizyjny, realizowany jest podstawowy cel, którym jest podniesienie poziomu bezpieczeństwa. Dzięki obecności kamer we wszystkich szkołach zaobserwowano spadek przestępczości (w tym w szczególności: bójek, kradzieży, dewastacji mienia). Dane te potwierdzają słuszność i potrzebę obecności kamer w szkołach. Na dyrektorach szkół jako administratorach danych ciążą liczne obowiązki. Niestety, w większości szkół nie jest on realizowany we właściwy sposób. Powodem takiego stanu rzeczy wydaje się być brak przepisów prawa, które w sposób klarowny i kompleksowy będą wyznaczać standardy ochrony w tej przestrzeni.

1. Uchwała nr 156/2007 Rady Ministrów z 5.9.2007 r. w sprawie Rządowego programu wspierania w latach 2007­–2009 organów prowadzących w zapewnieniu bezpiecznych warunków nauki, wychowania i opieki w publicznych szkołach i placówkach.
2. Wykorzystywanie monitoringu wizyjnego w szko­łach i jego wpływ na bezpieczeństwo uczniów, LLU430. 005.2016, www.nik.gov.pl, dostęp z 5.6.2017 r., s. 27.
3. Wykorzystywanie monitoringu wizyjnego…, s. 10.
4. Ibidem, s. 45.
5. Wytyczne Generalnego Inspektora Ochrony Danych Osobowych dotyczące wykorzystywania monitoringu wizyjnego w szkołach, www.giodo.gov.pl, (dostęp z 8.6.2017 r.), s. 13.
6. Wykorzystywanie monitoringu wizyjnego…, s. 12.