Responsabilul cu protecția datelor (DPO)

1. Operatorul datelor cu caracter personal

SMART & SUCCESSFUL S.R.L., denumită în continuare „Societatea” sau „Operatorul”, utilizează un sistem de supraveghere video în anumite zone ale sediului său.

Pentru orice întrebări privind prelucrarea datelor prin sistemul CCTV sau pentru exercitarea drepturilor prevăzute de legislația privind protecția datelor, persoanele vizate se pot adresa Responsabilului cu protecția datelor:

Prezenta informare este furnizată în conformitate cu Regulamentul (UE) 2016/679 („GDPR”), Legea nr. 190/2018 și celelalte dispoziții legale aplicabile.

2. Scopurile supravegherii video

Sistemul CCTV este utilizat exclusiv în următoarele scopuri:

• protejarea securității și integrității persoanelor aflate în sediu;
• protejarea bunurilor, echipamentelor IT și a celorlalte active ale Societății;
• prevenirea și, atunci când este necesar, investigarea accesului neautorizat, furturilor, actelor de vandalism și a altor incidente de securitate;
• asigurarea controlului accesului în sediu și în anumite zone care necesită un nivel sporit de protecție;
• clarificarea împrejurărilor unui incident concret și, atunci când este necesar, constatarea, exercitarea sau apărarea unui drept.

Sistemul CCTV nu este utilizat pentru monitorizarea productivității Salariaților, evaluarea performanței profesionale, verificarea de rutină a programului de lucru, a check-in/check-out-ului, a duratei pauzelor ori a prezenței la postul de lucru.

Evidența timpului de muncă se realizează prin sistemul distinct destinat acestui scop, respectiv Papervee.

3. Temeiul juridic

Prelucrarea imaginilor se întemeiază pe art. 6 alin. (1) lit. f) GDPR – interesul legitim al Societății, constând în asigurarea securității persoanelor, protejarea patrimoniului și echipamentelor, controlul accesului și prevenirea/investigarea incidentelor de securitate.

În cazul Salariaților sunt avute în vedere și condițiile speciale prevăzute de art. 5 din Legea nr. 190/2018 pentru utilizarea sistemelor de supraveghere video la locul de muncă. Aceste condiții privesc, între altele, justificarea temeinică a interesului legitim, informarea completă și prealabilă a Salariaților, consultarea reprezentanților acestora atunci când există și limitarea duratei de stocare.

Societatea a documentat necesitatea și proporționalitatea prelucrării printr-un Test de interes legitim (LIA) și o Evaluare de impact asupra protecției datelor (DPIA).

Supravegherea video nu se bazează pe consimțământul Salariaților, iar semnarea/confirmarea primirii prezentei informări atestă exclusiv faptul că aceasta a fost comunicată persoanei vizate.

4. Zonele monitorizate

Camerele sunt amplasate și configurate numai în zone în care există o necesitate legată de securitate, precum:

• intrările și ieșirile din sediu;
• căile relevante de acces și circulație;
• zonele în care sunt amplasate echipamente IT sau alte bunuri care necesită protecție;
• alte zone pentru care există o justificare concretă de securitate.

În situația în care anumite camere sunt amplasate fizic în spații de birouri, acestea sunt orientate cu prioritate către căile de acces și/sau zonele ori bunurile care necesită protecție, iar nu către posturile individuale de lucru.

Posturile de lucru și monitoarele Salariaților nu reprezintă obiectul supravegherii și sunt excluse, în măsura posibilului, din câmpul vizual sau protejate prin măsuri tehnice de limitare a imaginii, inclusiv privacy masking, dacă sistemul permite.

Eventuala surprindere incidentală a unui Salariat în deplasarea prin zona monitorizată nu are ca scop supravegherea activității acestuia.

Nu sunt monitorizate toaletele, bucătăria/zona de masă ori relaxare și alte spații în care persoanele au o așteptare sporită de viață privată.

5. Înregistrarea audio

Sistemul CCTV nu realizează înregistrări audio.

Funcționalitatea de înregistrare audio a sistemului (funcție audio activată implicit de sistemul CCTV, neactivată intenționat de Societate) este dezactivată și nu face parte din scopurile sau operațiunile de prelucrare desfășurate de Societate.

6. Categoriile de date și persoanele vizate

Prin intermediul sistemului CCTV pot fi prelucrate:

• imaginea persoanei;
• data și ora înregistrării;
• zona în care persoana se afla la momentul respectiv;
• alte elemente vizuale surprinse incidental în câmpul camerei.

Persoanele vizate pot include Salariații, clienții, vizitatorii, colaboratorii, furnizorii, prestatorii și alte persoane care accesează zonele supravegheate.

Sistemul nu utilizează recunoaștere facială, identificare biometrică, profilare, analiză comportamentală prin inteligență artificială sau mecanisme automate de luare a deciziilor.

7. Durata de stocare

Înregistrările CCTV sunt păstrate pentru o perioadă de maximum 30 de zile, după care sunt șterse automat, în condițiile stabilite de Societate.

Această perioadă este stabilită și prin raportare la art. 5 din Legea nr. 190/2018, potrivit căruia durata stocării datelor rezultate din monitorizarea angajaților trebuie să fie proporțională cu scopul și, în principiu, nu poate depăși 30 de zile, în afara situațiilor expres prevăzute de lege sau temeinic justificate.

Conservarea excepțională

Înregistrarea unei anumite secvențe poate fi conservată peste termenul obișnuit numai atunci când există un motiv concret și documentat, precum:

• un incident privind securitatea persoanelor, bunurilor sau echipamentelor;
• furt, acces neautorizat, vandalism sau altă faptă ilicită;
• accident sau alt eveniment care necesită clarificarea împrejurărilor;
• o solicitare a unei autorități competente;
• existența sau perspectiva rezonabilă a unui litigiu;
• necesitatea constatării, exercitării sau apărării unui drept;
• soluționarea unei cereri formulate de o persoană vizată privind imaginile în care aceasta apare.

În asemenea situații se conservă, în măsura posibilului, numai secvența relevantă, iar nu înregistrări mai ample decât este necesar.

Necesitatea păstrării suplimentare este documentată și reevaluată, iar înregistrarea este ștearsă atunci când motivul conservării încetează.

8. Cine poate accesa înregistrările

Accesul intern la sistem și la înregistrări este limitat, potrivit principiului need-to-know, la persoanele autorizate de Societate, respectiv, în configurația actuală: CEO și COO.

Accesul se realizează prin conturi individuale și este limitat la ceea ce este necesar pentru scopurile descrise în prezenta informare.

Accesările și exporturile relevante sunt jurnalizate prin mijloace tehnice, dacă sistemul permite, și/sau documentate în evidența internă a Societății.

Imaginile nu sunt accesate preventiv și nu sunt exportate în lipsa unui motiv concret.

9. Destinatarii înregistrărilor

Înregistrările pot fi comunicate, numai dacă este necesar și există un temei juridic, către:

• autorități publice, organe judiciare, poliție sau alte autorități competente;
• instanțe judecătorești;
• avocați, consultanți ori alți specialiști implicați în protejarea sau exercitarea drepturilor Societății;
• furnizorii de servicii tehnice/cloud utilizați pentru funcționarea sistemului CCTV, în măsura în care aceștia prelucrează date în numele Societății și cu respectarea cerințelor GDPR;
• alte persoane, numai în cazurile prevăzute sau permise de lege.

Societatea nu comercializează și nu pune la dispoziția terților imaginile CCTV în scopuri proprii ale acestora.

10. Transferuri internaționale

În măsura în care furnizorul tehnic/cloud implică transferarea sau accesarea datelor din afara Spațiului Economic European, Societatea va realiza asemenea transferuri numai cu respectarea Capitolului V GDPR și prin utilizarea garanțiilor adecvate prevăzute de legislația aplicabilă.

Informații suplimentare privind mecanismul concret de transfer pot fi solicitate Responsabilului cu protecția datelor.

11. Drepturile persoanelor vizate

În condițiile GDPR, persoanele vizate pot exercita, după caz:

• dreptul de acces la datele personale care le privesc;
• dreptul la rectificare, în măsura în care natura datelor permite;
• dreptul la ștergere, atunci când sunt îndeplinite condițiile legale;
• dreptul la restricționarea prelucrării;
• dreptul de opoziție, având în vedere că temeiul juridic este interesul legitim;
• dreptul de a formula plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal.

Exercitarea unui drept nu este absolută și poate fi limitată atunci când condițiile prevăzute de GDPR nu sunt îndeplinite ori atunci când exercitarea sa ar afecta în mod nejustificat drepturile și libertățile altor persoane.

12. Dreptul de acces la imaginile CCTV

Persoana care dorește să afle dacă Societatea prelucrează imagini în care apare sau să obțină acces la acestea poate transmite o solicitare Responsabilului cu protecția datelor, la [email protected].

Cererea trebuie să conțină informații suficiente pentru identificarea rezonabilă a secvenței solicitate, în special:

• data;
• intervalul orar aproximativ;
• zona în care s-a aflat persoana;
• orice alte informații utile pentru localizarea înregistrării.

Verificarea identității

Societatea va lua măsuri rezonabile pentru a se asigura că imaginile sunt comunicate persoanei la care acestea se referă.

Dacă există îndoieli rezonabile privind identitatea solicitantului, pot fi solicitate informații suplimentare strict necesare confirmării identității. Societatea nu solicită în mod automat copii ale actelor de identitate dacă identificarea poate fi realizată printr-o modalitate mai puțin intruzivă.

Termenul de răspuns

Societatea va răspunde fără întârzieri nejustificate și, în orice caz, în termen de cel mult o lună de la primirea cererii.

Dacă cererea este complexă sau există un număr mare de solicitări, termenul poate fi prelungit, în condițiile GDPR, solicitantul fiind informat cu privire la prelungire și motivele acesteia în termen de o lună de la primirea cererii.

Protecția celorlalte persoane

Dacă imaginile solicitate conțin și datele altor persoane, Societatea va lua măsurile necesare pentru protejarea drepturilor și libertăților acestora. În funcție de circumstanțe, accesul poate fi acordat prin:

• furnizarea secvenței relevante după mascarea/blurarea altor persoane;
• furnizarea unor imagini statice relevante;
• vizualizarea controlată a secvenței;
• o altă modalitate adecvată care permite exercitarea efectivă a dreptului fără afectarea disproporționată a terților.

Dreptul de acces nu presupune în mod automat furnizarea integrală a fișierului video brut atunci când acesta conține date personale ale altor persoane.

Conservarea imaginilor solicitate

Dacă cererea este primită înainte de expirarea termenului normal de retenție și secvența poate fi identificată, Societatea poate conserva temporar numai imaginile relevante pentru perioada necesară soluționării cererii.

Persoanele vizate sunt încurajate să transmită cererile cât mai rapid, având în vedere termenul limitat de păstrare a înregistrărilor.

13. Dreptul de opoziție

Întrucât prelucrarea se întemeiază pe interesul legitim, persoana vizată are dreptul de a se opune prelucrării, din motive legate de situația sa particulară, în condițiile art. 21 GDPR.

Societatea va analiza opoziția și circumstanțele concrete și va înceta prelucrarea dacă nu poate demonstra existența unor motive legitime și imperioase care justifică prelucrarea și care prevalează asupra intereselor, drepturilor și libertăților persoanei vizate sau dacă prelucrarea nu este necesară pentru constatarea, exercitarea sau apărarea unui drept.

14. Plângeri

Persoanele vizate au dreptul de a formula o plângere către Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), fără a aduce atingere dreptului de a utiliza celelalte căi administrative sau judiciare prevăzute de lege.

15. Securitatea înregistrărilor

Societatea aplică măsuri tehnice și organizatorice destinate protejării imaginilor împotriva accesului, divulgării, modificării, pierderii sau distrugerii neautorizate, inclusiv:

• limitarea accesului la persoane nominal autorizate;
• utilizarea conturilor individuale;
• limitarea și documentarea exporturilor;
• ștergerea automată la expirarea retenției;
• conservarea separată și controlată a secvențelor păstrate excepțional;
• revizuirea periodică a accesurilor și configurației sistemului;
• măsuri de securitate aplicabile soluției tehnice/cloud utilizate.

16. Modificarea sistemului CCTV

Societatea va reevalua prezenta informare și documentația aferentă dacă intervin modificări semnificative privind, între altele:

• scopurile supravegherii;
• amplasarea sau orientarea camerelor;
• zonele monitorizate;
• tehnologia utilizată;
• perioada de retenție;
• persoanele care au acces la sistem;
• introducerea unor noi funcționalități de analiză a imaginilor.

Orice modificare care determină prelucrarea datelor într-un scop diferit va fi analizată înainte de implementare și va fi comunicată persoanelor vizate în condițiile GDPR.

17. Comunicarea informării către salariați

Salariații primesc prezenta informare și individual, iar confirmarea primirii atestă exclusiv luarea la cunoștință a conținutului ei. Semnătura de luare la cunoștință nu reprezintă consimțământ pentru supravegherea video și nu constituie temeiul juridic al prelucrării.

Înapoi sus