Монтирани са камери, приличащи на детектори за дим, които записват и звук
Френският орган за защита на данните Commission Nationale de l’Informatique et des Libertés (CNIL) санкционира компанията SAMARITAINE SAS, която управлява магазина със същото име, със 100 000 евро за скриване на камери в складовите зони на магазина.
През август 2023 г., поради увеличаването на кражбите на стоки от складовете, компанията SAMARITAINE SAS инсталира нови камери в две от складовите си помещения. Тези камери са маскирани като детектори за дим и могат да записват звук. Открити от служители, камерите са премахнати през септември 2023 г.
Вниманието на CNIL беше привлечено към тези факти от статия в пресата от 25 ноември 2023 г. Малко след това надзорният орган получава жалба относно същите проблеми. В следващите дни CNIL започва разследване.
Въз основа на констатациите, направени по време на това разследване, органът на CNIL, отговорен за налагането на санкции – глоби компанията SAMARITAINE SAS със 100 000 евро за няколко нарушения на GDPR. След решението на Европейския съд по правата на човека (ЕСПЧ), formation restreinte потвърди, че работодателят може да инсталира скрити камери при изключителни обстоятелства и при условие че е постигнат справедлив баланс между преследваната цел (защита на имуществото и хората) и защитата на личния живот на служителите. Например, за да бъде пропорционално, такова устройство трябва да бъде временно и да се използва след документиран анализ на неговата съвместимост с GDPR и при изключителни обстоятелства.
По-специално, CNIL санкционира следните нарушения:
Неспазване на задължението за добросъвестна обработка на данните и нарушение на принципа на отчетност (членове 5-1-а и 5-2 от GDPR)
Според CNIL, за да се изпълни изискването за добросъвестност, камерите за видеонаблюдение, заснемащи служителите, трябва да са видими и да не са скрити. Въпреки това, както е признато от съдебната практика, при изключителни обстоятелства и при определени условия администраторът може временно да инсталира камери, които не са видими за служителите. След това администраторът на данни трябва да анализира съвместимостта на устройството с GDPR и трябва да може да я обоснове.
В този случай компанията е съобщила за кражби в складовете, и е обяснила, че устройството е временно (което техническите характеристики на устройството изглежда потвърждават), но не е извършила никакъв предварителен анализ за съответствие с GDPR, нито е документирала временния характер на съоръжението – което е било открито от служителите няколко седмици след монтажа му.
Компанията SAMARITAINE SAS не споменава това устройство нито в регистъра си за обработка на данни, нито в оценката си на въздействието. Освен това компанията не е информирала длъжностното лице по защита на данните за намерението си да инсталира скрити камери в складовите помещения. По този начин внедряването на тази система не е било съпроводено с подходящи гаранции, за да се осигури справедлив баланс между целта, преследвана от администратора, и защитата на личния живот на служителите.
Неспазване на задължението за събиране на адекватни, релевантни и непрекомерни данни (член 5-1-в от GDPR)
Камерите са били оборудвани с микрофони и са били записвани разговорите между служителите, свързани с личния им живот. La formation restreinte е счела, че в този случай звукозаписът на служителите е прекомерен, което представлява нарушение на принципа за минимизиране.
Неспазване на задължението за участие на длъжностното лице по защита на данните по въпроси, свързани със защитата на личните данни (член 38-1 от GDPR)
Едва няколко седмици след инсталирането на камерите, длъжностното лице по защита на данните е било информирано за съществуването на системата. С оглед на характеристиките на въпросното устройство, длъжностното лице по защита на данните е успяло да предупреди компанията за средствата, които трябва да бъдат приложени за ограничаване на рисковете за защитата на данните на служителите, в съответствие със своите задачи.