Kamerový systém ve firmě chrání majetek, zabraňuje krádežím a přispívá k bezpečnosti pracovníků. Zároveň jde o zpracování osobních údajů – a to s sebou nese konkrétní povinnosti vyplývající z nařízení GDPR a zákona č. 110/2019 Sb. o zpracování osobních údajů. Tyto povinnosti nejsou jen formální – ÚOOÚ (Úřad pro ochranu osobních údajů) ukládá pokuty i malým podnikům a průmyslovým provozovatelům, kteří je ignorují.
Podcast - Kamerový systém ve firmě a GDPR – na co nesmíte zapomenout
Proč je kamerový systém zpracováním osobních údajů
Kamera zachycuje obraz fyzických osob, ze kterého lze tyto osoby identifikovat. Jde tedy o zpracování osobních údajů ve smyslu čl. 4 GDPR. To platí pro záznamy ze vstupů do budov, parkovišť, výrobních hal i veřejně přístupných prostor kolem objektu.
Výjimkou jsou kamery namířené výhradně na stroje, procesy nebo prostory, kde se nikdy nevyskytují osoby – ty osobní údaje nezpracovávají a GDPR se na ně nevztahuje.
Právní základ pro provozování kamerového systému
GDPR vyžaduje, aby každé zpracování osobních údajů mělo právní základ dle čl. 6 GDPR. Pro firemní kamerové systémy připadají v úvahu:
Oprávněný zájem správce (čl. 6 odst. 1 písm. f) – nejčastěji používaný základ. Firma má oprávněný zájem chránit svůj majetek, zajišťovat bezpečnost objektu a dokumentovat provozní incidenty. Tento zájem musí být vyvážen vůči právům a zájmům snímaných osob – zpravidla se toto vyvažování dokumentuje tzv. testem oprávněného zájmu (LIA – Legitimate Interest Assessment).
Plnění právní povinnosti (čl. 6 odst. 1 písm. c) – pokud firma provozuje kamerový systém z důvodu zákonné povinnosti (např. banky, letiště, kasina mají ze zákona povinnost záznamu).
Souhlas (čl. 6 odst. 1 písm. a) – pro firemní kamerový systém obecně nevhodný základ. Souhlas musí být svobodný, ale zaměstnanec vůči zaměstnavateli nemá rovnoprávné postavení, takže svoboda souhlasu je zpochybnitelná.
Povinnosti správce kamerového systému
Informační povinnost (čl. 13 GDPR)
Každá osoba vstupující do kamerově sledovaného prostoru musí být o tom informována ještě před vstupem do prostoru. Zákon požaduje, aby tato informace obsahovala:
- Identifikaci správce (firma, IČO)
- Účel zpracování (ochrana majetku, bezpečnost provozu apod.)
- Dobu uchování záznamů
- Práva subjektu údajů (přístup, výmaz, námitka)
- Kontakt na pověřence pro ochranu osobních údajů (DPO), pokud ho firma má
Standardním řešením je informační cedule umístěná viditelně před vstupem do sledovaného prostoru. Na ceduli jsou základní informace a odkaz na úplné zásady zpracování (QR kód nebo URL).
Záznamy o zpracování (čl. 30 GDPR)
Firmy s 250 a více zaměstnanci (a firmy zpracovávající riziková data bez ohledu na velikost) jsou povinny vést záznamy o zpracování osobních údajů. Kamerový systém musí být v těchto záznamech uveden s popisem účelu, kategorií dat, příjemců a doby uchování.
Posouzení vlivu na ochranu osobních údajů (DPIA, čl. 35 GDPR)
DPIA je povinné pro rozsáhlé sledovací systémy nebo systémy v místech s přirozeným právem na soukromí (toalety, šatny – ty kamerou sledovat nelze). U běžného firemního kamerového systému (vstup, parkoviště, výroba) DPIA zpravidla není povinné, ale doporučuje se jako součást dokumentace.
Délka uchování záznamů
GDPR ukládá uchovávat data jen po dobu nezbytně nutnou. Pro firemní kamerové záznamy ÚOOÚ doporučuje:
- Maximálně 72 hodin (3 dny) pro standardní provozní sledování
- Do 14 dnů při prokázaném oprávněném zájmu (průmyslové provozy s rizikem krádeže nebo vandalismu, objekty se zvýšenou bezpečnostní hladinou)
- Delší uchování pouze při konkrétní události nebo incidentu – záznamy se označí a uchovají po dobu šetření
Nastavení automatického přemazávání záznamů po uplynutí doby uchování je technická podmínka souladu s GDPR – nestačí mít zásadu, musí být technicky vynucena.
Kde kameru umístit a kde ne
Lze sledovat:
- Vstupy do budov, branky, vjezdové brány
- Parkoviště, zpevněné plochy areálu
- Výrobní a skladové prostory (s informováním zaměstnanců)
- Pokladny, recepce, výdejní místa
Nelze sledovat:
- Toalety, sprchy, šatny, odpočívárny
- Prostory určené výhradně pro soukromí (kojící koutek apod.)
- Prostory mimo vlastní pozemek (sledování veřejné komunikace je povoleno jen v omezené míře a musí být zdůvodněno)
Zvláštní požadavky pro sledování zaměstnanců
Pokud kamery sledují pracovní prostory zaměstnanců (výrobní linky, kanceláře, sklady), platí navíc povinnosti dle zákoníku práce (viz samostatný článek 4-2). Klíčové je předchozí projednání se zástupci zaměstnanců nebo s odborovou organizací.
Pokuta za porušení
ÚOOÚ uložil v posledních letech pokuty v desítkách až stovkách tisíc korun firmám, které:
- Neoznačily sledovaný prostor informační cedulí
- Uchovávaly záznamy déle, než bylo odůvodněno
- Sledovaly prostory, kde zaměstnanci mají právo na soukromí
- Neprovedly test oprávněného zájmu
Revelop navrhuje a instaluje kamerové systémy pro průmyslové a komerční objekty a pomáhá klientům s nastavením technické konfigurace v souladu s GDPR (automatické mazání, přístupová práva k záznamu). Nezávazně nás kontaktujte.