Видеонаблюдение и GDPR (Регламент ЕС 2016/679): какво трябва да знае всеки управител

В АЙТИСЪРВИС 2009 ЕООД монтираме и поддържаме системи за видеонаблюдение почти всеки ден и много често чуваме един и същи въпрос от собственици на фирми: „Може ли изобщо да сложа камери при мен и няма ли после да имам проблеми?“ Отговорът почти винаги опира до едно нещо — прословутия Регламент (ЕС) 2016/679, който всички познават като GDPR. Затова решихме да го обясним просто и без сложни думи: какво е добре да знае всеки управител, преди да реши да сложи камери във фирмата — особено ако има и служители.

Какво всъщност е GDPR

GDPR е европейски регламент, който казва как може да се събират и пазят лични данни на хората. Действа от 25 май 2018 г. в цяла Европа, а у нас върви заедно със Закона за защита на личните данни (ЗЗЛД). Който следи дали правилата се спазват, е Комисията за защита на личните данни (КЗЛД) — и именно там стигат жалбите, ако някой сметне, че е засегнат.

А какво общо има това с камерите? Лицето на човек също попада в графата „лични данни“. Щом камерата заснеме разпознаваемо лице, фирмата вече обработва лични данни — значи попада под GDPR. Или казано простичко: видеонаблюдението не е само техника, то си има и правила, които трябва да се спазват.

Преди монтажа: управителят отговаря за всичко

Първото нещо, което е добре да се разбере, е, че управителят е този, който отговаря за камерите. Той решава защо и как ще се наблюдава и той носи отговорността, ако нещо не е наред. Затова, преди да се обади за монтаж, е добре да е наясно с няколко неща.

1. Къде може и къде не бива да има камери

Камери се слагат там, където има работа — в цеха, в магазина, в склада, на рампата за товарене на камиони и бусове, на входа, при касата, на паркинга. И управителят има пълното право да ги сложи, за да:

• пази имуществото си от кражби;
• наглежда стоката и техниката във фирмата;
• има с какво да докаже, ако стане инцидент по време на работа — злополука, щета или спор.

Но има и места, на които камери просто не се слагат, защото там човек има право да е сам:

• тоалетни и умивални;
• съблекални и бани;
• стаите, където хората почиват и се хранят;
• места, сложени само за да се следи някой конкретен служител.

И още нещо важно — камерите трябва да покриват точно колкото е нужно, не повече. Ако една камера пази рампата, няма смисъл да се насочват още три към хората „за всеки случай“. Това вече минава границата.

2. Записите не се пазят вечно

Записите не бива да стоят по-дълго, отколкото е нужно. У нас установената практика е до 30 дни — след това старото се презаписва от само себе си. По-дълго се пази само по изключение: например ако някой конкретен запис трябва да послужи за доказателство при проверка или дело. Тогава се пази точно този запис, а не целият архив за месеци назад.

3. Звук — само ако служителите изрично се съгласят

Тук се получава една от най-честите грешки. Картина и видео — да, за целите на охраната е нормално. Звук обаче — не. Записването на разговори е много по-голяма намеса в личното и е разрешено единствено ако служителите изрично са дали съгласие. Ако камерите записват и звук, а такова съгласие няма — това вече е нарушение. Затова при нормалните охранителни инсталации звукът стои изключен, освен ако няма конкретна причина и писмено съгласие за обратното.

4. Служителите се уведомяват, а не питат за съгласие

Ето го момента, който бърка най-много хора. След като сложи камерите, управителят няма нужда да кара служителите да се подписват, че са „съгласни“. И причината е проста — основанието за камерите е законният интерес на фирмата да пази себе си и имуществото си, а не дали служителят е съгласен или не.

Това обаче не значи, че няма никакъв ангажимент. Управителят е длъжен да уведоми служителите официално, с документ. Разликата е малка на думи, но голяма по същество:

На практика в уведомлението пише кой стои зад камерите (фирмата), защо са сложени, къде има наблюдение, колко се пазят записите, кой може да ги гледа и какви права има самият служител. Най-удобно е това да е част от вътрешните правила и да се дава на всеки, който постъпва на работа.

Още няколко неща, които често се забравят

Освен големите правила, има и няколко дребни на пръв поглед неща, които обаче са важни:

• Табелка на входа. На всеки вход, откъдето започва наблюдението, се слага видима табела „Обект под видеонаблюдение“ с базова информация и контакт. Човекът трябва да разбере, че го снимат, преди да е влязъл, а не след това.
• До записите — само определени хора. Архивът се гледа от тесен кръг (управителят, отговорникът по сигурността), а не от всеки, който мине покрай монитора. И най-вече — записи не се пускат в групи и социални мрежи.
• Камерите да са защитени. Рекордерът и камерите се заключват със сериозна парола, не с фабричната, а достъпът отвън се ограничава. Това е и най-честият пропуск, който хващаме на терен — DVR/NVR с паролата по подразбиране, вързан директно към интернет. Все едно да заключиш вратата, а ключа да оставиш в бравата.
• Гледаме своето, не чуждото. Камерите не бива да „зяпат“ съседния двор, тротоара или улицата. Обхватът се ограничава до собствения обект.
• Хората имат права. Всеки заснет — служител, клиент или посетител — може да попита дали е записан и да поиска достъп до кадрите, които го засягат, в рамките на закона.
• Записи се дават само на институции. Ако полиция, съд или прокуратура поискат запис по законен ред — да. На произволни трети лица — не.
• За по-големи обекти — малко повече документи. При по-мащабно наблюдение фирмата описва обработването в регистър, а понякога прави и т.нар. оценка на въздействието (DPIA).

Накратко, за да го запомните лесно: камери — само там, където се работи и наистина има нужда; без звук (освен с изрично съгласие); записи — до 30 дни; служителите се уведомяват, не се питат за съгласие; и всичко това — заключено с парола и описано на хартия.

Как гледаме на нещата в АЙТИСЪРВИС

За нас видеонаблюдението не е просто кабели, камери и един рекордер в ъгъла. То трябва да върши работа и да е изрядно пред закона. Затова при всеки обект:

• казваме на клиента къде има смисъл да сложим камери и къде по-добре да не пипаме;
• настройваме съхранението в разумните рамки (до 30 дни);
• оставяме звука изключен, освен ако няма ясна причина и съгласие;
• заключваме системата както трябва — сериозни пароли, ограничен достъп отвън, обновен софтуер;
• помагаме и с документите и табелите, за да е фирмата спокойна.

Спазването на Регламент (ЕС) 2016/679 за нас не е излишна формалност, а част от работата, която вършим коректно. Защото хубавата система за сигурност е тази, която пази бизнеса ви — без да ви вкарва в неприятности.

Мислите за видеонаблюдение във фирмата или искате някой да погледне дали сегашната ви система е наред? Обадете се на екипа на АЙТИСЪРВИС — ще ви посъветваме честно и ще направим нещо, което е сигурно и изрядно.

Забележка: Статията е с образователна цел и описва добрите практики към момента на публикуване. Тя не замества консултация с юрист. За конкретен казус се обърнете към специалист по защита на личните данни или към КЗЛД.