Szwedzki Naczelny Sąd Administracyjny postanowił zwrócić się do TSUE o wyjaśnienie, czy art. 13 lub art. 14 RODO ma zastosowanie w przypadku gromadzenia danych osobowych za pomocą kamer nasobnych.
Kamery nasobne
Firma AB Storstockholms Lokaltrafik zarządza transportem publicznym. Wyposażyła swoich kontrolerów biletów w kamery noszone na ciele (kamery nasobne), które rejestrują pasażerów nieposiadających ważnych biletów, zobowiązanych do zapłaty kary. Kamery te mają na celu przeciwdziałanie groźbom i przemocy wobec kontrolerów oraz dokumentowanie takich incydentów, jak również służą do potwierdzania tożsamości osób, które zobowiązane są uiścić dodatkową opłatę. W ramach działań nadzorczych szwedzki urząd ochrony danych sprawdził, czy przetwarzanie danych osobowych przez firmę jest zgodne z przepisami RODO.
Kontrolerzy biletów noszą kamery przez cały czas trwania zmiany. Urządzenia te rejestrują obraz i dźwięk w sposób ciągły, a zapis odbywa się w systemie pamięci cyklicznej, co oznacza, że nagrania są automatycznie i trwale usuwane po określonym czasie. Początkowo nagrania były przechowywane przez dwie minuty, jednak w wyniku audytu skrócono ten czas do jednej minuty. Wciśnięcie odpowiedniego przycisku przez kontrolera zatrzymuje automatyczne kasowanie, dzięki czemu nagranie jest zachowane. W takim przypadku kamera zapisuje również materiał z minuty poprzedzającej wciśnięcie przycisku. Kontrolerom zalecono zatrzymywanie funkcji usuwania nagrań, gdy nakładają opłatę dodatkową lub gdy spotykają się z groźbami.
Obowiązek informacyjny
W swojej decyzji szwedzki urząd ochrony danych uznał, że spółka przetwarzała dane osobowe przy użyciu kamer noszonych przez kontrolerów biletów, naruszając kilka przepisów RODO. Urząd stwierdził m.in., że spółka nie dostarczała osobom, których dane dotyczą, odpowiednich informacji, co stanowiło naruszenie art. 13 RODO. W wyniku tego organ nałożył na firmę administracyjną karę w wysokości 16 mln SEK, z czego 4 mln SEK wynikało z niedostatecznego informowania osób o przetwarzaniu ich danych.
Spółka odwołała się od decyzji organu nadzorczego. Sprawa trafiła do sądu administracyjnego, który powołał się na wyrok Ryneš (C-212/13). W wyroku dotyczącym monitoringu wizyjnego prowadzonego przez osobę prywatną przy użyciu stacjonarnej kamery, Trybunał uznał, że właściwym przepisem jest dawna norma odpowiadająca art. 14 RODO. Wedle TSUE z treści art. 13 RODO (dotyczącego danych zbieranych bezpośrednio od osoby, której dane dotyczą) wynika, że konieczne jest celowe działanie tej osoby, aby można było uznać, że dane zostały od niej zebrane. Wobec tego sąd uznał, że takie działanie nie występuje w przypadku pozyskiwania danych za pomocą kamer noszonych przez kontrolerów. Sąd wskazał, że analiza przepisu w świetle wyroku Trybunału wskazuje, że art. 13 RODO nie ma tu zastosowania, co oznacza, że szwedzki urząd ochrony danych nie miał podstaw do nałożenia kary za naruszenie tego artykułu.
Argumentacja stron
Organ nadzorczy złożył skargę kasacyjnego do Naczelnego Sądu Administracyjnego. W swojej argumentacji wskazywał, że sąd administracyjny błędnie powołał się na wyrok TSUE w sprawie Ryneš. Wyrok ten nie dotyczył obowiązku informacyjnego, lecz zastosowania tzw. wyjątku dotyczącego użytku osobistego w kontekście monitoringu wizyjnego na prywatnej posesji. W orzeczeniu rzeczywiście odniesiono się do przepisu poprzedniej dyrektywy o ochronie danych (95/46/WE), który odpowiada obecnemu art. 14 RODO. Trybunał nie rozstrzygnął jednak, który artykuł dotyczy obowiązku informacyjnego w przypadku monitoringu, a jego uwagi na ten temat mają charakter obiter dictum (charakter niewiążący).
Organ nadzorczy ponadto powołał się na stanowisko EROD, gdzie Rada uważa, że art. 13 RODO ma zastosowanie do monitoringu wizyjnego (wytyczne 3/2019 dotyczące przetwarzania danych osobowych za pomocą urządzeń wideo). Jako że Rada dba o spójne stosowanie RODO, m.in. poprzez wydawanie wytycznych, jej stanowiska należy traktować jako bardzo istotne. Z wytycznych 3/2019 wynika również, że tzw. podejście warstwowe do przekazywania informacji, stosowane przy monitoringu wizyjnym – gdzie kluczowe informacje są umieszczane np. na znakach ostrzegawczych, a szczegóły na stronie internetowej – jest zgodne z art. 13.
Administrator natomiast wskazywał, że artykuł 13 RODO nie odnosi się do przetwarzania danych osobowych w sytuacjach takich jak ta omawiana w niniejszej sprawie. Wynika z jego treści, że aby miał zastosowanie, osoba, której dane dotyczą, musi świadomie brać udział w procesie zbierania danych. Potwierdza to motyw 60 RODO, który stanowi, że gdy dane osobowe są zbierane bezpośrednio od osoby, należy ją poinformować, czy ma obowiązek ich podania oraz o skutkach ewentualnego niepodania tych informacji.
Ponadto administrator podnosił, że w wytycznych Europejskiej Rady Ochrony Danych wskazano, że art. 13 RODO obejmuje również dane osobowe pozyskane w wyniku obserwacji. Jako przykłady podano automatyczne rejestratory danych lub oprogramowanie monitorujące, takie jak kamery, urządzenia sieciowe, śledzenie Wi-Fi, RFID czy inne sensory. Różnica między kamerami a innymi wymienionymi technologiami polega na tym, że w przypadku kamer osoba, której dane dotyczą, nie korzysta z żadnej usługi ani urządzenia. Zastosowanie art. 13 do danych pozyskanych poprzez obserwację w sytuacji, gdy osoba korzysta z usługi lub urządzenia, jest logiczne, ponieważ ma ona możliwość otrzymania i dostępu do informacji. W przypadku monitoringu wizyjnego taka sytuacja jednak nie zachodzi. W związku z tym dane zebrane w wyniku monitoringu wizyjnego nie powinny być traktowane na równi z danymi zebranymi w wyniku obserwacji w ramach korzystania z usług lub urządzeń. Ponadto, ponieważ wytyczne nie są wiążące, a stwierdzenie, że zbieranie danych za pomocą kamer podlega art. 13 zostało sformułowane jedynie na marginesie i nie jest wystarczająco uzasadnione, nie powinno ono mieć decydującego znaczenia.
Zagwozdka dla TSUE
Kluczową kwestią będzie interpretacja art. 13 i 14 RODO, w szczególności zwrotów „zebrane od osoby, której dane dotyczą” i „nieuzyskane od osoby, której dane dotyczą”. Niejednoznaczność tych terminów i ich implikacje dla technologii nadzoru, takich jak kamery, są dodatkowo komplikowane przez orzeczenie TSUE w sprawie Ryneš, która dotyczyła monitoringu prowadzonego przez osobę prywatną. Nic więc dziwnego, że szwedzki Naczelny Sąd Administracyjny złożył pytanie prejudycjalne do TSUE, o którego rozstrzygnięciu z pewnością poinformujemy.
Źródło: