Se a tua organização planeia introduzir câmaras de vigilância, há um passo crucial a dar antes de estas serem activadas: realizar uma avaliação do impacto da proteção de dados(DPIA).
Na União Europeia (UE), no Espaço Económico Europeu (EEE) e noutros países com leis alinhadas com o RGPD, as câmaras corporais oferecem benefícios claros, incluindo maior segurança, transparência e recolha de provas. No entanto, também têm sérias responsabilidades ao abrigo da lei de proteção de dados. Uma DPIA não é apenas uma boa prática – é um requisito legal ao abrigo do GDPR quando o processamento de dados pessoais é suscetível de resultar num risco elevado para os direitos e liberdades dos indivíduos.
O que precisas de saber antes de utilizar câmaras corporais
Uma DPIA é um processo estruturado que ajuda as organizações a identificar, avaliar e reduzir os riscos de privacidade no tratamento de dados pessoais. É essencial para a introdução de novas tecnologias, como as câmaras de vigilância.
Ajuda a responder a perguntas-chave:
- Que dados estamos a recolher?
- Porque é que é necessário?
- Quem pode ser afetado?
- O que é que pode correr mal?
- Como é que vamos salvaguardar os direitos das pessoas?
Começar com uma DPIA garante que o teu programa de câmaras corporais é legal, ético e responsável.
Porque é que a proteção de dados é importante nestes projectos
As câmaras corporais captam imagens, áudio, dados de GPS e interações entre pessoas. De acordo com o Regulamento Geral sobre a Proteção de Dados (RGPD), isto qualifica-se como processamento de dados de alto risco. De acordo com o artigo 35.º do RGPD, deve ser efectuada uma avaliação do impacto da proteção de dados (AIPD) antes da implementação de qualquer tecnologia que possa afetar significativamente os direitos e liberdades das pessoas.
Um aspeto essencial, mas muitas vezes negligenciado, desta avaliação é compreender onde os dados são armazenados e a localização de quaisquer cópias de segurança. Os títulos dos jornais destacam cada vez mais os esforços das organizações para reduzir a dependência de serviços de nuvem fora da UE devido a preocupações com a privacidade. Uma DPIA ajuda a identificar se os dados são armazenados em jurisdições com protecções legais diferentes, como os EUA.
Quando é necessária uma AIPD
Uma AIPD é obrigatória quando o tratamento dos teus dados envolve
- Controlo sistemático em espaços públicos ou privados
- Gravação combinada de áudio e vídeo
- Dados de categorias especiais (por exemplo, origem racial ou étnica, estado de saúde, opiniões políticas)
- Localização por GPS
- Utilização em grande escala ou com grande impacto, por exemplo, pelas autoridades públicas
Exemplos de cenários de alto risco
- Aplicação da lei em eventos públicos, captação de opiniões políticas ou interações sensíveis
- Ambientes de cuidados de saúde ou de saúde mental onde as conversas privadas são gravadas
- Ambientes de transportes públicos com grandes volumes de dados de passageiros
Elementos-chave de uma DPIA sólida
Uma AIPD bem conduzida deve dar uma imagem clara da implantação prevista e do seu impacto na proteção dos dados. Normalmente, inclui:
- Resumo do projeto: o que envolve a implantação e os seus objectivos
- Finalidade e base jurídica: define primeiro a finalidade e, em seguida, faz referência ao artigo do RGPD aplicável
- Tipos de dados: vídeo, áudio, GPS e metadados
- Pessoas afectadas: incluindo pessoal, cidadãos e grupos vulneráveis
- Armazenamento e acesso: onde são armazenados os dados e as cópias de segurança e quem lhes pode aceder
- Análise de risco: avalia de que forma os direitos e liberdades dos indivíduos podem ser afectados
Uma análise de risco exaustiva deve incluir, entre outros, os seguintes riscos potenciais para as pessoas em causa:
- Violações de privacidade – Acesso não autorizado ou monitorização secreta
- Incidentes de segurança – Fugas de dados ou pirataria de câmaras corporais/servidores
- Utilização indevida de dados – Utilização para fins não intencionais, como a vigilância fora do horário de trabalho
- Erros de identificação – Erros devidos ao reconhecimento facial ou a imagens mal interpretadas
- Impacto psicológico – Aumento do stress ou da desconfiança entre o pessoal e o público
- Consequências legais – Imagens utilizadas indevidamente em processos judiciais, conduzindo a resultados injustos
Para atenuar estes riscos, a AIPD deve também definir e documentar:
- Controlos: tais como encriptação, restrições de acesso, registos de auditoria, redação, políticas claras de retenção de dados
- Consulta: com o RPD e as partes interessadas relevantes para validar a abordagem de gestão do risco
Estes passos garantem que a AIPD não é apenas um requisito legal, mas um guia prático para uma utilização responsável da tecnologia.
Quem deve ser envolvido
Embora o responsável pelo tratamento dos dados continue a ser legalmente responsável, uma equipa multifuncional contribui normalmente:
- Responsável pela proteção de dados (RPD)
- Equipa jurídica/conformidade
- Peritos em TI e cibersegurança (CISO)
Garante assim que a AIPD é completa, juridicamente correta e exequível na prática.
O que as autoridades esperam
Cada país da UE tem a sua própria Autoridade de Proteção de Dados (APD), que espera que as DPIA sejam claras, completas e adequadamente documentadas. Uma AIPD pode ser solicitada durante inspecções, queixas ou investigações de violações de dados.
Como a ZEPCAM apoia os projectos de câmaras corporais que dão prioridade à privacidade
Sediada nos Países Baixos, a ZEPCAM é pioneira no domínio das soluções de vídeo usadas no corpo, com mais de 15 anos de experiência no apoio a profissionais da linha da frente. Atualmente, centenas de organizações europeias públicas e privadas confiam na ZEPCAM para sistemas de câmaras corporais seguros, escaláveis e compatíveis com o RGPD.
Compreendemos que a proteção de dados e a flexibilidade operacional são fundamentais em todas as implementações.
De acordo com o nosso compromisso de gestão responsável de dados, a ZEPCAM realizou uma avaliação abrangente do impacto da proteção de dados (DPIA) para os seus serviços, seguindo a estrutura NOREA. Esta avaliação, que está disponível mediante pedido, identifica os principais riscos de privacidade dentro da organização. Confirma que estes riscos foram adequadamente tratados e conclui que as nossas actividades de processamento de dados são legais e estão em conformidade com as normas do RGPD. Além disso, considerámos cuidadosamente os direitos e liberdades dos titulares dos dados.
Para se adaptar a uma vasta gama de necessidades operacionais e regulamentares, a ZEPCAM oferece várias opções de implementação segura:
- Alojamento em nuvem no Espaço Económico Europeu (EEE), incluindo o Microsoft Azure (Países Baixos ou outros locais do EEE) e o SmartDC em Roterdão
- Alojamento no local, totalmente controlado e gerido pela própria organização
- Configurações híbridas, combinando armazenamento local com descarregamento seguro e encriptado na nuvem
Todos os dados são encriptados utilizando AES-256, tanto em trânsito como em repouso. O ZEPCAM Manager proporciona um controlo seguro e centralizado do acesso dos utilizadores, das gravações, das transmissões em direto, dos calendários de retenção, dos registos de auditoria e das ferramentas de redação. Com direitos de acesso configuráveis, as organizações mantêm total conformidade, transparência e responsabilidade a todos os níveis.
Desde a aplicação da lei aos cuidados de saúde, aos municípios, aos transportes públicos e à segurança privada, a ZEPCAM permite que as equipas operem de forma segura, eficaz e totalmente em conformidade com os regulamentos europeus em matéria de privacidade.
Para mais informações sobre a implementação de sistemas de câmaras corporais seguros e compatíveis com o RGPD ou para discutir as necessidades específicas da tua organização, não hesites em contactar a nossa equipa.
