PRAVILNIK O VIDEO-NADZORU ZA ZAPOSLENE

Rukovalac podataka: [Naziv firme]
Sedište/adresa: [Adresa]
Matični broj / PIB: [MB/PIB]
Kontakt za zaštitu podataka: [email/telefon]
Datum donošenja: [dd.mm.gggg]
Verzija: 1.0

1. Svrha i cilj pravilnika

1.1. Ovim pravilnikom uređuju se uslovi uvođenja i sprovođenja video-nadzora u poslovnom prostoru rukovaoca, prava i obaveze zaposlenih, kao i tehničke i organizacione mere zaštite snimaka.
1.2. Video-nadzor se uvodi isključivo radi:

zaštite imovine i opreme rukovaoca,
bezbednosti zaposlenih i posetilaca,
prevencije i rasvetljavanja bezbednosnih incidenata i štete.

1.3. Video-nadzor se ne uvodi radi praćenja radnog učinka, ponašanja ili produktivnosti zaposlenih.

2. Pravni osnov i načela obrade

2.1. Obrada podataka putem video-nadzora zasniva se na legitimnom interesu rukovaoca (zaštita imovine i bezbednosti), u skladu sa ZZPL (član 12, stav 1, tačka 6).
2.2. Ukoliko je primenljivo (npr. obrada u kontekstu poslovanja sa subjektima iz EU), rukovalac primenjuje i odgovarajući osnov iz GDPR (član 6(1)(f)).
2.3. Rukovalac obezbeđuje da se obrada vrši uz poštovanje načela: zakonitosti, poštenja i transparentnosti, ograničenja svrhe, minimizacije podataka, ograničenja čuvanja i bezbednosti.
2.4. Pre početka primene video-nadzora (i pri svakoj većoj izmeni sistema) rukovalac sprovodi internu procenu srazmernosti (“balans test”) kako bi potvrdio da je video-nadzor nužan i srazmeran svrsi.

3. Obuhvat video-nadzora i lokacije kamera

3.1. Video-nadzor se sprovodi u sledećim zonama:

[npr. ulaz/izlaz, prijemni deo, zajednički prostor].
3.2. Video-nadzor se ne sprovodi u zonama u kojima bi se nerazumno zadirala privatnost (toaleti, prostorije za presvlačenje, i sl.).
3.3. Kamera se postavlja i podešava tako da snima najmanji mogući deo prostora potreban za ostvarenje svrhe. Kada je tehnički moguće, rukovalac primenjuje:
“privacy masking” (maskiranje delova kadra),
ograničenje ugla snimanja,
podešavanje rezolucije u meri potrebnoj za bezbednosnu svrhu.

Napomena za malu kancelariju (npr. ~40 m²): ako je trenutno kamera podešena da snima ceo prostor, preporučuje se podešavanje ugla/maskiranje kako bi se izbegao utisak kontinuiranog nadzora rada zaposlenih i obezbedila minimizacija.

4. Kategorije lica i podataka koji se obrađuju

4.1. Video-nadzor može obuhvatiti sledeća lica: zaposlene, poslovne partnere, posetioce, dostavljače i druga lica koja ulaze u nadzirani prostor.
4.2. Podaci koji se obrađuju: video-snimak (slika, kretanje, ponašanje u okviru nadziranog prostora).
4.3. Snimanje zvuka nije uključeno, osim ako je izričito navedeno u posebnom aktu i posebno opravdano.

5. Obaveštavanje i transparentnost

5.1. Rukovalac obezbeđuje jasno obeležavanje prostora pod video-nadzorom (obaveštenje na ulazu i/ili vidno istaknuto u prostoru).
5.2. Zaposlenima se dostavlja obaveštenje o obradi podataka, koje sadrži najmanje: identitet rukovaoca, svrhu, pravni osnov, rok čuvanja, primaoce podataka (ako postoje), prava lica i kontakt za ostvarivanje prava, u skladu sa ZZPL (čl. 23–24).
5.3. Ako je primenljivo, informacije se pružaju i u skladu sa GDPR (član 13).

6. Pristup snimcima i ovlašćenja

6.1. Pristup snimcima imaju isključivo ovlašćena lica određena rešenjem/odlukom rukovaoca (Lista ovlašćenih lica – Prilog 1).
6.2. Snimci se pregledaju samo kada je to potrebno radi ostvarenja svrhe (npr. bezbednosni incident, šteta, prijava, zahtev nadležnog organa).
6.3. Svaki pristup i izvoz snimka se evidentira (datum, vreme, lice koje pristupa, razlog, opis radnje).

7. Rok čuvanja i brisanje snimaka

7.1. Snimci se čuvaju najduže [X] dana, nakon čega se automatski brišu/prepisuju, osim ako je snimak izdvojen zbog incidenta. (Princip ograničenja čuvanja.)
7.2. Izdvojeni snimci (u slučaju incidenta) čuvaju se samo koliko je potrebno za vođenje postupka (internog, osiguravajućeg, sudskog ili po zahtevu organa), a zatim se bez odlaganja brišu ili arhiviraju u skladu sa važećim pravilima i zakonom.

8. Dostavljanje snimaka trećim licima

8.1. Snimci se mogu dostaviti:

nadležnim državnim organima, na osnovu zakonitog zahteva,
osiguravajućem društvu (u slučaju štete), u meri nužnoj za obradu štetnog događaja,
ugovornom obrađivaču (serviser/obezbeđenje) samo u meri u kojoj je to neophodno za održavanje sistema i uz ugovor o obradi po nalogu.

8.2. Svako dostavljanje snimka se dokumentuje (ko, kome, kada, po kom osnovu i koji snimak).

9. Tehničke i organizacione mere zaštite

9.1. Rukovalac preduzima mere zaštite snimaka, uključujući najmanje:

kontrolu pristupa (korisnički nalozi, jake lozinke, po mogućnosti 2FA),
ograničavanje fizičkog pristupa uređajima za snimanje (DVR/NVR) i mrežnoj opremi,
enkripciju gde je dostupna,
redovno ažuriranje firmvera i softvera,
segmentaciju mreže (ako je moguće),
zabranu neovlašćenog kopiranja (privatni telefoni/USB),
evidentiranje pristupa i izvoza (audit log).

9.2. Mere se periodično proveravaju (najmanje 1x godišnje ili po incidentu).

10. Prava zaposlenih i postupanje po zahtevima

10.1. Zaposleni imaju prava u vezi sa obradom podataka o ličnosti u skladu sa ZZPL (pristup, prigovor i druga prava u zavisnosti od slučaja).
10.2. Zahtevi se podnose na kontakt iz zaglavlja ovog pravilnika.
10.3. Rukovalac postupa po zahtevima u zakonskim rokovima, uz proveru identiteta podnosioca zahteva i zaštitu prava drugih lica (npr. ako se na snimku nalaze i druga lica).

11. Procena rizika i DPIA

11.1. Kada je verovatno da obrada putem video-nadzora može prouzrokovati visok rizik po prava lica, rukovalac sprovodi procenu uticaja (DPIA) pre početka obrade, a po potrebi i konsultuje nadzorni organ u slučajevima propisanim zakonom.

12. Odgovornosti i disciplinske odredbe

12.1. Neovlašćen pregled, kopiranje, deljenje ili objavljivanje snimaka predstavlja tešku povredu radne obaveze i može dovesti do disciplinske i druge odgovornosti u skladu sa internim aktima i važećim propisima.
12.2. Ovlašćena lica su dužna da čuvaju poverljivost snimaka i da postupaju isključivo po svrsi definisanoj ovim pravilnikom.

13. Stupanje na snagu i objavljivanje

13.1. Ovaj pravilnik stupa na snagu dana [dd.mm.gggg].
13.2. Pravilnik se dostavlja svim zaposlenima (elektronski i/ili u štampanom obliku) i čuva u internoj dokumentaciji rukovaoca.

PRILOZI (preporučeno)

Prilog 1: Lista ovlašćenih lica (ime, funkcija, nivo pristupa)
Prilog 2: Opis sistema (broj kamera, lokacije, da li postoji cloud pristup, ko održava)
Prilog 3: Rok čuvanja + režim izdvajanja snimaka u incidentu
Prilog 4: Balans test (legitimni interes) – kratak obrazac (1 strana)