GDPR и системите за видеонаблюдение: правно съответствие в България

Въведение

Общият регламент за защита на данните (Регламент (ЕС) 2016/679, GDPR) е в пряко действие в България от 25 май 2018 г. и се прилага паралелно с българския Закон за защита на личните данни (ЗЗЛД). Двата акта заедно определят кога и как е допустимо видеонаблюдението — независимо дали изграждате система за магазин, склад, строителен обект или дома си. В тази статия разглеждаме конкретните членове, приложими към видеонаблюдението, актуалната практика на Комисията за защита на личните данни (КЗЛД) и Насоки 3/2019 на Европейския комитет по защита на данните (EDPB), плюс практически стъпки за бизнеса и домакинствата.

Кога видеозаписът е лични данни?

Видеозапис, който позволява разпознаване на физическо лице — лице, силует, регистрационен номер, походка — е лични данни по чл. 4, т. 1 от GDPR, независимо дали лицето е идентифицирано веднага или само подлежи на идентификация. Затова почти всяка система за видеонаблюдение, насочена към входове, търговски зали, паркинги или общи части, попада в обхвата на регламента.

Изключение за лична и домашна употреба — и къде свършва то

Чл. 2, § 2, б. „в" от GDPR изключва от обхвата на регламента обработването от физическо лице „в хода на чисто лична или домашна дейност". На практика това означава камера, насочена единствено към собствения двор или входна врата. Насоки 3/2019 на EDPB изрично посочват, че това изключение трябва да се тълкува стеснително, а Съдът на ЕС по делото Ryneš (C-212/13) постановява, че щом камера на частен дом улавя дори част от обществен тротоар пред имота, изключението вече не важи и се прилага пълният обхват на GDPR.

Практически пример: камера, гледаща само към собствената врата и двор — обхваната от изключението, без допълнителни задължения по GDPR. Камера, която обхваща и тротоара, улицата или двора на съседа — извън изключението; собственикът трябва да има правно основание, да информира и да ограничи обхвата на кадъра доколкото е технически възможно (например чрез маскиране на зони в записа).

Правно основание за видеонаблюдение (чл. 6 от GDPR)

Всяко обработване на лични данни — включително видеонаблюдение — изисква едно от основанията по чл. 6, § 1 от GDPR. За търговски и жилищни обекти на практика най-често приложимо е:

• Легитимен интерес (чл. 6, § 1, б. „е" от GDPR): охрана на имущество, предотвратяване на кражби и вандализъм, безопасност на клиенти и служители. Изисква преценка на пропорционалност (баланс между интереса на администратора и правата на наблюдаваните лица) — препоръчително е тя да се документира писмено.
• Изпълнение на законово задължение (чл. 6, § 1, б. „в" от GDPR): приложимо за дейности, за които друг нормативен акт изрично изисква видеонаблюдение (напр. определени лицензирани дейности).
• Съгласие (чл. 6, § 1, б. „а" от GDPR): рядко подходящо на работното място — поради йерархичната зависимост между работодател и служител съгласието трудно се приема за свободно дадено (Съображение 43 от GDPR). За наблюдение на публично достъпни зони съгласие на всеки минувач е практически неприложимо.

Основните принципи на GDPR при видеонаблюдение (чл. 5 от GDPR)

• Ограничение на целите (чл. 5, § 1, б. „б" от GDPR): записите се ползват само за целта, за която системата е обявена — охрана, а не например наблюдение на работата на служителите, освен ако това не е изрично обявена и правно обоснована цел.
• Минимизиране на данните (чл. 5, § 1, б. „в" от GDPR): камерите се насочват само към зоните, необходими за целта — не към съседни имоти, обществени пътища извън необходимото или зони с висока чувствителност (тоалетни, съблекални, места за почивка).
• Ограничение на съхранението (чл. 5, § 1, б. „д" от GDPR): записите се пазят само толкова, колкото е нужно. Няма единна законова бройка дни, валидна за всички администратори — изключението за лицензираните охранителни фирми по ЗЧОД е разгледано по-долу.
• Цялостност и поверителност (чл. 5, § 1, б. „е" от GDPR): достъп до записите — само за оторизирани лица, с подходящи технически мерки (пароли, криптиране, контрол на достъпа до NVR/облака).

Прозрачност и информиране на субектите (чл. 12 и чл. 13 от GDPR)

Администраторът е длъжен да информира наблюдаваните лица преди или в момента на влизане в обхвата на камерата. На практика това се постига на две нива:

• Табела на входа: ясно видима, с пиктограма за видеонаблюдение, името на администратора и данни за контакт.
• Разширена информация: цел на обработването, правно основание, срок на съхранение, получатели на данните (ако има) и правата на субектите — достъпна на място (плакат, брошура) или онлайн чрез посочен адрес/QR код на табелата, съгласно чл. 13 от GDPR.

Важно: общата регистрация на администраторите на лични данни в публичния регистър на КЗЛД отпадна на 25 май 2018 г., когато GDPR влезе в пряко действие. Статутът на администратор на лични данни възниква автоматично, по силата на закона (чл. 4, т. 7 от GDPR) — не се изисква вписване или разрешение от КЗЛД, освен в специалните случаи по-долу.

Права на субектите на данни (чл. 15–21 GDPR)

Всяко заснето лице има следните права спрямо администратора на системата:

• Право на достъп (чл. 15 от GDPR): да поиска потвърждение дали е записано и копие от записа, доколкото не засяга правата на трети лица.
• Право на изтриване (чл. 17 от GDPR): при отпаднало основание за обработване.
• Право на ограничаване (чл. 18 от GDPR): напр. при оспорване на точността или законосъобразността на обработването.
• Право на възражение (чл. 21 от GDPR): особено значимо, когато основанието е легитимен интерес по чл. 6, § 1, б. „е" от GDPR — субектът може да възрази и администраторът трябва да прецени дали интересите му имат превес.

Съгласно чл. 12, § 3 от GDPR администраторът отговаря на искане на субект на данни без ненужно забавяне и в срок до 1 месец от получаването му; срокът може да се удължи еднократно с още 2 месеца при сложни или многобройни искания, като субектът трябва да бъде уведомен за удължаването и причините за него в рамките на първия месец.

Специални случаи в българското законодателство

Видеонаблюдение на работното място

Работодателят е длъжен да съвместява интереса си от сигурност и контрол с зачитане на достойнството и личната сфера на работниците и служителите по време на работа — задължение по чл. 127, ал. 2 от Кодекса на труда (КТ). На практика: служителите се уведомяват предварително (табели плюс вътрешен документ/правилник), забранено е наблюдение в съблекални, санитарни помещения и зони за почивка, а обхватът на камерите се ограничава до зоните, необходими за обявената цел (напр. охрана на каса, склад), не до постоянен контрол на изпълнението на трудовите задължения, освен ако това не е отделно обявена и правно обоснована цел.

Систематично мащабно наблюдение на публично достъпни зони

Чл. 25и от ЗЗЛД задължава администратора да приеме специални писмени правила, когато обработва лични данни чрез систематично мащабно наблюдение на публично достъпни зони, включително чрез видеонаблюдение. Правилата трябва да уреждат: правното основание и целите на системата, местоположението и обхвата на наблюдение, средствата за наблюдение, срока на съхранение и изтриването на записите, правото на достъп на наблюдаваните лица, начина на информиране на обществеността и ограниченията при предоставяне на достъп на трети лица. КЗЛД публикува насоки за изпълнение на това задължение на сайта си (чл. 25и, ал. 2 от ЗЗЛД).

Ако системата включва лицево разпознаване или друго автоматизирано вземане на решения, това по правило изисква и оценка на въздействието върху защитата на данните (DPIA, чл. 35 от GDPR), а в определени случаи — задължителна предварителна консултация с КЗЛД по чл. 36 от GDPR. Записите с биометрични данни за целите на уникално идентифициране попадат и в списъка на КЗЛД с операции, изискващи DPIA.

Лицензирани охранителни фирми (ЗЧОД)

За търговци, лицензирани да извършват частна охранителна дейност, важи допълнително императивно правило: съгласно чл. 56, ал. 4 от ЗЧОД записите от техническите средства за видеонаблюдение се съхраняват в регистър „Видеонаблюдение" точно 2 месеца от изготвянето им — нито по-кратко, нито по-дълго, освен ако друго правно основание не налага различен срок. Това правило важи само за лицензирани охранителни дружества — обикновените търговски дружества и домакинства не са обвързани с този конкретен срок, но пак трябва да спазват общия принцип за ограничение на съхранението по чл. 5 от GDPR.

Регистър на дейностите по обработване (чл. 30 от GDPR)

Вместо предишната регистрация в КЗЛД, действащото изискване е администраторът да поддържа вътрешен регистър на дейностите по обработване — документ (не е нужно да е сложен), описващ: целта на видеонаблюдението, категориите данни и субекти, срока на съхранение, получателите на данни (ако има) и приложените технически и организационни мерки за сигурност. Малкият размер на предприятието не отменя автоматично това задължение, когато обработването не е случайно — а видеонаблюдението по правило е постоянна, системна дейност.

Практически чеклист за бизнеса

• Определете и документирайте правното основание (обичайно легитимен интерес) и извършете кратка преценка на пропорционалността.
• Позиционирайте камерите само към зоните, необходими за целта — избягвайте съседни имоти, обществени пътища извън необходимото и чувствителни зони.
• Поставете ясно видима табела на входа и подгответе разширена информация за поверителност (онлайн или на място).
• Определете и спазвайте конкретен срок на съхранение с автоматично изтриване след изтичането му.
• Ограничете достъпа до записите само за оторизирани лица и водете лог на достъпа.
• Сключете писмен договор с доставчика на облачно съхранение/NVR поддръжка, ако той обработва данни от ваше име (чл. 28 от GDPR).
• Подгответе кратък вътрешен регистър на дейностите по обработване (чл. 30 от GDPR) и процедура за реакция при пробив в сигурността (чл. 33–34 от GDPR).
• За големи обекти с публичен достъп — преценете нужда от DPIA и специалните правила по чл. 25и от ЗЗЛД.

Изборът на система за видеонаблюдение с вградени функции за поверителност — маскиране на зони, локално криптирано съхранение, контрол на достъпа до записите — улеснява спазването на изброените изисквания. Разгледайте и решенията ни за контрол на достъп, които често се внедряват заедно с видеонаблюдение на едно и също място.

Често задавани въпроси

Трябва ли да регистрирам камерите си в КЗЛД?

Не. Общата регистрация на администратори на лични данни в КЗЛД отпадна на 25 май 2018 г., когато Регламент (ЕС) 2016/679 (GDPR) влезе в пряко действие — статутът на администратор възниква по силата на закона (чл. 4, т. 7 от GDPR), без вписване в регистър. Изключение: лицензираните охранителни фирми водят собствен вътрешен регистър „Видеонаблюдение" по чл. 56 от Закона за частната охранителна дейност (ЗЧОД).

Мога ли да поставя камера, която снима тротоара пред къщата или двора на съседа?

Домашното видеонаблюдение е извън обхвата на GDPR само докато обхваща единствено собствения имот (чл. 2, § 2, б. „в" от GDPR). Щом камерата улавя дори част от обществено място или съседен имот, изключението отпада и се прилага GDPR изцяло — правно основание, информиране, срокове за съхранение. Това е потвърдено от Съда на ЕС по делото Ryneš (C-212/13) и от Насоки 3/2019 на Европейския комитет по защита на данните (EDPB).

Колко дълго мога да пазя записите от видеонаблюдение?

Няма единен законов срок за всички администратори. Принципът за ограничение на съхранението (чл. 5, § 1, б. „д" от GDPR) изисква срокът да съответства на целта — обичайна практика за търговски обекти е от няколко дни до около 30 дни, документирани в собствена политика. Изключение: лицензираните охранителни фирми пазят записите точно 2 месеца по чл. 56, ал. 4 от ЗЧОД.

Трябва ли да искам съгласие от служителите за видеонаблюдение на работното място?

Обикновено не. Поради йерархичната зависимост между работодател и служител съгласието рядко се приема за свободно дадено. По-подходящо основание е легитимният интерес (чл. 6, § 1, б. „е" от GDPR), при зачитане на достойнството и личната сфера на служителите съгласно чл. 127, ал. 2 от Кодекса на труда (КТ). Наблюдение в съблекални, санитарни помещения и зони за почивка е недопустимо.

Какво трябва да пише на табелата за видеонаблюдение?

Минимум: пиктограма за видеонаблюдение, името на администратора, целта на наблюдението и данни за контакт за повече информация — съгласно изискванията за прозрачност по чл. 12 и чл. 13 от GDPR. Пълната информация (срок на съхранение, права на субектите, получатели на данни) може да стои в разширена policy за поверителност, до която табелата насочва.

Какви са глобите при нарушение на GDPR при видеонаблюдение?

GDPR предвижда административни санкции до 20 млн. евро или 4% от годишния световен оборот на предприятието — по-високата сума (чл. 83 от GDPR). В България санкциите се налагат от КЗЛД.

Кога е необходима оценка на въздействието върху защитата на данните (DPIA)?

Основно при системи с висок риск — например систематично мащабно наблюдение на публично достъпни зони, съчетано с автоматизирано вземане на решения като лицево разпознаване. Такива случаи изискват и задължителна предварителна консултация с КЗЛД, съгласно чл. 35 и чл. 36 от GDPR.

Заключение

Законосъобразното видеонаблюдение стъпва на четири стълба: ясно правно основание, прозрачност към наблюдаваните лица, ограничен и документиран срок на съхранение и гарантирани права на субектите. Специфични допълнителни правила важат за работното място, за лицензираните охранителни фирми и за системите с публичен обхват. При съмнение относно конкретния ви случай — особено при мащабни системи, лицево разпознаване или нетипични обстоятелства — препоръчваме консултация с юрист или длъжностно лице по защита на данните.