Odpowiedź:
Zgodnie z art. 15 ust. 3 RODO: „administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu (…)”. Oznacza to, że jeżeli dana osobowa w postaci wizerunku potencjalnego klienta faktycznie została utrwalona na nagraniu, to administrator, czyli właściciel sklepu, ma obowiązek przekazać nieodpłatnie jedną kopię danych, czyli kopię nagrania.
Co istotne, klient sklepu nie musi w żaden sposób uzasadniać chęci otrzymania kopii danych – jest to jego prawo. Ani RODO, ani żaden inny akt prawny nie uzależniają bowiem otrzymania kopii danych osobowych od spełnienia dodatkowych wymogów przez osobę, której dane dotyczą. Potwierdził to także Prezes Urzędu Ochrony Danych Osobowych w Sprawozdaniu z działalności w 2020 r.
Naruszenie danych osobowych?
Trzeba przy tym zauważyć, że, zgodnie z art. 15 ust. 4 RODO, prawo do uzyskania kopii nie może niekorzystnie wpływać na prawa i wolności innych. Oznacza to, że przed udostępnieniem nagrania właściciel sklepu, jako podmiot odpowiedzialny za prawidłowe przetwarzanie danych, jest zobowiązany zweryfikować, czy na kopii nagrania faktycznie został utrwalony wizerunek potencjalnego klienta oraz czy nie zostały tam utrwalone np. wizerunki innych osób. Jeżeli by to miało miejsce, to właściciel sklepu, zanim przekaże kopię danych, musi podjąć działania mające na celu zabezpieczenie praw i wolności tych innych osób. Najprostszym zabiegiem będzie zatem usunięcie fragmentu nagrania lub anonimizacja ich wizerunków. Niezrobienie tego przed przekazaniem kopii jest naruszeniem – bezpodstawnym udostępnieniem danych osobowych.
Anonimizacja wizerunku
Warto w tym miejscu podkreślić jeszcze dwie rzeczy. Po pierwsze, administrator ma obowiązek zawczasu tak zaprojektować cały proces przetwarzania danych osobowych, żeby móc spełnić ciążące na nim obowiązki w obszarze ochrony danych osobowych, czyli w opisywanym przypadku musi mieć możliwość dokonania anonimizacji wizerunku. Chodzi zatem o to, aby wyposażył się w takie urządzenia, które jest wyposażone w funkcje trwałego zamazywania obrazu. Po drugie, sama anonimizacja musi być przekształceniem nieodwracalnym, czyli osoba, która otrzyma nagranie, nie może mieć możliwości przywrócenia stanu sprzed wykonania anonimizacji.
Podstawa prawna:
Art. 15 ust. 3 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)
Art. 15 ust. 4 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)