Dražen Keresteny, mag. ing. el., Alarm automatika; Pametni-gradovi.eu
U prethodnom članku smo na ovu temu pisali o osnovama GDPR-a vezanog uz videonadzor, s posebnim naglaskom na zakonsku regulativu i jedinice lokalne samouprave, a u ovom članku ćemo se fokusirati na praktična rješenja što lokalna samouprava može i mora učiniti kako bi bila u skladu sa zakonskom regulativom i propisima vezanim uz GDPR u videonadzoru, ali i što bi trebala učiniti s tehničke strane kako bi ugrađivala sustave koji kvalitetom i certifikatima zadovoljavaju sve norme sigurnosti JLS (jedinica lokalne samouprave) i njihovih građana.
Tko i što vas najbolje štiti, s pravne strane? Kvalitetno napisan Pravilnik!
Kako biste se najkvalitetnije zaštitili, s pravne strane, potreban je kvalitetno napisan Pravilnik JLS o korištenju sustava videonadzora.
Koje elemente treba sadržavati ovakav pravilnik?
- Treba biti jasno navedeno tko je odgovoran za upravljanje i rukovođenje sustavom videonadzora,
- Treba biti detaljno opisana svrha i opseg projekta videonadzora,
- Treba paziti na primjerenu i zabranjenu uporabu videonadzora (gdje i u kojim je slučajevima dopušteno, odnosno nije dopušteno postavljanje videonadzora; npr. uporaba skrivenih kamera, postavljanje kamera u sanitarne čvorove, snimanje audio snimki uz videosnimke i slično)
- Treba jasno opisati kako se snima videosnimka i vrijeme njezina trajanja, uključujući arhivsko pohranjivanje videosnimki povezanih sa sigurnosnim incidentima,
- Treba navesti tko ima pristup videosnimkama, u koju svrhu i pod kojim uvjetima,
- Trebaju biti opisani operativni postupci (npr. tko se služi videonadzorom, gdje je postavljen videonadzor, kako postupiti u slučaju povrede podataka i slično),
- Opisati koje postupke vanjske strane moraju slijediti kako bi uspješno podnijele zahtjev za dobivanje dozvole za pregled određene videosnimke, te postupci za odbijanje i/ili prihvaćanje takvih zahtjeva,
- Navesti potrebne postupke za nabavu, postavljanje i održavanje sustava videonadzora,
- Postaviti pravila i procedure za upravljanje incidentima i postupaka oporavka od incidenata.
Jedan od primjera ovakvog pravilnika je Pravilnik o korištenju sustava videonadzora Grada Rijeke, koji možete pogledati na ovom linku.
Objekt ili vanjska površina pod videonadzorom moraju biti jasno, nedvosmisleno i pravilno označeni
Oznaka da je objekt ili vanjska površina pod videonadzorom mora biti vidljiva najkasnije prilikom ulaska u perimetar snimanja (članak 27. stavak 1. Zakona o provedbi Opće uredbe o zaštiti podataka).
Primjerice ako se postavlja videonadzor u unutrašnjosti zgrade JLS, oznaka mora biti istaknuta na ulaznim vratima zgrade, kako bi pojedinci prije ulaska u prostor koji se nalazi pod videonadzorom bili informirani da će se njihovi podaci prikupljati i obrađivati putem sustava videonadzora. Ili ako se na primjer videonadzor postavlja na gradsko parkiralište, točno propisane vrste tabli trebaju biti postavljene na sve pristupne ceste koje vode do te površine, i to nekoliko metara prije nego se uđe u prostor pod videonadzorom.
Informacije bi trebale biti prikazane na takav način da ispitanik može lako prepoznati okolnosti nadzora prilikom ulaska u nadzirano područje (otprilike u razini očiju ili malo više).
Što mora sadržavati obavijest o prostorima koji su pod videonadzorom?
Obavijest treba sadržavati lako razumljivu sliku uz tekst kojim se ispitanicima pružaju sljedeće informacije:
- da je prostor pod videonadzorom,
- podatke o voditelju obrade,
- podatke za kontakt putem kojih ispitanik može ostvariti svoja prava.
Osim navedenih podataka, ispitaniku je potrebno pružiti i sljedeće informacije:
- koja je svrha i pravna osnova za obradu osobnih podataka,
- tko ima pravo pristupa tim podacima,
- koji je vremenski rok pohrane zapisa videonadzora,
- da li se snimke videonadzora prenose u treće zemlje ili međunarodne organizacije (one koje nisu članice EU),
- postojanju prava da se od voditelja obrade zatraži pristup osobnim podacima, ispravak, brisanje osobnih podataka ili ograničavanje obrade podataka koji se na njega odnose, prava na ulaganje prigovora na obradu takvih podataka te na prenosivost njegovih podataka drugom voditelju obrade,
- pravu na podnošenje prigovora nadzornom tijelu (Agenciji za zaštitu osobnih podataka).
Navedene informacije mogu biti sastavni dio obavijesti o videonadzoru ili se mogu nalaziti na nekom drugom dokumentu koji će biti lako dostupan ispitaniku (npr. na letcima ili plakatima unutar prostora poslovnog subjekta ili na njegovim internet stranicama). Ukoliko navedene informacije nisu sastavni dio obavijesti o videonadzoru, na obavijesti bi trebala biti navedena informacija na koji način ispitanici mogu doći do tih informacija.
Smjernice preporučuju da bi obavijest o videonadzoru trebala sadržavati sljedeće informacije:
- prostor se nalazi pod videonadzorom (grafička oznaka i natpis),
- podatke o voditelju obrade,
- podatke za kontakt putem kojih ispitanik može ostvariti svoja prava, uključujući i podatke o službeniku za zaštitu podataka (ukoliko je imenovan službenik),
- vrijeme čuvanja odnosno pohrane osobnih podataka ili naznaku da se radi o live streamingu, kao i podatke o potencijalnoj razmjeni video snimki s trećim osobama,
- svrhu obrade,
- prava ispitanika,
- informaciju gdje se nalaze cjelovite informacije o obradi osobnih podataka putem videonadzora.
Navedenoj Smjernici može se pristupiti putem sljedeće poveznice: https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32019-processing-personal-data-through-video_hr
Predložak obavijesti o videonadzoru dostupna je na poveznici internet stranice: https://azop.hr/wp-content/uploads/2020/12/9-obavijestvideonazdor-1.png
Ovo je jedan od neobvezujućih prijedloga izgleda obavijesti o videonadzoru.
Tehnički uvjeti koje bi trebalo zadovoljiti kako bi videonadzor bio siguran za JLS i građane
Ovo što je do sada bilo navedeno je lako slijediti i provesti, jer postoje "copy/paste" šprance koje treba slijediti i provoditi. Međutim, ovo što sada slijedi je svakim danom sve važnije (zdravstvene ugroze, ratovi, špijunaža, Cyber upadi i napadi,), jer nije na prvi pogled očito i vrlo često se o tome ne razmišlja kod postavljanja videonadzora u našim Gradovima i Općinama, a najmanje se o tome razmišlja kod izrade projekata i raspisivanja javne nabave za sustave videonadzora.
Ono o čemu možda ne treba ni govoriti, ali nije zgorega ponoviti i utvrditi gradivo, da prema Zakonu o privatnoj zaštiti za svaki videonadzor javne površine obavezno treba kod ovlaštene tvrtke izraditi Elaborat procjene ugroženosti i Izvedbeni projekt videonadzora, a neki od njih prije nego što se ide u javnu nabavu moraju biti ovjereni u nadležnom MUP-u.
U nastavku teksta ću se fokusirati na stvari koje nisu tako očite i široko poznate.
Sigurnost podataka i kontrola pristupa podacima
Sigurnost sustava i podataka uključuje sljedeće radnje i postupke:
- zaštita čitave infrastrukture sustava videonadzora (fizička i softverska),
- zaštitu komunikacijskih kanala kojim se prenose snimke,
- enkripcija podataka (Enkripcija ili šifriranje je proces u kriptografiji kojim se vrši izmjena podataka tako da se poruka, odnosno informacije, učine nečitljivim za osobe koje ne posjeduju određeno znanje ili tzv. ključ),
- primjenu hardverskih i softverskih rješenja kao što su vatrozidovi (vatrozidovi su softverski programi ili hardverski uređaji koji filtriraju i provjeravaju informacije koje se prenose vašom internetskom vezom. Oni predstavljaju prvu crtu obrane, jer mogu zaustaviti da zlonamjerni program ili napadač pristupi vašoj mreži i informacijama prije bilo kakve potencijalne štete.),
- antivirusni sustavi ili sustavi za otkrivanje neovlaštenog upada za zaštitu od kibernetičkih incidenata.
Kontrola pristupa:
- osigurati da podacima mogu pristupiti samo ovlaštene osobe,
- sva mjesta na kojima se pohranjuju videosnimke trebaju biti zaštićeni od neovlaštenog pristupa trećih strana,
- primjena metoda i sredstava za autentifikaciju i davanje ovlasti korisnicima, uključujući npr. dužinu lozinke i učestalost njezine izmjene.
Dakle, obavezna je ugradnja kontrole pristupa na ulazna vrata u prostoriju u kojoj je snimač a u prostoriji je nužna i videonadzorna kamera. Ukoliko dođe na primjer do brisanja neke snimke, mora biti moguće točno utvrditi tko je i kada ušao u prostoriju, što je radio i kada je izašao.
Internim Pravilnikom JLS treba točno definirati tko i s kojom šifrom smije ulaziti u prostoriju u kojoj je snimač.
Zaključak: Tehničke funkcije koje bi trebao imati videonadzor kako bi bio GDPR siguran
Već kod razrade tehničkog rješenja videonadzora JLS bi trebala pred projektanta iz ovlaštene tvrtke postaviti sljedeće uvjete, staviti ih u projektni zadatak, ugraditi u tehničko rješenje i uvrstiti u uvjete javne nabave:
- enkripcija podataka,
- kompleksne lozinke – ne smiju se koristiti korisnička imena koja ne određuju jednoznačno osobu kao npr. admin, administrator ili korisnik, moraju biti navedena baš imena korisnika,
- administrator ili korisnik, moraju biti navedena imena korisnika,
- logovi moraju sadržavati podatak tko je pristupao kojoj kameri u kojem periodu, a najvažnije tko je i kada pristupao video zapisu,
- video kamere moraju imati tehničku mogućnost maskiranja, blurringa (zamućivanja dijela slike) ili pixelizacije ( razlučivost dijela slike je izuzetno niska, što uzrokuje da pojedinačni pikseli postanu dovoljno veliki da ih ljudsko oko može detektirati) – to naročito vrijedi za vanjske kamere,
- Cyber Security implementiran u kamere i snimače – zaštita od kibernetičkih napada,
- NDAA certifikat – garancija cyber sigurnosti kamera i snimača.
Dakle, želimo li sigurne JLS i građane u njima, potrebno je o navedenim stvarima misliti, govoriti i najvažnije, provoditi ih u djelo.
(Foto: Rishabh Varshney / Unsplash)