Quanto tempo posso reter gravações de câmera da minha empresa?
O RGPD em si não menciona um prazo fixo para imagens de câmara. O regulamento estabelece que os dados pessoais não sejam conservados por mais tempo do que o necessário para a finalidade para a qual foram recolhidos, deixando à organização a responsabilidade de determinar esse prazo e de o poder justificar.
Para a vigilância por câmara no chão de fábrica, numa loja ou num espaço comercial, a Autoridade Portuguesa de Proteção de Dados estabelece como princípio nos seus orientações um prazo de conservação de aproximadamente quatro semanas, a menos que exista uma razão concreta para manter as imagens durante mais tempo. Este princípio não consta explicitamente na lei, mas é a forma como a autoridade de supervisão aplica o princípio da minimização de dados para esta situação específica. Quem conserva standardmente durante três meses ou mais sem uma razão para tal, afasta-se desse princípio.
Por que quatro semanas e não mais
O objetivo da vigilância por câmara é geralmente a segurança: prevenir furtos, investigar arrombamentos, reconstruir incidentes com pessoal ou visitantes. Assim que esse objetivo deixa de ser relevante, também cessa a base para conservar as imagens. Quatro semanas é considerado o período em que um incidente é normalmente detetado e comunicado: uma diferença na caixa, uma reclamação, um dano. Se conservar standardmente durante mais tempo, terá de justificar o motivo pelo qual isso é necessário na sua situação, por exemplo porque as verificações só ocorrem após um ciclo mais longo.
Quando um prazo mais longo pode ser justificado
Existem situações em que um prazo de conservação mais longo pode ser fundamentado. Pense em imagens que façam parte de uma investigação em curso sobre furto, numa disputa com um fornecedor em que as imagens de câmara servem como prova, ou num pedido da polícia no contexto de um processo penal. Nestes casos, não conserva todo o conjunto de imagens durante mais tempo, mas isola o fragmento relevante e elimina o resto de acordo com o prazo normal. Esta seleção, e a razão para a mesma, é melhor registá-la no momento, não retroativamente.
As câmaras devem também constar no registo de atividades de tratamento
A vigilância por câmara é um tratamento de dados pessoais como qualquer outro, e portanto deve constar como uma secção separada no registo de atividades de tratamento: com a finalidade, o prazo de conservação, quem tem acesso às imagens e se existe transmissão para o exterior (com possibilidade de imagens de espaço público, o que requer atenção adicional). Muitos empresários esquecem-se desta secção porque não se trata de uma ferramenta SaaS ou de um fornecedor, mas de um sistema próprio. Em a base de conhecimento onde os prazos de conservação foram analisados por situação a vigilância por câmara consta como tema separado ao lado de outros prazos de conservação frequentemente questionados.
E se um colaborador ou cliente pedir as imagens
Um titular de dados que apareça nas imagens pode solicitar acesso. Este não é um pedido excepcional: enquadra-se nos direitos ordinários dos titulares de dados. Na prática, isto significa que deve conseguir mostrar ou fornecer as imagens em que o requerente é visível, mantendo outras pessoas nas imagens irreconhecíveis. Quanto mais curto for o seu prazo de conservação, menor é a probabilidade de ter de organizar isto retrospetivamente sobre uma grande quantidade de material.
Imagens de câmara e uma violação de dados
Um ponto separado, mas relevante: se um disco rígido com imagens de câmara for roubado, um sistema for pirateado ou as imagens ficarem acidentalmente amplamente acessíveis, trata-se em princípio de uma violação de dados como qualquer outra. A questão de saber se deve ser comunicada à Autoridade Portuguesa de Proteção de Dados depende do risco para as pessoas nas imagens. Se tiver dúvidas sobre o assunto, pode em cinco perguntas vê onde você está verificar.
Segurança das imagens em si
Além do período de retenção, também importa quem pode aceder às imagens. Um sistema que qualquer pessoa no local pode aceder com uma única senha não se alinha bem com o princípio de que o acesso deve ser limitado apenas a quem realmente precisa. Mais informações sobre o que é comum neste contexto, leia em como os dados, como imagens de câmara, devem ser protegidos.
Se o seu período de retenção atual e regras de acesso se adequam à sua situação específica é algo que melhor discute com um jurista ou, em caso de dúvida sobre a obrigação de notificação, com a própria Autoridade da Proteção de Dados. Se primeiro quiser ter uma noção de onde a vigilância por câmara se integra no seu registo e documentação, pode fazer a análise rápida gratuita ou consultar os tópicos sobre dados de pessoal e câmaras.