Wejście w życie przepisów RODO oznacza konieczność dostosowania zasad funkcjonowania przedsiębiorstw kolejowych do europejskich standardów ochrony danych osobowych.
Wiele rozwiązań wprowadzonych w RODO funkcjonowało w Polsce już wcześniej na podstawie przepisów krajowych, jednak z uwagi na brak realnych konsekwencji, często nie były przestrzegane. Zmiana jaką wprowadziło dla branży kolejowej RODO to nie tyko konieczność wymiany dokumentacji i wprowadzenia dodatkowych wewnętrznych procedur dla poszczególnych działów w przedsiębiorstwie. To przede wszystkim wymóg dokonania przeglądu procesów w jakich pojawiają się dane osobowe i sprawdzenia, czy te dane są odpowiednio bezpieczne. Zgodnie z wymogami RODO nie można mówić o właściwej ochronie danych osobowych bez wykonania analizy ryzyka oraz weryfikacji przetwarzania danych w systemach informatycznych.
Inwentaryzacja zbiorów kluczowa dla wdrożenia
Punktem wyjścia dla wszelkich działań związanych z dostosowaniem do RODO jest właściwa identyfikacja zbiorów danych. Tylko na tej podstawie możliwe jest ustalenie kto, w jaki sposób i do jakiego rodzaju danych ma dostęp. Dzięki temu możliwe będzie prawidłowe wydanie upoważnień do przetwarzania danych pracownikom, przeanalizowanie zagrożeń jakie wynikają dla bezpieczeństwa danych osobowych oraz wprowadzenie odpowiednich środków bezpieczeństwa.
Monitoring wizyjny pojazdach – czy jest legalny?
Monitoring wizyjny, czyli kamery są rozpowszechnionym sposobem na zapewnienie bezpieczeństwa na kolei. Monitoring może być zainstalowany na obiektach dostępnych dla pracowników przewoźnika np. w miejscu siedziby, a także w miejscach dostępnych publicznie (np. na dworcach). Kamery obecne są również w pojazdach (np. w pociągach). W każdym przypadku – niezależnie od formy stosowanego monitoringu – przedsiębiorca ma obowiązek poinformowania osób, których wizerunek jest utrwalany na nagraniach o sposobie zbierania ich danych osobowych w ramach monitoringu. Sposób na wypełnienie tego obowiązku nie jest określony w przepisach. Powszechnie stosuje się jednak tabliczki z piktogramami oraz tablice zawierającej obowiązek informacyjny, spełniający wymagania określone w przepisie art. 13 RODO.
Nagrania na dworcach czy w pojazdach to również konieczność przeprowadzenia oceny skutków dla ochrony danych osobowych dla systemu monitoringu wizyjnego.
Zapisy z monitoringu utrwalają miejsca dostępne publicznie, a przewoźnicy podlegają obowiązkom związanym z udostępnianiem informacji publicznej (nagrania z monitoringu). Udostępniając lub wydając kopie nagrań osobie, której one dotyczą należy pamiętać, że nie można naruszać prawa do prywatności innych osób utrwalonych na nagraniu (art. 15 ust. 4 oraz art. 20 ust. 3 RODO), co oznacza konieczność zanonimizowania lub spseudonimizowania nagrań. Jeżeli możliwości techniczne programu na to nie pozwalają, konieczne jest przyjęcie odpowiednich procedur, które pozwolą wywiązać się z obowiązków dotyczących realizowania praw osób, których dane dotyczą, zgodnie z RODO.
Nie należy przy tym zapominać, że nagrania z monitoringu muszą być przechowywane w sposób bezpieczny. Dostęp do tych nagrań powinni mieć wyłącznie pracownicy (lub współpracownicy) posiadający stosowne, pisemne upoważnienie. Z kolei z podmiotami zewnętrznymi (np. dostawcami oprogramowania lub firmą ochroniarską, której pracownicy mają dostęp do nagrań z monitoringu) administrator powinien zawrzeć umowę powierzenia przetwarzania.
Obsługa podróżnych wymaga szczególnej uwagi
Najbardziej kluczowym obszarem przetwarzania danych osobowych są działania związane z obsługą podróżnych – od zakupu biletu, przez organizację przejazdu i kontrole, aż po reklamacje składane do przewoźnika. Nie dla każdego przedsiębiorstwa kolejowego zakres i sposób zbierania danych będzie taki sam. Bilety kupowane w kasie na ogół nie są imienne. Co innego w przypadku biletów kupowanych przez Internet. Jeżeli trafiają na nie dane osobowe, podróżny musi zostać poinformowany o tym na jakich zasadach będą przetwarzane. Sprzedaż przez pośredników lub przez własne strony internetowe, które obsługują zewnętrzne firmy, oznacza konieczność zawarcia umowy powierzenia przetwarzania. Nie zawsze jest to oczywiste – zwłaszcza w przypadku podmiotów, które zajmują się obsługą techniczną systemów informatycznych.
Co jeszcze może rodzić problemy? Wielu przewoźników nie zdaje sobie sprawy, że ich działalność może prowadzić do zbierania danych szczególnej kategorii (tj. danych wrażliwych). Mowa o informacjach o stanie zdrowia, którymi są dane o niepełnosprawności zbierane podczas zgłoszenia przejazdu osoby niepełnosprawnej. Tego typu dane mogą trafiać do przewoźnika również przy reklamacjach dotyczących sprzedaży biletu osobie niepełnosprawnej lub naliczenia jej opłaty dodatkowej. Jest to szczególnie ważne, ponieważ dane wrażliwe są przetwarzane na innych zasadach niż dane zwykłe – podstawy przetwarzania określa art. 9 ust. 2 RODO, a nie art. 6 ust. 1 RODO. Ma to znaczący wpływ na treść klauzuli informacyjnej. Co ważne, w przypadku danych wrażliwych zawarta umowa nie daje podstawy do przetwarzania danych. Konieczne jest więc wskazanie właściwej podstawy z art. 9 ust. 2 RODO, o czym wielu przedsiębiorców zapomina.
Dane osobowe w trakcie kontroli biletowej
Gorącym tematem mimo czasu, jaki upłynął od 25 maja jest nadal kontrola biletowa. Sama kontrola polegająca na sprawdzaniu danych pasażera umieszczonych w dokumencie tożsamości czy na bilecie (np. jego imienia i nazwiska) nie powoduje, że tworzony jest zbiór danych. Zwłaszcza, że bilet należy do podróżnego, a nie przewoźnika, a zgodnie z art. 2 ust. 1 RODO, jego przepisy mają zastosowanie do przetwarzania danych osobowych „w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych”. Aby mówić o przetwarzaniu na gruncie RODO, musimy mieć zatem uporządkowane dokumenty albo system, do którego wprowadzamy dane. W związku z tym kontroler, który patrzy na dane, nie wprowadza tych danych do zbioru. Należy jednak bardzo wnikliwie przyjrzeć się danym, na których zbieranie pozwalają urządzenia elektroniczne do sczytywania biletów, czy przypadkiem nie są tworzone zbiory danych w sposób elektroniczny.
Czy pasażer może odmówić podania danych na potrzeby wypisania druku opłaty dodatkowej? Prawo wypisania druku opłaty dodatkowej wynika z przepisów, te same przepisy określają również jak postąpić w przypadku odmowy ich podania. Przewoźnik powinien więc dopilnować, aby poinformować o tym, że podanie danych osobowych na potrzeby wystawienia druku opłaty dodatkowej jest obowiązkiem wynikającym z przepisów ze wskazaniem konsekwencji odmowy ich podania. Na druku lub jako załącznik być dołączana informacja o zasadach przetwarzania zebranych przez kontrolera danych.
Kogo należy poinformować o RODO?
Obowiązek informacyjny powinien również zostać wypełniony wobec pasażerów, którzy składają skargi, wnioski a nawet w przypadku gdy zbierane są dane osobowe w związku ze zgubionym bagażem. Za każdym razem osoba, której dane zbieramy, powinna zostać powiadomiona o sposobie przetwarzania jej danych osobowych zgodnie z przepisem art. 13 lub 14 RODO.
Obowiązek informacyjny powinien zostać wypełniony nie tylko, gdy zbierane są dane osobowe w formie tradycyjnej, bezpośrednio od osoby, której dane dotyczą (np. w kasie), lecz również jeżeli zbierane są dane osobowe za pośrednictwem stron internetowych lub za pośrednictwem infolinii. Wszystkie narzędzia wykorzystywane przez przedsiębiorcę powinny zostać dostosowane do RODO.
Przetwarzanie danych pracowników
RODO wprowadziło wiele obostrzeń w kwestii przetwarzania danych osobowych pracowników. Pracodawca musi wypełnić wobec pracowników obowiązek informacyjny, wydać upoważnienia oraz prowadzić ewidencję upoważnień a także dokonać zmian w regulaminie pracy jeżeli monitoruje pracowników. Monitorowanie to nie tylko standardowy monitoring wizyjny (kamery), ale również GPS w pojazdach, monitoring poczty e-mail i inne. W przypadku nagrań z monitoringu w zakresie wizerunku pracowników konieczne jest zaś stosowanie art. 222 i art. 223 Kodeksu pracy. Zgodnie z przywołanymi przepisami pracodawca może zainstalować monitoring jeżeli jest to niezbędne do zapewnienia bezpieczeństwa pracowników lub ochrony mienia lub kontroli produkcji lub zachowania w tajemnicy informacji. Monitoring nie może jednak obejmować pomieszczeń sanitarnych, szatni, stołówek oraz palarni lub pomieszczeń udostępnianych zakładowej organizacji związkowej, chyba że stosowanie monitoringu w tych pomieszczeniach jest niezbędne do realizacji celu, o którym mowa powyżej. Nagrania mogą być przechowywane przez okres trzech miesięcy, chyba że nagrania obrazu stanowią dowód w postępowaniu prowadzonym na podstawie przepisów prawa (np. prowadzenia postępowania wypadkowego). Konieczne jest również określenie celów, zakresu oraz sposobu zastosowania monitoringu w układzie zbiorowym pracy lub w regulaminie pracy albo w obwieszczeniu, jeżeli pracodawca nie jest objęty układem zbiorowym pracy lub nie jest obowiązany do ustalenia regulaminu pracy.
W przypadku zbierania danych osobowych pracowników takich jak dane o karalności czy danych o nietrzeźwości, należy zidentyfikować czy jest podstawa prawna legalizująca możliwość przetwarzania tych danych. Kwestie te powinny zostać również ujęte w regulaminie pracy. W zakresie danych o niekaralności informacja jest zbierana od kandydatów na maszynistę i wynika z przepisów Ustawy o transporcie kolejowym.
Współpraca z Urzędem Transportu Kolejowego
Specyfika branży kolejowej i działalność przewoźników powoduje, że przekazują oni dane osobowe swoich pracowników np. maszynistów do Urzędu Transportu Kolejowego. Konieczne jest poprawne zidentyfikowanie jakie dane osobowe i na jakiej podstawie są przekazywane do UTK, w szczególności jakie przepisy obowiązują w tym zakresie.
Wypełnienie obowiązków informacyjnych wobec pracowników – z uwzględnieniem ich specyfiki zawodowej, a także poprawne zidentyfikowanie podstaw przetwarzania danych klientów (pasażerów), w szczególności ze względu na przetwarzanie danych osobowych o niepełnosprawności, to tylko niektóre z problemów z jakimi obecnie mają do czynienia przedsiębiorcy działający w branży kolejowej. Ilość problemów będzie się zapewne zwiększać z uwagi na planowane zmiany w przepisach w związku z dostosowaniem ich do RODO.
