Jak długo można przechowywać nagrania z monitoringu? RODO i zasady

Nagrania z monitoringu to dane osobowe, a ich przechowywanie podlega konkretnym regułom prawnym – choć nie jednej, prostej zasadzie. Przepisy RODO, Kodeks pracy i regulacje sektorowe tworzą razem złożony system, w którym czas retencji zależy od celu monitoringu, rodzaju obiektu i charakteru nagranego zdarzenia. Ten artykuł wyjaśnia, jak długo można przechowywać nagrania z monitoringu w różnych sytuacjach, kiedy trzeba je usunąć i co grozi za nieprzestrzeganie tych zasad.

Najważniejsze informacje z tego artykułu:

• RODO nie ustanawia jednego, ogólnego limitu przechowywania nagrań z monitoringu – decyduje cel nagrywania i zasada niezbędności.
• Europejska Rada Ochrony Danych wskazuje, że dla typowych celów ochrony mienia nagrania powinny być usuwane po kilku dniach, a przekroczenie 72 godzin wymaga udokumentowanego uzasadnienia.
• W sektorach objętych regulacją, takich jak monitoring pracowniczy, szkolny i gminny, ustawowy maksymalny termin przechowywania wynosi 3 miesiące i jest to limit, a nie domyślny standard.
• Nagrania stanowiące dowód w postępowaniu można przechowywać dłużej, ale wyłącznie w zakresie niezbędnego fragmentu i do czasu zakończenia postępowania.
• Zbyt długie przechowywanie nagrań, nawet jeśli nikt ich nie przeglądał, może zostać uznane za naruszenie RODO i skutkować odpowiedzialnością administratora.

Jak długo można przechowywać nagrania z monitoringu – co mówią przepisy?

Odpowiedź nie jest prosta, bo przepisy nie podają jednej liczby. Decydują trzy warstwy: cel monitoringu, zasada ograniczenia przechowywania wynikająca z RODO oraz ewentualne przepisy sektorowe, jeśli dotyczą danego administratora.

Nagranie z kamery, które pozwala zidentyfikować osobę, jest daną osobową. Zgodnie z art. 5 ust. 1 lit. e RODO dane osobowe można przechowywać wyłącznie przez okres niezbędny do realizacji konkretnego celu, dla którego zostały zebrane. RODO nie przewiduje żadnego ogólnego limitu 30 ani 90 dni dla monitoringu jako takiego.

Europejska Rada Ochrony Danych (EROD) doprecyzowuje, że przy typowym celu, jakim jest ochrona mienia lub wykrywanie wandalizmu, szkoda jest zwykle możliwa do stwierdzenia w ciągu jednego lub dwóch dni. Dlatego nagrania powinny być co do zasady automatycznie usuwane po kilku dniach. Przekroczenie 72 godzin wymaga konkretnego uzasadnienia – nie wystarczy ogólne powołanie się na bezpieczeństwo.

Wytyczne Europejskiego Inspektora Ochrony Danych (EDPS) z raportu „EDPS Video-Surveillance Guidelines” precyzują, że dla typowych celów bezpieczeństwa retencja nie powinna przekraczać 7 dni. W przypadku monitoringu obejmującego przestrzeń publiczną – wejścia do budynków, parkingi, miejsca, gdzie nagrywani są przechodnie – rekomenduje się skrócenie okresu do 48 godzin. W badaniu ankietowym opisanym w tym samym raporcie czas retencji w analizowanych podmiotach wahał się między 72 godzinami a 3 miesiącami, a w jednym wyjątkowym przypadku stosowano retencję 5-letnią. To pokazuje, jak duże są rozbieżności między praktyką a tym, co uzasadniają przepisy.

Wpisanie do regulaminu okresu 30 lub 90 dni nie czyni go automatycznie legalnym. Administrator powinien wykazać:

• ile czasu realnie upływa od zdarzenia do jego wykrycia,
• jak wygląda system zgłaszania szkód w obiekcie,
• czy obiekt bywa zamknięty w weekendy lub święta,
• jaki jest charakter miejsca i skala ryzyka,
• dlaczego krótszy okres byłby niewystarczający.

Praktycznym testem proporcjonalności jest pytanie: po ilu dniach administrator faktycznie dowiaduje się o kradzieży, szkodzie lub naruszeniu? Retencja powinna wynikać z tej realnej statystyki, a nie z pojemności dysku w rejestratorze. Jeśli ktoś dokupił większy dysk i z tego powodu chce wydłużyć retencję z 14 do 60 dni, powinien tę zmianę udokumentować merytorycznie – pojemność techniczna nie jest legalną przesłanką.

Ile czasu mogą być przechowywane nagrania w firmie, sklepie i wspólnocie mieszkaniowej?

W sektorze prywatnym, gdy nie obowiązuje żaden szczególny przepis branżowy, retencję ustala się indywidualnie – i tu pojawia się największe ryzyko błędów.

Dla małego sklepu, w którym personel codziennie weryfikuje zdarzenia, EROD wskazuje, że 24–48 godzin może być w zupełności wystarczające. Zamknięcie na weekend lub długi weekend może uzasadniać wydłużenie do kilku dni – ale właśnie tyle, ile potrzeba, żeby po powrocie sprawdzić ewentualne incydenty. Nie ma tu miejsca na automatyczne stosowanie 30-dniowego okresu.

Wspólnota mieszkaniowa lub zarządca budynku musi wykazać, dlaczego mieszkańcy zgłaszają szkody dopiero po kilku lub kilkunastu dniach. Spotykany zakres to 7–30 dni, ale sama praktyka rynkowa tego nie uzasadnia. Co więcej, w jednym systemie CCTV często należy stosować różne okresy retencji dla różnych kamer. Kamera przy wejściu do budynku może nagrywać dłużej niż kamera w korytarzu przy lokalach mieszkalnych lub w strefie socjalnej pracowników – bo skala ingerencji w prywatność jest różna. Jeśli obsługujesz lub projektujesz taki system, warto rozważyć konfigurację różnych harmonogramów retencji dla poszczególnych stref.

Odrębną kwestią są kamery z analityką – rozpoznawaniem tablic rejestracyjnych, detekcją zachowań czy identyfikacją twarzy. Tego rodzaju systemy tworzą bardziej precyzyjne dane o przemieszczaniu się i nawykach osób, więc retencja powinna być oceniana surowiej niż w przypadku zwykłego obrazu. Więcej o tym, jak odczytać informacje rejestrowane przez takie kamery, piszę przy okazji omawiania odczytu tablic rejestracyjnych z monitoringu.

Wskazówka: Jeśli jesteś administratorem budynku i stosujesz jednakowy, maksymalny okres retencji dla każdej kamery, sprawdź, czy lokalizacja każdej z nich to rzeczywiście uzasadnia – zgodność z RODO powinna być dokumentowana odrębnie dla każdej strefy.

Przy monitoringu dźwiękowym retencja powinna być oceniana szczególnie rygorystycznie. Nagrywanie rozmów zwiększa ingerencję w prywatność i może być nieproporcjonalne nawet wtedy, gdy sam obraz byłby dopuszczalny.

Kiedy obowiązuje limit 3 miesięcy i dla kogo?

Trzymiesięczny termin to ustawowe maksimum dla określonych sektorów, a nie ogólna reguła dla wszystkich systemów monitoringu. Nie wolno traktować go jako domyślnego standardu, który każdy administrator może stosować bez uzasadnienia.

Oto sektory, w których przepisy wprost przewidują ten limit:

• Monitoring pracowniczy – art. 22² § 3 Kodeksu pracy: nagrania obrazu pracodawca przechowuje wyłącznie do celów, dla których zostały zebrane, i nie dłużej niż 3 miesiące od dnia nagrania.
• Monitoring gminny – art. 9a ustawy o samorządzie gminnym: nagrania obrazu zawierające dane osobowe przechowuje się nie dłużej niż 3 miesiące, a następnie niszczy, chyba że zostały zabezpieczone zgodnie z odrębnymi przepisami.
• Monitoring szkolny – analogiczny limit 3 miesięcy, obejmujący nagrania umożliwiające identyfikację uczniów, pracowników i innych osób; po tym czasie materiał powinien zostać zniszczony.

Warto też znać dwa wyjątki sektorowe, które wykraczają poza tę regułę:

• Kasyna – nagrania z systemu audiowizyjnego kontroli gier przechowuje się zasadniczo przez 3 lata, co wynika ze specyfiki regulacji dotyczących hazardu.
• Imprezy masowe – materiał utrwalony w celach bezpieczeństwa przechowuje się co najmniej 30 dni, choć nie powinien być trzymany bezterminowo, jeśli nie jest potrzebny organom ani do postępowań.

Sama informacja, że roszczenia cywilne przedawniają się po kilku latach, nie uzasadnia archiwizowania całego systemu przez lata. Długoterminowo można zachować wyłącznie wyodrębnione nagranie konkretnego incydentu, który jest lub może stać się przedmiotem postępowania.

Kiedy nagrania można przechowywać dłużej niż wynika z ustawowego maksimum?

Wyjątek dotyczy nagrania stanowiącego dowód w postępowaniu prowadzonym na podstawie prawa lub co do którego administrator powziął wiadomość, że może takim dowodem zostać. W kontekście monitoringu pracowniczego wynika to wprost z art. 22² § 4 Kodeksu pracy – wówczas czas przechowywania przedłuża się do czasu prawomocnego zakończenia postępowania.

Ale to przedłużenie ma konkretne granice. Nie może polegać na pozostawieniu całego dysku lub całego archiwum nietkniętego. Należy wydzielić konkretny fragment, oznaczyć podstawę zatrzymania i ograniczyć do niego dostęp. Po zakończeniu postępowania nagranie powinno zostać usunięte.

Samo wewnętrzne postępowanie wyjaśniające nie zawsze jest tożsame z postępowaniem prowadzonym na podstawie prawa. Przedłużenie retencji uzasadniają postępowania sądowe, karne, administracyjne, powypadkowe i inne formalne procedury oparte na przepisach – a nie ogólna obawa, że coś może się kiedyś wydarzyć.

Jeśli dochodzi do incydentu wymagającego zabezpieczenia nagrania jako dowodu, postępuj według tego schematu:

1. Ustal kamery, datę i możliwie wąski przedział czasowy zdarzenia.
2. Zabezpiecz oryginalny plik lub eksport w natywnym formacie systemu.
3. Sporządź kopię roboczą do odtwarzania i udostępniania – nie pracuj na oryginale.
4. Odnotuj datę, godzinę, osobę wykonującą eksport, urządzenie, zakres nagrania i podstawę prawną.
5. Ogranicz dostęp wyłącznie do upoważnionych osób.
6. Rejestruj każde przekazanie materiału – policji, prokuraturze, sądowi, ubezpieczycielowi lub pełnomocnikowi.

Dokumentacja ciągłości dowodu powinna wskazywać, kto, kiedy i w jakim celu miał dostęp do nagrania. Autentyczność i integralność materiału są równie ważne jak sam obraz – jeśli rejestr dostępu jest niekompletny, wartość dowodowa nagrania może zostać podważona. Jeśli potrzebujesz zgrać nagranie na potrzeby dowodowe, przydatny może być poradnik o tym, jak zgrać nagranie z monitoringu na pendrive.

Wskazówka: Nagranie zabezpieczone po incydencie powinno mieć osobny cykl życia niż bieżące archiwum – zanotuj datę eksportu, podstawę dalszego przechowywania, osobę odpowiedzialną, termin ponownej oceny i zaplanowany sposób usunięcia.

Jak długo nagrywa monitoring – co to oznacza technicznie?

Pytanie o to, jak długo nagrywa monitoring, dotyczy zarówno czasu retencji, jak i ciągłości rejestracji. Typowy rejestrator DVR lub NVR działa w trybie ciągłym lub ze sterowaniem ruchem i zapisuje materiał aż do zapełnienia nośnika, po czym automatycznie nadpisuje najstarsze nagrania.

Czas, przez jaki system faktycznie przechowuje materiał, zależy od:

• pojemności dysku lub dysków,
• liczby kamer i rozdzielczości nagrywania,
• liczby klatek na sekundę,
• użytego formatu kompresji (H.264, H.265),
• trybu rejestracji – ciągłej lub wyzwalanej ruchem.

Regulator może ustawić retencję na określoną liczbę dni, po której materiał jest nadpisywany. Tu pojawia się istotna pułapka: automatyczne nadpisywanie przez rejestrator nie wystarczy, jeśli kopie trafiają równolegle do chmury, aplikacji producenta, backupu IT lub pamięci serwisowej. Wszystkie te kopie podlegają temu samemu limitowi retencji i muszą być objęte tą samą procedurą usuwania.

Kopia bezpieczeństwa nie może obejść zasad retencji. Jeśli nagranie powinno zostać usunięte po 14 dniach, a pełna kopia dysku jest przechowywana przez rok, przetwarzanie tych danych trwa nadal – nawet jeśli nikt w tym czasie kopii nie otworzył. Samo posiadanie nadmiarowych danych osobowych jest przetwarzaniem i może zostać uznane za naruszenie RODO.

Jak sprawdzić, co faktycznie jest przechowywane w systemie i przez jak długi czas, opisuję szczegółowo w poradniku o tym, jak sprawdzić nagranie z monitoringu.

Jakie błędy popełniają administratorzy monitoringu i co grozi za zbyt długie przechowywanie?

Zbyt długie przechowywanie nagrań może zostać uznane za naruszenie RODO nawet wtedy, gdy nikt tych nagrań nie przeglądał. Samo posiadanie nadmiarowych danych osobowych stanowi przetwarzanie i podlega ocenie organu nadzorczego – w Polsce Prezesa Urzędu Ochrony Danych Osobowych (PUODO).

Najczęstsze błędy, które prowadzą do naruszeń:

• Ustawienie 90 dni bez analizy – mimo że incydenty w danym obiekcie są wykrywane tego samego dnia.
• Traktowanie 3 miesięcy jako terminu standardowego, a nie maksymalnego – szczególnie częste u pracodawców.
• Brak rozróżnienia między bieżącym archiwum a materiałem zabezpieczonym dowodowo – oba zbiory powinny mieć odrębne zasady i terminy.
• Przechowywanie nagrań w kopiach zapasowych po ich usunięciu z rejestratora.
• Brak synchronizacji zegarów kamer – jeśli czas na kamerach się rozjeżdża, nie można wiarygodnie ustalić godziny zdarzenia, co podważa wartość materiału.
• Brak rejestru eksportów i udostępnień – każde przekazanie nagrania powinno być odnotowane.
• Kopiowanie całych dni nagrań zamiast niezbędnego, wąskiego fragmentu.
• Brak informacji o okresie przechowywania w klauzuli informacyjnej – osoby nagrane mają prawo wiedzieć, jak długo ich wizerunek jest przechowywany.

W przypadku stwierdzenia naruszenia PUODO może nałożyć karę administracyjną, a jej wysokość zależy od skali naruszenia, stopnia zawinienia i podjętych działań naprawczych. Dla podmiotów publicznych limit kary jest niższy niż dla podmiotów prywatnych, ale odpowiedzialność istnieje w obu przypadkach. Warto też pamiętać, że bank ma inne zasady dotyczące retencji niż zwykła firma – szczegółowo wyjaśniam to w kontekście tego, jak długo bank przechowuje nagrania z monitoringu.

Jeśli zachodzi konieczność usunięcia konkretnego nagrania – na wniosek osoby nagranej lub po upływie okresu retencji – warto wiedzieć, jak przeprowadzić ten proces prawidłowo. Opisuję to w poradniku o tym, jak usunąć nagranie z monitoringu.

Wskazówka: Anonimizacja nagrania pozwala na jego dłuższe przechowywanie tylko wtedy, gdy jest nieodwracalna. Zamazanie twarzy w kopii roboczej przy jednoczesnym zachowaniu oryginału nie zmienia zasad retencji – oryginał nadal podlega temu samemu limitowi.

Pewną kwestię obserwuję przy konfiguracji systemów monitoringu – administratorzy bardzo często kopiują ustawienia retencji od poprzedniego instalatora albo z gotowego szablonu konfiguracyjnego rejestratora, nie zadając sobie pytania, skąd wziął się ten konkretny okres. Trzydzieści dni pojawia się w wielu instalacjach nie dlatego, że ktoś to przeanalizował, ale dlatego że tak było ustawione fabrycznie lub tak sugerował technik. To poważny błąd z punktu widzenia zgodności z RODO.

Podsumowanie

Przechowywanie nagrań z monitoringu nie podlega jednej, uniwersalnej zasadzie. RODO wymaga, by nagrania były usuwane po osiągnięciu celu, dla którego powstały. Europejska Rada Ochrony Danych wskazuje kilka dni jako punkt odniesienia dla typowych systemów, a przekroczenie 72 godzin wymaga udokumentowanego uzasadnienia. Ustawowe limity 3 miesięcy obowiązują w monitoringu pracowniczym, szkolnym i gminnym – ale to maksimum, a nie domyślny standard. Dłuższe przechowywanie jest możliwe wyłącznie w przypadku formalnie zabezpieczonego materiału dowodowego. Administratorzy powinni dokumentować podstawy swoich decyzji, kontrolować kopie zapasowe i regularnie weryfikować ustawienia systemu.

FAQ

Q: Czy osoba prywatna instalująca monitoring na własnej posesji musi stosować zasady RODO?

A: Jeśli kamera obejmuje wyłącznie prywatną przestrzeń właściciela – wejście, ogród – RODO nie ma zastosowania. Gdy kamera rejestruje przestrzeń publiczną lub sąsiednią nieruchomość, właściciel staje się administratorem danych osobowych.

Q: Czy można przechowywać nagrania z monitoringu przez rok na wypadek roszczeń odszkodowawczych?

A: Ogólne archiwizowanie całego systemu przez rok na wypadek nieokreślonych przyszłych roszczeń nie jest wystarczającą podstawą. Długoterminowo można zachować wyłącznie wyodrębnione nagranie konkretnego zdarzenia, które jest lub może stać się dowodem w postępowaniu.

Q: Czy pracownik może żądać wydania nagrania z monitoringu, na którym się pojawia?

A: Tak, na podstawie art. 15 RODO pracownik może złożyć wniosek o dostęp. Realizacja może wymagać anonimizacji wizerunku innych osób. Jeśli nagranie zostało już usunięte, administrator informuje o tym fakcie.

Q: Jak długo można przechowywać nagrania z kamer przy drodze publicznej?

A: Kamery rejestrujące drogi publiczne tworzą dane o przemieszczaniu się osób, więc retencja powinna być możliwie krótka. EDPS rekomenduje dla monitoringu przestrzeni publicznej okres do 48 godzin, chyba że materiał jest potrzebny jako dowód incydentu.

Q: Czy klauzula informacyjna przy kamerach musi podawać konkretny okres przechowywania nagrań?

A: Tak, art. 13 i 14 RODO wymagają podania okresu przechowywania lub kryteriów jego ustalania. Klauzula informacyjna przy wejściu do monitorowanego obiektu powinna zawierać tę informację w czytelnej formie.