Kamery IP w firmie. Jak zabezpieczyć monitoring przed przejęciem i naruszeniem RODO?

Kamery IP w firmie mogą chronić pracowników, mienie i teren zakładu, ale źle skonfigurowany monitoring potrafi stworzyć poważne zagrożenie. Urządzenie wystawione bezpośrednio do internetu może zostać przejęte, wykorzystane do obserwacji organizacji albo stać się punktem wejścia do sieci firmowej. Jednocześnie zbyt szeroki zakres nagrywania, rejestrowanie dźwięku lub brak informacji dla pracowników może prowadzić do naruszenia RODO.

Ryzyko nie jest teoretyczne. 10 lipca 2026 roku holenderskie służby AIVD i MIVD poinformowały o systematycznym wykorzystywaniu kamer podłączonych do internetu do działań szpiegowskich. Operacje miały obejmować Holandię, inne państwa Unii Europejskiej i NATO oraz Ukrainę. Przejęte urządzenia służyły między innymi do obserwowania szlaków logistycznych, transportów i infrastruktury.

Pięć dni później Prezes UODO poinformował o pierwszej karze związanej z prywatnym monitoringiem. Wyniosła ona 26 711 zł i została nałożona za niewykonanie prawomocnego nakazu organu. Kamery rejestrowały obraz i dźwięk przez całą dobę, obejmując drogę publiczną oraz sąsiednie nieruchomości. Chociaż sprawa dotyczyła osoby prywatnej, pokazuje, jak ważne są zakres obserwacji, podstawa prawna i respektowanie praw osób nagrywanych.

Firma korzystająca z monitoringu musi więc równocześnie zadbać o cyberbezpieczeństwo urządzeń, zgodność z RODO, przepisy prawa pracy i prawidłową organizację dostępu do nagrań.

Najważniejsze informacje

1. Kamery IP nie powinny być dostępne bezpośrednio z internetu. Zdalny dostęp najlepiej realizować przez bezpieczne połączenie VPN.
2. Należy zmienić fabryczne hasła, regularnie aktualizować kamery i rejestratory oraz wyłączyć niepotrzebne usługi sieciowe.
3. Monitoring pracowników można stosować tylko w celach przewidzianych w Kodeksie pracy. Nie może służyć do ciągłej oceny jakości pracy.
4. Monitoring wizyjny w zakładzie pracy powinien rejestrować obraz, a nie dźwięk.
5. Kamery muszą obejmować wyłącznie obszar rzeczywiście potrzebny do osiągnięcia określonego celu.
6. Dostęp do obrazu na żywo i nagrań powinien być ograniczony, rejestrowany oraz okresowo kontrolowany.
7. Zewnętrzną firmę ochroniarską, serwisanta albo dostawcę chmury trzeba zweryfikować pod kątem bezpieczeństwa i zasad przetwarzania danych.
8. Przejęcie kamery może być jednocześnie cyberincydentem i naruszeniem ochrony danych osobowych.

Dlaczego kamery IP w firmie są atrakcyjnym celem?

Kamera IP jest urządzeniem sieciowym. Może komunikować się z rejestratorem, aplikacją mobilną, serwerem producenta lub usługą chmurową. Z perspektywy atakującego nie jest więc wyłącznie kamerą. Jest komputerem wyposażonym w obiektyw, oprogramowanie, interfejs administracyjny i połączenie z firmową siecią.

Holenderskie NCSC wskazuje, że ataki na kamery często nie wymagają zaawansowanych narzędzi. Wystarczające mogą być fabryczne hasło, przestarzałe oprogramowanie albo usługa administracyjna dostępna bezpośrednio z internetu.

Automatyczne skanery potrafią odnajdywać urządzenia określonych producentów i sprawdzać, czy korzystają one ze znanych podatności lub domyślnych ustawień. Właściciel może długo nie wiedzieć, że ktoś ogląda obraz, kopiuje nagrania albo wykorzystuje kamerę do innych działań.

Przejęta kamera może posłużyć do:

1. obserwowania wejść, magazynów, parkingów i tras dostaw;
2. ustalania godzin pracy oraz obecności konkretnych osób;
3. poznania organizacji ochrony fizycznej obiektu;
4. kradzieży obrazu zawierającego wizerunki pracowników i klientów;
5. przedostania się do innych urządzeń w sieci;
6. włączenia kamery do botnetu używanego do ataków DDoS, spamu lub phishingu;
7. zakłócenia działania monitoringu w czasie włamania albo innego incydentu.

To ryzyko dotyczy nie tylko infrastruktury krytycznej. Nieprawidłowo zabezpieczone kamery mogą zostać wykorzystane również przez cyberprzestępców, hacktywistów, nieuczciwych pracowników lub osoby przygotowujące kradzież.

Więcej o zmieniających się metodach ataków można przeczytać w artykule BPPZ AI zmienia skalę cyberataków. Skutki dla bezpieczeństwa firm.

Kamery IP w firmie a RODO

Jeżeli na nagraniu można rozpoznać pracownika, klienta, dostawcę lub inną osobę, obraz może stanowić dane osobowe. Firma korzystająca z monitoringu staje się administratorem tych danych i musi spełnić wymagania RODO.

Samo posiadanie kamery nie przesądza jeszcze o niezgodności. Problem pojawia się, gdy firma nie potrafi wyjaśnić, po co prowadzi monitoring, jaki obszar nagrywa, kto ogląda nagrania i przez jaki czas są przechowywane.

Przed instalacją urządzeń należy określić konkretny cel. Może nim być na przykład ochrona mienia, zwiększenie bezpieczeństwa pracowników, kontrola dostępu do określonych pomieszczeń lub ochrona informacji poufnych.

Ogólne stwierdzenie, że monitoring jest stosowany „dla bezpieczeństwa”, może być niewystarczające. Firma powinna wskazać, jakie zagrożenie chce ograniczyć oraz dlaczego wybranego celu nie można osiągnąć za pomocą mniej ingerującego rozwiązania.

Kiedy pracodawca może monitorować pracowników?

Kodeks pracy pozwala pracodawcy wprowadzić monitoring wizyjny, jeżeli jest to niezbędne do:

1. zapewnienia bezpieczeństwa pracowników;
2. ochrony mienia;
3. kontroli produkcji;
4. zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę.

Katalog ten jest zamknięty. Monitoring nie powinien służyć do stałego kontrolowania tempa pracy, analizowania zachowania pracowników przy biurkach ani oceniania jakości wykonywanych obowiązków.

Pracodawca powinien określić cele, zakres oraz sposób stosowania monitoringu w układzie zbiorowym, regulaminie pracy albo obwieszczeniu. Pracowników należy poinformować o uruchomieniu monitoringu nie później niż dwa tygodnie przed jego rozpoczęciem. Nowy pracownik powinien otrzymać odpowiednią informację przed dopuszczeniem do pracy.

Monitorowany teren i pomieszczenia trzeba oznaczyć w sposób widoczny i czytelny, nie później niż jeden dzień przed uruchomieniem kamer. Sam znak graficzny nie zastępuje pełnej informacji wymaganej przez RODO. Osoba nagrywana powinna mieć możliwość łatwego uzyskania informacji między innymi o administratorze, celu, podstawie prawnej, okresie przechowywania i przysługujących jej prawach.

Czy kamera w firmie może nagrywać dźwięk?

UODO jednoznacznie wskazuje, że monitoring w zakładzie pracy nie może służyć do nagrywania dźwięku. Artykuł 22² Kodeksu pracy pozwala na stosowanie środków umożliwiających rejestrację obrazu. Nie przewiduje analogicznego uprawnienia do nagrywania rozmów.

Włączenie mikrofonu może prowadzić do rejestrowania prywatnych rozmów pracowników, klientów, dostawców i gości. Może również ujawniać tajemnice przedsiębiorstwa, dane szczególnych kategorii lub informacje objęte tajemnicą zawodową.

W praktyce mikrofon należy wyłączyć zarówno w kamerze, jak i w panelu administracyjnym systemu. Warto sprawdzić, czy aktualizacja oprogramowania, przywrócenie ustawień lub wymiana urządzenia nie uruchomiły go ponownie.

Gdzie nie należy instalować kamer?

Monitoring nie powinien obejmować miejsc, w których pracownicy mają szczególnie wysokie oczekiwanie prywatności. Dotyczy to między innymi pomieszczeń sanitarnych, szatni, stołówek, palarni oraz pomieszczeń udostępnionych zakładowej organizacji związkowej.

Kodeks pracy przewiduje w części tych przypadków bardzo wąskie wyjątki. Zastosowanie monitoringu musi być niezbędne, nie może naruszać godności ani innych dóbr osobistych pracowników, a sposób nagrywania powinien uniemożliwiać rozpoznanie osób. Monitoring pomieszczeń sanitarnych wymaga dodatkowo uprzedniej zgody związku zawodowego albo przedstawicieli pracowników.

Firma powinna również uważać na kamery zewnętrzne. Obiektyw skierowany na wejście może jednocześnie rejestrować chodnik, drogę, posesję sąsiada lub okna budynku mieszkalnego. Należy skorzystać z fizycznej zmiany ustawienia kamery albo funkcji maskowania prywatności.

Sprawa opisana przez UODO w lipcu 2026 roku pokazuje, że całodobowe rejestrowanie drogi publicznej, sąsiednich nieruchomości, wizerunku i głosu może zostać uznane za nadmierną ingerencję. Trzeba przy tym podkreślić, że kara w wysokości 26 711 zł dotyczyła niewykonania prawomocnego nakazu Prezesa UODO, a nie samego faktu posiadania monitoringu.

Jak zabezpieczyć kamery IP w firmie? 12 punktów

1. Sporządź kompletną inwentaryzację urządzeń

Firma powinna wiedzieć, ile posiada kamer, gdzie zostały zainstalowane, z jaką siecią się łączą i kto nimi zarządza. Inwentaryzacja powinna obejmować kamery, rejestratory NVR, routery, przełączniki, aplikacje mobilne, konta chmurowe oraz stacje przeznaczone do oglądania nagrań.

Przy każdym urządzeniu warto odnotować producenta, model, wersję oprogramowania, adres sieciowy, właściciela biznesowego, datę zakupu i termin zakończenia wsparcia.

Brak kompletnej listy oznacza, że część kamer może nie otrzymywać aktualizacji albo pozostać aktywna po zmianie siedziby, remontach i wymianie firmy ochroniarskiej.

2. Usuń bezpośredni dostęp z internetu

Panel administracyjny kamery nie powinien być publicznie dostępny. Przekierowanie portu na routerze może ułatwiać zdalny podgląd, ale jednocześnie wystawia urządzenie na automatyczne skanowanie i próby włamania.

Dostęp z zewnątrz najlepiej realizować przez VPN lub inne bezpieczne rozwiązanie kontrolujące tożsamość użytkownika. Należy wyłączyć UPnP, które może automatycznie otwierać porty bez świadomej decyzji administratora.

Jeżeli producent wymaga korzystania z własnej chmury, trzeba sprawdzić, jak działa połączenie, gdzie są przetwarzane dane i jak zabezpieczone jest konto.

3. Zmień wszystkie domyślne hasła

Każda kamera, rejestrator i aplikacja powinny mieć unikalne, silne hasło. Nie należy używać jednego wspólnego hasła dla wszystkich urządzeń ani pozostawiać danych logowania przekazanych przez instalatora.

Jeżeli system pozwala na uwierzytelnianie wieloskładnikowe, trzeba włączyć je przynajmniej dla kont administratorów, aplikacji mobilnej i portalu chmurowego.

Firma powinna również ustalić, gdzie bezpiecznie przechowuje dane dostępowe oraz jak zmienia je po zakończeniu współpracy z pracownikiem, serwisantem lub firmą ochroniarską.

4. Wyłącz zbędne usługi i protokoły

Każda aktywna usługa zwiększa powierzchnię ataku. NCSC zaleca wyłączenie między innymi UPnP, Telnet, FTP, nieszyfrowanego HTTP i nieszyfrowanego RTSP. Jeżeli producent oferuje bezpieczniejsze odpowiedniki, należy korzystać z HTTPS, RTSPS lub SFTP.

Warto także sprawdzić, czy potrzebne są SSH, integracje P2P, konta gościnne, dostęp anonimowy i funkcje udostępniania obrazu publicznym linkiem.

Konfigurację należy dokumentować. Przywrócenie ustawień fabrycznych może ponownie uruchomić wyłączone wcześniej funkcje.

5. Aktualizuj kamery i rejestratory

Aktualizacje powinny obejmować nie tylko kamery, ale również rejestratory, aplikacje, serwery zarządzające i urządzenia sieciowe.

Firma powinna ustalić, kto sprawdza dostępność nowych wersji, w jakim czasie instaluje poprawki krytyczne i jak postępuje w przypadku urządzeń, których producent już nie wspiera.

Kamera działająca technicznie może być jednocześnie niebezpieczna, jeżeli nie otrzymuje poprawek. Urządzenia po zakończeniu wsparcia należy wymienić albo całkowicie odizolować do czasu wymiany.

Podobne znaczenie aktualizacji oraz dodatkowego uwierzytelniania pokazuje opisany przez BPPZ incydent HostedWindows.pl.

6. Umieść monitoring w oddzielnym segmencie sieci

Kamery i rejestratory powinny działać w wydzielonej sieci VLAN lub odizolowanym segmencie przeznaczonym dla urządzeń IoT. Dzięki temu przejęcie kamery nie musi automatycznie otwierać drogi do komputerów pracowników, serwerów plików, systemu księgowego lub infrastruktury produkcyjnej.

Reguły zapory powinny dopuszczać tylko połączenia potrzebne do prawidłowego działania. Kamera zwykle nie musi komunikować się ze wszystkimi urządzeniami w firmie ani swobodnie łączyć z dowolnymi serwerami w internecie.

Segmentacja ułatwia również wykrycie nietypowego ruchu wychodzącego, który może świadczyć o przejęciu urządzenia.

7. Monitoruj logowania i ruch sieciowy

Firma powinna wiedzieć, kto i kiedy logował się do systemu, jakie nagrania odtwarzał, czy eksportował pliki i czy zmieniał konfigurację.

Warto włączyć alerty dotyczące wielokrotnych nieudanych logowań, dostępu z nietypowych lokalizacji, tworzenia nowych kont i nagłego wzrostu ruchu sieciowego.

Jeżeli system nie zapewnia podstawowych logów, należy uwzględnić to ryzyko przy wyborze urządzeń. Brak rejestrów może znacznie utrudnić ustalenie zakresu incydentu i ocenę, czy doszło do naruszenia danych.

8. Zweryfikuj dostawcę i serwis

Zewnętrzny instalator, firma ochroniarska, serwisant albo dostawca chmury może mieć dostęp do obrazu, nagrań i konfiguracji systemu. Trzeba ustalić, czy działa jako podmiot przetwarzający, jakie osoby uzyskują dostęp i czy korzysta z kolejnych podwykonawców.

Umowa powinna regulować poufność, bezpieczeństwo, zgłaszanie incydentów, usuwanie danych, zwrot nośników i odbieranie dostępów. Jeżeli obraz trafia do chmury, należy ustalić lokalizację danych i ewentualne transfery poza Europejski Obszar Gospodarczy.

Praktyczny proces sprawdzania kontrahenta opisaliśmy w artykule Jak wybrać podmiot przetwarzający dane? 12 punktów, które trzeba sprawdzić.

9. Ogranicz pole widzenia i wyłącz dźwięk

Kamera powinna obejmować tylko obszar niezbędny do osiągnięcia celu. Jeżeli ma chronić wejście, nie powinna jednocześnie rejestrować całej ulicy, miejsc pracy w sąsiednim biurze albo prywatnej posesji.

Warto korzystać z masek prywatności, ustawić odpowiedni kąt obiektywu i ograniczyć rozdzielczość tam, gdzie pełna identyfikacja twarzy nie jest potrzebna.

Należy także sprawdzić mikrofon. Jego wyłączenie powinno zostać potwierdzone w konfiguracji i udokumentowane.

10. Ustal okres przechowywania nagrań

Nagrania nie mogą być przechowywane bezterminowo na wypadek, gdyby kiedyś okazały się przydatne. Okres retencji należy powiązać z celem monitoringu i rzeczywistym czasem potrzebnym do wykrycia zdarzenia.

W przypadku monitoringu pracowników Kodeks pracy pozwala przechowywać nagrania przez okres nieprzekraczający trzech miesięcy od dnia nagrania. Jeżeli nagranie stanowi lub może stanowić dowód w postępowaniu, okres może zostać przedłużony do czasu prawomocnego zakończenia sprawy.

Trzy miesiące nie są jednak automatycznym okresem właściwym dla każdego systemu. W sklepie, recepcji lub małym biurze uzasadniony czas może być znacznie krótszy.

System powinien automatycznie nadpisywać albo usuwać nagrania po upływie ustalonego terminu.

11. Ogranicz dostęp do obrazu i eksportu nagrań

Nie każdy członek zarządu, pracownik ochrony, administrator IT lub kierownik powinien mieć taki sam dostęp. Uprawnienia należy przyznawać zgodnie z zakresem obowiązków.

Warto rozdzielić możliwość oglądania obrazu na żywo, przeglądania archiwum, eksportowania nagrań, zarządzania kontami i zmiany konfiguracji.

Każde udostępnienie nagrania powinno zostać udokumentowane. Dotyczy to również przekazywania materiału policji, ubezpieczycielowi, sądowi, klientowi albo osobie, której dane dotyczą.

Nieuprawnione wysłanie nagrania może stanowić naruszenie ochrony danych, podobnie jak wysłanie wiadomości do niewłaściwego odbiorcy.

12. Testuj system i zaplanuj jego wycofanie

Przegląd monitoringu powinien obejmować część prawną, organizacyjną i techniczną. Firma powinna okresowo sprawdzać ustawienie kamer, aktualność oznaczeń, zakres uprawnień, działanie automatycznego usuwania nagrań i bezpieczeństwo dostępu zdalnego.

Ponowna ocena jest potrzebna po zmianie dostawcy, aktualizacji systemu, instalacji nowych kamer, zmianie układu pomieszczeń, incydencie albo pojawieniu się nowych funkcji, takich jak rozpoznawanie twarzy lub automatyczna analiza zachowania.

Przed sprzedażą, zwrotem lub utylizacją kamery i rejestratora trzeba usunąć konta, konfigurację sieciową, zapisane nagrania i inne dane. Samo odłączenie urządzenia nie wystarcza.

Czy monitoring wymaga oceny skutków dla ochrony danych?

Ocena skutków dla ochrony danych, czyli DPIA, jest wymagana między innymi wtedy, gdy firma prowadzi systematyczne monitorowanie na dużą skalę miejsc dostępnych publicznie. Może być również potrzebna w innych sytuacjach wysokiego ryzyka.

Na konieczność pogłębionej analizy mogą wskazywać:

1. duża liczba kamer i osób objętych monitoringiem;
2. całodobowe nagrywanie przestrzeni publicznej;
3. monitorowanie dzieci, pacjentów lub innych osób wymagających szczególnej ochrony;
4. łączenie nagrań z informacjami o czasie pracy, kontroli dostępu lub lokalizacji;
5. stosowanie analizy biometrycznej lub rozpoznawania twarzy;
6. automatyczne analizowanie zachowania osób;
7. monitorowanie miejsc, w których ujawniane mogą być informacje o zdrowiu, poglądach albo życiu prywatnym.

DPIA nie powinna być dokumentem tworzonym po instalacji. Jej zadaniem jest wpływanie na projekt systemu, ustawienie kamer, czas przechowywania i zastosowane zabezpieczenia.

Co zrobić po przejęciu kamery?

Jeżeli firma podejrzewa nieautoryzowany dostęp, powinna odłączyć zagrożone urządzenie od sieci w sposób pozwalający zachować potrzebne dowody. Następnie trzeba zmienić dane dostępowe, zabezpieczyć logi, sprawdzić rejestrator, aplikację chmurową i pozostałe urządzenia tego samego modelu.

Konieczne jest ustalenie:

1. kiedy doszło do pierwszego nieautoryzowanego dostępu;
2. czy osoba atakująca oglądała obraz na żywo;
3. czy pobierała lub usuwała nagrania;
4. czy zmieniała ustawienia systemu;
5. czy uzyskała dostęp do innych urządzeń i danych;
6. jakie osoby można rozpoznać na nagraniach;
7. czy przejęcie stwarza ryzyko dla pracowników, klientów lub bezpieczeństwa obiektu.

Jeżeli incydent doprowadził do nieuprawnionego dostępu do danych osobowych, może stanowić naruszenie ochrony danych. Administrator powinien udokumentować zdarzenie oraz ocenić ryzyko dla osób. Gdy naruszenie może powodować ryzyko naruszenia ich praw lub wolności, zgłoszenia do Prezesa UODO dokonuje się bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia.

W przypadku wysokiego ryzyka może być również konieczne poinformowanie osób objętych nagraniami. Nie każda próba włamania wymaga zgłoszenia, ale każda powinna zostać zbadana i udokumentowana.

Gotowość organizacji do takiej sytuacji można sprawdzić, wykorzystując poradnik BPPZ Kontrola UODO bez chaosu. Jak przygotować firmę, dokumenty i pracowników?.

Kto powinien odpowiadać za monitoring?

Za prawidłowe działanie monitoringu nie powinien odpowiadać wyłącznie instalator lub dział IT. System łączy kilka obszarów odpowiedzialności.

Zarząd lub właściciel procesu zatwierdza cel, budżet i akceptowalny poziom ryzyka. IT odpowiada za konfigurację sieci, aktualizacje, logi i zabezpieczenia techniczne. Dział prawny, compliance lub IOD analizuje podstawę prawną, obowiązek informacyjny, retencję i prawa osób.

HR powinien uczestniczyć w przygotowaniu zasad monitorowania pracowników. Ochrona fizyczna zarządza codziennym dostępem do obrazu i procedurą zabezpieczania nagrań. Zakupy natomiast powinny uwzględnić wymagania bezpieczeństwa już w zapytaniu ofertowym i umowie z dostawcą.

Największe ryzyko powstaje wtedy, gdy każda z tych osób zakłada, że monitoringiem zajmuje się ktoś inny.

Podsumowanie

Kamery IP w firmie nie mogą być traktowane jak zwykłe urządzenia techniczne, które wystarczy zamontować i pozostawić bez nadzoru. Każda kamera jest elementem sieci, potencjalnym źródłem danych osobowych i możliwym celem ataku.

Bezpieczny monitoring wymaga ograniczenia dostępu z internetu, zmiany fabrycznych haseł, regularnych aktualizacji, segmentacji sieci i monitorowania logów. Równocześnie firma musi wykazać cel i konieczność nagrywania, ograniczyć pole widzenia, wyłączyć dźwięk, ustalić retencję oraz prawidłowo poinformować pracowników i inne osoby.

Dobrze zaprojektowany system nie polega na nagrywaniu jak największego obszaru. Powinien gromadzić tylko te informacje, które są rzeczywiście potrzebne, przez możliwie krótki czas i przy dostępie ograniczonym do właściwych osób.

Kamery IP w firmie. FAQ

Jak wybrać podmiot przetwarzający dane? 12 punktów, które trzeba sprawdzić

Kontrola UODO bez chaosu. Jak przygotować firmę, dokumenty i pracowników?

Jakie są najczęstsze błędy popełniane podczas szkoleń RODO?

zobacz więcej

Źródła:

1. AIVD i MIVD – Russian state actors are compromising IP cameras, 10 lipca 2026 r.
2. NCSC Netherlands – Beveilig je IP-camera’s om spionage van statelijke actoren te voorkomen, 10 lipca 2026 r.
3. UODO – Pierwsza kara Prezesa UODO związana z prywatnym monitoringiem, 15 lipca 2026 r.
4. UODO – Dodatkowe materiały i wyjaśnienia dotyczące monitoringu pracowników, 6 lipca 2026 r.
5. UODO – Czy monitoring w zakładzie pracy może obejmować nagrywanie dźwięku?
6. EROD – Wytyczne 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo.
7. Kodeks pracy – tekst jednolity ogłoszony w 2025 roku.
8. RODO – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679