Jednou z nejproblematičtějších oblastí ochrany osobních údajů je sledování prostřednictvím kamerových systémů. Podle informací z Úřadu pro ochranu osobních údajů se velké množství podnětů týká právě kamerového sledování.
Jaké povinnosti má zaměstnavatel, pokud chce umístit kamerový systém na pracoviště?
Odpovědi je třeba hledat nejen v Obecném nařízení pro ochranu osobních údajů (GDPR), ale také v zákoníku práce.
V červenci loňského roku vydal Evropský sbor pro ochranu osobních údajů (EDPB) Pokyny 3/2019 ke zpracování osobních údajů prostřednictvím videozařízení, jejichž shrnutí nedávno uveřejnil náš Úřad pro ochranu osobních údajů (ÚOOÚ). Tyto pokyny upřesňují a v určitém smyslu i zpřísňují dosavadní praxi.
Úřad pro ochranu osobních údajů doposud zastával stanovisko, že při sledování kamerovými systémy, u nichž není pořizován záznam, se nejedná o zpracování osobních údajů. Pokyny EDPB však nerozlišují situace, kdy je záznam pořizován a kdy nikoliv, protože i kamerové systémy bez ukládání záznamů zasahují do práv subjektů údajů.
Naproti tomu se Pokyny EDPB nevztahují na falešné kamery, které mají pouze odstrašit, ani na parkovací asistenty nebo záběry z takové výši, kdy není možné na záznamu rozpoznat konkrétní osobu.
Kdy lze monitorovat pracoviště?
Monitorování prostřednictvím kamerových systémů musí být především zákonné. Znamená to, že se musí opírat o jeden z právních titulů uvedených v článku 6 odst. 1 GDPR. Nejčastějším právním důvodem bude oprávněný zájem, tedy ochrana života a zdraví osob nebo ochrana majetku zaměstnavatele. Podle Davida Borovce z advokátní kanceláře Borovec Legal může jít i o kontrolu dodržování povinností zaměstnanců na úseku BOZP.
K využívání oprávněného zájmu jako právního titulu však musí být přistupováno restriktivně a tento oprávnění zájem nesmí být fiktivní nebo spekulativní.
Pokud by chtěl zaměstnavatel jako právní titul zpracování využít souhlas, je omezen ještě více. „Institut souhlasu by neměl být uplatněn při nerovnováze vyjednávacích pozic, tj. zejména ve vztahu zaměstnavatel-zaměstnanec,“ píše se ve shrnutí Pokynů.
„Jestliže je u zaměstnavatele dán závažný důvod spočívající ve zvláštní povaze činnosti zaměstnavatele, který odůvodňuje zavedení kontrolních mechanismů, je zaměstnavatel povinen přímo informovat zaměstnance o rozsahu kontroly a způsobech jejího provádění,“ stojí v zákoníku práce. „Pokud takový důvod existuje, je kromě naplnění informační povinnosti nutno vypracovat příslušnou dokumentaci,“ uvádí advokátka Lucie Demeterová z advokátní kanceláře Demeter Legal.
Nadto Pokyny EDPB stanoví, že kamerové systémy lze využívat pouze tehdy, nelze-li využít jiné, méně invazivní prostředky. Může jít typicky o oplocení nebo uzamčení. „Důležité je v tomto případě posoudit, zda pro naplnění sledovaného cíle opravdu nutný monitoring osob,“ potvrzuje advokát David Borovec. „Pokud ano, je důležité vyvážit zájem zaměstnavatele na monitorování oblasti a zájem dalších osob na ochraně soukromí,“ dodává.
To se týká jak množství kamer, tak skutečnosti, kam jsou kamery směřovány a jak velkou část těla zaměstnance snímají. „Už z dřívějších výkladů ÚOOÚ plyne, že kamera v obchodě nemá zabírat celou postavu pokladní, pokud po splnění účelu stačí zabírat pokladnu a ruce pokladní. A to také s ohledem na to, že je současně pořizován záznam celého prostoru obchodu,“ přibližuje své zkušenosti David Borovec.
Povinná dokumentace ke kamerovému systému
Před zavedením kamerového systému musí zaměstnavatel vypracovat dokumentaci. „Ta by měla obsahovat analýzu používání kamerového systému, jeho identifikaci a popis, plánek rozmístění jednotlivých kamer, analýzu rizik, popis technicko-organizačních opatření, směrnici na provozování kamerového systému, informační tabulky a podrobné informace o zpracování osobních údajů,“ vyjmenovává Lucie Demeterová.
To však není vše. Nutné je připojit také informace ze záznamů o školení, evidence žádostí o poskytnutí kamerového záznamu a související předávací protokoly, projektovou dokumentaci a náhledy jednotlivých kamer.
Při projektování kamerového systému musí zaměstnavatel myslet i na to, aby účelu zpracování byla přizpůsobena technická specifikace kamer. „Je třeba zvážit, zda je nutné používat kamery zabírající celý prostor provozovny (360°) s možností přibližování, zaznamenávající zvuk a podobně. Nepotřebné funkce by měly být deaktivovány,“ míní Borovec. „Měla by být užita taková technologie, která umožňuje rozostření oblasti, která není pro zpracování relevantní. Například prostor za pultem v oddělení lahůdek, kde chodí pouze zaměstnanci,“ doplňuje.
Informace o kameře ještě před vstupem do monitorovaného prostoru
Při provozování kamerových zařízení je potřeba mimo jiné dodržovat i zásadu transparentnosti a poskytovat potřebné informace. Každý musí být včas upozorněn, že vstupuje do monitorovaného prostoru. „Pokyny doporučují uplatnit vícevrstvý přístup ke splnění informační povinnosti. První „vrstvou“ je informační (varovná) tabule ztvárněná a umístěná tak, aby si jí každý všimnul ještě před vstupem do sledovaného prostoru,“ píše ÚOOÚ ve shrnutí Pokynů. Informační tabule má obsahovat účel sledování, identifikaci správce včetně příslušného kontaktu, ale také poučení o právech subjektů údajů a informace o dopadech monitorování.
V druhé vrstvě budou tyto informace dále rozvedeny. Podle shrnutí Pokynů má jít o snadno dostupný leták nebo viditelný plakát, které mohou být doplněny o informaci zpřístupněnou digitálně. „Příkladem může být pokladní, která na požádání předloží zákazníkovi informační leták, v němž bude uveden důvod zpracování, technická specifikace kamer, způsob záznamu a kontakt na zpracovatele získaných osobních údajů,“ doplňuje David Borovec.
Uchovávat kamerové záznamy je podle Pokynů možné pouze po nezbytně nutnou dobu. Vodítkem je hranice 72 hodin, kdy delší uchovávání záznamů by muselo být přesvědčivě zdůvodněno.
Sankce za porušení hrozí od dvou úřadů
Nesprávné provozování kamerových systémů může být sankcionováno ze strany Úřadu pro ochranu osobních údajů za porušování GDPR.
„Jedná se ale i o porušení zákoníku práce, kdy přísluší kontrola také inspektorátu práce,“ upozorňuje advokátka Lucie Demeterová. „Ten může udělit pokutu až do výše 100 tisíc korun za porušení informační povinnosti o rozsahu a způsobu kontroly a až jeden milion korun za to, že u zaměstnavatele není dán závažný důvod pro zavedení kamerového systému,“ uzavírá Demeterová.
