Государственная инспекция данных признала, что установка аппаратуры видеонаблюдения на рабочем месте с записью звука, если только нормативные акты непосредственно не допускают её использования, неправомерна. В этой статье – о видеонаблюдении с точки зрения требований Всеобщей регулы защиты данных.1
Правовое основание обработки данных
В современной динамичной среде технологии развиваются очень стремительно, на рынке появляются новые устройства с безукоризненным разрешением видеозаписи, качеством звука и возможностью хранить видеозаписи с видеонаблюдения, неограниченное время.
Однако перед приобретением устройств следует убедиться, не существует ли для работодателя обязанностей и запретов, которые необходимо учитывать перед началом видеонаблюдения. Видеонаблюдение должно осуществляться на законном основании и в соответствии с заранее определенными целями, которые работодатель намерен достичь. Особое внимание должно быть уделено соразмерности проводимого видеонаблюдения с правами работников на частную жизнь. Размещения информационных сообщений о проведенном видеонаблюдении недостаточно, чтобы считать, что работодатель выполнил нормативные требования.
Чаще всего законным основанием обработки данных видеонаблюдения являются легитимные интересы предприятия (подпункт (f) части первой статьи 6 регулы), таким образом, предприятию следовало бы произвести балансировочный тест для этого процесса обработки данных.
Тем не менее, это не исключает каких-либо иных правовых основ для обработки данных, как указано в статье 6 регулы, таких как согласие субъекта данных на проведение видеонаблюдения. Например, согласие субъекта данных выражено, когда он входит в зону видеонаблюдения предприятия, при условии, что предприятие разместило уведомление (знаки, наклейки и т.п.) о том, что на территории проводится видеонаблюдение. Соответственно считается, что субъект данных осведомлен о видеонаблюдении на территории предприятия и дал согласие на такую обработку данных.
Рекомендуем правовое основание обработки данных видеонаблюдения описать во внутренних документах предприятия или в сообщении о конфиденциальности, опубликованном на домашней странице предприятия.
Цель видеонаблюдения
Видеонаблюдение разрешено при условии, что оно обеспечивает защиту жизни, здоровья и имущества человека, а также идентификацию лиц, причиняющих вред или убытки.
Однако следует учитывать, что записи устройств видеонаблюдения не разрешается использовать в других целях, например, чтобы контролировать количество и качество проведения работ, если работодатель об этом предварительно не предупредил и в распоряжении субъекта данных (работника, клиента и т.п.) нет информации о цели обработки таких данных.
На практике часто оказывается, что предприятия производят видеонаблюдение за работниками, чтобы обеспечить надзор за рабочим процессом и контроль качества работы. Такое видеонаблюдение не разрешено, поскольку оно, возможно, влияет на права человека на частную жизнь. Чтобы у такой обработки данных было правовое основание, предварительно следует произвести тщательную оценку.
Например, во Франции инспекция данных в июне этого года наложила штраф в размере 20 000 евро на небольшое предприятие, на котором работает всего девять работников, за проведение видеонаблюдения в кабинете, в котором находилось шесть офисных работников.
2
Так как Европа движется к унифицированному подходу к штрафам, при оценке нарушений защиты данных предприятиями Латвии, Государственная инспекция данных (ГИД) будет учитывать существующую практику применения штрафов учреждениями надзора.
Тест сбалансированности интересов
Если предприятие производит обработку персональных данных на основании легитимных интересов, например, автомашины, въезжающие на стоянку предприятия подсчитываются с помощью устройства видеонаблюдения, производится видеонаблюдение рабочих помещений, для каждого из конкретных процессов обработки данных следует провести тест сбалансированности интересов.
Если предприятие не произвело тест сбалансированности интересов, то существует риск,
что предприятие не приняло во внимание основные права субъектов данных и не сбалансировало их с другими основными правами согласно установленному регулой принципу пропорциональности. Производя проверку, ГИД может констатировать, что предприятие нарушает подпункт (f) части первой статьи 6 регулы, и применить штраф.
В основе теста сбалансированности интересов лежит необходимость констатировать, что обработка данных производится, соблюдая минимизацию данных или пропорциональность, и что права субъекта данных перевешивают интересы предприятия или третьих лиц.
Рекомендуем предприятиям разработать внутренние процедуры, в которых будут установлены порядок проведения теста сбалансированности и бланки, которые надо заполнять о любом процессе обработки данных, если в его основе – легитимные интересы предприятия. В результате этого персональные данные будут обрабатываться для достижения необходимой цели и будут адекватно введены средства защиты в случае проверки ГИД.
К разработке и проведению процедур теста сбалансированности рекомендуем привлечь специалистов по защите данных.
(окончание в следующих Кратких сообщениях)
____________________________________
1 Регула Европарламента и Совета (ES) 2016/679 (от 27 апреля 2016 года) о защите физических лиц в отношении обработки личных данных и свободном обороте этих данных и которой отменяется Директива 95/46/EK (Всеобщая регула защиты данных)
2 Более подробная информация здесь: https://iapp.org/news/a/cnil-fines-company-20k-euros-for-illicit-employee-surveillance/
