Niedawno opublikowaliśmy bardzo długi poradnik Czy można opublikować dane oszusta, który nas oszukał? W dzisiejszym wpisie skupimy się na częstym w internecie przypadku, w którym właściciel sklepu publikuje zapis z monitoringu, na którym widać okradającego go złodzieja.
Scenariusz jest bardzo częsty. Kamera w sklepie rejestruje klienta, który wkłada towar do kieszeni, omija kasę i wychodzi. Nagranie jest dobrej jakości, twarz doskonale widoczna, a właściciel sklepu jest przekonany, że właśnie zarejestrował kradzież. Zamiast czekać na działania policji, robi więc screen z monitoringu i publikuje go na Facebooku z komunikatem: „Uwaga! Ten złodziej okradł nasz sklep. Udostępniajcie, może ktoś go rozpozna”.
Takie publikacje rzeczywiście pojawiają się w mediach społecznościowych. Często spotykają się też z ogromnym społecznym poparciem. Trudno dziwić się właścicielowi sklepu, który ponosi realne straty, widzi twarz sprawcy i chciałby zarówno go odnaleźć, jak i odstraszyć następnych. Problem polega na tym, że prawo pozwalające sklepowi nagrywać klientów dla ochrony mienia nie daje automatycznie prawa do wystawiania ich twarzy w internecie.
Co więcej, polski Urząd Ochrony Danych Osobowych analizował już bardzo podobny przypadek. Administrator zapytał UODO, czy może publikować w mediach społecznościowych nagrania z monitoringu przedstawiające akty wandalizmu „ku przestrodze”. Urząd wskazał, że publikowanie takich wizerunków nadal musi posiadać odpowiednią podstawę prawną, a deklarowany cel odstraszania innych osób od naruszania przepisów nie wydaje się uzasadniony w świetle art. 6, 9 ani 10 RODO. Kradzież sklepowa nie jest oczywiście identycznym stanem faktycznym jak wandalizm, ale mechanizm prawny jest bardzo podobny.
Kamera w sklepie może być legalna. Facebook to już zupełnie inna operacja
Pierwszą rzeczą, którą trzeba zrozumieć, jest zasada ograniczenia celu. Jeżeli sklep uruchamia monitoring po to, aby chronić mienie, zapewnić bezpieczeństwo oraz posiadać materiał dowodowy w razie przestępstwa, nagrania są zbierane właśnie w tych celach. Europejska Rada Ochrony Danych wskazuje, że monitoring może służyć m.in. ochronie mienia, życia i zdrowia oraz gromadzeniu dowodów potrzebnych do dochodzenia roszczeń. Cel musi jednak zostać określony przed rozpoczęciem monitorowania i nie może być sformułowany zupełnie ogólnie jako samo „bezpieczeństwo”.
RODO wymaga natomiast, aby dane były zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach oraz nie były następnie wykorzystywane w sposób z nimi niezgodny. W praktyce oznacza to, że sklep może posiadać podstawę do nagrania osoby wkładającej towar do kieszeni, zachowania nagrania i przekazania go policji, ale późniejsze wykorzystanie tego samego materiału do prowadzenia publicznej kampanii „poznajcie naszego złodzieja” jest nowym sposobem przetwarzania danych, który wymaga osobnego uzasadnienia.
Właśnie dlatego argument „przecież kamera legalnie to nagrała” nie kończy dyskusji. Tak samo firma może legalnie posiadać w swoim systemie adres domowy klienta potrzebny do wysyłki, ale nie oznacza to, że może następnego dnia wrzucić ten adres na Facebooka.
Nagranie twarzy jest daną osobową
Jeżeli na nagraniu da się zidentyfikować człowieka, jego wizerunek stanowi dane osobowe. Nie oznacza to automatycznie, że każde nagranie twarzy jest „daną biometryczną szczególnej kategorii”. EROD wyjaśnia, że zwykły materiał wideo staje się danymi biometrycznymi w szczególnym znaczeniu RODO dopiero wtedy, gdy podlega określonemu technicznemu przetwarzaniu służącemu jednoznacznej identyfikacji osoby, przykładowo poprzez system rozpoznawania twarzy.
Dla zwykłego sklepu nie jest to jednak specjalnym pocieszeniem. Zwykły wizerunek nadal jest chronioną daną osobową, a jego publiczne rozpowszechnienie wymaga podstawy prawnej. Dodatkowo w Polsce wizerunek podlega osobnej ochronie na gruncie prawa cywilnego i prawa autorskiego. Innymi słowy: problem nie sprowadza się nawet wyłącznie do RODO.
Prawo do wizerunku mówi dość jasno: co do zasady potrzebne jest zezwolenie
Artykuł 81 ustawy o prawie autorskim i prawach pokrewnych stanowi, że rozpowszechnianie wizerunku wymaga zezwolenia osoby na nim przedstawionej. Ustawa przewiduje konkretne wyjątki – dotyczą one przede wszystkim osób powszechnie znanych fotografowanych w związku z pełnieniem funkcji publicznych oraz osób będących jedynie szczegółem większej całości, np. tłumu na imprezie publicznej.
Nie ma natomiast w art. 81 wyjątku o treści:
„zgoda nie jest potrzebna, jeżeli osoba przedstawiona na nagraniu właśnie coś ukradła”.
To dość istotne. Człowiek nie traci prawa do własnego wizerunku wyłącznie dlatego, że zachował się bezprawnie. Jeżeli kamera sklepu pokazuje go jako główny, wyraźny obiekt nagrania, trudno również twierdzić, że jest on jedynie przypadkowym „szczegółem całości”.
Orzecznictwo dodatkowo podkreśla, że zgody na wykorzystanie wizerunku ani jej zakresu nie można sobie domniemywać. Osoba powinna wiedzieć, w jaki sposób, gdzie, w jakim czasie i w jakim kontekście jej wizerunek będzie rozpowszechniany. Sąd Najwyższy wskazywał, że ochrona wizerunku dotyczy właśnie autonomii człowieka w decydowaniu, czy i w jakich okolicznościach jego podobizna zostanie upubliczniona.
To oznacza, że nawet zanim zaczniemy analizować RODO, właściciel sklepu ma już problem wynikający z samego prawa do wizerunku.
Wizerunek jest także dobrem osobistym
Kodeks cywilny wprost wymienia wizerunek w katalogu dóbr osobistych człowieka. Osoba, której dobro zostało naruszone, może żądać zaniechania działania, usunięcia jego skutków, odpowiednich przeprosin, zadośćuczynienia pieniężnego, a w określonych sytuacjach również naprawienia szkody majątkowej.
W praktyce prowadzi to do paradoksalnej sytuacji, która wielu właścicielom sklepów może wydawać się niesprawiedliwa. Człowiek rzeczywiście ukradł towar za kilkaset złotych, a po opublikowaniu jego zdjęcia może następnie pozwać sklep za naruszenie wizerunku lub dóbr osobistych.
Nie oznacza to oczywiście, że złodziej „wygrywa”, a sklep zostaje bez ochrony. Sklep ma prawo dochodzić swoich roszczeń, zawiadomić organy ścigania, zabezpieczyć dowód i przekazać materiał policji. Prawo po prostu rozdziela ściganie kradzieży od publicznego wystawiania człowieka na internetowy osąd.
Dochodzi jeszcze RODO – i tutaj problem robi się większy
Sklep mógłby próbować argumentować, że posiada prawnie uzasadniony interes w ostrzeganiu innych przed kradzieżami. Art. 6 ust. 1 lit. f RODO rzeczywiście pozwala w pewnych sytuacjach przetwarzać dane w oparciu o prawnie uzasadniony interes administratora lub osoby trzeciej, o ile nie przeważają nad nim prawa i wolności osoby, której dane dotyczą.
Problem polega na konieczności wykazania nie tylko istnienia interesu, ale również niezbędności konkretnej operacji. Sklep musiałby więc odpowiedzieć na pytanie, dlaczego publiczne pokazanie twarzy tysiącom osób na Facebooku jest konieczne do ochrony jego mienia, skoro może przekazać nagranie policji, użyć go jako dowodu czy zwiększyć zabezpieczenia.
EROD przy monitoringu wizyjnym bardzo mocno podkreśla właśnie ocenę niezbędności i możliwość osiągnięcia celu mniej ingerującymi środkami.
A mamy jeszcze wspomniane już stanowisko UODO dotyczące nagrań wandalizmu. Urząd nie uznał samego argumentu „opublikujemy, żeby odstraszać innych” za wystarczający.
Największy problem może jednak nazywać się: art. 10 RODO
Jeżeli sklep opublikuje samo zdjęcie człowieka z podpisem:
„Złodziej, który 15 września ukradł u nas perfumy”
nie przetwarza już wyłącznie zwykłego wizerunku. Łączy konkretną, identyfikowalną osobę z informacją o popełnieniu czynu zabronionego.
A RODO traktuje informacje dotyczące wyroków skazujących oraz czynów zabronionych w sposób szczególny. Artykuł 10 stanowi, że przetwarzania takich danych na podstawie art. 6 ust. 1 można dokonywać tylko pod nadzorem władz publicznych albo wtedy, gdy pozwala na to prawo Unii lub państwa członkowskiego przewidujące odpowiednie zabezpieczenia praw osoby.
To niezwykle ważne, ponieważ sklep nie może po prostu powiedzieć:
„Mamy uzasadniony interes, więc art. 6 lit. f załatwia sprawę”.
Jeżeli publikacja w praktyce komunikuje całemu internetowi, że rozpoznawalny człowiek dopuścił się kradzieży, pojawia się dodatkowa warstwa wynikająca z art. 10. Sam prawnie uzasadniony interes może więc nie wystarczyć.
To również tłumaczy, dlaczego UODO w swoim stanowisku dotyczącym publikowania filmów z wandalizmem odnosił się nie tylko do art. 6 RODO, ale także do art. 10.
„Ale przecież kamera ewidentnie pokazuje kradzież”
Nawet wtedy sklep powinien zachować ostrożność. Nagranie może pokazywać człowieka wkładającego produkt do torby, ale krótki wycinek nie zawsze przedstawia całe zdarzenie. Być może produkt został później opłacony w innej kasie, dana osoba była pracownikiem, pomyliła torby albo doszło do innej sytuacji, której kamera nie zarejestrowała.
Oczywiście można wyobrazić sobie nagranie tak jednoznaczne, że właściciel praktycznie nie ma żadnych wątpliwości. Nadal jednak nie zmienia to przepisów dotyczących rozpowszechniania wizerunku i danych o czynie zabronionym. Pewność sklepu co do winy nie tworzy nowej podstawy prawnej do publikacji.
Ma to również znaczenie dla dóbr osobistych. Publiczne nazwanie kogoś złodziejem niesie dużo dalej idące konsekwencje niż samo przekazanie nagrania organom ścigania. Materiał może zostać udostępniony tysiące razy, trafić do pracodawcy czy rodziny i pozostać w wyszukiwarce długo po zakończeniu sprawy.
Dlaczego policja może opublikować wizerunek, a sklep niekoniecznie?
Tutaj bardzo dobrze widać różnicę między działaniem prywatnej firmy a działaniem organu państwa.
Kodeks postępowania karnego przewiduje mechanizm listu gończego, który może zawierać fotografię poszukiwanej osoby i być publikowany w internecie. Decyzję podejmuje jednak sąd albo prokurator w ramach formalnego postępowania.
Także w innych postępowaniach można spotkać policyjne komunikaty pokazujące osobę z monitoringu i proszące obywateli o pomoc w jej identyfikacji. Przykładowo Policja publikowała wizerunek osoby mogącej mieć związek z przestępstwem po tym, gdy prokurator wydał zarządzenie o udostępnieniu jej wizerunku. To kluczowa różnica. O publikacji nie zdecydował administrator sklepu, który uznał, że ma dość kradzieży. Zrobił to uprawniony organ w ramach postępowania i na podstawie procedury prawnej.
Jeżeli więc sklep posiada bardzo wyraźne nagranie sprawcy, prawidłową drogą jest zabezpieczenie materiału i przekazanie go policji. RODO zresztą wprost wskazuje w motywach, że przekazywanie właściwym organom danych dotyczących możliwych czynów przestępczych może mieścić się w prawnie uzasadnionym interesie administratora.
A jeśli sklep udostępni później post policji?
To zdecydowanie bezpieczniejsza sytuacja niż samodzielne wrzucenie surowego screena i nazwanie człowieka złodziejem. Jeżeli policja lub prokuratura zgodnie z prawem podjęła decyzję o publicznym udostępnieniu wizerunku, sklep może przykładowo przekierować swoich obserwujących do oficjalnego komunikatu organu.
Nie oznacza to, że każdą treść opublikowaną przez policję można następnie dowolnie przerabiać, opatrywać dodatkowymi oskarżeniami czy budować wokół niej własną kampanię. Najbezpieczniejszym wariantem jest po prostu udostępnienie oficjalnego komunikatu, z zachowaniem jego brzmienia i kontekstu.
Wtedy to organ prowadzący postępowanie ustala również, jak długo istnieje potrzeba poszukiwania danej osoby i kiedy komunikat powinien zniknąć.
A jeśli sklep zamazuje twarz?
To może całkowicie zmienić sytuację, jeżeli anonimizacja jest rzeczywiście skuteczna. Jeżeli materiał został przygotowany w taki sposób, że osoby nie da się zidentyfikować ani bezpośrednio, ani rozsądnie poprzez połączenie pozostałych informacji, odpada znaczna część problemów związanych z danymi osobowymi i prawem do rozpoznawalnego wizerunku.
Sklep może więc opublikować materiał edukacyjny pokazujący przykładowy sposób kradzieży, ale zasłonić twarz, charakterystyczny tatuaż, tablicę rejestracyjną czy inne elementy pozwalające ustalić osobę. W takim przypadku przekazem jest schemat zachowania, a nie publiczne napiętnowanie konkretnego człowieka.
Trzeba jednak uważać na pozorną anonimizację. Mały pasek na oczach nie wystarczy, jeśli pół miasta rozpozna osobę po twarzy, fryzurze, ubraniu i podpisie „znany mieszkaniec naszego osiedla”. Anonimizacja musi być rzeczywista, a nie dekoracyjna.
A teraz eksperyment: „Wchodząc i kradnąc, zgadzasz się na publikację wizerunku”
Wyobraźmy sobie więc sklep, który chce przechytrzyć przepisy. Przy wejściu umieszcza wielką tablicę:
„OBIEKT MONITOROWANY. WCHODZĄC NA TEREN SKLEPU I DOKONUJĄC KRADZIEŻY, WYRAŻASZ ZGODĘ NA PUBLIKACJĘ SWOJEGO WIZERUNKU W MEDIACH SPOŁECZNOŚCIOWYCH SKLEPU.”
Brzmi sprytnie. Klient został poinformowany, warunek jest widoczny, a do publikacji ma dojść tylko wtedy, gdy sam naruszy prawo. Można wręcz powiedzieć: jeśli nie chcesz trafić na Facebooka, po prostu nie kradnij.
Problem polega na tym, że prawnie taka tabliczka bardzo prawdopodobnie nie daje sklepowi bezpiecznej podstawy do publikowania twarzy złodziei.
I powodów jest kilka.
Po pierwsze: sklep nie może jednostronnie wymyślić cudzej zgody
Zgoda jest oświadczeniem osoby, której dane dotyczą, a nie oświadczeniem administratora o tym, że określone zachowanie będzie od dzisiaj traktował jako zgodę.
RODO definiuje zgodę jako dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba przyzwala na przetwarzanie swoich danych. Musi więc wystąpić zachowanie rzeczywiście komunikujące akceptację przetwarzania, a nie jedynie czynność, której administrator postanowił przypisać takie znaczenie.
To tak, jakby restauracja wywiesiła kartkę:
„Osoba, która wyjdzie bez zapłaty, zgadza się na wytatuowanie logo restauracji na czole”.
Sama kartka nie tworzy automatycznie prawnie skutecznego oświadczenia drugiej strony.
Po drugie: zgody na rozpowszechnienie wizerunku nie wolno domniemywać
Tutaj problem istnieje również niezależnie od RODO. Orzecznictwo dotyczące art. 81 prawa autorskiego dopuszcza w pewnych sytuacjach zgodę dorozumianą, ale jednocześnie bardzo mocno podkreśla, że istnienia zgody i jej zakresu nie należy domniemywać. Osoba musi mieć świadomość sposobu, miejsca, czasu oraz kontekstu wykorzystania wizerunku.
Sądy wskazywały również, że zezwolenie powinno odnosić się do konkretnych sposobów wykorzystania, a blankietowe pozwolenie na dowolne przyszłe rozpowszechnianie wizerunku jest szczególnie problematyczne.
Można oczywiście skonstruować ciekawy argument, że ogromna, czytelna tablica szczegółowo określająca platformy i sposób publikacji sprawia, iż osoba wiedziała o konsekwencjach. Nadal jednak pozostaje podstawowe pytanie: czy popełnienie kradzieży jest rzeczywiście jednoznacznym aktem wyrażenia zgody na publikację wizerunku?
To wyjątkowo wątpliwe. Kradzież jest czynnością zmierzającą do zabrania mienia, a nie komunikatem skierowanym do sklepu o treści „wyrażam zgodę na przetwarzanie mojego wizerunku”.
Po trzecie: zgoda z RODO musi być dobrowolna
RODO wymaga również, aby zgoda była dobrowolna. Przy ocenie dobrowolności trzeba brać pod uwagę, czy świadczenie usługi lub wykonanie umowy nie zostało niepotrzebnie uzależnione od zgody na przetwarzanie danych, które nie są konieczne do świadczenia tej usługi.
Jeszcze wyraźniej widać problem przy bardziej radykalnej tabliczce:
„Wchodząc do sklepu, wyrażasz zgodę na publikację swojego wizerunku w naszych social mediach, jeżeli uznamy, że dopuściłeś się kradzieży.”
Taka konstrukcja próbowałaby uzależnić zwykłe korzystanie ze sklepu od zgody na potencjalną publiczną publikację wizerunku – przetwarzanie zupełnie zbędne do sprzedaży chleba, telewizora czy perfum.
Zgoda w RODO nie działa więc jak regulamin parkingu: „wjazd oznacza akceptację wszystkiego, co tutaj napisaliśmy”.
Po czwarte: zgodę można wycofać
Nawet gdybyśmy hipotetycznie uznali, że złodziej skutecznie wyraził zgodę w rozumieniu RODO, art. 7 przewiduje prawo jej wycofania w dowolnym momencie, a wycofanie powinno być równie łatwe jak jej udzielenie.
Wyobraźmy sobie więc absurdalną sytuację. Sklep publikuje twarz z podpisem „nasz złodziej”, a następnego dnia osoba pisze:
„Wycofuję zgodę na publikację mojego wizerunku”.
Oczywiście nie oznacza to, że automatycznie znika każda potencjalna inna podstawa prawna, jeżeli taka istnieje. Pokazuje natomiast, dlaczego budowanie całego systemu „publicznego piętnowania złodziei” na konstrukcji zgody jest bardzo słabym pomysłem.
Zgoda jest z założenia narzędziem pozostającym pod kontrolą osoby, której dane dotyczą. Sklep chciałby natomiast traktować ją jak nieodwołalną karę za kradzież. To dwie zupełnie różne konstrukcje.
Po piąte: nawet świetna zgoda z art. 6 nie rozwiązuje art. 10 RODO
To prawdopodobnie najbardziej zabójczy argument wobec tabliczki.
Załóżmy nawet bardzo korzystnie dla sklepu, że sąd uznałby, iż klient faktycznie wyraził zgodę na opublikowanie swojego wizerunku. Nadal trzeba spojrzeć na to, co sklep zamierza opublikować. Jeżeli post brzmi:
„Oto złodziej, który ukradł u nas towar”
sklep nie tylko pokazuje zdjęcie. Przetwarza informację o osobie w powiązaniu z rzekomym popełnieniem czynu zabronionego. A art. 10 RODO wymaga w takim przypadku kontroli władz publicznych albo wyraźnego upoważnienia wynikającego z prawa Unii lub prawa państwa członkowskiego przewidującego zabezpieczenia praw osoby. Sama zgoda z art. 6 nie tworzy takiego upoważnienia.
Innymi słowy tablica:
„Kradnąc, zgadzasz się, że nazwiemy cię publicznie złodziejem”
nie jest prywatnym sposobem na wyłączenie art. 10 RODO. Administrator sklepu nie może sam stworzyć sobie regulaminem kompetencji, którą europejskie prawo celowo ogranicza w przypadku danych o przestępstwach.
A co z zasadą: „kto wchodzi, ten akceptuje regulamin”?
To często spotykane rozumowanie, ale regulamin przedsiębiorcy również nie stoi ponad ustawą. Możemy umownie uregulować wiele kwestii związanych z korzystaniem z prywatnej nieruchomości czy usługą, ale nie możemy napisać dowolnego postanowienia i automatycznie uznać, że staje się ono ważne dlatego, że ktoś przeszedł przez drzwi.
Tak samo sklep nie może umieścić tablicy „każdy złodziej zrzeka się prawa do ochrony danych osobowych” i na tej podstawie wyłączyć RODO. Nie może też stworzyć dodatkowego wyjątku do art. 81 prawa autorskiego, którego ustawodawca nie przewidział.
Tabliczka ma ogromne znaczenie jako obowiązek informacyjny o monitoringu. Może informować klientów, że obiekt jest monitorowany, kto jest administratorem danych, w jakim celu obraz jest rejestrowany i gdzie znajdują się dalsze informacje. Nie należy jednak mylić poinformowania człowieka o przetwarzaniu z uzyskaniem jego zgody na dowolne przyszłe wykorzystanie nagrania.
Jaka tabliczka miałaby więc więcej sensu?
Znacznie rozsądniejszy komunikat mógłby brzmieć w rodzaju:
„Obiekt monitorowany w celu ochrony osób i mienia oraz dochodzenia i obrony roszczeń. Nagrania dokumentujące podejrzenie popełnienia przestępstwa mogą zostać przekazane Policji, prokuraturze lub innym uprawnionym organom.”
To nie jest próba stworzenia sztucznej zgody. To informacja o rzeczywistym sposobie wykorzystania monitoringu. Takie podejście jest również zgodne z logiką RODO, zgodnie z którą przekazywanie właściwym organom informacji dotyczących możliwych przestępstw może być realizacją prawnie uzasadnionego interesu administratora.
Właśnie tym monitoring powinien być: narzędziem do ochrony sklepu i zabezpieczenia materiału dowodowego, a nie prywatnym systemem wymierzania kar w mediach społecznościowych.
A gdyby złodziej po zatrzymaniu podpisał prawdziwą zgodę?
Dla czysto hipotetycznej analizy możemy pójść jeszcze dalej. Wyobraźmy sobie, że sprawca został zatrzymany, przyznaje się do kradzieży i dobrowolnie podpisuje dokument:
„Wyrażam zgodę na publikację mojego wizerunku na Facebooku oraz Instagramie sklepu X w związku ze zdarzeniem z dnia Y”.
W zakresie samego prawa do wizerunku sytuacja byłaby oczywiście znacznie mocniejsza. Art. 81 wymaga zezwolenia, a zezwolenie może zostać udzielone wprost i precyzyjnie określać sposób wykorzystania.
Na gruncie RODO również mielibyśmy znacznie wyraźniejsze oświadczenie woli niż „ukradłeś, więc uznaliśmy, że się zgodziłeś”. Nadal jednak pojawiałoby się pytanie o art. 10, jeżeli publikacja miałaby wprost przedstawiać tę osobę jako sprawcę przestępstwa. To doskonale pokazuje, że wizerunek złodzieja nie jest jednym problemem prawnym. To kilka nakładających się warstw, a rozwiązanie jednej nie musi automatycznie rozwiązać pozostałych.
Czy to wszystko nie jest przesadą? W końcu mówimy o złodzieju
Tu dochodzimy do najbardziej felietonowej części problemu. Wiele osób zapewne uzna całą konstrukcję za absurdalną: sklep został okradziony, kamera nagrała sprawcę, a teraz to właściciel ma się martwić o prywatność człowieka, który właśnie zabrał jego towar. Takie odczucie jest całkowicie zrozumiałe.
Tyle że system prawny celowo nie działa według zasady „kto zachował się bezprawnie, automatycznie traci ochronę swoich praw”. Gdybyśmy przyjęli taką zasadę, następnym pytaniem byłoby: kto decyduje, że człowiek rzeczywiście jest złodziejem? Właściciel sklepu? Kierownik zmiany? Administrator firmowego Facebooka? Ochroniarz oglądający trzydzieści sekund nagrania?
A co w przypadku błędu?
Jeżeli zdjęcie trafi do internetu, uzyskanie odszkodowania kilka lat później nie cofnie faktu, że człowieka zobaczyła rodzina, pracodawca i tysiące mieszkańców jego miasta.
Prawo oddaje więc kompetencję do publicznego poszukiwania sprawców przede wszystkim organom prowadzącym postępowanie, które dysponują procedurą, odpowiedzialnością i możliwością oceny materiału w szerszym kontekście.
Z drugiej strony sklep nie powinien być bezbronny
Ochrona wizerunku złodzieja nie oznacza przecież, że przedsiębiorca ma patrzeć bezczynnie, jak ktoś regularnie wynosi towar. Może stosować monitoring, zachowywać właściwe fragmenty nagrań, zawiadamiać organy, przekazywać im materiał, dochodzić naprawienia szkody, korzystać z ochrony fizycznej oraz poprawiać zabezpieczenia.
Jeżeli policja zdecyduje, że pomoc społeczeństwa jest potrzebna do ustalenia tożsamości, istnieją procedury umożliwiające zgodną z prawem publikację zdjęcia.
Granica nie przebiega więc pomiędzy „chronimy złodzieja” a „chronimy sklep”. Przebiega pomiędzy zabezpieczeniem dowodu i ściganiem sprawcy a prywatnym publicznym napiętnowaniem osoby przez przedsiębiorcę.
Największy paradoks: publikacja może bardziej zaszkodzić sklepowi niż złodziejowi
Wyobraźmy sobie sklep, z którego skradziono towar wart 300 zł. Właściciel wrzuca bardzo wyraźne zdjęcie na Facebooka, post zbiera 50 tysięcy wyświetleń, człowiek zostaje rozpoznany, a następnie występuje przeciwko sklepowi w związku z naruszeniem wizerunku, dóbr osobistych i przepisów o ochronie danych.
Nie przesądzamy oczywiście wyniku takiego postępowania, bo każdy przypadek zależy od konkretnych okoliczności. Ryzyko prawne jest jednak realne – szczególnie że UODO wprost odnosiło się negatywnie do publikowania materiałów z monitoringu „ku przestrodze”.
Przedsiębiorca może więc w emocjach związanych z kradzieżą stworzyć sobie problem wielokrotnie poważniejszy niż wartość utraconego produktu.
Czy sklep może więc wrzucić twarz złodzieja na Facebooka?
Najbezpieczniejsza odpowiedź brzmi: co do zasady sklep nie powinien samodzielnie publikować w social mediach rozpoznawalnego wizerunku osoby z monitoringu wraz z informacją, że jest ona złodziejem, tylko dlatego, że uważa ją za sprawcę kradzieży.
Legalność samego monitoringu nie daje automatycznej podstawy do publicznego rozpowszechniania materiału. Prawo do wizerunku wymaga co do zasady zezwolenia, RODO wymaga właściwej podstawy i poszanowania ograniczenia celu, a powiązanie konkretnej osoby z informacją o kradzieży uruchamia dodatkowo bardzo poważny problem art. 10 RODO. UODO zajęło już zbliżone stanowisko w sprawie filmów przedstawiających wandalizm publikowanych „ku przestrodze”.
Znacznie bezpieczniejsze jest zabezpieczenie oryginalnego materiału i przekazanie go policji. Jeżeli organ prowadzący postępowanie uzna, że należy publicznie szukać konkretnej osoby, może zrobić to na podstawie właściwych procedur.
Natomiast tabliczka na drzwiach mówiąca:
„Kradnąc, zgadzasz się na publikację wizerunku”
jest ciekawym eksperymentem myślowym, ale nie stanowi magicznego sposobu na obejście prawa do wizerunku, RODO i art. 10. Administrator nie może sam ogłosić, że określone zachowanie będzie od tej chwili oznaczało cudzą zgodę, a zgoda sama w sobie nie daje przedsiębiorcy kompetencji organu ścigania.
I chyba właśnie tutaj tkwi największy paradoks tej historii. Sklep może legalnie nagrać złodzieja, może zachować jego twarz jako dowód i może przekazać ją policji. Ale pomiędzy zdaniem „mamy nagranie sprawcy” a „pokażemy jego twarz całemu internetowi” znajduje się znacznie większa prawna przepaść, niż mogłoby się początkowo wydawać.