To nie jest pytanie akademickie. W mojej praktyce IOD wnioski o udostępnienie nagrań z monitoringu wizyjnego pojawiają się coraz częściej – i coraz częściej dotyczą sytuacji, w których proste „tak” lub „nie” nie wystarczy. Prawo dostępu do danych gwarantuje wnioskodawcy kopię jego informacji. Jednocześnie na tym samym nagraniu znajdują się dane osobowe osób trzecich, których prawa administrator musi chronić z równą starannością.
Rozwiązaniem jest anonimizacja. Ale diabeł – jak zwykle – tkwi w szczegółach.
Prawo dostępu a nagrania z CCTV
Art. 15 RODO daje każdej osobie prawo do uzyskania kopii przetwarzanych danych osobowych. Wizerunek zarejestrowany przez kamerę monitoringu jest daną osobową – to potwierdziły zarówno wytyczne EDPB 3/2019 dotyczące przetwarzania danych przez urządzenia wideo, jak i konsekwentna linia orzecznicza polskich sądów administracyjnych.
Gdy ktoś żąda nagrania, na którym jest widoczny, administrator co do zasady musi je udostępnić. Odmowa jest dopuszczalna, ale wymaga solidnego uzasadnienia – samo powołanie się na „względy bezpieczeństwa” nie wystarczy.
Tu pojawia się art. 15 ust. 4 RODO: prawo do uzyskania kopii nie może niekorzystnie wpływać na prawa i wolności innych osób. Na nagraniu z kamery w hali produkcyjnej, na parkingu czy w korytarzu biurowca zwykle widać więcej niż jedną osobę. Udostępnienie pełnego materiału bez żadnej obróbki oznaczałoby przekazanie wnioskodawcy danych osobowych (wizerunków, a niekiedy zachowań) osób, które o tym nie wiedzą i na to się nie godziły.
Anonimizacja jako jedyne wyjście
EDPB w wytycznych 3/2019 (pkt 94) wprost wskazuje, że jeżeli na nagraniu widoczne są osoby trzecie, administrator powinien zastosować środki techniczne – w szczególności maskowanie lub zamazywanie – zanim udostępni materiał wnioskodawcy. To nie jest rekomendacja. W sytuacji, gdy udostępnienie bez anonimizacji naruszyłoby prawa osób trzecich, jest to obowiązek wynikający z art. 15 ust. 4.
Warto zwrócić uwagę na pewien niuans: anonimizacja osób trzecich nie jest anonimizacją w rozumieniu motywu 26 RODO (czyli trwałym pozbawieniem danych charakteru osobowego). To raczej selektywne maskowanie – dane wnioskodawcy pozostają rozpoznawalne, a dane pozostałych osób stają się nieidentyfikowalne. Efekt: nagranie nadal stanowi dane osobowe wnioskodawcy, ale nie zawiera już danych osób postronnych.
Jak to się robi technicznie
Metod jest kilka i każda ma swoje ograniczenia.
Rozmycie twarzy (face blur) to najpopularniejsze podejście. Algorytm wykrywa twarze w kadrze i nakłada na nie filtr rozmywający. Działa dobrze przy nagraniach o przyzwoitej rozdzielczości, z frontalnym ujęciem i stabilnym oświetleniem. Problem pojawia się, gdy kamera jest daleko, osoba jest odwrócona tyłem albo nosi maseczkę – paradoksalnie, częściowe zakrycie twarzy utrudnia jej automatyczne wykrycie.
Maskowanie sylwetek (body masking) idzie dalej – zakrywa całą postać, nie tylko twarz. To bezpieczniejsze rozwiązanie, bo eliminuje ryzyko identyfikacji po ubiorze, postawie czy kontekście. Wymaga jednak bardziej zaawansowanych modeli detekcji i jest kosztowniejsze obliczeniowo.
Pixelizacja – technicznie prostsza od rozmycia, ale łatwiejsza do odwrócenia przy niskim poziomie mozaikowania. Badania opublikowane w ostatnich latach pokazują, że sieci neuronowe potrafią w pewnych warunkach odtworzyć twarz z pixelizowanego obrazu. Rozmycie gaussowskie jest w tym kontekście bezpieczniejsze.
Narzędzia AI nowej generacji oferują śledzenie obiektów w czasie rzeczywistym (object tracking) – raz oznaczona osoba jest maskowana na wszystkich klatkach, nawet gdy zmienia pozycję, wchodzi za przeszkodę i wraca. Ręczna obróbka minutowego nagrania z kilkoma osobami może zająć godzinę; automatyzacja skraca to do sekund. Nie oznacza to, że wynik nie wymaga kontroli – w ocenie naszego zespołu każde nagranie po automatycznej anonimizacji powinno przejść przegląd przez człowieka.
Kiedy anonimizacja nie wystarczy
Są sytuacje, w których nawet zaanonimizowane nagranie nie powinno zostać udostępnione.
Gdy kontekst pozwala na identyfikację – na przykład na nagraniu widać jedyną osobę w uniformie ochroniarza, a wnioskodawca wie, kto tego dnia pełnił dyżur. Zamazanie twarzy nic tu nie da. Podobnie z dźwiękiem: jeśli kamera rejestruje audio, sam głos może wystarczyć do rozpoznania osoby.
Gdy nagranie zawiera dane szczególnych kategorii osób trzecich – np. ujawnia stan zdrowia (ktoś upada, ma atak padaczki) albo przynależność do związku zawodowego (spotkanie w sali konferencyjnej z widocznym logo). Tu administrator powinien rozważyć, czy nawet częściowe udostępnienie jest proporcjonalne.
Odmowa udostępnienia musi być jednak wyjątkiem, nie regułą. PUODO konsekwentnie podkreśla, że ochrona praw osób trzecich nie może służyć jako pretekst do blokowania realizacji prawa dostępu. Jeśli da się zaanonimizować – trzeba to zrobić i udostępnić.
Monitoring w placówkach medycznych – sygnał od UODO
Plan kontroli sektorowych UODO na 2026 rok wymienia monitoring wizyjny w placówkach medycznych jako jeden z pięciu priorytetów. Szczególna uwaga ma dotyczyć przetwarzania danych dzieci – oddziały pediatryczne, poradnie. To kontekst, w którym anonimizacja nabiera dodatkowego wymiaru: nagranie z kamery na korytarzu szpitala dziecięcego to potencjalnie dane wrażliwe osób najbardziej bezbronnych.
Drugi priorytet z tego samego planu – anonimizacja nagrań z sesji rad gmin publikowanych w Biuletynie Informacji Publicznej. Samorządy muszą udostępniać nagrania, ale muszą też chronić dane osób na widowni czy petentów zabierających głos. To ten sam problem, tylko w innej skali.
Co zrobić, gdy wpłynie wniosek
Na szczególną uwagę zasługuje fakt, że większość problemów z udostępnianiem nagrań wynika nie z braku narzędzi technicznych, lecz z braku procedury. Administrator dostaje wniosek i nie wie, od czego zacząć.
Pierwszy krok to weryfikacja, czy nagranie w ogóle istnieje. Kamery mają typowo 14–30 dni retencji. Jeśli wniosek dotyczy zdarzenia sprzed dwóch miesięcy, odpowiedź jest prosta – danych już nie ma. Ale uwaga: art. 12 ust. 3 RODO daje miesiąc na odpowiedź, więc zwlekanie z obsługą wniosku może oznaczać, że nagranie zostanie nadpisane zanim ktokolwiek je obejrzy. W mojej ocenie – wniosek o nagranie powinien od razu uruchamiać zabezpieczenie materiału.
Dalej: identyfikacja wnioskodawcy na nagraniu. Trzeba ustalić, w jakim przedziale czasowym i na której kamerze wnioskodawca jest widoczny. Potem – ocena, czy na nagraniu są osoby trzecie i czy ich zamazanie jest technicznie wykonalne bez utraty sensu materiału.
Jeśli anonimizacja jest możliwa – wykonujemy ją i udostępniamy. Jeśli nie – odmawiamy z pisemnym uzasadnieniem, wskazując konkretnie, które prawa osób trzecich byłyby zagrożone (art. 15 ust. 4). Ogólnikowe „ze względu na prywatność innych osób” to za mało.
Całość dokumentujemy. PUODO przy kontroli zapyta nie tylko o wynik, ale o proces decyzyjny.
Dla organizacji, które nie dysponują własnym zapleczem technicznym do obróbki wideo, AURACO oferuje usługę anonimizacji nagrań CCTV – opartą na rozwiązaniu AI działającym w całości on-premises, bez przekazywania materiału poza infrastrukturę klienta.
Źródła
- EDPB, Wytyczne 3/2019 dotyczące przetwarzania danych osobowych przez urządzenia wideo, wersja 2.0 przyjęta 29.01.2020
- Plan kontroli sektorowych UODO na 2026 rok – uodo.gov.pl
- Wyrok NSA z 6.02.2026 r., sygn. III OSK 2014/24 – monitoring wizyjny dopuszczalny wyłącznie jako ostateczność (omówienie w wydaniu #2)
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO), art. 15, art. 12
Artykuł pochodzi z newslettera AURACO (2026-04). Autor: Łukasz Onysyk.
