Summering

GDPR är en förordning som redan påverkar hur organisationer hanterar data, inklusive videodata.

Som ett minimum behöver varje organisation som behandlar personuppgifter en eller fler utsedda personer som ansvarar för att organisationen hanterar personuppgifter i linje med GDPR och företagspolicy (antalet arbetstimmar som tilldelas för detta beror på organisationens storlek och mängden personuppgifter som samlas in och behandlas). För vissa organisationer kommer GDPR dessutom att kräva att ett formellt dataskyddsombud (DPO) utses för att utföra dessa uppgifter.

Det kommer också att ske förändringar i den administrativa processen. Enligt GDPR måste organisationer föra detaljerade och korrekta register över databehandlingsaktiviteter. För en exempelmall för en post för bearbetningsaktiviteter, se mallen Record of Processing Activities. Det finns en rad detaljer som måste spelas in, inklusive men inte begränsat till:

Allt detta är relevant när det gäller lagrad övervakningsvideo, och anges i Videoövervakningspolicyn (se Bilaga: Policy för videoövervakning).

Organisationer är skyldiga att förklara varför en videokamera är på en viss plats, vad som spelas in och varför. Vid videoövervakning bör lämplig skyltning användas i och runt det område där videoövervakningen används för att ge information om detta.

Den registeransvarige kan vara skyldig att göra en konsekvensbedömning avseende dataskydd (se Bilaga: Konsekvensanalys avseende dataskydd) när det gäller att sätta upp en kamera på en offentlig plats. En konsekvensanalys bör innehålla följande:

En av de viktigaste funktionerna i GDPR är att de som övervakas behöver vara fullt informerade om vilka data som lagras på dem och hur de används. Rätten till informationsmeddelande informerar de personer som berörs om: syftet med övervakningen, vem som lagrar de uppgifter som samlas in (registeransvarig/registerförare) och lagringspolicyn. För en exempelmall med ett meddelande på plats, se Milestone Mall för on-the-spot notice.

Organisationer som lagrar video har ett tydligt ansvar när det gäller att lagra personuppgifter och måste vidta robusta åtgärder för att förhindra obehörig tillgång. Det innebär att det är viktigt att skriftligen ange vem som ska ha tillgång till kamerorna och inspelningarna.

Organisationer bör också ha ett förfarande för när en person väljer att utöva sin rätt att få tillgång till personuppgifter eller begära att de raderas. Detta för att de ska kunna hålla sig inom den föreskrivna månadslånga tidsperioden inom vilken de måste uppfylla dessa krav enligt GDPR. När du gör en sådan begäran är det rimligt att förvänta sig att den som gör en förfrågan tillhandahåller adekvat information för att hitta denna data – till exempel en ungefärlig tidsram och platsen där videon spelades in. Försökspersonen bör alltså tillhandahålla officiella identitetshandlingar som visar vem han eller hon är, och organisationen bör registrera de inspelningar som visas eller tillhandahålls personen. Dessutom bör andra personer i videon maskeras ut med hjälp av tredjepartsverktyg.

Organisationer bör vidta kraftfulla åtgärder för att förhindra obehörig tillgång till de personuppgifter som de lagrar. Varje organisations taktik kommer att vara unik för de utmaningar de står inför. I samtliga fall måste dock organisationer använda robusta säkerhetskontroller, hålla sig uppdaterade med bästa praxis för cybersäkerhet och säkerställa att de arbetar med betrodda partner som tillhandahåller säker hårdvara, programvara och grundlig eftervård.