Видеонаблюдение на работното място под GDPR / RODO / DSGVO

Седемте задължения за работно място CCTV по GDPR

1. Законно основание. Член 6(1)(f) на законния интерес е единствено реалистичният избор. Съгласието не издържа, защото служителите не могат свободно да отказват, а Член 6(1)(b) (изпълнение на договор) е твърде тясна база. Тестът на баланса на законния интерес трябва да бъде документиран и преразглеждан годишно.
2. DPIA (Член 35). Видеонаблюдението на работното място е "систематично наблюдение в голям мащаб" и задейства задължителен преглед на въздействието върху защитата на данните във всяка юрисдикция в ЕС. DPIA документира целта, теста на пропорционалност, разглежданите алтернативи (и защо са отхвърлени) и мерките, предприети за минимизиране на въздействието.
3. Прозрачност (Членове 13:14). Всеки служител трябва да бъде информиран преди развръщането какво се записва, къде, защо, от кого, колко дълго и как да упражни своите права. Уведомление за поверителност в служебния наръчник плюс сигнализация на периметъра отговаря на това изискване.
4. Съхранение. Минимално необходимото, типично 7:30 дни. Повечето DPA третират 30 дни като мекото по подразбиране; по-дълго изисква конкретно обосноваие.
5. Видима сигнализация. Пиктограма + име на контролера + контакт + законно основание + период на съхранение + контакт на DPO. Позиционирайте на всяка входна точка и на всеки етаж на многоетажни развръщания.
6. Достъп на субект. Всеки служител може да поиска копие на записа, в който се появява. Прозорецът от 30 дни за отговор се прилага.
7. Минимизиране. FOV на камерата трябва да бъде най-тесния, който достига целта на безопасност. Камери, насочени към работни плотове, в специални отдели за почивка или покриващи повече публично пространство, отколкото целта на безопасност изисква, не издържат този тест по подразбиране.

Допълнения по държави

Германия (DSGVO + BDSG + BetrVG). Съответстването на съветите на работниците съгласно BetrVG §87(1)(6) е задължително за всяка технология за мониторинг на служителите, включително CCTV. Работодателят не може да инсталира, разширява или модифицира системата без съгласие на съвета на работниците. Държавните органи по защита на данните (16 Länder) регулярно налагат глоби за неконсултиране. BDSG §26 определя по-строги стандарти за съхраняване от общия GDPR : 72 часа е типичният лимит.

Полша (RODO + Kodeks pracy). Член 22² на Кодекса на труда позволява видеонаблюдение на работата, но единствено за осигуряване на безопасност, защита на имущество, мониторинг на производството или съхраняване на конфиденциалност. Развръщането трябва да бъде регулирано в правилника на труда (regulamin pracy) и уведомено на служителите най-малко 14 дни преди активиране. UODO е все по-активна : санкции за недостатъчна сигнализация и неоправдано съхранение са чести.

Франция (ръководство CNIL + Code du travail). Консултация със съвета на работниците според член L2312-38 е задължителна. CNIL е публикувала задължително ръководство, ограничаващо съхраняването до 30 дни при отсъствие на конкретни инциденти. Камерите не трябва да филмират работни станции на служителите постоянно и трябва да избягват областите за почивка напълно. Глобите на CNIL за нарушения в CCTV на работното място варират от €1 000 до €600 000+.

Италия (Garante + Statuto dei Lavoratori Член 4). Един от най-строгите режими. Член 4 на Статута на работниците забранява инсталирането на наблюдателна система за преки надзор над служителите и изисква колективен договор (със съвета на работниците или, при липса на такъв, разрешение от регионалната Трудова инспекция) преди развръщането на всяка система, която случайно записва активност на служителите.

Великобритания (UK GDPR + Закон за защитата на данните 2018 + ICO Employment Practices Code). Консултация със съвета на работниците е препоръчана, но не задължителна. Кодексът на Службата за информационни комисари за работни практики се третира като авторитетно ръководство, а прилагането на GDPR часто се позовава на него. Съхранението по подразбиране е 30 дни; по-дълго изисква документирано събитие.

Чести грешки при съответствието (и какво струват)

• Камери в тоалетни, съблекални или отдели за почивка. Автоматични наказания от шест цифри в целия ЕС.
• Неограничено или съхранение над 90 дни без документирано обосноваие. Чести наказания от пет цифри.
• Без сигнализация или сигнализация само на един език в многоезични работни среди. €5 000 : €25 000 типично.
• Без DPIA в регистъра. Все повече се разглежда като отегчаващ фактор, който увеличава базовата санкция.
• Без консултация със съвета на работниците в DE / FR / IT. Цялото развръщане може да бъде отменено задно.
• Пряк поток, достъпен от мениджъри без регистриране на достъпа. Нарушава както принципите на минимизиране, така и на отчетност.
• Записване на звук без отделно обосноваие. Звук от работни разговори се третира по-строго от видео.

Контролен списък преди развръщане, който издържа

Преди първия кабел да бъде прокаран: (1) проект на DPIA, обхващащ цел, пропорционалност, алтернативи, минимизиране на FOV, съхранение; (2) актуализиране на известието за поверителност и наръчника за служителите с новото обработване; (3) консултиране с работния съвет / синдикална организация, където е приложимо, и получаване на писмено съгласие; (4) проектиране на FOV карта, показваща точното покритие с анотиран тест на пропорционалност на камера; (5) изготвяне на табели на всеки работен език; (6) определяне на правила за съхранение и техническия контрол, който ги прилага; (7) назначаване на администратора на журнала за достъп; (8) обучение на екипа по сигурност на работния процес за достъп до субекта.

CCTVplanner произвежда (4) директно : поставете позициите на камерата на плана на пода, заключете FOV конусите, експортирайте обозначен PDF с анотация на теста на пропорционалност на камера и прикачете към приложението на DPIA. Рецензентът DPA чита същия артефакт, който прегледахте.