Podstawa prawna konieczna dla wykazania legalności rejestracji dźwięku

Rejestrowanie dźwięku, jako ingerencja w prywatność, wymaga jasnej podstawy prawnej. Prezes UODO zajął stanowisko w sprawie rejestrowania dźwięku przez Ośrodek dla Osób Nietrzeźwych, uzasadniając decyzję administracyjną na podstawie przepisów prawa krajowego i europejskiego. W toku postępowania stwierdzono naruszenie przepisów o ochronie danych osobowych związane z utrwalaniem dźwięku w systemie monitoringu. Decyzja organu nadzorczego została poparta argumentacją prawną i wytycznymi dotyczącymi przetwarzania danych osobowych przez urządzenia audio.

Tematyka: rejestracja dźwięku, ochrona danych osobowych, monitorowanie, przetwarzanie danych osobowych, prawo do prywatności, Prezes UODO, kara administracyjna, wytyczne ochrony danych osobowych

Rejestrowanie dźwięku, jako działanie dalece ingerujące w sferę prywatności, może odbywać się tylko na
podstawie przepisu prawa, wyraźnie przyznającego uprawnienie do takiego przetwarzania danych
osobowych. Prawo do takiej rejestracji musi być wprost określone w konkretnych przepisach prawa i nie
może być wynikiem domniemania, czy wykładni rozszerzającej przepisu.
Stan faktyczny
Prezes UODO został poinformowany o praktykach stosowanych przez Stołeczny Ośrodek dla Osób Nietrzeźwych
z siedzibą w Warszawie (dalej: „Ośrodek”, „Administrator”). Ośrodkowi zarzucono pozbawione podstawy prawnej
rejestrowanie dźwięku na terenie placówki za pośrednictwem zainstalowanego systemu monitoringu.
Prezes UODO zwrócił się do Ośrodka o zajęcie stanowiska w związku z zawiadomieniem. Ośrodek wskazał
podstawy prawne przetwarzania danych osobowych dokonywane przez monitoring (obraz/dźwięk) tj.: przepisy
ustawy z 26.10.1982 r. o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi (Dz.U. z 2021 r. poz. 1119;
dalej: AlkU) i aktów wykonawczych do AlkU oraz art. 6 ust. 1 w zw. z art. 9 ust. 2 lit. b, c i z art. 3 ust. 2 lit. b i art. 4
pkt 2 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób
fizycznych w związku przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz
uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L Nr 119, s. 1; dalej: rozporządzenie 2016/679). W toku postępowania
wskazano dodatkowo na art. 6 ust. 1 lit. c, d i e rozporządzenia 2016/679.
W tych okolicznościach wszczęto z urzędu postępowanie administracyjne w sprawie naruszenia przepisów
o ochronie danych osobowych w związku z przetwarzaniem danych osobowych w rozumieniu rozporządzenia
2016/679. Przedmiotem postępowania uczyniono naruszenie przez Ośrodek, przepisów art. 5 ust. 1 lit a oraz art. 6
ust. 1 rozporządzenia 2016/679 wobec przetwarzania danych osobowych związanych z utrwalaniem dźwięku
w ramach zainstalowanego systemu monitoringu.
Rozstrzygnięcie i argumentacja prawna
Prezes UODO wydał decyzję administracyjną, w której stwierdził naruszenie przez Administratora przepisu art. 5 ust.
1 lit a rozporządzenia 2016/679, tj. zasadę zgodności z prawem przetwarzania danych osobowych oraz art. 6 ust. 1
rozporządzenia 2016/679 przez utrwalanie dźwięku w ramach zainstalowanego systemu monitoringu tj.
przetwarzanie bez podstawy prawnej danych osobowych w zakresie nagrań dźwięku dokonanego na terenie
placówki Administratora.
W związku z naruszeniem przepisów rozporządzenia 2016/679, została nałożona kara administracyjna w wysokości
10.000 złotych.
Uzasadniając decyzję organ wskazał, że w sprawie kluczowe było określenie, czy przetwarzanie danych
osobowych w tym zakresie odbywało się bez podstawy prawnej wobec tego, że fakt nagrywania dźwięku był
bezsporny. Prezes UODO wskazał, że zasady przetwarzania danych w ramach monitoringu w miejscach takich jak
Ośrodek nie mogą budzić wątpliwości. Organ nadzorczy w uzasadnieniu dokonał wykładni przepisów AlkU
w zakresie tego, czy pomieszczenia Ośrodka powinny być wyposażone w monitoring utrwalający wyłącznie obraz,
czy jednocześnie obraz i dźwięk.
Wykładnia językowa przepisów, jak i wykładnia porównawcza przeprowadzona przez porównanie aktu
wykonawczego wydanego na podstawie art. 15 ust. 10 ustawy z 6.4.1990 r. o Policji (Dz.U. z 2021 r. poz. 1882;
dalej: PolicjaU) wskazuje, że monitoring prowadzony w Ośrodku może ograniczać się tylko i wyłącznie do obrazu.
Porównanie tych regulacji, jest zasadne z uwagi na jednakowe cele, które realizują jednostki samorządu
terytorialnego tworzące izby wytrzeźwień i Policja. W zakresie świadczeń dla tych osób jednostki te pełnią tę samą
rolę. W pomieszczeniach budynku Policji, policjanci mają prawo obserwowania i rejestrowania przy użyciu środków
technicznych obrazu (art. 15 ust. 1 pkt 4a PolicjaU).
Prezes UODO wskazał w decyzji podstawy prawne rejestracji dźwięku w innych miejscach, w których pobyt osób
nie ma charakteru dobrowolnego. Przywołano przepisy ustawy z 6.6.1997 r. Kodeks karny wykonawczy (Dz.U.
z 2021 r. poz. 53; dalej: KKW) oraz przepisy regulujące pracę służb. I tak w art. 73a § 1 KKW, art. 116 § 5a KKW, art.
212b § 1 KKW, ustawodawca wprost wskazał na monitorowanie przez utrwalenie obrazu i dźwięku. Zatem, jak
wynika z przywołanych przepisów, ustawodawca wskazuje wprost w normie prawnej na możliwość utrwalania
w ramach monitoringu nie tylko obrazu ale i dźwięku. Dlatego brak regulacji w odpowiednich przepisach możliwości
utrwalenia dźwięku przez podmioty takie jak Administrator, prowadzi do wniosku, że nie mają one prawa do takiego
przetwarzania danych osobowych. W decyzji Prezes UODO podkreślił, że rejestrowanie dźwięku to uprawnienie,

które jest w prawie krajowym zastrzeżone dla służb. Prawo do takiej rejestracji zostało wprost określone
w konkretnych przepisach prawa, co wskazuje na zakaz rozszerzającej interpretacji przepisów AlkU.
Prezes UODO powołał się na Wytyczne Europejskiej Rady Ochrony Danych Osobowych określonych w „Wytycznych
3/19 w sprawie przetwarzania danych osobowych przez urządzenia audio” Wersja 2.0, przyjętej w dniu 29.1.2020 r.
(dalej: „Wytyczne”). Wynika z ich, że zapis audiowizualny stanowi większą formę ingerencji w prywatność niż sam
obraz. Wytyczne wskazują, że administrator przy wybieraniu rozwiązań technicznych prowadzonego monitoringu nie
powinien wybierać rozwiązań zawierających funkcje, które nie są niezbędne.
Nagrywanie głosów osób będących w Ośrodku zostało ocenione jako działanie nadmiarowe, niecelowe i nie
znajdujące rzeczywistego uzasadnienia. Prezes UODO wskazał, że z ustawy AlkU wynika, że Ośrodek ma prawo do
stosowania monitoringu jedynie w zakresie rejestracji obrazu. Ośrodek instalując w na swoim terenie urządzenia do
monitoringu w postaci kamer oraz mikrofonów powinien dysponować przesłanką dopuszczającą nie tylko nagrywanie
obrazu, ale również dźwięku.
Z tych względów za bezzasadną uznano podstawę prawną do przetwarzania dźwięku wskazaną przez
Administratora tj. art. 6 ust. 1 czy art. 9 ust. 1 lit. b i c rozporządzenia 2016/679. Przetwarzanie danych osobowych
przez Ośrodek w zakresie nagrywania dźwięku nie jest niezbędne dla wypełnienia obowiązków i wykonywania
szczególnych praw przez Administratora lub osobę, której dane dotyczą, a także nie jest niezbędne do ochrony
żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej - fizycznie lub prawnie niezdolnych do
wyrażenia zgody.
Wysokość administracyjnej kary pieniężnej
Przy ustalaniu wysokości kary Prezes UODO wziął pod uwagę okoliczności sprawy wpływające obciążająco na
wymiar kary finansowej tj. charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu/celu
przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody.
Prezes UODO ocenił, że naruszenie ma dużą wagę i poważny charakter (naruszenia zasady legalności
przetwarzania) oraz było długotrwałe (od maja 2018 r. do grudnia 2021 r.), przez co dotyczyło potencjalnie bardzo
dużej liczby osób. Jako okoliczność obciążającą uwzględniono też umyślny charakter naruszenia. Prezes UODO
uwzględnił również okoliczność łagodzącą, mającą wpływ na ostateczny wymiar kary, tj. stopień współpracy
z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków.

Komentarz
Decyzja Prezesa UODO jest słuszna i odpowiada prawu. Prezes UODO wskazał, że nagrywanie dźwięku, które
dalece ingeruje w sferę prywatności jednostki chronione Konstytucją RP, może odbywać się tylko i wyłącznie na
podstawie przepisu prawa. Zatem, aby przetwarzanie danych osobowych w postaci rejestracji dźwięku było zgodne
z prawem, konieczne jest wykazanie podstawy prawnej przetwarzania, w postaci wskazania konkretnej normy
kreującej takie uprawnienie dla danego podmiotu.
Prezes UODO przedstawił swoją argumentację, odnosząc się do każdego z przepisów (zwłaszcza art. 9 ust. 2 lit. b
i c dyrektywy 2016/697) powołanych przez Administratora i przez wykładnię przepisów porządku krajowego orzekł,
że przetwarzanie danych osobowych w zakresie nagrywania dźwięku nie jest niezbędne dla ani dla wypełnienia
obowiązków i wykonywania szczególnych praw przez Administratora lub osobę, której dane dotyczą, ani nie jest
niezbędne do ochrony żywotnych interesów osoby, której dotyczą lub innej osoby fizycznej. Należy się z tym zgodzić,
nie tylko dlatego, że prowadzi do tego wniosku wykładnia językowa i porównawcza przepisów krajowych,
wskazanych w uzasadnieniu decyzji, ale przede wszystkim dlatego, że art. 9 ust. 2 lit. b, c dyrektywy 2016/697
wskazuje przesłanki zastosowania jako wyjątek od zasady zamieszczonej w art. 9 ust. 1 rozporządzenia 2016/697
a wprowadzającej zakaz przetwarzania szczególnych kategorii danych (wrażliwych). Natomiast wszelkie wyjątki nie
podlegają wykładni rozszerzającej ale muszą być rozumiane ściśle.
W dalszej kolejności Prezes UODO, odnosząc się do później przywołanych przez Administratora przepisów art. 6 ust.
1 lit. c, d i e rozporządzenia 2016/679, wskazał: „w niniejszej sprawie Administrator nie może powołać się na żadną
z przesłanek wymienionych w art. 6 ust. 1 rozporządzenia 2016/679, a w szczególności na wskazaną w art. 6 ust. 1
lit. c) (..). Jak bowiem wykazano wyżej, żaden z przepisów regulujących kwestie związane z działalnością Ośrodka
nie pozwala na nagrywanie przez niego w ramach monitoringu tego typu danych (dźwięk). Na tej podstawie
stwierdzić również należy, że przesłanka wskazana w art. 6 ust. 1 lit. e) rozporządzenia 2016/679 nie może być
zastosowana. Pozostałe przesłanki dopuszczalności przetwarzania danych osobowych wymienione w art. 6 ust. 1
rozporządzenia 2016/679 z uwagi na ich charakter nie mogą stanowić podstawy przetwarzania danych osobowych
w niniejszej sprawie.”
Wskazać należy na słuszność powyższego, natomiast argument przemawiający za prawidłowością tezy
końcowej, a mianowicie, że konkretna norma prawna musi wyraźnie kreować prawo do takiego przetwarzania
danych wynika z art. 6 ust. 3 zdanie 1 rozporządzenia 2016/697. Stanowi on o końcowym wniosku
wypływającym z decyzji, że „podstawa przetwarzania, o którym mowa w ust. 1 lit. c i e) musi być określona:
a) w prawie Unii; lub b) w prawie państwa członkowskiego, któremu podlega administrator."

Decyzja Prezesa UODO z 31.5.2022 r., DKN.5131.51.2021

Decyzja Prezesa UODO potwierdza konieczność posiadania jasnej podstawy prawnej do rejestrowania dźwięku, zgodnie z przepisami prawa. Kara administracyjna nałożona na Administratora wynosiła 10.000 złotych. Prezes UODO uzasadnił swoją decyzję, odnosząc się do przepisów prawa krajowego i europejskiego oraz wytycznych dotyczących przetwarzania danych osobowych przez urządzenia audio.