Ukryte kamery: CNIL nakłada sankcję na SAMARITAINE
18 września 2025 r. CNIL nałożył na spółkę SAMARITAINE SAS, która prowadzi sklep o tej samej nazwie, karę w wysokości 100 tys. EUR za ukrycie kamer w magazynach sklepu.
Informacje ogólne
W sierpniu 2023 r., w związku ze wzrostem kradzieży towarów w magazynach, spółka SAMARITAINE SAS umieściła nowe kamery w dwóch magazynach. Kamery miały wygląd czujników dymu i umożliwiały nagrywanie dźwięku. Odkryte przez pracowników, zostały usunięte we wrześniu 2023 r.
Uwagę CNIL na te fakty zwrócił artykuł prasowy z 25 listopada 2023 r. Niedługo później organ otrzymał skargę dotyczącą tych samych kwestii. W kolejnych dniach CNIL przeprowadził dochodzenie.
Na podstawie ustaleń dokonanych w trakcie dochodzenia komitet ograniczony – organ CNIL odpowiedzialny za nakładanie sankcji – nałożył na spółkę SAMARITAINE SAS karę w wysokości 100 tys. EUR za kilka naruszeń RODO. W nawiązaniu do orzecznictwa Europejskiego Trybunału Praw Człowieka (ETPCz) komitet ograniczony przypomniał, że pracodawca może instalować ukryte kamery w wyjątkowych okolicznościach pod warunkiem zachowania uczciwej równowagi między realizowanym celem (ochrona mienia i osób) a ochroną prywatności pracowników. Na przykład, aby takie rozwiązanie było proporcjonalne, musi mieć charakter tymczasowy i zostać wdrożone po udokumentowanej analizie jego zgodności z RODO oraz w świetle wyjątkowych okoliczności.
CNIL w szczególności ukarał spółkę za następujące uchybienia:
Naruszenia objęte sankcją
Naruszenie obowiązku zgodnego z prawem przetwarzania danych oraz zasady rozliczalności (art. 5-1-a) i 5-2 RODO).
Komitet ograniczony przypomniał, że co do zasady, aby spełnić wymóg lojalności, kamery monitoringu wizyjnego filmujące pracowników muszą być widoczne i nieukryte. Jednakże, jak uznaje orzecznictwo, w wyjątkowych okolicznościach i pod pewnymi warunkami administrator może tymczasowo instalować kamery niewidoczne dla pracowników. Administrator danych musi wówczas przeanalizować zgodność urządzenia z RODO i być w stanie ją uzasadnić.
W niniejszej sprawie spółka zgłosiła występowanie kradzieży w magazynach i wyjaśniła, że urządzenie miało charakter tymczasowy (co potwierdzają jego cechy techniczne), ale nie przeprowadziła żadnej wcześniejszej analizy zgodności z RODO ani nie udokumentowała tymczasowego charakteru instalacji – która została odkryta przez pracowników kilka tygodni po wdrożeniu.
Spółka SAMARITAINE SAS nie uwzględniła tego urządzenia ani w rejestrze czynności przetwarzania, ani w ocenie skutków dla ochrony danych. Ponadto spółka nie poinformowała inspektora ochrony danych o zamiarze instalacji ukrytych kamer w magazynach. W związku z tym wdrożenie tego systemu nie zostało poparte odpowiednimi zabezpieczeniami, które zapewniłyby zachowanie równowagi między celem realizowanym przez administratora a ochroną prywatności pracowników.
Naruszenie zasady minimalizacji danych – brak ograniczenia do danych adekwatnych, stosownych i niezbędnych (art. 5-1-c RODO)
Kamery były wyposażone w mikrofony i nagrywały rozmowy pracowników, należące do sfery osobistej. Komitet ograniczony uznał, że nagrywanie dźwięku pracowników było w tym przypadku nadmierne, co stanowi naruszenie zasady minimalizacji.
Naruszenie obowiązku angażowania inspektora ochrony danych w sprawy dotyczące ochrony danych osobowych (art. 38-1 RODO)
Dopiero kilka tygodni po instalacji kamer inspektor ochrony danych został poinformowany o istnieniu urządzenia. Biorąc pod uwagę charakterystykę tego urządzenia, inspektor ochrony danych mógł ostrzec spółkę o środkach, które należało wdrożyć w celu ograniczenia ryzyka dla ochrony danych pracowników, zgodnie ze swoimi zadaniami.
Źródło:
Komunikat Francuskiego Organu Ochrony Danych
