Jak długo mogę przechowywać nagrania z kamer w mojej firmie?
Sama RODO nie określa stałego okresu przechowywania nagrań z kamer. Rozporządzenie wymaga, aby dane osobowe nie były przechowywane dłużej niż jest to niezbędne dla celu, w którym zostały zebrane, i pozostawia organizacji samej decyzję dotyczącą ustalenia tego okresu i możliwości jego uzasadnienia.
W przypadku monitorowania pracowni, sklepu lub hali biznesowej Urząd Ochrony Danych Osobowych w swoich wytycznych przyjmuje jako założenie okres przechowywania nagrań wynoszący około czterech tygodni, chyba że istnieje konkretny powód, aby przechowywać nagrania dłużej. To założenie nie znajduje się wprost w ustawie, ale stanowi sposób, w jaki organ nadzorczy wypełnia zasadę minimalizacji danych w tej konkretnej sytuacji. Kto standardowo przechowuje nagrania przez trzy miesiące lub dłużej bez uzasadnionego powodu, odchodzi od tego założenia.
Dlaczego cztery tygodnie, a nie dłużej
Celem monitorowania jest zwykle bezpieczeństwo: zapobieganie kradzieżom, wyjaśnianie włamań, rekonstrukcja incydentów z pracownikami lub odwiedzającymi. Gdy cel ten przestaje być aktualny, utraca się również podstawę do przechowywania nagrań. Cztery tygodnie to okres, w którym incydent zwykle zostaje zauważony i zgłoszony: rozbieżność w kasie, skarga, szkoda. Jeśli standardowo przechowujesz nagrania dłużej, musisz móc wyjaśnić, dlaczego jest to niezbędne w twojej sytuacji, na przykład dlatego, że kontrole odbywają się w dłuższym cyklu.
Kiedy dłuższy okres przechowywania można uzasadnić
Istnieją sytuacje, w których można uzasadnić dłuższy okres przechowywania. Pomyśl o nagraniach będących częścią trwającego śledztwa w sprawie kradzieży, sporu z dostawcą, gdzie nagrania z kamer służą jako dowód, lub wniosku policji w ramach postępowania karnego. W takich przypadkach nie przechowujesz całej serii nagrań dłużej, ale izolujesz odpowiedni fragment i usuwasz resztę zgodnie ze zwykłym okresem. Tę selekcję i powód jej dokonania najlepiej udokumentować w momencie dokonania, a nie retrospektywnie.
Kamery powinny również znaleźć się w rejestrze czynności przetwarzania
Monitorowanie jest przetwarzaniem danych osobowych jak każde inne i powinno zatem figurować jako oddzielny element w rejestrze czynności przetwarzania: z celami, okresem przechowywania, informacją o tym, kto ma dostęp do nagrań, oraz czy są one kierowane na zewnątrz (z możliwością nagrania drogi publicznej, co wymaga dodatkowej uwagi). Wielu przedsiębiorców zapomina o tej części, ponieważ nie chodzi o narzędzie SaaS lub dostawcę, ale o system wewnętrzny. W bazie wiedzy, gdzie okresy przechowywania zostały sprawdzone dla każdej sytuacji monitorowanie figuruje jako oddzielny temat obok innych często zadawanych pytań dotyczących okresów przechowywania.
Co jeśli pracownik lub klient prosi o nagrania
Osoba, której wizerunek pojawia się na nagraniach, może zwrócić się z wnioskiem o dostęp. To nie jest wyjątkowy wniosek: podlega on zwykłym prawom osób, których dane dotyczą. W praktyce oznacza to, że musisz móc pokazać lub udostępnić nagrania, na których widać osobę wnioskującą, z nierozpoznawalnymi innymi osobami na nagraniach. Im krótszy twój okres przechowywania, tym mniejsza szansa, że będziesz musiał to retrospektywnie zorganizować dla dużej ilości materiału.
Nagrania z kamer i naruszenie bezpieczeństwa danych
Oddzielna kwestia, ale istotna: jeśli dysk twardy z nagraniami zostanie skradziony, system zostanie zhakowany lub nagrania będą przypadkowo szeroko dostępne, to jest to w zasadzie naruszenie bezpieczeństwa danych jak każde inne. Pytanie, czy musi być zgłoszone Urzędowi Ochrony Danych Osobowych, zależy od ryzyka dla osób na nagraniach. Jeśli masz wątpliwości w tej sprawie, możesz to w pięciu pytaniach zobacz, gdzie stoisz sprawdzić.
Zabezpieczenie samych nagrań
Oprócz okresu przechowywania istotne jest również to, kto ma dostęp do nagrań. System, do którego każdy pracownik na hali ma dostęp za pomocą jednego hasła, nie odpowiada zasadzie ograniczenia dostępu tylko do osób, które go naprawdę potrzebują. Więcej informacji na temat tego, co jest w tym zakresie typowe, znajdziesz poniżej jak dane, takie jak nagrania z kamer, muszą być zabezpieczone.
To, czy Twój bieżący okres przechowywania i zasady dostępu odpowiadają Twojej konkretnej sytuacji, najlepiej omówić z prawnikiem lub, w przypadku wątpliwości co do obowiązku zgłoszenia, bezpośrednio z Urzędem Ochrony Danych Osobowych. Jeśli najpierw chcesz sam zorientować się w kwestii przydzielenia nadzoru kamerami w Twoim rejestrze i dokumentacji, możesz skorzystać z bezpłatnego szybkiego przeglądu lub przeczytać zagadnienia dotyczące danych pracowników i kamer.