Комисията за защита на личните данни издаде важно становище относно срока за съхранение на записите от камери за видеонаблюдение.
Въпросът е следният: Налице ли е правно основание за съхраняване на видеозаписи от администратор – частен охранител за срок, по-дълъг от двумесечния, предвиден в чл. 56, ал. 4 от Закона за частната охранителна дейност (ЗЧОД)?
Въпросът е зададен тъй като в при буквалното прилагане ЗЧОД и Регламент 2016/679 се получава ситуация, в която след първите два месеца администраторът трябва всеки ден да трие записи и да протоколира съответното действие, тъй като тези действия са свързани с немалки оперативни разходи.
На комисията е зададен и следния въпрос: Може ли администраторът, разчитайки на своите легитимни интереси и спазвайки законовото си задължение, да съхранява записите в продължение на два месеца, да трие старите кадри например на две седмици вместо всеки ден, както би следвало от едно по-стриктно тълкуване на закона?
След извършения правен анализ на правната уредба по въпроса, комисията е постановила следното становище:
- Търговци, лицензирани да извършват частна охранителна дейност, имат законово задължение да съхраняват записите от камерите за видеонаблюдение в регистър „Видеонаблюдение“ единствено за посочения в Закона за частната охранителна дейност двумесечен срок, считано от изготвянето им;
- Съхранението на записи от камери за видеонаблюдение за срок по-дълъг от предвидения в Закона за частната охранителна дейност двумесечен срок е допустимо само при наличието на изрично самостоятелно основание за законосъобразно обработване на лични данни.
Нашето професионално мнение по въпроса е, че за да спестите описаното ежедневно създаване на протоколи за изтриване на данни е необходимо оптимизирането на процесите по изтриване на записите от видеонаблюдението.
Това може да се постигне чрез въвеждането на технически мерки, като автоматично изтриване след изтичането на срока. Такова изтриване е необходимо да може да бъде доказано, чрез записи от системата за извършваните от нея действия. Такива действия кореспондират както с изискванията на Общия регламент, така и с принципа и отговорността за отчетност на всеки администратор на лични данни.
Самото документиране на изтриването на данни в протокол не е нужно да става ежедневно. Това документиране може да се извършва на определен във вътрешните правила и процедури период време, например веднъж месечно, на основата на записите от съответната система за извършване на видеонаблюдението. Това обаче трябва да бъде предвидено в документацията по защита на личните данни на дружеството, в противен случай са възможни санкции.
Пълния текст на становището можете да прочетете в бюлетина за месец март 2021г. на на Комисията за защита на личните данни тук.