Videonadzor smije vidjeti samo ono za što je namijenjen

Prije nego što počnem s objašnjavanjem utjecaja GDPR-a na sustave videonadzora, iako se o GDPR-u već duže vrijeme govori nije na odmet objasniti što je Opća uredba o zaštiti podataka ili GDPR. Na stranicama Agencije za zaštitu osobnih podataka pronašao sam jasan vodič kroz Opću uredbu o zaštiti podataka iz kojega izdvajam slijedeće:
Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka - Opća uredba o zaštiti podataka - GDPR izravno će se primjenjivati u Republici Hrvatskoj od 25. svibnja 2018. godine. Ista predstavlja bitan napredak u području zaštite osobnih podataka. Općom uredbom o zaštiti podataka uvode se nove i pojednostavljuju se neke već postojeće definicije, određuju biometrijski i genetski podaci, preciznije opisuju postojeći pojmovi.

Uredba određuje koja su prava pojedinaca, a u skladu s tim i koje su obveze subjekata koji obrađuju osobne podatke poput voditelja obrade odnosno izvršitelja obrade. Kada govorimo o tvrtkama može se reći da se Uredba primjenjuje na sve tvrtke i da tu nema iznimaka, a također se primjenjuje i na pojedince koji obavljaju određenu profesionalnu aktivnost, udruge, bolnice, klubove, pa i na fizičke osobe kada obrađuju osobne podatke izvan okvira potreba kućanstva (npr. postavljanje video nadzora ispred ulaznih vrata kuće/stana). Međutim ova Uredba se primjenjuje na voditelje obrade ili izvršitelja obrade koji pružaju sredstva za obradu osobnih podataka za osobne ili kućne aktivnosti. Uredba se primjenjuje na sve državne institucije koje su dužne obrađivati osobne podatke u okviru njenih odredaba, osim u slučajevima kaznenopravnih aktivnosti, poput sprečavanja kaznenih djela ili progona počinitelja istih te u područjima izvan nadležnosti prava EU-a.

Načela obrade podataka
Dakle uredbom o zaštiti osobnih podataka jasno se propisuju načela i pravni temelji obrade osobnih podataka. U pogledu videonadzora bitno je istaknuti pravni temelj obrade:
“Postavljanje sustava videonadzora je legitimno pravo vlasnika nekretnine da bi spriječio realan rizik po njegovu imovinu”.

Sustavi videonadzora, iako nisu direktno specificirani u Uredbi, kroz definiciju osobnih podataka posebno osjetljive prirode dobivaju oznaku sustava za koje su potrebne posebne mjere zaštite. Prema definiciji osobni podaci koji su po svojoj naravi posebno osjetljive prirode u pogledu temeljnih prava i sloboda su podaci koji otkrivaju rasno ili etničko porijeklo, podaci o mentalnom zdravlju, zdravstvenom stanju, ekonomskom ili socijalnom statusu a to je samo dio podataka koji se mogu prikupiti upotrebom videonadzora.

Načela obrade osobnih podataka moraju u sebi sadržavati zakonitost, poštenost i transparentnost obrade, a to znači da obrada treba biti u skladu s određenim pravnim temeljem, a načelima poštene i transparentne obrade zahtijeva se da je pojedinac informiran o postupku obrade i njegovoj svrsi, te je voditelj obrade obvezan ispitaniku pružiti sve dodatne informacije neophodne za osiguranje poštene i transparentne obrade uzimajući u obzir posebne okolnosti i kontekst obrade osobnih podataka.

Ograničavanje svrhe znači da podaci trebaju biti prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tom svrhom; ali je moguća daljnja obrada u svrhu arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe.

Smanjenje količine podataka znači da podaci moraju biti primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju.
Točnost znači da podaci moraju biti točni i prema potrebi ažurni; mora se poduzeti svaka razumna mjera radi osiguravanja da se osobni podaci koji nisu točni, uzimajući u obzir svrhu u koju se obrađuju, bez odlaganja izbrišu ili isprave.

Ograničenje pohrane znači da podaci moraju biti čuvani u obliku koji omogućuje identifikaciju ispitanika samo onoliko dugo koliko je potrebno u svrhu radi koje se osobni podaci obrađuju; na dulja razdoblja čuvanje je moguće samo ako će se osobni podaci obrađivati isključivo u svrhu arhiviranja u javnom interesu, u svrhu znanstvenog ili povijesnog istraživanja ili u statističku svrhu uz provedbu primjerenih mjera zaštite propisanih Uredbom.

Cjelovitost i povjerljivost znače da podaci moraju biti obrađivani na način kojim se osigurava odgovarajuća razina sigurnosti, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja. Pouzdanost znači da je voditelj obrade odgovoran za poštivanje načela i da je teret dokaza na njemu.
S obzirom na to da se snimka videonadzora klasificira kao osobni podatak posebno osjetljive prirode potrebno je poduzeti mjere za sigurnost obrade.

Povreda osobnih podataka
Uzimajući u obzir okolnosti konkretnog slučaja, voditelj obrade i izvršitelj obrade provode odgovarajuće tehničke i organizacijske mjere kako bi osigurali odgovarajuću razinu sigurnosti s obzirom na rizik, uključujući prema potrebi:

1. pseudonimizaciju i enkripciju osobnih podataka;
2. osiguravanje trajne povjerljivosti, cjelovitosti, dostupnosti i otpornosti sustava i usluga obrade;
3. sposobnost pravodobne ponovne uspostave dostupnosti osobnih podataka i pristupa njima u slučaju fizičkog ili tehničkog incidenta;
4. redovno testiranje tehničkih i organizacijskih mjera za osiguravanje sigurnosti obrade.

Uredba propisuje i izvješćivanje o povredi osobnih podataka. Ako je vjerojatno da će povreda osobnih podataka prouzročiti rizik za prava i slobode ispitanika, voditelj obrade mora izvijestiti bez odgađanja nadzorno tijelo o povredi osobnih podataka (najkasnije u roku od 72 sata od saznanja o povredi). Navedeno izvješćivanje treba sadržavati opis povrede uz informacije o ispitanicima i osobnim podacima, opis vjerojatnih posljedica povrede, opis mjera koje su poduzete ili predložene za rješavanje povrede te kontakt točku voditelja.

Kako su snimke videonadzora postale posebna kategorija osobnih podataka, prilikom projektiranja ili postavljanja mogli bi primijeniti Uredbu Vlade RH iz 2004 (NN139/2004) o načinu pohranjivanja i posebnim mjerama tehničke zaštite posebnih kategorija osobnih podataka koja bi trebala biti dorađena po pitanju obaveze pohranjivanja podataka odnosno po vremenu trajanja osobnih podataka specifičnih za ovakav oblik posebnih podataka.

Europski odbor za zaštitu podataka (EDPS) je 17. ožujka 2010 godine donio smjernice za sustave videonadzora koje donose preporuke za Europske institucije i tijela kako da dizajniraju i koriste svoje sustave videonadzora. Bitna značajka smjernica je da se analizira opravdanost upotrebe videonadzora kao sredstva zaštite u odnosu na druge manje invazivne metode zaštite koje ne utječu na privatnost korisnika odnosno osoba snimljenih u štićenom prostoru.

Prema njihovom tumačenju nekih primjera, sustav videonadzora koji nadzire registarske oznake vozila za ulaz u neki prostor i spojen je na bazu podataka registarskih oznaka korisnika vozila također predstavlja podatak o korisniku iako se on na snimci ne vidi.

Kamera instalirana u svrhu promicanja turističkog mjesta spada pod smjernice iako nije bila namjera identifikacija osobe snimljene kamerom.

Pod smjernice čak spadaju i sustavi koji se ne snimaju ali postoji osoba koja ih u realnom vremenu promatra, a odnosi se na nadzor trgovačkih centara ili javnih površina u svrhu tehničke zaštite objekta.
Neke od bitnih smjernica se odnose na podešavanje vidnog polja kamera, odnosno konfiguriranja sustava da „vidi“ samo ono za što je namijenjen.

Jasna i dokumentirana namjena
Kada smo već kod namjene, sustav videonadzora mora imati jasnu i dokumentiranu namjenu i o toj namjeni svi koji se nalaze u blizini moraju biti nedvosmisleno informirani:

• Da je prostor na kojem se nalaze po videonadzorom;
• Da se videonadzor upotrebljava za zaštitu imovine;
• Da se snimka čuva XY sati;
• Da je osoba zadužena za osobne podatke netko i dostupan je na e mail adresi…;
• Sve ove informacije bi trebale biti višejezične.

Jedna od bitnih značajki smjernica je vremenski period pohrane snimke. Preporuka EDPS-a je da se snimke ne čuvaju duže od sedam dana (168 sati) što je kod nas samo definirano za novčarske ustanove, za ostale korisnike nije. Također je preporuka da se snimke presnime što ranije i da je u biti 48 sati dovoljno za ustanoviti je li snimku potrebno izdvojiti zbog zakonski potrebnih i opravdanih razloga ili je jednostavno automatski presnimiti. Jedna od bitnih obveza korisnika koji namjeravaju instalirati sustav videonadzora je da bi trebali tražiti suglasnost nacionalne agencije za zaštitu osobnih podataka (AZOP-a) za sljedeće slučajeve:

• Povezivanje sustava videonadzora s biometrijskim podacima (npr. otisci prstiju za kontrolu pristupa), bazom fotografija sumnjivih pojedinaca (primjerice kradljivaca po dućanima), ili registracija vozila za automatsko prepoznavanje pločica na vozilima;
• Indeksiranje podataka u snimkama za automatsko traženje i prepoznavanje osoba na snimkama (primjerice za praćenje kretanja pojedinaca);
• Prepoznavanje lica ili bilo koji drugi način biometrijskog prepoznavanja;
• Bilo koji način dinamičko-preventivnog nadzora (primjerice upotreba aplikacija koje automatski prepoznaju ponašanje osobe i na osnovi njega stvaraju alarm baziran na pred definiranom sumnjivom ponašanju, pokretu, načinu odijevanja ili nekom drugom govoru tijela pojedinca);
• Mreže kamera instaliranih s aplikacijom za praćenje kretanja osoba kroz veliki prostor;
• Sustave povezane s aplikacijama povezanima za prepoznavanje promjene razine zvuka (primjerice netko počne vikati u prostoru);
• Infracrvene kamere s niskim stupnjem osjetljivosti, termalne kamere li slične specijalne uređaje koji mogu „vidjeti“ u uvjetima slabog osvjetljenja, mogu vidjeti kroz zidove ili posebne skenere za pregled osoba;
• Specijalne kamere s naprednom optikom i mogućnosti digitalnog zumiranja.

Za sve navedene sustave potrebno bi bilo prema smjernicama konzultirati AZOP i svakako napraviti analizu utjecaja na privatnost te analizu mogu li se sustavi zamijeniti nekim drugim oblikom tehničke zaštite.
Bitna stvar koju je potrebno napraviti za postojeće i buduće sustave je politika videonadzora za predmetnu lokaciju s analizom lokacije svake kamere, razlogom njenog postavljanja, vidnim poljem, popisom korisnika s njihovim pravima, dnevnikom pristupa snimljenom sadržaju, odredbom o automatskom presnimavanju za određeni broj sati, adekvatnom zaštitom fizičkom pristupu snimačima i snimljenom sadržaju. Uz to, potrebno je paziti na rok od 72 sata za dojavu u slučaja gubitka, uništenja ili upada u sustav.

Do primjene GDPR-a ostalo je još malo vremena, stoga se moramo potruditi i donijeti prateće zakonske propise koji će definirati način i upotrebu videonadzora, točno definirati što sa slučajevima kada korisnik sam postavi kamere umjesto ovlaštenog instalatera a snimka s tih kamera završi u javnosti.

U ovom trenutku kada je još dosta pitanja ostalo nedorečeno i otvoreno moramo se osloniti na stručnost Agencije za zaštitu osobnih podataka da nam pomogne i obući nas na koji način je potrebno pristupiti ugradnji sustava videonadzora. S obzirom da novi Zakon o privatnoj zaštiti još nije donesen možda postoji mogućnost da se u njega integriraju bitne odredbe za ugradnju sustava videonadzora.

Zoran Pleić, savjetnik za poslovnu sigurnost