Може ли да се съхраняват повече от 2 месеца видеозаписи от охранителни фирми?

Комисията за защита на личните данни отговори при какви условия може да се промени срокът по Закона за частната охранителна дейност

Комисията за защита на личните данни публикува становище по въпроса за съхраняване на видеозаписи в регистър „Видеонаблюдение“ от търговци, лицензирани да извършват частна охранителна дейност, за срок, по-дълъг от предвидения в чл. 56, ал. 4 от Закона за частната охранителна дейност двумесечен срок

 

СТАНОВИЩЕ

НА

КОМИСИЯТА ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ

Рег. № П НМД-01-4/14.01.2021

гр. София, 11.02.2021 г.

Относно: Наличието на правно основание за съхраняване на видеозаписи в регистър „Видеонаблюдение“ от търговци, лицензирани да извършват частна охранителна дейност, за срок, по-дълъг от предвидения в чл. 56, ал. 4 от Закона за частната охранителна дейност двумесечен срок

Комисията за защита на личните данни (КЗЛД) в състав: председател Венцислав Караджов и членове: Мария Матева и Веселин Целков, на заседание, проведено на 03.02.2021 г., разгледа постъпило в КЗЛД писмо с вх. № ПНМД-01-4/14.01.2021 г. управител на адвокатско дружество, съдържащо искане за изразяване на становище относно задълженията на дружествата, извършващи охранителна дейност, да съхраняват записи от техническите средства за видеонаблюдение.

Управителят ни уведомява, че представляваното от него дружество извършва адвокатски услуги по консултации на граждани и търговски дружества в сферата на защитата на личните данни. Във връзка с тяхната практика постъпват все повече запитвания по един въпрос, по който съществува неяснота в българското право и практика. Въпросът е свързан със задълженията на дружествата, извършващи частна охранителна дейност, да съхраняват записите от техническите средства за видеонаблюдение съгласно чл. 56, ал. 4 от Закона за частната охранителна дейност (ЗЧОД). Управителят на адвокатското дружество се обръща към председателя на КЗЛД, в качеството му на ръководител на компетентния национален регулаторен орган в сферата на защитата на личните данни, с искане комисията да се произнесе със становище по долупосочените въпроси, от значение за правилното приложение на правилата за защита на данните в България.

Въпросът е следният: налице ли е правно основание за съхраняване на видеозаписи от администратор – частен охранител за срок, по-дълъг от двумесечния, предвиден в чл. 56, ал. 4 от ЗЧОД?

Цитиран е текстът на последния, който гласи:

„Записите от техническите средства за видеонаблюдение се съхраняват в регистър „Видеонаблюдение“ два месеца след изготвянето им. Унищожаването им се удостоверява от ръководителя на охранителната дейност.“

От дружеството ни уведомяват защо поставят този въпрос, а именно: Общият регламент за защита на данните (ОРЗД) поставя като изискване наличието на признато от закона основание, на базата на което да бъдат обработване данните на субектите (чл. 6, пар. 1 ОРЗД). В случай, че администратор се намира в хипотезата на б. „в“ на цитираната разпоредба – законово задължение, спрямо него да обработва личните данни, с изтичане на двумесечния срок основанието отпада. В резултат на това се получава ситуация, в която след първите два месеца администраторът трябва всеки ден да трие записи и да протоколира съответното действие – на първия ден от третия месец следва да изтрие записите от първия ден на първия месец, на втория ден от третия месец следва да изтрие записите от втория ден на първия месец и т. н.

Подчертава се, че тези действия са свързани с немалки оперативни разходи.

Поради тази причина от дружеството биха искали да узнаят, дали администраторът би могъл, разчитайки на своите легитимни интереси и спазвайки законовото си задължение да съхранява записите в продължение на два месеца, да трие старите кадри например на две седмици вместо всеки ден, както би следвало от едно по-стриктно тълкуване на закона? Тоест, налице ли е легитимен интерес на частния охранител да съхранява записите до 2 седмици след изтичане на срока по чл. 56, ал. 4 от ЗЧОД, обусловен от административната необходимост да се организира надлежното им заличаване и документиране с протокол?

Правен анализ:

Въпросът за наличието на правно основание за съхраняване на видеозаписи в регистър „Видеонаблюдение“ от търговци, лицензирани да извършват частна охранителна дейност, в качеството им на администратори на лични данни, за срок, по-дълъг от предвидения в чл. 56, ал. 4 от Закона за частната охранителна дейност (ЗЧОД) двумесечен срок, следва да бъде разгледан от една страна, от гледна точка на нормативните изисквания на Регламент (ЕС) 2016/679 (Общ регламент относно защитата на данните), който определя правилата за защита на основните права, свободи и интереси на физическите лица във връзка с обработването на личните им данни и по-специално правото на защита на личните данни, и от друга страна през призмата на ЗЧОД, който се явява специален закон по отношение на Регламент (ЕС) 2016/679, доколкото в него се урежда условията и реда за извършване на частна охранителна дейност, нейното административно регулиране и административен контрол, както и конкретно дейността по видеонаблюдение.

Съгласно чл. 4, т. 1 от Общия регламент, „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“) пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице. Доколкото чрез съдържащата се в заснетите видеокадри информация могат да бъдат идентифицирани физически лица, пряко или непряко, в зависимост от техническите характеристики на видеоапаратурата и използвания софтуер, то тази дейност се включва в термина „обработване“ на лични данни (чрез заснемане и съхранение), съгласно дефиницията, която се съдържа в чл. 4, т. 2 от Регламент (ЕС) 2016/679.

По отношение законосъобразните условия, при които се допуска обработването на лични данни, се прилагат разпоредбите на чл. 6 от Регламента, според които обработването на лични данни е законосъобразно, когато е налице поне едно от изчерпателно изброените и дадени алтернативно условия за допустимост на обработването. Предвид горното, обработването на информация, съдържаща лични данни, може да се извършва само при наличие на една от хипотезите, разписани в чл. 6, пар. 1 от Регламент (ЕС) 2016/679. Доколкото частната охранителна дейност е строго регламентирана чрез нормите на ЗЧОД, то търговците, лицензирани да извършват частна охранителна дейност, в качеството им на администратори на лични данни, обработват данни на основание чл. 6, пар. 1, б. „в“, когато обработването е необходимо за спазване на законово задължение, което се прилага спрямо администратора. Следва да се отбележи, че търговците, лицензирани да извършват частна охранителна дейност, могат да извършват тази дейност и в качеството на обработващи лични данни, на основата на възлагане, регламентирано с договора по чл. 28 от Регламент (ЕС) 2016/679. В тези случаи на основанието за обработването на лични данни по чл. 6, пар. 1, б. „в“ може да се позове съответния възлагащ обработването администратор.

Обработването на лични данни, в случая чрез видеонаблюдение, може да се извършва единствено при стриктно спазване на принципите, визирани в чл. 5 от Общия регламент. Съдържащият се в чл. 5, пар. 1, б. „б“ принцип на „ограничение на целите“ изисква личните данни да се събират за конкретни, изрично указани цели, и не допуска тяхното последващо обработване за несъвместими с първоначалните цели. В този смисъл е и нормата, съдържаща се в § 1, т. 3 от Допълнителните разпоредби на ЗЧОД, съгласно която „Видеонаблюдение“ е техническа форма на обработка и съхранение в предвидения в закона срок на лични данни, извършвани при спазване на изискванията за защита на личните данни и на разпоредбите и на този закон, свързани с изискванията при обработката на лични данни съгласно чл. 5 от Регламент (ЕС) 2016/679, включваща заснемане на лица в охраняван обект и запис на получените данни.

Целите, за които търговци, лицензирани да извършват частна охранителна дейност, имат право да обработват лични данни чрез дейности по видеонаблюдение, са посочени в следните правни норми на ЗЧОД:

– Раздел II „Охрана на имуществото на физически или юридически лица“, като чл. 11, ал. 2 гласи: „Охраната на имуществото може да включва и осигуряване на пропускателен режим в охраняваните обекти и/или извършване на видеонаблюдение при спазване на изискванията за защита на личните данни, и/или мониторен контрол“ (ограничена форма на видеонаблюдение – наблюдение с технически средства на охранявания обект, без възможност за запис на получените данни, (§ 1, т. 6 от Допълнителните разпоредби на ЗЧОД);

– чл. 14, ал. 3, който гласи: „Постът за наблюдение е стационарен охранителен патрул от един или повече изпълнители на охранителна дейност за наблюдение на обект чрез видеонаблюдение или мониторен контрол на определена територия в охранявания обект, в т.ч. своевременно информиране за движение на лица и обекти, както и предприемане на действия при противоправно посегателство спрямо охраняваното имущество и/или физическо лице в обекта“;

– Раздел IV „Самоохрана на имущество на лица по чл. 2, ал. 3“, като чл. 22, ал. 2 гласи: „Самоохраната на имуществото може да включва и осигуряване на пропускателен режим в охранявания обект и/или извършване на видеонаблюдение при спазване на изискванията за защита на личните данни, и/или мониторен контрол“;

– Раздел V „Охрана на обекти – недвижими имоти“, като чл. 24, ал. 2 гласи: „Охраната по ал. 1 може да включва и извършване на видеонаблюдение при спазване на изискванията за защита на личните данни, мониторен контрол и реакция с мобилни охранителни патрули“;

– съгласно разпоредбата на чл. 56, ал. 1, т. 1 при извършване на дейност по чл. 5, ал. 1 изпълнителите на частна охранителна дейност: осигуряват спазването на установения пропускателен режим за влизане и излизане от охранявания обект и вътрешния ред в него чрез: в) видеонаблюдение; г) мониторен контрол.

Нормата, съдържаща се в чл. 5, пар. 1, б. „б“ от Общия регламент (има се предвид принципа “ограничение на целите“), не позволява на търговци, лицензирани да извършват частна охранителна дейност, да обработват събраните чрез видеонаблюдение лични данни за други цели, освен изрично посочените в ЗЧОД.

По отношение на срока, за който администратор може да съхранява събраните чрез видеонаблюдение лични данни, изискването на нормата на чл. 5, пар. 1, б. „д“ от Регламент (ЕС) 2016/679 е тези данни да се съхраняват за срок, не по-дълъг от необходимото за целите, за които те се обработват (принципа „ограничение на съхранението“). По принцип сроковете за съхранение могат да бъдат определени и посочени изрично в законодателството (какъвто е случаят) или да бъдат определяеми в зависимост от посочени от закон критерии или да се основават на оценката на съответния администратор с оглед конкретно поставените цели. При всички положения срокът следва да е достатъчен за постигането на целите на обработването. Българският законодател е преценил, че за да бъдат постигнати целите на извършваните дейности по видеонаблюдение от търговците, лицензирани да извършват частна охранителна дейност, е необходимо записите от тези дейности да се съхраняват два месеца. Нормата на чл. 56, ал. 4 от ЗЧОД е категорична: „Записите от техническите средства за видеонаблюдение се съхраняват в регистър „Видеонаблюдение“ два месеца след изготвянето им. Унищожаването им се удостоверява от ръководителя на охранителната дейност“.

Цитираната норма е императивна, което предпоставя изпълнението й стриктно и точно от лицата, за които тя се отнася. В допълнение разширителното тълкуване на срока например „до два месеца“ също би се оказало неприемливо с оглед целта – охрана на конкретен обект, чието постигане трябва да се следи. Това е и предпоставка основанието за обработване на данните от видеонаблюдението с охранителна цел да е законово задължение за съхранение на записите два месеца. В този смисъл е и разпоредбата на чл. 82 от ЗЧОД, в който е предвидена следната санкция: „За неизпълнение на друго задължение, произтичащо от този закон и подзаконовите нормативни актове, регламентиращи частната охранителна дейност, физическото лице се наказва с глоба, съответно на юридическо лице и едноличен търговец се налага имуществена санкция, в размер от 200 до 500 лв. за всяко отделно нарушение, ако не подлежи на по-тежко наказание“. В чл. 83, пар. 5, б. „а“ от Регламент (ЕС) 2016/679 също е предвидена санкция за нарушение на „основните принципи за обработване на лични данни…“.

Следователно, промяната от страна на търговци, лицензирани да извършват частна охранителна дейност, от една страна на правното основание за обработване на лични данни, от законово задължение (чл. 6, пар. 1, б. „в“ от Регламент (ЕС) 2016/679) на легитимен интерес на администратора (б. „е“ от цитираната норма), а от друга страна на срока за съхранение на данните, за да бъдат намалени оперативни разходи, би било в нарушение както на изискванията на Общия регламент, така и на изискванията на ЗЧОД.

Нещо повече, съхранението на записите от видеонаблюдение, извън рамките на изрично определения законов срок, може да се разглежда като последващо обработване на лични данни.

Изискванията за такова последващо обработване са посочени в разпоредбата на чл. 6, пар. 4 от Регламент (ЕС) 2016/679. За да е съвместимо с първоначалното, последващото обработване може да се основава или на съгласието на субекта на данни, или на правото на Съюза или правото на държава членка, както и при спазването на някои допълнителни изисквания, посочени в анализираната разпоредба. Легитимните интереси на администратора не могат да бъдат основание за последващо обработване на лични данни след изтичането на изрично законово регламентираните срокове. В конкретни случай, по принцип липсва правно основание за последващото обработване, освен по отношение запазването след срока на конкретни записи, които се обработват допълнително за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления, защитата на субекта на данните или на правата и свободите на други лица или изпълнението по гражданскоправни искове например или други съвместими цели по смисъла на чл. 23 от Регламент (ЕС) 2016/679. Такива изключения се ползват със самостоятелно основание за обработване на лични данни и това изключва съхранението извън двумесечния срок на видеозаписи в общия случай.

Оптимизирането на процесите по изтриване на записите от видеонаблюдението може да се постигне чрез въвеждането на технически мерки, като автоматично изтриване след изтичането на срока. Такова изтриване следва да може да се доказва чрез извършвани от системата автоматични записи на извършваните от нея действия, което кореспондира както с изискванията по чл. 25 от Общия регламент, така и с принципа и отговорността за отчетност на всеки администратор на лични данни.

Самото документиране в протокол, може да се извършва на определен във вътрешните правила и процедури период време (организационна мярка), например веднъж месечно, на основата на записите от съответната система за извършване на видеонаблюдението.

Настоящият анализ е базиран изцяло на трайната практика на КЗЛД, свързана с обработването на лични данни на субекти на данни, както и на съдебната практика по жалби с такъв предмет и на указанията на Европейския комитет по защита на данни в тази насока. Становището на КЗЛД има консултативен характер за администратора на лични данни при прилагане на относимите правни норми. Това становище има единствено разяснителен характер по приложението на коментираните в него норми, без да пораждат права и/или задължения за заинтересованите страни. Съгласно Регламент (ЕС) 2016/679 – Общ регламент относно защитата на данните, администраторът на лични данни сам или съвместно с друг администратор определя правилата и процедурите за обработване на данни, които трябва да са съответстват на приложимото право. За предприетите от администратора или съвместните администратори действия по обработване на данните се прилагат както правилата на отчетност, прозрачност, добросъвестност, така и нормите отнасящи се до носене на административно-наказателна отговорност по отношение на законосъобразността на осъществяваните от него/тях обработвания.

Предвид горното, и на основание чл. 58, ал. 3 от Регламент (ЕС) 2016/679, Комисията за защита на данните изрази следното

СТАНОВИЩЕ:

  1. Търговци, лицензирани да извършват частна охранителна дейност, имат законово задължение да съхраняват записите от техническите средства за видеонаблюдение в регистър „Видеонаблюдение“ единствено за посочения в чл. 56, ал. 4 от Закона за частната охранителна дейност двумесечен срок, считано от изготвянето им. Цитираната правна норма е императивна и е в съответствие с принципа „ограничение на съхранението“, формулиран в чл. 5, пар. 1, б. „д“ на Регламент (ЕС) 2016/679 (Общ регламент относно защитата на данните).
  2. Съхранението на записи от технически средства за видеонаблюдение за по-дълъг период от нормативно предвидения в Закона за частната охранителна дейност е допустимо само при наличието на изрично самостоятелно основание за законосъобразно обработване на лични данни.

ПРЕДСЕДАТЕЛ:                                                                                       ЧЛЕНОВЕ:

Можете да споделите: