Q&A – co warto wiedzieć o prawnych aspektach stosowania kamer termowizyjnych

W związku z pojawiającymi się pytaniami i wątpliwościami, czy stosowanie kamer termowizyjnych jest zgodne z obowiązującymi przepisami RODO, chcielibyśmy przestawić Państwu kilka faktów, które pomogą rozwiązać wątpliwości pojawiające się przy okazji instalacji kamer termowizyjnych.

Materiał ten został sporządzony w oparciu o obowiązujące aktualnie przepisy prawne (stan na dzień 4 maja 2020 r.) Obserwując jednak działania rządów i organów legislacyjnych zarówno w Polsce jak i w Unii Europejskiej może nastąpić zmiana niektórych z nich, chociażby RODO, w celu ułatwienia i wsparcia przedsiębiorców w przeciwdziałaniu epidemii COVID-19. Jeśli takowe zmiany zostaną wprowadzone przez organy państwa, zostaną one niezwłocznie uwzględnione w poniższym zestawieniu.

Czy kamery termowizyjne mogą być wykorzystywane w celu pomiaru temperatury osób przebywających w szkołach, urzędach lub innych budynkach użyteczności publicznej, np. bankach, przychodniach medycznych, muzeach, sklepach?

Główny Inspektor Sanitarny nie wydał jeszcze zaleceń ani wytycznych w zakresie mierzenia temperatury w szkołach, urzędach lub innych budynkach użyteczność publicznej. Jednak już teraz w wielu urzędach temperatura jest mierzona przy pomocy termometrów laserowych. Można przyjąć, iż urzędy, szkoły oraz inne miejsca użyteczności publicznej stanowią zakłady pracy, w których dopuszczalne jest mierzenie temperatury pracowników i interesantów, a zatem również korzystanie z kamer termowizyjnych.

Czy kamery termowizyjne mogą być wykorzystywane w celu pomiaru temperatury ciała personelu w innych miejscach pracy niż zakłady przemysłowe, takich jak biura, placówki handlowe i usługowe?

Tak, pomiar temperatury ciała przy wykorzystaniu kamer termowizyjny stanowi działanie zgodne z prawem. Jest obecnie niezbędne w celu zapewnienia pracownikom przez pracodawcę bezpiecznych i higienicznych warunków pracy.

Na jakiej podstawie prawnej można korzystać z kamer termowizyjnych w celu pomiaru temperatury ciała?

W przypadku stosowania kamer termowizyjnych w zakładach przemysłowych podstawą prawną przetwarzania szczególnej kategorii danych osobowych dotyczących temperatury ciała danej osoby jest art. 9 ust. 2 lit i. RODO w zw. z art. 8a ust. 5 pkt 2 i ust. 8 ustawy z dnia 14 marca 1985 r. o Państwowej Inspekcji Sanitarnej (Dz.U. z 2019 r. poz. 59 oraz z 2020 r. poz. 322) oraz wydane dotychczas na ich podstawie wytyczne Głównego Inspektora Sanitarnego.

W przypadku pozostałych zakładów pracy podstawą prawną będzie art. 9 ust. 2 lit. b RODO w zw. z art. 207 § 1 i 2 Kodeksu pracy.

Na jakiej podstawie prawnej można stosować kamery w szkołach, urzędach lub innych budynkach użyteczności publicznej?

Szkoły, urzędy lub inne budynki użyteczności publicznej stanowią niemal zawsze zakłady pracy. W przypadku zakładów pracy podstawą prawną korzystania z kamer termowizyjnych w celu badania temperatury ciała jest art. 9 ust. 2 lit. b RODO w zw. z art. 207 § 1 i 2 Kodeksu pracy.

Czy mogę zapisywać dane dotyczące temperatury?

Co do zasady nie powinieneś zapisywać danych dotyczących temperatury ciała badanych osób. Takie działanie nie będzie zgodne z celem, dla którego wykonywane są pomiary temperatury. Przepisy RODO wymagają ograniczenia celu przetwarzania oraz minimalizację danych, tj. aby ich przetwarzanie było adekwatne, stosowne oraz ograniczone do tego, co niezbędne dla realizacji uzasadnionego prawnie celu.

Przechowywane danych w formie umożliwiającej identyfikację danej osoby może odbywać się przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane. Jeżeli dokonana zostanie tzw. anonimizacja danych lub zostaną one zagregowane np. dla celów statystycznych w taki sposób, że nie jest już możliwa identyfikacja i przypisanie danych określonym osobom (nawet pośrednio), to nie będą one już stanowić danych osobowych i mogą być przechowywane bez ograniczeń.

Czy muszę informować o monitoringu termowizyjnym?

Jest to zawsze zalecane m.in. z uwagi na ograniczenie ryzyka naruszenia dóbr osobistych danej osoby w przypadku ew. konieczności interwencji służb porządkowych. Jeżeli w ramach monitoringu dochodzi do przetwarzania danych osobowych w rozumieniu RODO, to obowiązek taki wynika z przepisów prawa (tzw. obowiązki notyfikacyjne). Podstawowym obowiązkiem administratora danych osobowych jest przekazanie osobie, której dane dotyczą szeregu informacji dotyczący w szczególności sposobu i celu przetwarzania oraz posiadanych praw.

Jak w takim razie powinno odbywać się informowanie o monitoringu termowizyjnym?

W przypadku monitoringu zalecane jest zastosowanie tzw. „podejścia warstwowego”. Polega ono na oznaczeniu monitowanego miejsca wyraźnymi tablicami przedstawiającymi wyłącznie podstawowe dane (pierwsza warstwa) oraz pozostawienie dalszych informacji w innym miejscu (druga warstwa). Informacje z „drugiej warstwy” mogą być udostępnione np. w recepcji, czy na tabliczce, na której treść będzie sporządzona mniejszą czcionką lub na stronie internetowej do której link, np. w postaci kodu QR znajdować się będzie na tablicy z podstawowymi informacjami.

Przy projektowaniu tablicy informacyjnej można posłużyć się np. rekomendowanym wzorem rozpowszechnionym w Wytycznych 3/2019 w sprawie przetwarzania danych osobowych za pomocą urządzeń wideo z 29 stycznia 2020 r. dostępnych na stronie internetowej Europejskiej Rady Ochrony Danych lub polskiego Urzędu Ochrony Danych Osobowych.

Czy istnieją inne szczególne obowiązki jakie muszę wypełnić, aby korzystać z kamer termowizyjnych?

Jeżeli monitoring łączy się z przetwarzaniem danych osobowych, to administrator danych (oraz podmioty przetwarzające dane na jego zlecenie) podlega wszystkim obowiązkom wynikającym z RODO na ogólnych zasadach przy uwzględnieniu szczególnego charakteru danych dotyczących temperatury jako danych związanych ze stanem zdrowia.

W przypadku systematycznego monitorowania na dużą skalę miejsc dostępnych publicznie niezbędne będzie ponadto sporządzenie formalnej oceny skutków oceny skutków monitoringu dla ochrony danych osobowych na podstawie właściwych przepisów RODO.

Czy stosowanie kamer termowizyjnych nie narusza dóbr osobistych?

Ochrona dóbr osobistych udzielana jest po spełnieniu następujących trzech podstawowych przesłanek:

• istnienie dobra osobistego,
• naruszenie lub zagrożenie dobra osobistego oraz
• bezprawność działania, które naruszyło lub zagroziło dobru osobistemu.

Wizerunek rejestrowany przez monitoring wizyjny stanowi jedno z dóbr osobistych wymienionych wprost w przepisach prawa. Dobro osobiste w postaci wizerunku najczęściej doznaje naruszenia w zbiegu z naruszeniem innych dóbr osobistych – przedstawienie informacji naruszających cześć zewnętrzną lub prawo do prywatności.

Zważywszy na wykładnię przepisów przyjmowaną przez polskie sądy oraz zakładając, że obraz wizyjny z kamer nie będzie rozpowszechniany (upubliczniany), korzystanie z kamer termowizyjnych co do zasady nie będzie naruszać dóbr osobistych.

Czy stosowanie kamer termowizyjnych nie narusza prawa do wizerunku?

Zgodnie z właściwymi przepisami prawa autorskiego ochrona prawna wizerunku dotyczy wyłącznie jego rozpowszechniania (wówczas co do zasady wymagane jest zezwolenia osoby przedstawionej). Dobrem chronionym jest wolność decydowania danej osoby czy i w jakich okolicznościach jej wizerunek może być rozpowszechniony.

Rozpowszechnienie rozumiane jest jako prezentowanie wizerunku nieokreślonemu kręgowi osób (publiczne udostępnienie) za pomocą dowolnego środka przekazu, w tym za pośrednictwem sieci Internet (nawet jeżeli nie towarzyszy temu rejestracja obrazu). Jeżeli obraz nie będzie rozpowszechniany (upubliczniany), to korzystanie z kamer termowizyjnych (jak również monitoringu wizyjnego) nie wymaga zezwolenia osób na nim przedstawionych.

Co właściwie regulują przepisy o ochronie danych osobowych?

Przepisy o ochronie danych osobowych, w szczególności rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r., tzw. ogólne rozporządzenie o ochronie danych (znane potocznie jako „RODO”) dotyczą ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przy uwzględnieniu swobodnego przepływu tych danych. RODO zarówno chroni podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do ochrony danych osobowych, jak i nie ogranicza ani nie zakazuje swobodnego przepływu danych osobowych na terenie Unii Europejskiej.

Należy pamiętać, że RODO ma zastosowanie wyłącznie do:

• przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz
• do przetwarzania danych osobowych w sposób inny niż zautomatyzowany tylko wówczas, gdy stanowią one część zbioru danych (lub mają stanowić część takiego zbioru). Ponadto zbiory danych, które nie są uporządkowane według określonych kryteriów nie są objęte zakresem RODO.

Czy informacje o temperaturze ciała to dane osobowe?

Dane osobowe to wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Aby jednak mówić w kontekście określonych informacji, iż stanowią dane osobowe, musi istnieć uzasadnione prawdopodobieństwo ich połączenia z konkretną osobą przy uwzględnieniu m.in. technologii, kosztu i czasu potrzebnego do dokonania takiej identyfikacji. Identyfikacja danej osoby może mieć również charakter pośredni, tj. w oparciu o inne dane dotyczące te osoby takie jak przykładowo: imię i nazwisko, PESEL lub NIP, dane geolokalizacji, identyfikator internetowy lub nawet określone cechy szczególne określające tożsamość człowieka.

Sama informacja o temperaturze ciała w postaci wskazania kamery termowizyjnej wyposażonej w taką funkcjonalność nie może być uznana za dane osobowe, o ile w danych okolicznościach przypisanie tej informacji konkretnej osobie nie jest (nawet pośrednio) możliwe. Jeżeli natomiast informacje o temperaturze ciała dotyczą konkretnej zidentyfikowane osoby, to będą stanowić dane osobowe w rozumieniu RODO.

Zgodnie z RODO, dane osobowe dotyczące temperatury ciała stanowią szczególną kategorią danych związaną ze stanem zdrowia badanej osoby. Dane dotyczące zdrowia są interpretowane szeroko obejmując nawet informacje, które stają się danymi dotyczącymi zdrowia ze względu na ich wykorzystanie w określonym kontekście. Informacja o temperaturze ciała, w szczególności generowana w ramach działań podejmowanych w celu ograniczania rozprzestrzeniania się wirusa SARS-CoV-2 poprzez wykrywanie osób potencjalnych chorych – musi zostać uznana za informację dotyczącą zdrowia.

Kiedy można mówić o przetwarzaniu danych osobowych?

RODO definiuje „przetwarzanie” jako operację (lub zestaw operacji) wykonywanych na danych osobowych lub zestawach danych osobowych. „Operacja na danych” to m.in. zbieranie danych, ich utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie, etc. Przetwarzanie może być wykonywane zarówno w sposób zautomatyzowany, jak i niezautomatyzowany (tj. manualnie).

Czy monitoring zawsze oznacza przetwarzanie danych osobowych dotyczących wizerunku?

Jeżeli monitoring prowadzony jest za pomocą przemysłowego systemu wizyjnego którego funkcją jest automatyczna analiza otoczenia (na podobieństwo zmysłu wzroku u ludzi), to w sensie informatycznym następuje przetworzenie fal elektromagnetycznych światła widzialnego (lub fal elektromagnetycznych o innej częstotliwości, np. podczerwieni) w sygnał cyfrowy. Taki sygnał może zostać następnie odczytany i wyświetlony na ekranie monitora. W przypadku gdy przetwarzany sygnał wizualny obejmuje podobiznę osoby, rozumianą jako dostrzegalne zewnętrznie fizyczne cechy człowieka, (tj. jego wygląd), można mówić o obrazowaniu wizerunku. Wizerunek co do zasady będzie stanowił dane osobowe, gdyż naturalnie stanowi podstawowy sposób identyfikacji tożsamości określonej osoby.

W dokumencie pt. „Wskazówki Prezesa Urzędu Ochrony Danych Osobowych dotyczące wykorzystywania monitoringu wizyjnego” (dostępne pod adresem: https://uodo.gov.pl/pl/138/354), wydanym przez Prezes Urzędu Ochrony Danych Osobowych na podstawie art. 57 ust. 1 lit. d RODO jako oficjalny materiał edukacyjny, wskazano m.in. (pkt 11, str.23), że: „Nie zawsze monitoring wizyjny wiąże się z przetwarzaniem danych osobowych. Rozporządzenie 2016/679 i krajowe przepisy szczególne można zastosować do monitoringu, jeśli jest on wykorzystywany w celu przetwarzania danych osobowych.

Jeżeli monitoring służy jedynie do podglądu danego miejsca, a nagranie nie jest zachowywane na twardym dysku komputera czy innym nośniku, to wówczas trudno mówić o przetwarzaniu danych osobowych. Z danymi osobowymi mamy do czynienia wówczas, gdy obraz z kamer zawiera wizerunki osób i jest utrwalony w systemie monitoringu na nośnikach danych.”

Opierając się na powyższym stanowisku można uznać, że monitoring wizyjny bez rejestrowania obrazu nie stanowi sposobu przetwarzania danych osobowych. Z kolei monitoring, któremu towarzyszy nagrywanie (rejestrowanie) sygnału jest co do zasady uznawany przez organy ochrony danych osobowych za formę inwazyjnego przetwarzania danych osobowych. Jeżeli system monitoringu wyposażony jest w narzędzia do analizy obrazu i automatycznej detekcji twarzy oraz przypisania wizerunku do zbioru danych osobowych, mamy do czynienia z przetwarzaniem danych biometrycznych podlegającemu szczególnym zasadom (tzw. „dane wrażliwe”).

Czy pomiar temperatury ciała przy pomocy kamer termowizyjnych łączy się z przetwarzaniem danych osobowych?

Badanie temperatury ciała przy wykorzystaniu kamer termowizyjnych, którego wyniki nie mogą być przypisane zidentyfikowanej lub możliwej do zidentyfikowania osobie, nie łączy się z przetwarzaniem danych osobowych i nie podlega ograniczeniom wynikającym z przepisów o ochronie danych osobowych. Taka sytuacja może wystąpić w szczególności wówczas, gdy obraz z kamery termowizyjnej nie pozwala na rozpoznanie tożsamości określonych osób lub nie podlega rejestracji.

Pomiar temperatury ciała przy wykorzystaniu kamer termowizyjnych może natomiast stanowić sposób przetwarzania danych osobowych jeżeli wyniki pomiaru mogą być przypisane określonej osobie – zidentyfikowanej lub możliwej do zidentyfikowania w danych okolicznościach, np. przy pomocy niezależnego (równoległego lub zintegrowanego ) monitoringu wizyjnego, kontroli monitorowanego wejścia za pomocą kart magnetycznych, obserwacji monitorowanego obszaru przez personel legitymujący osoby utrwalający dane na temat ruchu.

Czy przetwarzanie danych osobowych dotyczących temperatury ciała jest możliwe w świetle przepisów RODO?

Jeżeli monitoring łączy się z przetwarzaniem danych osobowych (np. gdy sygnał jest rejestrowany lub występują inne narzędzia umożliwiające zidentyfikowanie danej osoby), niezbędne jest istnienie podstawy prawnej dla przetwarzania szczególnej kategorii danych związanej ze stanem zdrowia badanej osoby. Takie podstawy prawnej zawarte są zamkniętym katalogu wyjątków, gdyż w świetle RODO co do zasady przetwarzanie szczególnych kategorii danych jest zabronione.

Jakie są zatem wyjątki?

Należy do nich m.in. przetwarzanie niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą w dziedzinie prawa pracy oraz sytuacja, gdy przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, a osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody.

Inną podstawą prawną, która znajdzie szerokie zastosowanie w związku ze zapobieganiem rozprzestrzeniania i prewencją zakażeń podczas pandemii COVID-19 jest przetwarzanie niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego. RODO wymaga jednak w tym przypadku istnienia w prawie Unii lub w prawie państwa członkowskiego szczególnych regulacji umożliwiających przetwarzanie danych osobowych w ramach tego wyjątku.

Czy w polskim prawie pojawiły się takie przepisy regulujące?

Na podstawie przepisów szczególnych (tzw. „specustawa”) mających na celu przeciwdziałanie COVID-19, organy Państwowej Inspekcji Sanitarnej zyskały uprawnienie do wydawania wiążących zaleceń i wytycznych określających sposób postępowania w trakcie realizacji zadań w przypadku stanu zagrożenia epidemicznego, stanu epidemii albo w razie niebezpieczeństwa szerzenia się zakażenia lub choroby zakaźnej, które może stanowić zagrożenie dla zdrowia publicznego. Wszystkie osoby przebywające na terytorium Rzeczypospolitej Polskiej są obowiązane do stosowania się do ww. zaleceń i wytycznych.