Camere video și GDPR: ce spune legea despre supravegherea video în firmă și a angajaților

Aveți voie să montați camere video în firmă?

Da. GDPR nu interzice supravegherea video, dar o tratează ca prelucrare de date personale, pentru că imaginea unei persoane identificabile este dată personală (art. 4 pct. 1). Sistemul trebuie să aibă un scop legitim și declarat, un temei legal, să fie proporțional, să fie semnalizat și să păstreze înregistrările doar cât este necesar.

Pentru firmele private, temeiul folosit de regulă este interesul legitim (art. 6 alin. 1 lit. f), de exemplu protecția persoanelor, a bunurilor și a valorilor. Autoritățile publice nu pot invoca interesul legitim pentru atribuțiile lor și trebuie să se sprijine pe o obligație legală sau pe o sarcină de interes public (art. 6 alin. 1 lit. c sau e). Diferențele specifice sunt tratate în pagina despre GDPR în primării.

Înainte de montare trebuie să răspundeți în scris la trei întrebări: ce problemă concretă rezolvă camerele, de ce nu o puteți rezolva cu mijloace mai puțin intruzive și ce zone trebuie acoperite strict pentru acest scop.

Ce condiții impune Legea 190/2018 pentru monitorizarea angajaților?

Art. 5 din Legea 190/2018 permite monitorizarea angajaților prin supraveghere video sau prin mijloace de comunicații electronice, în scopul intereselor legitime ale angajatorului, numai dacă sunt îndeplinite cumulativ cinci condiții:

1. interesele legitime urmărite de angajator sunt temeinic justificate și prevalează asupra intereselor sau drepturilor și libertăților angajaților;
2. angajatorul a realizat informarea prealabilă obligatorie, completă și explicită a angajaților;
3. angajatorul a consultat sindicatul sau, după caz, reprezentanții angajaților înainte de introducerea sistemelor de monitorizare;
4. alte forme și modalități mai puțin intruzive pentru atingerea scopului nu și-au dovedit anterior eficiența;
5. durata de stocare a datelor este proporțională cu scopul, dar nu mai mare de 30 de zile, cu excepția situațiilor expres reglementate de lege sau a cazurilor temeinic justificate.

Condițiile sunt cumulative. Lipsa uneia singure, de exemplu a consultării reprezentanților angajaților, face monitorizarea nelegală. Pentru fiecare condiție trebuie să aveți o dovadă: analiza interesului legitim, nota de informare semnată sau comunicată, procesul-verbal al consultării, justificarea privind mijloacele alternative, politica de retenție.

Același art. 5 se aplică și monitorizării prin mijloace de comunicații electronice, de exemplu a e-mailului de serviciu, nu doar camerelor video.

Cât timp se păstrează înregistrările video?

Pentru monitorizarea angajaților, termenul maxim este de 30 de zile (art. 5 lit. e din Legea 190/2018), cu excepția situațiilor expres reglementate de lege sau a cazurilor temeinic justificate. În toate celelalte cazuri se aplică principiul general din GDPR: imaginile se păstrează doar cât este necesar scopului (art. 5 alin. 1 lit. e).

Orientările 3/2019 ale Comitetului European pentru Protecția Datelor privind prelucrarea datelor prin dispozitive video arată că, de regulă, un incident este descoperit în câteva zile. Cu cât perioada de stocare este mai lungă, în special peste 72 de ore, cu atât este nevoie de mai multă argumentare privind legitimitatea scopului și necesitatea stocării. Configurați sistemul să suprascrie automat înregistrările la expirarea termenului și păstrați separat doar secvențele extrase pentru un incident, cu mențiune în registru.

Cum informați persoanele filmate?

Persoanele trebuie informate înainte de a intra în zona supravegheată. Orientările europene recomandă o informare în două niveluri:

• primul nivel, panoul de avertizare, amplasat la o distanță rezonabilă de zona filmată, la nivelul ochilor, care conține: identitatea operatorului, scopul supravegherii, drepturile persoanelor, datele de contact ale DPO (dacă există) și unde se găsește informarea completă;
• al doilea nivel, nota de informare completă, cu toate elementele din art. 13 GDPR: temeiul legal, interesul legitim, destinatarii, durata stocării, dreptul de a depune plângere la ANSPDCP. Nota poate fi afișată la recepție, pe site sau furnizată la cerere.

Un autocolant care arată doar o cameră nu este suficient. Pentru angajați, informarea trebuie să fie, în plus, prealabilă, completă și explicită, conform Legii 190/2018, de aceea se face de obicei în scris, prin regulamentul intern și o notă dedicată. Lista completă a documentelor este în ghidul despre documentele GDPR obligatorii.

Unde nu este justificată supravegherea video?

Supravegherea video nu este justificată acolo unde intruziunea în viața privată este disproporționată față de scop. Exemple:

• spații care țin de intimitate: toalete, vestiare, dușuri;
• spații de odihnă sau de servire a mesei ale angajaților, cu excepția unor situații excepționale și documentate;
• birouri individuale, pentru urmărirea permanentă a activității unui angajat, fără un scop de securitate;
• domeniul public și proprietățile vecine, dincolo de ce este strict necesar pentru protecția propriului imobil;
• înregistrarea sunetului, care este de regulă mult mai intruzivă decât imaginea și rareori poate fi justificată.

Și persoanele fizice trebuie să fie atente. Curtea de Justiție a Uniunii Europene a stabilit în cauza C-212/13 (Ryneš) că o cameră montată de o persoană fizică pe locuința sa, care filmează și spațiul public, nu mai beneficiază de excepția pentru activități exclusiv personale sau domestice.

Persoanele filmate au dreptul de acces la înregistrările în care apar (art. 15). La furnizarea unei copii trebuie protejate celelalte persoane din imagine, de exemplu prin estompare (art. 15 alin. 4).

Când este necesară o evaluare de impact (DPIA)?

Evaluarea impactului asupra protecției datelor este obligatorie în cazul monitorizării sistematice pe scară largă a unei zone accesibile publicului (art. 35 alin. 3 lit. c din GDPR). Intră aici, de exemplu, sistemele din centre comerciale, parcări publice mari, piețe sau spații publice urbane.

ANSPDCP a publicat, conform art. 35 alin. (4), o listă a operațiunilor pentru care DPIA este obligatorie, disponibilă pe dataprotection.ro. Pentru un sistem mic, limitat la sediul unei firme, DPIA nu este de regulă obligatorie, dar analiza de proporționalitate și a interesului legitim trebuie oricum documentată. O puteți realiza prin serviciul de analiză a riscurilor GDPR.

Ce legătură are Legea 333/2003 cu camerele video?

Legea nr. 333/2003 privind paza obiectivelor, bunurilor, valorilor și protecția persoanelor, împreună cu normele sale de aplicare, poate impune anumitor obiective măsuri de securitate, inclusiv sisteme de supraveghere video, stabilite pe baza unei analize de risc la securitatea fizică. În aceste cazuri, sistemul are un temei în legislația specială, dar GDPR și Legea 190/2018 continuă să se aplice: informarea, accesul la imagini, securitatea înregistrărilor și contractul cu firma de pază care le gestionează.

Cele două analize se completează. Analiza de risc la securitatea fizică arată ce trebuie protejat și unde, iar analiza GDPR verifică dacă modul de supraveghere respectă drepturile persoanelor. Fondatorul KRASP DPO este manager de securitate certificat și evaluator de risc la securitatea fizică înscris în registrul național, astfel că cele două perspective sunt privite împreună.

Ce verificați înainte de a monta camerele?

1. Stabiliți și scrieți scopul concret (securitatea persoanelor, a bunurilor, a valorilor).
2. Stabiliți temeiul legal: interes legitim pentru firme, obligație legală sau sarcină publică pentru instituții.
3. Documentați analiza interesului legitim și de ce mijloacele mai puțin intruzive nu sunt suficiente.
4. Alegeți amplasarea și unghiurile strict necesare; excludeți spațiile private și domeniul public.
5. Dacă sunt vizați angajații, consultați sindicatul sau reprezentanții și informați-i în scris, înainte de pornire.
6. Montați panourile de avertizare și pregătiți nota de informare completă.
7. Setați termenul de păstrare, de cel mult 30 de zile când sunt vizați angajații, cu suprascriere automată.
8. Limitați accesul la imagini la persoane desemnate și țineți evidența accesărilor și a extragerilor.
9. Încheiați contract conform art. 28 cu firma care instalează sau administrează sistemul, dacă are acces la imagini.
10. Treceți prelucrarea în registrul evidenței prelucrărilor și verificați dacă este necesară DPIA.

Cum vă putem ajuta

KRASP DPO S.R.L. verifică sistemele de supraveghere video existente sau planificate din perspectiva GDPR și a Legii 190/2018 și întocmește documentele necesare: analiza interesului legitim, nota de informare, textul panourilor, politica de supraveghere video și, când este cazul, evaluarea de impact. Aceste documente fac parte din implementarea GDPR sau pot fi realizate separat, prin consultanță GDPR. Ne puteți contacta la 0735 77 66 73.