Допълнение: Оценка На Въздействието Върху Защитата На Данните
Съгласно член 35 от ОРЗД се изисква оценка на въздействието върху защитата на данните, ако наблюдението
има вероятност да доведе до висок риск за правата и свободите на физическите лица, администраторът извършва преди обработването оценка на въздействието на предвидените операции по обработване върху защитата на личните данни.
Администраторът на данни трябва да се консултира с надзорния орган преди обработването, когато оценката на въздействието върху защитата на данните съгласно член 35 показва, че обработването би довело до висок риск при липса на мерки, предприети от администратора на данни за намаляване на риска (предварителна консултация, член 36 от ОРЗД).
Създаване и поддържане на оценка на въздействието върху защитата на данните, уведомление до засегнатите лица. Този документ:
Описва целта на наблюдението
Се съхранява от администратора на данни или обработващия данни
Дефинира политиката за съхранение
Преди инсталирането и внедряването на системи за видеонаблюдение следва да се извърши оценка на въздействието върху защитата на данните, когато това допринася за усилията на организацията за постигане на съответствие. Целта на оценката на въздействието върху защитата на данните е да се определи въздействието на предложената система върху неприкосновеността на личния живот на физическите лица и други основни права и да се намерят начини за смекчаване или избягване на неблагоприятни последици.
Усилието, което е подходящо да се инвестира в оценка на въздействието върху защитата на данните, зависи от обстоятелствата. Система за видеонаблюдение с големи присъщи рискове или с повдигане на сложни или нови въпроси, дава основание за инвестиране на много повече усилия, отколкото такава със сравнително ограничено въздействие върху неприкосновеността на личния живот и други основни права, като например конвенционална статична система за видеонаблюдение, работеща за типични цели на сигурността.
Във всеки случай и във всички случаи, независимо дали при официална оценка на въздействието върху защитата на данните или по друг начин, организациите трябва да преценят и обосноват дали да прибягнат до видеонаблюдение, как да локализират, подберат и конфигурират своите системи и как да прилагат предпазните мерки за защита на данните.
Освен това може да има случаи, когато дадена организация предлага нестандартна система. В този случай организацията следва внимателно да оцени планираните различия от практиката и препоръките, да ги обсъди със своето длъжностно лице по защита на данните и с други заинтересовани страни и да документира своята оценка в писмен вид, независимо дали в официална оценка на въздействието върху защитата на данните, или по друг начин. Одитът на системата от страна на организацията следва също така да бъде насочен към законосъобразността на персонализирането на системата.
И накрая, поради тяхната сложност, новост, специфичност или присъщи рискове, настоятелно се препоръчва да извършите оценка на въздействието върху защитата на данните в следните случаи:
Видеонаблюдение за цели, различни от сигурността (включително за целите на разследването)
Видеонаблюдение на обществени пространства
Наблюдение на служителите
Наблюдение на територията на държавите членки и в трети държави
Специални категории данни
Области с повишени очаквания за поверителност
Високотехнологично и/или интелигентно видеонаблюдение
Взаимосвързани системи
Аудио запис
Оценката на въздействието върху защитата на данните може да се извършва вътрешно или от независим изпълнител. Оценката следва да се извърши на ранен етап от проекта. Въз основа на резултатите от оценката на въздействието върху защитата на данните дадена организация може да реши:
Да се въздържат от или да променят планирания мониторинг и/или
За прилагане на допълнителни предпазни мерки
Присъщи рискове при използването на VMS
Когато поддържате оценката на въздействието върху защитата на данните, трябва да сте наясно с рисковете, които са присъщи на използването на VMS.
Оценката на въздействието върху защитата на данните следва да бъде документирана по подходящ начин. По принцип в доклада за оценка на въздействието върху защитата на данните следва ясно да се посочват рисковете за неприкосновеността на личния живот и/или други основни права, които организацията е установила, както и предложените допълнителни гаранции. Бъдете наясно със следните рискове от засягане на личните права:
Фирма / работодател, използвайки видео канали, аларми или одитни регистри за:
Следи работното време на служителите в изследваното място – например време на пристигане и заминаване
Следи за ефективността на служителите, като следи къде прекарват времето си, времето, прекарано в кафемашината, времето, прекарано в тоалетните, стига да работят ефективно, независимо от задачата, която имат
Следи какво гледа служителят на екрана на компютъра си
Следи дали служителите спазват изискванията за работа или безопасност – например на строителни обекти
Показвайте видео записи на служители на други служители или мениджъри, за да тормозите служителя или да заплашвате други служители да направят същото
Проверете дали охранителите / операторите изпълняват ефективно задълженията си - например проверявайки дали активно използват клиентите, избират камери, изпълняват възпроизвеждания и т.н.
Фирма / собственик / оператор / охранители, използващи видео канали за:
Споделяне на видеозаписи на хора (служители на компанията или широката общественост) в неудобни или чувствителни ситуации в социалните медии
Използвайте PTZ камери, за да приближите хората, за да получите интимни / неподходящи близки записи от тях без тяхно знание
Фирма / собственик / оператор / охранители
Експортиране на видео или осигуряване на достъп до записано видео безкритично на всеки, който го поиска
Допълнителни източници за идентифициране на риска са:
На Milestone Ръководството за втвърдяване предоставя Рамката за управление на киберриска, като описва препоръчителните шест стъпки за категоризиране, подбор, прилагане, оценка, разрешаване и мониторинг на рисковете. На MilestoneРъководството за втвърдяване предоставя поредица от технически рискове и препоръчва прилагането му за смекчаване на рисковете. Те включват, но не се ограничават до, защитата на поверителността на VMS по отношение на поредица от нарушения на сигурността на данните и неоторизирани рискове за достъпа от слаба техническа конфигурация, проектиране и операции по поддръжка.
На Milestone В Ръководството за поверителност (настоящото) се съдържат препоръки за справяне с нетехническите операционни рискове, включително обработване на правата и исканията на субектите на данни, ролите и отговорностите на софтуера за управление на видеозаписи (VMS), образци за известие на място, политика за видеонаблюдение и споразумения за обработка на данни.
На Milestone Електронното обучение за поверителност на крайния потребител предоставя обучение за осведоменост за VMS операции и надзорни органи относно това как, при ежедневна работа, да се справят с рисковете за поверителността, свързани с VMS. Вижте повече информация за Milestone Уебсайт, готов за GDPR.