İşletmelerde GDPR'a uygun video gözetim: Avusturya'da neler geçerli?

İşletmelerde video gözetim ne zaman yasaldır?

İşletmeler; hırsızlık, zorla giriş veya vandalizme karşı korunma gibi meşru bir menfaatleri varsa binalarını ve arazilerini kameralarla izleyebilir. Hukuki dayanak genellikle AB Genel Veri Koruma Tüzüğü'nün (GDPR, Almanca DSGVO) 6. maddesinin 1. fıkrasının (f) bendidir. Avusturya Veri Koruma Kanunu (DSG) da görüntü kayıtlarına ilişkin kendi kurallarını içerir. Bu kuralların GDPR'ın yanında ne ölçüde uygulanacağı hukuken tartışmalıdır, ancak uygulamada yol gösterici olmaya devam etmektedir.

Belirleyici olan orantılılıktır. Gözetim amaca uygun ve gerekli olmalı, kayda alınan kişilerin menfaatleri sizinkinden ağır basmamalıdır. Bu nedenle önce daha hafif önlemlerin yeterli olup olmadığını kontrol edin; örneğin daha iyi aydınlatma, daha sağlam kilitler, bir alarm sistemi veya yalnızca çalışma saatleri dışında kayıt.

Avusturya Veri Koruma Kurumu'ndan izin almak veya kuruma bildirimde bulunmak öngörülmemiştir; bu nedenle sistemin hukuka uygun işletildiğini işletmenin kendisi kanıtlayabilmelidir.

Amacı ve kayıt alanını net olarak belirleyin

Her kameranın ne için kullanıldığını yazılı olarak belirleyin. Depoya yapılan izinsiz girişlerde delil toplamak gibi somut bir amaç gerekçelendirilebilir; genel olarak daha fazla güvenlik istemek ise çoğu zaman yeterli değildir. Daha önce yaşanmış ve belgelenmiş olaylar gerekçeyi güçlendirir. Kamera konumları, görüş açıları, kayıt saatleri ve saklama süresi bu amaçtan türetilir. Aynı ilkeler, plaka tanıma kullanılan araç girişlerindeki kameralar için de geçerlidir.

• Genellikle savunulabilir: Girişler ve araç yolları, depolar, kasa alanları, sunucu odaları ve çalışma saatleri dışında şirket arazisi.
• Yalnızca özel bir gerekçeyle: Çalışanların bütün iş günü boyunca bulunduğu çalışma yerleri.
• Kesinlikle kapsam dışı: Tuvaletler, soyunma odaları, mola ve dinlenme odaları. Gizli kameralar ve ses kaydı da neredeyse hiçbir zaman gerekçelendirilemez.

Kamusal alan ve komşular

Kaldırımlar, sokaklar ve komşu mülkler kural olarak kayda alınmamalıdır. Girişin hemen önündeki dar bir şerit teknik olarak önlenemiyorsa, bu alan mümkün olduğunca küçük tutulmalıdır. Görüntüye giren diğer alanlar gizlilik maskeleme ile karartılır.

Daha video gözetim sisteminin planlaması sırasında kamera konumları ve odak uzaklıkları, mümkün olduğunca az alan maskelenecek şekilde seçilebilir.

Uyarı levhaları ve ilgili kişilerin bilgilendirilmesi

İzlenen bir alana giren herkes bunu önceden fark edebilmelidir. Bu nedenle iyi görünen uyarı levhalarını kameranın altına değil, kişilerin kayıt alanına girmeden önce görebileceği bir yere asın. Avrupa Veri Koruma Kurulu (EDPB) bunun için iki aşamalı bir yaklaşım önerir:

• Levhada: Bir piktogram, veri sorumlusunun adı ve iletişim bilgileri, gözetimin amacı, ilgili kişilerin haklarına dair bir hatırlatma ve ayrıntılı bilgilerin nerede bulunduğuna dair bir not.
• Ayrıntılı bilgilendirme metninde: Hukuki dayanak, meşru menfaat, saklama süresi, alıcılar ve ilgili kişilerin hakları ayrıntılı olarak; örneğin resepsiyonda asılı bir duyuru olarak veya web sitenize yönlendiren bir QR kod ile.

Saklama süresi ve otomatik silme

Kayıtlar yalnızca amacın gerektirdiği süre boyunca saklanabilir; her duruma uyan tek bir süre yoktur. EDPB, video cihazlarına ilişkin yönergelerinde kayıtların çoğu durumda birkaç gün sonra, tercihen otomatik olarak silinmesini önerir; saklama süresi ne kadar uzunsa, özellikle 72 saati aştığında, o kadar iyi gerekçelendirilmelidir. DSG'deki görüntü kaydı kurallarına göre de 72 saati aşan saklama ayrıca gerekçelendirilmeli ve kayıt altına alınmalıdır.

Kayıt cihazında veya video yönetim yazılımında azami saklama süresini açıkça ayarlayın. Birçok kayıt cihazı fabrika ayarlarında eski kayıtların üzerine ancak disk dolduğunda yazar; bu, diskin boyutuna göre haftalar sürebilir. Uzun hafta sonları veya toplu izin dönemleri gibi nedenlerle daha uzun süreler, belgelenmiş bir gerekçe gerektirir.

Bir olay yaşanırsa yalnızca ilgili bölümü güvence altına alın, dışa aktarmayı belgeleyin ve gerekirse kopyayı polise teslim edin. Dosya kapandığında bu kopya da silinir.

Kayıtları koruyun: Erişim, kayıt tutma ve teknik önlemler

Video kayıtları kişisel veridir ve buna uygun şekilde korunmalıdır. Bunları yalnızca adı belirlenmiş az sayıda kişi izleyebilmeli veya dışa aktarabilmeli, mümkünse dört göz ilkesi uygulanmalıdır. Sistem her izlemeyi ve her dışa aktarmayı zaman ve kullanıcı bilgisiyle kaydetmelidir.

Teknik tarafta buna kişisel kullanıcı hesapları, kilitli bir odada korunan bir kayıt cihazı ve yalnızca VPN üzerinden uzaktan erişim dahildir. Kameraları ve kayıt cihazlarını saldırılara karşı hangi önlemlerin koruduğunu IP kameraların güvenliği yazımızda anlatıyoruz.

Uzaktan bakım veya bulut depolama gibi nedenlerle bir hizmet sağlayıcının sisteme erişimi varsa, GDPR'ın 28. maddesine göre bir veri işleme sözleşmesi yapmanız gerekir.

Belgeleme: İşleme faaliyetleri kaydı ve etki değerlendirmesi

Video gözetim, işleme faaliyetleri kaydınızda yer almalıdır. 250'den az çalışanı olan kuruluşlara tanınan istisna burada genellikle uygulanmaz, çünkü gözetim yalnızca arada sırada yapılmaz. Kayıtta diğerlerinin yanı sıra amaç, ilgili kişi grupları, alıcılar, silme süreleri ve koruma önlemleri, tercihen kamera konumları ve erişim yetkisi olan kişiler de yer alır.

İşlemenin yüksek bir risk doğurma ihtimali varsa veri koruma etki değerlendirmesi (DPIA) gerekir. GDPR, kamuya açık alanların büyük ölçekte sistematik olarak izlenmesini açıkça örnek olarak sayar; mağazalar da bu tür alanlara girebilir. Avusturya Veri Koruma Kurumu ayrıca her durumda etki değerlendirmesi gerektiren işlemelerin ve bundan muaf olanların listelerini yayımlamıştır: Yalnızca işletmenin kendi mülkünü kapsayan, levhayla işaretlenmiş ve kayıtları 72 saat içinde silen sistemler bir istisnaya girebilir.

Yüz tanıma ve diğer biyometrik işlevler biyometrik veri işler ve işletmeler için hukuken çok hassastır. Bu tür işlevleri önceden hukuki değerlendirme yaptırmadan etkinleştirmeyin.

Çalışanlar: Çalışan temsilciliğini erken dahil edin

Kameralar çalışanları da kaydediyorsa, Avusturya iş hukuku da devreye girer. İnsan onurunu etkileyen denetim önlemlerine yalnızca bir işletme sözleşmesi (Betriebsvereinbarung) temelinde izin verilir. Çalışan temsilciliği (Betriebsrat) bulunmayan işletmelerde her çalışanın ayrı ayrı onayı gerekir.

Bu durum yalnızca çalışma yerlerine yöneltilmiş kameraları değil, personel girişindeki veya depodaki bir kamerayı da kapsayabilir. Çalışan temsilciliğini daha planlama aşamasında sürece dahil edin ve sözleşmede amacı, kamera konumlarını, saklama süresini, erişimi ve görüntülerin performans veya davranış denetimi için kullanılmayacağını düzenleyin. Çalışma yerlerinin kesintisiz tam gözetimi gibi insan onurunu ihlal eden önlemlere onay alınsa bile izin verilmez.

Video gözetiminiz için kontrol listesi

Her sistem farklıdır ve bu yazı hukuki danışmanlığın yerini tutmaz. Emin değilseniz konseptinizi veri koruma alanında uzman bir avukata inceletin. Q-entra teknik uygulamada size destek olur: Kamera konumları ve maskeleme ile planlama ve projelendirmeden, yetki konsepti ve otomatik silme ile video gözetim kurulumuna kadar.