supravegherea-cctv-conform-gdpr-Studiu-de-caz-decizie-cnil

Nu este un secret faptul că în ultima perioadă supravegherea video prin CCTV a devenit din ce în ce mai folosită de către antreprenori și nu numai. Scopurile sunt variate: de la asigurarea pazei bunurilor, la asigurarea siguranței angajaților până la supravegherea acestora. În general, supravegherea video nu este un lucru rău. Interesele celor care utilizează astfel de mijloace sunt ușor de intuit. Problemele apar atunci când supravegherea video se face cu nerespectarea legii. Pentru cei care efectuează acest tip de supraveghere este foarte greu de acceptat că de cele mai multe ori interesele lor legitime nu prevalează asupra intereselor sau drepturilor și libertăților persoanelor vizate.

Pentru a facilita înțelegerea implicațiilor supravegherii video, vom publica pe blog o serie de articole care vor avea drept obiect reglementarea supravegherii video, cu analizarea unei decizii emise de CNIL (autoritatea de supraveghere în materie de protecție a datelor cu caracter personal din Franța) și indicarea pașilor pe care ar trebui să-i urmeze operatorii care vor să utilizeze astfel de mijloace de supraveghere.

Reglementare

Imaginile prelucrate prin intermediul sistemului CCTV sunt date cu caracter personal, deci principalul act normativ de reglementare este Regulamentul (UE) 2016/679 (denumit în continuare GDPR). Prin legea de punere în aplicare a GDPR, legiuitorul național a dedicat un singur articol prelucrărilor de date cu caracter personal prin intermediul unor mijloace de supraveghere video, și anume în contextul relațiilor de muncă.

Conform acestui articol (Art. 5. – Prelucrarea datelor cu caracter personal în contextul relațiilor de muncă) angajatorul poate utiliza sisteme de monitorizare prin mijloace de comunicații electronice și/sau prin mijloace de supraveghere video la locul de muncă, în scopul realizării intereselor legitime urmărite de acesta, doar dacă:

a) interesele legitime urmărite de angajator sunt temeinic justificate și prevalează asupra intereselor sau drepturilor și libertăților persoanelor vizate;

b) angajatorul a realizat informarea prealabilă obligatorie, completă și în mod explicit a angajaților;

c) angajatorul a consultat sindicatul sau, după caz, reprezentanții angajaților înainte de introducerea sistemelor de monitorizare;

d) alte forme și modalități mai puțin intruzive pentru atingerea scopului urmărit de angajator nu și-au dovedit anterior eficiența; și

e) durata de stocare a datelor cu caracter personal este proporțională cu scopul prelucrării, dar nu mai mare de 30 de zile, cu excepția situațiilor expres reglementate de lege sau a cazurilor temeinic justificate.

Etape urmate de angajator în cazul utilizării CCTV

Aceasta înseamnă că angajatorul trebuie să parcurgă mai multe etape:

1. după ce conducerea a luat în considerare eventualitatea utilizării unor sisteme de monitorizare CCTV, angajatorul trebuie să facă o evaluare de impact în cuprinsul căreia să analizeze și interesele legitime. Pentru o evaluare completă și corectă angajatorul trebuie să consulte sindicatul sau, după caz, reprezentanții angajaților. De asemenea, acesta trebuie să demonstreze faptul că alte forme și modalități mai puțin intruzive pentru atingerea scopului urmărit nu și-au dovedit anterior eficiența. Dacă după această evaluare se constată că drepturile persoanelor vizate nu prevalează intereselor legitime ale angajatorului, se poate trece la următoarea etapă. Este foarte important ca evaluarea intereselor legitime să fie păstrată de angajator și să fie revizuită periodic.

2. după efectuarea evaluării, dar mai înainte de introducerea efectivă a sistemelor de monitorizare, angajatorul trebuie să realizeze informarea prealabilă obligatorie, completă și în mod explicit a angajaților. Este recomandat ca în cuprinsul informării să se menționeze detalii cu privire la interesele legitime.

3. după implementarea sistemului de monitorizare angajatorul trebuie să revizuiască periodic evaluarea intereselor legitime și să informeze în prealabil noii angajați cu privire la mijloacele de supraveghere utilizate. De asemenea, trebuie să asigure respectarea cerințelor de prelucrare ale GDPR, inclusiv privind perioada maximă de stocare de 30 de zile. Aceasta nu înseamnă că perioada de stocare va fi obligatoriu de 30 zile, ci ea trebuie să fie cât mai mică, exact atât cât este necesar pentru scopul urmărit. De exemplu, pentru asigurarea securității bunurilor, o perioadă de 24 de ore este în general suficientă, dacă nu s-a petrecut niciun incident.

În ceea ce privește condițiile privind instalarea legală a sistemelor de supraveghere, sunt incidente dispozițiile Legii nr. 333/2003, care cuprinde aspecte pe care nu le vom dezvolta în cuprinsul prezentului articol.

În cuprinsul articolului următor vom prezenta conținutul deciziei CNIL și constatările făcute de delegații acesteia.