Zanim kamera zostanie zamontowana, warto wiedzieć, co RODO wymaga od właściciela firmy prowadzącego monitoring wizyjny. Nie chodzi o prawniczy wykład, tylko o kilka konkretnych decyzji: po co nagrywasz, jak długo przechowujesz nagrania, kto ma do nich dostęp i co musisz powiedzieć pracownikom oraz klientom. Ten poradnik nie zastępuje indywidualnej porady prawnej, ale pomaga technicznie przygotować się do rozmowy z instalatorem i prawnikiem.
Krótka odpowiedź: co RODO wymaga od firmy prowadzącej monitoring?
Jeśli szukasz szybkiej odpowiedzi: monitoring wizyjny w firmie jest możliwy i legalny, ale wymaga kilku konkretnych kroków przed uruchomieniem kamer.
Najważniejsze z nich to:
- Określenie celu – po co nagrywasz (ochrona mienia, bezpieczeństwo pracowników, kontrola dostępu).
- Ustalenie retencji – jak długo przechowujesz nagrania (zazwyczaj nie dłużej niż jest to konieczne, w praktyce często 14–30 dni).
- Poinformowanie osób nagrywanych – pracownicy muszą wiedzieć o monitoringu przed podjęciem pracy, klienci i goście powinni widzieć czytelne tabliczki przy wejściu.
- Ograniczenie zasięgu kamer – kamery nie powinny nagrywać miejsc, gdzie pracownicy mają uzasadnione oczekiwanie prywatności (toalety, szatnie, pomieszczenia socjalne).
- Zabezpieczenie dostępu do nagrań – tylko uprawnione osoby mogą przeglądać nagrania i tylko w uzasadnionych przypadkach.
To jest minimum. Szczegóły zależą od rodzaju firmy, liczby pracowników, lokalizacji kamer i celu monitoringu. Dlatego zawsze warto skonsultować się z prawnikiem lub inspektorem ochrony danych – szczególnie przy większych obiektach lub gdy monitoring obejmuje pracowników.
> Ważna uwaga: Ten poradnik ma charakter wyłącznie informacyjny i techniczny. Nie stanowi porady prawnej ani interpretacji przepisów RODO. W razie wątpliwości skonsultuj się z prawnikiem lub inspektorem ochrony danych osobowych.
Dlaczego RODO dotyczy monitoringu wizyjnego?
Nagranie z kamery, na którym widać twarz człowieka, jest danymi osobowymi w rozumieniu RODO. Oznacza to, że firma prowadząca monitoring jest administratorem danych osobowych i musi spełniać wymagania rozporządzenia – niezależnie od tego, czy zatrudnia 2 osoby, czy 200.
Nie chodzi o to, żeby zniechęcić do monitoringu. Wręcz przeciwnie – dobrze zaprojektowany system wizyjny, który spełnia wymogi RODO, jest bezpieczniejszy dla firmy z kilku powodów:
- Chroni właściciela przed roszczeniami pracowników lub klientów.
- Pozwala legalnie korzystać z nagrań jako dowodów w razie incydentu.
- Ogranicza ryzyko kontroli ze strony Urzędu Ochrony Danych Osobowych (UODO).
- Buduje zaufanie wśród pracowników i kontrahentów.
Problem pojawia się wtedy, gdy kamera jest montowana bez żadnego przemyślenia: bez celu, bez tabliczek, bez ustalonej retencji i bez wiedzy pracowników. Taki monitoring jest nie tylko ryzykowny prawnie, ale też trudniejszy do obrony w razie sporu.
Krok 1: Określ cel monitoringu – to fundament wszystkiego
RODO wymaga, żeby każde przetwarzanie danych miało konkretny, uzasadniony cel. W przypadku monitoringu firmowego najczęstsze cele to:
- Ochrona mienia – zabezpieczenie magazynu, parkingu, placu, wejść do budynku.
- Bezpieczeństwo pracowników i klientów – monitorowanie stref zagrożenia, wejść, kas.
- Kontrola dostępu – rejestrowanie, kto wchodzi i wychodzi z obiektu lub jego części.
- Prewencja i dokumentacja zdarzeń – możliwość weryfikacji incydentów po fakcie.
Cel musi być realny i proporcjonalny. Nie można montować kamer „na wszelki wypadek" albo w celu ciągłej obserwacji wydajności pracowników – to budzi poważne wątpliwości prawne.
Praktyczna wskazówka: Zanim zamówisz projekt monitoringu, zapisz sobie odpowiedź na pytanie: „Po co mi te kamery i co chcę dzięki nim osiągnąć?". To zdanie będzie fundamentem całej dokumentacji RODO i pomoże też instalatorowi dobrać właściwe miejsca montażu oraz konfigurację systemu.
Krok 2: Zdecyduj, jak długo przechowujesz nagrania
Retencja nagrań, czyli czas przechowywania, to jeden z najczęściej pomijanych elementów. RODO mówi, że dane nie powinny być przechowywane dłużej, niż jest to niezbędne do realizacji celu.
W praktyce dla monitoringu firmowego oznacza to:
- Standardowo: 14–30 dni – to najczęściej stosowany zakres, który daje czas na wykrycie incydentu i zabezpieczenie nagrania.
- Dłużej – tylko z uzasadnieniem – jeśli np. prowadzisz obiekt o podwyższonym ryzyku lub wymagają tego przepisy branżowe, możliwe jest dłuższe przechowywanie, ale wymaga to udokumentowania powodu.
- Nie „na zawsze" – brak polityki retencji to jeden z najczęstszych błędów i realne ryzyko przy kontroli UODO.
Od strony technicznej retencja zależy od pojemności dysków w rejestratorze, liczby kamer, rozdzielczości nagrań i ustawień kompresji. Dobry instalator powinien obliczyć, ile miejsca potrzebujesz na wybrany okres retencji, i dobrać odpowiedni rejestrator oraz dyski.
Jeśli masz już działający monitoring i nie wiesz, jak długo przechowuje nagrania – sprawdź ustawienia rejestratora lub zapytaj instalatora. To ważne zarówno z punktu widzenia RODO, jak i praktycznego bezpieczeństwa.
Krok 3: Poinformuj pracowników i klientów – tabliczki to nie formalność
Osoby przebywające na terenie monitorowanym muszą wiedzieć, że są nagrywane. To jeden z podstawowych obowiązków administratora danych.
Pracownicy: Informacja o monitoringu powinna być przekazana przed podjęciem pracy – najlepiej w formie pisemnej, np. jako załącznik do umowy lub osobny dokument. Pracownicy powinni wiedzieć, gdzie są kamery, w jakim celu i jak długo nagrania są przechowywane.
Klienci, goście, dostawcy: Osoby wchodzące na teren firmy powinny być informowane przez czytelne tabliczki lub naklejki przy wejściach do monitorowanych stref. Tabliczka powinna zawierać co najmniej:
- informację, że teren jest objęty monitoringiem wizyjnym,
- dane administratora danych (nazwa firmy),
- cel monitoringu,
- kontakt do administratora lub inspektora ochrony danych (jeśli jest wyznaczony).
Często spotykane błędy to: brak tabliczek w ogóle, tabliczki wyłącznie przy wejściu głównym przy jednoczesnym monitorowaniu bocznych wejść i parkingu, albo tabliczki bez danych administratora.
Ważne: Tabliczka przy wejściu to minimum. Przy bardziej rozbudowanych systemach lub gdy monitoring obejmuje pracowników, warto przygotować pełną klauzulę informacyjną zgodną z art. 13 RODO. Tu niezbędna jest konsultacja z prawnikiem.
Krok 4: Ogranicz zasięg kamer do tego, co konieczne
Zasada minimalizacji danych w RODO oznacza, że kamery powinny nagrywać tylko to, co jest niezbędne do realizacji celu. W praktyce:
- Nie nagrywaj toalet, szatni i pomieszczeń socjalnych – to obszary, gdzie pracownicy mają uzasadnione oczekiwanie prywatności. Monitoring w tych miejscach jest co do zasady niedopuszczalny.
- Uważaj z kamerami skierowanymi na stanowiska pracy – monitoring wydajności pracowników jest możliwy tylko w wyjątkowych, uzasadnionych przypadkach i wymaga szczególnej podstawy prawnej.
- Ogranicz zasięg do terenu własnego – kamera przy bramie nie powinna nagrywać chodnika publicznego ani posesji sąsiada. Jeśli zasięg obejmuje przestrzeń publiczną, wymaga to dodatkowego uzasadnienia.
- Rozważ maski prywatności – nowoczesne rejestratory IP pozwalają na zakrycie wybranych obszarów w obrazie kamery (np. okna sąsiedniego budynku). To proste narzędzie techniczne, które pomaga ograniczyć zasięg nagrywania.
Dobry projekt monitoringu uwzględnia te ograniczenia już na etapie planowania – zanim pojawi się instalator z wiertarką. Zmiana zasięgu po montażu jest możliwa, ale kosztowna i czasochłonna.
Krok 5: Zabezpiecz dostęp do nagrań
Nagrania z monitoringu to dane osobowe, więc dostęp do nich powinien być ograniczony do osób, które mają ku temu uzasadniony powód. W praktyce oznacza to:
- Hasła do rejestratora i aplikacji mobilnej – nie mogą być domyślne (np. `admin/admin`). Każda osoba mająca dostęp powinna mieć własne dane logowania lub dostęp powinien być kontrolowany.
- Ewidencja dostępu – przy większych systemach warto prowadzić rejestr, kto i kiedy przeglądał nagrania oraz w jakim celu.
- Bezpieczny zdalny dostęp – jeśli korzystasz z podglądu przez telefon lub komputer, upewnij się, że połączenie jest szyfrowane. Otwarte porty bez odpowiednich zabezpieczeń to ryzyko zarówno dla danych, jak i dla bezpieczeństwa całej sieci firmowej.
- Procedura wydawania nagrań – jeśli policja, sąd lub inna uprawniona instytucja zażąda nagrania, powinieneś wiedzieć, jak je zabezpieczyć i komu przekazać.
Od strony technicznej bezpieczeństwo dostępu do monitoringu to temat, który wykracza poza samo RODO – dotyczy też cyberbezpieczeństwa firmy. Rejestratory podłączone do sieci bez odpowiedniej konfiguracji mogą być podatne na ataki z zewnątrz.
Jeśli planujesz monitoring firmy w Bielsku-Białej, chętnie omówimy kwestię bezpiecznego dostępu do systemu już na etapie projektu.
Co z monitoringiem pracowników? Kilka słów o szczególnym przypadku
Monitoring pracowników to temat, który wymaga szczególnej ostrożności. Kodeks pracy (art. 222–223) reguluje tę kwestię odrębnie od ogólnych przepisów RODO i nakłada dodatkowe obowiązki na pracodawcę.
Najważniejsze zasady:
- Monitoring może być stosowany tylko wtedy, gdy jest niezbędny do zapewnienia bezpieczeństwa pracowników, ochrony mienia lub kontroli produkcji.
- Pracodawca musi poinformować pracowników o monitoringu co najmniej 2 tygodnie przed jego uruchomieniem (przy nowych pracownikach – przed podjęciem pracy).
- Nagrania z monitoringu pracowników nie mogą być przechowywane dłużej niż 3 miesiące od dnia nagrania (chyba że stanowią dowód w postępowaniu).
- Monitoring nie może obejmować pomieszczeń sanitarnych, szatni, stołówek ani palarni.
To są przepisy Kodeksu pracy – ich interpretacja i wdrożenie w konkretnej firmie wymaga konsultacji z prawnikiem lub specjalistą HR. Instalator monitoringu może pomóc technicznie (zasięg kamer, maski prywatności, retencja), ale nie zastąpi doradztwa prawnego w tym zakresie.
Co przygotować przed rozmową z instalatorem i prawnikiem?
Jeśli planujesz monitoring firmowy i chcesz od razu zadbać o zgodność z RODO, przygotuj sobie odpowiedzi na kilka pytań:
1. Jaki jest cel monitoringu? (ochrona mienia, bezpieczeństwo, kontrola dostępu – im precyzyjniej, tym lepiej) 2. Które strefy mają być monitorowane? (wejścia, parking, magazyn, kasa, hala produkcyjna – z mapą lub rzutem obiektu) 3. Czy monitoring obejmie pracowników? (jeśli tak, konieczna jest konsultacja prawna i odpowiednie procedury) 4. Jak długo chcesz przechowywać nagrania? (14 dni, 30 dni, dłużej – z uzasadnieniem) 5. Kto będzie miał dostęp do nagrań? (właściciel, kierownik, ochrona, centrum monitorowania) 6. Czy system ma być podłączony do internetu? (zdalny podgląd, powiadomienia – wymaga odpowiednich zabezpieczeń)
Mając te odpowiedzi, instalator może przygotować projekt techniczny, a prawnik – dokumentację RODO. Oba dokumenty powinny być spójne.
Możemy pomóc ocenić obiekt, zaproponować rozmieszczenie kamer z uwzględnieniem zasięgów i ograniczeń, a następnie przekazać Ci gotowe dane techniczne do dokumentacji RODO. Więcej informacji znajdziesz na stronie monitoring firmy Bielsko-Biała.
Przeczytaj też: RODO a monitoring – pełny poradnik oraz jakie informacje RODO przygotować przy monitoringu firmy.
Najczęstsze błędy przy wdrożeniu monitoringu bez uwzględnienia RODO
Z doświadczenia w projektowaniu systemów monitoringu dla firm wynika, że najczęściej pojawiają się te same błędy:
Brak tabliczek lub nieczytelne tabliczki Tabliczka przyklejona na tylnych drzwiach magazynu, do których wchodzą tylko pracownicy, to za mało, jeśli kamery obejmują też wejście główne i parking.
Domyślne hasła w rejestratorze Hasło `admin/admin` lub `12345` w rejestratorze podłączonym do internetu to zaproszenie dla atakujących. Problem dotyczy zarówno bezpieczeństwa danych, jak i RODO.
Brak ustalonej retencji Nagrania, które nigdy nie są nadpisywane lub usuwane, to dane przechowywane bez uzasadnienia. Przy kontroli UODO może to być problem.
Kamery skierowane na teren publiczny lub sąsiada Nagrywanie chodnika, ulicy lub posesji sąsiada bez uzasadnienia i odpowiednich procedur to ryzyko prawne.
Brak dokumentacji Nawet jeśli technicznie wszystko jest zrobione dobrze, brak dokumentacji (polityki retencji, klauzuli informacyjnej, ewidencji dostępu) może być problemem przy kontroli.
Monitoring bez wiedzy pracowników Uruchomienie kamer bez wcześniejszego poinformowania pracowników to naruszenie zarówno RODO, jak i Kodeksu pracy.
Większości tych błędów można uniknąć, jeśli projekt monitoringu jest przemyślany przed montażem, a nie po.
Najczęściej zadawane pytania
Czy każda firma musi spełniać RODO przy monitoringu? Tak, jeśli kamery rejestrują wizerunek osób (pracowników, klientów, gości), firma jest administratorem danych osobowych i musi spełniać wymagania RODO – niezależnie od wielkości.
Jak długo można przechowywać nagrania z monitoringu firmowego? RODO wymaga, żeby nagrania nie były przechowywane dłużej, niż jest to niezbędne do realizacji celu. W praktyce najczęściej stosuje się 14–30 dni. Przy monitoringu pracowników Kodeks pracy ogranicza retencję do 3 miesięcy.
Czy tabliczka przy wejściu wystarczy jako informacja o monitoringu? Dla klientów i gości – to minimum. Dla pracowników wymagana jest pełniejsza informacja pisemna przed podjęciem pracy.
Czy instalator monitoringu może pomóc z RODO? Instalator może pomóc technicznie: zaplanować zasięg kamer, skonfigurować retencję, ustawić maski prywatności i zabezpieczyć dostęp. Dokumentacja RODO wymaga konsultacji z prawnikiem lub inspektorem ochrony danych.
Treść opracowana przez zespół AlarmyBielsko.pl na podstawie doświadczenia w projektowaniu systemów monitoringu IP dla firm. Filipczyk.net Sp. z o.o., Stefanii Sempołowskiej 19, 43-300 Bielsko-Biała. Szymon Filipczyk, kwalifikowany pracownik zabezpieczenia technicznego PZT-24488. Poradnik ma charakter informacyjno-techniczny i nie stanowi porady prawnej.