3 sfaturi pentru asociațiile de proprietari, extrase din ultimul comunicat al ANSPDCP
Proprietari sau nu, GDPR nu se aplică doar atunci când vrem noi.
Cu toate că au trecut 2 ani de la aplicarea GDPR, nu toți realizăm importanța protejării datelor cu caracter personal și a drepturilor persoanelor vizate. Sunt unele persoane cărora li se pare perfect justificată nerespectarea drepturilor unei alte persoane atunci când se pune problema apărării unui interes pe care îl consideră superior. În acele situații nu mai contează ce spune legea. Și dacă ar conta, legea nu se aplică decât în favoarea lor, conform interpretării proprii. Interpretarea legislației este o operațiune destul de dificilă pentru care este nevoie de studii de specialitate. Mulți uită lucrul ăsta și, oricum, ei știu cel mai bine.
Am auzit destul de des următoarea replică: „Nu avem nevoie de proceduri GDPR pentru că nu se aplică în cazul nostru. Montăm camere pentru siguranța locatarilor în spațiul nostru privat. E proprietatea noastră și facem ce vrem.” E inutil să explicăm cât de greșită este această abordare. În loc de explicații lungi și plictisitoare mai bine prezentăm speța din ultimul comunicat al ANSPDCP.
Ce aflăm din comunicatul ANSPDCP?
În urma unei plângeri, ANSPDCP a sancționat Asociația de proprietari Bl. FC 5, orașul Năvodari, județul Constanța, pentru nerespectarea GDPR.
Sancțiunile aplicate au fost:
- amendă în cuantum de 2417,55 lei ( echivalentul a 500 euro) pentru prelucrarea ilegală a imaginii unei persoane fizice, provenită din sistemul de supraveghere video al asociației, prin afișare la avizierul imobilului, cu încălcarea principiilor de prelucrare a datelor personale;
- avertisment pentru neadoptarea de măsuri de securitate, tehnice și organizatorice, adecvate pentru protejarea datelor personale colectate prin intermediul sistemului de supraveghere video;
- avertisment pentru lipsa unei informări complete a persoanelor vizate ale căror date personale le prelucrează prin intermediul sistemului de supraveghere video deținut.
Asociației de proprietari i s-au aplicat și măsuri corective în sensul remedierii deficiențelor: informarea persoanelor vizate și adoptarea unor măsuri de securitate, tehnice și organizatorice, adecvate.
Ce se poate învăța din această speță?
1. Atunci când prelucrați imaginea unei persoane fizice, provenită din sistemul de supraveghere video al asociației, prin afișare la avizierul imobilului, respectați principiile de prelucrare a datelor personale prevăzute de art. 5 din GDPR, coroborat cu art. 6 alin. (1) din GDPR, articol care prevede temeiurile de prelucrare!
Conform GDPR, orice prelucrare trebuie să se facă respectând următoarele principii:
- Legalitate, echitate și transparență;
- Limitări legate de scop – să fie determinat, explicit și legitim;
- Reducerea la minimum a datelor colectate – adecvate, relevante și limitate la ceea ce este necesar;
- Exactitate – datele trebuie să fie exacte și actualizate;
- Limitări legate de stocare – să nu fie păstrate mai mult decât este necesar;
- Integritate și confidențialitate – modul de prelucrare să asigure o securitate adecvată.
Pentru ca o prelucrare de date cu caracter personal să fie legală, trebuie să se bazeze cel puțin pe unul dintre temeiurile de prelucrare prevăzute de art. 6 alin. (1) din GDPR:
- consimțământul persoanei vizate;
- prelucrarea este necesara pentru încheierea sau executarea unui contract;
- prelucrarea este necesara pentru îndeplinirea unei obligații legale;
- prelucrare este necesara pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane fizice;
- prelucrare este necesara pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul;
- prelucrare este necesara în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate.
Toate acestea nu sunt noutăți. Totuși, oricât le-am repeta se pare că nu e de ajuns.
2. Pentru protejarea datelor personale colectate prin intermediul sistemului de supraveghere video trebuie să implementați măsuri de securitate, tehnice și organizatorice, adecvate, în conformitate cu dispozițiile art. 25 și 32 din GDPR!
În speța prezentată, ANSPDCP, pe lângă măsurile generale implicite, recomandă următoarele măsuri pentru protejarea datelor personale:
- imaginile să nu mai poată fi accesibile oricărei persoane – de exemplu, prin intermediul monitorului amplasat pe hol;
- accesul imaginilor să nu se facă la distanță prin internet – cu ajutorul unor aplicații;
- stabilirea, în cadrul Adunării Generale a Asociației de Proprietari, următoarelor:
- un număr limitat de persoane care să aibă acces la acest sistem;
- drepturile ce pot fi alocate fiecăreia dintre persoanele cu drept de acces;
- întocmirea unor instrucțiuni clare de prelucrare pentru persoanele care prelucrează date sub autoritatea asociației.
3. Informați complet persoanele vizate ale căror date personale sunt prelucrate prin intermediul sistemului de supraveghere video, cu privire la prelucrarea prin intermediul acestui sistem, potrivit cerințelor art. 12 și 13 din GDPR!
Informarea persoanelor vizate este prezentată destul de clar în cuprinsul art. 12 și 13 din GDPR. Pentru că nu a făcut o informare corespunzătoare, asociația de proprietari a fost obligată de autoritate să asigure informarea completă a persoanelor vizate, prin furnizarea tuturor informațiilor prevăzute de art. 12-13 din RGPD, la loc vizibil, în apropierea camerelor de supraveghere.
Chiar dacă pare dificilă, conformarea cu regulile GDPR se poate face atunci când se dorește acest lucru. Este nevoie de timp și de răbdare. Și, poate cel mai important, de o nouă perspectivă asupra dreptului la viața privată a celuilalt, drept care de cele mai multe ori este uitat.
Despre prelucrarea datelor cu caracter personal prin intermediul unui sistem CCTV, alături de Roxana Păunescu, am mai scris:
