Cyfrowa maska prywatności jest narzędziem często wykorzystywanym do zasłaniania na obrazie z kamer przestrzeni, które nie powinny być objęte obserwacją, np. miejsc podlegających szczególnej ochronie na podstawie Kodeksu pracy. W swoim wyroku z 8 września 2026 r. Naczelny Sąd Administracyjny wskazał, że zastosowanie cyfrowej maski prywatności nie oznacza automatycznie, iż dane osobowe osób znajdujących się w zakrytym obszarze nie są przetwarzane. Czy wpłynie to na stosowanie masek prywatności w monitoringu pracowniczym?
Najważniejsze w skrócie
- Cyfrowa maska prywatności może być skutecznym narzędziem ograniczającym monitoring, zgodnie z regulacjami Kodeksu pracy.
- Stosowanie maski prywatności nie oznacza, że objęte nią dane nie są przetwarzane.
- Działanie maski i zakres operacji wykonywanych na obrazie należy uwzględnić podczas projektowania monitoringu oraz oceny jego zgodności z RODO.
- Maska prywatności może wspierać bezpieczeństwo danych i zasadę minimalizacji, ale jej skuteczność zależy od sposobu wdrożenia oraz konfiguracji systemu.
Jakich przestrzeni nie wolno monitorować?
Zakres monitoringu wizyjnego, podobnie jak każdej innej formy przetwarzania danych osobowych, powinien być ograniczony celem przetwarzania. Zasady legalności, minimalizacji danych i proporcjonalności wymagają, aby kamery nie obejmowały przestrzeni w zakresie szerszym, niż jest to niezbędne do realizacji uzasadnionego celu. W przypadku monitoringu prywatnego obserwowanie cudzej nieruchomości lub przestrzeni publicznej może powodować objęcie takiego przetwarzania przepisami RODO i wymagać wykazania odpowiedniej podstawy prawnej.
Nie jest to jednak jedyne ograniczenie. Wiele przepisów branżowych przewiduje szczególne wymagania, a jedną z najważniejszych regulacji dotyczących monitoringu pracowniczego zawiera art. 22² Kodeksu pracy. Przepis ten nie tylko wskazuje cele, w jakich można prowadzić monitoring zakładu pracy, ale też określa miejsca podlegające szczególnej ochronie.
- Pomieszczenia udostępniane zakładowej organizacji związkowej – monitoring nie może ich obejmować.
- Szatnie, stołówki i palarnie – monitoring jest co do zasady niedopuszczalny. Wyjątkowo może być stosowany, jeżeli jest niezbędny do realizacji ustawowego celu i nie narusza godności oraz innych dóbr osobistych pracowników, w szczególności dzięki zastosowaniu technik uniemożliwiających rozpoznanie przebywających tam osób.
- Pomieszczenia sanitarne – ich monitorowanie podlega dodatkowym wymaganiom. Poza spełnieniem warunków dotyczących niezbędności i ochrony godności pracowników wymaga uprzedniej zgody zakładowej organizacji związkowej, a jeżeli nie działa ona u pracodawcy – uprzedniej zgody przedstawicieli pracowników wybranych w przyjętym u niego trybie.
Warto podkreślić, że samo zastosowanie maski prywatności nie stanowi wystarczającej podstawy do monitorowania wymienionych pomieszczeń. W pierwszej kolejności pracodawca musi wykazać, że monitoring jest niezbędny do realizacji jednego z celów wskazanych w art. 22² § 1 Kodeksu pracy, a następnie spełnić pozostałe warunki ustawowe.
Czym jest i do czego służy maska prywatności?
Wiele rozwiązań architektonicznych utrudnia wyraźne oddzielenie przestrzeni, w której monitoring jest dopuszczalny, od obszarów, których nie powinien obejmować. Problem taki może powstać np. w przypadku palarni o przezroczystych ścianach czy otwartej stołówki. Ustawienie kamer tak, aby nie obejmowały tych pomieszczeń, może okazać się trudne.
W takiej sytuacji można rozważyć zastosowanie fizycznej przesłony ograniczającej pole widzenia kamery. Rozwiązanie to nie zawsze jest jednak możliwe, szczególnie w przypadku kamer obrotowych.
Dużo bardziej elastycznym rozwiązaniem jest cyfrowa maska prywatności. Polega ona na programowym zasłonięciu wybranej części obrazu, najczęściej jednolitym polem, tak aby określona przestrzeń nie była widoczna dla operatora systemu lub na zapisanym nagraniu.
Prezes UODO nałożył pierwszą karę związaną z prywatnym monitoringiem
Co orzekł NSA na temat masek prywatności?
8 września 2026 r. Naczelny Sąd Administracyjny rozpoznał sprawę dotyczącą monitoringu prywatnej nieruchomości, którego zasięg obejmował również fragmenty posesji sąsiadki oraz wspólną drogę dojazdową. Właściciel systemu zastosował cyfrowe maski prywatności i argumentował, że dzięki nim nie przetwarza danych osobowych osób znajdujących się w zakrytych obszarach.
Sąd nie zgodził się z tym stanowiskiem.
NSA wskazał, że objęcie cudzej nieruchomości zasięgiem kamer, mimo zastosowania cyfrowego zaczernienia obrazu, stanowi przetwarzanie danych osobowych osób korzystających z tej nieruchomości. W analizowanym przypadku system wykonywał bowiem operacje polegające na rejestrowaniu obrazu, jego modyfikowaniu przez nałożenie maski, a następnie zapisaniu zmodyfikowanego obrazu.
Sąd podkreślił, że dla tej oceny nie było rozstrzygające, czy zaczernienie obrazu było trwałe, odwracalne lub możliwe do zmiany przez administratora. Istotne było to, że kamera obejmowała swoim zasięgiem przestrzeń, w której mogły przebywać osoby fizyczne, a system wykonywał operacje na ich wizerunku.
NSA zwrócił również uwagę na trudności związane z wykazaniem, że cyfrowa maska pozostawała aktywna przez cały okres działania monitoringu. Sama możliwość przedstawienia obrazu z nałożoną maską nie przesądza bowiem, że funkcja ta była nieprzerwanie stosowana w przeszłości.
Wyrok NSA z 8 września 2026 r., sygn. III OSK 649/24, dotyczył monitoringu prywatnego, a nie pracowniczego. Jego znaczenie dla monitoringu w miejscu pracy wynika przede wszystkim z interpretacji pojęcia przetwarzania danych osobowych zawartego w art. 4 pkt 2 RODO.
Czy to znaczy, że nie można stosować maski prywatności w monitoringu pracowniczym?
Nie. Wyrok NSA rozstrzyga o kwalifikacji monitoringu wykorzystującego taką technologie z punktu widzenia RODO. Nie rozstrzyga jednak bezpośrednio, czy określony sposób wykorzystania takiej maski spełnia wymagania Kodeksu pracy.
Przepisy Kodeksu pracy ograniczające zakres monitoringu pracowniczego nie wymagają anonimizacji danych w rozumieniu RODO. Przewidują natomiast szczególne warunki monitorowania pomieszczeń objętych ochroną, w tym obowiązek zastosowania technik uniemożliwiających rozpoznanie osób w sytuacjach określonych w art. 22² § 2 Kodeksu pracy.
Dobrze skonfigurowana maska prywatności może wspierać realizację tych wymagań. Nie można jednak z góry uznać, że każde cyfrowe zaczernienie obrazu skutecznie chroni godność i inne dobra osobiste pracowników. Znaczenie ma m.in. to, czy maska obejmuje cały chroniony obszar, czy działa nieprzerwanie oraz kto może zmieniać jej ustawienia.
W pierwszej kolejności należy rozważyć takie ustawienie kamer, które pozwoli całkowicie wyłączyć chronione przestrzenie z pola obserwacji. Dopiero gdy nie jest to możliwe, warto ocenić zastosowanie innych środków technicznych, w tym maski prywatności.
Trzeba jednak pamiętać, że zgodność z regulacjami prawa pracy nie oznacza automatycznej zgodności z regulacjami RODO.
Co oznacza wyrok NSA?
Z punktu widzenia RODO wyrok NSA oznacza przede wszystkim konieczność uwzględnienia operacji wykonywanych na obrazie przed jego zaczernieniem oraz podczas nakładania maski prywatności.
Administrator nie powinien automatycznie traktować obszarów zakrytych maską jako wyłączonych z procesu przetwarzania danych osobowych. Jeżeli system rejestruje obraz osób fizycznych, a następnie go modyfikuje, operacje te podlegają ocenie na gruncie RODO.
Powinno to znaleźć odzwierciedlenie w dokumentacji monitoringu, w szczególności w opisie czynności przetwarzania i analizie ryzyka. W zależności od charakteru systemu, jego zasięgu i poziomu zagrożeń konieczna może być również ocena skutków dla ochrony danych.
Nie oznacza to jednak, że w rejestrze czynności przetwarzania trzeba tworzyć odrębny wpis dla każdego obszaru objętego maską. Istotne jest prawidłowe opisanie całego procesu monitoringu, w tym kategorii danych, zakresu obserwacji i zastosowanych zabezpieczeń.
Nie oznacza to oczywiście, że z perspektywy RODO maska prywatności jest środkiem całkowicie bezużytecznym. Przeciwnie – prawidłowo wdrożona może ograniczać dostęp do wizerunków osób, zmniejszać zakres informacji widocznych dla operatorów oraz wspierać realizację zasady minimalizacji danych i ochrony danych w fazie projektowania.
Nie należy jej jednak kwalifikować jako środka automatycznie wyłączającego przetwarzanie danych osobowych ani jako gwarancji zgodności monitoringu z prawem.
Co zrobić?
Pracodawca korzystający z masek prywatności powinien przede wszystkim zweryfikować, czy monitoring obejmuje wyłącznie obszary niezbędne do realizacji ustawowego celu. Następnie powinien sprawdzić sposób działania zastosowanych masek oraz ocenić, czy rzeczywiście chronią one prywatność pracowników.
W praktyce warto:
- Sprawdzić, czy możliwe jest takie ustawienie kamer, aby chronione pomieszczenia w ogóle nie znajdowały się w ich polu widzenia.
- Zweryfikować, czy maska działa stale, obejmuje właściwą przestrzeń i nie może być przypadkowo wyłączona.
- Ograniczyć uprawnienia do zmiany ustawień monitoringu oraz odpowiednio zabezpieczyć jego konfigurację.
- Uwzględnić sposób działania masek w dokumentacji przetwarzania danych, analizie ryzyka oraz – jeżeli jest wymagana – ocenie skutków dla ochrony danych.
- Sprawdzić spełnienie szczególnych wymagań Kodeksu pracy dotyczących monitorowania pomieszczeń chronionych.
Maska prywatności pozostaje użytecznym narzędziem ochrony prywatności w monitoringu pracowniczym. Wyrok NSA przypomina jednak, że techniczne ukrycie obrazu przed operatorem nie musi oznaczać braku przetwarzania danych osobowych. Dlatego skuteczność maski należy oceniać nie tylko na podstawie tego, co widać na ekranie, ale również z uwzględnieniem sposobu działania całego systemu.