Становище на КЗЛД по въпроси, касаещи законосъобразното обработване на лични данни във връзка с видео наблюдение на работните места в „Т.-П.“ АД

Комисията за защита на личните данни (КЗЛД) в състав: Председател: Венета Шопова и Членове: Красимир Димитров, Валентин Енев и Мария Матева на заседание, проведено на 12.03.2014год., разгледа преписка с вх.№П-763/10.02.2014год.от г-н Н.Д. в качеството му на Председател на Съюза на енергетиците в България (СЕБ), с което информира, че на 29 януари 2014 година в „Т.-П.“ АД са монтирани камери за видеонаблюдение с вградени микрофони на следните работни места:

1. Цех „Електрически“– командна зала;

2. Цех „Турбинен“– бойлерна уредба и командно табло на турбогенератор 5;

3. Цех „Котелен“– командно табло на котел 5;

4. Мрежова помпена станция;

5. Цех „ХВО“.

В искането се посочва, че всички електронни средства за контрол и управление, необходими за посочените по-горе работни места, са свързани софтуерно с програма за управление и контрол, до която има достъп ръководството на дружеството. По този начин във всеки момент се следи работата на съоръженията и системите. В дружеството е въведена и електронна система за отчитане на работното време. Изпълнителният директор е сключил договор с фирма за осъществяване на вътрешноведомствен контрол.

Председателят на СЕБ подчертава, че Изпълнителният директор на „Т.-П.“ АД не е уведомил работниците, че ще бъдат следени, фотографирани, филмирани, записвани на работното място. Работниците и служителите не са предоставили своето съгласие по смисъла на Закона за защита на личните данни (ЗЗЛД), техните лични данни да бъдат обработвани чрез технически средства за видеоконтрол.

На 07 февруари 2014 година работниците от „Т.-П.“ АД са внесли в деловодството на дружеството писмо, с което са възразили срещу това да бъдат записвани, следени и филмирани.

По повод изложения казус, от Съюза на енергетиците в България се обръщат към КЗЛД с искане за становище по следните въпроси:

– Нарушени ли са гражданските права на работниците и служителите в „Т.-П.“ АД, съгласно Конституцията на Република България;

– Нарушен ли е Законът за защита на личните данни;

– Задължен ли е работодателят писмено да уведоми работниците и служителите за това, че ще бъдат следени, фотографирани, филмирани, записвани и иска ли се тяхното съгласие по смисъла на Закона за защита на личните данни;

– Какви права има работодателят при използването на събраната информация, видеонаблюдението и видеозаписите.

По поставения на първо място въпрос относно нарушаване на граждански права, съгласно Конституцията на Република България, следва да се отчита вменената със ЗЗЛД компетентност на Комисията за защита на личните данни. КЗЛД е независим държавен орган, който анализира и осъществява цялостен контрол за спазването на нормативните актове в областта на защитата на личните данни. Във връзка с посоченото е и правомощието на Комисията по чл.10, ал.1, т.4 от ЗЗЛД за изразяване на становища по приложението на ЗЗЛД в различните сфери на обществения живот. В чл.32, ал.2 от Конституцията на Република България е предвидено, че никой не може да бъде следен, фотографиран, филмиран, записван или подлаган на други подобни действия без негово знание или въпреки неговото изрично несъгласие освен в предвидените от закона случаи. Това е основно право на българските граждани, кореспондиращо със защитата на личната неприкосновеност на физическите лица. Произнасянето на Комисията обаче по текстове от Конституцията излиза извън специалната компетентност на КЗЛД, очертана от Закона за защита на личните данни.

Практиката на Комисията за защита на личните данни във връзка с изразяване на становища и разглеждане на жалби показва, че в последно време все повече работодатели използват системи за наблюдение с цел контрол на достъпа до работното място, спазване на работното време и трудовата дисциплина и опазване на служебното имущество. Поради обстоятелството, че въпросите за видеонаблюдението на работното място не са намерили своята категорична нормативна регламентация в националното законодателство, при разглеждане на подобни казуси КЗЛД анализира и международното законодателство и практика, свързани с обработването на лични данни, извършвано чрез видеонаблюдение. Анализът показва, че липсват единни правила, отнасящи се до техниките и методите за наблюдение в различните държави. Всяка страна сама се стреми да реши проблемите, свързани с тях, като се придържа към общите международни правила за защита на личността и неприкосновеността на личния живот.

Видеозаписите от средствата за наблюдение съдържат „лични данни“, защото чрез тях едно лице може да бъде физически идентифицирано по безспорен начин. Въвеждането на система за видеоконтрол в работните помещения(в случаите, когато се осъществява запис)е действие по обработване на лични данни данни по смисъла на §1, т.1 от Допълнителните разпоредби на ЗЗЛД, извършвано чрез технически средства.

Когато за осъществяването на дейността на един администратор на лични данни се налага да обработва лични данни на физически лица (в конкретния случай видеонаблюдение) за администратора възниква задължение да обработва данните законосъобразно и в съответствие с принципите, посочени в чл.2, ал.2 от ЗЗЛД.

Служебна проверка в регистъра по чл.10, т.2 от ЗЗЛД показва, че „Т.-П.“ АД с БУЛСТАТ ****** е вписано под идентификационен номер 5618 и поддържа 4 регистъра– „Абонати“, „Медицинско обслужване“, „Персонал“, „Търговски регистър“. Преди предстоящото въвеждане на видеонаблюдение на работниците в производствения процес, администраторът следва да впише необходимите промени в регистъра.В случаите, когато при видеонаблюдението се извършва запис, следва да се заяви регистър.Във връзка с това, в практиката си КЗЛД приема (което се потвърждава и от съдебната практика), че задължението на администратора се смята за изпълнено, ако той заяви за вписване по чл.10, ал.1, т.2 от ЗЗЛД или отделен регистър „Видеонаблюдение”, или в друг обявен регистър посочи, че обработването на личните данни в него ще се извършва чрез автоматични средства, както и ако администраторът е поставил съответни информационни табели за извършваното видеонаблюдение. Независимо от това, когато видеонаблюдение и запис на лични данни от него се осъществява за цели, различни от посочените в съответния регистър, тези данни съставляват отделен регистър „Видеонаблюдение”, който следва да бъде заявен за вписване.

Също така, във връзка със спецификата на конкретното производство, работодателят е длъжен да уреди в Правилника за вътрешния трудов ред организацията на труда в предприятието, съобразно особеностите и изискванията на неговата дейност (чл. 181, ал.1 от КТ). Документацията, регламентираща видеонаблюдението, следва да съдържа изчерпателно разписани процедурите за събирането, съхранението и осъществяването на контрол на работниците и производствения процес чрез направените видеозаписи. Освен това работодателят е длъжен да осигури на работниците и служителите указания за реда и начина на изпълнение на трудовите задължения и упражняване на трудовите права, включително запознаване с правилата за вътрешния трудов ред, предвид правилата на чл.127, ал.1, т.5 от Кодекса на труда. Задължително е и поставянето на информационни табели на видно място, които запознават евентуални посетители, че в производствените помещения се използват технически средства за наблюдение и контрол на работниците и трудовия процес, без да се уточнява тяхното местоположение.

Едновременно с посоченото, следва да се отбележи и задължението на администратора на лични данни, съгласно чл.23, ал.1 от ЗЗЛД да предприеме необходимите технически и организационни мерки, за да защити данните от случайно или незаконно унищожаване, или от случайна загуба, от неправомерен достъп, изменение или разпространение, както и от други незаконни форми на обработване. Той е длъжен да определи и срокове за провеждане на периодични прегледи относно необходимостта от обработване на данните, както и за заличаване на личните данни. Мерките и сроковете се определят с инструкция на администратора на лични данни, а минималните нива на защита следва да отговарят на разпоредбите на новата Наредба №1 от 30 януари 2013г. за минималното ниво на технически и организационни мерки и допустимия вид защита на личните данни.

Както беше посочено по-горе, администраторът е длъжен да осигури спазването на принципите за обработване на личните данни, посочени в чл.2, ал.2 от ЗЗЛД, и по-конкретно, личните данни трябва да:

1. се обработват законосъобразно и добросъвестно;

2. се събират за конкретни, точно определени и законни цели и да не се обработват допълнително по начин, несъвместим с тези цели; допълнително обработване на личните данни за исторически, статистически или научни цели е допустимо, при условие че администраторът осигури подходяща защита, като гарантира, че данните не се обработват за други цели с изключение на случаите, изрично предвидени в този закон;

3. бъдат съотносими, свързани със и ненадхвърлящи целите, за които се обработват;

4. бъдат точни и при необходимост да се актуализират;

5. се заличават или коригират, когато се установи, че са неточни или непропорционални по отношение на целите, за които се обработват;

6. се поддържат във вид, който позволява идентифициране на съответните физически лица за период не по-дълъг от необходимия за целите, за които тези данни се обработват; личните данни, които ще се съхраняват за по-дълъг период за исторически, статистически или научни цели, се поддържат във вид, непозволяващ идентифицирането на физическите лица.

Законосъобразното извършване на видеонаблюдение на работниците в производствения процес предполага наличие на съгласие на съответните работници. Съгласно параграф1, т.13 от ЗЗЛД „съгласие на физическото лице“ е всяко свободно изразено, конкретно и информирано волеизявление, с което физическото лице, за което се отнасят личните данни, недвусмислено се съгласява те да бъдат обработвани. Информираността включва конкретното физическо лице да знае кой обработва данните му, какви данни обработва, с каква цел, на кого ги предоставя и кои лица имат достъп до тях. Работодателят е длъжен да предостави на работниците в предприятието необходимата информация, свързана с осъществяваното видеонаблюдение, както и за техните права по отношение на личната им неприкосновеност.

Следва да се обърне особено внимание на факта, че е абсолютно недопустимо монтирането на камери в стаи за почивка, санитарни и обслужващи помещения. Неприкосновеността на личната сфера и опазването на достойнството на личността на работниците и служителите са общочовешки ценности, които работодателят следва да зачита по време на изпълнение на работата по трудовото правоотношение.

Съгласно чл.26, ал.1 от ЗЗЛД всяко физическо лице има право на достъп до отнасящите се за него лични данни (вкл. видеозаписи). Когато при осъществяване правото на достъп на физическото лице могат да се разкрият лични данни и за трето лице, администраторът е длъжен да предостави на съответното физическо лице достъп до частта от тях, отнасяща се само за него. За тази цел той трябва да предприеме съответни технически мерки за заличаване/маскиране на образите на другите лица-обект на видеонаблюдението. При липса на такава техническа възможност достъп до видеозаписи може да бъде предоставен само със съгласието на всички лица-обект на видеонаблюдението.

С оглед на гореизложеното и на основание чл.10, ал.1, т 4 от ЗЗЛД Комисията за защита на лични данни изразява следното

Видеонаблюдение на работните места в „Т.-П.“ АД е законосъобразно, ако се извършва с цел спецификата на дейността на дружеството за нуждите на производствения процеси целите, за които се извършва видеонаблюдението не могат да бъдат постигнати по друг начин.

Монтирането на камери в стаи за почивка, санитарни и други обслужващи помещения е недопустимо и незаконосъобразно.

За да бъде законосъобразно извършването на видеонаблюдение работодателят е длъжен да:

1. информира работниците в предприятието за осъществяваното видеонаблюдение, както и за техните права по отношение на личната им неприкосновеност. Информираността включва конкретното физическо лице да знае кой обработва данните му, какви данни обработва, с каква цел, на кого ги предоставя и кои лица имат достъп до тях

2. заяви в регистъра по чл.10, т.2 от ЗЗЛД обработването на лични данни чрез видеонаблюдение преди предприемането на съответните действия по видеонаблюдението.