Szwedzka kara za nadmierny monitoring

• 02.07.2020

• Autor: Agnieszka Świerczyńska

• Sankcje, kary finansowe RODO

Szwedzki organ nadzorczy (Datainspektionen) nałożył na spółdzielnię mieszkaniową karę w  wysokości 20 000 koron szwedzkich (około 2 000 euro). Kara została nałożona za nadmierny monitoring.

Po otrzymaniu skarg mieszkańców na działania spółdzielni mieszkaniowej, szwedzki organ nadzorczy przeprowadził kontrolę. Wyniki kontroli potwierdziły, że spółdzielnia zainstalowała cztery kamery rejestrujące dźwięk i obraz 24/7.

Dwie kamery zostały zainstalowane na klatce schodowej, trzecia przy głównym wejściu, a czwarta została skierowana w stronę magazynów/schowków mieszkańców.

W przypadku dwóch kamer ustawionych na klatce schodowej szwedzki organ pokreślił, że umożliwia to spółdzielni na mapowanie nawyków, wizyt i kręgu społecznego mieszkańców.

„Fakt, że monitoring obejmuje mieszkańców i ich środowisko domowe, wymaga bardzo uzasadnionych powodów, aby zezwolić na monitorowanie”, pisze organ w swojej decyzji.

W szczególnych okolicznościach spółdzielnie mieszkaniowe mogą monitorować klatkę schodową. Jednak aby zezwolić na taki nadzór, spółdzielnia musi być w stanie wykazać pilną potrzebę takiego nadzoru wideo, co – jak zaznaczył organ – nie miało miejsca w tym przypadku.

Trzecia kamera została  ustawiona przy głównym wejściu, co spółdzielnia tłumaczyła potrzebą  zwalczania problemów z wandalizmem, którego doświadczyła przez dwa miesiące w 2018 r.

Tutaj szwedzki organ ochrony danych wskazał na  obowiązek ciągłego sprawdzania, czy potrzeba monitoringu jest uzasadniona i stwierdził, że w tym przypadku nie było takiej potrzeby.

Czwartą kamerę, skierowaną w stronę magazynów/schowków mieszkańców, organ ochrony danych nakazał przekierować w taki sposób, aby nie monitorowała ww. pomieszczeń.

Organ ochrony danych zwrócił uwagę, że nagrywanie audio stanowi dodatkową ingerencję w sferę prywatną, w szczególności gdy jest to nagrywane w budynku mieszkalnym, i że w tym przypadku nie ma żadnych okoliczności, które uzasadniałyby taką dużą ingerencję.

Dodatkowo  kontrola wykazała, że spółdzielnia nie spełniła w sposób poprawny obowiązku informacyjnego w stosunku do mieszkańców t.j:

• Nie wskazała, kto jest administratorem danyc.
• Nie podała gdzie mieszkańcy mogą zyskać dalsze informacje.
• Nie poinformowała mieszkańców o nagraniach audio – co zostało uznane za szczególnie poważne pominięcie.

Na spółdzielnię została nałożona kara w wysokości 20 000 koron szwedzkich (około 2 000 euro). Przy obliczaniu kwoty wzięto pod uwagę fakt, że była to mniejsza spółdzielcza spółdzielnia mieszkaniowa.

Jaki jest wniosek z tej kary?

Poza faktem, że obowiązek informacyjny powinien być realizowany poprawnie (RODO wprost wskazuje zakres informacji, które mają być podane do wiadomości podmiotów danych) to co istotniejsze to niezbędność przeprowadzania cyklicznej analizy ryzyka procesów przetwarzania danych, by móc sprawdzić czy zastosowane przez nas, w przeszłości narzędzia/środki/ są nadal konieczne i czy nie zaszły w procesie zmiany, które wymagają zmiany tych środków, a może cel przetwarzania już odpadł  i dalsze zbieranie danych jest nadmiarowe.

Autor

Agnieszka Świerczyńska

Posiada doświadczenie w prowadzeniu szkoleń z zakresu ochrony danych osobowych, przeprowadzaniu audytów, sporządzaniu oraz weryfikacji umów. Bierze udział w procesie analizy ryzyka pod kątem naruszenia praw i wolności osób fizycznych oraz wdrażaniu RODO ze szczególnym uwzględnieniem podmiotów prowadzących działalność leczniczą.