GDPR и системите за видеонаблюдение: правно съответствие в България

Въведение

В България няма отделен закон за видеонаблюдението — то се урежда паралелно от няколко акта, в зависимост от случая: Общия регламент за защита на данните (Регламент (ЕС) 2016/679, GDPR), българския Закон за защита на личните данни (ЗЗЛД), Кодекса на труда (КТ) за работното място, Закона за управление на етажната собственост (ЗУЕС) за блоковете и Закона за частната охранителна дейност (ЗЧОД) за лицензираните охранителни фирми. GDPR е в пряко действие в България от 25 май 2018 г. и определя общата рамка — правно основание, информиране, срокове за съхранение — независимо дали изграждате система за магазин, склад, строителен обект, блок или дома си. В тази статия разглеждаме конкретните членове, приложими към видеонаблюдението, актуалната практика на Комисията за защита на личните данни (КЗЛД) и Насоки 3/2019 на Европейския комитет по защита на данните (EDPB), плюс практически стъпки за бизнеса и домакинствата.

Кога видеозаписът е лични данни?

Видеозапис, който позволява разпознаване на физическо лице — лице, силует, регистрационен номер, походка — е лични данни по чл. 4, т. 1 от GDPR, независимо дали лицето е идентифицирано веднага или само подлежи на идентификация. Затова почти всяка система за видеонаблюдение, насочена към входове, търговски зали, паркинги или общи части, попада в обхвата на регламента.

Изключение за лична и домашна употреба — и къде свършва то

Чл. 2, § 2, б. „в" от GDPR изключва от обхвата на регламента обработването от физическо лице „в хода на чисто лична или домашна дейност". На практика това означава камера, насочена единствено към собствения двор или входна врата. Насоки 3/2019 на EDPB изрично посочват, че това изключение трябва да се тълкува стеснително, а Съдът на ЕС по делото Ryneš (C-212/13) постановява, че щом камера на частен дом улавя дори част от обществен тротоар пред имота, изключението вече не важи и се прилага пълният обхват на GDPR.

Практически пример: камера, гледаща само към собствената врата и двор — обхваната от изключението, без допълнителни задължения по GDPR. Камера, която обхваща и тротоара, улицата или двора на съседа — извън изключението; собственикът трябва да има правно основание, да информира и да ограничи обхвата на кадъра доколкото е технически възможно (например чрез маскиране на зони в записа).

Ако камерата на съседа снима вашия двор — какво можете да направите: щом камерата обхваща вашия имот, общ вход или улицата, съседът вече е администратор на лични данни и трябва да спазва GDPR.

• Поговорете със съседа. В повечето случаи проблемът се решава с пренасочване на камерата или маскиране на зона в записа — функция, която всеки съвременен рекордер (NVR) поддържа.
• Писмено искане. Можете да поискате информация дали сте записвани и копие от записа (право на достъп, чл. 15 от GDPR), както и да възразите срещу наблюдението (чл. 21 от GDPR).
• Жалба до КЗЛД. Ако няма реакция, можете да подадете жалба до Комисията за защита на личните данни — опишете и снимайте разположението на камерата и зоната, която обхваща.

Ако вие сте собственикът на камерата: правилният ъгъл и маскирането на чуждите зони още при монтажа спестяват спора. Същото изключение и същият ред важат и за видеозвънец/домофон с вградена камера, насочен извън прага на входната врата.

Правно основание за видеонаблюдение (чл. 6 от GDPR)

Всяко обработване на лични данни — включително видеонаблюдение — изисква едно от основанията по чл. 6, § 1 от GDPR. За търговски и жилищни обекти на практика най-често приложимо е:

• Легитимен интерес (чл. 6, § 1, б. „е" от GDPR): охрана на имущество, предотвратяване на кражби и вандализъм, безопасност на клиенти и служители. Изисква преценка на пропорционалност (баланс между интереса на администратора и правата на наблюдаваните лица) — препоръчително е тя да се документира писмено.
• Изпълнение на законово задължение (чл. 6, § 1, б. „в" от GDPR): приложимо за дейности, за които друг нормативен акт изрично изисква видеонаблюдение (напр. определени лицензирани дейности).
• Съгласие (чл. 6, § 1, б. „а" от GDPR): рядко подходящо на работното място — поради йерархичната зависимост между работодател и служител съгласието трудно се приема за свободно дадено (Съображение 43 от GDPR). За наблюдение на публично достъпни зони съгласие на всеки минувач е практически неприложимо.

Основните принципи на GDPR при видеонаблюдение (чл. 5 от GDPR)

• Ограничение на целите (чл. 5, § 1, б. „б" от GDPR): записите се ползват само за целта, за която системата е обявена — охрана, а не например наблюдение на работата на служителите, освен ако това не е изрично обявена и правно обоснована цел.
• Минимизиране на данните (чл. 5, § 1, б. „в" от GDPR): камерите се насочват само към зоните, необходими за целта — не към съседни имоти, обществени пътища извън необходимото или зони с висока чувствителност (тоалетни, съблекални, места за почивка).
• Ограничение на съхранението (чл. 5, § 1, б. „д" от GDPR): записите се пазят само толкова, колкото е нужно. Няма единна законова бройка дни, валидна за всички администратори — изключението за лицензираните охранителни фирми по ЗЧОД е разгледано по-долу.
• Цялостност и поверителност (чл. 5, § 1, б. „е" от GDPR): достъп до записите — само за оторизирани лица, с подходящи технически мерки (пароли, криптиране, контрол на достъпа до NVR/облака).

Прозрачност и информиране на субектите (чл. 12 и чл. 13 от GDPR)

Администраторът е длъжен да информира наблюдаваните лица преди или в момента на влизане в обхвата на камерата. На практика това се постига на две нива:

• Табела на входа: ясно видима, с пиктограма за видеонаблюдение, името на администратора и данни за контакт.
• Разширена информация: цел на обработването, правно основание, срок на съхранение, получатели на данните (ако има) и правата на субектите — достъпна на място (плакат, брошура) или онлайн чрез посочен адрес/QR код на табелата, съгласно чл. 13 от GDPR.

Важно: общата регистрация на администраторите на лични данни в публичния регистър на КЗЛД отпадна на 25 май 2018 г., когато GDPR влезе в пряко действие. Статутът на администратор на лични данни възниква автоматично, по силата на закона (чл. 4, т. 7 от GDPR) — не се изисква вписване или разрешение от КЗЛД, освен в специалните случаи по-долу.

Табела за видеонаблюдение — задължително съдържание и пример

Табелата е „първият слой" на информацията по чл. 13 от GDPR — липсата ѝ е лесно установимо нарушение при проверка от КЗЛД. Поставя се така, че да се вижда преди човек да влезе в обхвата на камерата — на вход, ограда или врата, на височината на погледа. Според Насоки 3/2019 на EDPB табелата трябва да съдържа:

• пиктограма на камера;
• името на администратора (фирмата, етажната собственост или лицето);
• целта на наблюдението — например „охрана на имущество и безопасност";
• указание, че наблюдаваните лица имат права по GDPR;
• данни за контакт (и на длъжностното лице по защита на данните, ако има такова);
• къде е пълната информация — адрес на уебстраница или QR код.

Пълната информация — срок на съхранение, получатели на данни (ако има), пълния обхват на правата — не е нужно да стои на самата табела; достатъчно е табелата да насочва (адрес или QR код) към разширена политика за поверителност, публикувана онлайн или достъпна на място.

Колко дълго се пазят записите от видеонаблюдение?

Срокът зависи от това кой сте:

• Лицензирани охранителни фирми: точно 2 месеца (чл. 56, ал. 4 от ЗЧОД) — фиксиран срок, не по избор (вижте по-долу).
• Всички останали (магазини, офиси, складове, етажна собственост): няма фиксиран законов срок. Важи принципът за ограничение на съхранението (чл. 5, § 1, б. „д" от GDPR) — само толкова, колкото е нужно за целта.

Насоки 3/2019 на EDPB посочват, че инцидент обикновено се открива в рамките на един-два дни и в повечето случаи записите трябва да се изтриват след няколко дни. Колкото по-дълъг е срокът (особено над 72 часа), толкова по-силна обосновка е нужна. Обичайната практика за търговски обекти е между 7 и 30 дни, като избраният срок и мотивите за него се записват във вътрешна политика.

Технически съвет: срокът не трябва да зависи от това кога ще се напълни дискът. Настройте в рекордера автоматично изтриване след определен брой дни (например „max. recording time" / „expiry time" при Hikvision и Dahua) и оразмерете хард диска според този срок. Записи, свързани с конкретен инцидент, се експортират и се пазят отделно — до приключване на проверката.

Права на субектите на данни (чл. 15–21 GDPR)

Всяко заснето лице има следните права спрямо администратора на системата:

• Право на достъп (чл. 15 от GDPR): да поиска потвърждение дали е записано и копие от записа, доколкото не засяга правата на трети лица.
• Право на изтриване (чл. 17 от GDPR): при отпаднало основание за обработване.
• Право на ограничаване (чл. 18 от GDPR): напр. при оспорване на точността или законосъобразността на обработването.
• Право на възражение (чл. 21 от GDPR): особено значимо, когато основанието е легитимен интерес по чл. 6, § 1, б. „е" от GDPR — субектът може да възрази и администраторът трябва да прецени дали интересите му имат превес.

Съгласно чл. 12, § 3 от GDPR администраторът отговаря на искане на субект на данни без ненужно забавяне и в срок до 1 месец от получаването му; срокът може да се удължи еднократно с още 2 месеца при сложни или многобройни искания, като субектът трябва да бъде уведомен за удължаването и причините за него в рамките на първия месец.

Специални случаи в българското законодателство

Видеонаблюдение на работното място

Работодателят е длъжен да съвместява интереса си от сигурност и контрол с зачитане на достойнството и личната сфера на работниците и служителите по време на работа — задължение по чл. 127, ал. 2 от Кодекса на труда (КТ). Служителите се уведомяват писмено — чрез вътрешни правила за видеонаблюдение или отделно уведомление, срещу подпис, най-добре по готов образец. В него се описват зоните с камери, целта, срокът на съхранение и кой има достъп до записите. Забранено е наблюдение в съблекални, санитарни помещения и зони за почивка, а обхватът на камерите се ограничава до зоните, необходими за обявената цел (напр. охрана на каса, склад), не до постоянен контрол на изпълнението на трудовите задължения, освен ако това не е отделно обявена и правно обоснована цел.

Видеонаблюдение в етажна собственост (блок, вход, общи части)

Камерите във входа, асансьора, мазетата или паркинга на блока снимат общи части, затова не попадат в изключението за домашна употреба. Администратор на данните е етажната собственост, представлявана от управителя или управителния съвет.

• Решение на общото събрание: видеонаблюдението в общите части се въвежда с решение, прието с мнозинство над 50% от представените идеални части (чл. 17, ал. 3 от ЗУЕС). Решението е задължително за всички собственици, включително за гласувалите против и отсъстващите. Препоръчваме точният кворум да се сверява индивидуално преди решението, тъй като правилата за свикване и провеждане на общо събрание имат допълнителни изисквания по ЗУЕС.
• В решението се определят: местата на камерите, срокът на съхранение, кой има достъп до записите и как се разпределят разходите.
• Табела на входа с името на етажната собственост и контакт с управителя.
• Достъп до записите: ограничен до определените лица. Всяко преглеждане или предоставяне (на наблюдаван собственик по негово искане или на МВР с официално искане) се вписва в дневник.
• Без камери към вратите на апартаментите — това е наблюдение на личния живот на конкретно домакинство и е непропорционално.

Видеозвънец или камера на вратата на апартамента: ако обективът хваща общия коридор или стълбището, това вече не е „чисто домашна" дейност и се прилага GDPR. Изберете модел с маскиране на зони или ограничете кадъра до собствената врата.

Систематично мащабно наблюдение на публично достъпни зони

Чл. 25и от ЗЗЛД задължава администратора да приеме специални писмени правила, когато обработва лични данни чрез систематично мащабно наблюдение на публично достъпни зони, включително чрез видеонаблюдение. Правилата трябва да уреждат: правното основание и целите на системата, местоположението и обхвата на наблюдение, средствата за наблюдение, срока на съхранение и изтриването на записите, правото на достъп на наблюдаваните лица, начина на информиране на обществеността и ограниченията при предоставяне на достъп на трети лица. КЗЛД публикува насоки за изпълнение на това задължение на сайта си (чл. 25и, ал. 2 от ЗЗЛД).

Ако системата включва лицево разпознаване или друго автоматизирано вземане на решения, това по правило изисква и оценка на въздействието върху защитата на данните (DPIA, чл. 35 от GDPR), а в определени случаи — задължителна предварителна консултация с КЗЛД по чл. 36 от GDPR. Записите с биометрични данни за целите на уникално идентифициране попадат и в списъка на КЗЛД с операции, изискващи DPIA.

Лицензирани охранителни фирми (ЗЧОД)

За търговци, лицензирани да извършват частна охранителна дейност, важи допълнително императивно правило: съгласно чл. 56, ал. 4 от ЗЧОД записите от техническите средства за видеонаблюдение се съхраняват в регистър „Видеонаблюдение" точно 2 месеца от изготвянето им — нито по-кратко, нито по-дълго, освен ако друго правно основание не налага различен срок. Това правило важи само за лицензирани охранителни дружества — обикновените търговски дружества и домакинства не са обвързани с този конкретен срок, но пак трябва да спазват общия принцип за ограничение на съхранението по чл. 5 от GDPR.

Камера със звук — законно ли е аудиозаписът?

Повечето съвременни камери имат вграден микрофон, но записът на звук е значително по-тежка намеса в личния живот от картината. Насоки 3/2019 на EDPB препоръчват аудиозаписът по правило да е изключен. В търговски обект, офис или на работно място трудно може да се обоснове като пропорционален по чл. 5 и чл. 6 от GDPR — звукът записва разговори, които не са нужни за охраната.

На практика: изключете записа на звук в настройките на камерата и рекордера, освен ако нямате конкретна, документирана причина (например интерком на вход или каса с двустранна комуникация). Ако все пак записвате звук, това трябва да е изрично посочено на табелата и във вътрешната политика.

Регистър на дейностите по обработване (чл. 30 от GDPR)

Вместо предишната регистрация в КЗЛД, действащото изискване е администраторът да поддържа вътрешен регистър на дейностите по обработване — документ (не е нужно да е сложен), описващ: целта на видеонаблюдението, категориите данни и субекти, срока на съхранение, получателите на данни (ако има) и приложените технически и организационни мерки за сигурност. Малкият размер на предприятието не отменя автоматично това задължение, когато обработването не е случайно — а видеонаблюдението по правило е постоянна, системна дейност.

Практически чеклист за бизнеса

• Определете и документирайте правното основание (обичайно легитимен интерес) и извършете кратка преценка на пропорционалността.
• Позиционирайте камерите само към зоните, необходими за целта — избягвайте съседни имоти, обществени пътища извън необходимото и чувствителни зони.
• Поставете ясно видима табела на входа и подгответе разширена информация за поверителност (онлайн или на място).
• Определете и спазвайте конкретен срок на съхранение с автоматично изтриване след изтичането му.
• Ограничете достъпа до записите само за оторизирани лица и водете лог на достъпа.
• Сключете писмен договор с доставчика на облачно съхранение/NVR поддръжка, ако той обработва данни от ваше име (чл. 28 от GDPR).
• Подгответе кратък вътрешен регистър на дейностите по обработване (чл. 30 от GDPR) и процедура за реакция при пробив в сигурността (чл. 33–34 от GDPR).
• За големи обекти с публичен достъп — преценете нужда от DPIA и специалните правила по чл. 25и от ЗЗЛД.

Изборът на система за видеонаблюдение с вградени функции за поверителност — маскиране на зони, локално криптирано съхранение, контрол на достъпа до записите — улеснява спазването на изброените изисквания. Разгледайте и решенията ни за контрол на достъп, които често се внедряват заедно с видеонаблюдение на едно и също място.

Често задавани въпроси

Има ли закон за видеонаблюдението в България?

Отделен закон няма. Видеонаблюдението се урежда от GDPR, Закона за защита на личните данни (ЗЗЛД), Кодекса на труда за работното място, Закона за управление на етажната собственост (ЗУЕС) за блоковете и Закона за частната охранителна дейност (ЗЧОД) за охранителните фирми.

Трябва ли да регистрирам камерите си в КЗЛД?

Не. Общата регистрация на администратори на лични данни в КЗЛД отпадна на 25 май 2018 г., когато Регламент (ЕС) 2016/679 (GDPR) влезе в пряко действие — статутът на администратор възниква по силата на закона (чл. 4, т. 7 от GDPR), без вписване в регистър. Изключение: лицензираните охранителни фирми водят собствен вътрешен регистър „Видеонаблюдение" по чл. 56 от Закона за частната охранителна дейност (ЗЧОД).

Мога ли да поставя камера, която снима тротоара пред къщата или двора на съседа?

Домашното видеонаблюдение е извън обхвата на GDPR само докато обхваща единствено собствения имот (чл. 2, § 2, б. „в" от GDPR). Щом камерата улавя дори част от обществено място или съседен имот, изключението отпада и се прилага GDPR изцяло — правно основание, информиране, срокове за съхранение. Това е потвърдено от Съда на ЕС по делото Ryneš (C-212/13) и от Насоки 3/2019 на Европейския комитет по защита на данните (EDPB). Ако камерата на съседа снима вашия имот: поговорете с него (често помага пренасочване или маскиране на зона); можете писмено да поискате достъп до записите (чл. 15 от GDPR) и да възразите срещу наблюдението (чл. 21 от GDPR); при липса на реакция — жалба до КЗЛД.

Може ли да има видеонаблюдение във входа на блока?

Да, ако общото събрание на етажната собственост го реши с мнозинство над 50% от представените идеални части (чл. 17, ал. 3 от ЗУЕС) — решение, задължително за всички собственици, включително гласувалите против и отсъстващите. Нужни са табела на входа, определен срок на съхранение и ограничен достъп до записите, с дневник за всяко преглеждане или предоставяне на трети лица. Камерите не трябва да са насочени към вратите на апартаментите.

Законно ли е камерата да записва звук?

По правило записът на звук трябва да е изключен. Той е по-сериозна намеса в личния живот от видеото и в търговски обект или на работно място рядко може да се обоснове като пропорционален по чл. 5 и чл. 6 от GDPR. Изключение са случаи с конкретна документирана причина (напр. интерком на вход). Ако се записва звук, това трябва да е изрично обявено на табелата и във вътрешната политика.

Попада ли видеозвънецът под GDPR?

Ако хваща само вашата врата и двор — не, това е домашна употреба (чл. 2, § 2, б. „в" от GDPR). Ако обхваща общ коридор в блок, тротоар или улица — да, прилага се GDPR изцяло. Решението е ограничаване на кадъра или маскиране на зони.

Колко дълго мога да пазя записите от видеонаблюдение?

Няма единен законов срок за всички администратори. Принципът за ограничение на съхранението (чл. 5, § 1, б. „д" от GDPR) изисква срокът да съответства на целта — обичайна практика за търговски обекти е от няколко дни до около 30 дни, документирани в собствена политика. Изключение: лицензираните охранителни фирми пазят записите точно 2 месеца по чл. 56, ал. 4 от ЗЧОД.

Трябва ли да искам съгласие от служителите за видеонаблюдение на работното място?

Обикновено не. Поради йерархичната зависимост между работодател и служител съгласието рядко се приема за свободно дадено. По-подходящо основание е легитимният интерес (чл. 6, § 1, б. „е" от GDPR), при зачитане на достойнството и личната сфера на служителите съгласно чл. 127, ал. 2 от Кодекса на труда (КТ). Служителите се уведомяват писмено — чрез вътрешни правила или отделно уведомление срещу подпис, описващо зоните с камери, целта, срока на съхранение и кой има достъп. Наблюдение в съблекални, санитарни помещения и зони за почивка е недопустимо.

Какво трябва да пише на табелата за видеонаблюдение?

Според Насоки 3/2019 на EDPB: пиктограма за видеонаблюдение, името на администратора, целта на наблюдението, указание за правата по GDPR и данни за контакт за повече информация — съгласно изискванията за прозрачност по чл. 12 и чл. 13 от GDPR. Пълната информация (срок на съхранение, пълния обхват на правата, получатели на данни) може да стои в разширена политика за поверителност, до която табелата насочва (адрес или QR код).

Какви са глобите при нарушение на GDPR при видеонаблюдение?

GDPR предвижда административни санкции до 20 млн. евро или 4% от годишния световен оборот на предприятието — по-високата сума (чл. 83 от GDPR). В България санкциите се налагат от КЗЛД.

Кога е необходима оценка на въздействието върху защитата на данните (DPIA)?

Основно при системи с висок риск — например систематично мащабно наблюдение на публично достъпни зони, съчетано с автоматизирано вземане на решения като лицево разпознаване (чл. 35 от GDPR). Задължителна предварителна консултация с КЗЛД (чл. 36 от GDPR) се изисква само ако DPIA покаже висок остатъчен риск, който не може да бъде намален с разумни мерки — не при всяка DPIA.

Заключение

Законосъобразното видеонаблюдение стъпва на четири стълба: ясно правно основание, прозрачност към наблюдаваните лица, ограничен и документиран срок на съхранение и гарантирани права на субектите. Специфични допълнителни правила важат за работното място, за лицензираните охранителни фирми и за системите с публичен обхват. При съмнение относно конкретния ви случай — особено при мащабни системи, лицево разпознаване или нетипични обстоятелства — препоръчваме консултация с юрист или длъжностно лице по защита на данните.