Kamery jsou dnes všude kolem nás. Mají různý účel, technické provedení a sledují rozdílné věci. Mnoho z nás se zabývalo, v jakém vztahu jsou funkční kamerové systémy a GDPR. V článku se nebudeme věnovat kamerovým systémům, které spravuje ať už státní nebo městská policie ani systémům (mají výjimku ze zákona), a které si instalují fyzické osoby na své nemovitosti. I když i na ně časem dojde.
V úvodu je třeba připomenout, co to je GDPR. Je to právní předpis, takříkajíc update rozšiřující stávající legislativu pohledem a regulací na nové technologie. Nařízení je připraveno tak, že myslí i na technologie budoucí, je tedy hodně nadčasové. Ovšem z pohledu kamerového, tak jak popsal technologii červích děr A. C. Clarke ve Svitu vzdálených dní, bylo by Nařízení na takovou technologii krátké.
Důležitým zákonem, který nám zasahuje do kamerových systémů ve společnostech je zákon č. 262/2006 Sb. (naposledy aktualizovaný zákonem 148/2017 Sb. s účinností od 1. 2. 2018), ale tím se v tomto krátkém článku zabývat nebudeme. Nicméně nařízení 2016/679 má za cíl chránit práva a svobody fyzických osob v souvislosti se zpracováním osobních údajů. Co to opravdu znamená, je na samostatný článek.
Záznam z kamery jako osobní údaj
Kdy se tedy snímek z kamery stává osobním údajem?
Tehdy, když můžeme jednoznačně ke snímku přiřadit (identifikovat) určitou fyzickou osobu.
Automaticky si tím můžeme vyloučit všechny kamerové systémy, které nejsou ovládány a spravovány dálkově a jsou bez záznamu. Většinou se jedná o pohledy na výrobu, sklad či prodejnu pomocí CCTV s monitorem, na který hledí pověřená osoba. Tato osoba vyhodnocuje, zda se před kamerou neděje něco mimořádného.
Něco jiného nastane, pokud tyto kamery začneme nahrávat. Pak bude třeba posuzovat kdo má k záznamu přístup a jak dlouho se záznam uchovává. Kamerový záznam, totiž může být zpracováním biometrických údajů, které nám spadají do tzv. kategorie zvláštních údajů, laicky citlivých údajů.
Hned se dostaneme k několika otázkám – co sledujeme, proč to sledujeme a jak dlouho budeme ukládat záznam. Neméně důležitou otázkou je, kdo a jak má k záznamu přístup.
Obecně nelze říci, že budu sledovat osoby, kdy přicházejí do zaměstnání, jak provádějí pauzu. To nesmíme (existují výjimky např. při zpracování cenností, ale ty se 99% společností netýkají). Například i výše zmiňovaný zákoník práce nám to velmi omezí. Je třeba si to popsat a zdůvodnit.
Stejný postup musíme zvolit v případě dálkového přístupu ke kamerám, i když jde o systém bez záznamu. Je třeba zajištěného a omezeného přístupu. Tím nechci naznačit, že se třeba na svůj dvůr nesmíte koukat přes mobil. Jen je třeba zajistit, a je to i ve vašem vlastním zájmu, aby se nedíval i někdo jiný.
Monitorování prostor
Kamery smí sledovat jen váš prostor a zdůvodnit, proč tento prostor chci sledovat. Důvody mohou být ochrana majetku či zdraví. Například vstupy pracoviště s vyšším rizikem úrazu. Do veřejného smí nahlížet jen velmi omezeně (částečně) a jen z důvodu záběru na vlastní prostory – příkladem je snímání zdi objektu, kdy se částečně snímá chodník na ulici. Veřejný prostor není primárně monitorován.
V každém případě musíme informovat o tom, že prostor je monitorován, snímán kamerou. Zaměstnanci musejí být prokazatelně seznámeni s rozsahem a způsobem monitorování. Stejně jako je jedinečná každá společnost, tak je jedinečný její systém a jeho příprava, popsání a následný provoz vyžaduje pečlivou analytickou činnost.
V průběhu přípravy článku byla v souvislosti kamer a GDPR udělena vůbec první pokuta, a to v Rakousku. Tamní úřad DSG (Österreichische Datenshutzgehörde) udělil pokutu soukromému podnikateli ve Štýrsku za to, že nepřiměřeně, bez povolení snímal veřejný prostor a porušil tak §12 část čtvrtá – Nepřípustnost pořízení snímku. Bohužel do uzávěrky nebyly zveřejněny podrobnosti ani výše pokuty.
Autor: Petr Gondek
Petr Gondek je externím autorem vydavatelství AVERIA LTD. a specialistou na problematiku GDPR.
Petr je také DPO a managing director společnosti GDPR Support s.r.o.
Jedna odpověď