مراقبة أماكن العمل عبر كاميرات المراقبة بموجب RODO GDPR (GDPR) / ...

الالتزامات السبعة المتعلقة بكاميرات المراقبة في مكان العمل بموجب GDPR

1. الأساس القانوني. المادة 6(1)(و) التي تنص على المصلحة المشروعة هي الخيار الواقعي الوحيد، إذ لا يُعتدّ بالموافقة لأن الموظفين لا يستطيعون الرفض بحرية، كما أن المادة 6(1)(ب) (أداء العقد) ضيقة النطاق للغاية. يجب توثيق اختبار الموازنة بين المصلحة المشروعة ومراجعته سنويًا.
2. تقييم الأثر البيئي (المادة 35). تُعدّ كاميرات المراقبة في أماكن العمل "مراقبة منهجية واسعة النطاق"، وتستدعي إجراء تقييم إلزامي لأثر حماية البيانات في جميع دول الاتحاد الأوروبي. ويوثّق هذا التقييم الغرض من النظام، ومعيار التناسب، والبدائل التي تمّ النظر فيها (وأسباب رفضها)، والتدابير المتخذة لتقليل الأثر.
3. الشفافية (المواد 13-14). يجب إبلاغ كل موظف قبل بدء العمل بما يتم تسجيله، ومكانه، وسببه، ومن يقوم بتسجيله، ومدة الاحتفاظ به، وكيفية ممارسة حقوقه. ويكفي في ذلك إشعار الخصوصية في دليل الموظفين بالإضافة إلى اللافتات الموجودة على محيط المبنى.
4. حفظ. الحد الأدنى اللازم، عادةً ما بين 7 و30 يومًا. وتعتبر معظم اتفاقيات حماية البيانات مدة 30 يومًا بمثابة المدة الافتراضية؛ أما المدة الأطول فتتطلب تبريرًا محددًا.
5. لافتات مرئية. رمز توضيحي + اسم المتحكم + جهة الاتصال + الأساس القانوني + فترة الاحتفاظ + جهة اتصال مسؤول حماية البيانات. يُوضع عند كل نقطة دخول وفي كل طابق من المباني متعددة الطوابق.
6. الوصول إلى البيانات الشخصية. يحق لأي موظف طلب نسخة من التسجيلات المصورة التي يظهر فيها. ويُطبق شرط الرد خلال 30 يوماً.
7. التقليل. يجب أن تكون FOV الكاميرا هي الأضيق التي تحقق الغرض الأمني. الكاميرات الموجهة نحو المكاتب، أو إلى مناطق الاستراحة المخصصة، أو التي تغطي مساحة عامة أكبر مما يتطلبه الهدف الأمني، تفشل في هذا الاختبار تلقائيًا.

إضافات خاصة بكل دولة

ألمانيا (DSGVO + BDSG + BetrVG). يُعدّ قرار مجلس العمل، بموجب المادة 87(1)(6) من قانون حماية البيانات المهنية (BetrVG)، إلزاميًا لأي تقنية لمراقبة الموظفين، بما في ذلك كاميرات المراقبة التلفزيونية المغلقة (CCTV). ولا يجوز لصاحب العمل تركيب النظام أو توسيعه أو تعديله دون موافقة مجلس العمل. وتفرض هيئات حماية البيانات على مستوى الولايات (16 ولاية) غرامات منتظمة لعدم التشاور. وتنص المادة 26 من قانون حماية البيانات الفيدرالي الألماني (BDSG) على فترات احتفاظ افتراضية أكثر صرامة من اللائحة العامة GDPR ، حيث تبلغ 72 ساعة كحد أقصى نموذجي.

بولندا ( RODO + Kodeks pracy). تنص المادة 22² من قانون العمل على جواز استخدام كاميرات المراقبة في مكان العمل، ولكن فقط لضمان السلامة، وحماية الممتلكات، ومراقبة الإنتاج، أو الحفاظ على السرية. ويجب تنظيم استخدامها في قواعد العمل، وإبلاغ الموظفين بها قبل 14 يومًا على الأقل من تفعيلها. وتتزايد أهمية تطبيق قانون حماية البيانات الشخصية (UODO)، حيث تُفرض غرامات متكررة على اللافتات غير الكافية والاحتفاظ غير المبرر بالكاميرات.

فرنسا (إرشادات CNIL + قانون العمل). يُشترط التشاور مع مجلس العمل بموجب المادة L2312-38. وقد نشرت الهيئة الوطنية للمعلوماتية والحريات (CNIL) إرشادات ملزمة تحدد مدة الاحتفاظ بالتسجيلات بـ 30 يومًا ما لم تقع حوادث محددة. ويُحظر على الكاميرات تصوير أماكن عمل الموظفين بشكل مستمر، كما يجب تجنب مناطق غرف الاستراحة تمامًا. وتتراوح غرامات الهيئة الوطنية للمعلوماتية والحريات (CNIL) لمخالفات كاميرات المراقبة في أماكن العمل بين 1000 يورو وأكثر من 600000 يورو.

إيطاليا (الضمان + قانون Lavoratori المادة 4). أحد أكثر الأنظمة صرامة. تحظر المادة 4 من قانون العمال تركيب معدات مراقبة للرصد المباشر للموظفين، وتتطلب اتفاقية جماعية (مع مجلس العمل أو، في حالة عدم وجود ذلك، ترخيص من مفتشية العمل الإقليمية) قبل نشر أي نظام يلتقط نشاط الموظفين بشكل عرضي.

المملكة المتحدة (قانون GDPR في المملكة المتحدة + قانون حماية البيانات لعام 2018 + مدونة ممارسات التوظيف الصادرة عن مكتب مفوض المعلومات). يُوصى باستشارة مجلس العمل، ولكنها ليست إلزامية. يُعتبر قانون ممارسات التوظيف الصادر عن مكتب مفوض المعلومات مرجعًا موثوقًا، وكثيرًا ما تستشهد به جهات إنفاذ قانون حماية البيانات. مدة الاحتفاظ بالبيانات الافتراضية هي 30 يومًا؛ وأي مدة أطول تتطلب توثيقًا للحادثة.

الأخطاء الشائعة في الامتثال (وتكلفتها)

• كاميرات في المراحيض أو غرف تبديل الملابس أو مناطق الاستراحة - غرامات تلقائية بمئات الآلاف من الدولارات في جميع أنحاء الاتحاد الأوروبي.
• الاحتفاظ بالوثائق لفترة غير محددة أو لأكثر من 90 يومًا دون مبرر موثق - غرامات متكررة تتراوح بين خمسة أرقام.
• عدم وجود لافتات أو وجود لافتات بلغة واحدة فقط في أماكن العمل متعددة اللغات - تتراوح التكلفة النموذجية بين 5000 يورو و 25000 يورو.
• عدم وجود تقييم أثر حماية البيانات في الملف - يُنظر إليه بشكل متزايد على أنه عامل مشدد يضاعف العقوبة الأساسية.
• عدم إجراء مشاورات مع مجالس العمل في ألمانيا وفرنسا وإيطاليا - قد يتم إلغاء عملية النشر بالكامل بأثر رجعي.
• البث المباشر متاح للمديرين دون تسجيل الوصول - وهذا ينتهك مبادئ التقليل من المخاطر والمساءلة.
• تسجيل الصوت بدون مبرر منفصل - يتم التعامل مع الصوت في محادثات مكان العمل بشكل أكثر صرامة من الفيديو.

قائمة مراجعة ما قبل النشر التي تصمد

قبل سحب أول كابل: (1) إعداد مسودة تقييم أثر حماية البيانات (DPIA) تغطي الغرض، والتناسب، والبدائل، وتقليل FOV ، والاحتفاظ بالبيانات؛ (2) تحديث إشعار الخصوصية ودليل الموظفين بالمعالجة الجديدة؛ (3) استشارة مجلس العمل / النقابة العمالية عند الاقتضاء والحصول على موافقة خطية؛ (4) تصميم خريطة FOV التي توضح التغطية الدقيقة مع اختبار التناسب الموضح لكل كاميرا؛ (5) إنتاج لافتات بجميع لغات مكان العمل؛ (6) تحديد قواعد الاحتفاظ بالبيانات والتحكم التقني الذي يفرضها؛ (7) تعيين مسؤول سجلات الوصول؛ (8) تدريب فريق الأمن على سير عمل الوصول إلى البيانات الشخصية.

يقوم برنامج CCTVplanner بإنتاج (4) مباشرةً - قم بإسقاط مواقع الكاميرات على مخطط الأرضية، وقفل مخاريط FOV ، وتصدير PDF مُصنَّف مع تعليق اختبار التناسب لكل كاميرا، وإرفاقه بملحق تقييم أثر حماية البيانات. يقرأ مراجع قانون حماية البيانات نفس الوثيقة التي راجعتها.