Политика за обработка на лични данни

ПОЛИТИКА
за обработването на лични данни
чрез видеоустройства в Комплекс „Добринище“

 
I. АДМИНИСТРАТОР НА ЛИЧНИ ДАННИ.
 
Чл. 1. "ДИ ЕС ЕЛ ЕМ" ООД, ЕИК 203391378, със седалище и адрес на управление гр. Поморие, ул. „Чайка“ № 1, представлявано от заедно и поотделно от управителите Божидар Русев Николов, Захари Василев Шопов и Валери Емилов Уручев, е администратор на лични данни по смисъла на РЕГЛАМЕНТ (ЕС) 2016/679 НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните - ОРЗЛД), съответно по смисъла на Закона за защита на личните данни (ЗЗЛД).
 
II. ОБЩИ ПОЛОЖЕНИЯ.
 
Чл. 2. (1) Настоящата политика съдържа правилата за обработване на лични данни чрез видеоустройства от "ДИ ЕС ЕЛ ЕМ" ООД в Комплекс „Добринище“ – град Добринище, община Банско, област Благоевград.
(2) Политика има за цел да разясни по ясен и достъпен начин на субектите условията за обработване на техните лични данни чрез видеоустройства, както и техните права в тази връзка.
(3) При обработването на лични данни "ДИ ЕС ЕЛ ЕМ" ООД спазва принципите, установени в ОРЗЛД: законосъобразност, добросъвестност и прозрачност; ограничение на целите; свеждане на данните до минимум; точност; ограничение на съхранението; цялостност и поверителност и отчетност.
(4) Обработването на лични данни чрез видеоустройства включва събиране, съхранение, унищожаване, предаване, коригиране, актуализиране, изтриване и всички други действия, които се извършват с личните данни на субекта съгласно ОРЗЛД и ЗЗЛД.
(5) Предоставянето от субектите на лични данни за целите на и посредством видеонаблюдение е доброволно, при посочените в настоящата политика условия.
 
 
III. ИНФОРМАЦИЯ ЗА СУБЕКТА НА ЛИЧНИ ДАННИ.
 
Чл. 3. "ДИ ЕС ЕЛ ЕМ" ООД прилага следните мерки за информираност на субектите относно обработването на лични данни чрез видеоустройства, а именно:

1. информационни табели, указващи използването на видеонаблюдение, са поставении на местата в Комплекс „Добринище“, където се извършва видеонаблюдение;
2. политиката за обработването на лични данни чрез видеоустройства в Комплекс „Добринище“ може да се открие в обектите на комплекса, където се извършва видеонаблюдението, както и на уебсайта на Комплекс „Добринище“ -  https://hoteldobrinishte.com/ .

 
IV. ОБХВАТ НА ОБРАБОТВАНЕТО.
 
Чл. 4. (1) Обработването на лични данни чрез видеоустройства представлява систематично автоматизирано наблюдение на определени зони в Комплекс „Добринище“ посредством оптични или аудиовизуални устройства, позволяващи събирането и запазването на образни или аудиовизуални данни на всички лица, влизащи в наблюдаваната зона, които подлежат на идентифициране посредством техния външен вид или други специфични елементи.
(2) При обработването на лични данни чрез видеоустройства "ДИ ЕС ЕЛ ЕМ" ООД събира изображения на субектите на лични данни посредством видеонаблюдение и видеозапис в реално време. Записва се конкретно движение/събитие, уловено от камерите в наблюдаваните зони, заедно с часа, датата и мястото.
(3) Обработването на лични данни чрез видеоустройства се извършва само чрез видеонаблюдение и видеозапис и не включва аудиозапис.
 
 
V. СПЕЦИАЛНИ КАТЕГОРИИ ЛИЧНИ ДАННИ.
 
Чл. 5. (1) Видеонаблюдението в ски зоната на Комплекс „Добринище“ включва и т. нар. „лицево разпознаване“, а именно специфично техническо обработване във връзка с физическите, физиологичните или поведенчески характеристики на дадено физическите лица, което позволява или потвърждава уникалната идентификация на това лице.
(2) Обработването на лични данни по ал. 1 се извършва във връзка със задължението на всеки ползвател на въжените линии (лифт; влек тип „паничка“, влек тип „котва“ и др.) да навлиза в ски зоната със закупена от него ски карта за достъп и забраната за преотстъпването й на друго лице.
(3) Обработването на лични данни по начина, описан в ал. 1, е необходимо с цел установяване, упражняване или защита на правни претенции във връзка с покупко-продажната на карти за достъп до ски зоната, респ. изпълнение на задълженията и упражняване на правата на страните по договора (чл. 9, пар. 1, буква „е“ ОРЗЛД).
(4) Обработването на лични данни чрез т. нар. „лицево разпознаване“ е единственият възможен начин, по който администраторът може да следи за точното изпълнение на задължението на ползвателите на въжените линии за навлизане в ски зоната чрез ски карта за достъп, закупена от съответния ползвател.
(5) Обработването на лични данни по начина, описан в ал. 1, е необходимо за целите на легитимните интереси на администратора (чл. 6, пар. 1, буква „е“ ОРЗЛД).
 
VI. НАБЛЮДАВАНИ ЗОНИ.
 
Чл. 6. Видеонаблюдение в Комплекс „Добринище“ се извършва на територията на хотелите и хижите, част от комлекса, и в техния периметър, както и в ски зоната.
 
Чл. 7. Не се извършва видеонаблюдение в зони, които са свързани със завишени очаквания за неприкосновеност, като хотелските стаи, стаите за почивка, санитарните помещения и др. По изключение, при надлежно обосновани нужди, свързани с безопасността и сигурността, камери могат да се инсталират и в такива зони, като във всички случаи това се прави след оценка на въздействието и спазване на законовите изисквания за това.
 
VII. ЗАКОНОСЪОБРАЗНОСТ НА ОБРАБОТВАНЕТО.
 
Чл. 8. Обработването на лични данни чрез видеоустройства от администратора "ДИ ЕС ЕЛ ЕМ" ООД е необходимо за:

1. спазването на законови задължения, което се прилага спрямо "ДИ ЕС ЕЛ ЕМ" ООД като юридическо лице, стопанисващо Комплекс „Добринище“;
2. да бъдат защитени жизненоважните интереси на субекта на данните или на друго физическо лице;
3. целите на легитимните интереси на администратора; във връзка с използването на видеосистемите администраторът е провел оценка на законния интерес, оценка на риска, както и балансиращ тест, за да определи степента на засягане личната неприкосновеност на посетителите и служителите на администратора във връзка със запазването на своя законен интерес.

 
Чл. 9. "ДИ ЕС ЕЛ ЕМ" ООД обработва лични данни чрез видеоустройства въз основа на съгласие на субектите, изразено посредством влизането им в хотелите, хижите и ски зоната на Комплекс „Добринище“, където на подходящи и видни места са поставени информационни табели, указващи извършваното видеонаблюдение. Съгласието, което субектите на лични данни предоставят, може винаги да бъде оттеглено, като напуснат съответната част на Комплекс „Добринище“. Оттеглянето на съгласието не засяга законосъобразността на обработването на видеоизображения на субектите на лични данни, извършено до оттеглянето на съгласието.
 
VIII. ЦЕЛ НА ОБРАБОТВАНЕТО.
 
Чл. 10. (1) "ДИ ЕС ЕЛ ЕМ" ООД обработва лични данни за постигане на следните цели, които отразяват и основанията за тяхното обработване, а именно:

1. осигуряване на сигурност и физическа безопасност на посетителите и служителите в Комплекс „Добринище“;
2. опазване на обществения ред на територията на Комплекс „Добринище“;
3. защита от посегателства на имуществото, собственост на администратора;
4. проследяване и оптимизиране на дейностите, предлагани на посетителите в Комплекс „Добринище“;
5. повишаване на качеството на услугите, предлагани в Комплекс „Добринище“;
6. проверка на спазване на задължението на посетителите за закупуване на ски карти за достъп до ски зоната;
7. предотвратяване на нерегламентиран достъп и преминаване през пропускателните пунктове към ски зоната;
8. проследяване на метеорологичната обстановка;
9. проследяване състоянието и поддръжката на ски зоната;
10. проверка спазване на трудовите задължения на работниците и служителите на Комплекс „Добринище“;
11. разследване или за доказателство в рамките на вътрешни разследвания или дисциплинарни процедури;
12. разследване на инциденти, свързан с физическата сигурност;
13. в извънредни случаи в рамките на образувано наказателно производство по изрично искане на компетентните органи;

(2) Когато е необходимо, видеонаблюдението допълва другите системи за физическа сигурност като системите за контрол на достъпа и системите за контрол срещу физическо проникване.
 
IX. СРОК ЗА СЪХРАНЕНИЕ.
 
Чл. 11. "ДИ ЕС ЕЛ ЕМ" ООД съхранява видеозаписите с лични данни, събрани чрез видеозаснемане, за срок не по-дълъг от 30 (тридесет) дни след съответното видеозаснемане. След изтичането на този срок и в случай че не съществува законово основание за продължаване съхранението им, видеозаписите се унищожават.
 
Чл. 12. При инцидент, свързан с безопасността и сигурността, съответният запис може да бъде запазен за по-дълъг от обичайния срок, колкото е необходимо за по-нататъшното разследване на инцидента. Запазването на видеозаписите след 30-дневния срок подлежи на документиране, като  необходимостта от запазване се преразглежда периодично – на всеки 30 (тридесет) дни след изтичане на общия 30-дневен срок.
 
X. ДОСТЪП ДО ЛИЧНИТЕ ДАННИ.
 
Чл. 13. Достъп до устройствата за видеонаблюдение и до видеозаписите от тях имат ограничен брой лица, определени с оглед длъжността им и извършваните от тях дейности в Комплекс „Добринище“.
 
Чл. 14. "ДИ ЕС ЕЛ ЕМ" ООД утвърждава регистри, в които се вписват лицата, които имат право да:

1. да гледат излъчването от видеокамерите в реално време;
2. да гледат видеозаписите, да копират, да свалят, да изтриват, да променят видеозапис, да предоставят достъп до видеоустройствата, както и до направените от тях видеозаписи на трети лица при спазване на условията на настоящата политика и за закона за тази цел.

 
Чл. 15. (1) Всички лица и служители, които имат права на достъп, включително охранителите, преминават базисно обучение по защита на данните.
(2) Обучение се провежда за всички новопостъпили служители, а периодични обучения по въпроси, свързани със спазване на правилата за защита на данните, ще бъдат организирани всяка година за всички служители с права на достъп.
(3) След обучението всеки служител подписва декларация за поверителност.
 
Чл. 16. Ако е необходимо за целите на разследването или наказателното преследване на престъпно деяние, достъп може да се предостави на органите на реда.
 
Чл. 17. Всяко нарушение на сигурността по отношение на камерите се завежда в регистъра на разследванията.
 
XI. ГАРАНЦИИ ЗА ЗАЩИТА.
 
Чл. 18. С цел да се защити сигурността на видеосистемите и тяхното съдържание, включително на личните данни, са взети следните технически и организационни мерки:

1. сървърите, на които се съхраняват записите, се намират в обезопасени помещения, защитени чрез мерки за физическа сигурност; мрежови защитни стени защитават логическия периметър на информационната инфраструктура; главните компютърни системи, които съхраняват данните, са с допълнителна защита за сигурност;
2. извършване на индивидуална проверка за надеждност на всички лица, които имат достъп до системата (вкл. тези за поддръжка на оборудването и системите);
3. при необходимост от предоставянето на трети лица на събраните лични данни за конкретно лице, се предприемат съответните технически мерки за покриване или замъгляване на изображенията на другите лица, попадащи в съответните кадри от видеозаписа;
4. лицата, имащи достъп до данни от видеосистемите, поемат задължения свързани с поверителността на личните данни;
5. администраторът поддържа в актуално състояние регистрите на лицата с достъп до личните данни, събрани чрез видеоустройства;
6. местоположението на камерите се преразглежда внимателно, за да се гарантира, че зони, които не са от значение за преследваните цели, са обхванати в минимална степен;
7. извършването на оценката на въздействието върху защитата на данни и определяне дали съществува вероятност обработването „да породи висок риск“ за целите на ОРЗЛД.

 
XII. ПРЕДОСТАВЯНЕ НА ИНФОРМАЦИЯ НА ТРЕТИ ЛИЦА.
 
Чл. 19. "ДИ ЕС ЕЛ ЕМ" ООД няма право да предоставя на трети лица събраните чрез видеоустройства лични данни без изричното съгласие на субекта на лични данни, освен в предвидените от закона случаи, както и когато това е необходимо за осъществяване на видеонаблюдението или за поддържане на видеосистемите.
 
Чл. 20. Личните данни, събрани чрез видеоустройства, се предоставят или могат да станат достояние на трети лица в следните случаи:

1. в предвидените в закона случаи и по надлежния ред на компетентни органи или на други лица съгласно действащото законодателство на Република България и на Европейския Съюз;
2. на физически и/или юридически лица, вкл. и на техни служители, доколкото е необходимо за поддръжката на видеосистемите;
3. на адвокати и консултанти с цел получаване от тях на професионален съвет или за предявяването, установяването или защитата на правни претенции на администратора.

 
XIII. ПРАВА НА СУБЕКТИТЕ НА ЛИЧНИТЕ ДАННИ.
 
Чл. 21. (1) Лицата, чиито лични данни се обработват от "ДИ ЕС ЕЛ ЕМ" ООД чрез видеоустройства, имат следните права:

1. Право на достъп (чл. 15 ОРЗЛД) – по искане на лицето, субект на данни, администраторът му предоставя достъп до снетото от субекта на лични данни видеоизображение, като взема подходящи технически мерки за запазване на личните данни на други лица, част от видеоизображението (ако има такива); това право включва предоставянето на информация относно: целите на обработването; съответните категории лични данни; получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни; когато е възможно, предвидения срок, за който ще се съхраняват личните данни, а ако това е невъзможно, критериите, използвани за определянето на този срок; съществуването на право да се изиска от администратора коригиране или изтриване на лични данни или ограничаване на обработването на лични данни, свързани със субекта на данните, или да се направи възражение срещу такова обработване; правото на жалба до надзорен орган; когато личните данни не се събират от субекта на данните, всякаква налична информация за техния източник и др. по чл. 15 от ОРЛЗД;
2. Право на коригиране (чл. 16 ОРЗЛД) – субектът на данни има право да поиска от администратора да коригира без ненужно забавяне неточните лични данни, свързани с него. Като се имат предвид целите на обработването субектът на данните има право непълните лични данни да бъдат попълнени, включително чрез добавяне на декларация;
3. Право на изтриване (или „право да бъдеш забравен“; чл. 17 ОРЗЛД) – по искане на лицето, субект на данните, когато не е налице законово основание за тяхното обработване, администраторът изтрива данните при наличие на някое от следните основания: личните данни не са необходими за целите, за които са били събирани или обработвани по друг начин; субектът на данни оттегля своето съгласие, върху което се основава обработването на данните; субектът на данни възразява срещу обработването и няма преимуществено законово основание за обработването; личните данни са били обработени незаконосъобразно; личните данни трябва да бъдат изтрити с цел спазване на правно задължение;
4. Право на ограничаване на обработването (чл. 18 ОРЗЛД) – по искане на лицето, субект на данните, администраторът ограничава обработването на лични данни в изрично предвидените в чл. 18 ОРЗЛД случаи;
5. Право на преносимост на личните данни (чл. 20 ОРЗЛД) – субектът на данни има право да поиска и да получи отнасящите се до него лични данни, които е предоставил на администратора в обичайно използван, структуриран и пригоден за машинно четене формат и има право да предаде/прехвърли тези данни на друг администратор. Това право е приложимо, когато основанието за обработването на личните данни е съгласие и обработването на личните данни се извършва по автоматизиран начин, тоест има техническа възможност това да бъде извършено;
6. Право на възражение (чл. 21 ОРЗЛД) – субектът на данни има право на възражение по всяко време и на основания, свързани с конкретната ситуация, при условие че не съществуват убедителни законови основания за обработването, които имат предимство пред интересите, правата и свободите на физическото лице. Администраторът разглежда възражението и предоставя становището си в писмена форма в 30-дневен срок, освен ако не се налага удължаване на срока, за което субектът на данните ще бъде уведомен своевременно;
7. Право да оттегли съгласието си (чл. 7 ОРЗЛД) – съгласието, което субектите на лични данни предоставят, може винаги да бъде оттеглено, като напуснат съответната част на Комплекс „Добринище“, където се извършва видеонаблюдение;
8. Право на жалба (чл. 77 ОРЗЛД) – субектът на данни има право да подаде жалба до надзорния орган – Комисията за защита на личните данни, на адрес: 1592 София град, бул. „Проф. Цветан Лазаров“ № 2, електронна поща: kzld@cpdp.bg, във връзка с обработването на неговите лични данни.

(2) Упражняването на някои от описаните права не може да бъде причина за отказ от предоставянето на лични данни на компетентните органи за предотвратяване, разследване и разкриване на престъпления.
(3) Правата на субектите на данни се упражняват от тях при спазване на разпоредбите и изискванията на ОРЗЛД и ЗЗЛД.
 
Актуалната Политика за обработването на лични данни чрез видеоустройства в Комплекс „Добринище“ може да се намери във всички обекти на комплекса, където се извършва видеонаблюдение, както и на уебсайт https://hoteldobrinishte.com/.