Provozování kamerového systému je považováno za zpracování osobních údajů podléhající povinnostem podle Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. 4. 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a volním pohybu těchto údajů (dále jen jako „GDPR“), pokud je automatizovaně prováděn záznam monitorovaného prostoru a zároveň je účelem pořizovaných informací a záznamů využití k identifikaci fyzických osob v souvislosti s určitým jednáním.
Kamerový systém z pohledu práva
Údaje uchovávané v záznamovém zařízení, ať obrazové či zvukové, jsou osobními údaji za předpokladu, že na základě těchto záznamů (informace z obrazových či zvukových nahrávek) lze přímo či nepřímo identifikovat konkrétní fyzickou osobu. Fyzická osoba je identifikovatelná, pokud ze snímku, na němž je zachycena, jsou patrné její charakteristické rozpoznávací znaky (zejména obličej) a na základě propojení rozpoznávacích znaků s dalšími údaji je možná plná identifikace osoby. Zjednodušeně řečeno, půjde o osobní údaje, pokud osobu na záznamu můžeme poznat. Osobní údaj pak tvoří ty identifikátory, které umožňují příslušnou osobu spojit s určitým, na snímku zachyceným, jednáním.
Zpracování osobních údajů provozováním kamerového systému je zákonné, pouze pokud je prováděno v odpovídajícím rozsahu v rámci některého z přípustných právních titulů zpracování osobních údajů uvedených v článku 6 GDPR. Nejčastěji půjde o účel zajištění bezpečnosti prostoru snímaného kamerami či zajištění bezpečnosti práce svých zaměstnanců. Z pohledu GDPR tedy půjde o zpracování osobních údajů z důvodu nezbytnosti pro účel oprávněných zájmů příslušného správce (Správce je osoba, která rozhoduje, zda se kamerový systém pořídí, co bude snímat, jak dlouho bude záznam uložen apod. Nepůjde o bezpečnostní agenturu, ta jen kamerový systém zajišťuje a má postavení tzv. zpracovatele).
Účel pro kamerový systém
Před pořízením kamerového systému je tedy třeba předem jednoznačně stanovit účel pořizování záznamů, který musí korespondovat s důležitými, právem chráněnými zájmy správce (např. ochranou majetku před krádeží). Záznamy z kamer tak mohou být využity pouze v souvislosti se zjištěním události, která poškozuje tyto důležité zájmy správce. Přípustnost využití záznamů pro jiný účel by mělo být výjimečné, např. předání záznamu policii pro boj proti pouliční kriminalitě. Kamerový systém tedy musíte mít hlavně řádně odůvodněn a záznamy z něj použít pouze k zajištění cíle (např. pro zjištění, kdo se vloupal do objektu).
Lhůta zpracování údajů
Dále je třeba stanovit lhůtu pro uchovávání záznamů. Doba uchovávání dat by neměla přesáhnout časový limit maximálně přípustný pro naplnění účelu provozování kamerového systému. Uchovávaná data by měla být uchovávána v rámci časové smyčky např. 24 hodin, pokud jde o trvale střežený objekt. Nebo i dobu delší, v zásadě však nepřesahující několik dnů. Pro malý nebytový objekt je například opodstatněná doba max. 72 hodin vzhledem k nepracovním víkendům. V případě velkých areálů, kde zjištění škody může trvat déle, je přípustné uchovávat záznamy i po více dnů. Obecně však platí, že čím delší dobu záznamy z kamer uchováváte, tím lépe byste měli mít tuto dobu odůvodněnou. V případě kontroly ze strany Úřadu pro ochranu osobních údajů, bude tato věc jistě kontrolována.
Správné namíření kamer
Dále doporučujeme kamery namířit tak, aby co nejméně zabíraly soukromé pozemky, domy či jiná místa, která již nejsou pro splnění účelu kamerového systému potřebná. Je například zcela nepřípustné, aby kamerový systém na ochranu objektu zabíral i část soukromé zahrady u rodinného domu.
Kamerový systém a zabezpečení dat
Je dále třeba řádně zajistit ochranu snímacích zařízení, přenosových cest a datových nosičů, na nichž jsou uloženy záznamy, před neoprávněným nebo nahodilým přístupem, změnou, zničením či ztrátou nebo jiným neoprávněným zpracováním a zajistit k nim i omezený přístup. Interní postupy a pravidla pro provoz kamerového systému a nakládání se záznamy je vhodné upravit např. v provozním řádu objektu či bezpečnostní směrnici. Správce je povinen dokumentovat veškeré případy porušení zabezpečení osobních údajů a řešit bezpečnostní incidenty. Zajištěnou bezpečnost a řádné vedení zápisů o bezpečnostních incidentech je další podstatná věc, kterou bude Úřadu pro ochranu osobních údajů kontrolovat.
Informování osob, které snímá kamerový systém
Dále musí být subjekt údajů (zachycená fyzická osoba) o užití kamerového systému a o tom kdo jej provozuje v převážné většině případů vhodným způsobem informován (např. nápisem umístěným v monitorované místnosti nebo na plotu). Platí zásada, že fyzická osoba má vědět, že vstupuje do prostoru snímaného kamerou.
Správce pak musí umožnit výkon dalších práv subjektu údajů, které ukládá GDPR. Zejména právo na další informace o zpracování osobních údajů, právo na námitku, právo být vymazán a právo na omezení zpracování osobních údajů.
Kamerový systém dále nemusí být nahlášen na Úřadě pro ochranu osobních údajů. Tato povinnost však může být později uložena českým zákonem na ochranu osobních údajů, který má být teprve přijat.
Závěr
Závěrem pak vyplývá z GDPR povinnost vedení tzv. záznamu o činnosti zpracování osobních údajů. Jde o dokument, kde správce popíše zejména jeden z důvodů zpracování osobních údajů dle GDPR (účel kamerového systému), koho snímá (zákazníky, zaměstnance apod.), jak dlouho jsou záznamy uchovány, jak jsou zabezpečeny, zda jsou poskytovány údaje do zahraničí apod. Tento dokument a v souvislosti s ním i kontrolu stávajícího kamerového systému je však vhodné si nechat zajistit od odborníka.
Podívejte se na obecné pojednání o Ochraně osobních údajů.
