Această politică de supraveghere video (a) se aplică prelucrării datelor cu caracter personal prin intermediul Sistemului de supraveghere video cu circuit închis (CCTV) și (b) nu răspunde obligațiilor pe care operatorul le poate avea în conformitate cu alte legi, în afara celor menționate aici (denumită în continuare „Politica”). Respectarea și aplicarea corectă a acestei Politici va fi monitorizată strict de către Operator. |
Legislația UE privind protecția datelor impune operatorului respectarea completă a următoarelor principii:
Legalitate, echitate și transparență |
Datele cu caracter personal trebuie prelucrate în mod legal, echitabil și transparent față de persoana vizată. |
Limitarea scopului |
Datele cu caracter personal trebuie colectate în scopuri determinate, explicite și legitime și nu trebuie prelucrate ulterior într-o manieră incompatibilă cu scopurile respective. |
Reducerea la minimum a datelor |
Datele personale trebuie să fie adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate. |
Exactitatea |
Datele cu caracter personal trebuie să fie exacte și, în cazul în care este necesar, să fie actualizate. |
Limitarea stocării |
Datele personale trebuie păstrate într-o formă care permite identificarea persoanelor vizate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor în care sunt prelucrate datele. |
Integritatea și confidențialitatea datelor |
Datele personale trebuie prelucrate într-un mod care asigură securitatea adecvată a datelor cu caracter personal, inclusiv protecția împotriva prelucrăriii neautorizate sau ilegale sau împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin luarea de măsuri tehnice sau organizatorice corespunzătoare. |
Responsabilitatea |
Operatorul este responsabil de respectarea prevederilor sus-citate și trebuie să poată demonstra această respectare în conformitate cu Legile europene de protecție a datelor cu caracter personal. |
Obligația de conformitate cu normele privind protecția datelor se aplică fiecărui angajat al Operatorului.
Prezenta Politică explică modul în care protecția datelor cu caracter personal este garantată atunci când se realizează o monitorizare prin Sistemului de supraveghere video cu circuit închis (CCTV). Următoarele aspecte principale sunt obligatorii și explicate în acest document:
Această Politică a fost elaborată pe baza Regulamentului GDPR și a legislației interne privind protecția datelor cu caracter personal. Orice altă reglementare (la nivel european sau național) poate declanșa necesitatea de a modifica sau completa această Politică.
„Sistem de supraveghere video cu circuit închis (CCTV)”
înseamnă utilizarea camerelor video pentru a transmite un semnal într-un anumit loc, pe un set limitat de monitoare.
„Operatorul de date cu caracter personal și/sau Băneasa”
înseamnă Băneasa Developments S.R.L., având sediul în Bucureşti, Str. Strada Bucureşti - Ploieşti nr. 42D, et. 2, e-mail: dpo@baneasa.ro, și se referă la entitatea care stabilește scopurile și mijloacele prelucrării datelor cu caracter personal.
„Persoanele împuternicite de Operator”
înseamnă entitățile care prelucrează datele cu caracter personal în numele operatorului.
„Persoanele vizate”
înseamnă persoana identificată sau identificabilă la care se referă datele cu caracter personal care sunt prelucrate. În sensul acestei Politici, persoanele vizate pot fi clienți sau reprezentanți, furnizori și/sau parteneri de afaceri.
„Legile europene de protecție a datelor cu caracter personal”
înseamnă toate legile și reglementările aplicabile în România, indiferent că se referă la legislație primară (cum ar fi legile naționale și / sau GDPR, definite mai jos) sau legislația secundară (cum ar fi Orientările grupului de lucru sau alte orientări emise de Autoritatea de Supraveghere), aplicabile prelucrării de date cu caracter personal pentru scopurile prezentei Politici.
„GDPR/ RGPD (Regulamentul general privind protecția datelor)
înseamnă Regulamentul nr. 679/2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE.
”Legea nr. 333/2003”
înseamnă Legea nr. 333/2003 privind paza obiectivelor, bunurilor, valorilor şi protecţia persoanelor.
„Norme metodologice”
înseamnă Normele metodologice la Legea nr. 333/2003 aprobate prin Hotărârea de Guvern nr. 301/2012.
„Date cu caracter personal”
înseamnă orice informație referitoare la o persoană fizică identificată sau identificabilă și, informații care sunt protejate în conformitate cu Legile europene de protecție a datelor cu caracter personal.
„Prelucrare”
înseamnă orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea.
„Autoritatea de Supraveghere”
înseamnă Autoritatea Națională de Supraveghere și Protecție a Datelor cu Caracter Personal sau orice altă autoritate căreia îi sunt atribuite responsabilitățile de protecție a datelor, atribuite în conformitate cu legile și reglementările UE privind protecția datelor din orice stat membru.
Prezenta Politică se aplică Sistemului de supraveghere video cu circuit închis (CCTV) care surprinde imagini ale unor persoane identificate, prelucrate în scopul asigurării securității și identificării potențialelor activităților infracționale, pentru a asigura siguranța și confortul personalului și a clienților, în conformitate cu Legea 333 / 2003. Politica se aplică, de asemenea, informațiilor referitoare la persoane fizice, în scopul monitorizării activităților din spațiile Operatorului de date, cum ar fi parcările și alte zone publice.
Prelucrarea datelor cu caracter personal (colectare, utilizare, stocare etc.), prin monitorizarea realizată cu ajutorul Sistemului de supraveghere video cu circuit închis (CCTV) se va face cu respectarea strictă a obligațiilor legale ale Operatorului.
Operatorul efectuează operațiuni de monitorizare prin mijloace automatizate, cum ar fi Sistemul de supraveghere video cu circuit închis (CCTV), pentru a respecta obligația legală impusă de Normele metodologice aferente Legii 333/2003.
Conform Legii 333/2003 și a Normelor metodologice ale acesteia, spațiile comerciale cu o suprafață care depășește 500 mp ar trebui să implementeze anumite măsuri minime de securitate[1], printre care Sistemul de supraveghere video cu circuit închis (CCTV). Mai mult, articolul 15 alin. (3) din Anexa 1 din Normele metodologice definește sistemele de supraveghere video CCTV care ar trebui să fie puse în aplicare: „Prin subsistemul de televiziune cu circuit închis trebuie să se preia imagini din zonele caselor de marcat, intrărilor şi ieşirilor, spaţiilor de procesare, depozitare şi de transfer al valorilor, precum şi din spaţiile amenajate pentru parcare. Imaginile înregistrate trebuie să aibă calitatea necesară recunoaşterii persoanelor din spaţiul clienţilor şi se stochează pe o perioadă de 20 de zile.” Zonele în care există un nivel ridicat de așteptări privind confidențialitatea nu sunt monitorizate, cum ar fi birouri, toalete și alte locații similare.
De asemenea, inclusiv în situațiile în care datele prelucrate prin Sistemul de supraveghere video cu circuit închis (CCTV) sunt solicitate de către autorităţile publice competente, situaţii care necesită un termen de stocare a datelor cu caracter personal pentru o perioadă mai mare celor 20 zile prevăzute de către Legea 333/2003, această prelucrare se va întemeia pe temeiul legal al îndeplinirii unei obligaţii legale a Operatorului. În caz contrar, în situaţia necooperării cu autorităţile publice competente, Operatorul este pasibil de a fi sancţionat cu amenda de la 5.000 lei la 10.000 lei[2]. Termenul instituit de operator pentru stocarea datelor cu caracter personal în ipoteza solicitării acestor date de către autorităţile publice competente şi neridicarea în interiorul termenului de 20 de zile nu va depăşi 3 ani.
În ipoteza în care datele cu caracter personal prelucrate prin sistemul de supraveghere video CCTV fac obiectul unei cereri exprese a partenerilor contractuali ai Operatorului (chiriaşii centrului comercial), în vederea deschiderii şi cercetării unei proceduri disciplinare cu privire la proprii angajaţi, Operatorul va putea transmite şi, eventual, stoca aceste date pentru o perioadă mai mare celor 20 zile prevăzute de către Legea 333/20003 în baza interesului legitim al Operatorului. Interesul legitim va face obiectul unei evaluări de tip LIA (”Legitimate Interest Analysis” sau „Evaluare Interes Legitim”), pentru identificarea proporționalității între interesul Operatorului și drepturile persoanei/-lor vizate, astfel încât legalitatea prelucrării să nu fie periclitată.
Scopul supravegherii video efectuate de Operator este respectarea legislației care impune centrelor comerciale să aibă sisteme CCTV în scopuri de securitate. Prin urmare, Operatorul respectă cerințele legale și nu le depășește. Orice minimizare a datelor constând în prelucrarea a mai puține date decât se impune prin lege, trebuie interpretată ca fiind contrară legii. Criteriile de „minimizare a datelor” sunt îndeplinite în ceea ce privește locația, aria de acoperire, rezoluția și alte aspecte ale configurării Sistemului de supraveghere video cu circuit închis (CCTV) care sunt adecvate, relevante și care nu sunt excesive în ceea ce privește atingerea scopurilor specificate și în respectarea legii care le impune. De asemenea, camerele CCTV sunt amplasate numai în zonele admise / enumerate de Normele metodologice.
Datele personale colectate sunt imagini în mișcare, în timp real. Camerele CCTV înregistrează 24 de ore, 7 zile pe săptămână imagini video (fără sunet). Aceste imagini pot deveni oricând statice, punând player-ul pe pauză. Camerele CCTV transmit informații prin comutatoare până când ajung la un server video. Serverele video stochează informațiile și le transmit către stațiile de lucru, care pot fi accesibile atât de la staţiile de lucru, cât şi de la monitoarele existente în camera de securitate. Datele colectate sunt corecte în ceea ce privește rezoluția și calitatea imaginii a camerelor CCTV.
În același timp, datele colectate sunt confidențiale, având în vedere măsurile de securitate întreprinse de Băneasa:
Imaginile înregistrate sunt stocate timp de 20 de zile, în conformitate cu Anexa nr. 1 din Normele metodologice. După o astfel de perioadă, imaginile înregistrate sunt șterse automat.
Cu toate acestea, în cazul unor situații specifice, mai exact în cazul în care autoritățile publice competente solicită copii ale imaginilor înregistrate în scopul investigării unei eventuale infracțiuni, perioada de păstrare este până la finalizarea investigației de către autoritatea care o solicită, însă nu depășește un interval de timp de 3 ani de la data înregistrării.
Persoanele vizate au următoarele drepturi:
a) dreptul de a fi informat,
b) dreptul de acces,
c) dreptul la rectificare,
d) dreptul la ștergerea datelor (dreptul de a fi uitat),
e) dreptul la restricționarea prelucrării,
f) dreptul la portabilitatea datelor,
g) dreptul de a se opune prelucrării,
h) dreptul de a nu fi supus unei decizii automate.
Cu toate acestea, având în vedere că baza legală pentru prelucrarea datelor prin Sistemul de supraveghere video cu circuit închis (CCTV) este obligația legală prevăzută de Legea 333/2003, drepturile persoanelor vizate de la litera c)[3], d)[4], f)[5], g)[6] nu sunt aplicabile, potrivit GDPR.
Având în vedere numărul mare de persoane care frecventează centrul comercial, dreptul de acces poate fi exercitat de către persoanele vizate în interiorul termenului de stocare de 20 de zile în situaţia în care cererea de acces menţionează în mod expres (i) data şi ora înregistrării, (ii) zona aflată sub supraveghere video în care se regăsea persoana vizată şi (iii) detalii privind identificarea persoanei vizate, precum vestimentaţia, detalii fizice etc.
În situaţia cererilor de acces vizând zona parcărilor, acestea vor fi procesate, iar dreptul de acces va fi acordat în măsura în care Sistemul de supraveghere video cu circuit închis (CCTV) prelucrează date cu caracter personal (i.e. numărul de înmatriculare al maşinii) pe baza cărora poate fi identificată sau identificabilă persoana vizată.
Informarea persoanelor vizate se realizează clar și permanent, printr-un semn adecvat, cu vizibilitate suficientă și amplasate în zona supravegheată, astfel încât să semnalizeze existența camerelor de supraveghere, dar și să comunice informațiile esențiale privind prelucrarea datelor cu caracter personal. Persoanele vizate sunt informate despre existența sistemului de supraveghere video prin note informative adecvate.
Ce informații trebuie puse la dispoziția persoanelor vizate? |
|
Identitatea și datele de contact ale Operatorului și ale DPO-ului (dacă este cazul) |
✓ |
Scopul și temeiul prelucrării |
✓ |
Categorii de date cu caracter personal prelucrate |
✓ |
Destinatarii sau categoriile de destinatari ale datelor cu caracter personal |
✓ |
Perioada de retenție sau criteriile de stabilire a perioadei de retenție |
✓ |
Existența drepturilor persoanelor vizate |
✓ |
Pentru a vă proteja datele personale, au fost puse în aplicare o serie de măsuri tehnice și organizatorice. Măsurile tehnice includ acțiuni adecvate pentru a aborda securitatea online, riscul pierderii datelor, modificarea datelor sau accesul neautorizat, luând în considerare riscul prezentat de prelucrare și natura datelor prelucrate. Măsurile organizatorice includ restricționarea accesului la date la persoanele autorizate, care au un interes legitim raportat la scopul prelucrării.
Au fost introduse următoarele măsuri tehnice și organizatorice:
Operatorul desemnează persoane care să gestioneze și să controleze datele personale colectate din sistemele de supraveghere video CCTV, conform Anexei 1 la prezenta Politica de supraveghere video.
Doar personalul autorizat, identificat in Anexa 1, va avea acces la datele colectate, acesta fiind obligat să se supună întru totul măsurilor prezentate în această Politică.
Operatorul se asigură că tot personalul din subordine implicat în funcționarea sistemului de supraveghere video CCTV este instruit și informat cu privire la toate aspectele funcționale, operaționale și administrative ale acestei activități.
Predarea de imagini/înregistrări surprinse de sistemele CCTV, către persoanele vizate care justifică un interes, cât și către chiriașii Operatorului, care acționează ca operatori independenți, în urma solicitării acestora, va face obiectul unei evaluări a interesului legitim a acestora, pentru a determina proporționalitatea între scopul urmărit de solicitantul înregistrării/imaginilor și drepturile persoanelor vizate care ar putea fi afectate de dezvăluirea acestora.
În funcție de rezultatul unei astfel de analize, înregistrările/imaginile pot fi predate, pe bază de proces-verbal de predare primire, către solicitant, împreună cu o Declarație de angajament din partea acestuia prin care să se prevadă, între altele următoarele:
BĂNEASA DEVELOPMENTS S.R.L.
Anexa 1
Personalul autorizat cu acces la datele cu caracter personal
Firma |
Calitatea deţinută |
Departamentul Site Operations Băneasa Developments SRL |
Director Operatiuni Tehnice |
Manager Operatiuni Tehnice in Site – Automatizare |
|
Manager Servicii Tehnice |
|
Supervizori Activitati in Site - max. 5 |
|
Compania de Paza.RO* |
Dispecer - max. 4 |
Șef Obiectiv - max. 2 |
|
ICCO Systems S.R.L.** |
Inginer întreținere - max. 4 |
*în calitate de furnizor de servicii de Securitate
**în calitate de furnizor de servicii de mentenanţă servicii de Securitate
[1] Art. 15 alin. (1) din Anexa nr. 1 din Normele metodologice: “În spaţiile comerciale cu suprafeţe mai mari de 500 m2 măsurile de securitate adoptate trebuie să corespundă prezentelor cerinţe minimale de securitate.”
[2] Art. 58 lit. k) din Legea 333/2003: “refuzul de a furniza datele, informaţiile sau documentele solicitate de către reprezentanţii autorităţilor publice competente, potrivit legii, aflaţi în exerciţiul funcţiunii”
[3] Faptul că dreptul de rectificare presupune dreptul persoanei vizate de a obține de la Operator, fără întârziere nejustificată, rectificarea datelor sale cu caracter personal inexacte, acest drept nu se aplică în ceea ce privește activitatea de supraveghere video.
[4] Având în vedere că temeiul legal pentru prelucrarea datelor este respectarea unei obligații legale, dreptul la ștergerea datelor cu caracter personal al persoanelor vizate nu este aplicabil, conform articolului 17 alin. (3) litera b) din GDPR.
[5] Având în vedere că temeiul legal al prelucrării datelor este îndeplinirea unei obligații legale, dreptul la portabilitatea datelor persoanelor vizate nu este aplicabil, potrivit punctului 68 din Preambulul GDPR și art. 20 al GDPR.
[6] În conformitate cu punctul 69 din Preambulul GDPR și cu articolul 21 alin. (1) din GDPR, dreptul la opoziție al persoanelor vizate nu se aplică în cazul prelucrării bazate pe îndeplinirea unei obligații legale.