1. Основание за обработката на личните данни, събрани чрез мониторинг

Основно мониторингът се осъществява посредством система за наблюдение и/или софтуерна програма за следене на работните процеси. Вследствие на извършването му могат да се събират лични данни – най-често такива в резултат на видеонаблюдение. Предвид това, по отношение на тяхната обработка следва да се изпълнят законовите изисквания за защита на лични данни.

Всяка обработка на лични данни следва да има основание (сред изчерпателно изброените основания за обработка в GDPR).

В случай на мониторинг като основание за обработката следва да се посочи легитимния интерес на работодателя. Легитимният интерес обаче не е наличен безусловно. Напротив, за да се позовете на това основание, следва да извършите детайлна преценка относно това дали с тази обработка не се засягат прекомерно правата и свободите на субектите на лични данни, както и да обособите целите на мониторинга и необходимостта от извършването му.

Тук следва да се отбележи, че е важно мониторингът да не засяга правото на личен живот на служителите и да не е прекомерен.

Освен насочеността си към засилване на трудовата дисциплина, законосъобразно извършваният мониторинг може да е Ваш помощник и в защитата на лични данни. Чрез него може да се проследяват действията на служителите в изпълнение на законовите изисквания в областта.

Данните от извършен мониторинг могат да изиграят ключова роля и при инцидент със сигурността – напр. чрез съхранение на конкретната информация за размера на изпратените прикачени файлове и темите на изпратените имейли и др. Повечето предлагани на пазара продукти за мониторинг включват и функционалности именно целящи защита на данните, както и софтуер за архивиране.

Мониторингът допринася и за изпълнение на задължението на работодателите по чл. 25и от Закона за защита на личните данни (ЗЗЛД) за приемане на правила и процедури за:

• използване на система за докладване на нарушения;

• ограничения при използване на вътрешнофирмени ресурси; и

• въвеждане на системи за контрол на достъпа, работното време и трудовата дисциплина.

Тези факти също могат да се отчетат при обосноваване на легитимния Ви интерес да извършвате мониторинг (в полза на извода, че такъв е налице).

2. Оценка на въздействие при въвеждане на нови технологии

Следва да установите и дали за целите на мониторинга ще въведете нови технологии в дейността си. Отговорът почти сигурно ще бъде положителен. Това води до необходимост от изпълнение на друго законово изискване – извършване на оценка на въздействие.

Дори и да счетете, че не се въвеждат нови технологии, то изготвянето на такава оценка е препоръчително, особено с оглед потенциалния риск от засягане на правата и свободите на физически лица (в случая служителите).

3. Надлежно уведомяване на служителите/изискване на съгласие

Следва надлежно да уведомите служителите си за извършване на мониторинг и за обработката на техни лични данни, събрани вследствие на това. Препоръчително е на същите да бъдат обяснени ясно и целите на мониторинга.

Имайте предвид и, че съгласно чл. 107и, ал. 3, т. 7 от Кодекса на труда (КТ), относим към работата от вкъщи:

"Работодателят осигурява за своя сметка система за наблюдение, ако такава се налага да бъде монтирана на работното място и е получено писмено съгласие на работника или служителя за това; в тези случаи задължително се зачита правото му на лично пространство".

Предвид това, в случай че решите да извършвате мониторинг чрез система за видеонаблюдение, следва да получите и писмено съгласие от служителите си за това. Спорен е въпросът как следва да се процедира, в случай че служител откаже да даде съгласие. Следва да се застъпи становището, че и по отношение на този служител работодателят може да извършва мониторинг, позовавайки се на надлежно обоснования си легитимен интерес.

4. Какви документи следва да изготвя, за да може извършваният от мен мониторинг да отговаря на изискванията на GDPR?

Основните документи, които следва да се изготвите, са:

• Обосновка за легитимен интерес;

• Оценка на въздействието;

• Декларация за съгласие/Уведомление до служителите за извършвания мониторинг;

• В случай че мониторингът включва и осъществяване на видеонаблюдение – следва да се изготвят и документи във връзка с това (вкл. да се определят правилата за съхранение на видеозаписите, да се изготви регистър на видеонаблюдението и т.н.);

Наред с това, следва да осъществите:

• Ревизиране и допълване на документа (най-често наричан Политика за поверителност на служителите или Информационен лист), съдържащ правата на служителите по чл. 13 от GDPR.

В него следва да добавите изрично, че обработвате лични данни, събрание вследствие на мониторинг (като конкретизирате какви точно данни се събират и периода на тяхното съхранение).

Следва да посочите и основанието за извършване на тази обработка (легитимен интерес), както и да се определи точно кои лица и служители ще имат достъп до събираните вследствие на мониторинга данни (т.нар. получатели на данните).

Много е важно и определянето и посочването на целите, за които ще се използват събраните вследствие на мониторинга данни. Имайте предвид, че съгласно GDPR тези лични данни няма да може да бъдат използвани за никакви други цели.

• Ревизиране на останалите вътрешни документи във връзка със защита на личните данни и добавяне на информация за обработката на лични данни, вследствие на извършвания мониторинг, където е относимо.

Ако имате нужда от съдействие с изготвяне на горепосочените документи, може да се обърнете към екипа на KDBMLaw като ни пишете на office@kdbmlaw.com.

Този материал е изготвен с цел да информира, не претендира за изчерпателност и не представлява правен съвет.

Както Ви уведомихме и в предходна статия, Инспекция по труда заяви, че ще извършва и проверки в домовете на работещи от вкъщи служители. Проверката ще обхваща и мерките за защита и осъществяваният от работодателя мониторинг. Нещо повече, съгласно КТ служителите сами могат да поискат със заявление посещение от Инспекцията в дома им.