Kršenja GDPR-a kod videonadzora: što se događa kod pogrešaka
Videonadzor spada u standard modernih sigurnosnih koncepata. Poduzeća njime štite zgrade, proizvodna postrojenja, skladišne površine ili prodajne prostore od krađe, vandalizma i sabotaže. No regulatorni pritisak raste: operatori moraju osigurati da njihov nadzor kamerama odgovara zahtjevima Opće uredbe o zaštiti podataka (GDPR) i njemačkog Saveznog zakona o zaštiti podataka (BDSG). Pogreške pri planiranju, ugradnji ili radu mogu izazvati ne samo pritužbe i štetu za ugled, nego i povući znatne kazne.
Upravo kod nadzora kamerama u Njemačkoj često nastaje napetost između sigurnosnog interesa i prava osobnosti. Jer svaka videosnimka osobnih podataka potencijalno zadire u prava pogođenih osoba.
Pravne osnove: kada je videonadzor dopušten?
U pravu zaštite podataka načelno vrijedi „zabrana uz mogućnost odobrenja”. Obrada osobnih podataka najprije je zabranjena ako ne postoji zakonska osnova. Čim su osobe na snimkama prepoznatljive – primjerice po licu, odjeći ili registarskim oznakama vozila – riječ je o osobnim podacima.
U praksi operatori svoj videonadzor uglavnom temelje na:
- čl. 6. st. 1. t. f GDPR-a („legitiman interes”)
- § 4 BDSG-a kod javno dostupnih prostora
- u pojedinim slučajevima na privolama prema čl. 6. st. 1. t. a GDPR-a
Najvažnija osnova za komercijalne operatore je čl. 6. st. 1. t. f GDPR-a. Prema njemu je obrada dopuštena kada je potrebna radi zaštite legitimnih interesa i kada joj se ne protive prevladavajući interesi pogođenih osoba.
Tipični legitimni interesi
- Zaštita od provale i krađe
- Ostvarivanje kućnog reda
- Zaštita zaposlenika
- Osiguranje dokaza kod kaznenih djela
- Zaštita kritične infrastrukture
Obveze operatora: na što treba paziti?
Operatori ne moraju dokazati samo dopuštenu pravnu osnovu, nego i ispuniti opsežne obveze informiranja, dokumentiranja i zaštite. Mnoga kršenja GDPR-a ne nastaju zbog same kamere, nego zbog manjka transparentnosti ili manjkavih organizacijskih procesa.
Obveze transparentnosti prema čl. 12. i 13. GDPR-a
Pogođene osobe moraju već prije ulaska u nadzirano područje moći prepoznati da se provodi videonadzor. U obvezne informacije osobito spadaju:
- Voditelj obrade: naziv i kontaktni podaci poduzeća
- Svrha nadzora: konkretno navođenje poput „prevencija krađe” ili „zaštita od vandalizma”
- Pravna osnova: najčešće čl. 6. st. 1. t. f GDPR-a ili § 4 BDSG-a
- Trajanje pohrane: primjerice „pohrana 72 sata” ili „automatsko brisanje nakon tri dana”
- Prava ispitanika: pravo na pristup, pravo na brisanje, pravo na prigovor
Ploče s obavijestima: obvezni podaci za operatore
Klasična ploča s oznakom kamere ostaje središnji dio videonadzora usklađenog s GDPR-om. Mora biti postavljena tako da osobe prepoznaju nadzor prije nego što uđu u nadzirano područje.
Tipični obvezni podaci na ploči usklađenoj s GDPR-om su:
- dobro prepoznatljiv simbol kamere
- naziv voditelja obrade
- konkretna svrha nadzora
- kontaktni podaci
- upućivanje na detaljne informacije o zaštiti podataka
Mnoga poduzeća dodatno koriste QR kodove ili kratke URL-ove preko kojih pogođene osobe mogu dohvatiti potpune obavijesti o zaštiti podataka.
Rokovi pohrane i tehnički zahtjevi
GDPR u članku 5. st. 1. t. e propisuje načelo ograničenja pohrane. Osobni podaci smiju se pohranjivati samo onoliko dugo koliko je potrebno za pojedinu svrhu. U praksi se rokovi pohrane od 48 do 72 sata često smatraju orijentacijskom vrijednošću. Kruti zakonski rok ipak ne postoji.
Dulja vremena pohrane moraju se razumljivo obrazložiti, primjerice vikend-rješenjima, praznicima ili posebnim sigurnosnim rizicima. Važna je dokumentirana rutina brisanja s automatskim prepisivanjem ili čvrstim konceptima brisanja.
Gdje se kamere smiju postaviti?
Ne smije se nadzirati svako područje. Videonadzor je redovito nedopušten u sanitarnim prostorijama, svlačionicama, prostorima za odmor ili zonama za spavanje i odmor. Ovdje gotovo uvijek prevladavaju prava osobnosti pogođenih osoba.
U ulaznim područjima, garažama ili prodajnim površinama videonadzor je načelno moguć ako je potreban i provodi se transparentno. Kamere smiju obuhvaćati samo stvarno potrebno područje.
Posebnosti kod bodycam kamera
Bodycam kamere sve se više koriste u različitim područjima. Deutsche Bahn koristi bodycam kamere kod osoblja u vlakovima i sigurnosnih djelatnika kako bi zaposlenike zaštitio u konfliktnim situacijama. Kamere se pritom u pravilu uključuju samo povodom konkretnog razloga.
I u zdravstvu se bodycam kamere isprobavaju: Klinikum Dortmund primjerice testira njihovu primjenu na hitnim prijemima radi zaštite zaposlenika od napada. Korištenje je dobrovoljno i uključuje se samo u konkretnim konfliktnim situacijama – ne tijekom liječenja ili povjerljivih razgovora.
Pravno se primjena od strane privatnih zaštitarskih službi te u mnogim civilnim područjima ravna prema odredbama GDPR-a i BDSG-a. Kao pravna osnova često dolazi u obzir čl. 6. st. 1. t. f GDPR-a (legitiman interes), no podliježe strogim zahtjevima razmjernosti, ograničenja svrhe i transparentnosti.
Savjeti iz prakse za provedbu usklađenu s GDPR-om
Za pravno siguran videonadzor operatori bi trebali paziti na sljedeće korake:
- Dokumentirati odvagivanje interesa: je li nadzor doista potreban? Postoje li blaža sredstva?
- Dvostupanjski model informiranja: sažeta ploča na licu mjesta i detaljne obavijesti o zaštiti podataka putem QR koda
- Automatske rutine brisanja: uvesti čvrste koncepte brisanja
- Koristiti funkcije privatnosti: primijeniti maskiranje privatnih zona ili funkcije zatamnjenja
- Voditi dokumentaciju: održavati evidenciju aktivnosti obrade
Pogled unaprijed: rastući zahtjevi usklađenosti
Regulatorni pritisak na operatore videonadzora kontinuirano raste. Tijela za zaštitu podataka sve više paze na to jesu li procesi razumljivo dokumentirani. U određenim je slučajevima potrebna procjena učinka na zaštitu podataka (DPIA), osobito kod velikog nadzora javno dostupnih područja ili inteligentne videoanalize.
Poduzeća bi stoga trebala rano zatražiti pravno savjetovanje i redovito provjeravati usklađenost svojih koncepata videonadzora s GDPR-om. Pomno planiranje sprječava skupe naknadne dogradnje i kazne.
