Pe data de 10-11 iulie 2019, Comitetul European pentru Protecția Datelor a adoptat Ghidul nr. 3/2019 privind prelucrarea datelor prin mijloace de supraveghere video.  Obiectivul acestui ghid este să aducă o serie de clarificări cu privire la aplicarea GDPR pentru sistemele CCTV.

Așadar ne propunem prin articolul de față să vă prezentăm o serie de exemple și situații concrete care se regăsesc în acest ghid, cu rolul de a-i ajuta atât pe operatorii de date din România, cât și publicul larg – persoanele vizate în general.

În primul rând, haideți să vedem care sunt cazurile în care Regulamentul GDPR NU se aplică mijloacelor de supraveghere video

În acest articol dorim să vă prezentăm aceste exemple și situații.

Regulamentul Gdpr nu se aplică pentru procesările video în care persoanele nu pot fi identificate sau imaginile nu pot duce la identificarea persoanelor.

  • Folosirea unei camere de filmat fără ca această să funcționeze din punct de vedere tehnic, măsură folosită de obicei cu scopul de prevenție (cameră falsă). Această ”cameră” nu colectează date cu caracter personal, prin urmare nu trebuie să fie conformă cu GDPR.
  • Filmarea unor obiective de la mare distanță / altitudine, care face imposibilă identificarea persoanelor, de asemenea nu este o procesare neconformă.
  • GDPR nu se aplică nici în cazul filmărilor cu scop de îndrumare / oglindă, cum ar fi cele montate pe mașini pentru ajutor la parcare. Acele imagini nu sunt stocate, nu se înregistrează si probabilitatea ca în ele să apară persoane fizice este una foarte mică.
  • Filmările video făcute în casă proprietate privată sau pentru activități din gospodărie în care nu se filmează deloc spațiu public și nu sunt îndreptate  decât spre spațiul privat al proprietarului, nu sunt o procesare care necesită conformarea la GDPR.
  • Filmările din vacanțe făcute de turiști, de obicei cu telefonul mobil sau cu o cameră de filmat cu uzanță generală și care sunt dezvăluite doar către apropiați și rude, fără ca publicul larg să aibă acces la ele, nu sunt considerate date cu caracter personal.
  • Un biciclist sau un cățărător care dorește să înregistreze video acțiunile sale de recreere pentru propriul divertisment sau pentru a le arăta apropiaților nu trebuie să își ia măsuri din punct de vedere GDPR.
  • Monitorizarea propriei grădini, în cazul în care proprietatea este împrejmuită și accesul este restricționat, cu condiția ca supravegherea video să nu se extind nici măcar parțial la un spațiu public sau la o proprietate învecinată, este o procesare de date cu caracter personal permisă de GDPR.

Monitorizare video prin sisteme CCTV poate sa aibă mai multe motive: protejarea proprietății sau colectarea de dovezi în scopuri de justiție, toate astea trebuie documentate și de asemenea trebuie să existe o informare către persoanele vizate. Motivul de „siguranță” nu este suficient.

O analiză mai detaliată privind legalitatea montării de sisteme video și procesarea imaginilor pe spațiul public sau comun al proprietăților găsiți în articolul:„Vecinul”, spionajul, Regulamentul General privind Protecția Datelor(GDPR/RGPD) și rolul Primăriilor

Legalitatea procesării

Interesul legitim

Supravegherea video este legală dacă este necesară pentru a îndeplini un interes legitim urmărit de un operator sau de o terță persoană.

Interesul legitim trebuie să fie real și trebuie să fie de actualitate (adică nu trebuie să fie fictiv sau speculativ).

Exemple de situații unde temeiul legal este interesul legitim al operatorului:

  • În cazul în care o persoană dorește să deschidă un magazin și ia hotărârea de a monitoriza video spațiul printr-un sistem CCTV, cu scopul de a preveni acțiunile de vandalism sau distrugere poate folosi ca interes legitim experiența proprietarilor de magazin din vecinătate, criminalitatea crescută din zona magazinului, analiza zonală etc. În acest caz nu este necesar ca operatorul să fi suferit vreun prejudiciu anterior instalării sistemului de supraveghere.
  • Magazinele care vând lucruri prețioase sau de mare valoare, bijuterii, galerii de artă, etc. De asemenea putem include aici și spațiile comerciale cu risc mare de infracțiuni împotriva proprietății de ex. benzinăriile, magazinele non-stop, spațiile comerciale izolate.

Necesitatea prelucrării

Datele personale trebuie să fie adecvate, relevante și limitate la ceea ce este necesar în legătură cu scopurile pentru care sunt procesate („minimizarea datelor”). Înainte de instalarea unui sistem de supraveghere video, operatorul trebuie să examineze întotdeauna în mod critic dacă această măsură este în primul rând potrivită pentru atingerea obiectivului dorit și, în al doilea rând, adecvată și necesară pentru scopurile sale.

Dacă supravegherea proprietății nu este suficientă pentru o protecție eficientă operatorul ar trebui să ia măsuri fizice și tehnice necesare pentru protejarea zonelor care nu sunt relevante, de exemplu blocarea sau pixelizarea.

Exemple de situații privind necesitatea prelucrării:

  • Dacă un operator dorește să își protejeze incita împotriva vandalismului sau a distrugerii, supravegherea video trebuie limitată doar pentru vecinătatea imediată, exteriorul sau fațada incintei, fără a fi necesară filmare întregii străzi sau a întregului cartier.
  • Operatorul unei parcări private folosită pentru mașinile puse spre închiriere, în urma unor furturi, dorește montarea unui sistem de supraveghere video CCTV, cu scopul de protecție și siguranță. Cu toate că parcarea este un spațiul deschis, ușor accesibil, persoanele vizate sunt atenționate prin înscrisuri cu privire la monitorizarea video. De asemenea supravegherea este activă doar pe timpul nopții, astfel persoanele vizate sunt afectate într-un interval de timp limitat. Parcarea nu se află în vecinătatea nici unui spațiu recreativ, astfel că interesul operatorului primează față de persoanele vizate.
  • Un exemplu de proaste practici din punct de vedere GDPR ale operatorilor, este instalarea de camere video în toaletele restaurantelor, a cinematografelor, a mall-urilor etc. cu scopul de a menține curățenia sau a preveni distrugerea obiectelor sanitare. În acest caz, intimitatea persoanelor vizate este mai importantă decât interesul operatorului.
  • Un alt exemplu de procesare nejustificată este instalarea unei camere de bord cu scopul de a înregistra accidentele rutiere și de a folosi ca dovadă. Această filmare trebuie limitată doar pentru zonele unde riscul de accidente este ridicat fără a fi folosită pentru supraveghere în cazul în care mașina este parcată sau se află în zone fără risc de accident.

Exemple de locuri unde monitorizare este o intruziune intensă în viața privată:

  • Locul de muncă (în condiții obișnuite), spații private de agrement (grădini, piscine, etc.). supravegherea video în săli de tratament, saune publice, săli de examinare, zone rezidențiale.

Exemple de locuri unde persoanele vizate nu se așteaptă să fie filmate:

  • Zone publice agrement, parcuri, zone unde sunt oferite servicii de fitness, cinematografe, restaurante.

Sunt, totuși locuri unde persoanele vizate se așteaptă să fie filmate, de exemplu în interiorul unei bănci, în vecinătatea unui bancomat, în perimetrul unei zone cu acces interzis.

Necesitatea de a îndeplini o sarcină în interesul public sau în exercitarea funcției

Datele cu caracter personal ar putea fi prelucrate prin supravegherea video în conformitate cu articolul 6 alineatul (1) litera (e), dacă este necesar să îndeplinească o sarcină de interesul public sau în exercitarea unei funcții publice. Ar putea fi și alte baze legale: sănătatea și siguranța, protecția angajaților, a vizitatorilor cu respectarea obligațiilor GDPR și a drepturilor persoanelor vizate.

  • Solicitarea individuală a unui sportiv de a îi fi înregistrate antrenamentele cu scopul de a-și îmbunătăți performanțele, este considerată o prelucrare legală spre deosebirea de decizia de a filma o echipa sportivă. Pentru o astfel de prelucrare este nevoie de consimțământul tuturor membrilor, consimțământ care nu poate fi validat, existând riscul ca acesta să fie acordat la presiunea coechipierilor sau din motive de colegialitate.
  • Un operator care dorește să publice imagini video în spațiul virtual sau pe rețele de socializare are nevoie de acordul / consimțământul tuturor persoanelor care apar în acea filmare sau pentru cele care nu își dau acordul să folosească o metodă de anonimizare (acoperirea feței, blurare etc.).

Punerea la dispoziția organelor de cercetare a imaginilor video

  • În cazul în care, proprietarul unu magazin are instalate camere de supraveghere video în exteriorul spațiului comercial, din motive de securitate, iar una dintre camere înregistrează jefuirea unei persoane pe strada, acesta are obligația conform articolul 6 alineatul (1) litera (c) (obligație legală) de a preda imaginile poliției la solicitarea acestora. Chiar dacă scopul pentru care a fost instalat sistemul de supraveghere CCTV nu este determinat de la început pentru aceste cazuri operatorul nu încalcă prevederile GDPR prin punerea la dispoziția organelor de cercetare imaginile.
  • Dacă, în aceeași situație, proprietarul de magazin, crede că a filmat ceva ilegal, fără a avea vreun indiciu concret și fără a i se solicita de către organele de cercetare, deci să trimită imaginile la poliție, el trebuie să se asigure că îndeplinește condițiile  prevăzute la articolul 6 alineatul (1) litera (f).

Procesarea categoriilor speciale de date:

Imaginile video cu persoane care poartă ochelari sau sunt în scaun cu rotile nu sunt considerate prelucrare de date cu caracter special.

  • Apartenența politică poate fi ușor dedusă din imagini sau filme de la evenimente politice, mitinguri, greve generale. Această prelucrare intră sub incidența articolului 9.
  • Tot sub incidența articolului 9 din GDPR întră și filmările cu pacienți aflați sub observație medicală.
  • Filmarea unei biserici sau a unui locaș de cult nu întră neapărat sub incidența articolului 9. Operatorul trebuie totuși să efectueze o evaluare deosebit de atentă cu privire la temeiul legal al acestei procesări și să se asigure că procesează date cu caracter special, altele decât cele prevăzute de art.9.
  • Angajatorii nu au voie să filmeze participanții la grevă cu scopul de a fi ulterior identificați în vederea sancționării.
  • Operatorii companiilor aeriene care au optat pentru instalarea de sisteme de check-in sau îmbarcare prin recunoaștere facială trebuie să se asigure că pasagerilor li se oferă posibilitatea de a efectuată această operațiune la un punct de verificare separat și că și-au dat consimțământul. De asemenea aparatura folosită la înregistrarea șablonului facial trebuie să fie instalată în așa fel încât să nu permită capturarea șabloanelor de către alte sisteme sau persoane.
  • Pentru utilizarea sistemele de acces în zonele rezidențiale cu recunoaștere facială, este nevoie de obținerea consimțământului persoanelor vizate și operatorul trebuie să se asigure că acel sistem pornește doar cu acordul persoanei vizate.
  • Dacă un magazin dorește să își personalizeze ofertele în funcție de gen și se folosește de filmări video ale clienților pentru a crea această profilare, dar nu folosește datele cu scopul de identificare a persoanelor ci cu scopul de identificare a trăsăturilor, prelucrarea nu intră sub incidența articolului 9.