POLITICA DE SUPRAVEGHERE VIDEO

Legislația UE privind protecția datelor impune operatorului respectarea completă a următoarelor principii:

Obligația de conformitate cu normele privind protecția datelor se aplică fiecărui angajat al Operatorului.

Prezenta Politică explică modul în care protecția datelor cu caracter personal este garantată atunci când se realizează o monitorizare prin Sistemului de supraveghere video cu circuit închis (CCTV). Următoarele aspecte principale sunt obligatorii și explicate în acest document:

• prelucrarea datelor cu caracter personal se bazează pe temeiul legal al respectării unei obligații legale ale Operatorului, iar în situaţii excepţionale pe temeiul legal al interesului legitim al Operatorului;
• prelucrarea este transparentă față de persoanele vizate, care sunt informate prin intermediul unor semne de avertizare afișate la o distanță rezonabilă de locurile supuse monitorizării, astfel încât persoana vizată să poată recunoaște cu ușurință circumstanțele supravegherii înainte de a intra în zona monitorizată;
• faptul că nu sunt colectate date biometrice în decursul prelucrării;
• orice solicitare cu privire la datele cu caracter personal este tratată în mod serios și garantează persoanelor vizate respectarea drepturilor prevăzute de legislația europeană și națională privind protecția datelor în cazul prelucrării bazate pe obligația legală, respectiv interes legitim, în acele situaţii speciale;
• datele cu caracter personal sunt protejate de pierdere, alterare, dezvăluire sau acces neautorizat, prin implementarea de către Operator a unor măsuri de securitate adecvate.

Această Politică a fost elaborată pe baza Regulamentului GDPR și a legislației interne privind protecția datelor cu caracter personal. Orice altă reglementare (la nivel european sau național) poate declanșa necesitatea de a modifica sau completa această Politică.

„Sistem de supraveghere video cu circuit închis (CCTV)”

înseamnă utilizarea camerelor video pentru a transmite un semnal într-un anumit loc, pe un set limitat de monitoare.

„Operatorul de date cu caracter personal și/sau Băneasa”

înseamnă Băneasa Developments S.R.L., având sediul în Bucureşti, Str. Strada Bucureşti - Ploieşti nr. 42D, et. 2, e-mail: dpo@baneasa.ro, și se referă la entitatea care stabilește scopurile și mijloacele prelucrării datelor cu caracter personal.

„Persoanele împuternicite de Operator”

înseamnă entitățile care prelucrează datele cu caracter personal în numele operatorului.

„Persoanele vizate”

înseamnă persoana identificată sau identificabilă la care se referă datele cu caracter personal care sunt prelucrate. În sensul acestei Politici, persoanele vizate pot fi clienți sau reprezentanți, furnizori și/sau parteneri de afaceri.

„Legile europene de protecție a datelor cu caracter personal”

înseamnă toate legile și reglementările aplicabile în România, indiferent că se referă la legislație primară (cum ar fi legile naționale și / sau GDPR, definite mai jos) sau legislația secundară (cum ar fi Orientările grupului de lucru sau alte orientări emise de Autoritatea de Supraveghere), aplicabile prelucrării de date cu caracter personal pentru scopurile prezentei Politici.

„GDPR/ RGPD (Regulamentul general privind protecția datelor)

înseamnă Regulamentul nr. 679/2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE.

”Legea nr. 333/2003”

înseamnă Legea nr. 333/2003 privind paza obiectivelor, bunurilor, valorilor şi protecţia persoanelor.

„Norme metodologice”

înseamnă Normele metodologice la Legea nr. 333/2003 aprobate prin Hotărârea de Guvern nr. 301/2012.

„Date cu caracter personal”

înseamnă orice informație referitoare la o persoană fizică identificată sau identificabilă și, informații care sunt protejate în conformitate cu Legile europene de protecție a datelor cu caracter personal.

„Prelucrare”

înseamnă orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea.

„Autoritatea de Supraveghere”

înseamnă Autoritatea Națională de Supraveghere și Protecție a Datelor cu Caracter Personal sau orice altă autoritate căreia îi sunt atribuite responsabilitățile de protecție a datelor, atribuite în conformitate cu legile și reglementările UE privind protecția datelor din orice stat membru.

Prezenta Politică se aplică Sistemului de supraveghere video cu circuit închis (CCTV) care surprinde imagini ale unor persoane identificate, prelucrate în scopul asigurării securității și identificării potențialelor activităților infracționale, pentru a asigura siguranța și confortul personalului și a clienților, în conformitate cu Legea 333 / 2003. Politica se aplică, de asemenea, informațiilor referitoare la persoane fizice, în scopul monitorizării activităților din spațiile Operatorului de date, cum ar fi parcările și alte zone publice.

Prelucrarea datelor cu caracter personal (colectare, utilizare, stocare etc.), prin monitorizarea realizată cu ajutorul Sistemului de supraveghere video cu circuit închis (CCTV) se va face cu respectarea strictă a obligațiilor legale ale Operatorului.

• Datele personale sunt prelucrate pe baza unui temei legal – respectarea unei obligaţii legale şi/sau a unui interes legitim
  • Obligaţie legală

Operatorul efectuează operațiuni de monitorizare prin mijloace automatizate, cum ar fi Sistemul de supraveghere video cu circuit închis (CCTV), pentru a respecta obligația legală impusă de Normele metodologice aferente Legii 333/2003.

Conform Legii 333/2003 și a Normelor metodologice ale acesteia, spațiile comerciale cu o suprafață care depășește 500 mp ar trebui să implementeze anumite măsuri minime de securitate[1], printre care Sistemul de supraveghere video cu circuit închis (CCTV). Mai mult, articolul 15 alin. (3) din Anexa 1 din Normele metodologice definește sistemele de supraveghere video CCTV care ar trebui să fie puse în aplicare: „Prin subsistemul de televiziune cu circuit închis trebuie să se preia imagini din zonele caselor de marcat, intrărilor şi ieşirilor, spaţiilor de procesare, depozitare şi de transfer al valorilor, precum şi din spaţiile amenajate pentru parcare. Imaginile înregistrate trebuie să aibă calitatea necesară recunoaşterii persoanelor din spaţiul clienţilor şi se stochează pe o perioadă de 20 de zile.” Zonele în care există un nivel ridicat de așteptări privind confidențialitatea nu sunt monitorizate, cum ar fi birouri, toalete și alte locații similare.

De asemenea, inclusiv în situațiile în care datele prelucrate prin Sistemul de supraveghere video cu circuit închis (CCTV) sunt solicitate de către autorităţile publice competente, situaţii care necesită un termen de stocare a datelor cu caracter personal pentru o perioadă mai mare celor 20 zile prevăzute de către Legea 333/2003, această prelucrare se va întemeia pe temeiul legal al îndeplinirii unei obligaţii legale a Operatorului. În caz contrar, în situaţia necooperării cu autorităţile publice competente, Operatorul este pasibil de a fi sancţionat cu amenda de la 5.000 lei la 10.000 lei[2]. Termenul instituit de operator pentru stocarea datelor cu caracter personal în ipoteza solicitării acestor date de către autorităţile publice competente şi neridicarea în interiorul termenului de 20 de zile nu va depăşi 3 ani.

• Interes legitim

În ipoteza în care datele cu caracter personal prelucrate prin sistemul de supraveghere video CCTV fac obiectul unei cereri exprese a partenerilor contractuali ai Operatorului (chiriaşii centrului comercial), în vederea deschiderii şi cercetării unei proceduri disciplinare cu privire la proprii angajaţi, Operatorul va putea transmite şi, eventual, stoca aceste date pentru o perioadă mai mare celor 20 zile prevăzute de către Legea 333/20003 în baza interesului legitim al Operatorului. Interesul legitim va face obiectul unei evaluări de tip LIA (”Legitimate Interest Analysis” sau „Evaluare Interes Legitim”), pentru identificarea proporționalității între interesul Operatorului și drepturile persoanei/-lor vizate, astfel încât legalitatea prelucrării să nu fie periclitată.

• Prelucrarea este limitată numai la ceea ce este necesar pentru atingerea scopului prelucrării de către Operator
  • Obiectivele prelucrării Operatorului sunt colectate adecvat, relevante și limitate la ceea ce este necesar în legătură cu scopurile pentru care sunt prelucrate („minimizarea datelor”)

Scopul supravegherii video efectuate de Operator este respectarea legislației care impune centrelor comerciale să aibă sisteme CCTV în scopuri de securitate. Prin urmare, Operatorul respectă cerințele legale și nu le depășește. Orice minimizare a datelor constând în prelucrarea a mai puține date decât se impune prin lege, trebuie interpretată ca fiind contrară legii. Criteriile de „minimizare a datelor” sunt îndeplinite în ceea ce privește locația, aria de acoperire, rezoluția și alte aspecte ale configurării Sistemului de supraveghere video cu circuit închis (CCTV) care sunt adecvate, relevante și care nu sunt excesive în ceea ce privește atingerea scopurilor specificate și în respectarea legii care le impune. De asemenea, camerele CCTV sunt amplasate numai în zonele admise / enumerate de Normele metodologice.

• Datele personale colectate de către Operator sunt exacte, complete și confidențiale (“acuratețe și confidențialitate”)

Datele personale colectate sunt imagini în mișcare, în timp real. Camerele CCTV înregistrează 24 de ore, 7 zile pe săptămână imagini video (fără sunet). Aceste imagini pot deveni oricând statice, punând player-ul pe pauză. Camerele CCTV transmit informații prin comutatoare până când ajung la un server video. Serverele video stochează informațiile și le transmit către stațiile de lucru, care pot fi accesibile atât de la staţiile de lucru, cât şi de la monitoarele existente în camera de securitate. Datele colectate sunt corecte în ceea ce privește rezoluția și calitatea imaginii a camerelor CCTV.

În același timp, datele colectate sunt confidențiale, având în vedere măsurile de securitate întreprinse de Băneasa:

• serverele care stochează imaginile înregistrate sunt amplasate în spații sigure și protejate prin măsuri suplimentare de securitate fizică;
• sunt instalate firewall-uri de rețea pentru a proteja perimetrul logistic al infrastructurii IT;
• drepturile de acces ale utilizatorilor sunt acordate numai sistemelor care sunt strict necesare pentru îndeplinirea rolurilor lor;
• există un acces definit și limitat la datele cu caracter personal și la camera de securitate.
  • Prelucrarea datelor cu caracter personal este realizată pentru perioada necesară pentru îndeplinirea scopului prelucrării (“limitări legate de stocare”)

Imaginile înregistrate sunt stocate timp de 20 de zile, în conformitate cu Anexa nr. 1 din Normele metodologice. După o astfel de perioadă, imaginile înregistrate sunt șterse automat.

Cu toate acestea, în cazul unor situații specifice, mai exact în cazul în care autoritățile publice competente solicită copii ale imaginilor înregistrate în scopul investigării unei eventuale infracțiuni, perioada de păstrare este până la finalizarea investigației de către autoritatea care o solicită, însă nu depășește un interval de timp de 3 ani de la data înregistrării.

Persoanele vizate au următoarele drepturi:

a) dreptul de a fi informat,

b) dreptul de acces,

c) dreptul la rectificare,

d) dreptul la ștergerea datelor (dreptul de a fi uitat),

e) dreptul la restricționarea prelucrării,

f) dreptul la portabilitatea datelor,

g) dreptul de a se opune prelucrării,

h) dreptul de a nu fi supus unei decizii automate.

Cu toate acestea, având în vedere că baza legală pentru prelucrarea datelor prin Sistemul de supraveghere video cu circuit închis (CCTV) este obligația legală prevăzută de Legea 333/2003, drepturile persoanelor vizate de la litera c)[3], d)[4], f)[5], g)[6] nu sunt aplicabile, potrivit GDPR.

Având în vedere numărul mare de persoane care frecventează centrul comercial, dreptul de acces poate fi exercitat de către persoanele vizate în interiorul termenului de stocare de 20 de zile în situaţia în care cererea de acces menţionează în mod expres (i) data şi ora înregistrării, (ii) zona aflată sub supraveghere video în care se regăsea persoana vizată şi (iii) detalii privind identificarea persoanei vizate, precum vestimentaţia, detalii fizice etc.

În situaţia cererilor de acces vizând zona parcărilor, acestea vor fi procesate, iar dreptul de acces va fi acordat în măsura în care Sistemul de supraveghere video cu circuit închis (CCTV) prelucrează date cu caracter personal (i.e. numărul de înmatriculare al maşinii) pe baza cărora poate fi identificată sau identificabilă persoana vizată.

• Informarea persoanelor vizate despre activitatea de prelucrare de către operator

Informarea persoanelor vizate se realizează clar și permanent, printr-un semn adecvat, cu vizibilitate suficientă și amplasate în zona supravegheată, astfel încât să semnalizeze existența camerelor de supraveghere, dar și să comunice informațiile esențiale privind prelucrarea datelor cu caracter personal. Persoanele vizate sunt informate despre existența sistemului de supraveghere video prin note informative adecvate.

Ce informații trebuie puse la dispoziția persoanelor vizate?
Identitatea și datele de contact ale Operatorului și ale DPO-ului (dacă este cazul)	✓
Scopul și temeiul prelucrării	✓
Categorii de date cu caracter personal prelucrate	✓
Destinatarii sau categoriile de destinatari ale datelor cu caracter personal	✓
Perioada de retenție sau criteriile de stabilire a perioadei de retenție	✓
Existența drepturilor persoanelor vizate	✓

1. Operatorul a adoptat următoarele măsuri tehnice și organizatorice:

Pentru a vă proteja datele personale, au fost puse în aplicare o serie de măsuri tehnice și organizatorice. Măsurile tehnice includ acțiuni adecvate pentru a aborda securitatea online, riscul pierderii datelor, modificarea datelor sau accesul neautorizat, luând în considerare riscul prezentat de prelucrare și natura datelor prelucrate. Măsurile organizatorice includ restricționarea accesului la date la persoanele autorizate, care au un interes legitim raportat la scopul prelucrării.

Au fost introduse următoarele măsuri tehnice și organizatorice:

1. să vizioneze filmările în timp real: imaginile care sunt realizate în timp real sunt accesibile ofițerilor și agenților desemnați să desfășoare activitatea de supraveghere;
2. să urmărească înregistrarea materialului filmat: vizualizarea imaginilor înregistrate se va face în cazuri justificate, cum ar fi cazurile prevăzute în mod expres de lege și incidente de securitate, de către persoanele special desemnate;
3. pentru a copia, descărca, șterge sau modifica orice material filmat.
1. Angajații şi/sau persoanele din afara Băneasa care au acces la datele cu caracter personal

Operatorul desemnează persoane care să gestioneze și să controleze datele personale colectate din sistemele de supraveghere video CCTV, conform Anexei 1 la prezenta Politica de supraveghere video.

Doar personalul autorizat, identificat in Anexa 1, va avea acces la datele colectate, acesta fiind obligat să se supună întru totul măsurilor prezentate în această Politică.

Operatorul se asigură că tot personalul din subordine implicat în funcționarea sistemului de supraveghere video CCTV este instruit și informat cu privire la toate aspectele funcționale, operaționale și administrative ale acestei activități.

• Destinatari ai datelor

Predarea de imagini/înregistrări surprinse de sistemele CCTV, către persoanele vizate care justifică un interes, cât și către chiriașii Operatorului, care acționează ca operatori independenți, în urma solicitării acestora, va face obiectul unei evaluări a interesului legitim a acestora, pentru a determina proporționalitatea între scopul urmărit de solicitantul înregistrării/imaginilor și drepturile persoanelor vizate care ar putea fi afectate de dezvăluirea acestora.

În funcție de rezultatul unei astfel de analize, înregistrările/imaginile pot fi predate, pe bază de proces-verbal de predare primire, către solicitant, împreună cu o Declarație de angajament din partea acestuia prin care să se prevadă, între altele următoarele:

• Destinatarul datelor se angajează să le folosească exclusiv în scopul declarat în solicitarea adresată Operatorului (ex. predarea către organele de cercetare penală în cazul unei infracțiuni, recuperarea unui prejudiciu în cadrul unei proceduri contencioase/necontencioase, identificarea unui prejudiciu suferit de către angajator sau de către un terț ca urmare a unui comportament defectuos al unui angajat, efectuarea unei cercetări disciplinare etc.);
• Destinatarul datelor se angajează să nu facă publice imaginile/înregistrările sau orice alte date cu caracter personal rezultate din analiza acestora, în mediul online sau offline;
• Orice altă utilizare a datelor de către destinatar este strict interzisă, Operatorul fiind exonerat de orice responsabilitate într-un asemenea caz.

BĂNEASA DEVELOPMENTS S.R.L.

Anexa 1

Personalul autorizat cu acces la datele cu caracter personal

Firma	Calitatea deţinută
Departamentul Site Operations Băneasa Developments SRL	Director Operatiuni Tehnice
Manager Operatiuni Tehnice in Site – Automatizare
Manager Servicii Tehnice
Supervizori Activitati in Site - max. 5
Compania de Paza.RO*	Dispecer - max. 4
Șef Obiectiv - max. 2
ICCO Systems S.R.L.**	Inginer întreținere - max. 4

*în calitate de furnizor de servicii de Securitate

**în calitate de furnizor de servicii de mentenanţă servicii de Securitate

[1] Art. 15 alin. (1) din Anexa nr. 1 din Normele metodologice: “În spaţiile comerciale cu suprafeţe mai mari de 500 m2 măsurile de securitate adoptate trebuie să corespundă prezentelor cerinţe minimale de securitate.”

[2] Art. 58 lit. k) din Legea 333/2003: “refuzul de a furniza datele, informaţiile sau documentele solicitate de către reprezentanţii autorităţilor publice competente, potrivit legii, aflaţi în exerciţiul funcţiunii”

[3] Faptul că dreptul de rectificare presupune dreptul persoanei vizate de a obține de la Operator, fără întârziere nejustificată, rectificarea datelor sale cu caracter personal inexacte, acest drept nu se aplică în ceea ce privește activitatea de supraveghere video.

[4] Având în vedere că temeiul legal pentru prelucrarea datelor este respectarea unei obligații legale, dreptul la ștergerea datelor cu caracter personal al persoanelor vizate nu este aplicabil, conform articolului 17 alin. (3) litera b) din GDPR.

[5] Având în vedere că temeiul legal al prelucrării datelor este îndeplinirea unei obligații legale, dreptul la portabilitatea datelor persoanelor vizate nu este aplicabil, potrivit punctului 68 din Preambulul GDPR și art. 20 al GDPR.

[6] În conformitate cu punctul 69 din Preambulul GDPR și cu articolul 21 alin. (1) din GDPR, dreptul la opoziție al persoanelor vizate nu se aplică în cazul prelucrării bazate pe îndeplinirea unei obligații legale.