Decyzją z dnia 21 lipca 2022 r. wydaną w sprawie o numerze (zanonimizowano) Prezes Urzędu Ochrony Danych Osobowych (dalej PUODO) nakazał osobom prywatnym (właścicielom domu jednorodzinnego nieprowadzącym działalności gospodarczych) zaprzestania przetwarzania danych osobowych Skarżących (właścicieli sąsiedniej nieruchomości) pochodzących z nagrań z monitoringu wizyjnego wykraczającego poza granice należącej do Skarżonych nieruchomości, tj. obejmującego drogę publiczną i nieruchomość należącą do Skarżących oraz usunięcie tych danych z dotychczas utrwalonych nagrań. Ponadto, PUODO udzielił Skarżonym upomnienia za naruszenie art. 13 ust. 1 lit. c, d, e oraz ust. 2 lit. a, b, d RODO, polegające na niespełnieniu wobec Skarżących obowiązku informacyjnego powstającego w przypadku zbierania danych od osoby, której te dane dotyczą oraz upomnienia za naruszenie art. 15 ust. 1 lit. a, d, e oraz f RODO polegające na nieudzieleniu Skarżącym odpowiedzi na skierowany przez nich wniosek w tym zakresie.
Przedmiotowa sprawa była pokłosiem skargi złożonej przez Skarżących reprezentowanych przed PUODO przez prawnika z Kancelarii CKC SOLUTION, z której wynikało, że właściciele sąsiedniej nieruchomości wykorzystują monitoring wizyjny, który obejmuje swym obszarem zarówno drogę publiczną jak i zlokalizowaną naprzeciwko nieruchomość Skarżących, tym samym dochodzi do naruszenia polegającego na bezprawnym przetwarzaniu danych osobowych Skarżących w postaci wizerunku, co narusza ich prawo do prywatności i zakłóca mir domowy. W tej sprawie zabiegaliśmy od uznanie swojej właściwości przez PUODO dla wydania decyzji oraz potwierdzenie naruszeń do jakich dochodziło w związku z rejestrowaniem obrazu nieruchomości należącej do naszych klientów.
PUODO w swojej decyzji podniósł, że w art. 2 RODO wskazany został materialny zakres stosowania rozporządzenia. Zgodnie z treścią art. 2 ust. 2 lit. c RODO nie ma ono zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze. Natomiast motyw 18 RODO wyjaśnia pojęcie działalności czysto osobistej lub domowej wskazując, że jest to działalność bez związku z działalnością zawodową lub handlową. Działalność osobista lub domowa może między innymi polegać na korespondencji i przechowywaniu adresów, podtrzymywaniu więzi społecznych oraz działalności internetowej podejmowanej w ramach takiej działalności.
PUODO powołał się również na stanowisko Europejskiej Rady Ochrony Danych zawarte w Wytycznych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo, która poruszyła m.in. kwestię tzw. wyjątku dla gospodarstw domowych, czyli przepisu art. 2 ust. 2 lit. c RODO. EROD zajęła stanowisko, że jeżeli chodzi o urządzenia wideo działające na prywatnej posiadłości danej osoby, mogą one być objęte tym wyjątkiem. Jednocześnie odwołując się do Wyroku Trybunału Sprawiedliwości Unii Europejskiej z dnia 6 listopada 2003 r. wydanego w sprawie LINDQVIST wskazała, że należy przyjąć wąską interpretację wspomnianego przepisu. W kontekście monitoringu wizyjnego tzw. wyjątek dla gospodarstw domowych powinien być interpretowany jako obejmujący wyłącznie działania wchodzące w zakres życia prywatnego lub rodzinnego jednostki. Natomiast za wydanym przez Trybunał Sprawiedliwości UE wyrokiem z 11 grudnia 2014 r. w sprawie C-212/13 powtórzył, że system monitoringu wizyjnego, o ile obejmuje on ciągłe nagrywanie i przechowywanie danych osobowych i rozciąga się „choćby częściowo na przestrzeń publiczną i tym samym jest skierowany poza sferę prywatną osoby dokonującej w ten sposób przetwarzania danych, o tyle nie powinien on być rozumiany jako czynność o czysto osobistym lub domowym charakterze.
Mając powyższe na uwadze, PUODO podniósł, że przetwarzanie danych osobowych pochodzących z nagrań monitoringu wizyjnego przez osobę fizyczną w celu opisanym w art. 2 ust. 2 lit. c RODO może odbywać się wyłącznie, gdy zasięg monitoringu, z którego pochodzą nagrania, obejmuje jedynie nieruchomość stanowiącą jej własność, czym przychylił się do naszej argumentacji.
Maskowanie pola obrazu jaki rejestruje kamera jest niewystarczające, gdyż jest procesem odwracalnym.
Ponadto, PUODO dodał, że proces konfigurowania sfery prywatności tzw. maskowania obszaru obrazu, który jest wyłączony z monitoringu jest procesem odwracalnym i może być w każdym czasie zmieniony przez użytkownka systemu monitoringu. Możliwość wielokrotnej zmiany ustawień pola widzenia kamery, a tym samym modyfikowania nałożonej tzw. strefy prywatności na dowolne obszary, nie może być uznana za skuteczne narzędzie, które w sposób trwały zapewni wyłączenie danego obszaru z monitoringu. W konsekwencji możliwość taka powoduje, że nie jest zapewniona ochrona prywatności osób mogących znaleźć się w zasięgu kamery. Stosowanie tego rozwiązania w ogóle, jak i sposób korzystania z niego (jaki obszar zostanie ewentualnie zamaskowany, czy z jakiego obszaru tzw. maska prywatności zostanie zdjęta) pozostaje bowiem w wyłącznej dyspozycji właściciela systemu.
W przedmiotowej sprawie, w ocenie Prezesa UODO, przetwarzanie przez Skarżonych danych osobowych Skarżących w zakresie wizerunku pochodzącego z monitoringu wizyjnego obejmującego swoim zasięgiem obszar znajdujący się za ogrodzeniem Skarżonych nie znajduje uzasadnienia w przepisach RODO. Skarżeni nie wykazali żadnej podstawy prawnej, która uzasadniałaby przetwarzanie takich danych osobowych. Wskazana przez Skarżonych potrzeba zapewnienia bezpieczeństwa mienia na terenie ich posesji, jak wskazano powyżej, jest uzasadnieniem dla wykonywania monitoringu wizyjnego mieszczącego się swoim zasięgiem w granicach ich działek. Okoliczność ta nie może uzasadniać wykonywania monitoringu w szerszym zakresie, tj. obejmującym drogę publiczną oraz nieruchomość należącą do Skarżących. Tym samym przetwarzanie przez Skarżonych danych osobowych Skarżących pochodzących z monitoringu wizyjnego wykraczającego poza granice nieruchomości należącej do Skarżonych stanowi naruszenie przepisu art. 6 ust. 1 RODO.
PUODO wskazał również, że Skarżeni mieli obowiązek wypełniania obowiązku informacyjnego wobec osób, których dane osobowe przetwarzali z wykorzystaniem monitoringu wizyjnego, czego nie dopełnili. W wyjaśnieniach złożonych przed PUODO Skarżeni przedłożyli zdjęcie tablicy informacyjnej „UWAGA OBIEKT MONITOROWANY”. Powyższe nie potwierdziło jednak spełnienia wobec Skarżących obowiązku informacyjnego, o którym mowa w art. 13 ust. 1 i 2 RODO. Spełnienie obowiązku informacyjnego ma m.in. funkcję poinformowania osoby, której dane osobowe są przetwarzane, o przysługujących jej w związku z tym przetwarzaniem prawach. Skarżeni, jako administratorzy danych osobowych przetwarzanych za pomocą monitoringu wizyjnego, nie wykonując ww. obowiązku co najmniej utrudnili Skarżącym skorzystanie z tych praw oraz naruszyli tym przepisy o ochronie danych osobowych.
Prawnicy kancelarii prawnej „CKC SOLUTION” na co dzień pomagają klientom w dochodzeniu roszczeń i obrony ich praw. Cieszymy się, że i w tej sprawie mogliśmy pomóc.