Jak zrealizować żądanie strony w zakresie usunięcia danych lub dostępu do swoich danych zarejestrowanych przez monitoring wizyjny na korytarzu w biurowcu?

Zgodnie z art. 17 RODO administrator na żądanie osoby, której dane dotyczą jest zobowiązany do usunięcia przetwarzanych danych w przypadkach wskazanych w rozporządzeniu, takich jak dane osobowe nie są już niezbędne do celów, w których zostały zebrane, wycofanie zgody podmiotu, przetwarzanie było niezgodne z prawem, w przypadku uzasadnionego sprzeciwu wobec przetwarzania,  z powodu  obowiązku prawnego lub dane zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego. Usunięciem danych powinno nastąpić w sposób trwały i nieodwracalny, tak aby skutkowało brakiem możliwości dalszego dokonywania jakichkolwiek operacji na tych informacjach. Podkreślić należy, że obowiązek usunięcia danych osobowych nie ma zastosowanie kiedy przetwarzanie danych jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń (art. 17 ust. 3 pkt. e) RODO). W pierwszej kolejności po otrzymaniu zgłoszenia, w celu realizacji prawa podmiotu, administrator powinien zweryfikować tożsamość osoby składającej żądanie. W tym celu może zażądać dodatkowych informacji niezbędnych do potwierdzenia tożsamości osoby, której dane dotyczą. W przypadku monitoringu wizyjnego informacje powinny wskazywać na wysokie prawdopodobieństwo znajdywania się wizerunku podmiotu na danym nagraniu, którego usunięcia żąda. Jeżeli identyfikacja osoby okaże się niemożliwa, administrator danych powinien odmówić spełnienia żądania. W przypadku żądania usunięcia danych w dalszej kolejności administrator powinien sprawdzić, czy zachodzi jedna z przesłanek uprawniających podmiot danych do żądania usunięcia danych, określonych w art. 17 ust. 1 RODO. Następnie administrator powinien ocenić, czy nie zachodzą wobec niego okoliczności wyłączające obowiązek usunięcia danych wskazane w art. 17 ust. 3 RODO, będące podstawą odmowy spełnienia żądania. Zgodnie z art. 15 RODO osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz informacji o przetwarzanych danych, dodatkowo jest uprawniona otrzymać kopię danych osobowych podlegających przetwarzaniu. Osoba dokonująca zgłoszenia powinna określić sposób realizacji swojego prawa. W przypadku żądania dostępu (wglądu) do danych osobowych, zgodnie ze wskazówkami Prezesa UODO  udostępnienie powinno odbywać się z poszanowaniem praw i wolności osób postronnych, co oznacza, że nagranie nie powinno obejmować danych innych, niezaangażowanych w żądanie  osób. W tej sytuacji, w przypadku braku możliwości zastosowania przez Administratora odpowiednich środków szyfrujących, animizujących czy innych środków zabezpieczających  dane osób trzecich  znajdujących się na nagraniu przed udostępnieniem, należy rozważyć interes osoby, która zgłasza żądanie oraz ochronę osób możliwych do zidentyfikowania na podstawie nagrania. Do Administratora należy decyzja co do przyznania prymatu realizacji praw podmiotu lub ochrony danych osób trzecich. W przypadku udostępnienia danych z nagrania należy postępować zgodnie z zasadą minimalizacji danych, wobec czego Administrator powinien ograniczyć zakres udostępnianego nagrania do wyłączenie do celów realizacji prawa przez podmiot, którego dane dotyczą.