Kamerový systém ve firmě a GDPR – na co nesmíte zapomenout

Proč je kamerový systém zpracováním osobních údajů

Kamera zachycuje obraz fyzických osob, ze kterého lze tyto osoby identifikovat. Jde tedy o zpracování osobních údajů ve smyslu čl. 4 GDPR. To platí pro záznamy ze vstupů do budov, parkovišť, výrobních hal i veřejně přístupných prostor kolem objektu.

Výjimkou jsou kamery namířené výhradně na stroje, procesy nebo prostory, kde se nikdy nevyskytují osoby – ty osobní údaje nezpracovávají a GDPR se na ně nevztahuje.

Jaký právní základ potřebuje firemní kamerový systém?

GDPR vyžaduje, aby každé zpracování osobních údajů mělo právní základ dle čl. 6 GDPR. Pro firemní kamerové systémy připadají v úvahu:

Oprávněný zájem správce (čl. 6 odst. 1 písm. f) – nejčastěji používaný základ. Firma má oprávněný zájem chránit svůj majetek, zajišťovat bezpečnost objektu a dokumentovat provozní incidenty. Tento zájem musí být vyvážen vůči právům a zájmům snímaných osob – zpravidla se toto vyvažování dokumentuje tzv. testem oprávněného zájmu (LIA – Legitimate Interest Assessment).

Plnění právní povinnosti (čl. 6 odst. 1 písm. c) – pokud firma provozuje kamerový systém z důvodu zákonné povinnosti (např. banky, letiště, kasina mají ze zákona povinnost záznamu).

Souhlas (čl. 6 odst. 1 písm. a) – pro firemní kamerový systém obecně nevhodný základ. Souhlas musí být svobodný, ale zaměstnanec vůči zaměstnavateli nemá rovnoprávné postavení, takže svoboda souhlasu je zpochybnitelná.

Povinnosti správce kamerového systému

Informační povinnost (čl. 13 GDPR)

Každá osoba vstupující do kamerově sledovaného prostoru musí být o tom informována ještě před vstupem do prostoru. Zákon požaduje, aby tato informace obsahovala:

• Identifikaci správce (firma, IČO)
• Účel zpracování (ochrana majetku, bezpečnost provozu apod.)
• Dobu uchování záznamů
• Práva subjektu údajů (přístup, výmaz, námitka)
• Kontakt na pověřence pro ochranu osobních údajů (DPO), pokud ho firma má

Standardním řešením je informační cedule umístěná viditelně před vstupem do sledovaného prostoru. Na ceduli jsou základní informace a odkaz na úplné zásady zpracování (QR kód nebo URL).

Záznamy o zpracování (čl. 30 GDPR)

Firmy s 250 a více zaměstnanci (a firmy zpracovávající riziková data bez ohledu na velikost) jsou povinny vést záznamy o zpracování osobních údajů. Kamerový systém musí být v těchto záznamech uveden s popisem účelu, kategorií dat, příjemců a doby uchování.

Posouzení vlivu na ochranu osobních údajů (DPIA, čl. 35 GDPR)

DPIA je povinné pro rozsáhlé sledovací systémy nebo systémy v místech s přirozeným právem na soukromí (toalety, šatny – ty kamerou sledovat nelze). U běžného firemního kamerového systému (vstup, parkoviště, výroba) DPIA zpravidla není povinné, ale doporučuje se jako součást dokumentace.

Jak dlouho lze uchovávat kamerové záznamy?

GDPR ukládá uchovávat data jen po dobu nezbytně nutnou k naplnění účelu. Konkrétní lhůtu zákon nestanoví – vychází z principu přiměřenosti. Pro firemní kamerové záznamy se v praxi osvědčily tyto doby:

• Zpravidla do 72 hodin (3 dny) pro standardní provozní sledování
• Delší doba (běžně do 14 dnů) při prokázaném oprávněném zájmu (průmyslové provozy s rizikem krádeže nebo vandalismu, objekty se zvýšenou bezpečnostní hladinou)
• Delší uchování pouze při konkrétní události nebo incidentu – záznamy se označí a uchovají po dobu šetření

Zvolenou dobu je vždy nutné umět zdůvodnit vzhledem k účelu; delší uchování bez opodstatnění je rizikem při kontrole.

Nastavení automatického přemazávání záznamů po uplynutí doby uchování je technická podmínka souladu s GDPR – nestačí mít zásadu, musí být technicky vynucena.

Kde smíte kameru umístit a kde ne?

Lze sledovat:

• Vstupy do budov, branky, vjezdové brány
• Parkoviště, zpevněné plochy areálu
• Výrobní a skladové prostory (s informováním zaměstnanců)
• Pokladny, recepce, výdejní místa

Nelze sledovat:

• Toalety, sprchy, šatny, odpočívárny
• Prostory určené výhradně pro soukromí (kojící koutek apod.)
• Prostory mimo vlastní pozemek (sledování veřejné komunikace je povoleno jen v omezené míře a musí být zdůvodněno)

Zvláštní požadavky pro sledování zaměstnanců

Pokud kamery sledují pracovní prostory zaměstnanců (výrobní linky, kanceláře, sklady), platí navíc povinnosti dle zákoníku práce (zákon č. 262/2006 Sb., § 316). Klíčové je předchozí projednání se zástupci zaměstnanců nebo s odborovou organizací.

Jaká hrozí pokuta za porušení GDPR u kamer?

ÚOOÚ v rámci své dozorové činnosti ukládá pokuty za nejčastější pochybení, kterými jsou:

• Neoznačení sledovaného prostoru informační cedulí
• Uchovávání záznamů déle, než bylo odůvodněno
• Sledování prostor, kde zaměstnanci mají právo na soukromí
• Neprovedení testu oprávněného zájmu

Horní hranice pokut podle GDPR je vysoká (u závažných porušení až miliony eur nebo procenta obratu), v praxi ÚOOÚ ale výši sankce odstupňuje podle závažnosti a velikosti subjektu.