Angajator amendat pentru că a pus camere video în vestiarele angajaţilor
0Un angajator a fost amendat de autoritatea care se ocupă de respectarea normeor GDPR cu aproape 10.000 de euro, pentru că a instalat camere de supraveghere video inclusiv în vestiarele angajaţilor.
Autoritatea Naţională de Supraveghere a finalizat, pe data de 13.12.2019, o investigaţie la operatorul Entirely Shipping & Trading S.R.L., constatând următoarele:
încălcarea dispoziţiilor art. 12 şi art. 13 din Regulamentul General privind Protecţia Datelor (RGPD);
încălcarea dispoziţiilor art. 5 alin. (1) lit. c), art. 6 şi art. 7 din RGPD;
încălcarea dispoziţiilor art. 5 alin. (1) lit. c), art. 9 şi art. 7 din RGPD;
încălcarea dispoziţiilor art. 5 alin. (1) lit. a), b) şi e) şi art. 6 din RGPD.
Operatorul Entirely Shipping & Trading S.R.L. a fost sancţionat astfel:
- avertisment pentru încălcarea dispoziţiilor art. 12 şi art. 13 din RGPD, întrucât operatorul nu a prezentat dovezi din care să rezulte că a asigurat o informare clară, completă şi corectă a persoanelor vizate;
- amendă în cuantum de 23.893 lei, echivalentul a 5.000 euro, pentru încălcarea dispoziţiilor art. 5 alin. (1) lit. c), art. 6 şi art. 7 din RGPD, întrucât operatorul a prelucrat în mod excesiv datele cu caracter personal (imaginea) ale angajaţilor săi prin intermediul camerelor video instalate în birourile în care aceştia îşi desfăşoară activitatea şi în locurile în care există dulapuri unde angajaţii îşi depozitează hainele de schimb (vestiare);
- amendă în cuantum de 23.893 lei, echivalentul a 5.000 euro, pentru încălcarea dispoziţiilor art. 5 alin. (1) lit. c), art. 9 şi art. 7 din RGPD, întrucât operatorul a prelucrat date biometrice (amprente) ale angajaţilor putând fi utilizate şi alte mijloace pentru atingerea acestui scop, mai puţin intruzive pentru viaţa privată a persoanelor vizate;
- avertisment pentru încălcarea dispoziţiilor art. 5 alin. (1) lit. a), b) şi e) şi art. 6 din RGPD, întrucât operatorul a prelucrat ilegal datele cu caracter personal ale unui fost angajat prin utilizarea acestora în cadrul corespondenţei prin poşta electronică, în scopul desfăşurării activităţii societăţii, ulterior încetării relaţiei contractuale cu acesta.
Sancţiunile au fost aplicate ca urmare a unei plângeri prin care se reclama faptul că Entirely Shipping & Trading S.R.L. a instalat camere de supraveghere audio-video în birourile angajaţilor, în vestiare şi în sala de mese şi că, în anumite locaţii (spaţii cu acces restricţionat), accesul se realiza pe bază de amprentă.
De asemenea, s-a reclamat faptul că operatorul s-a folosit de identitatea unui fost angajat în transmiterea unor e-mail-uri în interes de serviciu fără ca acesta din urmă să fi fost informat în prealabil.
În cadrul investigaţiei, s-au constatat următoarele:
- operatorul nu a făcut dovada unui interes legitim justificat în ceea ce priveşte sistemul de supraveghere video instalat la sediul său, care să prevaleze asupra intereselor sau drepturilor şi libertăţilor fundamentale ale persoanelor vizate, nu a făcut dovada consultării sindicatului sau, după caz, a reprezentanţilor angajaţilor înainte de introducerea sistemelor de monitorizare, precum şi nici a faptului că alte forme şi modalităţi mai puţin intruzive pentru atingerea scopului urmărit de angajator nu şi-au dovedit anterior eficienţa;
- operatorul nu a făcut dovada existenţei unor politici adecvate de protecţie a datelor şi a implementării unor măsuri tehnice şi organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător acestui risc;
- prelucrarea datelor biometrice prin intermediul sistemului de control acces nu erau colectate în scopuri adecvate, relevante şi limitate la ceea ce era necesar în raport cu scopurile în care erau prelucrate;
operatorul nu a efectuat o evaluare a impactului asupra protecţiei datelor.
Totodată, operatorului i s-au aplicat şi următoarele măsuri corective:
- măsura corectivă de a asigura informarea corectă a persoanelor vizate prin comunicarea într-o formă concisă, transparentă, inteligibilă şi uşor accesibilă a tuturor informaţiilor prevăzute de art. 13 din RGPD şi în condiţiile de transparenţă menţionate la art. 12 din RGPD, precum şi de a modifica documentele prin care se realizează în prezent informarea;
- măsura corectivă de a asigura conformitatea operaţiunilor de prelucrare a datelor personale în activitatea de monitorizare video, cu respectarea principiului “reducerii la minimum a datelor”;
- măsura corectivă de a asigura conformitatea operaţiunilor de prelucrare a datelor personale în activitatea de control acces, cu respectarea principiului “reducerii la minimum a datelor”;
- măsura corectivă de a asigura conformitatea operaţiunilor de prelucrare a datelor personale cu dispoziţiile RGPD, prin realizarea unei politici de securitate şi implementarea unor măsuri tehnice şi organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător riscurilor.