A Autoridade de Proteção de Dados da Estônia (DPA) recebeu uma denúncia de que a empresa de varejo Simtan Kaubandus (o controlador) utilizava câmeras de segurança em suas instalações para monitorar seus funcionários em tempo real. A DPA decidiu iniciar uma investigação para verificar a base legal e os propósitos do uso das câmeras, e para assegurar a conformidade com o Artigo 13 do GDPR.

O controlador informou à DPA que a base legal para o uso das câmeras de segurança era o Artigo 6(1)(f) do GDPR, ou seja, interesse legítimo (prevenção de fraudes ou abuso de serviços). No entanto, o controlador não apresentou à DPA uma análise de interesse legítimo demonstrando que:

o processamento de dados pessoais por meio das câmeras de segurança é realmente necessário para os fins do interesse legítimo perseguido pelo controlador, e
os interesses legítimos do controlador superam os interesses ou direitos e liberdades fundamentais do titular dos dados.
Além disso, o controlador forneceu à DPA fotos das placas informativas que mostravam apenas o símbolo da câmera e o texto "videovigilância".

A DPA observou que é proibido monitorar funcionários com câmeras durante todo o expediente e em toda a sala. As câmeras devem ser direcionadas apenas a riscos específicos de segurança para garantir a segurança adequada do processamento de dados pessoais sob o Artigo 5(1)(f) do GDPR.

A DPA considerou que, para depender do Artigo 6(1)(f) do GDPR, ou seja, interesse legítimo, deve ser realizada uma análise de interesse legítimo. Especificamente, o controlador é obrigado a comparar seus próprios interesses legítimos com os interesses e direitos fundamentais do titular dos dados para verificar se o Artigo 6(1)(f) pode ser invocado como base legal para o processamento.

Além disso, a DPA destacou que o processamento de dados deve ser transparente. O princípio da transparência do GDPR exige que todas as informações e mensagens relacionadas ao processamento de dados pessoais sejam facilmente acessíveis e compreensíveis, e que seja utilizada linguagem clara e simples. Para cumprir o princípio da transparência, deve ser estabelecido um aviso de privacidade, cujo conteúdo é regido pelos Artigos 12 a 14 do GDPR.

Adicionalmente, a DPA observou que uma sinalização compatível deve ser criada para notificar os titulares dos dados sobre o uso das câmeras de segurança conforme o Artigo 13 do GDPR. A sinalização adequada deve, portanto, conter o propósito do processamento, a base legal, o nome/contato do controlador e informações sobre onde consultar as condições de proteção de dados.

Como resultado, a DPA encontrou violações dos Artigos 5, 6, 12 e 13 do GDPR em relação ao uso das câmeras de segurança. Mais especificamente, a DPA constatou que a empresa de varejo não possuía uma base legal adequada para o uso das câmeras de segurança e, portanto, tal vigilância deve ser suspensa até que o controlador apresente uma análise de interesse legítimo à DPA.

Com informações GDPRHub

Este post foi traduzido e resumido a partir de sua versão original com o uso do ChatGPT versão 4, com revisão humana.