PUUST JA PUNASEKS – Millistel tingimustel võib ettevõtja kasutada kaameraid?

• Estonia

• Other

06-05-2022

Meedias leidis 2022. aastal kajastust Andmekaitse Inspektsiooni poolt Grossi Toidukaupadele tehtud hoiatus, milles inspektsioon heidab ettevõtjale ette kaamerate ebaõiget kasutamist ning ähvardab ettevõtjat kuni 20 miljoni euro suuruse sunnirahaga.

Selline üüratu trahvihoiatus on kindlasti toonud nii mõnegi kaameraid kasutava ettevõtja kohale tumeda murepilve. Seega mida tuleks silmas pidada, et tagada kaamerate kasutamise seaduslikkus?

Kaamera kasutamine kui isikuandmete töötlemine.

Esmajärjekorras peab ettevõtja kaamerate paigaldamisel teadvustama, et teatava ala süstemaatiline automatiseeritud jälgimine on käsitletav isikuandmete töötlemisena. Seda põhjusel, et selle tegevuse käigus kogutakse ja säilitatakse visuaalset või audiovisuaalset teavet isikute kohta, kes sisenevad jälgitavale alale ning isikud on oma välimuse tõttu tuvastatavad. Seega peab ettevõtja kaamerate paigaldamisel järgima kõiki isikuandmete kaitse üldmäärusest tulenevaid nõudeid.

Isikuandmete töötlemise seaduslikkus.

Enne kaamerate paigaldamist ja kasutamist tuleb kindlaks määrata kaamerate kasutamise eesmärgid. Kaamerate paigaldamisel võib olla mitmeid eesmärke, näiteks soov tagada vara turvalisus, jälgimisalas toimepandud süütegude tuvastamine, töötajate turvalisuse vms. Seejuures ei ole piisav, kui eesmärk on määratud üldsõnaliselt „turvalisuse tagamine“. Määratud eesmärgist peab selgelt nähtuma, millist riski soovib ettevõtja, sh nt kaubandusettevõtja, kaamera kasutamise abil maandada.

Kui kaamera kasutamise eesmärgid on määratletud, siis peab veenduma, et esineb õiguslik alus kaardistatud eesmärkidel isikuandmete töötlemiseks. Üldjuhul on videovalve andmete töötlemise õiguslikuks aluseks õigustatud huvi, millele viitas inspektsioon ka Grossi Toidukaubad juhtumis. Siiski ei ole piisav, kui ettevõtja üksnes nendib oma õigustatud huvi olemasolu. Ettevõtjal tuleb läbi viia õigustatud huvi kaalumine.

Õigustatud huvi olemasolus veendumine.

Kaamerate kasutamine on seaduslik, kui selleks on ettevõtja või kolmanda isiku õigustatud huvi, mis kaalub üles kaamera vaatevälja jäävate isikute huvid, õigused ja vabadused. Õigustatud huvi olemasolu veendumiseks tuleb ettevõtjal koostada dokument, milles on kaardistatud kõik kaamerate kasutamisega seonduv, sh jälgitav ala, ettevõtja eesmärgid ja huvid, mida kaamerate kasutamisega soovitatakse tagada, põhjendus isikuandmete töötlemise vajalikkuse kohta, mille raames kaardistatakse kaamerate paigaldamata jätmisega kaasnevad võimalikud negatiivsed tagajärjed ning tõenäoline mõju andmesubjektidele. Eeltoodud info pinnalt teeb ettevõtja järelduse, kas tal on õigustatud huvi või mitte, ning dokumenteerib selle.

Õigustatud huvi olemasolu tõendamiseks võivad mh olla ka varasemad juhtumid, mille raames on ettevõtja poolt kaardistatud risk realiseerunud. Lisaks on Euroopa Andmekaitsenõukogu leidnud, et õigustatud huvi olemasolu võib tuleneda ka otsest ohuolukorrast, näiteks on tegemist poega või alaga, mis on varaga seotud õigusrikkumiste puhul teadaolevalt tüüpiline kuriteopaik (nt selvekauplus või tankla). Seega iseenesest ei ole Grossi Toidukaubad juhtumis tegemist olukorraga, kus kaamerate kasutamine olnud põhimõtteliselt ebaseaduslik. Kaamerate kasutamine poodides ja kaubandusettevõtetes on tavapärane, kuid selle eelduseks on siiski kindlate nõuete, sh vormiliste nõuete, täitmine.

Kaalumisotsuse dokumendis tuleb põhjendatult konkreetseid asjaolusid analüüsides ära näidata, et huvi kaameratega jälgimiseks huvi kaalub üles kaamera vaatevälja jääva isiku huvi. Näiteks on ilmselge, et kui ettevõtja soovib tualettruumi või töötajate puhkeruumi paigaldada kaamerat eesmärgil, et tagada ruumide korrasolek, siis kaalub töötajate/klientide õigus privaatsusele üles tööandja huvid. Samas tuleb õigustatud huvi kaameraga jälgimiseks jaatada, kui selvekauplus paigaldab poodi kaamerad oma vara ja klientide vara kaitseks, kuna vargused on poodides tihedad, poodides käib palju rahvast, mistõttu on varguste tuvastamine üksnes turvameeste abil väga keeruline.

Kaamerate kasutamisest teavitamine.

Kui ettevõtja on veendunud, et tal on õigustatud huvi kaamerate kasutamiseks, siis tuleb tal kaamerate vaatevälja jäävaid isikuid kaamerate kasutamise faktist teavitada. Teavitamine võib toimuda kahekihilisest.

Esiteks tuleb ettevõtjal paigaldada hoiatusmärk, millel on kajastatud kõige olulisemad andmed (nt vastutava töötleja andmed, töötlemise eesmärgid ja teave selle kohta, kus on võimalik kaamerate kasutamise tingimustega täpsemalt tutvuda). Hoiatusmärk tuleb paigutada nii, et isikul on lihtne seda enne jälgitavale alale sisenemist märgata.

Teavitamise teises kihis tuleb anda ülevaade isikuandmetega seotud nõuete täitmisest, mh andmete säilitamise tähtaeg, turvameetmed ja andmesubjekti õigused.

Videosalvestisi tuleb säilitada minimaalselt ja turvaliselt. Videosalvestiste säilitamisele tuleb kehtestada aeg. Samuti tuleb ette näha salvestiste kustutamise kord(nt kas salvestamine toimub manuaalselt või automaatselt). Säilitustähtaja kehtestamisel tuleb silmas pidada, et mida pikem on tähtaeg, seda kaalukamad peaksid olema põhjendused andmete säilitamisele.

Kindlasti tuleb kehtestada ka reeglid, millistel tingimustel ja kellel, on õigus salvestistega tutvuda. Juurdepääsuõigus võiks olla võimalikult vähestel inimestel, kes fikseerivad alati ka salvestisega tutvumise põhjuse.

Automaatse logisüsteemi kohaldamine salvestistega tutvumisele on kindlasti üks tõhusamaid viise isikuandmete turvalisuse tagamiseks. Samas pole see ainus õigusaktidega lubatud viis turvalisuse tagamiseks nagu viitab Andmekaitse Inspektsioon mõneti eksitavalt Grossi Toidukaubad juhtumis. Logisüsteemi asemel võivad kõne alla tulla ka päevikute (nt digitaalse registri) kasutamine või muud sobivad lahendused, mis võimaldavad tutvumise asjaolud kindlaks teha.

Grossi Toidukaubad juhtumi kontekstis näib kummaline ka see, et inspektsioon ei ole pöördumises esitanud infot, milles seisnevad etteheidetava rikkumise asjaolud ning milliseid samme ootab Andmekaitse Inspektsioon väidetavalt rikkujalt. See paneb adressaadi võrdlemisi keerulisse positsiooni, kuna pelgalt nõuete kirjeldamisest, ilma neid konkreetse juhtumi asjaoludega täpsemalt sisustamata, ei ole võimalik võtta ka tõhusalt meetmeid inspektsiooni rahuldava tulemuse saavutamiseks.

Ühest küljest on inspektsioon teinud tuntud kaubandusettevõttele suure sunniraha kohaldamise hoiatuse, kuid samas palutakse esitada täiendavat informatsiooni isikuandmete töötlemise kohta, mis justkui viitaks sellele, et rikkumist ei ole veel tuvastatud. Sellisel moel ei peaks inspektsioon oma järelevalvepädevust kasutama. Adressaadile peab olema selge, mida ametiasutus ette heidab ja mida peab tegema esile kerkinud olukorra lahendamiseks.