Organizacijos pareiga informuoti apie perteklinį vaizdo stebėjimą
Europos Parlamento ir Tarybos Reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau - BDAR) 13 straipsnyje yra nustatyta, su kokia informacija duomenų gavimo metu turi būti supažindinamas duomenų subjektas, kai yra renkami jo asmens duomenys. Su šia informacija duomenų subjektas turi būti supažindinamas ir tais atvejais, kai asmens duomenys yra renkami atliekant vaizdo stebėjimą. Duomenų subjektas turi būti supažindinamas su šia informacija:
- duomenų valdytojo ir, jei taikoma, duomenų valdytojo atstovo tapatybė ir kontaktiniai duomenys;
- duomenų apsaugos pareigūno, jei taikoma, kontaktiniai duomenys;
- duomenų tvarkymo tikslai, dėl kurių ketinama tvarkyti asmens duomenis, taip pat duomenų tvarkymo teisinis pagrindas;
- jeigu duomenų tvarkymas atliekamas siekiant duomenų valdytojo ar trečiosios šalies interesų apsaugojimo, teisėti duomenų valdytojo ar trečiosios šalies interesai;
- ji yra, asmens duomenų gavėjai arba asmens duomenų gavėjų kategorijos;
- kai taikoma, apie asmens duomenų valdytojo ketinimą asmens duomenis perduoti į trečiąją valstybę arba tarptautinei organizacijai ir Komisijos sprendimo buvimą ar nebuvimą - tinkamos ir pritaikytos apsaugos priemonės ir būdai, kaip gauti jų kopiją arba kur suteikiama galimybė su jais susipažinti.
Tvarkant asmens duomenis, kai yra atliekamas vaizdo stebėjimas, pagal EDAV gaires 3/2019 dėl asmens duomenų tvarkymo naudojant vaizdo prietaisus (toliau - Gairės) minėta informacija gali būti pateikiama dviem būdais, t.y. pirmojo lygio informacija (įspėjimu ženklu) bei antrojo lygio informacija. Pirmiausia matomoje vietoje prieš patenkant į stebimą teritoriją turi būti pirmojo lygmens informacija (įspėjamasis ženklas), kuri informuoja apie vykdomą vaizdo stebėjimą, bei pateikia svarbiausią informaciją, pavyzdžiui, duomenų tvarkymo tikslus, duomenų valdytojo tapatybę, bei nurodoma, kur galima rasti antrojo lygmens informaciją.
Antrojo lygmens informacijoje nurodoma visa kita BDAR 13 straipsnio reikalaujama informacija.
Aptariamoje situacijoje Asociacija keturiomis vaizdo stebėjimo kameromis, kurios įrašo ir garsą, stebėjo gyvenamojo pastato patalpas. Dvi kameros buvo skirtos stebėti pastato laiptinę, viena kamera buvo naudojama stebėti pagrindinį įėjimą į pastatą, o dar viena kamera - paskirstymo dėžes. Asociacija nebuvo pateikusi informacijos pastato gyventojams apie atliekamą vaizdo stebėjimą. Dėl šios priežasties Švedijos Institucija nustatė pažeidimą.
Organizacijos pareiga periodiškai peržiūrėti atliekamo vaizdo stebėjimo būtinybę
BDAR 5 straipsnio 1 dalies b punktas nurodo, kad prieš pradedant rinkti duomenis, reikia nurodyti konkretų duomenų tvarkymo tikslą. Tuo atveju, kai yra remiamasi BDAR 6 straipsnio 1 dalies f punkte įtvirtintu teisėto intereso tikslu, teisėtas interesas turi būti pagrįstas, realus ir aktualus. EDAV Gairėse yra nustatyta, kad stebėjimo galima imtis tuomet, kai iš tikrųjų įvyksta nelaimė. Taip pat tose pačiose gairėse yra nurodoma ir tai, kad reikėtų periodiškai iš naujo įvertinti teisėto intereso buvimą bei būtinybę vykdyti stebėseną.
Nagrinėjamoje situacijoje viena iš vaizdo kamerų vaizdo stebėjimas kartu su garso įrašymu buvo vykdomas prie pagrindinio įėjimo į pastatą. Asociacija pateikė paaiškinimą, kad vaizdo kamera, kuri buvo naudojama stebėti pagrindinį įėjimą į pastatą, buvo siekiama užkirsti kelią vandalizmui. To buvo siekiama, kadangi 2018 metais du mėnesius buvo kilusios problemos dėl vandalizmo. Švedijos Institucija nurodė, kad atliekant vaizdo stebėjimą kyla pareiga periodiškai peržiūrėti atliekamo vaizdo stebėjimo būtinybę ir įvertinti, ar vaizdo stebėjimas yra vis dar būtinas. Toks Institucijos sprendimas iš esmės atitinka EDAV Gairėse numatytą reikalavimą periodiškai peržvelgti būtinumą vykdyti vaizdo stebėjimą.
Kas turi būti įvertinta norint įrašyti garsą atliekant vaizdo stebėjimą?
Pagal BDAR 35 straipsnio 1 dalį reikalaujama, kad duomenų valdytojai atliktų poveikio duomenų apsaugai vertinimą (toliau - PDAV), jeigu, atsižvelgiant į duomenų tvarkymo rūšį, tikėtina, kad duomenų tvarkymas kels didelę riziką fizinių asmenų teisėms ir laisvėms. Taip pat BDAR 35 straipsnio 4 dalyje yra nustatytas reikalavimas kiekvienai priežiūros institucijai skelbti apie tas duomenų tvarkymo operacijų rūšis, dėl kurių atitinkamoje šalyje privaloma atlikti PDAV. Lietuvoje Valstybinės duomenų apsaugos institucijos (toliau - VDAI) direktorius yra priėmęs įsakymą dėl duomenų tvarkymo operacijų, kurioms taikomas reikalavimas atlikti poveikio duomenų apsaugai vertinimą, sąrašo patvirtinimo (toliau - Įsakymas). Šiame Įsakyme yra nustatyta, kad yra būtina atlikti PDAV tais atvejais, kai vaizdo stebėjimas yra vykdomas kartu su garso įrašymu.
Atsakomybė už reikalavimų neįgyvendinimą
Institucija Asociacijai nurodė sustabdyti atliekamą vaizdo stebėjimą laiptinėje bei prie prie pagrindinio įėjimo į pastatą ir nutraukti garso įrašymą prie paskirstymo dėžių. Asociacijai buvo paskirta 20 000 Švedijos kronų (apie 2 000 EUR) dydžio bauda. Nustatant skiriamos baudos dydį buvo atsižvelgta į faktą, kad tai yra gana nedidelė Asociacija.
Pagal BDAR 83 straipsnio 5 dalį tais atvejais, kai yra pažeidžiamos duomenų subjekto teisės pagal 12-22 straipsnius, skiriamos baudos iki 20 000 000 EUR arba, įmonės atveju - iki 4 % jos ankstesnių finansinių metų bendros metinės pasaulinės apyvartos, atsižvelgiant į tai, kuri suma yra didesnė. Pareiga informuoti duomenų subjektą apie asmens duomenų rinkimą (šiuo atveju, vaizdo kamerų naudojimą), yra numatyta BDAR 13 straipsnyje, todėl gali būti skiriama admistracinė atsakomybė, numatyta BDAR 83 straipsnio 5 dalyje.
.
| Short Description | Klientų teisinis konsultavimas | hide |
|---|
| Doctype | it-process | hide |
|---|
| Name | Konsultavimas | hide |
|---|
| Short Name | The shortened name of the document to be unique within the doctype's defined context. | hide |
|---|
| Parent | | hide |
|---|
| Audience | | hide |
|---|
| Sritis | | hide |
|---|
| Categories | | hide |
|---|
| Tags | | hide |
|---|
| Flags | Flags are like tags, but are not documented. For teams that require each tag to have a tag document, flags do not define such a demand. | hide |
|---|
| Iteration | | hide |
|---|
| Susijusios paslaugos | Allaw® duomenų apsaugos pareigūnas | hide |
|---|
| Type | | hide |
|---|
| Lifecycle Phase | | hide |
|---|
| Participants | | hide |
|---|
| Triggered by | | hide |
|---|
| Susijusi informacija | | hide |
|---|
| Pateikti užklausą | Priemonė PDAV (poveikio duomenų apsaugai vertinimui) atlikti | hide |
|---|
| Outcome List | | hide |
|---|
| Impact List | | hide |
|---|
| Sort Key | Add a character sequence to support sorting documents. | hide |
|---|
|
Nuorodos
