Historia zmian Numer aktualizacji Data Opis dokonanych zmian Zmiany dokonane przez: 1 1.12.2017 r. Pierwsza publikacja Dział Kadr 1.1 1.04.2019 r. Polityka zaktualizowana zgodnie z RODO. Dział Kadr
1. Wstęp Na terenie pod kontrolą Dawn Meats (dalej: firma) zainstalowane są systemy monitoringu wizyjnego (CCTV) w celu zapewnienia ochrony i bezpieczeństwa wszystkim pracownikom i wykonawcom firmy oraz wszystkim osobom odwiedzającym obiekty firmy. Zdjęcia mogą być nagrywane na DVR (Digital Video Recorder), taśmę wideo, DVD lub w innym systemie zapisu cyfrowego. Firma jest administratorem danych w odniesieniu do danych osobowych, którymi zarządza, które przetwarza i przechowuje. Pojęcie danych osobowych zdefiniowano w art. 4 ogólnego rozporządzenia UE o ochronie danych ( RODO ). 2. Cel polityki Celem niniejszej polityki jest przedstawienie informacji dotyczących użytkowania monitoringu wizyjnego na terenie obiektu (CCTV). Monitoring ten obejmuje zarówno wewnętrzne, jak i zewnętrzne tereny firmy. Firma zastrzega sobie prawo wykorzystywania informacji zdobytych dzięki kamerom CCTV na użytek postępowań dyscyplinarnych. Organizacja zapewnia, że wykorzystanie kamer przebiega zgodnie z wymogami ogólnego rozporządzenia o ochronie danych (RODO) oraz Ustaw o ochronie danych z 1988 roku i 2018 roku. 3. Zakres Wszyscy pracownicy, w tym personel ochrony, wykonawcy i goście mają obowiązek przestrzegać niniejszej polityki. W przypadku pracowników i wykonawców, nieprzestrzeganie niniejszej polityki może skutkować karą dyscyplinarną, w tym również rozwiązaniem stosunku pracy i/lub trwałym usunięciem. 4. Procedura Kamery CCTV są zamontowane wewnątrz i na zewnątrz obiektu firmy w celu zapewnienia ochrony i bezpieczeństwa wszystkim pracownikom i wykonawcom firmy oraz wszystkim osobom odwiedzającym obiekty firmy, a także by zadbać o bezpieczeństwo obiektów i znajdującego się w nich mienia, poprawić standardy BHP oraz monitorować działania i zachowanie pracowników. Pracownicy powinni mieć na uwadze, że w przypadku podjęcia działań dochodzeniowych lub dyscyplinarnych materiał z kamer CCTV może być użyty w celu pomocy w tego typu procesie. Oznacza to, że firma i/lub jej pracownicy (lub ich przedstawiciele) mogą ubiegać się o dostęp do materiałów z kamer CCTV w przypadku, gdy uważa się, że może to być istotne oraz/lub że może to pomóc we wszelkiego rodzaju dochodzeniach lub procedurach dyscyplinarnych. Należy jednak pamiętać, że prawo dostępu do materiałów z kamer CCTV jest ograniczone na mocy przepisów prawa o ochronie danych (np. w przypadku zdjęć osób trzecich), stąd też firma zastrzega sobie prawo do dostarczenia w pewnych przypadkach zrzutów ekranu odpowiednich wizerunków zamiast całych nagrań. 2
Wszyscy pracownicy Dawn Meats proszeni są o współpracę w zakresie działań firmy dotyczących bezpieczeństwa. Gotowość do minimalizowania strat finansowych stanowi priorytet dla Dawn Meats. 5. Lokalizacja kamer Lokalizacja kamer CCTV na terenie obiektów firmy jest rzeczą niezwykle istotną dla firmy korzystającej z systemu CCTV. Nie jest zamiarem firmy montowanie kamer CCTV w celu monitorowania miejsc, gdzie z uzasadnionych powodów można oczekiwać prywatności. 6. Powiadomienia i oznakowanie Pracownicy firmy, wykonawcy i osoby odwiedzające obiekty firmy mogą na życzenie otrzymać kopię niniejszej polityki dotyczącej CCTV, zgodnie ze swoimi prawami jako osób, których dane dotyczą. Niniejsza polityka opisuje cel monitoringu CCTV i wskazuje dane kontaktowe dla osób, które chcą przedyskutować sposób używania przez firmę z monitoringu CCTV oraz wytyczne w zakresie korzystania z niego. Na terenie obiektów, gdzie znajdują się kamery CCTV, umieszczone zostanie odpowiednie oznakowanie wskazujące, że działa tam system CCTV. Oznakowanie będzie wskazywać nazwisko i dane kontaktowe administratora danych oraz informacje na temat dostępu do polityki dotyczącej CCTV, aby zainteresowane osoby mogły dowiedzieć się, jakie są cele stosowania kamer CCTV. 7. Przechowywanie Wszystkie zarejestrowane dane przechwycone przez system CCTV w firmie są zazwyczaj przechowywane przez firmę przez jeden miesiąc kalendarzowy, chyba że wymagany jest inny okres ze względów operacyjnych lub regulacyjnych. Organizacja zastrzega sobie jednak prawo do zachowania zdjęć przez dłuższy okres w przypadkach, gdy istnieją ku temu obiektywne powody. W takich przypadkach materiał będzie przechowywany tylko tak długo, jak będzie to konieczne. Wszelkie zarejestrowane dane będą przechowywane przez firmę w bezpiecznym środowisku. Firma będzie prowadzić rejestr dostępu dla wszystkich osób uzyskujących dostęp do zarejestrowanych danych. Dostęp do zarejestrowanych danych mogą uzyskać wyłącznie pracownicy upoważnieni przez firmę do uzyskania dostępu do takich danych ( uprawniony personel ). 8. Przetwarzanie zdjęć Pracownicy, na których spoczywa odpowiedzialność za przetwarzanie zdjęć z monitoringu wizyjnego, muszą przestrzegać odpowiednich procedur i zawsze dbać o bezpieczeństwo danych. Każdy pracownik, który użyje monitoringu wizyjnego lub zdjęć z kamer CCTV w sposób nieuprawniony, może podlegać karom dyscyplinarnym, które mogą obejmować rozwiązanie stosunku pracy. Nieuprawnione użycie to wszelkie przypadki przetwarzania, które nie odpowiadają pierwotnemu celowi przetwarzania danych, w tym między innymi: 3
ujawnienie zdjęć zawierających dane osobowe nieupoważnionej osobie trzeciej, w tym innym pracownikom; nieuprawnione przetwarzanie danych osobowych w postaci kopiowania zdjęć na dysk, stronę internetową lub w formie wydruku; wysyłanie pocztą elektroniczną zdjęć zawierających dane osobowe lub publikowanie takich zdjęć w internecie. 9. Dostęp i udostępnianie zdjęć osobom trzecim Dostęp i udostępnianie zdjęć nagranych przez system CCTV jest szczegółowo monitorowany i będzie ściśle ograniczony jedynie do uprawnionego personelu. Niemniej jeśli w trakcie sprawdzania materiału z kamer osoba uprawniona potrzebuje pomocy w identyfikowaniu personelu, poprosi o wsparcie odpowiednich przełożonych/kierowników działu w takim zakresie, w jakim będzie to konieczne. Dostęp do zdjęć będzie udzielony osobom trzecim jedynie w sposób ograniczony, w okolicznościach przewidzianych/dozwolonych przez przepisy prawa. 10. Prośby o dostęp Zgodnie z postanowieniami Ustaw o ochronie danych, osoby, których dane dotyczą, mają prawo uzyskać dostęp do ich danych osobowych powiadanych przez firmę, zawsze pod warunkiem, że takie zarejestrowane dane istnieją w chwili przekazania odpowiedniej prośby, tj. nie zostały usunięte, a także że nie obowiązuje wyjątek/zakaz udostępniania takich zarejestrowanych danych. Dotyczy to zarówno personelu, jak i osób spoza firmy. Wszelkie prośby należy składać na piśmie. Prośby należy przekazywać do koordynatora ds. RODO oraz na adres gdpr@dawnmeats.com natychmiast po ich otrzymaniu i odnotowaniu prośby. Osoby proszące o dostęp do zdjęć muszą dostarczyć firmie: odpowiednie informacje pozwalające na odnalezienie zdjęć; wystarczające informacje pozwalające organizacji sprawdzić, czy wnioskodawca jest należycie uprawniony do żądania dostępu; kopie dwóch dowodów tożsamości ze zdjęciem, tj. paszportu, prawa jazdy lub innego akceptowanego dowodu tożsamości, a także potwierdzenie adresu. Informacje te będą wykorzystywane wyłącznie do celów identyfikacji i będą przechowywane tylko tak długo, jak to konieczne. Pod szczególną rozwagę należy brać prośby o zezwolenie na dostęp, które wymagałoby udostępnienia zdjęć osób trzecich. W przypadku gdy zarejestrowane dane identyfikują inną osobę, dane te mogą być udostępnione przez firmę podmiotowi danych, jeżeli określone zdjęcia w tych zarejestrowanych danych można odpowiednio poddać redakcji/anonimizacji/pikselizacji w sposób uniemożliwiający identyfikację takiej osoby lub jeżeli osoba ta udzieliła wyraźnej zgody na udostępnienie zarejestrowanych danych osobie, której dane dotyczą. Jeżeli zdjęcia wchodzące w skład zarejestrowanych danych mają na tyle słabą jakość, że nie można jednoznacznie zidentyfikować danej osoby, firma może uznać, że zdjęcia te nie stanowią danych 4
osobowych oraz poinformować o tym osobę, której dane dotyczą i która złożyła daną prośbę, a także na tej podstawie odmówić przekazania tych danych. Jeżeli zarejestrowanych danych stanowiących przedmiot prośby nie można skopiować na inne urządzenie, a także w innych wyjątkowych okolicznościach, firma postara się przekazać osobie, której dane dotyczą, obrazy statyczne takich zarejestrowanych danych jako alternatywę materiałów wideo. W przypadku odmowy dostępu firma udokumentuje następujące informacje: tożsamość wnioskodawcy, datę wniosku, powód odmowy przekazania zdjęć będących przedmiotem wniosku. Następnie dokument zostanie podpisany, opatrzony datą i dostarczony do osoby, która składała taką prośbę. Wnioski składane przez An Garda Síochána: W przypadku gdy An Garda Siochána prosi o zdjęcia z monitoringu dla celów konkretnego dochodzenia, firma ma obowiązek potwierdzić, że rzeczywiście toczy się śledztwo. Informacje zawierające zarejestrowane dane uzyskane przez firmę z systemu CCTV mogą być przekazane przez nią do An Garda Síochána wyłącznie na podstawie upoważnienia kierownika operacyjnego grupy/zakładu w porozumieniu z osobą odpowiedzialną za RODO. Jeżeli organ ścigania, taki jak An Garda Síochána, poprosi o zarejestrowane dane dla celów określonego dochodzenia, firma zażąda złożenia takiej prośby na piśmie ze wskazaniem, że An Garda Síochána prowadzi dochodzenie w sprawie przestępstwa. Firma może według własnego uznania zasięgnąć porady prawnej w sprawie takiej prośby ze strony An Garda Síochána. Wytyczne Komisarza Ochrony Danych w sprawie korzystania z systemu CCTV wprowadzają rozróżnienie pomiędzy prośbą ze strony An Garda Síochána, aby przejrzeć zarejestrowane dane na miejscu a prośbą, aby zabrać lub pobrać kopię zarejestrowanych danych. Firma zawsze powinna żądać pisemnego potwierdzenia od An Garda Síochána w związku z prośbą o zabranie lub pobranie zarejestrowanych danych oraz oczekiwać, by pisemna prośba została złożona na papierze firmowym An Garda Síochána oraz wskazywała szczegóły zarejestrowanych danych i podstawę prawną takiej prośby. W sprawach pilnych firma może przyjąć ustną prośbę ze strony An Garda Síochána dotyczącą dostępu do zarejestrowanych danych lub ich przeglądania, która to prośba może zostać w późniejszym czasie potwierdzona na piśmie przez An Garda Síochána. 11. Zobowiązania Ogólna odpowiedzialność za system CCTV w organizacji spoczywa na kierowniku operacyjnym oddziału. Dostęp do monitoringu wizyjnego oraz do nagranego materiału jest ściśle ograniczony i dotyczy jedynie uprawnionego personelu. Kierownik operacyjny zakładu/oddziału w firmie: 5
zadba, by firma korzystała ze swoich systemów CCTV zgodnie z postanowieniami polityki ustalonej przez firmę (obowiązującej w danym czasie); będzie nadzorował i koordynował sposób korzystania przez firmę z monitoringu CCTV na terenie obiektów i wewnątrz nich; zadba, by wszystkie istniejące systemy monitoringu CCTV w firmie zostały ocenione pod kątem zgodności z niniejszą polityką; zadba, by sposób korzystania przez firmę z monitoringu CCTV na terenie obiektów był zgodny z wytycznymi Biura Komisarza Ochrony Danych oraz z obowiązkami prawnymi firmy; sprawdzi lokalizacje kamer na terenie obiektów i będzie odpowiedzialny za udostępnianie wszelkich zarejestrowanych danych utworzonych i przechowywanych zgodnie z niniejszą polityką; zadba, by taśmy zawierające zarejestrowane dane nie były kopiowane w celu udostępnienia w sposób inny niż zgodnie z niniejszą polityką; zadba, by obszar widzenia stałych kamer CCTV zainstalowanych i obsługiwanych przez firmę odpowiadał postanowieniom niniejszej polityki zarówno wewnątrz, jak i na zewnątrz; będzie rozważał opinie/skargi pracowników, wykonawców i gości odnośnie do ewentualnego naruszenia prywatności lub poufności ze względu na lokalizację poszczególnych kamer CCTV lub urządzeń pomocniczych na terenie obiektów; zadba o to, by w odpowiednich i widocznych miejscach znajdowało się stosowne oznakowanie, zgodnie z niniejszą polityką; zadba, by w stosownych przypadkach kamery zewnętrzne stanowiące część systemu CCTV były nieinwazyjne pod względem swojej pozycji i widoku na pobliskie obiekty mieszkalne, a także by ich umiejscowienie odpowiadało zasadnemu oczekiwaniu prywatności osób; zadba, by zarejestrowane dane przechowywane na DVR, kluczach USB/płytach DVD/na płytach CD/w formie nagrań cyfrowych były przechowywane przez ograniczony czas, a następnie usuwane, za wyjątkiem sytuacji, gdy są potrzebne do celów dochodzenia w sprawie przestępstw lub w postępowaniu sądowym (karnym lub cywilnym), lub do wykorzystania w innych celach w dobrej wierze po zatwierdzeniu przez kierownika operacyjnego grupy/zakładu; zadba, by monitoring wizyjny stosowany w grupie nie naruszał zasadnego oczekiwania prywatności osób w miejscach publicznych; 12. Aktualizacja Niniejsza polityka będzie regularnie aktualizowana, by uwzględniać zmiany w prawie oraz działanie polityki w praktyce. 6