Používáte kamerové systémy? Dejte si pozor na dodržování GDPR

Pokyny tedy souvisejí s GDPR a obrací se hlavně na provozovatele optických nebo audiovizuálních systémů určených k monitorování, ale poslouží také jednotlivcům. Kromě rozboru ustanovení obsahují také velké množství ilustračních příkladů z praktického života. Jak uvádí Úřad pro ochranu osobních údajů, pokyny mají přispět k činnému uplatňování zásad ochrany dat a respektování práv a svobod subjektů údajů. 

Kamerových systémů se týkalo také mnoho podnětů, které ode dne účinnosti GDPR (25. května 2018) evidoval Úřad pro ochranu osobních údajů. Jeho tiskový mluvčí Tomáš Paták potvrdil, že stížnosti se nejčastěji týkají získávání souhlasu, nerespektování práv subjektů údajů, nevyžádaných obchodních sdělení, telemarketingu, zveřejnění osobních údajů na internetu a právě kamerových systémů. Podrobnosti najdete v článku První rok platnosti GDPR ve znamení tisíce stížností hlavně na spam a kamery 

Úvodní kapitola pokynů upřesňuje rozsah platnosti pokynů a vyjasňuje, na které případy použití kamer se nevztahují. 

 Obecně se jedná o: 

• falešné kamery, 
• parkovací asistenty, 
• záběry z velmi vysoké výšky s malým rozlišením.

Provozovatel musí být transparentní

Provozovatel videozařízení musí dodržet také povinnost být transparentní a povinnost poskytnout informace. Jednotlivec by v každém případě měl mít včasné povědomí o monitorování ve vymezeném prostoru. Pokyny doporučují uplatnit vícevrstvý přístup ke splnění informační povinnosti, kdy první „vrstvou“ je informační (varovná) tabule ztvárněná a umístěná tak, aby si jí každý všiml ještě před vstupem do sledovaného prostoru. 

Na tabuli by mělo být čitelně uvedeno:  

• účel sledování, 
• totožnost správce + kontakt na něj (nebo jeho pověřence pro ochranu osobních údajů, pokud existuje),
• poučení o právech subjektů údajů,  
• informace o podstatných dopadech monitorování,
• zmínka o možnosti získat další a podrobnější informace ve druhé „vrstvě“.

Druhá vrstva pak může mít formu snadno dostupného letáku či dobře viditelného plakátu nebo ji lze navíc poskytnout i digitálně.

Jak na zákonné sledování lidí?

Sledování lidí pomocí kamer budí emoce, a to také u zaměstnanců. Richard Kolibač ze Státního úřadu inspekce práce v našem článku zaměřeném na kontroly osobních práv zaměstnanců potvrzuje, že do této oblasti taktéž směřuje největší počet obdržených podnětů, protože pro zaměstnance může být narušení jejich soukromí prostřednictvím kamerového systému nejcitelnějším zásahem do jejich osobnostních práv.

Aby tedy instalace videozařízení ke sledování lidí byla zákonná, musí se zpracování osobních údajů prostřednictvím takového zařízení opírat o jeden nebo více právních důvodů vyjmenovaných v článku 6 odst. 1 obecného nařízení. V praxi nejčastěji uplatňovanými důvody budou oprávněný zájem a plnění úkolu ve veřejném zájmu. Správce by také měl vždy zvážit, zda stejnému účelu nelze vyhovět jinými, méně invazivními prostředky. Ty v případě ochrany majetku mohou představovat například vhodné oplocení, pořízení kvalitních bezpečnostních zámků nebo použití fasádních nátěrů odolných vůči graffiti. Obecně dále platí, že možnost nasazení monitorovacích kamer končí na hranicích pozemku správce, uvádí se ve shrnutí. 

Z hlediska udělování souhlasu pokyny konstatují, že v případě video monitoringu to bude spíše výjimečné vzhledem k povaze technologie. Institut souhlasu by neměl být uplatněn při nerovnováze vyjednávacích pozic, tedy zejména ve vztahu zaměstnavatel-zaměstnanec.  

Pozor na shromažďování údajů

V případě zpřístupnění kamerového záznamu třetí straně se vždy bude jednat o nové zpracování daných osobních údajů, pro které je opět nutno mít zákonný důvod. Také poskytnutí záznamu donucovacím orgánům představuje další samostatné zpracování vyžadující odůvodnění ze strany správce.  

Videozařízení mohou nechtěně nebo záměrně shromažďovat informace s charakterem zvláštní kategorie údajů. Pokyny ilustrují tuto skutečnost na řadě praktických příkladů. Často může i sám o sobě „neškodný“ údaj, jako je místo záznamu nebo událost, při níž byl pořízen, mít citlivou vypovídací hodnotu v kombinaci s další informací na záznamu. V tomto případě platí zásada minimalizace údajů. Když je kamerový systém navržen záměrně ke zpracování zvláštních kategorií dat, pak musí být správce schopen doložit nejenom zákonný důvod podle článku 6 odst. 1 obecného nařízení, ale také existenci výjimky podle článku 9 nařízení. 

Ptejte se odborníka v poradně Mzdové účetnictví

PhDr. Dagmar Kučerová

mzdový poradce

Položit dotaz

Samostatnou kapitolou je sledování biometrických údajů, a to především v systémech rozpoznávání podle obličeje. Pokyny konstatují, že ve většině případů bude použití takového zařízení soukromým provozovatelem vyžadovat výslovný souhlas subjektu údajů, resp. takový správce bude muset, kupříkladu při použití pro účely ztotožněním, nabídnout i alternativu bez zpracování biometrických dat, a to bez požadavku extra nákladů pro jednotlivce. Typicky to může být při vstupu do hlídaných nebo placených prostor, kde lze umožnit dva vchody, jeden se strojovým rozpoznáváním tváře a druhý s jinou, klasickou, formou vstupní kontroly, popisuje se ve shrnutí dále.

Uchovávejte záznamy jen po nutnou dobu 

U doby uchování záznamu platí obecná zásada neuchovávat údaje déle, než je potřebné ke splnění účelu. Pokyny nestanovují konkrétní přípustnou dobu uchování, ale jako pomyslné dělítko zmiňují hranici 72 hodin. Lhůty delší než 72 hodin tedy budou vyžadovat hlubší zdůvodnění. Při shromažďování a uchovávání záznamů musí správce uplatňovat taková technická a organizační opatření, která odpovídají úrovni rizika, které dané zpracování představuje pro práva a svobody jednotlivců. Mezi ně patří ochrana před náhodným či nezákonným zničením, ztrátou, pozměněním, neoprávněným zpřístupněním nebo neoprávněným přístupem. 

S tím souvisí zálohování, kterému jsme se věnovali v článku Rady pro správné zálohování, které vám zachrání hodiny vaší práce

Jak je to s právy subjektu údajů?

Specifické problémy se v případě kamerového sledování mohou objevit při uplatnění některého z práv subjektu údajů. U práva na přístup může jeho naplnění vykazovat problém vzhledem k velkému objemu záznamů – zvláště, když není k dispozici funkce vyhledávání konkrétního úseku. Na záznamech navíc mohou být i další osoby a jejich zpřístupnění žadateli může mít negativní dopad do práv a svobod těchto jednotlivců. Ani jedna ze jmenovaných okolností by však neměla být automaticky zneužita jako výmluva pro neposkytnutí požadovaných informací. Správce může využít součinnosti žadatele, který upřesní, o jaký časový úsek záznamu se mu jedná. 

V případě ochrany práv třetích osob na záznamu je možné použít software pro rozostření nebo maskování. U nasazení kamerového systému se záznamem je možné uplatnit také právo na výmaz, kdy se za vymazání považuje i rozostření obrazu bez možnosti jeho zpětného obnovení. V některých případech může být uplatněno také právo vznést námitku, a to například při vstupu do monitorovaného prostoru, pobytu v něm nebo při jeho opouštění. V souvislosti s kamerovým sledováním pro účely přímého marketingu je ovšem právo vznést námitku absolutní a subjekt údajů ho může uplatnit podle libosti, píše se ve shrnutí.