Un sistem CCTV poate susține securitatea unui obiectiv, dar imaginile persoanelor identificabile sunt date cu caracter personal. Conformitatea nu se rezolvă doar prin afișarea unei pictograme: operatorul trebuie să poată demonstra de ce supravegherea este necesară, ce zone sunt filmate, cât timp sunt păstrate datele și cine le poate utiliza.
Ideile principale
Definește scopul și temeiul înaintea instalării camerelor.
Limitează cadrul, funcțiile și durata de stocare la ceea ce este necesar.
Informează persoanele înainte ca acestea să intre în zona supravegheată.
Controlează, jurnalizează și revizuiește accesul la imagini și exporturi.
Documentează scopul, necesitatea și proporționalitatea
Descrie concret problema pe care sistemul trebuie să o rezolve: protejarea unei intrări, investigarea incidentelor într-o zonă de manipulare sau descurajarea accesului neautorizat. Formulări precum «pentru siguranță» sunt prea generale dacă nu sunt legate de riscuri și zone determinate.
Stabilește temeiul juridic aplicabil și verifică dacă scopul poate fi atins printr-o măsură mai puțin intruzivă. Pentru interesul legitim, documentează interesul real, necesitatea și balanța față de drepturile persoanelor. Evaluează din timp dacă amploarea, tehnologia sau contextul impun o evaluare de impact asupra protecției datelor.
- scopul fiecărei camere sau categorii de camere
- riscul concret și dovezile care îl susțin
- alternativele analizate și motivul respingerii lor
- persoanele afectate și măsurile care reduc intruziunea
Minimizează cadrul și funcțiile active
Filmează doar suprafața necesară și evită proprietățile vecine, spațiile fără legătură cu scopul sau zonele în care persoanele au așteptări ridicate de intimitate. Folosește unghiuri, măști de confidențialitate și poziționări care păstrează detaliul util fără a extinde inutil supravegherea.
Nu activa automat înregistrarea audio, analiza comportamentală, recunoașterea facială sau alte funcții disponibile în echipament. Fiecare funcție adaugă o prelucrare distinctă și poate schimba substanțial riscul, temeiul și obligațiile operatorului.
Informează înainte de intrarea în zona supravegheată
Avertizarea trebuie să fie vizibilă înainte ca persoana să intre în câmpul camerelor. Primul nivel de informare indică existența supravegherii, identitatea operatorului, scopul principal și modul în care poate fi consultată informarea completă.
Informarea detaliată trebuie să explice temeiul, categoriile de destinatari, durata sau criteriile de retenție, drepturile persoanelor, datele de contact relevante și eventualele transferuri. Verifică periodic dacă textul public corespunde configurației și furnizorilor utilizați în realitate.
Stabilește retenția după scop, nu după capacitatea discului
Păstrează imaginile numai atât timp cât sunt necesare scopului documentat și configurează ștergerea automată. O capacitate mai mare de stocare nu justifică o perioadă mai lungă. Dacă un incident trebuie investigat, secvența relevantă poate fi extrasă și păstrată separat, cu motiv, acces și termen documentate.
Nu există o durată universală de 30 de zile pentru orice sistem CCTV. În contextul monitorizării angajaților întemeiate pe interes legitim, Legea nr. 190/2018 impune condiții specifice și prevede, ca regulă, o durată de cel mult 30 de zile, cu excepțiile stabilite de lege sau temeinic justificate. Pentru alte contexte, perioada trebuie analizată și justificată separat.
Controlează accesul, exportul și furnizorii
Acordă acces nominal numai persoanelor care au nevoie de imagini pentru atribuțiile stabilite. Folosește conturi individuale, autentificare adecvată, jurnalizare, revizuirea periodică a drepturilor și retragerea imediată a accesului când rolul se schimbă.
Definește o procedură pentru vizualizare, export, solicitările persoanelor vizate și divulgarea către terți. Înaintea furnizării unei secvențe, verifică identitatea, justificarea, persoanele surprinse și necesitatea mascării imaginilor care privesc alte persoane.
Clarifică rolul instalatorului, al companiei de mentenanță, al dispeceratului și al furnizorilor cloud. Contractele, accesul la distanță, locația datelor, copiile de siguranță și intervențiile tehnice trebuie aliniate cu responsabilitățile operatorului și cu măsurile de securitate stabilite.
Tratează separat supravegherea la locul de muncă
Monitorizarea angajaților necesită o analiză distinctă. Legea nr. 190/2018 cere, pentru utilizarea interesului legitim în acest context, justificarea temeinică, informarea prealabilă completă și explicită, consultarea sindicatului sau a reprezentanților angajaților și demonstrarea faptului că alternativele mai puțin intruzive nu au fost eficiente.
Camerele nu trebuie reutilizate informal pentru evaluarea productivității, disciplină sau alte scopuri incompatibile cu motivul declarat. Revizuiește periodic necesitatea sistemului, incidentele, accesările și configurația, folosind Ghidul EDPB nr. 3/2019 și recomandările autorității naționale ca repere de conformitate.