Kamerarendszer telepítése társasházban a GDPR-nak megfelelően – mire kell figyelni?

Kamerarendszer társasházban és a GDPR – TARTALOM

• Rám vonatkozik a GDPR?
• A GDPR felváltotta a korábbi kameratörvényt és a Személyes Adatok Védelméért Felelős Hivatal regisztrációs kötelezettségét
• Hová helyezhetek el kamerákat társasház üzemeltetőjeként?
• Kamerarendszer társasházban és a GDPR – dokumentáció
• Mit kell tartalmaznia az adatkezelési tevékenységek nyilvántartásának?

Rám vonatkozik a GDPR?

Ha kamerarendszert szeretnél telepíteni egy társasházba, akkor nagy valószínűséggel igen, mivel a kamerás megfigyelés rendszerint személyes adatok kezelésével jár. A GDPR a személyes adatok kezelésére vonatkozik, és a természetes személyek számára átlátható, jogszerű és célhoz kötött adatkezelést követel meg. Társasházak és más olyan közös használatú terek esetében, ahol a kamerák más személyeket is rögzíthetnek, a GDPR-előírásokat be kell tartani.

A GDPR alapján az adatkezelő felelőssége a megfelelés biztosítása

A GDPR alapján az adatkezelő felelős azért, hogy az adatkezelés megfeleljen a rendelet elveinek és szabályainak. Ennek része az is, hogy szükség esetén megfelelő dokumentációt vezessen, az adatkezelést átláthatóvá tegye, és a vonatkozó nyilvántartásokat a felügyeleti hatóság megkeresésére rendelkezésre bocsássa.

Kamerarendszer társasházban és a GDPR – dokumentáció

Ha úgy döntesz, hogy kamerarendszert vezetsz be a társasházban, adatvédelmi dokumentáció vezetésére is szükség lehet. Ez különösen az alábbi elemeket foglalhatja magában:

1. Érdekmérlegelési teszt – amennyiben a kamerarendszer jogalapja a jogos érdek, dokumentálni kell, hogy az adatkezelő milyen célból (pl. vagyonvédelem, biztonság) vezeti be a megfigyelést, és hogy ez az érdek nem sérti aránytalanul az érintettek jogait és szabadságait. A GDPR szerint a jogos érdek akkor szolgálhat jogalapként, ha az érintett érdekei, alapvető jogai és szabadságai nem élveznek elsőbbséget.
2. DPIA (adatvédelmi hatásvizsgálat) – olyan esetekben szükséges, amikor az adatkezelés valószínűsíthetően magas kockázattal jár az érintettek jogaira és szabadságaira nézve. A hatásvizsgálatnak ki kell térnie legalább az adatkezelési műveletek és célok leírására, a szükségesség és arányosság vizsgálatára, a kockázatok elemzésére, valamint a kockázatokat csökkentő intézkedésekre.
3. Tájékoztatás – az adatkezelésnek átláthatónak kell lennie, ezért az érintetteket egyértelműen tájékoztatni kell többek között az adatkezelő kilétéről és elérhetőségeiről, az adatkezelés céljáról és jogalapjáról, jogos érdek esetén az érvényesített jogos érdekről, a címzettekről, a tárolás időtartamáról, valamint az érintetti jogokról.
4. Eljárási szabályzat – célszerű rögzíteni a személyes adatok kezelésének módját, különösen a tárolás időtartamát, a hozzáférések szabályait és a biztonsági intézkedéseket, amelyek biztosítják az adatok védelmét. A GDPR előírja a megfelelő technikai és szervezési intézkedések alkalmazását, valamint a korlátozott tárolhatóság elvét.
5. Adatkezelési tevékenységek nyilvántartása – az adatkezelő köteles nyilvántartást vezetni a felelősségébe tartozó adatkezelési tevékenységekről a GDPR 30. cikke szerint. Ez nem ugyanaz, mint egy hozzáférési napló, bár a gyakorlatban külön hozzáférési nyilvántartás vezetése is indokolt lehet. A nyilvántartás kötelező tartalmi elemeit a GDPR külön meghatározza.
6. További sajátosságok – ha az adatkezelésben más személyek vagy külső adatfeldolgozók is részt vesznek, további kötelezettségek és dokumentáció is szükséges lehet. A GDPR külön szabályozza az adatfeldolgozó bevonását és az adatkezelő nevében végzett adatkezelést is.

Hová helyezhetek el kamerákat társasház üzemeltetőjeként?

A kamerák elhelyezésénél jó alapszabály a „minél kevesebb, annál jobb” elv. A kamerákkal a lehető legkisebb területet érdemes lefedni, csak azt, ami a meghatározott cél eléréséhez feltétlenül szükséges, mivel minden további megfigyelt terület növeli a személyes adatok kezelésével járó kockázatokat. Ez összhangban van a célhoz kötöttség, az adattakarékosság és az arányosság követelményével. Kamerák elhelyezhetők például a bejáratnál, a pincebejáratnál vagy az épület homlokzatán, de a megfigyelés nem terjedhet ki indokolatlanul mások magánszférájára. Lakás- vagy pincebejáratok megfigyelése nem önmagában tiltott, hanem csak akkor lehet jogszerű, ha az szükséges, megfelelően indokolt és nem aránytalan. Olyan helyeken, ahol az érintettek fokozott magánszférára számítanak, kamerás megfigyelés nem egyeztethető össze a GDPR elveivel.

Mit kell tartalmaznia az adatkezelési tevékenységek nyilvántartásának?

Az adatkezelési tevékenységek nyilvántartását írásban kell vezetni, ideértve az elektronikus formátumot is. A GDPR alapján az adatkezelő köteles nyilvántartást vezetni a felelősségébe tartozó adatkezelési tevékenységekről, ugyanakkor a 250 főnél kevesebb személyt foglalkoztató szervezetekre bizonyos kivétel vonatkozhat. Ez a kivétel azonban nem alkalmazható például akkor, ha az adatkezelés nem alkalmi jellegű vagy valószínűsíthetően kockázattal jár az érintettek jogaira és szabadságaira.

• Az adatkezelő neve és elérhetősége, valamint ha van ilyen, a közös adatkezelő, az adatkezelő képviselője és az adatvédelmi tisztviselő neve és elérhetősége
• Az adatkezelés céljai
• Az érintettek kategóriáinak és a személyes adatok kategóriáinak ismertetése (pl. lakók, látogatók; képfelvétel)
• A címzettek kategóriái, akikkel a személyes adatokat közlik vagy közölni fogják, ideértve a harmadik országbeli címzetteket vagy nemzetközi szervezeteket is
• Adott esetben a személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbítására vonatkozó információk, beleértve a harmadik ország vagy a nemzetközi szervezet azonosítását és szükség esetén a megfelelő garanciák leírását
• Ha lehetséges, a különböző adatkategóriák törlésére előirányzott határidők
• Ha lehetséges, a technikai és szervezési intézkedések általános leírása

A követelményeket szó szerinti megfogalmazásban a GDPR 30. cikkében olvashatod el.