Πώς πρέπει να γίνεται η ενημέρωση για τη χρήση συστημάτων βιντεοεπιτήρησης – Νέες συστάσεις!

Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (ΕΣΠΔ)[1] εξέδωσε πρόσφατα το τελικό κείμενο των κατευθυντήριων γραμμών 3/2019 σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα, μέσω συσκευών λήψης βίντεο. Το κείμενο αυτό αποσκοπεί στο να παρέχει καθοδήγηση για το πώς εφαρμόζεται ο Κανονισμός (ΕΕ) 2016/679 (ΓΚΠΔ) σε σχέση με τη χρήση καμερών για διαφόρους σκοπούς.

Η Αρχή επισημαίνει ότι έχει εκδώσει την οδηγία 1/2011 (διαθέσιμη στο www.dpa.gr), οι διατάξεις της οποίας πρέπει να εφαρμόζονται σε συνδυασμό με τις διατάξεις του Γενικού Κανονισμού Προστασίας Δεδομένων (ΓΚΠΔ) και του ν. 4624/2019. Τούτο ισχύει ιδίως για τις υποχρεώσεις του υπευθύνου επεξεργασίας που περιλαμβάνονται στο κεφάλαιο Γ’ αυτής (άρθρα 10 έως 13 της οδηγίας 1/2011). Για παράδειγμα, οι υπεύθυνοι επεξεργασίας δεν έχουν πλέον υποχρέωση γνωστοποίησης της επεξεργασίας στην Αρχή, αλλά οφείλουν να φροντίζουν για την ικανοποίηση των επαυξημένων δικαιωμάτων που προβλέπει ο ΓΚΠΔ. Για τον σκοπό αυτό, το νέο κείμενο κατευθυντήριων γραμμών του ΕΣΠΔ αποτελεί πολύτιμο οδηγό.

Η Αρχή επισημαίνει ιδιαίτερα την υποχρέωση για αυξημένη διαφάνεια, όπως απορρέει από τον ΓΚΠΔ. Οι υπεύθυνοι επεξεργασίας που χρησιμοποιούν συστήματα βιντεοεπιτήρησης οφείλουν να παρέχουν πλήρη ενημέρωση για τη λειτουργία καμερών, πριν κάποιος εισέλθει στον επιτηρούμενο χώρο. Για τον σκοπό αυτό είναι, κατά κανόνα, προσφορότερο να ακολουθείται πολυεπίπεδη προσέγγιση, δηλαδή να υπάρχουν ενημερωτικές πινακίδες για την άμεση ενημέρωση όσων εισέρχονται στον χώρο, οι οποίες να παραπέμπουν σε εύκολα προσβάσιμη αναλυτική ενημέρωση.

Η Αρχή παρέχει νέα υποδείγματα ενημέρωσης, επιπλέον του υποδείγματος που παρατίθεται στο κείμενο του ΕΣΠΔ. Τα υποδείγματα αυτά προτείνονται για χρήση από υπεύθυνους επεξεργασίας εγκατεστημένους στην Ελλάδα, οι οποίοι χρησιμοποιούν σύστημα βιντεοεπιτήρησης για σκοπούς προστασίας προσώπων και αγαθών. Τα νέα υποδείγματα αντικαθιστούν το υπόδειγμα ενημερωτικής πινακίδας που ήταν συνημμένο στην οδηγία 1/2011 της Αρχής και πρέπει να προσαρμόζονται κατάλληλα.

Αναγνωρίζοντας ότι απαιτείται κάποιος χρόνος προσαρμογής των ενημερωτικών πινακίδων και κειμένων, καθώς και των διαδικασιών χειρισμού των αιτημάτων άσκησης των δικαιωμάτων τα οποία απορρέουν από τον ΓΚΠΔ, η Αρχή καλεί όλους τους υπευθύνους επεξεργασίας να προσαρμοστούν εντός διμήνου το αργότερο.

• Tα νέα υποδείγματα καθώς και οι συστάσεις για την ικανοποίηση του δικαιώματος ενημέρωσης κατά την επεξεργασία δεδομένων μέσω συστημάτων βιντεοεπιτήρησης είναι διαθέσιμα εδώ

[1] Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (https://edpb.europa.eu/) αποτελεί ανεξάρτητο ευρωπαϊκό οργανισμό, o οποίος συμβάλλει στη συνεκτική εφαρμογή των κανόνων προστασίας δεδομένων σε ολόκληρη την ΕΕ. Η Αρχή Προστασίας Δεδομένων αποτελεί ενεργό μέλος του.

ΑΝΑΛΥΤΙΚΑ :

Συστάσεις – υποδείγματα για την ικανοποίηση του δικαιώματος ενημέρωσης κατά την επεξεργασία δεδομένων μέσω  συστημάτων βιντεοεπιτήρησης

Α. Πληροφορίες πρώτου επιπέδου:

Σε πρώτο επίπεδο απαιτούνται προειδοποιητικές πινακίδες, στις οποίες αναφέρονται τα βασικά χαρακτηριστικά της επεξεργασίας. Οι πινακίδες πρέπει να τοποθετούνται έτσι ώστε να είναι ευδιάκριτες από όλα τα πιθανά σημεία εισόδου στον επιτηρούμενο χώρο.

Υποχρεωτικές πληροφορίες πρώτου επιπέδου:

• Σκοπός της επεξεργασίας

• Ταυτότητα του υπευθύνου επεξεργασίας ή/και του εκπροσώπου του

• Αναφορά στα δικαιώματα του υποκειμένου των δεδομένων

• Παραπομπή στην αναλυτική ενημέρωση (2^ο επίπεδο ενημέρωσης). Συστήνεται η χρήση συνδέσμου σε ιστοσελίδα (με URL ή QR). Αν ο υπεύθυνος επεξεργασίας δεν διαθέτει ιστοσελίδα, οφείλει να παραπέμψει στον χώρο όπου τα υποκείμενα των δεδομένων μπορούν να βρουν την αναλυτική ενημέρωση.

• Αναφορά των στοιχείων επικοινωνίας του Υπευθύνου Προστασίας Δεδομένων (DPO), στις περιπτώσεις για τις οποίες έχει ορισθεί.

Περαιτέρω, σε περίπτωση κατά την οποία η επεξεργασία δεν περιλαμβάνεται στις τυπικά αναμενόμενες από ένα υποκείμενο των δεδομένων, η πινακίδα πρώτου επιπέδου πρέπει να περιλαμβάνει περαιτέρω πληροφορίες, όπως διαβιβάσεις σε μη αναμενόμενους τρίτους (π.χ. διαβίβαση εκτός ΕΕ) ή υπέρβαση των χρονικών διαστημάτων τήρησης δεδομένων που ορίζονται στην οδηγία 1/2011. Στο άρθρο 9 της οδηγίας 1/2011 της Αρχής προσδιορίζονται οι αναμενόμενοι αποδέκτες, όπως π.χ. οι αρμόδιες διωκτικές αρχές.

Υποδείγματα ενημερωτικών πινακίδων Α’ επιπέδου:

Β. Πληροφορίες δεύτερου επιπέδου:

Οι πληροφορίες του δεύτερου επιπέδου πρέπει να αναρτώνται σε χώρο με εύκολη πρόσβαση για τα υποκείμενα των δεδομένων. Η ανάρτησή τους σε ιστοσελίδα αποτελεί ορθή πρακτική, αλλά πρέπει επίσης να συνοδεύεται από μη ηλεκτρονική ενημέρωση, για όσα πρόσωπα δεν έχουν άμεση ηλεκτρονική πρόσβαση. Στο επίπεδο αυτό απαιτείται αναλυτική ενημέρωση για όλα τα χαρακτηριστικά της επεξεργασίας, όπως προβλέπεται στο άρθρο 13 του ΓΚΠΔ. Τονίζεται ότι με την οδηγία της 1/2011 η Αρχή είχε, ήδη από το 2011, προβλέψει ενημέρωση πολλαπλών επιπέδων. Πλέον, με την εφαρμογή του ΓΚΠΔ, απαιτείται παροχή των επαυξημένων πληροφοριών του Β’ επιπέδου χωρίς αίτημα του υποκειμένου.

Συγκεκριμένα, εκτός από τις πληροφορίες του Α΄ επιπέδου, οι οποίες πρέπει να παρουσιάζονται αναλυτικότερα, σε τυπικά συστήματα βιντεοεπιτήρησης απαιτείται στην ενημέρωση να περιλαμβάνονται τα εξής:

• Η πλήρης ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και, εφόσον υπάρχει, του εκπροσώπου του υπευθύνου επεξεργασίας.

• Τα στοιχεία επικοινωνίας του Υπευθύνου Προστασίας Δεδομένων, εφόσον έχει ορισθεί.

• Ο σκοπός της επεξεργασίας καθώς και η νομική βάση για την επεξεργασία. Στις περιπτώσεις στις οποίες η επεξεργασία διαφοροποιείται από τις τυπικές, απαιτείται αναλυτική εξειδίκευση του σκοπού της επεξεργασίας. Τυπικές δραστηριότητες επεξεργασίας αποτελούν ιδίως αυτές οι οποίες προσδιορίζονται στην οδηγία 1/2011 της Αρχής.

• Tα έννομα συμφέροντα που επιδιώκει ο υπεύθυνος επεξεργασίας, όταν η επεξεργασία βασίζεται στο άρθρο 6 παρ. 1 στ’ του ΓΚΠΔ, όπως συμβαίνει στην πλειονότητα των περιπτώσεων.

• Τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων προσωπικού χαρακτήρα (βλ. και άρθρο 9 της οδηγίας 1/2011). Σε αυτούς περιλαμβάνονται και οι κατηγορίες/ιδιότητες των προσώπων που χειρίζονται το σύστημα.

• Πληροφορίες για τη διαβίβαση δεδομένων σε χώρα εκτός ΕΕ, εφόσον αυτό συμβαίνει.

• Το χρονικό διάστημα για το οποίο αποθηκεύονται τα δεδομένα.

• Ο τρόπος με τον οποίο το υποκείμενο των δεδομένων μπορεί να ασκήσει τα δικαιώματά του τα οποία απορρέουν από τη νομοθεσία για την προστασία των προσωπικών δεδομένων, προσδιορίζοντας ποια δικαιώματα εφαρμόζονται. Επισημαίνεται ότι στις τυπικές περιπτώσεις συστημάτων βιντεοεπιτήρησης εφαρμόζονται τα δικαιώματα πρόσβασης, περιορισμού, εναντίωσης και διαγραφής, ενώ σε εξαιρετικές περιπτώσεις μπορεί να εφαρμόζονται και τα λοιπά δικαιώματα.

• Ενημέρωση για το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή και για τα στοιχεία της εποπτικής Αρχής.