Wejście w życie RODO zmieniło zasady przetwarzania, wykorzystywania i przechowywania danych osobowych, zwiększając ich ochronę. Jednocześnie przepisy te nałożyły nowe obowiązki na administratora danych osobowych, tj. osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Dotyczy to również aptek – szczególnie tych, prowadzących monitoring.
– Funkcjonowanie monitoringu wizyjnego (kamery) wiąże się z przetwarzaniem danych osobowych w systemach informatycznych tylko w określonych przypadkach. Podmiot stosujący monitoring wizyjny zobowiązany jest do zapewnienia bezpieczeństwa danych zgodnie z przepisami ustawy o ochronie danych osobowych. Jeżeli monitoring służy jedynie do podglądu danego miejsca, a nagranie nie jest zachowywane na twardym dysku lub innym nośniku, to wówczas nie mamy do czynienia z przetwarzaniem danych osobowych – wskazuje Michał Modro, radca prawny, ekspert w dziedzinie prawa medycznego, farmaceutycznego oraz ochrony danych osobowych i wspólnik Kancelarii Prawo Gospodarka Zdrowie sp.k.
Monitoring w aptece: obraz – TAK, dźwięk – NIE
W najnowszym numerze magazynu MGR.FARM wskazuje on na obowiązki, jakie spoczywają na aptekach prowadzących monitoring. Nagrania wideo z monitoringu zawierają zdjęcia ludzi. Ponieważ informacje te można wykorzystać do bezpośredniej lub pośredniej identyfikacji tych osób (w połączeniu z innymi informacjami), kwalifikują się one jako dane osobowe.
– Dobrze zaprojektowane i selektywnie stosowane systemy nadzoru wideo są potężnymi narzędziami do rozwiązywania problemów związanych z bezpieczeństwem danych. Źle zaprojektowane systemy jedynie generują fałszywe poczucie bezpieczeństwa, jednocześnie naruszając indywidualną prywatność i inne podstawowe prawa – podkreśla Modro.
Jednocześnie podkreśla, że przepisy o monitoringu nie zezwalają co do zasady na nagrywanie dźwięku. Takie uprawnienia posiadają jedynie służby porządkowe i specjalne na podstawie ustaw regulujących ich działalność. Stosowanie rejestracji dźwięku może zostać uznane za nadmiarową formę przetwarzania danych, wiązać się z odpowiedzialnością administracyjną i cywilną, a nawet karną (czytaj również: Leki pod nadzorem i farmaceuta w smoczej łodzi. Nowy MGR.FARM już jest!).
– Jak przyjął Urząd Ochrony Danych Osobowych (UODO), zasady ograniczenia celu i minimalizacji wymagają ograniczenia monitorowania. „Należy mieć na uwadze, że interesy administratora nie mogą w każdej sytuacji w sposób nadmierny ograniczać prawa do prywatności i ochrony danych oraz uzasadnionego oczekiwania osób obserwowanych co do zapewnienia intymności. Dlatego administrator powinien powstrzymywać się od prowadzenia monitoringu w obszarach wrażliwych, takich jak przebieralnie, toalety itp.” – cytuje ekspert.
Jego zdaniem wskazana zasada dotycząca minimalizacji w zakresie ochrony danych osobowych obejmuje również nagrywanie dźwięku, które stanowi nadmierną formę przetwarzania danych, w szczególności w stosunku do danych osobowych podlegających szczególnej ochronie, w tym przede wszystkim danych osobowych dotyczących zdrowia.
Obowiązki właściciela apteki
Podejmując decyzję o wprowadzeniu monitoringu, administrator musi pamiętać o przeprowadzeniu oceny skutków dla ochrony danych. Jest ona wymagana, gdy operacja przetwarzania ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych.
– Istotne znaczenie ma realizacja wobec osoby obserwowanej obowiązku informacyjnego. Administrator, podczas pozyskiwania danych osobowych (nagrywania), zobowiązany jest podać określone informacje w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem – wskazuje Michał Modro.
Jednocześnie podkreśla, że informacja ta, zgodnie z art. 13 RODO, musi obejmować wiele danych, w tym:
- tożsamość administratora i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela;
- dane kontaktowe inspektora ochrony danych;
- cele przetwarzania danych osobowych oraz podstawę prawną przetwarzania;
- informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją.
Pełna informacja o monitoringu, obejmująca wszystkie wymogi art. 13 RODO, powinna być dostępna w miejscu monitorowanym, np. na tablicach albo w formie dokumentu dostępnego na recepcji, czy też u przedstawiciela administratora.
