Darbo vietos vaizdo stebėjimas pagal GDPR / RODO / DSGVO

Septynios darbo vietos vaizdo stebėjimo sistemos prievolės pagal GDPR

1. Teisinis pagrindas. 6(1)(f) straipsnio teisėtas interesas yra vienintelė reali galimybė – sutikimas neįmanomas, nes darbuotojai negali laisvai atsisakyti, o 6(1)(b) straipsnis (sutarties vykdymas) yra per siauras. Teisėto intereso pusiausvyros testas turi būti dokumentuojamas ir kasmet peržiūrimas.
2. DPAV (35 straipsnis). Darbo vietos vaizdo stebėjimas yra „sistemingas didelio masto stebėjimas“ ir kiekvienoje ES jurisdikcijoje reikalauja privalomo poveikio duomenų apsaugai vertinimo. DPAV dokumentuojamas tikslas, proporcingumo testas, svarstytos alternatyvos (ir jų atmetimo priežastys) bei priemonės, kurių imtasi poveikiui sumažinti.
3. Skaidrumas (13–14 straipsniai). Prieš dislokavimą kiekvienam darbuotojui turi būti pranešta, kas įrašoma, kur, kodėl, kas įrašo, kiek laiko įrašinėjama ir kaip pasinaudoti savo teisėmis. Tai užtikrina privatumo pranešimas darbuotojų vadove ir ženklai ant perimetro.
4. Išlaikymas. Būtinas minimumas, paprastai 7–30 dienų. Dauguma duomenų apsaugos institucijų 30 dienų laiko numatytuoju terminu; ilgesniam laikotarpiui reikalingas konkretus pagrindimas.
5. Matomas iškabos ženklas. Piktograma + duomenų valdytojo vardas, pavardė + kontaktinis asmuo + teisinis pagrindas + saugojimo laikotarpis + duomenų apsaugos pareigūno kontaktinis asmuo. Vieta kiekviename įėjimo taške ir kiekviename daugiaaukščių pastatų aukšte.
6. Prieiga prie dalyko. Bet kuris darbuotojas gali paprašyti vaizdo įrašo, kuriame jis matomas, kopijos. Taikomas 30 dienų atsakymo laikotarpis.
7. Minimizavimas. Kameros FOV turi būti siauriausias, kad būtų pasiektas saugumo tikslas. Kameros, nukreiptos į stalus, į specialiai tam skirtas poilsio zonas arba apimančios didesnę viešąją erdvę, nei reikalauja saugumo tikslas, pagal nutylėjimą šio testo neatitinka.

Konkrečioms šalims skirti priedai

Vokietija (DSGVO + BDSG + BetrVG). Bendras darbo tarybos sprendimas pagal BetrVG §87(1)(6) yra privalomas bet kokiai darbuotojų stebėjimo technologijai, įskaitant vaizdo stebėjimo sistemas. Darbdavys negali įdiegti, išplėsti ar modifikuoti sistemos be darbo tarybos sutikimo. Valstybių lygmens duomenų apsaugos institucijos (16 žemių) reguliariai skiria baudas už nesikonsultavimą. BDSG §26 nustato griežtesnius numatytuosius saugojimo reikalavimus nei bendrasis GDPR – įprasta riba yra 72 valandos.

Lenkija ( RODO + Kodeks pracy). Darbo kodekso 22² straipsnis leidžia naudoti vaizdo stebėjimo kameras darbe, tačiau tik siekiant užtikrinti saugą, apsaugoti turtą, stebėti gamybą arba išsaugoti konfidencialumą. Vaizdo stebėjimo kamerų diegimas turi būti reglamentuotas darbo vietos tvarkos taisyklėse (šv. regulamin pracy) ir apie jį turi būti pranešta darbuotojams ne vėliau kaip 14 dienų iki aktyvavimo. UODO tampa vis aktyvesnė – dažnai skiriamos baudos už netinkamą iškabų laikymą ir nepagrįstą laikymą.

Prancūzija (CNIL gairės + Code du travail). Būtina konsultuotis su darbo taryba pagal L2312-38 straipsnį. CNIL paskelbė privalomas gaires, ribojančias duomenų saugojimą iki 30 dienų dėl konkrečių nedalyvavimo atvejų. Kameros neturi filmuoti darbuotojų darbo vietų nuolat ir turi būti visiškai vengiamos poilsio kambarių zonos. CNIL baudos už vaizdo stebėjimo sistemos pažeidimus darbo vietoje svyruoja nuo 1 000 iki 600 000 eurų ir daugiau.

Italija (Garante + Statuto dei Lavoratori 4 straipsnis). Vienas griežčiausių režimų. Darbuotojų statuto 4 straipsnis draudžia įrengti stebėjimo įrangą tiesioginei darbuotojų stebėsenai ir reikalauja kolektyvinės sutarties (su darbo taryba arba, jei tokios nėra, regioninės darbo inspekcijos leidimo) prieš diegiant bet kokią sistemą, kuri atsitiktinai fiksuoja darbuotojų veiklą.

JK (JK GDPR + 2018 m. Duomenų apsaugos įstatymas + ICO įdarbinimo praktikos kodeksas). Rekomenduojama, bet nebūtina, konsultuotis su darbo taryba. ICO Darbo praktikos kodeksas laikomas autoritetingomis gairėmis, ir DPA vykdymo užtikrinimo institucijos jį dažnai cituoja. Numatytasis saugojimo laikotarpis yra 30 dienų; ilgesniam saugojimui reikalingas dokumentuotas incidentas.

Dažniausios atitikties klaidos (ir jų kaina)

• Kameros tualetuose, persirengimo kambariuose ar poilsio zonose – automatiškai skiriamos šešiaženklės baudos visoje ES.
• Neribotas arba daugiau nei 90 dienų saugojimas be dokumentuoto pateisinimo – dažnos nedidelės penkiaženklės baudos.
• Daugiakalbėse darbo vietose nėra iškabų arba iškabos yra tik viena kalba – įprasta kaina 5 000–25 000 eurų.
• Nėra pateiktas poveikio duomenų apsaugai vertinimo tyrimas – tai vis dažniau laikoma sunkinančia aplinkybe, kuri padidina pagrindinę bausmę.
• Darbo tarybos konsultacijos DE / FR / IT šalyse nėra – visas dislokavimas gali būti anuliuotas atgaline data.
• Tiesioginė transliacija, prieinama vadovams be prieigos registravimo, pažeidžia ir duomenų kiekio mažinimo, ir atskaitomybės principus.
• Garso įrašymas be atskiro pagrindimo – darbovietės pokalbių garsas traktuojamas griežčiau nei vaizdo įrašas.

Kontrolinis sąrašas prieš dislokavimą, kuris yra tinkamas

Prieš pradedant pirmąjį bandymą: (1) parengti poveikio duomenų apsaugai vertinimo projektą, apimantį tikslą, proporcingumą, alternatyvas, FOV mažinimą ir saugojimą; (2) atnaujinti privatumo pranešimą ir darbuotojų vadovą su nauju tvarkymu; (3) prireikus pasikonsultuoti su darbo taryba / profesine sąjunga ir gauti raštišką sutikimą; (4) sukurti FOV žemėlapį, kuriame būtų nurodyta tiksli aprėptis su kiekviena kamera anotuotu proporcingumo testu; (5) parengti ženklus visomis darbo vietos kalbomis; (6) apibrėžti saugojimo taisykles ir techninę kontrolę, skirtą jų vykdymui; (7) paskirti prieigos žurnalo saugotoją; (8) apmokyti saugumo komandą duomenų prieigos darbo eigos klausimais.

„CCTVplanner“ tiesiogiai sukuria (4) – įterpia kamerų pozicijas į grindų planą, užfiksuoja FOV kūgius, eksportuoja pažymėtą PDF su kiekvienos kameros proporcingumo testo anotacija ir prideda prie DPIA priedo. DPA recenzentas nuskaito tą patį artefaktą, kurį peržiūrėjote jūs.