Decyzja DS.523.6546.2024

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572 ze zm.) w zw. z art. 7 ust 1 ustawy o ochronie danych osobowych z dnia 10 maja 2018 roku (Dz. U. z 2019 r. poz. 1781), art. 6 ust. 1, art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4 maja 2016 r., str. 1, Dz. Urz. UE L 127 z 23 maja 2018 r., str. 2 oraz Dz. Urz. UE L 74 z 4 marca 2021 r., str. 35), zwanego dalej rozporządzeniem 2016/679,

po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana N. H. (1) (zam. w L. przy ul. (…)) i reprezentowanych przez niego: Pani D. E. (zam. w L. przy ul. (…)), Pana C. A. (zam. w L. przy ul. (…)), Pani E. Z. i Pani R. J. (zam. w L. przy ul. (…)), Pani O. L. (zam. w L. przy ul. (…)), Pani B. E. (zam. w L. przy ul. (…)), Pani K. K. (zam. w L. przy ul. (…)), Pani H. L. (zam. w L. przy ul. (…)), a także skarga Pani N. F. (1), Pani U. F. i Pana Z. F. (zam. w L. przy ul. (…)), Pani K. U. (zam. w L. przy ul. (…)), Pani T. F. i Pana N. F. (2) (zam. w L. przy ul. (…)), Pana Z. J. (1) i Pana Z. J. (2) (zam. w L. przy ul. (…)), Pana T. L. (zam. w L. przy ul. (…)), Pana J. L. (zam. w L. przy ul. (…)), Pana G. W., Pani E. W., Pani J. N. i Pani J. F. (zam. w L. przy ul. (…)), Pani U. U., Pana N. U. i Pana L. U. (zam. w L. przy ul. (…)), Pana K. J. (zam. w L. przy ul. (…)), Pani N. H. (2) (zam. w L. przy ul. (…)), Pani N. A. (zam. w L. przy ul. (…)), oraz Pani I. Z. (zam. w L. przy ul. (…)), na nieprawidłowości w procesie przetwarzania ich danych osobowych przez Pana U. Z. (zam. w L. przy ul. (…)), polegające na przetwarzaniu bez podstawy prawnej ich danych osobowych poprzez monitoring wizyjny, Prezes Urzędu Ochrony Danych Osobowych

nakazuje Panu U. Z. (zam. w L. przy ul. (…)) zaprzestanie przetwarzania danych osobowych Pana N. H. (1) (zam. w L. przy ul. (…)) i reprezentowanych przez niego: Pani D. E. (zam. w L. przy ul. (…)), Pana C. A. (zam. w L. przy ul. (…)), Pani E. Z. i Pani R. J. (zam. w L. przy ul. (…)), Pani O. L. (zam. w L. przy ul. (…)), Pani B. E. (zam. w L. przy ul. (…)), Pani K. K. (zam. w L. przy ul. (…)), Pani H. L. (zam. w L. przy ul. (…)), a także skarga Pani N. F. (1), Pani U. F. i Pana Z. F. (zam. w L. przy ul. (…)), Pani K. U. (zam. w L. przy ul. (…)), Pani T. F. i Pana N. F. (2) (zam. w L. przy ul. (…)), Pana Z. J. (1) i Pana Z. J. (2) (zam. w L. przy ul. (…)), Pana T. L. (zam. w L. przy ul. (…)), Pana J. L. (zam. w L. przy ul. (…)), Pana G. W., Pani E. W., Pani J. N. i Pani J. F. (zam. w L. przy ul. (…)), Pani U. U., Pana N. U. i Pana L. U. (zam. w L. przy ul. (…)), Pana K. J. (zam. w L. przy ul. (…)), Pani N. H. (2) (zam. w L. przy ul. (…)), Pani N. A. (zam. w L. przy ul. (…)), oraz Pani I. Z. (zam. w L. przy ul. (…)), w zakresie wizerunku oraz głosu, za pomocą monitoringu wizyjnego wykraczającego poza granice należącej do niego nieruchomości, w tym obejmującego drogę publiczną oraz nieruchomości Skarżących – w terminie 7 dni od dnia doręczenia niniejszej decyzji.

Uzasadnienie

Do Prezesa Urzędu Ochrony Danych Osobowych wpłynęła skarga Pana N. H. (1) (zam. w L. przy ul. (…)) i reprezentowanych przez niego: Pani D. E. (zam. w L. przy ul. (…)), Pana C. A. (zam. w L. przy ul. (…)), Pani E. Z. i Pani R. J. (zam. w L. przy ul. (…)), Pani O. L. (zam. w L. przy ul. (…)), Pani B. E. (zam. w L. przy ul. (…)), Pani K. K. (zam. w L. przy ul. (…)), Pani H. L. (zam. w L. przy ul. (…)), a także skarga Pani N. F. (1), Pani U. F. i Pana Z. F. (zam. w L. przy ul. (…)), Pani K. U. (zam. w L. przy ul. (…)), Pani T. F. i Pana N. F. (2) (zam. w L. przy ul. (…)), Pana Z. J. (1) i Pana Z. J. (2) (zam. w L. przy ul. (…)), Pana T. L. (zam. w L. przy ul. (…)), Pana J. L. (zam. w L. przy ul. (…)), Pana G. W., Pani E. W., Pani J. N. i Pani J. F. (zam. w L. przy ul. (…)), Pani U. U., Pana N. U. i Pana L. U. (zam. w L. przy ul. (…)), Pana K. J. (zam. w L. przy ul. (…)), Pani N. H. (2) (zam. w L. przy ul. (…)), Pani N. A. (zam. w L. przy ul. (…)), oraz Pani I. Z. (zam. w L. przy ul. (…)), dalej jako Skarżący, na nieprawidłowości w procesie przetwarzania ich danych osobowych przez Pana U. Z. (zam. w L. przy ul. (…)), zwanego dalej Skarżonym, polegające na przetwarzaniu bez podstawy prawnej danych osobowych Skarżących poprzez monitoring wizyjny.

W toku przeprowadzonego postępowania wyjaśniającego w niniejszej sprawie, Prezes Urzędu Ochrony Danych Osobowych (zwany dalej także Prezesem UODO), ustalił następujący stan faktyczny:

1)

Skarżący wskazali, że Skarżony– cyt.: „zamontował około (…) kamer na swojej posesji, które rejestrują nie tylko jego teren prywatny, ale również przestrzeń publiczną oraz posesje sąsiadów (…) Kamery te rejestrują zarówno obraz, jak i dźwięk przez 24 godziny na dobę, a zebrane dane są przetwarzane bez jakiejkolwiek zgody osób trzecich. Mieszkańcy czują się nękani i mają poczucie naruszania ich prywatności, co negatywnie wpływa na ich codzienne życie” (dowód: skarga z (…) października 2024 r.).

2)

Skarżący wnieśli do Prezesa UODO następujące żądania – cyt. „1. Nakazania zaprzestania bezprawnego monitoringu. 2. Nałożenia sankcji na właściciela monitoringu, zgodnie z przepisami RODO. 3. Zobowiązania właściciela do dostosowania systemu monitoringu do wymogów RODO, w tym umieszczenia odpowiednich oznaczeń oraz sporządzenia klauzuli informacyjnej” (dowód: skarga z (…) października 2024 r.).

3)

Prezes UODO pismem z (…) kwietnia 2025 r. (sygn.: DS.523.6546.2024.(…)) zwrócił się do Skarżonego o złożenie wyjaśnień w sprawie. Korespondencja została zwrócona Prezesowi UODO z adnotacją na kopercie „ZWROT nie podjęto w terminie” i datą (…).05.2025 r. (dowód: zwrócona korespondencja w aktach sprawy).

4)

Prezes UODO pismem z (…)czerwca 2025 r. (sygn.: DS.523.6546.2024.(…)) ponownie zwrócił się do Skarżonego o złożenie wyjaśnień w sprawie. Korespondencja została zwrócona Prezesowi UODO z adnotacją na kopercie „ZWROT nie podjęto w terminie” i datą (…).07.2025 r. (dowód: zwrócona korespondencja w aktach sprawy).

5)

Zgodnie z notatką służbową do akt sprawy dołączono linki do materiałów prasowych, które odnoszą się do prowadzonego monitoringu przez Skarżonego: https://(…); https://(…); https://(…); https://(…) (notatka służbowa z (…) lipca 2025 r. w aktach sprawy).

6)

Zgodnie z reportażem z (…) r. wskazanym w linku: https://(…), Komenda Powiatowa Policji w Q. prowadzi (…) postępowań wynikających z zawiadomień Skarżonego o popełnieniu wykroczenia (dowód: czas: (…) nagrania).

7)

Z materiałów prasowych wynika, że Skarżony prowadzi monitoring wizyjny składający się z wielu kamer. Część z tych kamer obejmuje swoim zasięgiem drogę publiczną oraz nieruchomości sąsiadów. Kamery te usytuowane są w różnych miejscach na elewacji budynku mieszkalnego Skarżonego oraz w oknach budynku (dowód: materiały prasowe znajdujące się pod linkami wskazanymi w pkt 5 stanu faktycznego).

Na podstawie zgromadzonego w przedmiotowej sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Prezes Urzędu Ochrony Danych Osobowych, jako organ administracji publicznej, przeprowadzając postępowanie w oparciu o przepisy ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (dalej jako Kpa), ocenia na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona (art. 80 Kpa). Dowodami w postępowaniu mogą być w szczególności dokumenty, zeznania świadków, opinie biegłych oraz oględziny (art. 75 § 1 Kpa).

Organ administracji publicznej może uznać stan faktyczny rozpatrywanej sprawy za ustalony jedynie na podstawie nie budzących wątpliwości dowodów i nie może poprzestać w tym zakresie na uprawdopodobnieniu. Jak stwierdził Naczelny Sąd Administracyjny w wyroku z 9 lipca 1999 r. (sygn. akt III SA 5417/98), cyt.: „(…). [p]rzepis ten wyraża równocześnie zasadę prawdy obiektywnej jak też zasadę swobodnej oceny dowodów. Organ prowadzący postępowanie musi dążyć do ustalenia prawdy materialnej i według swej wiedzy, doświadczenia oraz wewnętrznego przekonania ocenić wartość dowodową poszczególnych środków dowodowych, wpływ udowodnienia jednej okoliczności na inne okoliczności”. Sąd stwierdził także, że w postępowaniu administracyjnym obowiązuje zasada, że ciężar dowodu spoczywa na tym, kto z określonego faktu wyprowadza skutki prawne. Zgodnie z art. 81 Kpa, okoliczność faktyczna może być uznana za udowodnioną, jeżeli strona miała możność wypowiedzenia się co do przeprowadzonych dowodów.

Prezes UODO podziela stanowisko Naczelnego Sądu Administracyjnego wyrażone w wyroku z 26 października 1984 r. (sygn. akt II SA 1205/84, ONSA 1984, Nr 2, poz. 98): „Z art. 7 i 77 § 1 Kpa wynika, że obowiązek wyczerpującego zbadania i rozpatrzenia całego materiału dowodowego ciąży na organie prowadzącym postępowanie administracyjne. Nie znaczy to, że strona jest zwolniona od współudziału w realizacji tego obowiązku, zwłaszcza że nieudowodnienie określonej okoliczności faktycznej może prowadzić do rezultatów niekorzystnych dla strony”. Po wyczerpaniu możliwości dokonania niezbędnych dla podjęcia rozstrzygnięcia ustaleń faktycznych organ prowadzący postępowanie jest uprawniony, a nawet zobowiązany do przyjęcia takiej wersji zdarzeń, która odpowiada logicznie pozostałemu materiałowi dowodowemu. Warto również przytoczyć stanowisko Naczelnego Sądu Administracyjnego wyrażonego w wyroku z 29 września 2020 r. w sprawie o sygn. akt II OSK 1452/20 (LEX nr 3075574) (cyt.): „Zebranie pełnego materiału dowodowego jest niewątpliwie obowiązkiem organu, ale obowiązek ten nie ma charakteru absolutnego w tym znaczeniu, że organ nie jest zobowiązany do poszukiwania, niejako w zastępstwie strony, dowodów mających potwierdzić korzystne dla tej strony okoliczności”.

Należy też wskazać, że na administratorze i podmiocie przetwarzającym spoczywa, stosownie do postanowień art. 31 rozporządzenia 2016/679, obowiązek dostarczenia wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań. Podmioty te powinny zatem współpracować z organem nadzorczym i udzielać wyczerpujących wyjaśnień na wezwanie tego organu, realizującego swe zadania zgodnie z art. 58 ust. 1 lit. a i e rozporządzenia 2016/679.

Zapewnienie skutecznego stosowania przepisów o ochronie danych osobowych wymaga wdrożenia i stosowania procedur zapewniających rozliczalność ochrony danych osobowych. Rozporządzenie nie przesądza przy tym, jak administrator powinien realizować obowiązki z niego wynikające, niemniej jednak wskazuje na konieczność rozliczania się z przestrzegania przepisów, raportowania ich realizacji oraz przedstawiania dowodów świadczących o prawidłowym wykonywaniu obowiązków. Zasada rozliczalności zobowiązuje zatem administratorów danych osobowych do przetwarzania danych w taki sposób, aby możliwe było wykazanie zgodności podejmowanych działań z obowiązkami ochrony danych osobowych. W świetle ww. zasady to administrator danych odpowiada za opracowanie, aktualizowanie i utrzymywanie wszystkich procedur i dokumentów związanych z ochroną informacji, a także za stworzenie możliwości dowodowych wykazujących zgodność przetwarzania z przepisami. Zaznaczyć należy zatem, że w myśl wskazanej powyżej, uregulowanej w art. 5 ust. 2 rozporządzenia 2016/679, zasady rozliczalności, to na administratorze ciążył obowiązek wykazania, że proces przetwarzania danych osobowych Skarżącego, prowadzony był zgodnie z ww. zasadami. Podzielić należy pogląd, zgodnie z którym cyt.: „Stwierdzenie, że administrator powinien być w stanie wykazać przestrzeganie zasad, odczytywać można jako nałożenie na administratora ciężaru dowodowego w zakresie przestrzegania zasad przetwarzania danych. W razie sporu z osobą, której dane dotyczą, albo z organem nadzorczym, administrator powinien być w stanie przedstawić dowody na to, że przestrzega zasad.” (P. Fajgielski [w:] Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, Warszawa 2018, art. 5).

W związku z powyższym Prezes UODO ocenił stan faktyczny na podstawie zebranych w sprawie materiałów dowodowych pochodzących od Skarżących oraz na podstawie ustaleń własnych organu. W toku postępowania Skarżony nie odbierał korespondencji od Prezesa UODO, naruszając tym samym obowiązek współpracy z organem nadzorczym jakim jest Prezes Urzędu Ochrony Danych Osobowych, tj. art. 31 rozporządzenia 2016/679. W konsekwencji, Prezes UODO uznał twierdzenia Skarżących za udowodnione.

W niniejszej sprawie nie ma zastosowania wyjątek wskazany w art. 2 ust. 2 lit. c rozporządzenia 2016/679, zgodnie z którym niniejsze rozporządzenie nie znajduje zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze. Zgodnie bowiem z wyrokiem Trybunału Sprawiedliwości Unii Europejskiej (TSUE) z 11 grudnia 2014 r. w sprawie C-212/13 František Ryneš przeciwko Úřad pro ochranu osobních údajů Ryneš, „(…) przetwarzanie danych osobowych jest objęte odstępstwem przewidzianym w art. 3 ust. 2 tiret drugie dyrektywy 95/46 jedynie w wypadku, gdy jest ono wykonywane w ramach sfery o czysto osobistym lub domowym charakterze, należącej do osoby, która dokonuje tego przetwarzania. (…) O ile nadzór kamer wideo, taki jak ten w postępowaniu głównym, rozciąga się choćby częściowo na przestrzeń publiczną i tym samym jest skierowany poza sferę prywatną osoby dokonującej w ten sposób przetwarzania danych, o tyle nie powinien on być rozumiany jako czynność o czysto »osobistym lub domowym charakterze« (…). [w]ykorzystywanie systemu kamer przechowującego zapis obrazu osób na sprzęcie nagrywającym w sposób ciągły, takim jak dysk twardy, zainstalowanego przez osobę fizyczną na jej domu rodzinnym w celu ochrony własności, zdrowia i życia właścicieli domu, który to system monitoruje również przestrzeń publiczną, nie stanowi przetwarzania danych w trakcie czynności o czysto osobistym lub domowym charakterze”. Tym samym TSUE opowiedział się za wąską interpretacją tego wyjątku, obejmującego działania wchodzące wyłącznie w zakres życia prywatnego lub rodzinnego jednostki.

W ocenie organu nadzorczego, w świetle ww. wyroku TSUE, przetwarzanie danych osobowych pochodzących z nagrań monitoringu wizyjnego przez osobę fizyczną w celu opisanym w art. 2 ust. 2 lit. c rozporządzenia 2016/679 może odbywać się wyłącznie, gdy zasięg monitoringu, z którego pochodzą nagrania, obejmuje jedynie nieruchomość stanowiącą jej własność. Zgromadzony w niniejszej sprawie materiał dowodowy wykazał, że monitoring wizyjny Skarżonego składa się z (…) kamer, które obejmują swoim zasięgiem zarówno drogę publiczną, jak również nieruchomości Skarżących. Objęcie monitoringiem ww. obszarów powoduje, że dochodzi do ich obserwacji, czego skutkiem jest przetwarzanie danych osobowych osób, które się tam znajdują, w tym Skarżących. Tym samym stosowanie przez Skarżonego systemu monitoringu wizyjnego we wskazanym zakresie nie może być rozumiane jako działalność o czysto osobistym lub domowym charakterze, do której nie mają zastosowania przepisy rozporządzenia 2016/679.

Zgodnie z art. 4 pkt 2 rozporządzenia 2016/679, pod pojęciem „przetwarzania” należy rozumieć operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

Biorąc pod uwagę treść powołanej definicji, przyjąć należy, że monitoring wizyjny z funkcją nagrywania dźwięku niewątpliwie stanowi formę przetwarzania danych osobowych, w związku z czym do przedmiotowej sprawy mają zastosowanie przepisy prawa o ochronie danych osobowych. Prezes UODO podziela tym samym ugruntowane stanowisko sądów administracyjnych (por. wyrok WSA w Warszawie z 28 października 2022 r., sygn. akt II SA/Wa 1341/22 z 3 listopada 2022 r., sygn. akt II SA/Wa 162/22, wyrok WSA w Warszawie z 14 kwietnia 2023 r. sygn. akt II SA/Wa 1835/22).

Przepisem uprawniającym administratorów danych do przetwarzania danych osób fizycznych jest art. 6 ust. 1 rozporządzenia 2016/679, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 rozporządzenia 2016/679 jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Przetwarzanie jest zgodne z prawem między innymi w przypadku wyrażenia zgody przez osobę, której dane dotyczą (art. 6 ust. 1 lit. a rozporządzenia 2016/679) jak również, gdy jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy (art. 6 ust. 1 lit. b rozporządzenia 2016/679), a także gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (art. 6 ust. 1 lit. f rozporządzenia 2016/679).

Poza legitymowaniem się przesłanką legalizującą przetwarzanie danych osobowych administrator jest zobowiązany m.in. do postępowania zgodnie z zasadami określonymi w art. 5 ust. 1 rozporządzenia 2016/679, przy czym musi być w stanie wykazać ich przestrzeganie (art. 5 ust. 2 rozporządzenia 2016/679). Wśród zasad tych mieści się m.in. zasada zgodności z prawem, rzetelności i przejrzystości (lit. a) czy zasada minimalizacji danych (lit. c), która wymaga, by proces przetwarzania danych osobowych był adekwatny, stosowny oraz ograniczony do tego, co niezbędne do celów, w których dane osobowe są przetwarzane. Do ww. przepisu w swoim wyroku z 21 stycznia 2022 r. odniósł się Wojewódzki Sąd Administracyjny w Warszawie (sygn. akt II SA/Wa 1628/21, LEX nr 3401653), który wyjaśnił, że cyt. „Przetwarzanie danych osobowych następuje według zasad określonych w art. 5 ust. 1 rozporządzenia 2016/679. Jedną z zasad przetwarzania danych osobowych jest zasada adekwatności i minimalizacji danych, określona w art. 5 ust. 1 lit. c rozporządzenia 2016/679. Zgodnie z tym przepisem, przetwarzane dane powinny być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"). Określenie "adekwatne" oznacza "odpowiednie, zgodne, proporcjonalne, nienadmierne" i może być traktowane jako synonim słowa "stosowne". Adekwatność i stosowność rozumieć można jako konieczność zachowania odpowiednich proporcji zakresu danych do celów przetwarzania i przetwarzanie tylko takich danych, które są potrzebne dla realizacji określonych celów. (…). Europejska Rada Ochrony Danych, zwana dalej EROD, w Wytycznych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo przyjętych 29 stycznia 2020 r., zwanych dalej Wytycznymi, wskazała, że dane osobowe powinny być adekwatne, stosowne i ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"). Przed zainstalowaniem monitoringu wizyjnego administrator powinien zawsze krytycznie ocenić czy środek ten jest odpowiedni i niezbędny do osiągnięcia pożądanego celu. Środki polegające na zastosowaniu monitoringu wizyjnego należy wybierać wyłącznie, gdy cel przetwarzania nie mógł zostać osiągnięty za pomocą innych środków, które są mniej inwazyjne w stosunku do podstawowych praw i wolności osoby, której dane dotyczą. Administrator musi ocenić w każdym przypadku z osobna, czy takie środki mogą stanowić uzasadnione rozwiązanie. Konieczność korzystania z monitoringu wizyjnego w celu ochrony nieruchomości administratorów ustaje wzdłuż granic wyznaczających teren ich nieruchomości. (…)”.

EROD w Wytycznych 3/2019, wskazała również, że cyt.: „monitoring wizyjny jest zgodny z prawem, o ile jest niezbędny do osiągnięcia celu prawnie uzasadnionego interesu administratora danych lub strony trzeciej, chyba że interesy te są podrzędne w stosunku do interesów osób, których dane dotyczą, lub podstawowych praw i wolności (art. 6 ust. 1 lit. f). (…) Administrator danych powinien jednak wziąć pod uwagę, że jeżeli osoba, której dane dotyczą, wnosi sprzeciw wobec monitorowania zgodnie z art. 21, administrator może prowadzić monitoring wizyjny wobec osoby, której dane dotyczą, wyłącznie jeżeli stanowi on ważny prawnie uzasadniony interes, który jest nadrzędny w stosunku do interesów, praw i wolności osoby, której dane dotyczą, lub w celu ustalenia, dochodzenia i obrony roszczeń. (…) Prawnie uzasadniony interes musi mieć wymiar realny i stanowić kwestię bieżącą (tj. nie może być fikcyjny lub spekulatywny). Przed rozpoczęciem monitoringu musi zaistnieć sytuacja rzeczywistego zagrożenia – np. szkody lub poważne incydenty, które miały miejsce w przeszłości. Zgodnie z zasadą rozliczalności, administratorzy powinni dokumentować istotne incydenty (datę, rodzaj, straty finansowe) oraz związane z nimi zarzuty” (Wytyczne Rozdział 3.1.1 pkt 18 i 20). EROD w Wytycznych podkreśliła również, że cyt.: „zakładając, że monitoring wizyjny jest niezbędny do zapewnienia ochrony prawnie uzasadnionych interesów administratora, system monitoringu wizyjnego może zostać wprowadzony do użytku wyłącznie w przypadku gdy prawnie uzasadnione interesy administratora lub strony trzeciej (np. ochrona mienia lub integralności cielesnej) nadrzędnego charakteru nie mają interesy lub podstawowe prawa i wolności osób, których dane dotyczą Administrator musi uwzględnić 1) w jakim stopniu monitoring wpływa na interesy, podstawowe prawa i wolności osób fizycznych i 2) czy powoduje on naruszenia lub wywołuje negatywne skutki dla praw osób, których dane dotyczą. Wyważanie interesów ma faktycznie charakter obowiązkowy. Z jednej strony należy ocenić i z rozwagą wyważyć podstawowe prawa i wolności, a z drugiej strony prawnie uzasadnione interesy administratora. (…) Istotnymi czynnikami równoważącymi mogą być wielkość obszaru objętego monitoringiem oraz liczba osób, których dane dotyczą, objętych monitoringiem. Korzystanie z monitoringu wizyjnego w odludnym miejscu (…) należy oceniać w inny sposób niż monitoring wizyjny wykorzystywany w strefie pieszej lub centrum handlowym” (Wytyczne Rozdział 3.1.3. pkt 30 i 34).

Zgodnie z motywem 47 rozporządzenia 2016/679, istnienie prawnie uzasadnionego interesu wymaga przeprowadzenia dokładnej oceny, w tym oceny tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki, by spodziewać się, że może nastąpić przetwarzanie danych w tym celu. Interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek, by spodziewać się dalszego przetwarzania.

W przedmiotowej sprawie ww. przesłanki nie zostały spełnione. Zebrany w sprawie materiał dowodowy wykazał, że prowadzony przez Skarżonego monitoring składa się z (…) kamer, który obejmuje swym zasięgiem drogę publiczną oraz nieruchomości Skarżących. Skarżony nie wykazał przy tym żadnej podstawy prawnej do takiego przetwarzania danych. Prezes UODO wskazuje przy tym, że zainstalowanie przez Skarżonego ww. monitoringu wizyjnego i skierowanie go w kierunku drogi publicznej oraz nieruchomości Skarżących, spowodowało, że doszło u nich do poczucia ciągłej obserwacji i nadzorowania ich życia prywatnego. Wizerunek oraz głos Skarżących jest bowiem rejestrowany w miejscu ich zamieszkania i codziennego przebywania, w związku normalnym korzystaniem z drogi publicznej, jak również z terenów będących ich własnością. Monitorowani są więc każdego dnia podczas zwykłych codziennych czynności. Skarżony nie ma takiego prawa, aby monitorować ww. obszary za pomocą tak inwazyjnej metody, jaką jest stałe monitorowanie i przetwarzanie danych osobowych osób, które tam przebywają - w każdej sytuacji i każdego dnia.

W ocenie Prezesa UODO, zgodnie z pkt 6 stanu faktycznego, celem zainstalowanego monitoringu wizyjnego przez Skarżonego jest pilnowanie porządku publicznego, bowiem Skarżony za pomocą tych kamer monitoruje osiedle znajdujące się w L. przy ul. (…), a nagrania powstałe za pomocą tego monitoringu kieruje na Policję. Zgodnie z reportażem z (…) r. wskazanym w linku: https://(…), Komenda Powiatowa Policji w Q. prowadziła (…) postępowań wynikających z zawiadomień Skarżonego o popełnieniu wykroczenia. Podkreślić w tym miejscu należy, że na straży ochrony bezpieczeństwa i porządku publicznego stoją właściwe organy państwowe, jak w szczególności Policja. Stosownie do przepisu art. 1 ust. 1 ustawy z dnia 6 kwietnia 1990 r. o Policji (Dz. U. z 2025 r. poz. 636) Policja jest umundurowaną i uzbrojoną formację służącą społeczeństwu i przeznaczoną do ochrony bezpieczeństwa ludzi oraz do utrzymywania bezpieczeństwa i porządku publicznego. Zgodnie natomiast z art. 1 ust. 2 ustawy o Policji, do podstawowych zadań Policji należy ochrona życia i zdrowia ludzi oraz mienia przed bezprawnymi zamachami naruszającymi te dobra (pkt 1), a także inicjowanie i organizowanie działań mających na celu zapobieganie popełnianiu przestępstw i wykroczeń oraz zjawiskom kryminogennym i współdziałanie w tym zakresie z organami państwowymi, samorządowymi i organizacjami społecznymi (pkt 3), czy też wykrywanie przestępstw i wykroczeń oraz ściganie ich sprawców (pkt 4). Kwestia zapewnienia porządku publicznego zatem nie leży w gestii podmiotów prywatnych i zadanie to nie może być wykonywane za pomocą prywatnego monitoringu wizyjnego. Skarżony nie jest uprawniony do zastępowania w tej kwestii organów państwowych.

Mając na uwadze powyższe okoliczności, w ocenie Prezesa UODO, przetwarzanie przez Skarżonego danych osobowych Skarżących w zakresie wizerunku pozyskiwanych za pomocą monitoringu wizyjnego w przedmiotowym przypadku stanowi naruszenie przepisu art. 6 ust. 1 rozporządzenia 2016/679, bowiem Skarżony nie posiada żadnej podstawy prawnej, która legalizowałaby ten proces. To samo dotyczy przetwarzania danych osobowych Skarżących w zakresie głosu. Zgodnie z przytoczonym wcześniej Wytycznymi, administrator przy wybieraniu rozwiązań technicznych odnoszących się do prowadzonego monitoringu nie powinien wybierać rozwiązań zawierających funkcje, które nie są niezbędne - wśród funkcji tych mieści się przykładowo nieograniczone śledzenie ruchów kamery, możliwość przybliżenia, transmisja radiowa, analiza i nagrania dźwiękowe (Wytyczne, rozdział 9.3, pkt 129). Funkcje, które nie są niezbędne powinny zostać dezaktywowane. W ocenie Prezesa UODO, przetwarzanie danych osobowych w zakresie głosu osób znajdujących się w obszarze objętym monitoringiem narusza zasadę wskazaną w art. 5 ust. 1 lit. c rozporządzenia 2016/679, tj. zasadę minimalizacji danych. Z zebranego w sprawie materiału dowodowego wynika, że zainstalowane przez Skarżonego kamery posiadają funkcję nagrywania dźwięku, przez co z pewnością dochodziło i nadal może dochodzić do przetwarzania danych osobowych w zakresie głosu osób, które przebywają na obszarze objętym monitoringiem, tj. drodze publicznej i nieruchomościach Skarżących. Podkreślić również należy, że uprawnienia do stosowania funkcji rejestracji głosu posiadają jedynie służby porządkowe i specjalne na podstawie ustaw regulujących ich działalność. W ocenie Prezesa UODO, stosowanie funkcji nagrywania dźwięku w sposób ciągły w związku z prowadzonym monitoringiem prowadzi także do naruszenia m.in. prawa do prywatności osoby obserwowanej. Tym samym Prezes UODO uznał, że Skarżony nie legitymuje się również stosowną podstawą prawną do przetwarzania danych osobowych Skarżących w zakresie ich głosu w związku z prowadzonym monitoringiem, a co za tym idzie uznał za zasadne także nakazanie zaprzestania ich przetwarzania.

Ocena dokonywana przez Prezesa UODO w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu środka naprawczego odpowiadającego dyspozycji art. 58 ust. 2 rozporządzenia 2016/679. Wśród nich, art. 58 ust. 2 lit. c, który stanowi, że każdemu organowi nadzorczemu przysługują następujące uprawnienia naprawcze: c) nakazanie administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia.

Na podstawie więc art. 58 ust. 2 lit. c rozporządzenia 2016/679, Prezes UODO nakazuje Skarżonemu zaprzestania przetwarzania danych osobowych Skarżących za pomocą monitoringu wizyjnego w zakresie wizerunku oraz głosu, obejmującego swym zasięgiem drogę publiczną oraz nieruchomości Skarżących, wobec braku podstawy prawnej dla tego przetwarzania. Wskazać przy tym należy, że w ocenie Prezesa UODO, jednoznacznym dowodem na nieprzetwarzanie danych za pomocą monitoringu wizyjnego będzie zdemontowanie takich urządzeń, względnie skierowanie ich w sposób trwały poza sporny obszar monitorowania, tj. wyłącznie na posesję Skarżonego.

W odniesieniu do żądania Skarżących dotyczącego nałożenia na Skarżonego sankcji wskazać należy, że wprawdzie znajduje się to w zakresie uprawnień przysługujących Prezesowi UODO na podstawie art. 58 ust. 2 lit. i rozporządzenia 2016/679, jednak podjęcie tego rodzaju działań stanowi autonomiczną decyzję Prezesa UODO niezależną od woli osoby składającej skargę. Skarżący nie mogą żądać od organu działań, które leżą wyłącznie w jego autonomii.

Prezes UODO podziela tym samym ugruntowane stanowisko Wojewódzkiego Sądu Administracyjnego w Warszawie, zgodnie z którym - cyt. „[s]am fakt udzielenia Skarżącemu upomnienia a nie wymierzenia kary pieniężnej wskazuje, że organ wziął pod uwagę charakter, wagę oraz czas trwania naruszenia, uwzględniając przy tym, że przetwarzanie danych naruszało RODO (…)” (wyrok WSA w Warszawie z 15 lutego 2022 r., II SA/Wa 3139/21, LEX nr 3401617.). W innym orzeczeniu Wojewódzki Sąd Administracyjny w Warszawie stwierdził – cyt. „[o]dnosząc się do żądania skarżącej nałożenia administracyjnej kary pieniężnej na Kuratora jako administratora, wskazać należy, że przysługujące PUODO na mocy art. 58 ust. 2 RODO uprawnienia naprawcze, w tym dotyczące nakładania administracyjnych kar pieniężnych, należą do autonomicznych kompetencji organu. Zatem PUODO nie podejmuje rozstrzygnięć wskazanych w art. 58 ust. 2 RODO na wniosek osoby składającej do niego skargę, ale bada okoliczności konkretnej sprawy, analizując ustalony stan faktyczny oraz prawny indywidualnie i na tej podstawie decyduje o zastosowaniu odpowiednich środków”. Podobnie Wojewódzki Sąd Administracyjny wypowiedział się w innym wyroku, gdzie wskazał - cyt.: „(…) korzystanie z uprawnień naprawczych jest autonomiczną decyzją organu” ( Wyrok WSA w Warszawie z 16 lutego 2024 r., II SA/Wa 755/23, LEX nr 3755893.).

W odniesieniu natomiast do żądania Skarżących dot. cyt. „zobowiązania Skarżonego do dostosowania systemu monitoringu do wymogów RODO, w tym umieszczenia odpowiednich oznaczeń oraz sporządzenia klauzuli informacyjnej”, zauważyć należy, że żądania te dotyczą weryfikacji ogólnych praktyk stosowanych przez administratorów danych, a ich prawidłowość może być przedmiotem kontroli Prezesa UODO i rozstrzygnięcia z zastosowaniem uprawnień naprawczych przysługujących organowi nadzorczemu. Zgodnie z art. 58 ust. 2 lit. d rozporządzenia 2016/679 Prezesowi UODO przysługuje uprawnienie naprawcze w postaci nakazania administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów tego rozporządzenia, a w stosownych przypadkach wskazanie jego sposobu i terminu. Czynności w sprawie ogólnych praktyk stosowanych przez administratorów danych nie są jednak podejmowane na wniosek podmiotu zainteresowanego. Kontrola stosowanych przez określonego administratora ogólnych praktyk może nastąpić w ramach postępowania administracyjnego prowadzonego przez organ właściwy do spraw ochrony danych osobowych z urzędu, a decyzja o jego podjęciu należy do autonomicznych kompetencji tego organu. W przypadku prowadzenia przez Prezesa UODO takiego postępowania podmiot skarżący określone praktyki nie ma interesu prawnego w wydawanym rozstrzygnięciu, nie przysługuje mu status strony postępowania – podjęte postępowanie toczy się wówczas pomiędzy administratorem danych a Prezesem UODO.

W tym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.