CCTV monitorovanie na pracovisku podľa GDPR / RODO / DSGVO

Sedem povinností CCTV na pracovisku podľa GDPR

1. Právny základ. Článok 6(1)(f) legitímny záujem je jedinou realistickou možnosťou : súhlas zlyhá, pretože zamestnanci nemôžu slobodne odmietať, a Článok 6(1)(b) (výkon zmluvy) je príliš úzky. Test vyvažovania legitímneho záujmu musí byť dokumentovaný a ročne preskúmaný.
2. DPIA (Článok 35). CCTV na pracovisku je "systematické monitorovanie vo veľkom rozsahu" a spúšťa povinný Posudok vplyvu na ochranu osobných údajov v každej jurisdikcii EÚ. DPIA dokumentuje účel, test proporcionality, zvažované alternatívy (a prečo boli zamietnuté) a opatrenia prijaté na minimalizáciu vplyvu.
3. Transparentnosť (Články 13:14). Každý zamestnanec musí byť informovaný pred nasadením, čo sa zaznamenáva, kde, prečo, kým, ako dlho a ako si uplatnit svojich práva. Oznámenie o ochrane osobných údajov v príručke personálu plus označenie na obvode to postačuje.
4. Uchovávanie. Minimálne nevyhnutné, zvyčajne 7:30 dní. Väčšina DPA považuje 30 dní za mäkký štandard; dlhšie trvanie vyžaduje špecifické odôvodnenie.
5. Viditeľné označenie. Piktogram + názov správcu + kontakt + právny základ + doba uchovávania + kontakt DPO. Umiestnite na každom vstupnom bode a na každom poschodí viacposchodových nasadení.
6. Prístup subjektu. Akýkoľvek zamestnanec si môže požiadať kópiu záznamu, v ktorom sa objavuje. Platí 30-dňové obdobie na odpoveď.
7. Minimalizácia. FOV kamery musí byť čo najužší, ktorý dosiahne bezpečnostný účel. Kamery nasmerované na pracovné dosky, do vyhradených odpočívadiel alebo pokrývajúce väčší verejný priestor, ako si vyžaduje bezpečnostný cieľ, zlyhajú v tomto teste predvolene.

Doplnky špecifické pre jednotlivé krajiny

Nemecko (DSGVO + BDSG + BetrVG). Spolurozhodovanie podľa BetrVG §87(1)(6) je povinné pre akúkoľvek technológiu monitorovania zamestnancov vrátane CCTV. Zamestnávateľ nemôže systém inštalovať, rozširovať ani upravovať bez súhlasu podnikovej rady. Úrady ochrany osobných údajov na úrovni krajín (16 Länder) pravidelne pokutujú za nekonzultáciu. BDSG §26 stanovuje prísnejšie predvolené doby uchovávania ako všeobecné GDPR. 72 hodín je zvyčajný strop.

Poľsko (RODO + Kodeks pracy). Článok 22² zákonníka práce umožňuje CCTV na pracovisku, ale iba na zabezpečenie bezpečnosti, ochranu majetku, monitorovanie výroby alebo zachovanie dôvernosti. Nasadenie musí byť upravené v pracovnom poriadku (regulamin pracy) a oznámené zamestnancom najmenej 14 dní pred aktiváciou. UODO je čoraz aktívnejšia : pokuty za nedostatočné označenie a neopodstatnené uchovávanie sú časté.

Francúzsko (smernice CNIL + Code du travail). Konzultácia s pracovnou radou podľa článku L2312-38 je povinná. CNIL vydala záväzné pokyny obmedzujúce uchovávania na 30 dní bez špecifických incidentov. Kamery nesmú nepretržite filmovať pracovné stanice zamestnancov a musia úplne vyhýbať sa spoločenským miestnostiam. Pokuty CNIL za porušenie v oblasti CCTV v pracovnom prostredí sa pohybujú od 1 000 do 600 000 EUR a viac.

Taliansko (Garante + Statuto dei Lavoratori Článok 4). Jeden z najprísnejších režimov. Článok 4 zákonníka práce zakazuje inštaláciu sledovacieho zariadenia na priame monitorovanie zamestnancov a vyžaduje kolektívnu dohodu (s radou pracovníkov alebo v prípade jej neexistencie povolenie regionálnej inšpekcie práce) pred nasadením akéhokoľvek systému, ktorý náhodne zachytáva činnosť zamestnancov.

Spojené kráľovstvo (UK GDPR + Data Protection Act 2018 + ICO Employment Practices Code). Konzultácia s radou pracovníkov sa odporúča, ale nie je povinná. Kodex pracovných postupov ICO sa považuje za autoritatívne vedenie a DPA vymáhanie sa naň často odvoláva. Predvolené uchovávanie je 30 dní; dlhšie trvanie vyžaduje zdokumentovaný incident.

Bežné zlyhaniam v súlade s predpismi (a čo ich stoja)

• Kamery v toaletách, šatniach alebo odpočívadlách : automatické pokuty v šesťcifernej výške na celej EÚ.
• Neobmedzené alebo 90 a viac dní uchovávania bez dokumentovaného odôvodnenia : časté pokuty v nižšej päťcifernej výške.
• Bez označenia alebo označenia iba v jednom jazyku na viacjazykových pracoviskách : typicky 5 000 : 25 000 €.
• Bez DPIA na spise : čoraz viac sa považuje za zhoršujúcu okolnosť, ktorá násobí základnú pokutu.
• Bez konzultácie s radou pracovníkov v DE / FR / IT : celé nasadenie môže byť zrušené spätne.
• Live stream prístupný manažérom bez záznamu o prístupe : porušuje princípy minimalizácie a accountability.
• Zachytávanie zvuku bez samostatného odôvodnenia : zvuk pracovných rozhovorov sa považuje za prísnejší ako video.

Kontrolný zoznam pred nasadením, ktorý obstojí

Pred ťahaním prvého kábľa: (1) vypracovať DPIA pokrývajúcu účel, proporčnosť, alternatívy, minimalizáciu FOV a dobu uchovávania; (2) aktualizovať oznámenie o ochrane údajov a príručku zamestnancov o novom spracovaní; (3) konzultovať sa so správou podniku alebo odborom, ak je to relevantné, a získať písomný súhlas; (4) navrhnúť mapu FOV s presným pokrytím s anotovanou skúškou proporčnosti na kameru; (5) vytvoriť značení v každom jazyku používanom na pracovisku; (6) definovať pravidlá uchovávania a technickú kontrolu, ktorá ich vynucuje; (7) určiť správcu protokolu prístupu; (8) školiť bezpečnostný tím na pracovný postup prístupu subjektu.

CCTVplanner produkuje (4) priamo : umiestnite pozície kamier na pôdorys, uzamknite kužele FOV, exportujte označený PDF s anotáciou testu proporčnosti na kameru a pripojte k prílohe DPIA. Recenzent DPA číta rovnaký dokument, ktorý ste si prehliadli.