GDPR Noul Ghid European privind supravegherea video

Amenzile acordate de A.N.S.P.D.C.P. in ultimele saptamani s-au bazat in special pe lipsa masurilor tehnice si organizatorice sau pe existenta, dar neaplicarea eficienta a acestora, ceea ce demonstreaza ca la nivel national exista in continuarea necesitatea de indrumari din partea autoritatilor si specialistilor.

186

NOUL GHID EUROPEAN PRIVIND SUPRAVEGHEREA VIDEO – EXEMPLE DE MASURI TEHNICE SI ORGANIZATORICE ADECVATE VALIDATE DE E.D.P.B.

 

Comitetul European pentru Protectia Datelor (E.D.P.B. – European Data Protection Bord), organ cu personalitate juridica al Uniunii Europene, constituit in temeiul art. 68 din Regulamentul General privind Protectia Datelor, a adoptat pe 10 iulie Ghidul nr. 3/2019 privind prelucrarea datelor prin mijloace de supraveghere video – versiune pentru consultare publica.

Acest ghid este destinat sa vina in sprijinul operatorilor de date cu caracter personal si persoanelor imputernicite ce utilizeaza mijloace de supraveghere video, motiv pentru care abordeaza, in principal, aspecte privind legalitatea prelucrarii, dezvaluirea imaginilor catre terti, confidentialitatea si securitatea prelucrarilor.

Potrivit ghidului, prelucrarea datelor prin supravegherea video pune o presiune suplimentara asupra individului care isi poate modifica esential comportamentul pentru a preveni detectarea a ceea ce ar putea fi perceput ca o anomalie in exprimare si limiteaza posibilitatea miscarii anonime sau utilizarii anonime de servicii.

Desi persoanele ar putea fi confortabile cu supravegherea video stabilita pentru un anumit scop de securitate, prevenire a infractionalitatii sau alte scopuri legale, totusi trebuie luate garantii pentru a evita orice utilizare abuziva pentru scopuri total diferite sau neasteptate, de exemplu, scopuri de marketing, monitorizarea performantei angajatilor etc., sau chiar evitarea utilizarii pur si simplu incorecte din neglijenta.

Cercetatorii declara ca software-ul folosit pentru identificarea, recunoasterea sau analiza faciala poate avea o performanta diferita in functie de varsta, sexul si etnia persoanei pe care o identifica. Algoritmii s-ar realiza pe baza unor demografii diferite, astfel incat tendinta de recunoastere faciala ameninta sa consolideze prejudecatile societatii si cade in responsabilitatea operatorilor sa ia masurile necesare pentru a preveni acest lucru.

Totodata, E.D.P.B. readuce prin acest ghid ideea deja dezbatuta cu ocazia recomandarilor privind efectuarea de studii de impact, potrivit cu care supravegherea video nu trebuie sa fie o necesitate daca exista alte mijloace pentru atingerea scopului urmarit. In caz contrar, societatea risca o schimbare a normelor culturale care poate sa conduca la acceptarea lipsei vietii private ca regula generala.

Operatorii de date trebuie sa aiba in vedere faptul ca riscul potential de utilizare necorespunzatoare a acestor date creste in raport cu dimensiunea spatiului monitorizat, precum si cu numarul de persoane care frecventeaza spatiul. Acest fapt este reflectat chiar de Regulamentul general privind protectia datelor in articolul 35 alineatul 3 litera c), care impune efectuarea unei evaluari a impactului protectiei datelor in cazul monitorizarii sistematice a unei zone accesibile publicului sau a unei prelucrari la scara larga, precum si la articolul 37 alineatul 1 litera b) care impune operatorilor sa desemneze un responsabil cu protectia datelor, in cazul in care operatiunea de prelucrare, prin natura sa, presupune o monitorizare sistematica a persoanelor vizate.

Exista si cateva exceptii de la aplicarea GDPR in cazul supravegherii video, cum ar fi orice camera nefunctionala instalata, dar care nu inregistreaza, deci, niciun fel de imagini, inregistrarea dintr-un unghi foarte strans sau de la o altitudine atat de mare incat sa nu poata fi distinse detalii semnificative ale persoanelor care traverseaza aria de supraveghere, sau chiar si camerele instalate pe masini sau alte vehicule care au ca scop orientarea pentru parcare si care bat intr-un mod care nu permite identificarea persoanelor sau, in anumite cazuri, nici a placutelor de inmatriculare auto.

In ceea ce priveste legalitatea prelucrarii, E.D.P.B. atrage atentia asupra faptului ca trebuie respectat cu prioritate principiul transparentei, in sensul informarii complete si corecte a persoanelor vizate cu privire la scopurile prelucrarii, acestea fiind necesar sa fie enumerate si explicate pentru a fi pe intelesul lor. In cazul in care se folosesc mai multe tipuri de device-uri pentru prelucrarea video, se vor specifica pentru fiecare din tipurile de device-uri in parte care sunt scopurile prelucrarii, durata de stocare, toate aceste informatii fiind bine documentate anterior.

De asemenea, ghidul arata ca supravegherea video bazata pe simplul scop de “siguranta” sau informarile publice de tipul “pentru siguranta dvs.” nu sunt suficient de specifice, cu exeptia cazurilor in care exista o obligatie legala de monitorizare video, prevazuta de o lege speciala.

Supravegherea video este legala si daca este necesara pentru atingerea scopului unui interes legitim urmarit de un operator sau de o terta parte, cu exceptia cazului in care interesele  persoanei vizate sau drepturile si libertatile fundamentale ale acesteia nu prevaleaza intereselor operatorilor. Acest raport poate fi stabilit tot prin realizarea unei analize de impact in care sunt evidentiate toate datele problemei si de o parte si de cealalta, pana la stabilirea caror drepturi par a fi de natura sa cantareasca mai greu.

Interesele legitime urmarite de un operator sau de o terta parte pot fi legale, economice sau nemateriale. Cu toate acestea, operatorul trebuie sa considere ca, daca o persoana vizata se opune supravegherii in conformitate cu articolul 21 din GDPR, operatorul poate proceda la restrictionarea supravegherii video a respectivului subiect, in cazul in care acesta prezinta un motiv intemeiat, bazat pe drepturile si libertatile persoanei vizate.

Avand in vedere o situatie reala si periculoasa, scopul de a proteja proprietatea impotriva furtului sau vandalismului poate constitui un interes legitim pentru supravegherea video. Interesul legitim trebuie sa fie de existenta reala si trebuie sa fie prezent, nu trebuie sa fie fictiv sau speculativ. O situatie reala de primejdie din trecut la care s-a expus operatorul – cum ar fi daunele sau incidentele grave petrecute inainte de inceperea supravegherii pot fi si acestea o dovada puternica pentru existenta unui interes legitim, precum si gradul de infractionalitate mai ridicat din cartierul sau tara respectiva. Statisticile de la autoritati pot ajuta un operator sa consolideze interesul sau legitim.

Totodata, situatiile de pericol iminent pot constitui un interes legitim, cum ar fi in cazul magazinelor care vand bunuri pretioase (de exemplu, bijutierii) sau in zonele bine cunoscute ca fiind tipice pentru infractiuni de proprietate (de exemplu benzinariile).

Urmarind un alt principiul deosebit de important instituit de GDPR, cel al minimizarii datelor, E.D.P.B. mentioneaza in ghid faptul ca datele personale prelucrate trebuie sa fie adecvate, relevante si limitate la ceea ce este necesar in raport cu scopurile pentru care sunt prelucrate. A se vedea articolul 5 alineatul (1) litera (c). Inainte de instalarea unui sistem de supraveghere video, operatorul trebuie sa examineze intotdeauna in mod critic daca aceasta masura este in primul rand potrivita pentru atingerea obiectivului dorit si, in al doilea rand, adecvata si necesara scopurilor sale. Masurile de supraveghere video ar trebui alese numai daca scopul prelucrarii nu poate fi indeplinit in mod rezonabil prin alte mijloace care sunt mai putin invazive pentru drepturile si libertatile fundamentale ale persoanei vizate.

Avand in vedere situatia in care un operator doreste sa previna infractiunile legate de bunuri, spre exemplu, in loc sa instaleze un sistem de supraveghere video, ar putea lua masuri alternative de securitate, cum ar fi imprejmuirea proprietatii, instalarea de patrule regulate de personal de securitate, sau anumite semne care sa transmita mesaje clare de pericol pentru potentialii infractori.

De asemenea, apar intrebari privind necesitatea prelucrarii in ceea ce priveste modul in care se pastreaza dovezile. In unele cazuri ar putea fi necesar sa se utilizeze solutii de pastrare a materialului, iar in alte situatii este posibil sa nu fie necesara inregistrarea materialelor video si este mai adecvata monitorizarea in timp real. Decizia dintre cele doua solutii ar trebui sa se bazeze, de asemenea, pe scopul urmarit. Daca, de exemplu, scopul supravegherii video este pastrarea dovezilor, metodele in timp real nu sunt de obicei potrivite. Uneori monitorizarea in timp real poate fi, de asemenea, mai intruziva decat stocarea si stergerea automata a materialelor dupa un interval de timp limitat. De asemenea, ar trebui sa se tina cont de faptul ca este posibil ca operatorul sa poata folosi personalul de securitate in locul supravegherii video, care sa poata reactiona si sa intervina imediat.

Acestea sunt doar cateva aspecte pe care operatorii de date le pot avea in vedere in ceea ce priveste implementarea unor masuri tehnice si organizatorice adecvate, potrivit ghidului care momentan se afla in dezbatere publica pana pe 6 septembrie.

Amenzile acordate de A.N.S.P.D.C.P. in ultimele saptamani s-au bazat in special pe lipsa masurilor tehnice si organizatorice sau pe existenta, dar neaplicarea eficienta a acestora, ceea ce demonstreaza ca la nivel national exista in continuarea necesitatea de indrumari din partea autoritatilor si specialistilor.

            Av. Raluca Comanescu – Partener GRECU SI ASOCIATII SCA

               Vicepresedinte al ASOCIATIEI PENTRU BUNE PRACTICI GDPR