Zpracování osobních údajů při provozu kamerových systémů se záznamem

Článek jsme publikovali na portálu EPRAVO.CZ

Ačkoliv právní úprava systému sběru a zpracování osobních údajů při provozování kamerových systémů se záznamem¹ v České republice již dlouhou dobu podléhá jednotným výkladovým zásadám, do nichž nová regulace z května loňského roku vnesla v zásadě minimum změn, praxe jednotlivých správců často stále neodpovídá ustálenému standardu, jak ho chápe zákon, resp. GDPR. V tomto ohledu je tedy vhodné si alespoň rámcově tyto základní zásady připomenout a nabídnout tak řešení některých často se vyskytujících problémů, s nimiž je možné se v praxi setkat.

GDPR a kamerové systémy

Kamerové systémy přestavují jednu z oblastí, do nichž úprava GDPR nezasáhla takovou měrou, jak by se dalo očekávat. Nová evropská úprava přinesla pouze několik málo novot, které by však žádným zásadním způsobem neměly do nastaveného systému zasahovat. Jednou z hlavních změn v tomto ohledu je zrušení povinnosti dle § 16 zák. č. 101/2000 Sb. o ochraně osobních údajů, ohlašovat provozovaný kamerový systém Úřadu pro ochranu osobních údajů (dále též “Úřad”). Co se týče nově zavedených povinností, těmi jsou zejména povinnost správce vést záznamy o zpracování osobních údajů a v daných případech provádět posouzení vlivu provozování kamerového systému na práva subjektů údajů. K posledně jmenovanému vydal Úřad v nedávné době poměrně zásadní dokument, který stanoví základní kritéria ke zhodnocení, zda je nutné posouzení vlivu provést, či nikoliv.

Informační povinnost správce osobních údajů

Základní povinností provozovatele kamerového systému je informovat subjekt údajů o tom, že ten je daným systémem monitorován. Přestože se jedná o povinnost, která byla stanovena již dávno před přijetím evropské úpravy, při jejím plnění se lze paradoxně setkat u jednotlivých správců s chybami nejčastěji. Informační tabulky, které slouží jako první indikace toho, že určitý objekt nebo prostor je monitorován mnohdy vykazují značné deficity. Tyto tak buďto neobsahují s výjimkou piktogramu kamery a stručného oznámení v zásadě žádné údaje o konkrétním zpracování, případně jsou pro přílišnou snahu správce splnit informační povinnost v co nejširším rozsahu nečitelné a obsahují zbytečně mnoho informací.

V souladu s Metodikou Úřadu pro ochranu osobních údajů pro splnění základních povinností ukládaných zákonem o ochraně osobních údajů při provozování kamerových systémů, jež se v současné době vyvinula v již ustálenou praxi, by měla informační tabulka obsahovat zejména piktogram kamery, informaci o tom, že daný prostor je monitorován, údaje o správci osobních údajů, stejně jako kontaktní údaje osoby odpovědné za zpracování, účel zpracování a údaj o místě, kde je možné získat o zpracování podrobnější informace (např. webové stránky, recepce). Toto minimum je samozřejmě možné rozšířit i o další údaje spadající do informační povinnosti, nikdy by však tyto údaje neměly být uváděny na úkor čitelnosti tabulky, která by měla být zachována i z větší vzdálenosti. Veškeré další informace, a to včetně veškerých informací týkajících se práv subjektu údajů, je nejvhodnější poskytnout formou zvláštního dokumentu, který by měl být dostupný v místě uvedeném v tabulce na vyžádání.

Umístění tabulek a provoz kamerového systému na pracovišti

Informační tabulky by měly být umístěny tak, aby subjekt údajů získal informaci o monitorování daného prostoru již před tím, než do něho vstoupí. Zvláštní pozornost je vhodné věnovat plnění informační povinnosti v případech, kdy jsou sledováni na svých pracovištích zaměstnanci. Tabulky by měly být umístěny na každém jednotlivém pracovišti, přičemž je též vhodné zauvažovat o vytvoření vnitřního předpisu, který by zaměstnancům poskytl základní přehled o všech aspektech provozu kamerového systému, a to včetně počtu kamer a jejich rozmístění. Detailnost tohoto předpisu by měla být přímo úměrná velikosti daného provozu a počtu sledovaných zaměstnanců.

Provoz kamerového systému na pracovišti dále nesmí být v rozporu s požadavky vyplývajícími z § 316 zák. č. 262/2006 Sb., zákoníku práce, je tudíž nutné šetřit osobnosti zaměstnance a do jeho soukromí zasahovat pouze v přiměřené míře. V tomto směru je zásadní posoudit, zda je sledování zaměstnance na pracovišti v poměru ke sledovanému účelu skutečně nutné a dále, zda nejsou ke sledování zvoleny prostředky, které by zasahovaly do soukromí zaměstnanců příliš (např. užití face recognition technologií, či snímání vedle obrazu i zvukových stop).

Doba a rozsah zpracování

Při určování přiměřené doby a rozsahu zpracování osobních údajů je zásadní dbát účelu konkrétního zpracování. Nejčastěji uváděným důvodem provozu kamerového systému je ochrana majetku správce, stejně jako zdraví osob nacházejících se ve sledovaných objektech. Doba uchovávání kamerových záznamů by tedy měla být stanovena tak, aby umožňovala řádné prošetření konkrétního zaznamenaného incidentu a případné předání daného záznamu příslušným orgánům. Hlavním určujícím kritériem je v tomto ohledu dle Stanoviska Úřadu pro ochranu osobních údajů č. 1/2016 o umístění kamerových systémů v bytových domech (dále též “Stanovisko”) míra návštěvnosti konkrétních sledovaných prostor. Stanovisko dále uvádí, že dobou obvyklou je doba jednoho týdne, v případě prostor málo frekventovaných pak až 14 dnů. V případě, že je záznam potřebný pro určité řízení týkající se obrany právních nároků správce, je možné dobu zpracování přiměřeně prodloužit.

Podobně je nutné přistoupit i k určení přiměřeného rozsahu zpracování osobních údajů. Jak již bylo zmíněno výše, účelům zpracování musí zejména odpovídat zvolené prostředky, které nesmí zasahovat do soukromí sledovaných osob přes přiměřenou míru. Vedle toho je však nutné zohlednit i vlastní záběr instalovaných kamer, zejména pak co se týče zabírání veřejných prostranství. Ta by měla být zabírána pouze v nejnutnější míře. Dle výše zmíněného nedávného stanoviska Úřadu pak může trvalé sledování veřejných prostranství být též jednou z okolností zakládající povinnost správce provést posouzení vlivu na ochranu osobních údajů.

Závěr

Současná úprava provozování kamerových systémů se záznamem představuje v základu relativně nesložitý systém ovládaný několika elementárními pravidly, jejichž výklad by za běžných okolností neměl způsobovat větší obtíže. V případě pochybností při jejich uplatňování však nelze jinak než doporučit jednotlivým správcům využít konzultace s odborníkem či přímo s Úřadem a vyvarovat se tak v tomto směru jakýchkoliv nežádoucích pochybení.

¹ Pro úplnost je vhodné uvést, že provoz kamerového systému, při kterém nedochází k ukládání záznamu nepředstavuje z hlediska zákona či GDPR zpracování osobních údajů. Tento článek se věnuje čistě problematice takového provozu kamerového systému, který zpracování osobních údajů představuje.