Nie ma jednej, uniwersalnej liczby dni dla każdego systemu monitoringu. W zakładzie pracy nagrania można przechowywać maksymalnie przez 3 miesiące od dnia rejestracji, chyba że zabezpieczono je jako dowód w postępowaniu. W innych miejscach okres retencji musi wynikać z celu przetwarzania i zasady ograniczenia przechowywania określonej w RODO. Technicznie wiele systemów działa w zakresie 7–90 dni, ale sama pojemność dysku nie uzasadnia tak długiego przechowywania.
Co prawo mówi o przechowywaniu nagrań?
Nagranie, na którym można rozpoznać osoby, jest daną osobową. Administrator danych musi więc ustalić, po co prowadzi monitoring, jak długo materiał jest potrzebny i kiedy zostanie usunięty albo nadpisany. Podstawą jest art. 5 ust. 1 lit. e RODO, czyli zasada ograniczenia przechowywania. Dane mogą być przechowywane w formie pozwalającej na identyfikację tylko przez okres niezbędny do realizacji celu.
Cel przetwarzania wyznacza zatem czas retencji. Ochrona mienia, bezpieczeństwo osób, kontrola określonego procesu lub zabezpieczenie terenu mogą uzasadniać monitoring, ale nie oznaczają automatycznie prawa do przechowywania obrazu przez dowolny czas. Nagrania przechowywane „na wszelki wypadek” bez konkretnego uzasadnienia zwiększają ryzyko naruszenia RODO.
W miejscu pracy obowiązuje szczególna regulacja. Art. 222 § 3 Kodeksu pracy stanowi, że pracodawca przechowuje nagrania obrazu przez okres nieprzekraczający 3 miesięcy od dnia nagrania. Pracodawca może ustalić krótszy termin, jeśli cel monitoringu nie wymaga pełnych trzech miesięcy.
Wyjątek dotyczy sytuacji, w której nagranie może stanowić dowód w postępowaniu prowadzonym na podstawie prawa albo pracodawca dowiedział się, że może mieć ono znaczenie dowodowe. Wtedy zabezpieczony materiał można przechowywać do prawomocnego zakończenia postępowania. Nie oznacza to jednak, że cały bieżący zasób monitoringu można zachować dłużej. Przedłużenie powinno dotyczyć konkretnego nagrania lub zdarzenia i zostać udokumentowane.
Administrator powinien mieć ustalone co najmniej następujące zasady:
- Cel monitoringu – opis tego, jakie zagrożenie lub proces uzasadnia rejestrację obrazu.
- Okres retencji – termin dopasowany do celu, z uwzględnieniem szczególnych przepisów.
- Procedura zabezpieczenia dowodu – sposób eksportu materiału i oznaczenia go przed nadpisaniem.
- Usuwanie danych – automatyczne nadpisywanie albo inne trwałe usunięcie nagrań po upływie terminu.
- Kontrola dostępu – wskazanie osób upoważnionych do oglądania i eksportowania materiału.
W przypadku monitoringu pracowniczego trzeba także poinformować osoby objęte rejestracją o celu, zakresie i czasie przechowywania. Teren monitorowany powinien być oznaczony, a zasady działania systemu opisane w dokumentacji pracodawcy. Samo nagrywanie obrazu nie daje prawa do wykorzystywania materiału do innych, niezgodnych z pierwotnym celem zadań.
Typowe okresy przechowywania w różnych miejscach
Poza zakładem pracy RODO zazwyczaj nie wskazuje jednej liczby dni dla wszystkich obiektów. Podane niżej wartości są spotykane w praktyce, ale nie zastępują analizy celu, ryzyka i przepisów szczególnych. Administrator powinien wybrać najkrótszy okres, który realnie pozwala wykryć zdarzenie i podjąć działania.
| Miejsce lub cel | Typowy czas | Podstawa lub uwagi |
|---|---|---|
| Zakład pracy | Do 3 miesięcy | Art. 222 Kodeksu pracy. Krócej, jeśli cel tego wymaga, dłużej tylko dla zabezpieczonego dowodu. |
| Sklep, biuro lub mała firma | Najczęściej kilka dni do około 30 dni | Okres powinien wynikać z ochrony mienia, bezpieczeństwa i czasu potrzebnego na wykrycie incydentu. |
| Prywatna posesja | Zwykle kilka dni do kilku tygodni | Trzeba uwzględnić zakres obserwacji i to, czy kamera obejmuje wyłącznie własny teren. |
| Obiekt publiczny | Często 7–30 dni | Dokładny termin może wynikać z lokalnych regulacji, procedur administratora lub przepisów szczególnych. |
| Impreza masowa | 30–90 dni od zakończenia wydarzenia | Jeżeli zastosowanie mają przepisy szczególne, okres należy ustalić zgodnie z ich wymaganiami. |
Ważne nagranie należy wyeksportować przed upływem zwykłej retencji. Po zabezpieczeniu materiału trzeba ograniczyć dostęp, opisać sprawę i przechowywać plik tylko tak długo, jak wymaga tego postępowanie lub dochodzenie roszczeń.
Jak działa nadpisywanie w pętli?
Większość rejestratorów NVR i DVR wykorzystuje nadpisywanie w pętli. System zapisuje kolejne pliki do przeznaczonej przestrzeni, a po jej zapełnieniu usuwa najstarsze nagrania, które nie zostały zablokowane lub wyeksportowane. Dzięki temu rejestracja może działać bez ręcznego kasowania plików.
Mechanizm ten nie rozstrzyga jednak, jak długo dane wolno przechowywać. Określa tylko, jak długo nagranie pozostanie dostępne przy danej pojemności i konfiguracji. Jeżeli system zapisuje materiał przez 90 dni, a cel uzasadnia 14 dni, trzeba zmienić ustawienia albo ograniczyć przestrzeń przeznaczoną na archiwum. Technika powinna realizować przyjętą politykę retencji, a nie wyznaczać ją samodzielnie.
Na szybkość zapełniania pamięci wpływają przede wszystkim:
- liczba kamer zapisujących materiał,
- bitrate, czyli ilość danych przesyłanych w jednostce czasu,
- rozdzielczość, liczba klatek na sekundę i jakość obrazu,
- kodek kompresji, na przykład H.264 albo H.265,
- nagrywanie ciągłe, według harmonogramu lub po wykryciu ruchu.
Przybliżenie dla nagrywania ciągłego jest proste: 1 Mb/s to około 10,8 GB danych na dobę dla jednej kamery. Kamera pracująca ze średnim bitrate 2 Mb/s wygeneruje więc około 21,6 GB dziennie, a przy 8 Mb/s około 86,4 GB. Są to wartości orientacyjne, ponieważ rzeczywisty rozmiar plików zależy także od sceny, ustawień kompresji i zmian w obrazie.
| Czynnik | Wpływ na retencję | Sposób optymalizacji |
|---|---|---|
| Rozdzielczość | Wyższa rozdzielczość zwykle zwiększa ilość danych. | Dopasuj ją do szczegółów wymaganych dla danego celu. |
| Bitrate | Wyższy bitrate szybciej zapełnia dysk, ale może poprawiać szczegółowość obrazu. | Ustaw wartość zapewniającą czytelny obraz bez nadmiarowej jakości. |
| Kodek | H.265 może zużywać mniej miejsca niż H.264 przy podobnej jakości, zależnie od ustawień i sceny. | Sprawdź zgodność kamer, rejestratora i narzędzi do odtwarzania. |
| Tryb nagrywania | Nagrywanie 24/7 zajmuje więcej miejsca niż zapis po ruchu lub według harmonogramu. | Stosuj detekcję ruchu tam, gdzie nie jest potrzebny ciągły zapis. |
| Liczba kamer | Każde kolejne źródło proporcjonalnie zwiększa zapotrzebowanie na pamięć. | Planuj pojemność na podstawie łącznego bitrate’u wszystkich kamer. |
Dwa systemy z taką samą liczbą kamer i dyskiem o tej samej pojemności mogą zapewniać zupełnie inną retencję. Cztery kamery zapisujące bez przerwy w wysokim bitrate zapełnią dysk znacznie szybciej niż cztery urządzenia nagrywające tylko wykryty ruch. Warto po uruchomieniu systemu sprawdzić rzeczywisty przyrost danych przez kilka dni, także w okresie zwiększonej aktywności.
Jak wdrożyć retencję zgodną z prawem?
Ustalenie terminu powinno zacząć się od celu, a nie od możliwości konkretnego rejestratora. Administrator może przejść przez następujące etapy:
- Określ cel monitoringu i opisz, jakie zdarzenia mają być wykrywane.
- Ustal minimalny czas potrzebny na zauważenie incydentu, analizę materiału i podjęcie działań.
- Sprawdź, czy dla danego miejsca obowiązuje przepis szczególny, w tym art. 222 Kodeksu pracy.
- Dobierz pojemność dysków, bitrate, kodek i tryb nagrywania do przyjętego terminu.
- Włącz nadpisywanie w pętli oraz procedurę blokowania i eksportowania materiału dowodowego.
- Opisz zasady w dokumentacji, poinformuj osoby objęte monitoringiem i regularnie sprawdzaj działanie systemu.
Przed uruchomieniem albo audytem systemu administrator powinien sprawdzić następujące elementy:
- Teren i pomieszczenia objęte monitoringiem są oznaczone w sposób widoczny.
- Osoby nagrywane otrzymują informację o administratorze, celu i czasie przechowywania danych.
- W rejestratorze NVR ustalono retencję, harmonogram i sposób nadpisywania.
- Utworzono procedurę eksportu nagrania, gdy może być dowodem.
- Polityka usuwania określa, kiedy materiał jest kasowany lub nadpisywany.
- Dostęp do obrazu i archiwum mają wyłącznie osoby upoważnione.
W przypadku zabezpieczania dowodu należy działać szybko. Trzeba wyeksportować właściwy fragment do odrębnego, zabezpieczonego miejsca, zachować informacje o dacie i źródle nagrania oraz odnotować powód przedłużenia retencji. Zwykłe pozostawienie pliku na dysku rejestratora może nie wystarczyć, ponieważ system może nadpisać go podczas kolejnego cyklu.
Co grozi za zbyt długie przechowywanie?
Przechowywanie nagrań dłużej, niż wymaga tego cel, może zostać uznane za naruszenie zasady ograniczenia przechowywania z RODO. Administrator powinien umieć wykazać, dlaczego przyjął konkretny termin i jak zapewnia automatyczne usuwanie danych. Brak dokumentacji, przechowywanie materiału „na wszelki wypadek” oraz nieograniczony dostęp zwiększają ryzyko kontroli i odpowiedzialności.
Najpierw ustal cel i czas retencji, a dopiero potem dobierz dysk oraz ustawienia kamer. Pojemność systemu nie jest podstawą prawną do przechowywania nagrań.
Konsekwencje mogą obejmować nakaz usunięcia danych, działania naprawcze, koszty organizacyjne, utratę zaufania oraz administracyjną karę pieniężną nałożoną przez organ nadzorczy. Przy bardziej złożonych systemach lub wątpliwościach dotyczących monitoringu pracowniczego politykę retencji warto skonsultować z inspektorem ochrony danych.
Artykuł ma charakter informacyjny i nie zastępuje indywidualnej analizy prawnej. W przypadku monitoringu pracowniczego, postępowania dowodowego lub szczególnych regulacji branżowych warto skonsultować rozwiązanie z prawnikiem albo inspektorem ochrony danych.
