Verbod gebruik camera's tot aantoonbaar wordt voldaan aan AVG
De Ierse DPC is uit eigen beweging een onderzoek gestart naar de verwerkingsactiviteiten van de Galway County Council (de verwerkingsverantwoordelijke), waarbij de nadruk vooral lag op de surveillancetechnologieën die worden ingezet door overheidsinstanties, waaronder de Galway County Council en door de An Garda Síochána (de Ierse politie). De DPC oordeelde onder meer dat de verwerkingsverantwoordelijke niet had voldaan aan zijn verplichting om een DPIA uit te voeren op grond van artikel 35, lid 1, AVG voor het gebruik van APNR-camera's voor het systematisch volgen, volgen en observeren van personen.
De ambtenaren van de Galway County Council maken gebruik van CCTV-systemen, op het lichaam gedragen camera's en geautomatiseerde nummerplaatherkenning (ANPR) -technologieën voor verschillende doeleinden, waaronder wetshandhavingsdoeleinden. De DPC heeft haar beoordeling zowel op basis van de AVG als van de Law Enforcement Directive (LED) uitgevoerd voor activiteiten die bedoeld zijn om misdrijven te voorkomen, te onderzoeken, op te sporen en te vervolgen of voor de tenuitvoerlegging van strafrechtelijke sancties.
In zijn onderzoek heeft de DPC de legitimiteit van verwerkingsactiviteiten door de verwerkingsverantwoordelijke beoordeeld in het licht van zowel de AVG als de Ierse wet op de gegevensbescherming en de LED, aangezien verschillende verwerkingsactiviteiten verschillende doeleinden nastreefden. De DPC oordeelde met betrekking tot op het lichaam gedragen camera's en ANPR-systemen dat de AVG van toepassing is op deze verwerkingsactiviteiten, aangezien deze voornamelijk respectievelijk gezondheids- en veiligheids- en verkeersbeheerdoeleinden dienen, dus geen wetshandhavingsdoeleinden. Onder verwijzing naar de strikte interpretatie in de jurisprudentie van het HvJ-EU, oordeelde de DPC dat een verwerkingsactiviteit, om onder het toepassingsgebied van de LED te vallen, specifiek en concreet moet worden gebruikt voor wetshandhavingsdoeleinden en dat het niet voldoende is dat de gegevens mogelijk (cursivering van mij) kunnen worden verwerkt voor rechtshandhavingsdoeleinden.
Wat in de eerste plaats de ANPR-camera's betreft die voor het verkeersbeheer worden gebruikt, heeft de DPC geoordeeld dat deze laatste de identificatie van betrokkenen in het voertuig mogelijk maken en dus een verwerking van persoonsgegevens vormen. De rechtsgrondslag waarnaar de Raad verwijst, is artikel 6, lid 1, onder e), van de AVG. De DPC oordeelde dat voor de verwerking ex artikel 6, lid 1, onder e), AVG, gelezen in het licht van artikel 6, lid 3, AVG en overweging 41 AVG, een rechtsgrondslag nodig is om de voorwaarden voor verwerking duidelijk, nauwkeurig en voorzienbaar vast te leggen. In deze zaak oordeelde de DPC dat het gebruik van ANPR-camera's wel degelijk bijdraagt aan de verkeersmanagementfunctie van ambtenaren, maar ook aanzienlijke gevolgen kan hebben voor de rechten en vrijheden van betrokkenen. De DPC concludeerde dat de nationale bepalingen waarop de voor de verwerking verantwoordelijke zich beroept om gebruik te maken van dergelijke camera's te ruim zijn en geen rechtsgrondslag kunnen vormen voor de Raad om APNR-camera's in te zetten voor verkeersbeheersdoeleinden. Daarom oordeelde de DPC dat de Raad had gehandeld in strijd met artikel 5, lid 1, onder a), van de AVG.
Daarnaast heeft de DPC overwogen of de verwerkingsverantwoordelijke voldeed aan zijn artikel 24, lid 1, AVG-verplichting om passende technische en organisatorische maatregelen te nemen om GDPR-conforme verwerkingsactiviteiten te waarborgen en aan te tonen, ook door middel van een gegevensbeschermingsbeleid zoals bepaald in artikel 24, lid 2, AVG. De DPC oordeelde dat de verwerkingsverantwoordelijke niet voldeed aan zijn verplichting uit hoofde van artikel 24, lid 1, AVG met betrekking tot het gebruik van ANPR-camera's voor verkeersbeheerdoeleinden, aangezien hij niet heeft aangetoond dat hij voldoet aan de AVG.
Verder oordeelde de DPC ook dat de voor de verwerking verantwoordelijke niet had voldaan aan zijn verplichting om een gegevensbeschermingseffectbeoordeling uit te voeren op grond van artikel 35, lid 1, AVG voor het gebruik van APNR-camera's voor het systematisch volgen, volgen en observeren van personen.
Ten tweede overwoog de DPC het gebruik van een op het lichaam gedragen camera door een Housing Tenacy Officer die was bedreigd tijdens het uitvoeren van officiële activiteiten. De rechtsgrondslag waarop de Raad zich in deze zaak beroept, was artikel 6, lid 1, onder d), AVG, dat verwerkingsactiviteiten toestaat die noodzakelijk zijn om de vitale belangen van een persoon te beschermen. Verder beriep de Raad zich ook op artikel 6, lid 1, onder e), van de AVG, aangezien hij verplicht is te voldoen aan de gezondheids- en veiligheidsverplichtingen jegens zijn werknemers die zijn vastgelegd in twee specifieke wetten. Met betrekking tot het gebruik van op het lichaam gedragen camera's op grond van artikel 6, lid 1, onder d), AVG heeft de DPC geoordeeld dat de voor de verwerking verantwoordelijke geen test heeft uitgevoerd om de noodzaak van het gebruik van dergelijke camera's aan te tonen voordat zij daadwerkelijk werden gebruikt. De verwerkingsverantwoordelijke heeft dus niet aangetoond dat een dergelijke maatregel noodzakelijk was ter bescherming van het vitale belang van de ambtenaar of om een taak van algemeen belang te vervullen. Met betrekking tot het gebruik van dergelijke camera's op grond van artikel 6, lid 1, onder e), AVG heeft de DPC geoordeeld dat de verwerkingsverantwoordelijke zich opnieuw niet baseerde op een duidelijke, nauwkeurige en voorzienbare bepaling in de wet die het gebruik van de op het lichaam gedragen camera's specifiek toestaat. Ook in deze zaak oordeelde de DPC dat de Raad artikel 5, lid 1, onder a), AVG had geschonden.
Ten slotte oordeelde de DPC dat de voor de verwerking verantwoordelijke artikel 24, lid 1, AVG heeft geschonden voor zover hij het personeel niet bewust heeft gemaakt van de beginselen van gegevensverwerking, die geldt als een organisatorische maatregel die door de voor de verwerking verantwoordelijke moet worden vastgesteld op grond van artikel 24, lid 1, AVG.
Met betrekking tot alle bovengenoemde schendingen heeft de DPC besloten om de volgende corrigerende bevoegdheden aan te nemen: het heeft het gebruik van op het lichaam gedragen camera's en APNR-camera's voorlopig verboden totdat een geldige wettelijke basis is geïdentificeerd en een berisping gegeven met betrekking tot de schending van artikel 24 AVG.
De rest van de activiteiten van de Galway County Council werden beoordeeld in het licht van de bepalingen van de LED, en de DPC constateerde ook in dat opzicht verschillende overtredingen.
Bron: GDPRHub (machine vertaling)