Kamery zarejestrowały uszkodzenie auta na firmowym parkingu, kradzież sprzętu z magazynu albo incydent przy recepcji. Problem pojawia się często dopiero wtedy, gdy ktoś chce odtworzyć materiał, a system zdążył go już nadpisać. Retencja nagrań monitoringu decyduje więc nie tylko o pojemności dysków, lecz także o możliwości ochrony interesu firmy, pracowników i klientów.
Nie ma jednego okresu, który będzie właściwy dla każdej organizacji. Zbyt krótki może uniemożliwić wyjaśnienie zdarzenia, które zgłoszono z opóźnieniem. Zbyt długi zwiększa koszty, ryzyko naruszenia prywatności oraz zakres danych, za które firma odpowiada. Dobrze ustawiona retencja powinna wynikać z realnego celu monitoringu, a nie z przypadkowej konfiguracji rejestratora.
Co oznacza retencja nagrań monitoringu?
Retencja to czas, przez który zapis wideo pozostaje dostępny w systemie. Po jego upływie nagranie jest zwykle automatycznie nadpisywane przez nowszy materiał. Nie należy mylić tego z archiwizacją konkretnego zdarzenia. Jeśli na nagraniu utrwalono wypadek, włamanie lub inną sytuację wymagającą wyjaśnienia, dany fragment można zabezpieczyć poza standardowym cyklem nadpisywania.
W praktyce na okres przechowywania wpływają dwa obszary. Pierwszy to cel biznesowy i prawny: po co firma obserwuje dane miejsce i jak szybko zwykle wykrywa incydenty. Drugi ma charakter techniczny: liczba kamer, ich rozdzielczość, liczba klatek na sekundę, sposób kompresji, harmonogram nagrywania i dostępna przestrzeń dyskowa.
Warto pamiętać, że monitoring wizyjny przetwarza dane osobowe, jeżeli można na jego podstawie zidentyfikować osobę. Dotyczy to nie tylko twarzy. Czasem identyfikację umożliwia sylwetka, charakterystyczny ubiór, numer rejestracyjny pojazdu albo połączenie obrazu z innymi informacjami, którymi dysponuje firma.
Ile czasu przechowywać nagrania?
W przypadku monitoringu pracowników polski Kodeks pracy wskazuje zasadę przechowywania nagrań nie dłużej niż przez 3 miesiące od dnia nagrania. Jeżeli materiał może stanowić dowód w postępowaniu prowadzonym na podstawie prawa lub firma poweźmie wiadomość, że takie postępowanie zostało wszczęte, nagranie przechowuje się do czasu jego prawomocnego zakończenia.
Poza monitoringiem regulowanym przez Kodeks pracy RODO nie podaje jednej liczby dni czy miesięcy. Obowiązuje zasada ograniczenia przechowywania: dane należy usunąć, gdy przestają być potrzebne do celu, dla którego zostały zebrane. To oznacza konieczność samodzielnego uzasadnienia przyjętego okresu.
Dla wielu firm rozsądnym punktem wyjścia jest okres od kilkunastu do kilkudziesięciu dni, ale nie jest to automatyczna recepta. W punkcie handlowym zgłoszenie kradzieży może nastąpić po kilku dniach. W magazynie, gdzie niezgodności wychodzą na jaw dopiero podczas okresowej inwentaryzacji, potrzeba może być większa. Z kolei kamera obejmująca wejście do niewielkiego biura nie powinna zachowywać obrazu „na wszelki wypadek” przez rok, jeśli firma nie umie wykazać takiej potrzeby.
Dobra decyzja odpowiada na proste pytanie: po jakim czasie organizacja zwykle dowiaduje się o incydencie i zdąży zabezpieczyć materiał? Warto uwzględnić weekendy, dni wolne, harmonogram pracy ochrony oraz czas potrzebny na zgłoszenie zdarzenia przez klienta lub pracownika.
Różne strefy, różne ryzyko
Nie każda kamera musi mieć taki sam okres retencji. Obraz z bramy wjazdowej, parkingu, magazynu wysokiego składowania i recepcji może służyć innym celom. Różny może być też poziom ryzyka oraz tempo wykrywania zdarzeń.
Takie zróżnicowanie trzeba jednak potrafić uzasadnić i opisać. Nie chodzi o mnożenie wyjątków dla samej konfiguracji. Celem jest dopasowanie systemu do rzeczywistej pracy firmy. W wielu przypadkach wspólny, dobrze uzasadniony okres dla całego systemu będzie łatwiejszy do wdrożenia i kontrolowania.
RODO zaczyna się przed ustawieniem liczby dni
Okres retencji jest elementem szerszej organizacji monitoringu. Firma powinna przede wszystkim określić cel, podstawę prawną oraz zakres obserwacji. W uzasadnionych przypadkach podstawą może być prawnie uzasadniony interes administratora, na przykład ochrona mienia, zapewnienie bezpieczeństwa osób czy ustalanie i dochodzenie roszczeń. Nie zwalnia to jednak z obowiązku oceny, czy interes firmy nie narusza nadmiernie praw osób nagrywanych.
Szczególnej ostrożności wymagają kamery w przestrzeniach dostępnych dla pracowników. Monitoring nie powinien służyć stałej, nieograniczonej kontroli wykonywania obowiązków. Nie wolno obejmować nim miejsc, w których pracownicy oczekują prywatności, takich jak toalety, szatnie czy pomieszczenia socjalne, z wyjątkami przewidzianymi prawem i podlegającymi bardzo ścisłym warunkom.
Osoby objęte monitoringiem muszą otrzymać jasną informację o tym, kto jest administratorem danych, w jakim celu stosuje kamery, jak długo przechowuje nagrania i jakie przysługują im prawa. Sama tabliczka z ikoną kamery najczęściej nie wyczerpuje obowiązku informacyjnego. Powinna sygnalizować monitoring, a pełniejsza klauzula musi być łatwo dostępna, na przykład w recepcji lub przy wejściu.
Jeżeli monitoring może powodować wysokie ryzyko dla praw i wolności osób, należy rozważyć przeprowadzenie oceny skutków dla ochrony danych. Dotyczy to zwłaszcza rozbudowanych systemów obserwujących miejsca publicznie dostępne lub wykorzystujących dodatkowe funkcje analityczne. Kamera z detekcją ruchu to co innego niż rozwiązanie analizujące zachowania czy dane biometryczne.
Technika potrafi skrócić retencję bez wiedzy firmy
Wiele firm zakłada, że rejestrator przechowuje obraz przez 30 dni, ponieważ taki był plan przy wdrożeniu. Po dołożeniu kilku kamer, zmianie rozdzielczości albo włączeniu nagrywania ciągłego rzeczywisty czas może spaść do 12 dni. Co gorsza, nikt nie zauważy tego do chwili, gdy potrzebne nagranie będzie już nieosiągalne.
Pojemność nie jest jedynym parametrem. Znaczenie mają też stan dysków, konfiguracja nadpisywania, synchronizacja czasu na kamerach i rejestratorze oraz powiadomienia o awariach. Nagranie z błędną datą albo z przerwą w zapisie może być mało przydatne podczas wyjaśniania szkody, nawet gdy formalnie mieści się w ustalonym okresie retencji.
Warto okresowo sprawdzać rzeczywistą dostępność zapisu z wybranych kamer. Taki test powinien obejmować odtworzenie starszego materiału, weryfikację daty i godziny oraz potwierdzenie, że uprawniona osoba potrafi wyeksportować nagranie w sposób pozwalający zachować jego integralność. To mała czynność, która może oszczędzić firmie bardzo nieprzyjemnej rozmowy po incydencie.
Zabezpieczenie nagrania to osobna procedura
Gdy dochodzi do zdarzenia, standardowe nadpisywanie nie może decydować o losie materiału. Firma powinna mieć prostą procedurę: kto zgłasza potrzebę zabezpieczenia nagrania, kto podejmuje decyzję, kto wykonuje eksport oraz gdzie materiał jest przechowywany.
W praktyce warto odnotować datę zdarzenia, zakres czasowy zapisu, numery kamer, osobę dokonującą eksportu oraz cel zabezpieczenia. Dostęp do kopii powinien być ograniczony do osób, które rzeczywiście go potrzebują. Wysyłanie całego nagrania w komunikatorze lub przechowywanie go na prywatnym pendrivie to prosty sposób na utratę kontroli nad danymi.
Materiał zabezpieczony jako dowód nie powinien pozostawać w archiwum bez końca. Dla niego również trzeba określić okres przechowywania, wynikający na przykład z czasu trwania postępowania, przedawnienia roszczeń albo konkretnego obowiązku prawnego. Po ustaniu celu kopię należy bezpiecznie usunąć.
Jak ustalić retencję w firmie krok po kroku
Najpierw warto sporządzić listę kamer i miejsc, które obserwują, a następnie przy każdej pozycji zapisać cel monitoringu oraz typowe zdarzenia, które mają być wykrywane. Kolejny krok to ustalenie, kiedy firma zwykle dowiaduje się o problemie. Dopiero potem można wskazać uzasadniony czas retencji i sprawdzić, czy infrastruktura zapewnia go przy obecnej jakości nagrań.
Następnie należy opisać konfigurację w dokumentacji ochrony danych, przygotować informację dla osób objętych monitoringiem oraz określić zasady dostępu i eksportu. Jeżeli obsługą systemu zajmuje się zewnętrzny podmiot, trzeba także wyraźnie ustalić role i zasady dostępu do nagrań. Serwisant nie powinien mieć nieograniczonego wglądu do obrazu tylko dlatego, że zna hasło do rejestratora.
Na końcu potrzebny jest przegląd – zwłaszcza po rozbudowie systemu, zmianie lokalizacji, nowej organizacji pracy lub incydencie. Ceprobi przy projektowaniu i utrzymaniu monitoringu zwraca uwagę zarówno na parametry techniczne, jak i na to, czy system rzeczywiście odpowiada ryzykom firmy i wymaganiom dotyczącym danych osobowych.
Dobrze ustawiona retencja nie polega na gromadzeniu obrazu jak najdłużej. Polega na tym, by właściwe nagranie było dostępne wtedy, gdy jest potrzebne, a poza tym nie tworzyło dla firmy zbędnego kosztu i ryzyka.