Egidijus Langys. Didysis Brolis jus mato ir stebi: kur raudoną liniją brėžia BDAR?

Eiti prieš bangas drįsta retas, todėl visi nuosekliai diegia ir plečia vaizdo ir garso stebėsenos mastą. Kur gali nuvesti tokia paranoja, gerai rodo pastarųjų metų žingsniai Kinijoje, kur didžiųjų miestų gyventojai jau yra tapę masinio socialinio profiliavimo eksperimento objektais. O tam pagrindinius duomenis teikia būtent vaizdo stebėsenos infrastruktūra.

O kur ploną raudoną liniją brėžia ES Bendrasis duomenų apsaugos reglamentas (BDAR)? Netrukus švęsiantis savo 3-iąjį gimtadienį reglamentas sukūrė ir pluoštą lietuviškos teismų praktikos pavyzdžių. Bylose jau nagrinėti ginčai dėl vaizdo stebėjimo teisėtumo. Tad į kokias esmines aplinkybes turime atkreipti dėmesį?

Pagal BDAR vaizdo stebėjimas nėra savaime pateisinama priemonė. Todėl prieš pradedant stebėjimą būtina įsivertinti ir teisėtumo kriterijus. Kitu atveju Valstybinė duomenų apsaugos inspekcija (toliau – Inspekcija) gali ne tik uždrausti tęsti tokius veiksmus, bet ir skirti solidžias baudas.

Iliustratyvus vienas Inspekcijoje gautas darbuotojų skundas. Pasirodo, vienos gamybinės įmonės cechuose be darbuotojų žinios ir sutikimo buvo vykdytas vaizdo stebėjimas. Tai yra, stebėta ir poilsio zona, ir siuvimo cechas – stebėti darbuotojai. Nors darbdavys teigė, jog vaizdo stebėjimas vyksta neva dėl darbuotojų saugumo, tačiau darbuotojai skunde dėstė, jog įmonėje nėra buvę vagysčių, todėl tiesioginis tikslas yra būtent darbuotojų stebėsena.

Įmonės atstovai gynėsi, jog stebėti būtina į patalpas atvežamas ir išvežamas prekes (apskaitoje yra fiksuotas prekių trūkumas), o gamybinėse patalpose stebėjimas leidžia patikimai įvertinti, ar darbuotojai laikosi darbų saugos reikalavimų, nustatyti faktines aplinkybes, kai dėl darbų saugos ar kitų pažeidimų padaroma žala darbuotojų sveikatai, ypač – kai atliekami nelaimingų atsitikimų darbo vietoje tyrimai (beje, tokių įmonėje išties būta). Stebėjimas argumentuotas ir tuo, kad patalpose nėra galimybės įrengti saugos posto, todėl yra ir realus interesas saugoti patalpose esančius brangius mechanizmus ir priemones.

Tokie argumentai Inspekcijos neįtikino: prekių trūkumo mastas – pagrįstas tik 38 vnt. trūkumas, kai per metus pagaminama apie 40 tūkst. vnt. Panašiai atmestas ir nelaimingų atsitikimų tyrimo reikalingumas (iš 2 fiksuotų atvejų vaizdo stebėsena nepadėjo nustatyti jokių esminių aplinkybių). O, svarbiausia, Inspekcija atkreipė dėmesį, jog nepagrįstai ilgas įrašų saugojimo laikotarpis – net 14 dienų, kai Europos duomenų apsaugos valdybos gairėse rekomenduojamas maksimalus terminas yra 72 valandos.

Ginčas teisme taip pat baigėsi ne įmonės naudai. Teismo vertinimu, tikslas apsaugoti turtą negali būti fiktyvus arba hipotetinis. Stebėjimo galima imtis tuomet, kai iš tikrųjų įvyksta nelaimė, pavyzdžiui, anksčiau buvo padaryta žala arba įvyko rimti incidentai. O 38 prekių trūkumas to niekaip nepatvirtina, antrasis nelaimingas atsitikimas įvyko įmonei įvyko jau vykdant vaizdo stebėjimą, tačiau jis niekaip nepadėjo nustatyti nelaimingo atsitikimo faktinių aplinkybių ar šį įvykį ištirti. Lygiai taip pat neaišku, kaip vaizdo stebėjimas būtų užkardęs pirmąjį incidentą.

Tokia oficialių institucijų liniją tęsianti teismo pozicija leidžia formuluoti kelias rekomendacijas svarstantiems diegti vaizdo sistemas. Pirma, būtina įvertinti visas alternatyvias galimybes, ar nėra kitų priemonių, kurios leistų išvengti vaizdo stebėjimo. Jeigu tokių galimybių nėra, tai patartina atitinkamą išvadą fiksuoti raštu, aprašyti kriterijus, pagal kuriuos gauta tokia išvada.

Antra, kritiškai įvertinti tariamą teisėtą interesą dėl vaizdo stebėjimo būtinumo. Jis turi būti ir realus, ir aktualus, jis negali būti fiktyvus ar hipotetinis. Pavyzdžiui, stebėjimo galima imtis tuomet, kai iš tikrųjų įvyksta nelaimė. Tai reiškia, jog anksčiau buvo padaryta žala arba įvyko rimti incidentai. Jie turėtų būti dokumentuoti – aprašyti fiksuojant datą, pobūdį, finansinius nuostolius ir kitą svarbią informaciją. Tam rekomenduotina atlikti ir poveikio asmens duomenų apsaugai vertinimą.

Trečia, kritiškai vertinti duomenų saugojimo terminą. Jis ne tik turi būti nurodytas, tačiau ir būti objektyviai pagrįstas. Kuo terminas ilgesnis nei 72 valandos, tuo reikia svaresnių argumentų, įtvirtintų rašytiniame dokumente. Kartu turi būti paisoma duomenų kiekio mažinimo principo. Pavyzdžiui, siekiant apsaugoti įmonės turtą – automobilius – vaizdo stebėjimą reikėtų vykdyti tik tada, kai automobiliai yra faktiškai toje vietoje ir jį nutraukti, vos automobiliai išvyksta.

Ir, žinoma, privalu tinkamai informuoti duomenų subjektų apie vykdomą stebėjimą. Nors tai elementaru, tačiau praktikoje – bene dažniausiai pasitaikantis pažeidimas.

Gali pasirodyti, jog vaizdo stebėjimas – sudėtingas iššūkis, tačiau nuosekliai pasiruošus ir atlikus reikiamus veiksmus šiuos iššūkius galima sumažinti iki minimumo.