Decyzja DKN.5131.51.2021

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r., poz. 735, ze zm.), art. 7 ust. 1, art. 60, art. 102 ust. 1 pkt 1 i ust. 3 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) oraz art. 57 ust. 1 lit. a) i h), art. 58 ust. 2 lit. i) w zw. z art. 5 ust. 1 lit. a), art. 6 ust. 1, a także art. 83 ust. 1 - 2 i art. 83 ust. 5 lit. a) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zwanego dalej „rozporządzeniem 2016/679”,

po przeprowadzeniu wszczętego z urzędu postępowania administracyjnego w sprawie przetwarzania danych osobowych przez (…) Ośrodek (…) z siedzibą w D. (adres: ul. (…), (…) D.), Prezes Urzędu Ochrony Danych Osobowych,

stwierdzając naruszenie przez (…) Ośrodek (…) z siedzibą w D. (adres: ul. (…), (…) D.), przepisów art. 6 ust. 1 w związku z art. 5 ust. 1 lit. a) rozporządzenia 2016/679 polegające na nagrywaniu i utrwalaniu dźwięku (głosu) w zainstalowanym w ww. Ośrodku systemie monitoringu, tj. przetwarzania bez podstawy prawnej danych osobowych w tym zakresie,

nakłada na (…) Ośrodek (…) z siedzibą w D. (adres: ul. (…), (…) D.) administracyjną karę pieniężną w kwocie 10.000 złotych (słownie: dziesięć tysięcy złotych).

Uzasadnienie

Prezes Urzędu Ochrony Danych Osobowych (zwany dalej „Prezesem UODO” lub „organem nadzorczym”) został poinformowany o praktykach stosowanych przez (…) Ośrodek (…) z siedzibą w D. (adres: ul. (…), (…) D.), zwany dalej: „Ośrodkiem” lub „Administratorem”, związanych ze stosowanym przez Ośrodek systemem monitoringu. W ramach ww. przekazanych tutejszemu Urzędowi informacji Ośrodkowi zarzucono (cyt.): „(…) pozbawione podstawy prawnej rejestrowanie dźwięku na terenie tej placówki za pośrednictwem zainstalowanego systemu monitoringu”. Ośrodek ten został utworzony m.in. na podstawie art. 39 ust. 1 ustawy z dnia 26 października 1982 r. o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi (Dz. U. z 2021 r., poz. 1119, ze zm.), zwanej dalej: „ustawą o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi”, zgodnie z którym organy samorządu terytorialnego w miastach liczących ponad 50 000 mieszkańców i organy powiatu mogą organizować i prowadzić izby wytrzeźwień. Zgodnie ze statutem (…) Ośrodka (…) (dalej zwanym „Statutem”) stanowiącym załącznik do uchwały nr LXVII/2101/2009 Rady (…) D. z dnia 26 listopada 2009 r. w sprawie zmiany nazwy i statutu Izby Wytrzeźwień w (…) D., Ośrodek jest jednostką budżetową w rozumieniu przepisów ustawy o finansach publicznych - zgodnie bowiem z art. 9 pkt 2 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych (Dz. U. z 2021 r., poz. 305, ze zm.) sektor finansów publicznych tworzą jednostki samorządu terytorialnego oraz ich związki. Do jego podstawowych zadań należy w szczególności: sprawowanie opieki nad osobami nietrzeźwymi poprzez prowadzenie Działu (…), prowadzenie przez Dział (…) działalności terapeutycznej i ambulatoryjnej na rzecz osób deklarujących chęć przerwania ciągu alkoholowego i podjęcia dalszego leczenia oraz udzielanie osobom nietrzeźwym świadczeń higieniczno-sanitarnych i lekarskich oraz pierwszej pomocy w nagłych wypadkach. Statut określa również, że działalnością Ośrodka kieruje Dyrektor, który zapewnia jego prawidłowe funkcjonowanie. Ośrodek jest uprawniony (na podstawie art. 391 ust. 2 ustawy o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi) do przetwarzania w ramach prowadzonej dokumentacji danych osobowych osób doprowadzonych w zakresie: informacji pozwalających na ustalenie ich tożsamości (obejmujących: imię, nazwisko, imiona rodziców, nazwę i numer dokumentu tożsamości, datę i miejsce urodzenia lub wiek, numer PESEL jeżeli posiada, stan cywilny, adres zamieszkania lub miejsce pobytu), a także stanu zdrowia (w tym o udzielonych im świadczeniach zdrowotnych), nałogów oraz sytuacji społecznej i rodzinnej.

W związku z powyższym, w dniu (…) lutego 2021 r. Prezes UODO zwrócił się do Administratora na podstawie art. 58 ust. 1 lit. a) i e) rozporządzenia 2016/679 z prośbą o odniesienie się do ww. informacji na temat stosowanej przez Administratora praktyki rejestracji dźwięku w ramach systemu monitoringu, a w przypadku potwierdzenia, że działania takie mają miejsce, o wskazanie jednoznacznej podstawy prawnej upoważniającej Administratora do pozyskiwania ww. kategorii danych osobowych, konkretnego celu przetwarzania tych danych, wykazanie niezbędności ww. kategorii danych z punktu widzenia deklarowanego celu ich przetwarzania, okresu przechowywania ww. informacji i podstawy prawnej, z której ten okres wynika.

W odpowiedzi na wyżej wskazane wezwanie Administrator udzielił wyjaśnień pismem z dnia (…) lutego 2021 r., w którym wskazano, że w (cyt.): „(…) ww. systemie rejestrowany jest zarówno obraz jak i dźwięk”, że „Czas, w jakim funkcjonuje omawiany system monitoringu, obejmuje całą dobę - zgodnie z dyspozycją § 8 ust. 1 i § 6 ust. 2 pkt 4 rozporządzenia Ministra Zdrowia z dnia 8 grudnia 2014 r. w sprawie izb wytrzeźwień i placówek wskazanych lub utworzonych przez jednostkę samorządu terytorialnego w zw. z art. 39 ust. 2 pkt 1 i 3 ustawy z dnia 26 października 1982 r. o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi”, a także, że:

„

Obowiązek rejestracji sygnału audio/video w (…) Ośrodku wynika z następujących podstaw prawnych:

–

art. 423 ust. 1 ustawy z dnia 26 października 1982 r. o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi (Dz.U. z 2019 r. poz. 2277, z późn. zm.);

–

art. 42 ust. 12 ustawy z dnia 26 października 1982 r. o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi;

–

§ 6 ust. 2 pkt 4 rozporządzenia Ministra Zdrowia z dnia 8 grudnia 2014 r. w sprawie izb wytrzeźwień i placówek wskazanych lub utworzonych przez jednostkę samorządu terytorialnego (Dz. U. poz. 1850, z późn. zm.);

–

art. 6 ust. 1 w zw. z art. 9 ust. 2 lit. b, c i z art. 3 ust. 2 lit. b i art. 4 pkt 2 rozporządzenia (…) 2016/679 (…)”.

W wyżej wskazanym piśmie Ośrodek wskazał również, że (cyt.):

„

Celem przetwarzania sygnału audio/video w systemie monitoringu jest:

–

sprawowanie stałego nadzoru nad osobami doprowadzonymi w celu wytrzeźwienia dla zapewnienia im bezpieczeństwa;

–

stały nadzór nad osobą umieszczoną w zamkniętym pomieszczeniu przeznaczonym do izolacji oraz kontrola wykonywania czynności związanych z zastosowaniem izolacji”.

Ponadto Administrator wyżej wskazanym pismem udzielił wyjaśnień dotyczących okresu przechowywania zapisów z nagrań dźwięku - (cyt.): „Zapis z monitoringu obejmujący pomieszczenia, w których rejestrowany jest sygnał audio/video jest przechowywany przez okres co najmniej 30 dni, nie dłużej niż 60 dni od dnia jego zarejestrowania, o ile nie zostanie on zabezpieczony jako dowód w sprawie w przypadku toczącego się postępowania. Po upływie terminu przechowywania zapis usuwa się przez jego automatycznie nadpisanie, w sposób uniemożliwiający jego odzyskanie. Okres przechowywania zapisu z monitoringu wynika z art. 42 ust. 15 ustawy z dnia 26 października 1982 r. o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi oraz § 6 ust. 3 i 4 rozporządzenia Ministra Zdrowia z dnia 8 grudnia 2014 r. w sprawie izb wytrzeźwień i placówek wskazanych lub utworzonych przez jednostkę samorządu terytorialnego”.

Administrator do ww. pisma z dnia (…) lutego 2021 r. dołączył m.in. zarządzenie nr (…) Dyrektora (…) Ośrodka (…) z dnia (…) lipca 2019 r. w sprawie zmiany Instrukcji określającej zasady użytkowania systemów telewizji przemysłowej CCTV i Full HD, zapisu obrazu i jego przechowywania oraz wydawania upoważnień dla osób mających dostęp do tych systemów w (…) Ośrodku (…) (wraz z załącznikami - w tym Instrukcją).

W § 1 pkt 3 Instrukcji określającej zasady użytkowania systemu telewizji przemysłowej FULL HD, zapisu obrazu i jego przechowywania oraz wydawania upoważnień dla osób mających dostęp do tego systemu w (…) Ośrodku (…) (dalej zwanej „Instrukcją”) zawarto definicję użytego w niej słowa „monitoring”, z której wynika, że jest to (cyt.): „system telewizji przemysłowej FULL HD rejestrujący obraz i dźwięk”. W § 2 ust. 1 tej Instrukcji stwierdzono, że pomieszczenia Ośrodka oraz teren przyległy do budynku są objęte monitoringiem, a w ustępie 3 tego paragrafu wskazano, gdzie są umieszczone kamery, w których zainstalowane są mikrofony: jest to osiem miejsc znajdujących się na parterze budynku (przy czym w jednym z tych miejsc, tj. na korytarzu przy drzwiach wejściowych do Działu (…) przy głównym wejściu do budynku Ośrodka, zainstalowano aż dwa mikrofony) oraz na pierwszym piętrze (łącznie cztery mikrofony). Co istotne w kontekście oświadczeń Administratora dotyczących okresu przechowywania nagrań, § 3 ust. 4 Instrukcji stanowi, że (cyt.): „Zapis z monitoringu obejmujący pomieszczenia wymienione w § 2 ust. 3 i 4 oraz teren przyległy do Ośrodka jest przechowywany na twardym dysku rejestratora przez okres co najmniej 60 dni od dnia jego zarejestrowania. Po upływie terminu przechowywania zapis usuwa się przez jego automatyczne nadpisanie, w sposób uniemożliwiający jego odzyskanie”.

W piśmie z dnia (…) lutego 2021 r. Administrator oświadczył również, że (cyt.): „.(…) wejścia główne do budynku (…) Ośrodka (…) zostały oznakowane tablicami informacyjnymi, które informują o rodzaju zainstalowanego w nim monitoringu oraz o podstawach prawnych regulujących jego zastosowanie” (przy czym na marginesie należy tylko zaznaczyć, że z informacji przekazanych Prezesowi UODO przez Administratora w późniejszym piśmie z dnia (…) lutego 2022 r. wynika, że na tablicach tych znajdują się m.in. następujące informacje:

–

„Zakres danych przetwarzanych w zbiorze. Dane biometryczne tj. wizerunek”,

–

„Zapisy z monitoringu są przechowywane przez 60 dni”, a miejsca aktywności mikrofonów rejestrujących dźwięk oznaczone zostały jedynie tabliczkami o treści: „OBIEKT MONITOROWANY OBRAZ I DŹWIĘK JEST REJESTROWANY”).

Na podstawie zgromadzonego w sprawie materiału dowodowego ustalono, że w procesie przetwarzania danych osobowych Ośrodek naruszył przepis art. 5 ust. 1 lit. a) rozporządzenia 2016/679, tj. zasadę zgodności z prawem przetwarzania danych osobowych oraz art. 6 ust. 1 rozporządzenia 2016/679 poprzez utrwalanie dźwięku w ramach zainstalowanego systemu monitoringu, tj. przetwarzanie bez podstawy prawnej danych osobowych w zakresie nagrań dźwięku dokonanych na terenie (…) Ośrodka (…) z siedzibą w D.. W związku z poczynieniem wyżej wskazanych ustaleń, Prezes UODO w dniu (…) listopada 2021 r. wszczął z urzędu postępowanie administracyjne w sprawie naruszenia przepisów o ochronie danych osobowych w związku z przetwarzaniem danych osobowych w rozumieniu rozporządzenia 2016/679 przez (…) Ośrodek (…) z siedzibą w D., przy czym przedmiotem postępowania uczynił naruszenie przez Ośrodek, jako administratora danych, przepisów art. 5 ust. 1 lit. a) oraz art. 6 ust. 1 rozporządzenia 2016/679 wobec przetwarzania przez Ośrodek danych osobowych związanych z utrwalaniem dźwięku w ramach zainstalowanego systemu monitoringu (sygn. pisma: (…)).

W odpowiedzi na zawiadomienie o wszczęciu postępowania administracyjnego, Administrator pismem, które wpłynęło do tutejszego Urzędu w dniu (…) listopada 2021 r., wniósł o (cyt.): „(…) sprecyzowanie, na czym polegają zarzuty stawiane (…) Ośrodkowi (…) oraz o przedstawienie dowodów, na jakich owe zarzuty są opierane”, a ponadto wskazał, że (cyt.): „Należy podnieść, że za wyjątkiem ogólnego wskazania przepisów, jakie w opinii Organu miałyby zostać naruszone działaniem Ośrodka (tj. art. 5 ust. 1 lit a (…) i art. 6 ust. 1 (…) Rozporządzenia 2016/679) i ogólnikowego stwierdzenia, cyt.: przetwarzania przez Ośrodek danych osobowych związanych z utrwalaniem dźwięku w ramach zainstalowanego systemu monitoringu (na co pozwalają obowiązujące przepisy, wskazane Organowi w piśmie z dnia (…) lutego 2021 r. (…) znajdującym się w aktach niniejszej sprawy), w ww. zawiadomieniu nie określono, kiedy, gdzie i w jaki sposób Ośrodek miałby naruszyć przywołane przepisy, zaś akta niniejszej sprawy nie zawierają żadnych informacji na ten temat”.

W odpowiedzi na powyższy wniosek, organ nadzorczy (pismem z dnia (…) listopada 2021 r.) dokonał podsumowania wyżej opisanej korespondencji w sprawie, zwracając uwagę na fakt, że Administrator potwierdził w swoich wyjaśnieniach fakt rejestrowania dźwięku na terenie Ośrodka za pośrednictwem zainstalowanego systemu monitoringu oraz że wskazał przepisy, które zdaniem Administratora stanowią o obowiązku (cyt.): „rejestracji sygnału audio/video”. Administrator pomimo bardzo wyraźnych wyjaśnień organu nadzorczego co do przedmiotu postępowania, skierował do Prezesa UODO w dniu (…) grudnia 2021 r. kolejne pismo zawierające m.in. żądanie sprecyzowania, na czym polegają zarzuty stawiane Ośrodkowi (w zakresie daty, miejsca i okoliczności rzekomego naruszenia zasad ochrony danych osobowych) oraz przedstawienia posiadanych przez organ nadzorczy dowodów, na jakich te zarzuty opiera.

Następnie w dniu (…) grudnia 2021 r. do tutejszego Urzędu wpłynęło kolejne pismo (datowane na dzień (…) grudnia 2021 r.), w którym Administrator podjął próbę wykazania swojego uprawnienia do przetwarzania danych osobowych w związku z utrwaleniem dźwięku w ramach zainstalowanego monitoringu, przy czym powołał się m.in. na art. 6 ust. 1 lit. c), d) i e) rozporządzenia 2016/679. Poza tymi przepisami Administrator wskazał również na uregulowania zawarte w:

–

ustawie o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi,

–

rozporządzeniu Ministra Zdrowia z dnia 8 grudnia 2014 r. w sprawie izb wytrzeźwień i placówek wskazanych lub utworzonych przez jednostkę samorządu terytorialnego (Dz. U. z 2014 r., poz. 1850, ze zm.), zwanym dalej: „rozporządzeniem z dnia 8 grudnia 2014 r.” (wydanym na podstawie art. 423 ust. 5 ustawy o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi),

–

Statucie.

Administrator stwierdził m.in., że (cyt.): „Przepisy ustawy i rozporządzenia rozróżniają zainstalowany w salach izolacyjnych monitoring umożliwiający stały nadzór nad osobami umieszczonymi w izolacji oraz kontrolę wykonania czynności związanych z tym środkiem przymusu bezpośredniego (art. 42 ust. 2 ustawy ) oraz w system umożliwiający obserwację osób przebywających we wszelkich pomieszczeniach izby wytrzeźwień w celu zapewnienia bezpieczeństwa tych osób (at. 423 ust. 1 ww. ustawy). Ponadto, przepis § 6 ust. 2 pkt 4 rozporządzenia wskazuje, że pomieszczenia dla osób, których zachowanie stwarza poważne zagrożenie dla ich zdrowia lub życia albo zdrowia lub życia innych osób przyjętych do izby wytrzeźwień, wyposaża się dodatkowo w zabezpieczoną przed uszkodzeniem instalację monitoringu umożliwiającą stały nadzór nad takimi osobami”. Administrator zaznaczył również w tym piśmie, że (cyt.): »Co istotne, ustawodawca w żaden sposób nie zdefiniował, co należy rozumieć przez pojęcia „stały nadzór” i „obserwacja”, nie wyłączył przy tym z zakresu pojęć „stały nadzór” i „obserwacja” żadnego z ich rodzajów, co oznacza, że zgodnie z zasadami wykładni należy odnośnie ww. pojęć stosować ich powszechne, słownikowe rozumienie. Z tej przyczyny należy uznawać, że „stały nadzór” i „obserwacja” obejmują całokształt obserwowalnych zmysłami zjawisk mających miejsce w pomieszczeniach, w których znajdują się osoby doprowadzone w celu wytrzeźwienia oraz osoby przyjęte do izby wytrzeźwień, a istotnych dla prawidłowego wykonywania przez izbę ustawowych i statutowych obowiązków: sprawowania opieki nad osobami w stanie nietrzeźwości (art. 39 ust. 2 pkt 1 ustawy; § 4 pkt 1 Statutu), udzielania osobom w stanie nietrzeźwości pierwszej pomocy (art. 39 ust. 2 pkt 3 ustawy; § 4 pkt 3 Statutu). Oznacza to, że stan bezpieczeństwa i zdrowia osób doprowadzonych lub umieszczonych w izbie wytrzeźwień może być weryfikowany zarówno na podstawie informacji wizualnej jak i dźwiękowej«. Administrator stwierdził ponadto, że (cyt.): „Należy zważyć, że zarówno podczas przyjęcia osób doprowadzonych do izby wytrzeźwień, jak i w trakcie pobytu tych osób w poszczególnych salach sypialnych, istnieje stałe, istotne ryzyko aktów agresji lub sytuacji nagłego pogorszenia stanu zdrowia ww. osób. Co istotne, brak jest fizycznej możliwości permanentnej obecności personelu izby wytrzeźwień we wszystkich pomieszczeniach, w których przebywają osoby doprowadzone lub przyjęte do izby wytrzeźwień, a zatem w wielu przypadkach wyżej opisane stany zagrożenia mogą być stwierdzone wyłącznie na podstawie dźwięków wydawanych przez osoby znajdujące się w izbie wytrzeźwień (lub na podstawie nagłego ustania wydawania dźwięków...). W takiej sytuacji nieobjęcie przedmiotowych pomieszczeń monitoringiem dźwiękowym należy uznawać za w istotnym stopniu negatywnie wpływające na możliwość niezwłocznej reakcji personelu izby na nagłe zdarzenia obarczone ryzykiem pogorszenia stanu zdrowia lub zgonu osób przebywających w izbie, a w konsekwencji rodzi istotne ryzyko naruszenia obowiązków izby wytrzeźwień, określonych w przywołanych wyżej przepisach, a także ryzyko naruszenia podstawowego prawa osób przebywających w izbie wytrzeźwień, tj. prawa do bezpiecznego wytrzeźwienia”. Administrator zaznaczył również, że (cyt.): „Godzi się w tym miejscu podkreślić, że w Ośrodku wywieszono w miejscach widocznych dla osób przebywających na terenie objętym monitoringiem tablice wyraźnie informujące o formie, celu i zakresie stosowania monitoringu), co wyklucza możliwość uznania, że przedmiotowy monitoring jest sprawowany bez wiedzy osób, które mu podlegają”. Dokonując podsumowania swojej argumentacji, Administrator wskazał również, że (cyt.):

–

„W kontekście powyższego należy stwierdzić, że przepisy regulujące funkcjonowanie izb wytrzeźwień określając minimalne standardy wyposażenia izby wytrzeźwień, nie wyłączają dopuszczalności stosowania monitoringu dźwiękowego, zaś objęcie tymże monitoringiem części pomieszczeń izby jest niezbędne dla zapewnienia odpowiedniego poziomu bezpieczeństwa osób i mienia na terenie Ośrodka i znajduje uzasadnienie w przywołanych i omówionych wyżej podstawach”;

–

„Niezależnie od powyższego należy podnieść, że (…) Ośrodek (…) podlega wizytacjom Zespołu "Krajowy Mechanizm Prewencji" Rzecznika Praw Obywatelskich. Z załączonych do niniejszego pisma protokołów takich wizytacji wynika wyraźnie, że Rzecznik Praw Obywatelskich - wielokrotnie korzystając z nagrań z przedmiotowego monitoringu podczas dokonania analizy prawidłowości funkcjonowania Ośrodka - nigdy nie zarzucił Ośrodkowi, by stosowany przezeń monitoring dźwięku w jakikolwiek naruszał prawa osób przebywających na terenie izby wytrzeźwień. Nie bez znaczenia wydaje się również fakt, iż w związku ze stosowaniem na (…) terenie Ośrodka monitoringu wizyjnego i dźwiękowego nikt nie poniósł szkody - wprost przeciwnie: dzięki ww. rozwiązaniom technicznym np. w przypadku konieczności rozpoczęcia reanimacji opiekun może natychmiast przywołać lekarza i ratownika medycznego celem profesjonalnej resuscytacji lub też osoba dyżurująca na stanowisku monitoringu może odróżnić neutralną konwersację od agresji werbalnej (zwykle poprzedzającej agresję fizyczną) i w porę zainterweniować nie dopuszczając do bójek (z zagrożeniem dla zdrowia i życia) pomiędzy osobami doprowadzonymi itp.”.

Co istotne, Administrator poinformował również organ nadzorczy w tym samym piśmie, że w dniu (…) grudnia 2021 r. Dyrektor Ośrodka wydał prewencyjne polecenie wyłączenia monitoringu dźwiękowego na terenie Ośrodka, obowiązujące do chwili prawomocnego i ostatecznego zakończenia niniejszej sprawy.

W związku z nieprzesłaniem przez Administratora wraz z pismem, które wpłynęło do tutejszego Urzędu w dniu (…) grudnia 2021 r., ww. protokołów z wizytacji Zespołu „Krajowego Mechanizmu Prewencji” Rzecznika Praw Obywatelskich oraz koniecznością uzyskania dodatkowych informacji w sprawie, Prezes UODO wezwał w dniu (…) lutego 2022 r. Administratora do złożenia kolejnych wyjaśnień (przy okazji ponownie udzielając mu informacji o przedmiocie prowadzonego postępowania). Z pisma z dnia (…) lutego 2022 r. stanowiącego odpowiedź na ww. wezwanie, wynika m.in., że wyłączenie monitoringu w zakresie rejestracji dźwięku nastąpiło w dniu (…) grudnia 2021 r. i od tego dnia nie są utrwalane na terenie Ośrodka w ramach monitoringu żadne dane zawierające dźwięk. Ponadto Administrator poinformował organ nadzorczy, że dane osobowe związane z utrwalaniem dźwięku w ramach zainstalowanego systemu monitoringu były przetwarzane przez Administratora od dnia (…) listopada 2016 r. (przy czym wskazał miejsca, w których przed dniem (…) lipca 2019 r. umieszczone były mikrofony rejestrujące dźwięk) oraz oświadczył, iż usunął już wszystkie dane zarejestrowane do dnia wyłączenia monitoringu dźwiękowego na terenie Ośrodka. Co istotne w kontekście wcześniejszej argumentacji Administratora dotyczącej m.in. potrzeby rejestracji dźwięku celem zapobiegania skutkom agresji osób znajdujących się w Ośrodku oraz zapewnieniu niezwłocznej reakcji personelu na nagłe pogorszenie się stanu zdrowia osób trzeźwiejących, Administrator wskazał, że w znajdujących się na I piętrze Ośrodka pomieszczeniach przeznaczonych do izolacji (o których mowa w art. 42 ust. 12 ustawy o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi), nigdy nie rejestrowano dźwięku, pomimo istnienia takiej technicznej możliwości. Na marginesie należy również zaznaczyć, że załączone do wyżej wskazanych wyjaśnień Raporty Krajowego Mechanizmu Prewencji (Tortur) z wizytacji Ośrodka przeprowadzonych w czerwcu 2012 r. oraz w lipcu 2017 r. okazały się nie zawierać informacji dotyczących rejestracji dźwięku w ramach monitoringu prowadzonego w Ośrodku.

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje:

Z art. 34 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) (zwanej dalej: ustawą o ochronie danych osobowych) wynika, że Prezes UODO jest organem właściwym w sprawie ochrony danych osobowych, a na podstawie art. 34 ust. 2 tej ustawy jest organem nadzorczym w rozumieniu przepisów rozporządzenia 2016/679.

Zgodnie z art. 5 ust. 1 lit. a) rozporządzenia 2016/679, dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą.

Natomiast art. 6 ust. 1 rozporządzenia 2016/679, stanowi, że przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków:

a)

osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;

b)

przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;

c)

przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;

d)

przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;

e)

przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;

f)

przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

W ustępie tym zaznaczono również, że akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.

W niniejszej sprawie kluczowe jest nie tyle wykazanie, że Administrator rejestrował dźwięk na terenie swojej placówki za pośrednictwem zainstalowanego systemu monitoringu (bo fakt ten został potwierdzony przez samego Administratora i w świetle jego wyjaśnień oraz załączonych do nich dokumentów jest bezsporny), lecz określenie, czy przetwarzanie danych osobowych w tym zakresie odbywało się bez podstawy prawnej. Jest to szczególnie ważne, jako że zgodnie z art. 47 Konstytucji Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r. każdy ma prawo do ochrony prawnej życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym. Art. 51 Konstytucji przewiduje z kolei prawo ochrony danych osobowych. Zgodnie zaś z art. 31 ust. 3 Konstytucji, ograniczenia w zakresie korzystania z konstytucyjnych wolności i praw mogą być ustanawiane tylko w ustawie i tylko wtedy, gdy są konieczne w demokratycznym państwie dla jego bezpieczeństwa lub porządku publicznego, bądź dla ochrony środowiska, zdrowia i moralności publicznej, albo wolności i praw innych osób, przy czym ograniczenia te nie mogą naruszać istoty wolności i praw. Z uwagi na powyższe, zakres danych rejestrowanych w ramach monitoringu stosowanego w miejscach takich jak Ośrodek, w którym osoby przebywają w warunkach przymusu - często niezdolne do świadomego podejmowania jakichkolwiek decyzji oraz kontrolowania tego, co robią i mówią, nie powinien być określany z powołaniem się na budzące wątpliwości podstawy.

Jak już wyżej przytoczono, Ośrodek w piśmie z dnia (…) lutego 2021 r. wskazał przepisy, z których w jego przekonaniu wynika (cyt.) „obowiązek rejestracji sygnału audio/video”:

1.

art. 423 ust. 1 ustawy o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi, zgodnie z którym pomieszczenia i urządzenia izby wytrzeźwień lub placówki odpowiadają wymaganiom odpowiednim do wykonywanych zadań, w tym są wyposażone w system umożliwiający obserwację osób w nich umieszczonych w celu zapewnienia bezpieczeństwa tych osób,

2.

art. 42 ust. 12 ustawy o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi, który stanowi, że zamknięte pomieszczenie przeznaczone do izolacji wyposaża się w instalację monitoringu umożliwiającą stały nadzór nad osobą w nim umieszczoną oraz kontrolę wykonania czynności związanych z tym środkiem przymusu bezpośredniego,

3.

art. 6 ust. 2 pkt 4 rozporządzenia z dnia 8 grudnia 2014 r., z którego wynika, że w pomieszczeniach izby wytrzeźwień lub placówki zapewnia się bezpośredni dostęp światła dziennego, oświetlenie elektryczne oraz system przywoławczy umożliwiający, w razie potrzeby, wezwanie pracownika, o którym mowa w art. 42 ust. 10 ustawy, a pomieszczenia dla osób, o których mowa w ust. 1 pkt 2 (tj. osób, których zachowanie stwarza poważne zagrożenie dla ich zdrowia lub życia albo zdrowia lub życia innych osób przyjętych do izby wytrzeźwień lub placówki), wyposaża się dodatkowo w zabezpieczoną przed uszkodzeniem instalację monitoringu umożliwiającą stały nadzór nad osobą, o której mowa w ust. 1 pkt 2,

4.

art. 6 ust. 1 w zw. z art. 9 ust. 2 lit. b), c) i z art. 3 ust. 2 lit. b) i art. 4 pkt 2 rozporządzenia 2016/679.

Ostatnia z przywołanych powyżej podstaw prawnych przetwarzania przez Administratora danych osobowych w niniejszej sprawie wymaga obszerniejszego opisu. Jak już wyżej wskazano, zgodnie z treścią art. 6 ust. 1 rozporządzenia 2016/679 przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z warunków wymienionych w lit. a) - f). Art. 9 ust. 2 rozporządzenia 2016/679 wprowadza z kolei wyjątki od przewidzianego w ustępie 1 tego artykułu zakazu przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby. Przepis ten we wskazanych przez Administratora (ww.) punktach stanowi, że zakaz ten nie ma zastosowania, jeżeli spełniony jest jeden z poniższych warunków:

b)

przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą;

c)

przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, a osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody.

Z kolei art. 3 ust. 2 lit. b) rozporządzenia 2016/679 wskazuje, że rozporządzenie to ma zastosowanie do przetwarzania danych osobowych osób, których dane dotyczą, przebywających w Unii przez administratora lub podmiot przetwarzający niemających jednostek organizacyjnych w Unii, jeżeli czynności przetwarzania wiążą się z monitorowaniem ich zachowania, o ile do zachowania tego dochodzi w Unii.

Art. 4 pkt 2 rozporządzenia 2016/679 (ostatni z przepisów wskazanych w ww. pkt 4) zawiera definicję „przetwarzania”, które na gruncie tego rozporządzenia oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

Trudno ustalić, co miał na myśli Administrator wskazując jako podstawę prawną obowiązku rejestracji sygnału audio/video przepisy wymienione w ww. pkt 4. Należy zakładać, że definicja legalna „przetwarzania” została najprawdopodobniej przywołana jedynie dla zobrazowania, jakie operacje Administrator może jego zdaniem przeprowadzać na danych osobowych gromadzonych w związku z utrwalaniem przez niego m.in. dźwięku w ramach zainstalowanego monitoringu. Jednak przywołania przez Administratora art. 3 ust. 2 lit. b) rozporządzenia 2016/679 nie można już łatwo uzasadnić. Ośrodek nie jest bowiem administratorem lub podmiotem przetwarzającym niemającym jednostek organizacyjnych w Unii Europejskiej. Łatwiejsze do logicznego uzasadnienia, choć wciąż całkowicie chybione, wydają się być próby powołania się przez Administratora na pozostałe przepisy rozporządzenia 2016/679 wskazane w ww. pkt 4. Aby zachować spójność uzasadnienia niniejszej decyzji i pewną chronologię (jako że art. 6 ust. 1 rozporządzenia 2016/679 przywołany został również w późniejszej argumentacji Administratora zawartej w piśmie z dnia (…) grudnia 2021 r. - w zakresie lit. c, d i e), organ nadzorczy odniesie się jednak najpierw do przepisów wskazanych w ww. pkt 1-3 powyżej, stanowiących fragment pisma Administratora z dnia (…) lutego 2021 r. W następnej kolejności analiza dotyczyć będzie pozostałych przepisów wskazanych przez Administratora w pismach z dnia (…) lutego i (…) grudnia 2021 r.

Przepisy ustawy o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi mogą na pierwszy rzut oka wydawać się nieoczywiste w zakresie dopuszczalności rejestracji dźwięku w ramach monitoringu stosowanego w izbach wytrzeźwień - nie precyzują bowiem wprost, czy wskazane w tych przepisach pomieszczenia powinny być wyposażone w monitoring utrwalający wyłącznie obraz, czy jednocześnie obraz i dźwięk. Organ nadzorczy w niniejszym uzasadnieniu wskazał więc na właściwe zasady wykładni i w oparciu o jej poszczególne rodzaje kolejno przeprowadził swoją argumentację dotyczącą dopuszczalności rejestracji dźwięku i przetwarzania danych osobowych w tym zakresie.

W pierwszej kolejności, analizując przepisy wskazane w ww. pkt 1-2 (tj. art. 423 ust. 1 i art. 42 ust. 12 ustawy o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi), Prezes UODO przeprowadził wykładnię językową. Uczynił to ze względu na fakt, że rezultat zastosowania tej wykładni przez Administratora (przedstawiony w jego piśmie datowanym na dzień (…) grudnia 2021 r.) należy uznać za nielogiczny - Administrator wskazał bowiem (nie powołując żadnych przypisów), że (cyt.): »(…) „stały nadzór” i „obserwacja” obejmują całokształt obserwowalnych zmysłami zjawisk mających miejsce w pomieszczeniach (…)«.

Art. 423 ust. 1 ww. ustawy (dotyczący pomieszczeń izby wytrzeźwień w ogólności) stanowi, że pomieszczenia i urządzenia izby wytrzeźwień lub placówki odpowiadają wymaganiom odpowiednim do wykonywanych zadań, w tym są wyposażone w system umożliwiający obserwację osób w nich umieszczonych w celu zapewnienia bezpieczeństwa tych osób. „Obserwacja” to (zgodnie ze znaczeniem adekwatnym do kontekstu, wskazanym za: https://sjp.pwn.pl/szukaj/obserwacja.html): „uważne przyglądanie się czemuś lub komuś przez dłuższy czas”.

Natomiast z art. 42 ust. 12 ww. ustawy (dotyczącego wyłącznie monitoringu pomieszczeń przeznaczonych do izolacji) - wynika, że zamknięte pomieszczenie przeznaczone do izolacji wyposaża się w instalację monitoringu umożliwiającą stały nadzór nad osobą w nim umieszczoną oraz kontrolę wykonania czynności związanych z tym środkiem przymusu bezpośredniego. „Monitoring” (zgodnie z definicją podaną za: https://sjp.pwn.pl/slowniki/monitoring.html) oznacza „stałą obserwację i kontrolę jakichś procesów lub zjawisk”, a także „stały nadzór nad jakimś obiektem chronionym”.

Z uwagi na fakt, że w art. 6 ust. 2 pkt 4 rozporządzenia z dnia 8 grudnia 2014 r., mowa jest również o instalacji monitoringu (umożliwiającej stały nadzór nad osobą, o której mowa w ust. 1 pkt 2), powyższe wnioski można też odnieść do tego przepisu (wskazanego w ww. pkt 3).

Ze względu na to, że termin „obserwacja” odnosi się do postrzegania tylko jednym zmysłem (wzroku) oraz mając na uwadze przywołane przepisy art. 47, 51 i 31 ust. 3 Konstytucji, należy w tym przypadku wstrzymać się od nieuzasadnionej rozszerzającej wykładni pozwalającej na rejestrację w ramach monitoringu czegokolwiek poza obrazem.

W niniejszej sprawie nad wyraz pomocne będzie skorzystanie również z wykładni porównawczej. W jej ramach należy przeanalizować np. odpowiednie przepisy rozporządzenia Ministra Spraw Wewnętrznych z dnia 4 czerwca 2012 r. w sprawie pomieszczeń przeznaczonych dla osób zatrzymanych lub doprowadzonych w celu wytrzeźwienia, pokoi przejściowych, tymczasowych pomieszczeń przejściowych i policyjnych izb dziecka, regulaminu pobytu w tych pomieszczeniach, pokojach i izbach oraz sposobu postępowania z zapisami obrazu z tych pomieszczeń, pokoi i izb (Dz. U. z 2012, poz. 638, ze zm.), zwanego dalej: „rozporządzeniem z dnia 4 czerwca 2012 r.”, wydanego na podstawie art. 15 ust. 10 ustawy z dnia 6 kwietnia 1990 r. o Policji (Dz. U. z 2021, poz. 1882, ze zm.) zwanej dalej „ustawą o Policji”. Porównanie dokonane w tym zakresie jest szczególnie uzasadnione ze względu na jednakowe cele realizowane przez jednostki samorządu terytorialnego tworzące izby wytrzeźwień oraz Policję - art. 1 ust. 1 ustawy o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi stanowi bowiem, że zarówno organy administracji rządowej, jak i jednostki samorządu terytorialnego, są obowiązane do podejmowania działań zmierzających m.in. do usuwania następstw nadużywania alkoholu. W zakresie świadczeń spełnianych na rzecz osób nietrzeźwych ww. podmioty pełnią tę samą rolę, ponieważ osoby w stanie nietrzeźwości, które swoim zachowaniem dają powód do zgorszenia w miejscu publicznym lub w zakładzie pracy, znajdują się w okolicznościach zagrażających ich życiu lub zdrowiu albo zagrażają życiu lub zdrowiu innych osób, mogą zostać doprowadzone do izby wytrzeźwień lub placówki, podmiotu leczniczego albo do miejsca zamieszkania lub pobytu, a w razie braku izby wytrzeźwień lub placówki osoby te, mogą być doprowadzone do jednostki Policji (art. 40 ust. 1 i 2 ustawy o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi). Zgodnie z art. 15 ust. 7b ustawy o Policji pomieszczenia m.in. dla osób doprowadzonych w celu wytrzeźwienia mogą tworzyć i znosić komendanci wojewódzcy Policji oraz Komendant Stołeczny Policji, a w pomieszczeniach tych Policjanci mają prawo obserwowania i rejestrowania przy użyciu środków technicznych obrazu (art. 15 ust. 1 pkt 4a ustawy o Policji).

Dokonując ww. porównania należy wskazać, że § 14 i 15 ust. 1 rozporządzenia z dnia 4 czerwca 2012 r. dotyczące warunków, jakim powinny odpowiadać pomieszczenia w jednostkach organizacyjnych Policji dla osób zatrzymanych lub doprowadzonych w celu wytrzeźwienia stanowią odpowiednio, iż:

–

pomieszczenie może być wyposażone w urządzenia monitorujące, w tym służące również do obserwowania i rejestrowania obrazu, działające w systemie całodobowym,

–

do przekazywania, odtwarzania i utrwalania obrazu w pomieszczeniu może służyć system telewizji przemysłowej.

Nadto rozdział 7 rozporządzenia z dnia 4 czerwca 2012 r., w którym uregulowano sposób przechowywania i niszczenia zapisów obrazu m.in. z pomieszczeń dla osób zatrzymanych lub doprowadzonych w celu wytrzeźwienia, a także warunki właściwego zabezpieczenia utrwalonego obrazu przed utratą, zniekształceniem lub nieuprawnionym ujawnieniem, dotyczy (jak jego tytuł wskazuje) jedynie zapis obrazu. Prawodawca w ogóle nie przewidział w tym przypadku możliwości zapisu dźwięku (vide również: art. 15 ust. 1 pkt 4a ww. ustawy o Policji). Jeśli takie rozwiązanie zostało przyjęte w przypadku pomieszczeń w jednostkach organizacyjnych Policji, w których przebywają osoby doprowadzone w celu wytrzeźwienia, to jakie miałyby być racjonalne podstawy do wnioskowania o szerszym zakresie danych możliwych do utrwalania w ramach monitoringu w izbach wytrzeźwień wskazanych lub utworzonych przez jednostki samorządu terytorialnego, o których mowa w rozporządzeniu z dnia 8 grudnia 2014 r.

Administrator w swojej argumentacji podnosił m.in., że rejestracja w ramach monitoringu również dźwięku miałaby być uzasadniona względami bezpieczeństwa i chęcią ochrony zdrowia osób znajdujących się w Ośrodku. Weryfikując zasadność tych twierdzeń, warto zwrócić uwagę na to, gdzie Administrator umieścił mikrofony - nie wszystkie miejsca wydają się bowiem w tym kontekście „odpowiednie”. Zgodnie bowiem z § 2 ust. 3 Instrukcji w Ośrodku mikrofony zainstalowane są w kamerach:

1.

na parterze:

–

przy wejściu do Ośrodka od strony parkingu dla służb miejskich,

–

w pomieszczeniu alkomatu,

–

w poczekalni dla osób doprowadzonych,

–

w pomieszczeniu zdawania depozytu,

–

w przebieralni,

–

w pomieszczeniu lekarza w części przeznaczonej do przyjmowania osób doprowadzonych do Działu (…) Ośrodka,

–

na korytarzu przy drzwiach wejściowych do Działu (…) przy głównym wejściu do budynku Ośrodka (2 mikrofony),

–

w pomieszczeniu depozytariuszy nad biurkiem.

2.

Na pierwszym piętrze - na początku i końcu korytarzy po stronie prawej i lewej budynku (łącznie cztery mikrofony). Zdaniem Prezesa UODO, uzasadnianie rejestracji dźwięku np. w pomieszczeniu lekarza, czy w pomieszczeniu depozytariuszy, chęcią ochrony życia, zdrowia czy bezpieczeństwa osób doprowadzanych do Ośrodka, wydaje się być co najmniej przesadzone. Nie oznacza to jednak, że w przypadku innych pomieszczeń utrwalanie dźwięku w ramach monitoringu jest uzasadnione.

By uniknąć jednak wrażenia, że utrwalanie dźwięku nawet w takich miejscach jak ww. pomieszczenia do izolacji, mogłoby być dozwolone, należy przywołać treść § 6 ust. 3 i 4 rozporządzenia z dnia 8 grudnia 2014 r. Z przepisów tych wynika bowiem odpowiednio, że:

–

instalacja, o której mowa w ust. 2 pkt 4 (tj. zabezpieczona przed uszkodzeniem instalacja monitoringu umożliwiająca stały nadzór nad osobą, o której mowa w ust. 1 pkt 2), umożliwia zapis obrazu oraz jego przechowywanie przez okres co najmniej 30 dni, nie dłużej jednak niż 60 dni od dnia jego zarejestrowania, a dostęp do tej instalacji i zapisu obrazu jest kontrolowany, możliwy tylko dla dyrektora izby wytrzeźwień, kierownika placówki lub upoważnionej przez nich osoby,

–

po upływie okresu przechowywania, o którym mowa w ust. 3, zapis obrazu jest usuwany w sposób uniemożliwiający jego odzyskanie.

Ww. przepisy wskazują więc jednoznacznie na możliwość rejestrowania w takich pomieszczeniach jedynie obrazu. Wbrew pozorom ustawodawca nie pominął specyficznej sytuacji osób, wobec których zastosowano przymus bezpośredni w formie izolacji - dla ich bezpieczeństwa i w dbałości o ich zdrowie zawarł bowiem w ustawie o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi art. 42 ust. 10. Zgodnie z tym przepisem pracownik wyznaczony przez dyrektora izby wytrzeźwień lub kierownika placówki albo funkcjonariusz Policji wyznaczony przez komendanta jednostki Policji lub osobę przez niego upoważnioną, a podczas ich nieobecności - dyżurnego jednostki Policji, jest obowiązany do kontroli stanu zdrowia osoby, wobec której zastosowano przymus bezpośredni w formie unieruchomienia lub izolacji, nie rzadziej niż co 15 minut, również w czasie snu tej osoby oraz niezwłocznie po zaprzestaniu stosowania przymusu bezpośredniego.

Biorąc pod uwagę powyższe argumenty Prezesa UODO, należy stwierdzić, że nagrywanie dźwięku jest w przedmiotowym przypadku działaniem nadmiarowym, którego nie uzasadniają wyżej wskazane przepisy ustawy o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi oraz rozporządzenia z dnia 8 grudnia 2014 r. (o których mowa w pkt 1-3 na str. 10 niniejszego uzasadnienia). Argumentacja ta powinna być wzięta również pod uwagę przy ocenie zasadności wskazywania przez Administratora pozostałych przepisów uzasadniających jego zdaniem rejestrację dźwięku w ramach monitoringu.

Odnosząc się do pozostałych argumentów przytoczonych przez Administratora w piśmie z dnia (…) lutego 2021 r. oraz w piśmie, które wpłynęło do tutejszego Urzędu w dniu (…) grudnia 2021 r., warto również dokonać pewnych porównań. Przy ustalaniu zakresu danych osobowych, które mogą być przetwarzane przez Administratora w przedmiotowej sytuacji, pomocna może być bowiem analiza przepisów dotyczących monitoringu prowadzonego w innych miejscach, w których przebywają osoby, których życie i zdrowie jest zagrożone lub osoby, których pobyt w danym miejscu ma charakter przymusowy.

I tak, uzasadnianie przez Administratora nagrywania w ramach monitoringu również dźwięku z powołaniem się na (cyt.): „(…) stan bezpieczeństwa i zdrowia osób doprowadzonych lub umieszczonych w izbie wytrzeźwień (…)” jest zdaniem organu nadzorczego chybione, jeśli weźmie się pod uwagę sposób monitorowania stanu osób przebywających w szpitalach, czy placówkach medycznych. Rozważając odpowiednie uregulowania wprowadzone w tym zakresie, należy pamiętać, że ustawodawca w art. 20 ust. 1 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz. U. z 2020 r., poz. 849, ze zm.) wyraźnie wskazał, że pacjent ma prawo do poszanowania intymności i godności, w szczególności w czasie udzielania mu świadczeń zdrowotnych. Konsekwentnie ustawodawca w treści art. 23a ust. 1 ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej (Dz. U. z 2022 r., poz. 633, ze zm.) wskazał, że kierownik podmiotu wykonującego działalność leczniczą może określić w regulaminie organizacyjnym sposób obserwacji pomieszczeń:

1.

ogólnodostępnych, jeżeli jest to niezbędne do zapewnienia bezpieczeństwa pacjentów lub pracowników pomieszczeń,

2.

w których są udzielane świadczenia zdrowotne oraz pobytu pacjentów, w szczególności pokoi łóżkowych, pomieszczeń higieniczno-sanitarnych, przebieralni, szatni, jeżeli wynika to z przepisów odrębnych - za pomocą urządzeń umożliwiających rejestrację obrazu (monitoring).

Biorąc pod uwagę powyżej przytoczone przepisy, trudno przyjąć, że „stan bezpieczeństwa i zdrowia” osób nietrzeźwych uzasadnia utrwalanie dźwięku w ramach monitoringu prowadzonego w Ośrodku, skoro ustawodawca nie przyjął takiego rozwiązania w przypadku pacjentów np. szpitali - często będących przecież w stanie bezpośredniego zagrożenia życia.

Kontynuując porównywanie przepisów, warto wskazać na podstawy prawne rejestracji dźwięku w innych miejscach, w których pobyt osób nie ma charakteru dobrowolnego. I tak w art. 73a § 1 ustawy z dnia 6 czerwca 1997 r. Kodeks karny wykonawczy (Dz. U. z 2021 r., poz. 53, ze zm.) - dalej zwanej Kkw, ustawodawca wprost wskazał, że zakłady karne mogą być monitorowane przez wewnętrzny system urządzeń rejestrujących obraz lub dźwięk, w tym przez system telewizji przemysłowej. Ponadto, w kontekście wyżej opisanej dbałości o zdrowie i bezpieczeństwo osób, których dane są przetwarzane, warto zaznaczyć, że w art. 116 § 5a Kkw wskazano wyraźnie, że w wypadkach uzasadnionych względami medycznymi albo potrzebą zapewnienia bezpieczeństwa skazanego jego zachowanie może podlegać monitorowaniu, a monitorowany obraz lub dźwięk podlega utrwalaniu. Podobne uregulowania zostały przez ustawodawcę wprowadzone w art. 212b § 2 Kkw (dotyczącym warunków pobytu w areszcie sprawców szczególnie niebezpiecznych), w którym wskazano, że zachowanie tymczasowo aresztowanego stwarzającego poważne zagrożenie społeczne albo poważne zagrożenie dla bezpieczeństwa aresztu podlega stałemu monitorowaniu, monitorowanie prowadzi się w celach mieszkalnych wraz z częścią przeznaczoną do celów sanitarno-higienicznych oraz w miejscach i pomieszczeniach, o których mowa w § 1 pkt 1 tego artykułu, a ponadto, że monitorowany obraz lub dźwięk podlega utrwalaniu.

Jak wynika z przywołanych wyżej przykładów, ustawodawca wskazał wprost na możliwość utrwalania w ramach monitoringu prowadzonego w takich miejscach nie tylko obrazu, lecz także dźwięku. Uzasadnienie nagrywania dźwięku w takich okolicznościach (jak te wymienione w odpowiednich przepisach Kkw) jest też stanowczo bardziej przekonujące niż w przypadku osób przyjętych do Ośrodka celem wytrzeźwienia. Dlatego niewskazanie przez prawodawcę w odpowiednich przepisach możliwości utrwalania dźwięku przez podmioty takie jak Administrator wydaje się logiczne i niedające rozsądnych podstaw do wysnuwania wniosków o większych niż wyrażone wprost uprawnieniach.

Prowadząc rozważania w powyższym zakresie powinno się również podkreślić, że rejestrowanie dźwięku to uprawnienie, które jest w prawie krajowym zastrzeżone przede wszystkim dla służb. Przypadki, w których istnieje uprawnienie do takiej rejestracji zostały wprost określone w konkretnych przepisach prawa, co dodatkowo przemawia za tym, aby przepisów ustawy o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi nie interpretować w sposób rozszerzający. Jako przykłady przepisów krajowych regulujących kwestie uprawnień służb i innych podmiotów do nagrywania dźwięku można wskazać m.in.:

1.

art. 23 ust. 1 pkt 6) ustawy z dnia 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji Wywiadu (Dz. U. z 2022 r., poz. 557), zgodnie z którym funkcjonariusze ABW wykonując czynności służące realizacji zadań, o których mowa w art. 5 ust. 1 tej ustawy, mają prawo obserwowania i rejestrowania przy użyciu środków technicznych obrazu zdarzeń w miejscach publicznych oraz dźwięku towarzyszącego tym zdarzeniom w trakcie wykonywania czynności operacyjno-rozpoznawczych podejmowanych na podstawie ustawy;

2.

art. 14 ust. 1 pkt 6) ustawy z dnia 9 czerwca 2006 r. o Centralnym Biurze Antykorupcyjnym (Dz. U. z 2021 r., poz. 1671, ze zm.), z którego wynika, że funkcjonariusze CBA, wykonując czynności służące realizacji zadań, o których mowa w art. 2 ust. 1 pkt 1 tej ustawy, mają prawo obserwowania i rejestrowania, przy użyciu środków technicznych, obrazu zdarzeń w miejscach publicznych oraz dźwięku towarzyszącego tym zdarzeniom w trakcie wykonywania czynności operacyjno-rozpoznawczych podejmowanych na podstawie ustawy;

3.

art. 15 ust. 1 pkt 5a ustawy o Policji, zgodnie z którym policjanci wykonując czynności, o których mowa w art. 14 tej ustawy, mają prawo obserwowania i rejestrowania przy użyciu środków technicznych obrazu zdarzeń w miejscach publicznych, a w przypadku czynności operacyjno-rozpoznawczych i administracyjno-porządkowych podejmowanych na podstawie ustawy - także i dźwięku towarzyszącego tym zdarzeniom.

Fakt, że powyższe uregulowania wskazują wprost na uprawnienie do rejestracji nie tylko obrazu, lecz również dźwięku, nie jest wynikiem przypadku. Ustawodawca jest w tym zakresie konsekwentny, czego dodatkowym przejawem jest brzmienie art. 11 ust. 1 ustawy z dnia 20 marca 2009 r. o bezpieczeństwie imprez masowych (Dz. U. z 2019 r., poz. 2171, ze zm.), który stanowi, że organizator jest uprawniony do utrwalania przebiegu imprezy masowej, a w szczególności zachowania osób w niej uczestniczących, za pomocą urządzeń rejestrujących obraz i dźwięk.

W niniejszej sprawie nie powinno się również zapominać, że osoba doprowadzana do Ośrodka ma zwykle mniejszą szansę niż osoba trzeźwa (np. przychodząca na wizytę do podmiotu prowadzącego działalność leczniczą) na świadome zapoznanie się z wywieszoną gdziekolwiek informacją o objęciu danego pomieszczenia monitoringiem, w ramach którego rejestruje się dźwięk (pomijając już fakt, że tabliczki znajdujące się przy głównych wejściach do Ośrodka nie informują o takiej rejestracji). I choćby z uwagi na to, Administrator powinien z większą ostrożnością określać zakres przetwarzanych przez siebie danych osobowych. Z powyższych powodów rażącą przesadą wydaje się stwierdzenie przez Administratora zawarte w piśmie datowanym na (…) grudnia 2021 r., że (cyt.): „Godzi się w tym miejscu podkreślić, że w Ośrodku wywieszono w miejscach widocznych dla osób przebywających na terenie objętym monitoringiem tablice wyraźnie informujące o formie, celu i zakresie stosowania monitoringu), co wyklucza możliwość uznania, że przedmiotowy monitoring jest sprawowany bez wiedzy osób, które mu podlegają” - nadmienić przy tym warto, że jedynie miejsca aktywności mikrofonów rejestrujących dźwięk oznaczone zostały tabliczkami o treści: „OBIEKT MONITOROWANY OBRAZ I DŹWIĘK JEST REJESTROWANY”).

Należy pamiętać, że utrwalanie obrazu i dźwięku za pomocą urządzenia rejestrującego w placówkach takich jak Ośrodek jest nierozerwalnie związane z przetwarzaniem danych osobowych, w tym danych szczególnych kategorii. W miejscach tych mogą być bowiem podejmowane różne, często głęboko w prywatność ingerujące, wręcz intymne dyskusje, wymieniane informacje nieograniczone zarówno co do ilości, jak i co do rodzaju. Dlatego tak bardzo dziwi nonszalanckie wręcz stwierdzenie Administratora zawarte w piśmie z dnia (…) grudnia 2021 r. (cyt.): „(…) należy stwierdzić, że przepisy regulujące funkcjonowanie izb wytrzeźwień określając minimalne standardy wyposażenia izby wytrzeźwień, nie wyłączają dopuszczalności stosowania monitoringu dźwiękowego, zaś objęcie tymże monitoringiem części pomieszczeń izby jest niezbędne dla zapewnienia odpowiedniego poziomu bezpieczeństwa osób i mienia na terenie Ośrodka i znajduje uzasadnienie w przywołanych i omówionych wyżej podstawach”.

Zgodnie z Wytycznymi Europejskiej Rady Ochrony Danych określonymi w „Wytycznych 3/19 w sprawie przetwarzania danych osobowych przez urządzenia wideo”[1] (dalej zwanymi: „Wytycznymi”), zapis audiowizualny stanowi niewątpliwie większą formę ingerencji w prywatność niż sam obraz. Ponadto, w pkt 9.3 ppkt 129 Wytycznych wskazano, że administrator przy wybieraniu rozwiązań technicznych odnoszących się do prowadzonego monitoringu nie powinien wybierać rozwiązań zawierających funkcje, które nie są niezbędne (wśród funkcji tych mieści się: nieograniczone śledzenie ruchów kamery, możliwość przybliżenia, transmisja radiowa, analiza i nagrania dźwiękowe). Zgodnie z przytoczonymi Wytycznymi funkcje, które nie są niezbędne powinny zostać dezaktywowane.

Mając powyższe na względzie oraz biorąc pod uwagę wcześniej przywołaną argumentację Prezesa UODO (z której wynika, że rejestracji dźwięku nie uzasadnia dbałość o stan zdrowia, czy o bezpieczeństwo osób przyjętych do Ośrodka lub obowiązki, czy zadania Administratora) za bezzasadne należy uznać wskazywanie przez Administratora przepisów art. 6 ust. 1 czy art. 9 ust. 2 lit. b) i c) rozporządzenia 2016/679 jako podstawy do rejestracji dźwięku na terenie Ośrodka. Rozważając tę ostatnią podstawę (art. 9 ust. 2 lit. b i c rozporządzenia 2016/679) należy wprost wskazać, że przetwarzanie danych osób przebywających w Ośrodku w zakresie nagrywanego dźwięku nie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez Administratora lub osobę, której dane dotyczą (w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej), a także nie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej - fizycznie lub prawnie niezdolnych do wyrażenia zgody. Nagrywanie głosów osób będących często w stanie upojenia alkoholowego uniemożliwiającym im świadome formułowanie wypowiedzi czy panowanie nad wydawanymi dźwiękami, jest działaniem nadmiarowym, niecelowym i nieznajdującym rzeczywistego uzasadnienia - szczególnie biorąc pod uwagę miejsca, w których Administrator zamieścił mikrofony w kamerach. W jaki bowiem sposób umieszczenie mikrofonów w pomieszczeniu depozytariuszy nad biurkiem miałoby być niezbędne np. do wykonywania przez Administratora obowiązków w powyższym zakresie. Podobnie żaden żywotny interes osoby niezdolnej do wyrażenia zgody nie wydaje się uzasadniać nagrywania dźwięku w przebieralni. Umożliwienie Ośrodkowi przetwarzania danych osobowych osób doprowadzonych w celu wytrzeźwienia (w ramach tworzonej dokumentacji), a także danych utrwalanych w ramach prowadzonego monitoringu wizyjnego jest zdaniem ustawodawcy (jak wskazuje analiza stosownych przepisów) wystarczające dla realizacji zadań tego podmiotu.

Jak wykazano, z przepisów ustawy o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi oraz rozporządzenia z dnia 8 grudnia 2014 r. wskazanych przez Administratora w piśmie z dnia (…) lutego 2021 roku wynika, że Ośrodek ma prawo do stosowania monitoringu jedynie w zakresie rejestracji obrazu.

Przepisy rozporządzenia 2016/679 ustanowiły podstawowe zasady przetwarzania danych osobowych, w tym zasadę zgodności z prawem, sformułowaną w art. 5 ust. 1 lit. a) rozporządzenia 2016/679. Zasada zgodności z prawem, „określana również mianem legalności przetwarzania danych, oznacza wymóg przestrzegania norm ustanowionych w przepisach prawa. Zasada zgodności przetwarzania danych z prawem ma szeroki zakres przedmiotowy, nie chodzi tu tylko o przepisy komentowanego rozporządzenia, ale także o przepisy zawarte w innych aktach normatywnych. (…) Wśród przepisów dotyczących przetwarzania danych szczególną rolę pełnią wymogi odnoszące się do zgodności przetwarzania z prawem (określane także jako tzw. podstawy dopuszczalności przetwarzania danych lub przesłanki legalności przetwarzania danych), określone w przepisach art. 6, 9 i 10 komentowanego rozporządzenia. Przepisy te wskazują przypadki, gdy przetwarzanie danych jest prawnie dopuszczalne (ujmując to najprościej: kiedy można zgodnie z prawem przetwarzać dane osobowe)” (Fajgielski Paweł, Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz).

Zatem Ośrodek instalując w na swoim terenie urządzenia do monitoringu w postaci kamer oraz mikrofonów powinien dysponować przesłanką dopuszczającą nie tylko nagrywanie obrazu, ale również dźwięku. Tymczasem w niniejszej sprawie Administrator nie może powołać się na żadną z przesłanek wymienionych w art. 6 ust. 1 rozporządzenia 2016/679, a w szczególności na wskazaną w art. 6 ust. 1 lit. c), zgodnie z którą przetwarzanie danych jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Jak bowiem wykazano wyżej, żaden z przepisów regulujących kwestie związane z działalnością Ośrodka nie pozwala na nagrywanie przez niego w ramach monitoringu tego typu danych (dźwięk). Na tej podstawie stwierdzić również należy, że przesłanka wskazana w art. 6 ust. 1 lit. e) rozporządzenia 2016/679 nie może być zastosowana. Pozostałe przesłanki dopuszczalności przetwarzania danych osobowych wymienione w art. 6 ust. 1 rozporządzenia 2016/679 z uwagi na ich charakter nie mogą stanowić podstawy przetwarzania danych osobowych w niniejszej sprawie. Za zupełnie chybione należy uznać przy tym powoływanie się przez Administratora na art. 9 ust. 2 lit. b) i c) rozporządzenia 2016/679.

W konsekwencji uznać należy, że przetwarzanie danych osobowych w zakresie nagrań dźwięku dokonanych na terenie Ośrodka skutkuje naruszeniem przez Administratora art. 5 ust. 1 lit. a) oraz art. 6 ust. 1 rozporządzenia 2016/679. Aby przetwarzanie danych osobowych było zgodne z prawem, konieczne jest wskazanie podstawy prawnej przetwarzania. Bezsporne w niniejszej sprawie jest, że żaden przepis prawa nie upoważnia Administratora do przetwarzania danych osobowych w zakresie nagrań dźwięku dokonanych na terenie Ośrodka, a ponadto sam Administrator nie jest w stanie wskazać podstawy prawnej swojego działania.

Na podstawie art. 58 ust. 2 lit. i) rozporządzenia 2016/679, każdemu organowi nadzorczemu przysługuje uprawnienie do zastosowania, oprócz lub zamiast innych środków naprawczych przewidzianych w art. 58 ust. 2 lit. a) - h) oraz lit. j) tego rozporządzenia, administracyjnej kary pieniężnej na mocy art. 83 rozporządzenia 2016/679, zależnie od okoliczności konkretnej sprawy. Mając na uwadze ustalenia stanu faktycznego, Prezes Urzędu Ochrony Danych Osobowych, korzystając z przysługującego mu uprawnienia określonego we wskazanym wyżej przepisie rozporządzenia 2016/679 stwierdził, że w rozpatrywanej sprawie zaistniały przesłanki uzasadniające nałożenie na (…) Ośrodek (…) z siedzibą w D. administracyjnej kary pieniężnej.

Przy ustalaniu wysokości kary Prezes UODO wziął pod uwagę następujące okoliczności sprawy wpływające obciążająco na wymiar nałożonej kary finansowej:

a)

Charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody (art. 83 ust. 2 lit. a rozporządzenia 2016/679);

W ocenie Prezesa UODO naruszenie to ma dużą wagę i poważny charakter. Administrator jest podmiotem zaufania publicznego, od którego należy oczekiwać zarówno znajomości przepisów, jak i właściwego ich stosowania, a także wyższych standardów świadczonych usług. Podmiot ten, przetwarzając bez podstawy prawnej dane osobowe w zakresie rejestracji dźwięku prowadzonej na terenie Ośrodka (która pozwala na utrwalanie danych osób, które ze względu na swój stan oraz fakt, iż można wobec nich stosować środki przymusu, mogą mieć ograniczoną zdolność kontrolowania swoich działań i wypowiadanych słów), narusza zasadę zgodności z prawem przetwarzania danych, o której mowa art. 5 ust. 1 lit. a) rozporządzenia 2016/679. Naruszenie to ma więc dużą wagę oraz było długotrwałe - z wyjaśnień złożonych przez Administratora wynika bowiem, że dane obejmujące dźwięk były rejestrowane przez Administratora od dnia (…) listopada 2016 r. do dnia (…) grudnia 2021 r., a zatem stan naruszenia przepisów rozporządzenia 2016/679 trwał od (…) maja 2018 r. do dnia (…) grudnia 2021 r. (od rozpoczęcia stosowania przepisów rozporządzenia 2016/679 do dnia wyłączenia nagrywania dźwięku minęło ponad trzy i pół roku). Fakt rejestrowania dźwięku przez tak długi czas sprawia, że naruszenie dotyczy potencjalnie bardzo dużej liczby osób - i to nie tylko osób doprowadzonych do Ośrodka w celu wytrzeźwienia - pewne wyobrażenie w tym zakresie dają dane zamieszczone w raporcie Krajowego Mechanizmu Prewencji Tortur z wizytacji Ośrodka przeprowadzonej w dniach (…)-(…) lipca 2017 r., który został udostępniony przez Administratora organowi nadzorczemu pismem z dnia (…) lutego 2022 r., z którego wynika, że jeszcze w 2016 r. w Ośrodku umieszczono 26432 osoby dorosłe i 12 nieletnich.

b)

Umyślny charakter naruszenia (art. 83 ust. 2 lit. b rozporządzenia 2016/679);

Administrator powinien działać wyłącznie na podstawie przepisów prawa - te jednak nie upoważniały Administratora do przetwarzania danych w zakresie nagrań dźwięku dokonanych na terenie Ośrodka. W przedmiotowej sprawie Administrator już na etapie wskazywania przepisów stanowiących w jego opinii podstawę prawną przetwarzania takich danych mógł zweryfikować ich treść (biorąc również pod uwagę zakres uprawnień do przetwarzania danych osobowych przez Policję realizującą te same zadania wobec osób nietrzeźwych w pomieszczeniach przeznaczonych dla osób doprowadzanych celem wytrzeźwienia) i dokonać zmian w zakresie kategorii przetwarzanych danych - na tej podstawie stwierdzić należy, że naruszenie przez Ośrodek przepisów o ochronie danych w powyższym zakresie ma charakter umyślny.

Ustalając wysokość administracyjnej kary pieniężnej, Prezes UODO uwzględnił również okoliczność łagodzącą, mającą wpływ na ostateczny wymiar kary, tj. stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków (art. 83 ust. 2 lit. f rozporządzenia 2016/679). Fakt, że Administrator zareagował (choć nie od razu) na skierowane do niego w dniu (…) listopada 2021 r. przez organ nadzorczy zawiadomienie o wszczęciu postępowania administracyjnego zaprzestaniem (prewencyjnym - do czasu wydania przez Prezesa UODO rozstrzygnięcia) przetwarzania danych w tym zakresie oraz usunięciem wszystkich danych zarejestrowanych do dnia (…) grudnia 2021 r., świadczy o uwzględnieniu przez Administratora praw osób znajdujących się na terenie Ośrodka. Takie zachowanie Administratora świadczy zdaniem organu nadzorczego o woli współpracy ze strony Administratora.

Na fakt zastosowania przez Prezesa Urzędu sankcji w postaci administracyjnej kary pieniężnej, jak również na jej wysokość, nie miały wpływu inne, wskazane w art. 83 ust. 2 rozporządzenia 2016/679, okoliczności, tj.:

a)

działania podjęte przez administratora w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą (art. 83 ust. 2 lit. c rozporządzenia 2016/679) - z informacji posiadanych przez Urząd nie wynika, by szkody takie wystąpiły;

b)

stopień odpowiedzialności administratora z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez niego na mocy art. 25 i 32 (art. 83 ust. 2 lit. d rozporządzenia 2016/679) - przedmiotem niniejszego postępowania nie były objęte kwestie związane z bezpieczeństwem danych osobowych;

c)

stosowne wcześniejsze naruszenia przepisów rozporządzenia 2016/679 dokonane przez Ośrodek (art. 83 ust. 2 lit. e rozporządzenia 2016/679) - do chwili wydania niniejszej decyzji Prezes UODO nie stwierdził żadnych naruszeń;

d)

kategorie danych osobowych, których dotyczyło naruszenie (art. 83 ust. 2 lit. g rozporządzenia 2016/679) - w przedmiotowej sprawie nie stwierdzono, by naruszenie dotyczyło w znaczącym stopniu szczególnych kategorii danych osobowych;

e)

sposób w jaki organ nadzorczy dowiedział się o naruszeniu (art. 83 ust. 2 lit. h rozporządzenia 2016/679) - Prezes UODO powziął informację o potencjalnym naruszeniu przepisów o ochronie danych osobowych od podmiotu trzeciego;

f)

przestrzeganie wcześniej zastosowanych w tej samej sprawie środków, o których mowa w art. 58 ust. 2 rozporządzenia 2016/679 (art. 83 ust. 2 lit. i rozporządzenia 2016/679) - ze względu na fakt, że w niniejszej sprawie takich środków nie stosowano;

g)

stosowanie zatwierdzonych kodeksów postępowania na mocy art. 40 rozporządzenia 2016/679 lub zatwierdzonych mechanizmów certyfikacji na mocy art. 42 rozporządzenia 2016/679 (art. 83 ust. 2 lit. j rozporządzenia 2016/679) - z wyjaśnień złożonych przez Ośrodek nie wynika, by je stosował;

h)

osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty (art. 83 ust. 2 lit. k rozporządzenia 2016/679) - ze zgromadzonego w tej sprawie materiału dowodowego nie wynika, by Administrator osiągnął w związku z tym naruszeniem korzyści finansowe lub uniknął straty.

W ocenie Prezesa UODO, zastosowana administracyjna kara pieniężna spełnia w ustalonych okolicznościach niniejszej sprawy funkcje, o których mowa w art. 83 ust. 1 rozporządzenia 2016/679, tzn. jest w tym indywidualnym przypadku skuteczna, proporcjonalna i odstraszająca. W tym miejscu wskazać również należy na treść art. 102 ustawy o ochronie danych osobowych, z którego wynika ograniczenie wysokości (do 100 000 zł) kary, jaka może zostać nałożona na jednostkę sektora publicznego.

Należy podkreślić, że kara będzie skuteczna, jeżeli jej nałożenie doprowadzi do tego, że Administrator stosować się będzie do obowiązujących przepisów prawa i zaprzestanie na stałe dalszego naruszenia ochrony danych osobowych poprzez przetwarzanie danych osobowych w zakresie nagrań dźwięku dokonanych na terenie Ośrodka.

Prezes UODO stoi na stanowisku, że zastosowana kara pieniężna jest proporcjonalna do stwierdzonego naruszenia, szczególnie ze względu na wagę naruszenia, masowy charakter naruszenia oraz czas trwania naruszenia.

Odstraszający charakter kary pieniężnej wiąże się z zapobieganiem naruszeń w przyszłości oraz przykładanie większej wagi do realizacji zadań administratora. Kara ma odstraszać zarówno administratora przed ponownym naruszeniem, jak i inne podmioty. Nakładając niniejszą decyzją administracyjną karę pieniężną za naruszenie przepisów o ochronie danych osobowych Prezes UODO wziął pod uwagę oba aspekty:

po pierwsze - charakter represyjny: Administrator naruszył przepisy ogólnego rozporządzenia o ochronie danych,

po drugie - charakter prewencyjny: zarówno Ośrodek, jak i inni administratorzy, będą skutecznie zniechęceni do naruszania w przyszłości prawa ochrony danych osobowych, jednocześnie dokładając większej staranności przy realizacji swoich obowiązków wynikających z ogólnego rozporządzenia o ochronie danych.

Celem nałożonej kary jest doprowadzenie do właściwego wykonywania przez Administratora obowiązków przewidzianych w art. 5 ust. 1 lit. a) i art. 6 ust. 1 rozporządzenia 2016/679, a w konsekwencji do prowadzenia procesów przetwarzania danych zgodnie z obowiązującymi przepisami prawa.

W związku z powyższym wskazać należy, że kara pieniężna w wysokości 10.000,- złotych (słownie: dziesięciu tysięcy złotych), spełnia w ustalonych okolicznościach niniejszej sprawy przesłanki, o których mowa w art. 83 ust. 1 rozporządzenia 2016/679 ze względu na powagę stwierdzonego naruszenia w kontekście podstawowego celu rozporządzenia 2016/679 - ochrony podstawowych praw i wolności osób fizycznych, w szczególności prawa do ochrony danych osobowych. Jednocześnie wysokość administracyjnej kary pieniężnej nałożonej niniejszą decyzją na administratora będącego jednostką sektora finansów publicznych (wskazaną w art. 9 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych) mieści się w określonym w art. 102 ust. 1 ustawy o ochronie danych osobowych limicie 100 000 złotych.

W tym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.