17 Απλοί Κανόνες για την Νόμιμη Εγκατάσταση Συστημάτων Βίντεο-Επιτήρησης!

Ένα πολύ χρήσιμο άρθρο της Μαγδαληνής Σκόνδρα – Δικηγόρος, CIPP/E – που παρέχει με απόλυτα κατανοητό τρόπο, απλοποιημένες επεξηγήσεις και οδηγίες για την νόμιμη εγκατάσταση συστημάτων βίντεο-επιτήρησης, που όπως  επισημαίνει δεν αφορούν την χρήση καμερών εντός κατοικιών ή ιδιωτικών χώρων, αλλά αποκλειστικά σε επιχειρήσεις, οργανισμούς, ιδιωτικούς ή δημόσιους φορείς ή δημόσια προσβάσιμους χώρους. Επίσης, δεν αφορούν τη χρήση συστημάτων βιντεοεπιτήρησης από τις αρμόδιες αρχές στον τομέα της πρόληψης, διερεύνησης, ανίχνευσης ή δίωξης ποινικών αδικημάτων.

πηγή: www.gdprgroup.gr

Είναι βέβαιο ότι όλοι μας επισκεπτόμαστε καθημερινά καταστήματα, γραφεία, εμπορικά κέντρα κλπ, που έχουν συστήματα βιντεοεπιτήρησης με κάμερες. Και αν αυτό πριν κάποια χρόνια μας ξένιζε, σήμερα πια μάλλον το έχουμε αποδεχτεί. Είναι όμως σύμφωνο με το νόμο και αν ναι υπό ποιες προϋποθέσεις;

Η παρακολούθηση μέσω συστημάτων βιντεοεπιτήρησης, είτε με καταγραφή σε βίντεο, είτε και με απλή παρακολούθηση σε ζωντανό χρόνο, αποτελεί, κατά το νόμο, επεξεργασία προσωπικών δεδομένων, αφού τα συστήματα αυτά συλλέγουν εικόνες προσώπων που μπορούν να ταυτοποιηθούν. Κατ’ αποτέλεσμα, ισχύει όλη η σχετική νομοθεσία για την προστασία προσωπικών δεδομένων.

Η ελληνική Αρχή Προστασίας Προσωπικών Δεδομένων (ΑΠΔΠΧ) έχει εκδώσει από το 2011 την Οδηγία 1/2011 που ρυθμίζει με λεπτομέρεια τις περιπτώσεις που είναι επιτρεπτή (ή ανεπίτρεπτη) η λειτουργία τέτοιων συστημάτων, ανά τομέα επιχείρησης. Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (ΕΣΠΔ) έχει επίσης εκδώσει  τις υπ΄ αριθ. 3/19 Κατευθυντήριες Γραμμές σχετικά με το ζήτημα.

Σκοπός του παρόντος άρθρου δεν είναι η επανάληψη της Οδηγίας της ΑΠΔΠΧ ή των Κατευθυντήριων Γραμμών του ΕΣΠΔ, αλλά η παροχή ορισμένων βασικών  απλοποιημένων  επεξηγήσεων για την πρακτική εφαρμογή τους.

Τα παρακάτω δεν αφορούν την χρήση καμερών εντός κατοικιών ή ιδιωτικών χώρων, αλλά αποκλειστικά σε επιχειρήσεις, οργανισμούς, ιδιωτικούς ή δημόσιους φορείς ή δημόσια προσβάσιμους χώρους. Επίσης, δεν αφορούν τη χρήση συστημάτων βιντεοεπιτήρησης από τις αρμόδιες αρχές στον τομέα της πρόληψης, διερεύνησης, ανίχνευσης ή δίωξης ποινικών αδικημάτων.

Χρειάζομαι άδεια για να τοποθετήσω κάμερες στις εγκαταστάσεις μου;

Έως τις 25-5-2018, για να εγκαταστήσει κανείς σύστημα βιντεοεπιτήρησης έπρεπε να έχει γνωστοποιήσει στην Αρχή Προστασίας Δεδομένων συγκεκριμένο έντυπο με πλήρη περιγραφή του. Από τις 25-5-2018 τέθηκε σε εφαρμογή ο Ευρωπαϊκός Γενικός Κανονισμός Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (GDPR), ο οποίος κατάργησε τις γνωστοποιήσεις και τις άδειες που εξέδιδε η Αρχή, πλην όμως απαιτεί από τους υπεύθυνους επεξεργασίας (επιχειρήσεις ή φορείς) να αυτοελέγχονται και να είναι σε θέση να αποδεικνύουν τεκμηριωμένα σε κάθε έλεγχο που θα τους γίνει, ότι είναι σύννομοι.

Ποιοι κανόνες ισχύουν για την τοποθέτηση καμερών;

Σε γενικές γραμμές οι κανόνες που πρέπει να ακολουθεί κάθε επιχείρηση, οργανισμός, φορέας, ανεξαρτήτως της μορφής του (εμπορικός, κοινωφελής, ιδιωτικός, δημόσιος κλπ) συνοψίζονται στους εξής:

1. Πριν αποφασίσουμε την εγκατάσταση συστήματος βιντεοεπιτήρησης θα πρέπει να απαντήσουμε θετικά στα ερωτήματα: είναι απόλυτα αναγκαίο για το σκοπό που το προορίζουμε; Δεν υπάρχει άλλος ηπιότερος τρόπος να πετύχουμε το σκοπό που θέλουμε (πχ με φυσική παρακολούθηση, με ενίσχυση μέτρων ασφαλείας όπως καλύτερο φωτισμό, κάγκελα, καλύτερη κλειδαριά κλπ);
2. Εάν η απάντηση στα παραπάνω ερωτήματα είναι θετική, θα πρέπει να εξετάσουμε τα σημεία στα οποία θα τοποθετηθούν οι κάμερες. Αυτονόητα, δεν θα πρέπει να υπάρχουν σε χώρους αυστηρά ιδιωτικούς (πχ τουαλέτες, αποδυτήρια, εξεταστήρια, λουτρά κλπ), αλλά ούτε και σε χώρους που δεν κρύβουν κάποια πηγή σοβαρού κινδύνου (πχ σαλόνια εστιατορίων, καφέ, ιατρείων, κλπ). Αντιθέτως, είναι περισσότερο εύλογο να τοποθετήσουμε κάμερα πάνω από το ταμείο του καταστήματος, μέσα σε αποθήκη εμπορευμάτων, στην είσοδο του χώρου για έλεγχο της πρόσβασης κ.α.
3. Η επιλογή των σημείων θα πρέπει να γίνει κατά τρόπο που να μην καταγράφει συνεχώς εργαζόμενους (πχ πάνω από γραφεία εργαζομένων ή πάγκους εργασίας), ή άλλα άτομα (πχ πελάτες, επισκέπτες κλπ). Όπως κάθε άλλη επεξεργασία δεδομένων, και η βιντεοεπιτήρηση θα πρέπει να σέβεται την ιδιωτικότητα των ατόμων και γνώμονάς μας κατά τη λήψη των αποφάσεων αυτών, θα πρέπει να είναι οι εύλογες προσδοκίες τους: εμείς θα ενοχλούμασταν στη θέση τους; Θα περιμέναμε ότι στο συγκεκριμένο χώρο οι κινήσεις μας καταγράφονται ή παρακολουθούνται; Μήπως η παρακολούθηση αυτή έχει δυσάρεστες συνέπειες γι’ αυτούς;
4. Είναι δυνατόν να τοποθετηθούν κάμερες σε σημεία όπου υπάρχουν εγκαταστάσεις υψηλής ασφαλείας (πχ χρηματοκιβώτια) ή επικίνδυνα μηχανήματα, εφόσον εξυπηρετούν το σκοπό της άμεσης επέμβασης σε περίπτωση ατυχήματος.
5. Η καταγραφή ήχου είναι σχεδόν απόλυτα απαγορευμένη, πλην ελαχίστων εξαιρέσεων όπως πχ η σε ζωντανό χρόνο παρακολούθηση αιθουσών νοσοκομείων ή σταθμών όπου φιλοξενούνται βρέφη,  με σκοπό την άμεση επέμβαση σε περίπτωση ανάγκης.
6. Η επιλογή των συσκευών που θα συναποτελέσουν το σύστημα βιντεοεπιτήρησης, αλλά και των συνδέσεων των συσκευών θα πρέπει να γίνει με γνώμονα την ασφάλεια των δεδομένων: το σύστημα θα πρέπει να υποστηρίζει κρυπτογραφημένη επικοινωνία των συσκευών για τη μετάδοση των δεδομένων, αλλά και για την αποθήκευσή τους, πρόσβαση μόνο με ασφαλή κωδικό, κλείδωμα της πρόσβασης σε περίπτωση πληκτρολόγησης εσφαλμένου κωδικού πάνω από ένα μικρό όριο προσπαθειών κ.α.
7. Εάν πρόκειται στο υλικό του συστήματος να έχει πρόσβαση τρίτος εκτός του υπευθύνου της επεξεργασίας (πχ εταιρία φύλαξης κλπ), θα πρέπει αυτός να δεσμευτεί εγγράφως για την προστασία των δεδομένων: σε περίπτωση παραβίασης από τον τρίτο, ο υπεύθυνος επεξεργασίας θα φέρει και ο ίδιος ευθύνη, με συνεπακόλουθο την πιθανότητα επιβολής σε βάρος του προστίμων ή αξιώσεων αποζημίωσης.
8. Εφόσον γίνεται καταγραφή των δεδομένων σε καταγραφικό μηχάνημα, η διάρκεια διατήρησης τους θα πρέπει να είναι εξαιρετικά μικρή: ιδανικά να μην ξεπερνά τη μία εργάσιμη ημέρα, καθώς σε περίπτωση καταγραφής συμβάντος, θα το έχουμε αντιληφθεί ήδη την επομένη. Εάν καταγραφεί συμβάν, απομονώνουμε τα συγκεκριμένα στιγμιότυπα σε χωριστό μέσο αποθήκευσης και διαγράφουμε τα υπόλοιπα.
9. το σύστημα βιντεοεπιτήρησης πρέπει να φυλάσσεται με ασφάλεια ώστε να μην μπορεί να υπάρξει μη εξουσιοδοτημένη πρόσβαση, αλλοίωση, διαγραφή των δεδομένων ή κλοπή του καταγραφικού μηχανήματος.
10. Τυχόν οθόνες παρακολούθησης θα πρέπει να τοποθετούνται κατά τρόπο που να τις βλέπει μόνο όποιος είναι αρμόδιος για αυτό.
11. Το σύστημα βιντεοεπιτήρησης θα πρέπει να συντηρείται τακτικά και να ελέγχεται για την σωστή λειτουργία του.
12. Θα πρέπει να ετοιμάσουμε ενημερωτικές πινακίδες που θα τοποθετηθούν πριν από το σημείο έναρξης της εμβέλειας του συστήματος. Οι πινακίδες θα πρέπει να περιέχουν συνοπτικές πληροφορίες για το όνομα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας, το σκοπό του συστήματος, τη διάρκεια διατήρησης των δεδομένων καταγραφής, τυχόν διαβίβασή τους σε τρίτους και τα δικαιώματα των ατόμων. Σε δεύτερο επίπεδο, θα πρέπει να είμαστε έτοιμοι να παρέχουμε πληρέστερη γραπτή ενημέρωση μέσω εντύπου ή δημοσίευσης στην ιστοσελίδα μας, που να περιλαμβάνει περισσότερες πληροφορίες (τρόπους άσκησης δικαιωμάτων, νομική βάση της επεξεργασίας, λεπτομέρειες για τους αποδέκτες των δεδομένων κλπ). Δεν είναι απαραίτητο να περιγράψουμε όλο το σύστημα ή να αποκαλύψουμε τα ακριβή σημεία  των καμερών, σε κάθε περίπτωση όμως, θα πρέπει να είναι ξεκάθαρο ποιοι χώροι παρακολουθούνται.
13. Εάν έχουμε προσωπικό, θα πρέπει να το ενημερώσουμε εγγράφως σχετικά με το σύστημα της βιντεοεπιτήρησης. Δεν είναι επιτρεπτή η χρήση του συστήματος βιντεοεπιτήρησης για την αξιολόγηση της αποδοτικότητας και της συμπεριφοράς των εργαζομένων.
14. Δεν επιτρέπεται να χρησιμοποιήσουμε τεχνολογία αναγνώρισης προσώπου, εκτός αν συντρέχουν σημαντικοί ειδικοί λόγοι και προϋποθέσεις και μόνο μετά από τεχνική και νομική μελέτη τεκμηρίωσης.
15. Σε κάθε περίπτωση εάν το σύστημά μας τοποθετείται σε χώρο στον οποίο μπορεί να έχει πρόσβαση οποιοσδήποτε (δημόσια προσβάσιμος χώρος) και εφόσον συμπεριλαμβάνονται και ευάλωτες κατηγορίες όπως εργαζόμενοι, θα πρέπει να εκπονήσουμε μία μελέτη εκτίμησης αντικτύπου στην προστασία προσωπικών δεδομένων, η οποία θα τεκμηριώνει την αναγκαιότητα και αναλογικότητα της λειτουργίας του συστήματος, καθώς και τα μέτρα που έχουν ληφθεί για την μείωση των κινδύνων και των συνεπειών στην προστασία των δεδομένων.
16. Δεν επιτρέπεται να διαβιβάζουμε το υλικό της καταγραφής σε οποιονδήποτε τρίτο, είτε μέσω δημοσίευσης στο διαδίκτυο, είτε με αποστολή του με ηλεκτρονικό μήνυμα, είτε και με υλικό μέσο αποθήκευσης. Μόνη εξαίρεση αποτελούν οι αρμόδιες αρχές, αφού όμως μας κοινοποιήσουν έγγραφη εντολή, την οποία θα πρέπει πρωτίστως να ελέγξουμε νομικά σχετικά με το υποστατό της, την αρμοδιότητα του οργάνου που την εκδίδει, το πεδίο εφαρμογής της κ.α.
17. Θα πρέπει να είμαστε έτοιμοι να απαντήσουμε σε αιτήματα πρόσβασης, διαγραφής ή εναντίωσης που μπορεί να ασκήσουν τα άτομα που καταγράφονται. Εάν κάποιος ζητήσει να έχει πρόσβαση στο υλικό που κατέγραψε τον ίδιο, θα πρέπει να του παραδώσουμε αντίγραφο, φροντίζοντας να έχουμε απομονώσει ή θολώσει άλλα πρόσωπα που μπορεί να απεικονίζονται στο χώρο. Εάν κάποιος ζητήσει τη διαγραφή υλικού που τον κατέγραψε ή εναντιωθεί στην καταγραφή του, για να αρνηθούμε θα πρέπει να επικαλεστούμε υπέρτερο δικό μας λόγο όπως πχ νομική αξίωσή μας.

Συνοψίζοντας

Η τοποθέτηση συστημάτων βιντεοεπιτήρησης θα πρέπει να αποφασίζεται αφού πρώτα μελετηθούν τα παραπάνω και εξασφαλιστεί ότι αυτή θα είναι σύννομη. Είναι απαραίτητο η μελέτη αυτών των προϋποθέσεων να γίνεται από εξειδικευμένο νομικό. Τυχόν παραβίαση, καθιστά τον υπεύθυνο επεξεργασίας αντιμέτωπο με διοικητικά πρόστιμα και  ευθύνη αποζημίωσης.

Πέραν όμως των νομικών συνεπειών, θα πρέπει να αναλογιστούμε τα εξής: Αφενός ότι η ευθύνη της δίωξης αδικημάτων, αλλά και της συλλογής των αναγκαίων αποδείξεων, ανήκει στις αρμόδιες αρχές και όχι στον καθένα μας ατομικά. Και αφετέρου, ότι η άκριτη χρήση συστημάτων παρακολούθησης, τελικά αποβαίνει σε βάρος του καθενός μας. Όσο αυτή γενικεύεται και γίνεται κανόνας, τόσο συνηθίζουμε στην ύπαρξή της, οι αντιστάσεις μας στην εκχώρηση της ιδιωτικότητάς μας μειώνονται και συμβάλλουμε στην δημιουργία της «κοινωνίας της παρακολούθησης», κάτι που καθιστά την απόφασή μας ζήτημα της γενικότερης εταιρικής κοινωνικής μας ευθύνης.