Νέα υποδείγματα και συστάσεις για την ορθή ενημέρωση κατά την επεξεργασία δεδομένων μέσω συστημάτων βιντεοεπιτήρησης δημοσίευσε η Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.
Οι υπεύθυνοι επεξεργασίας (καταστήματα, επιχειρήσεις, εταιρείες πάσης μορφής) που χρησιμοποιούν συστήματα βιντεοεπιτήρησης οφείλουν να παρέχουν πλήρη ενημέρωση για τη λειτουργία καμερών, πριν κάποιος εισέλθει στον επιτηρούμενο χώρο. Για τον σκοπό αυτό είναι, κατά κανόνα, προσφορότερο να ακολουθείται πολυεπίπεδη προσέγγιση, δηλαδή να υπάρχουν ενημερωτικές πινακίδες για την άμεση ενημέρωση όσων εισέρχονται στον χώρο, οι οποίες να παραπέμπουν σε εύκολα προσβάσιμη αναλυτική ενημέρωση.
Βάση των νέων οδηγιών της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, η ορθή ενημέρωση των ατόμων που εισέρχονται σε ένα χώρο όπου λειτουργεί σύστημα βιντεοεπιτήρησης θα πρέπει να γίνεται σε δύο επίπεδα.
1ο επίπεδο ενημέρωσης
Σε πρώτο επίπεδο απαιτούνται προειδοποιητικές πινακίδες, στις οποίες αναφέρονται τα βασικά χαρακτηριστικά της επεξεργασίας. Οι πινακίδες πρέπει να τοποθετούνται έτσι ώστε να είναι ευδιάκριτες από όλα τα πιθανά σημεία εισόδου στον επιτηρούμενο χώρο και πρέπει να περιλαμβάνουν υποχρεωτικά τις παρακάτω πληροφορίες:
- Σκοπός της επεξεργασίας
- Ταυτότητα του υπευθύνου επεξεργασίας ή/και του εκπροσώπου του
- Αναφορά στα δικαιώματα του υποκειμένου των δεδομένων
- Παραπομπή στην αναλυτική ενημέρωση (2ο επίπεδο ενημέρωσης). Συστήνεται η χρήση συνδέσμου σε ιστοσελίδα (με URL ή QR). Αν ο υπεύθυνος επεξεργασίας δεν διαθέτει ιστοσελίδα, οφείλει να παραπέμψει στον χώρο όπου τα υποκείμενα των δεδομένων μπορούν να βρουν την αναλυτική ενημέρωση.
- Αναφορά των στοιχείων επικοινωνίας του Υπευθύνου Προστασίας Δεδομένων (DPO), στις περιπτώσεις για τις οποίες έχει ορισθεί.
Περαιτέρω, σε περίπτωση κατά την οποία η επεξεργασία δεν περιλαμβάνεται στις τυπικά αναμενόμενες από ένα υποκείμενο των δεδομένων, η πινακίδα πρώτου επιπέδου πρέπει να περιλαμβάνει περαιτέρω πληροφορίες, όπως διαβιβάσεις σε μη αναμενόμενους τρίτους (π.χ. διαβίβαση εκτός ΕΕ) ή υπέρβαση των χρονικών διαστημάτων τήρησης δεδομένων που ορίζονται στην οδηγία 1/2011. Στο άρθρο 9 της οδηγίας 1/2011 της Αρχής προσδιορίζονται οι αναμενόμενοι αποδέκτες, όπως π.χ. οι αρμόδιες διωκτικές αρχές.
Οι πληροφορίες του δεύτερου επιπέδου πρέπει να αναρτώνται σε χώρο με εύκολη πρόσβαση για τα υποκείμενα των δεδομένων. Η ανάρτησή τους σε ιστοσελίδα αποτελεί ορθή πρακτική, αλλά πρέπει επίσης να συνοδεύεται από μη ηλεκτρονική ενημέρωση, για όσα πρόσωπα δεν έχουν άμεση ηλεκτρονική πρόσβαση. Στο επίπεδο αυτό απαιτείται αναλυτική ενημέρωση για όλα τα χαρακτηριστικά της επεξεργασίας, όπως προβλέπεται στο άρθρο 13 του ΓΚΠΔ. Τονίζεται ότι με την οδηγία της 1/2011 η Αρχή είχε, ήδη από το 2011, προβλέψει ενημέρωση πολλαπλών επιπέδων. Πλέον, με την εφαρμογή του ΓΚΠΔ, απαιτείται παροχή των επαυξημένων πληροφοριών του Β’ επιπέδου χωρίς αίτημα του υποκειμένου.
2ο επίπεδο ενημέρωσης
Συγκεκριμένα, εκτός από τις πληροφορίες του Α΄ επιπέδου, οι οποίες πρέπει να παρουσιάζονται αναλυτικότερα, σε τυπικά συστήματα βιντεοεπιτήρησης απαιτείται στην ενημέρωση να περιλαμβάνονται τα εξής:
- Η πλήρης ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και, εφόσον υπάρχει, του εκπροσώπου του υπευθύνου επεξεργασίας.
- Τα στοιχεία επικοινωνίας του Υπευθύνου Προστασίας Δεδομένων, εφόσον έχει ορισθεί.
- Ο σκοπός της επεξεργασίας καθώς και η νομική βάση για την επεξεργασία. Στις περιπτώσεις στις οποίες η επεξεργασία διαφοροποιείται από τις τυπικές, απαιτείται αναλυτική εξειδίκευση του σκοπού της επεξεργασίας. Τυπικές δραστηριότητες επεξεργασίας αποτελούν ιδίως αυτές οι οποίες προσδιορίζονται στην οδηγία 1/2011 της Αρχής.
- Tα έννομα συμφέροντα που επιδιώκει ο υπεύθυνος επεξεργασίας, όταν η επεξεργασία βασίζεται στο άρθρο 6 παρ. 1 στ’ του ΓΚΠΔ, όπως συμβαίνει στην πλειονότητα των περιπτώσεων.
- Τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων προσωπικού χαρακτήρα (βλ. και άρθρο 9 της οδηγίας 1/2011). Σε αυτούς περιλαμβάνονται και οι κατηγορίες/ιδιότητες των προσώπων που χειρίζονται το σύστημα.
- Πληροφορίες για τη διαβίβαση δεδομένων σε χώρα εκτός ΕΕ, εφόσον αυτό συμβαίνει.
- Το χρονικό διάστημα για το οποίο αποθηκεύονται τα δεδομένα.
- Ο τρόπος με τον οποίο το υποκείμενο των δεδομένων μπορεί να ασκήσει τα δικαιώματά του τα οποία απορρέουν από τη νομοθεσία για την προστασία των προσωπικών δεδομένων, προσδιορίζοντας ποια δικαιώματα εφαρμόζονται. Επισημαίνεται ότι στις τυπικές περιπτώσεις συστημάτων βιντεοεπιτήρησης εφαρμόζονται τα δικαιώματα πρόσβασης, περιορισμού, εναντίωσης και διαγραφής, ενώ σε εξαιρετικές περιπτώσεις μπορεί να εφαρμόζονται και τα λοιπά δικαιώματα.
- Ενημέρωση για το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή και για τα στοιχεία της εποπτικής Αρχής.