Infracções ao RGPD na videovigilância: o que acontece em caso de erro
A videovigilância faz parte dos conceitos de segurança modernos. As empresas protegem assim edifícios, instalações de produção, armazéns ou espaços de venda contra roubo, vandalismo e sabotagem. Mas a pressão regulamentar cresce: os operadores têm de garantir que a sua vigilância por câmaras corresponde às exigências do Regulamento Geral sobre a Protecção de Dados (RGPD) e da lei federal alemã de protecção de dados (BDSG). Os erros no planeamento, na instalação ou na operação podem causar não só queixas e danos de imagem, mas também coimas consideráveis.
Precisamente na vigilância por câmaras na Alemanha surge frequentemente uma tensão entre o interesse de segurança e os direitos de personalidade. Cada gravação de vídeo de dados pessoais interfere potencialmente nos direitos dos titulares.
Bases jurídicas: quando é permitida a videovigilância?
Em princípio, no direito da protecção de dados vale a "proibição com reserva de autorização". O tratamento de dados pessoais é, à partida, proibido se não existir uma base legal. Logo que as pessoas sejam identificáveis nas gravações – por exemplo pelo rosto, pelo vestuário ou pela matrícula do veículo – trata-se de dados pessoais.
Na prática, os operadores fundamentam a sua videovigilância sobretudo em:
- Art. 6.º, n.º 1, al. f) do RGPD („interesse legítimo")
- § 4 da BDSG, em espaços de acesso público
- em casos pontuais, em consentimentos nos termos do art. 6.º, n.º 1, al. a) do RGPD
A base mais importante para os operadores comerciais é o art. 6.º, n.º 1, al. f) do RGPD. Segundo esta norma, o tratamento é admissível quando for necessário à salvaguarda de interesses legítimos e não prevalecerem interesses dos titulares dos dados.
Interesses legítimos típicos
- Protecção contra arrombamento e roubo
- Exercício do direito de propriedade
- Protecção dos trabalhadores
- Recolha de prova em caso de crime
- Protecção de infra-estruturas críticas
Deveres do operador: o que há a ter em conta?
Os operadores têm não só de demonstrar uma base jurídica admissível, mas também de cumprir amplos deveres de informação, documentação e protecção. Muitas infracções ao RGPD não resultam da câmara em si, mas da falta de transparência ou de processos organizacionais deficientes.
Deveres de transparência nos termos dos arts. 12.º e 13.º do RGPD
Os titulares dos dados têm de poder reconhecer, antes de entrar na zona vigiada, que existe videovigilância. Entre as informações obrigatórias contam-se em especial:
- Responsável: nome e contactos da empresa
- Finalidade da vigilância: indicação concreta, como "prevenção de furtos" ou "protecção contra vandalismo"
- Base jurídica: normalmente o art. 6.º, n.º 1, al. f) do RGPD ou o § 4 da BDSG
- Prazo de conservação: por exemplo "conservação durante 72 horas" ou "eliminação automática ao fim de três dias"
- Direitos dos titulares: direito de acesso, direito ao apagamento, direito de oposição
Placas informativas: indicações obrigatórias para os operadores
A clássica placa de câmara continua a ser um elemento central da videovigilância conforme ao RGPD. Tem de estar colocada de modo a que as pessoas reconheçam a vigilância antes de entrarem na zona vigiada.
Indicações obrigatórias típicas numa placa conforme ao RGPD são:
- símbolo de câmara bem visível
- nome do responsável
- finalidade concreta da vigilância
- contactos
- remissão para informações detalhadas de protecção de dados
Muitas empresas recorrem adicionalmente a códigos QR ou URL curtos, através dos quais os titulares podem consultar as informações completas de protecção de dados.
Prazos de conservação e requisitos técnicos
O RGPD estabelece no artigo 5.º, n.º 1, al. e) o princípio da limitação da conservação. Os dados pessoais só podem ser conservados enquanto for necessário para a respectiva finalidade. Na prática, os prazos de conservação de 48 a 72 horas são frequentemente usados como valor de referência. Não existe, contudo, um prazo legal rígido.
Os prazos de conservação mais longos têm de ser fundamentados de forma compreensível, por exemplo através de regimes de fim-de-semana, feriados ou riscos de segurança especiais. É importante uma rotina de eliminação documentada, com substituições automáticas ou conceitos fixos de eliminação.
Onde podem ser instaladas câmaras?
Nem todas as zonas podem ser vigiadas. A videovigilância é habitualmente inadmissível em instalações sanitárias, vestiários, salas de pausa ou zonas de dormida e descanso. Aqui prevalecem quase sempre os direitos de personalidade dos titulares.
Em zonas de entrada, parques de estacionamento ou espaços de venda, a videovigilância é, em princípio, possível, desde que seja necessária e ocorra de forma transparente. As câmaras só podem abranger a área efectivamente necessária.
Particularidades das bodycams
As bodycams são cada vez mais usadas em diferentes áreas. A Deutsche Bahn usa bodycams no pessoal de acompanhamento dos comboios e nas forças de segurança, para proteger os trabalhadores em situações de conflito. As câmaras são, em regra, activadas apenas quando há motivo.
Também na saúde se testam bodycams: o Hospital de Dortmund testa, por exemplo, a sua utilização nas urgências para proteger os profissionais contra agressões. A utilização é voluntária e só é activada em situações concretas de conflito – não durante tratamentos ou conversas confidenciais.
Juridicamente, a utilização por serviços de segurança privados, bem como em muitas áreas civis, rege-se pelas regras do RGPD e da BDSG. Como base jurídica surge frequentemente o art. 6.º, n.º 1, al. f) do RGPD (interesse legítimo), sujeito, porém, a exigências rigorosas de proporcionalidade, finalidade e transparência.
Conselhos práticos para uma aplicação conforme ao RGPD
Para uma videovigilância juridicamente segura, os operadores devem observar os seguintes passos:
- Documentar a ponderação de interesses: a vigilância é realmente necessária? Existem meios menos intrusivos?
- Modelo de informação em dois níveis: placa informativa compacta no local e informações detalhadas de protecção de dados por código QR
- Rotinas de eliminação automáticas: implementar conceitos fixos de eliminação
- Usar funções de privacidade: aplicar privacy masking ou funções de ocultação
- Manter documentação: conservar o registo das actividades de tratamento
Perspectivas: exigências de conformidade crescentes
A pressão regulamentar sobre os operadores de videovigilância aumenta continuamente. As autoridades de protecção de dados verificam cada vez mais se os processos foram documentados de forma compreensível. Em determinados casos torna-se necessária uma avaliação de impacto sobre a protecção de dados (AIPD), em especial na vigilância de grandes áreas de acesso público ou na videoanálise inteligente.
As empresas devem, por isso, procurar cedo aconselhamento jurídico e verificar regularmente a conformidade dos seus conceitos de videovigilância com o RGPD. Um planeamento cuidadoso evita adaptações dispendiosas e coimas.
