Bilaga: Konsekvensanalys avseende dataskydd
Enligt artikel 35 i GDPR krävs en konsekvensbedömning avseende dataskydd om övervakningen
sannolikt kommer att medföra en hög risk för fysiska personers fri- och rättigheter, ska den registeransvarige före behandlingen göra en bedömning av den planerade behandlingens inverkan på skyddet av personuppgifter.
Den registeransvarige måste samråda med tillsynsmyndigheten före behandlingen om en konsekvensbedömning avseende dataskydd enligt artikel 35 visar att behandlingen skulle leda till en hög risk om den registeransvarige inte vidtar åtgärder för att minska risken (föregående samråd, artikel 36 i GDPR).
Skapa och underhåll en konsekvensbedömning avseende dataskydd, ett meddelande till berörda personer. Detta dokument:
Beskriver syftet med övervakning
Behålls av den registeransvarige eller registerföraren
Anger lagringsprincipen
En konsekvensbedömning avseende dataskydd bör utföras innan videoövervakningssystem installeras och implementeras om detta ger ett mervärde till organisationens ansträngningar att uppfylla kraven. Syftet med konsekvensbedömningen av uppgiftsskyddet är att fastställa hur det föreslagna systemet påverkar enskilda personers integritet och andra grundläggande rättigheter och att identifiera sätt att minska eller undvika eventuella negativa effekter.
Vilka insatser som är lämpliga för att investera i en konsekvensbedömning avseende dataskydd beror på omständigheterna. Ett videoövervakningssystem med stora inneboende risker, eller ett system som ger upphov till komplexa eller nya frågor, motiverar investeringar i mycket mer än ett system med jämförelsevis begränsad inverkan på den personliga integriteten och andra grundläggande rättigheter, såsom ett konventionellt statiskt CCTV-system som används för typiska säkerhetssyften.
Under alla omständigheter och i samtliga fall, oavsett om det är i en formell konsekvensbedömning avseende dataskydd eller på annat sätt, måste organisationerna bedöma och motivera om de ska tillgripa videoövervakning, hur de ska placera, välja och konfigurera sina system samt hur skyddsåtgärder för dataskydd ska genomföras.
Dessutom kan det finnas fall där en organisation föreslår ett system som inte är standard. I detta fall bör organisationen noggrant bedöma de planerade skillnaderna från praxis och rekommendationer, diskutera dessa med sitt dataskyddsombud och med andra intressenter samt dokumentera sin bedömning skriftligen, antingen i en formell konsekvensbedömning avseende dataskydd eller på annat sätt. Organisationens granskning av systemet bör också omfatta frågan om huruvida anpassningen av systemet är laglig.
Slutligen, på grund av deras komplexitet, nyhet, specificitet eller inneboende risker, rekommenderas det starkt att du genomför en konsekvensbedömning avseende dataskydd i följande fall:
Videoövervakning för andra syften än säkerhetssyften (inklusive för utredningssyften)
Videoövervakning av offentliga platser
Medarbetarövervakning
Övervakning på medlemsstaternas territorium och i tredjeländer
Särskilda kategorier av data
Områden med ökade förväntningar på integritetsskydd
Högteknologisk och/eller intelligent videoövervakning
Sammankopplade system
Ljudinspelning
Konsekvensbedömningen avseende dataskydd kan utföras internt eller av en oberoende leverantör. Bedömningen bör göras i ett tidigt skede av projektet. På grundval av resultaten av konsekvensbedömningen avseende dataskydd kan en organisation besluta:
Att avstå från eller ändra den planerade övervakningen och/eller
Att införa ytterligare skyddsåtgärder
Inneboende risker med att använda VMS
När du underhåller konsekvensanalysen för dataskydd bör du vara medveten om riskerna med att använda VMS.
Konsekvensbedömningen avseende dataskydd bör dokumenteras på lämpligt sätt. I princip bör man i en konsekvensbedömning avseende dataskydd tydligt ange de risker för den personliga integriteten och/eller andra grundläggande rättigheter som organisationen har identifierat, och de ytterligare skyddsåtgärder som föreslås. Var medveten om följande risker för intrång på personliga rättigheter:
Företag / arbetsgivare, använda videoflöden, larm eller användarloggar för att:
Övervaka arbetstiderna för de anställda på den undersökta platsen – till exempel ankomst- och avgångstid
Övervaka de anställdas effektivitet genom att övervaka var de tillbringar sin tid, hur mycket tid de tillbringar vid kaffemaskinen, hur mycket tid de tillbringar på toaletter, så länge de effektivt arbetar på vilken uppgift de än har
Övervaka vad den anställde tittar på på på sina datorskärmar
Övervaka om medarbetarna uppfyller arbets- eller säkerhetskrav – till exempel på byggarbetsplatser
Visa videoinspelningar av anställda för andra anställda eller chefer för att trakassera den anställde eller hota andra anställda att göra detsamma
Kontrollera om säkerhetsvakter/operatörer utför sina uppgifter effektivt – till exempel kontrollera om de aktivt använder klienterna, välja kameror, köra uppspelningar etc.
Företag / ägare / operatör / vakter, använda videoflöden för att:
Dela videoinspelningar av människor (anställda på företaget eller allmänheten) i pinsamma eller känsliga situationer på sociala medier
Använd PTZ-kameror för att zooma in på människor för att få intima / olämpliga närbilder av dem utan deras vetskap
Företag / ägare / operatör / vakter
Exportera video eller ge okritiskt tillgång till inspelad video till vem som helst som ber om det
Ytterligare källor för att identifiera risker är:
Den Milestone Härdningsguiden tillhandahåller en ram för hantering av cyberrisker som beskriver de sex rekommenderade stegen för kategorisering, urval, genomförande, bedömning, godkännande och övervakning av risker. Den MilestoneHärdningsguide ger en serie tekniska risker och rekommenderade implementeringar för att minska riskerna. Dessa inkluderar, men är inte begränsade till, skyddet av VMS-integritet i form av en serie dataintrång och obehöriga tillgångsrisker från svag teknisk konfiguration, design och underhållsåtgärder.
Den Milestone Integritetsguide (denna) ger rekommendationer om hantering av icke-tekniska operativa risker, inklusive hantering av registrerades rättigheter och förfrågningar, roller och ansvar för ett VMS, mallar för On-the-spot-notice, videoövervakningspolicy och avtal om personuppgiftsbiträden.
Den Milestone e-utbildning i slutanvändares integritet ger utbildning i medvetenhet hos VMS-operatörer och förmän om hur man i den dagliga driften hanterar VMS-relaterade integritetsrisker. Se mer information om Milestone GDPR-klar webbplats.