posso guardar imagens de câmaras de clientes na minha loja

Pode manter imagens de câmara, mas não indefinidamente

Imagens de câmara de clientes podem ser mantidas, desde que haja um objetivo claro por trás delas e as imagens não sejam mantidas mais tempo do que o necessário para esse objetivo. O objetivo comum numa loja é a segurança: prevenir roubo, assalto ou violência contra funcionários e poder investigar posteriormente. Para esse objetivo, na prática aplica-se um período de retenção curto — vigilância que, após algumas semanas, não tenha dado motivo para separar imagens, deve normalmente ser apagada. Imagens de câmara são dados pessoais assim que um cliente é reconhecível nelas, e assim a captura, retenção e visualização das mesmas recaem sob o RGPD, tal como um ficheiro de clientes ou um processo de candidatura.

O que a câmara capta deve estar também em proporção com o objetivo. Uma câmara que filma a caixa e a entrada para fins de segurança encontra-se em base diferente de uma câmara continuamente apontada para o pessoal para controlar o desempenho — este último é um objetivo diferente e requer uma avaliação diferente. Também se aplica que clientes e pessoal devem poder saber que há câmaras, normalmente através de um cartaz claramente visível na entrada, e que as imagens não são simplesmente utilizadas para um objetivo diferente do que aquele para o qual foram instaladas. Quem além de imagens de segurança recolhe também outros dados de clientes, por exemplo para uma newsletter ou um ficheiro de clientes, faz bem em avaliar essas atividades de tratamento separadamente — a base legal e o período de retenção podem diferir por tipo de dado.

Base legal e limitação do armazenamento do RGPD

O facto de ter de existir uma base legal válida para filmar clientes resulta do artigo 6.º do RGPD, que descreve as condições para o tratamento lícito; na segurança de lojas, costuma-se considerar o interesse legítimo do empresário. O facto de as imagens não poderem ser mantidas mais tempo do que o necessário para esse objetivo resulta do princípio de limitação do armazenamento no artigo 5.º do RGPD. Estas regras aplicam-se em toda a UE diretamente, porque o RGPD é um regulamento; o que varia é a autoridade de supervisão que a fiscaliza num Estado-Membro e qualquer esclarecimento adicional que essa autoridade forneça — nos Países Baixos, é a Autoridade da Proteção de Dados, que também publica orientações práticas sobre vigilância por câmara. Para a questão mais ampla de que empresas estão sujeitas a estas regras, consulte o RGPD também se aplica a trabalhadores independentes e pequenas empresas; e quem se questiona qual é exatamente a base legal aplicável a um tratamento específico, encontra as possibilidades explicadas em quando posso tratar dados pessoais.