תקציר

GDPR היא תקנה שכבר משפיעה על האופן שבו ארגונים מטפלים בנתונים, כולל נתוני וידאו.

לכל הפחות, כל ארגון המעבד נתונים אישיים זקוק לאדם ייעודי אחד או יותר האחראי לוודא שהארגון מטפל בנתונים אישיים בהתאם ל-GDPR ולמדיניות החברה (מספר שעות האדם המוקצות לכך יהיה תלוי בגודל הארגון ובכמות הנתונים האישיים שנאספו ועובדו). בנוסף, עבור ארגונים מסוימים, GDPR ידרוש מינוי של קצין הגנת מידע רשמי (DPO) לביצוע משימות אלה.

כמו כן יחולו שינויים בהליך המנהלי. במסגרת ה-GDPR, ארגונים צריכים לשמור תיעוד מפורט ומדויק של פעילויות עיבוד נתונים. לתבנית לדוגמה של תיעוד של פעילויות עיבוד, עיין בתבנית תיעוד פעילויות עיבוד. יש מגוון של פרטים שיש להקליט, כולל אך לא רק:

כל זה רלוונטי כאשר מדובר בווידאו ממצלמות אבטחה מאוחסנות, ומוגדר במדיניות המעקב בווידאו (ראה נספח: מדיניות מעקב בווידאו).

ארגונים מחויבים להסביר מדוע מצלמת וידאו נמצאת במקום מסוים, מה מצלמים ולמה. במקרה של מעקב וידאו, שילוט מתאים באזור שבו נעשה שימוש במעקב הווידאו אמור לשמש כדי לספק מידע על כך.

מבקר הנתונים עשוי להיות מחויב לבצע הערכת השפעה על הגנה על נתונים (ראה נספח: הערכת השפעה של הגנה על נתונים) כשמדובר בהגדרת מצלמה במקום ציבורי. הערכת השפעה צריכה לכלול:

אחת התכונות העיקריות של ה-GDPR היא כי אלה שנמצאים במעקב צריכים להיות מעודכנים באופן מלא על מה נתונים מוחזקים עליהם וכיצד הוא נמצא בשימוש. הזכות להודעת מידע מיידעת אנשים המושפעים מ: מטרת המעקב, מי שומר את הנתונים שנאספים (בקר נתונים / מעבד נתונים), ומדיניות השמירה. לתבנית לדוגמה של הודעה על המקום, ראה Milestone תבנית הודעה על המקום.

ארגונים המאחסנים וידאו נושאים באחריות ברורה לאחסון נתונים אישיים ועליהם לנקוט באמצעים חזקים למניעת גישה בלתי מורשית. משמעות הדבר היא כי חשוב להגדיר, בכתב, מי יהיה גישה למצלמות והקלטות.

כמו כן, על ארגונים לקבוע נוהל שיקבע מתי אדם בוחר לממש את זכותו לגישה למידע אישי או לבקש את מחיקתו. זאת כדי שיוכלו להישאר בתוך חלון החודש שנקבע שבתוכו עליהם לציית לבקשות אלה במסגרת GDPR. בעת הגשת בקשה כזו, סביר לצפות מהחוקר לספק מידע הולם כדי לאתר נתונים אלה - למשל מסגרת זמן משוערת, והמיקום שבו צולם הסרטון. כלומר, הנבדק צריך לספק תעודות זהות רשמיות המוכיחות מי הם, והארגון צריך לרשום את ההקלטות המוצגות או המסופקות לאדם. יתר על כן, יש להסוות אנשים אחרים בסרטון, באמצעות כלי צד שלישי.

ארגונים צריכים להשתמש באמצעים חזקים כדי למנוע גישה בלתי מורשית לנתונים האישיים שהם מאחסנים. הטקטיקות המשמשות כל ארגון יהיו ייחודיות לאתגרים העומדים בפניהם. עם זאת, בכל המקרים, ארגונים חייבים להשתמש בבקרות אבטחה חזקות, להתעדכן בשיטות עבודה מומלצות לאבטחת סייבר ולוודא שהם עובדים עם שותפים מהימנים המספקים חומרה מאובטחת, תוכנה וטיפול עוקב יסודי.