Jak przygotować upoważnienia i procedury dostępu do nagrań monitoringu przed kontrolą PUODO?

Największym problemem podczas kontroli Prezesa Urzędu Ochrony Danych Osobowych (PUODO) często nie jest sam monitoring, lecz brak możliwości wykazania, kto przeglądał nagrania, w jakim celu i na jakiej podstawie. Firma może mieć nowoczesny rejestrator, zabezpieczoną serwerownię i regulamin monitoringu, a mimo to naruszać RODO, jeżeli dostęp do materiałów ma każdy kierownik znający hasło administratora. Upoważnienia do przetwarzania danych, ewidencja dostępu i procedura udostępniania nagrań powinny odpowiadać rzeczywistemu sposobowi działania systemu. Dokument podpisany przez pracownika nie wystarczy, gdy ustawienia rejestratora pozwalają mu robić znacznie więcej, niż wynika z przyznanych uprawnień.

Upoważnienia do monitoringu – kto powinien je otrzymać i co muszą zawierać?

RODO nie nakazuje wystawiania każdemu użytkownikowi monitoringu osobnego dokumentu o określonej nazwie. Wymaga natomiast, aby osoby działające z upoważnienia administratora przetwarzały dane wyłącznie na jego polecenie, a dostęp był ograniczony do niezbędnego zakresu. Wynika to przede wszystkim z art. 29 i art. 32 ust. 4 RODO. Imienne, pisemne lub elektronicznie udokumentowane upoważnienie jest praktycznym sposobem wykazania spełnienia tych wymagań.

W firmie zatrudniającej 80 osób, posiadającej 16 kamer i jeden rejestrator, dostęp do nagrań nie powinien automatycznie przysługiwać całej kadrze kierowniczej. Pracownik ochrony może potrzebować podglądu na żywo, kierownik bezpieczeństwa – możliwości przeszukiwania archiwum, a administrator IT – dostępu do konfiguracji urządzeń. To trzy odmienne role.

Prawidłowo przygotowane upoważnienie powinno wskazywać:

• Imię, nazwisko i stanowisko osoby upoważnionej oraz administratora danych.
• Zakres czynności: podgląd obrazu, odtwarzanie archiwum, eksport nagrań, usuwanie materiałów lub zarządzanie konfiguracją.
• Cel dostępu: np. ochrona mienia, obsługa incydentów bezpieczeństwa albo utrzymanie systemu.
• Zakres kamer i lokalizacji, do których użytkownik ma dostęp.
• Datę rozpoczęcia i warunki zakończenia upoważnienia oraz informację o obowiązku zachowania poufności.
• Osobę nadającą uprawnienia oraz potwierdzenie zapoznania użytkownika z procedurami.

Najważniejsza jest zgodność dokumentu z konfiguracją techniczną. Jeżeli recepcjonista ma wyłącznie obserwować wejście do budynku, nie powinien posiadać funkcji eksportowania nagrań ze wszystkich kamer.

W praktyce sprawdza się macierz uprawnień, czyli tabela przypisująca konkretnym stanowiskom dopuszczalne operacje. Przy pięciu użytkownikach wystarczy prosty arkusz kontrolowany przez osobę odpowiedzialną za monitoring. Przy kilkudziesięciu lepszym rozwiązaniem jest centralne zarządzanie kontami i okresowa weryfikacja ról.

Trzeba jednak uwzględnić ograniczenia sprzętu. Tańsze rejestratory CCTV nie zawsze pozwalają oddzielić oglądanie nagrań od ich eksportowania. Jeśli urządzenie przyznaje oba uprawnienia łącznie, administrator musi rozważyć zmianę konfiguracji, nadzorowany dostęp albo wymianę sprzętu. Sam zakaz kopiowania wpisany do regulaminu nie zastąpi zabezpieczenia technicznego.

Szczególnie ryzykowne są wspólne konta administratora. Gdy pięciu pracowników loguje się tym samym hasłem, zapis systemowy pokazuje wykonanie operacji, ale nie identyfikuje konkretnej osoby. Utrudnia to rozliczalność i wyjaśnianie incydentów.

Dostęp firmy serwisowej również wymaga uporządkowania. Jeżeli zewnętrzny wykonawca może przeglądać nagrania w imieniu administratora, trzeba ocenić konieczność zawarcia umowy powierzenia przetwarzania danych zgodnie z art. 28 RODO. Nie każdy serwis automatycznie staje się podmiotem przetwarzającym – znaczenie ma rzeczywisty zakres wykonywanych czynności. Najbezpieczniejszym rozwiązaniem przy sporadycznych naprawach jest dostęp czasowy, uruchamiany na czas konkretnego zgłoszenia.

Upoważnienia należy odbierać niezwłocznie po ustaniu potrzeby dostępu, np. po zmianie stanowiska lub zakończeniu współpracy. Nie wystarczy usunąć nazwiska z ewidencji. Trzeba zablokować konto, odebrać dostęp zdalny i zmienić współdzielone dane uwierzytelniające, jeżeli były używane.

Procedura dostępu do nagrań – jak dokumentować przeglądanie, kopiowanie i udostępnianie?

Podczas kontroli administrator powinien potrafić odtworzyć drogę konkretnego nagrania: od zgłoszenia potrzeby jego obejrzenia po decyzję o udostępnieniu albo usunięciu. Rejestr operacji na nagraniach nie jest osobnym, bezwzględnym obowiązkiem narzuconym wszystkim administratorom przez RODO, lecz przy systemach umożliwiających eksport materiału stanowi istotny dowód kontroli dostępu.

Dobrym przykładem jest kradzież sprzętu z magazynu. Kierownik zgłasza incydent z 14 października, między godziną 18:00 a 19:00. Osoba odpowiedzialna za monitoring sprawdza kamery obejmujące miejsce zdarzenia i zapisuje 12-minutowy fragment. Nie ma uzasadnienia, aby kopiować całe 24 godziny obrazu ze wszystkich kamer.

Procedura powinna przewidywać następującą kolejność:

1. Zgłoszenie wniosku – wskazanie zdarzenia, daty, przedziału czasowego, lokalizacji i celu uzyskania dostępu.
2. Weryfikacja zasadności – sprawdzenie, czy wnioskodawca jest uprawniony i czy żądany zakres danych jest niezbędny.
3. Zatwierdzenie operacji – przez wyznaczoną osobę, szczególnie gdy chodzi o eksport lub przekazanie nagrania poza organizację.
4. Wykonanie czynności – przez użytkownika posiadającego odpowiednie uprawnienia.
5. Zarejestrowanie operacji – zapisanie daty, osoby wykonującej czynność, identyfikatora materiału, celu i odbiorcy.
6. Zabezpieczenie oraz zakończenie sprawy – ustalenie miejsca przechowywania kopii, terminu jej usunięcia i odpowiedzialnej osoby.

W małym sklepie z czterema kamerami taki rejestr można prowadzić w zabezpieczonym arkuszu. W centrum logistycznym z 60 kamerami i kilkudziesięcioma użytkownikami ręczne wpisy szybko stają się niewiarygodne. Tam uzasadnione jest wykorzystanie automatycznych logów systemu VMS lub rejestratora, pod warunkiem że zapisują identyfikator użytkownika i istotne operacje.

Log techniczny nie zastępuje uzasadnienia biznesowego. Informacja, że użytkownik odtworzył materiał o 10:42, nie wyjaśnia, czy miał powód, aby to zrobić.

Oddzielnej kontroli wymaga udostępnianie nagrań. Przekazanie materiału Policji na podstawie właściwego żądania uprawnionego organu różni się od wydania kopii osobie prywatnej, która twierdzi, że ktoś uszkodził jej samochód. W drugim przypadku nie wolno automatycznie przekazać pełnego nagrania, jeśli widoczne są również osoby postronne. Trzeba ustalić podstawę prawną, zakres koniecznych danych i możliwość ograniczenia ujawnienia wizerunków innych osób.

Osoba utrwalona na nagraniu może skorzystać z prawa dostępu do danych na podstawie art. 15 RODO. Administrator zasadniczo odpowiada bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania żądania. W przypadkach przewidzianych w art. 12 ust. 3 RODO termin można przedłużyć o kolejne dwa miesiące, informując o tym wnioskodawcę w pierwszym miesiącu.

Jeżeli przekazanie kopii naruszałoby prawa innych osób, należy rozważyć odpowiednie środki ochrony, np. zamazanie ich wizerunków lub ograniczenie zakresu udostępnianego materiału. Sam fakt obecności osób trzecich nie uzasadnia automatycznej odmowy realizacji całego wniosku.

Duże znaczenie ma również retencja nagrań. Zgodnie z art. 22² § 3 Kodeksu pracy pracodawca przechowuje nagrania z monitoringu pracowniczego nie dłużej niż trzy miesiące od dnia nagrania. Nie oznacza to obowiązku przechowywania każdego materiału przez pełne trzy miesiące – krótszy okres jest właściwy, jeśli wystarcza do osiągnięcia celu.

Jeżeli materiał stanowi dowód w postępowaniu prowadzonym na podstawie prawa albo pracodawca dowiedział się, że może stanowić taki dowód, okres przechowywania zostaje przedłużony do czasu prawomocnego zakończenia postępowania. Po upływie właściwego terminu nagranie należy usunąć, chyba że odrębne przepisy stanowią inaczej.

Przy zabezpieczaniu materiału dowodowego należy zapisać powód wyłączenia go z automatycznego kasowania, zakres nagrania oraz osobę odpowiedzialną za jego dalsze przechowywanie. W przeciwnym razie wyjątek od retencji łatwo zamienia się w niekontrolowane archiwum.

Przygotowanie do kontroli PUODO – jakie dowody i zabezpieczenia sprawdzić?

Kontrola nie ogranicza się do sprawdzenia, czy organizacja posiada politykę ochrony danych. Istotne jest ustalenie, czy deklarowane procedury działają w rzeczywistym systemie monitoringu. Administrator powinien więc rozpocząć od testu operacyjnego, a nie od dopisywania kolejnych dokumentów.

Przykład: firma produkcyjna ma 24 kamery, trzy stanowiska podglądu i rejestrator przechowujący materiały przez 90 dni. W procedurze wskazano, że eksport może wykonywać tylko kierownik ochrony. Test pokazuje jednak, że pracownik recepcji nadal ma uprawnienia administratora, nadane podczas instalacji systemu dwa lata wcześniej.

To problem wymagający natychmiastowej korekty. Dokumentacja wygląda poprawnie, ale nie odpowiada stanowi faktycznemu. W pierwszej kolejności należy ograniczyć konto recepcji, zweryfikować dotychczasowe operacje i ocenić, czy doszło do nieuprawnionego dostępu lub naruszenia ochrony danych osobowych.

Przed kontrolą należy przygotować i zweryfikować:

• Aktualny wykaz kamer, ich lokalizacji, pola widzenia i celu instalacji.
• Dokument określający zasady monitoringu, w tym regulamin pracy lub obwieszczenie, jeśli wymaga tego Kodeks pracy.
• Rejestr czynności przetwarzania, gdy istnieje obowiązek jego prowadzenia, oraz dokumentację oceny ryzyka.
• Wykaz osób upoważnionych i faktyczne ustawienia ich kont.
• Procedurę przeglądania, eksportowania, udostępniania i usuwania nagrań.
• Logi dostępu, rejestr przekazań i dokumentację zabezpieczonych materiałów.
• Umowy z dostawcami usług, którzy przetwarzają dane w imieniu administratora.
• Dowody realizacji obowiązku informacyjnego, w tym oznaczenia obszarów monitorowanych.

W przypadku monitoringu pracowniczego trzeba sprawdzić również, czy pracowników poinformowano o jego wprowadzeniu najpóźniej dwa tygodnie przed uruchomieniem, a monitorowane miejsca odpowiednio oznaczono najpóźniej dzień wcześniej. Nowo zatrudniony pracownik powinien otrzymać informacje o celach, zakresie i sposobie monitoringu przed dopuszczeniem do pracy.

Szczególną uwagę należy poświęcić ustawieniom rejestratorów marek takich jak Hikvision czy Dahua. Samo posiadanie urządzenia renomowanego producenta nie oznacza zgodności z RODO. Trzeba sprawdzić aktualizacje oprogramowania, dostęp przez internet, konta serwisowe, ustawienia haseł i dostępność dzienników zdarzeń.

Zdalny dostęp powinien być ograniczony do osób, które rzeczywiście go potrzebują, i zabezpieczony odpowiednimi mechanizmami, np. VPN oraz uwierzytelnianiem wieloskładnikowym, jeżeli architektura systemu na to pozwala. Bezpośrednie udostępnienie panelu administracyjnego rejestratora w internecie zwiększa ryzyko przejęcia konta.

Warto przeprowadzić próbny audyt na trzech losowo wybranych operacjach dostępu. Dla każdej należy ustalić, kto wykonał czynność, jaki materiał obejrzał, na czyje polecenie i czy posiadał wówczas odpowiednie uprawnienia. Jeżeli organizacja nie potrafi odpowiedzieć na któreś z tych pytań, powinna poprawić mechanizm ewidencji lub ograniczyć dostęp.

Nie każdy system wymaga rozbudowanej infrastruktury audytowej. Przy kilku kamerach i dwóch użytkownikach wystarczą indywidualne konta, prosta ewidencja oraz kontrola administratora. Natomiast przy wielu oddziałach, dostępie zdalnym i regularnym przekazywaniu materiałów inwestycja w centralne zarządzanie uprawnieniami oraz logowanie operacji jest znacznie łatwiejsza do uzasadnienia.

W obiektach o podwyższonym ryzyku, takich jak parki rozrywki, hale widowiskowe czy miejsca obsługi urządzeń rekreacyjnych, monitoring bywa jednym z elementów dokumentowania zdarzeń. Nie zastępuje jednak ekspertyz technicznych ani oceny stanu urządzeń. Materiał wideo może pomóc ustalić przebieg wypadku, ale nie przesądza samodzielnie o przyczynach awarii. Dlatego należy oddzielać zasady dostępu do nagrań od dokumentacji technicznej urządzeń.

Kontrola powinna objąć także procedurę reagowania na naruszenia. Jeżeli nagranie trafi do nieuprawnionej osoby, administrator musi ocenić ryzyko dla praw i wolności osób fizycznych. Gdy naruszenie podlega zgłoszeniu do PUODO, obowiązuje termin zasadniczo 72 godzin od jego stwierdzenia, zgodnie z art. 33 RODO. Nie każde naruszenie wymaga zgłoszenia, ale każde wymaga odpowiedniej oceny i udokumentowania.

FAQ – najczęstsze pytania o dostęp do nagrań monitoringu

Czy każdy pracownik oglądający monitoring musi mieć pisemne upoważnienie?
RODO nie narzuca jednej obowiązkowej formy dokumentu. Administrator musi jednak wykazać, że pracownik działa na jego polecenie i posiada dostęp wyłącznie do niezbędnych danych. Imienne upoważnienie jest wygodnym sposobem udokumentowania tego zakresu.

Czy administrator IT może mieć pełny dostęp do wszystkich nagrań?
Tylko wtedy, gdy jest to uzasadnione jego zadaniami. Obsługa techniczna rejestratora nie zawsze wymaga prawa do odtwarzania i eksportowania materiałów. Tam, gdzie to możliwe, należy rozdzielić uprawnienia techniczne od dostępu do treści nagrań.

Czy trzeba prowadzić osobny rejestr każdego odtworzenia nagrania?
Nie istnieje ogólny przepis nakazujący wszystkim administratorom prowadzenie takiego rejestru w jednej określonej formie. Zakres ewidencji powinien wynikać z ryzyka, skali systemu i konieczności wykazania rozliczalności. Szczególnie istotne jest dokumentowanie eksportu i udostępniania materiałów.

Jak długo można przechowywać nagrania w firmie?
W przypadku monitoringu pracowniczego zasadniczy maksymalny okres wynosi trzy miesiące od dnia nagrania, z ustawowymi wyjątkami dotyczącymi materiałów dowodowych. Dla innych rodzajów monitoringu okres należy ustalać według właściwych przepisów, celu przetwarzania i zasady minimalizacji.

Czy nagranie można przekazać osobie poszkodowanej w wypadku?
Nie automatycznie. Administrator musi ustalić podstawę prawną udostępnienia, zakres niezbędnych danych i wpływ przekazania materiału na prawa osób trzecich. Niekiedy właściwe będzie wydanie odpowiednio przygotowanej kopii, a w innych okolicznościach zabezpieczenie materiału na potrzeby uprawnionego organu.

Czy brak upoważnienia automatycznie oznacza karę od PUODO?
Nie. Organ ocenia rzeczywiste naruszenie przepisów, zastosowane zabezpieczenia i okoliczności sprawy. Brak dokumentacji może jednak utrudnić wykazanie zgodności z art. 5 ust. 2 oraz art. 24 i 32 RODO.

Dodatkowe informacje na: https://rzeczoznawca-dmuchance.pl/

Przygotowania do kontroli zacznij od porównania listy aktywnych kont w rejestratorze z ewidencją osób upoważnionych. Zablokuj nieużywane konta, usuń nieuzasadnione uprawnienia eksportu i wyeliminuj wspólne hasła. Dopiero po tej korekcie sprawdź procedurę udostępniania nagrań, działanie automatycznego kasowania i kompletność dokumentacji. To właściwa kolejność: najpierw usuwa się rzeczywisty, niekontrolowany dostęp do danych, a następnie porządkuje dowody potwierdzające zgodność z RODO.