Bezpečnostní kamery představují jeden z nejčastěji využívaných způsobů zajištění ochrany majetku, zdraví a osob nacházejících se v monitorovaných prostorách nebo za účelem odhalování trestné činnosti a vandalismu. Často jsou to právě záznamy z bezpečnostních kamer, které pro orgány činné v trestním řízení představují důkaz s vysokou důkazní silou, a to právě díky jejich autentičnosti a bezprostřednosti. V mnoha případech však vyvstává otázka, zda tyto kamery nezachycují záběry nad rámec povoleného rozsahu, respektive zda je jejich umístění vůbec legální.
V praxi se často stává, že osoby, které se rozhodly nainstalovat bezpečnostní kamery, nemají dostatečné znalosti o tom, že i jejich instalace a používání podléhá určitému právnímu rámci, do něhož lze bezpochyby zařadit i oblast ochrany osobních údajů.
Bezpečnostní kamera dokáže zachytit množství informací o osobě, které lze pro účely GDPR považovat za osobní údaje. Mezi ně lze zařadit například samotný obraz osoby, která se na záběru nachází, ale také informace o jejím pohybu a pobytu v daném čase a v daném prostoru. Je proto důležité, aby i pro používání bezpečnostních kamer byly stanoveny určité hranice. Základním pravidlem je jednoznačné vymezení a definování účelu, pro který byly bezpečnostní kamery nainstalovány. Podotýkáme, že vymezení účelu musí být konkrétní a co nejpřesnější, aby nebylo možné jej vnímat jako vágní a neurčité, což by za určitých okolností umožňovalo pod daný účel zahrnout i situace, které by jinak byly nezákonné. Tímto způsobem provozovatel zajistí dodržování zásady omezení účelu, což znamená, že budou prováděny pouze takové operace zpracování, které jsou v souladu s vymezeným účelem a které lze pod něj s jistotou zařadit. Pod takovým jednoznačným vymezením lze rozumět například zajištění ochrany majetku nebo odhalování trestné činnosti, například v případě různých drobných krádeží v supermarketech. Provozovatel musí při zpracování osobních údajů dbát také na dodržování zásady minimalizace údajů, a tedy zpracovávat osobní údaje pouze v omezeném rozsahu, který bude odrážet vymezený účel. Zásada minimalizace se rovněž vztahuje na samotné uchovávání údajů (v tomto případě záznamů z kamerového systému) – doba uchovávání záznamů z kamerového systému by měla být co nejkratší, nejčastěji se omezuje na dobu nezbytnou k naplnění samotného účelu.
Co se však stane v případě, že jsou kamerové záznamy využívány v rozporu s definovaným účelem?
Úřad pro ochranu osobních údajů (ÚOOÚ) se touto problematikou zabýval již několikrát. Naposledy rozhodoval o neoprávněném použití kamerových záznamů pro účely pracovněprávního vztahu. Účastníky řízení byla na jedné straně navrhovatelka – zaměstnankyně muzea a na druhé straně muzeum jako zaměstnavatel a veřejná instituce. Žalobkyně v řízení namítala, že zaměstnavatel použil záznamy z bezpečnostních kamer neoprávněně, a tedy v rozporu s předem stanoveným účelem, jelikož právě kamerové záznamy byly použity jako podpůrný důkaz k prokázání jejího porušení pracovní disciplíny. Provozovatel (muzeum) uvedl, že účelem bezpečnostních kamer je zajištění ochrany sbírkových předmětů. Z provedeného dokazování však vyplynulo, že záznamy z bezpečnostních kamer byly skutečně použity jako podpůrný důkaz k prokázání porušení pracovní disciplíny, neboť tuto skutečnost sám konstatoval v zápisu o projednání porušení pracovní disciplíny. ÚOOÚ tedy dospěl k závěru, že sledování pracovních povinností zaměstnankyně a zajištění ochrany sbírkových předmětů jsou natolik odlišné, že bez výslovného souhlasu zaměstnankyně nebo jiného legitimního právního základu nelze hovořit o zpracování osobních údajů v souladu s nařízením GDPR.
V této souvislosti lze blíže poukázat na skutečnost, že problematika sledování zaměstnanců není výlučně předmětem ochrany osobních údajů, ale úzce souvisí také s pracovněprávními předpisy a s právy a povinnostmi zaměstnanců a zaměstnavatelů. Zákoník práce v § 13 odst. 4 stanoví, že zaměstnavatel nesmí bez závažných důvodů spočívajících ve zvláštní povaze činnosti zaměstnavatele narušovat soukromí zaměstnance na pracovišti a ve společných prostorách zaměstnavatele tím, že jej monitoruje, aniž by jej na to předem upozornil. Zároveň, pokud zaměstnavatel zavádí kontrolní mechanismus, je povinen projednat se zástupci zaměstnanců rozsah kontroly, způsob jejího provádění i dobu jejího trvání a informovat zaměstnance o rozsahu kontroly, způsobu jejího provádění i o době jejího trvání. Kontrolní mechanismus může být na pracovišti zaveden pouze v případě, že k tomu má zaměstnavatel závažné důvody, mezi něž patří například ochrana majetku nebo, jako v posuzovaném případě, ochrana sbírkových předmětů. V této souvislosti lze poukázat na ustálenou judikaturu ESLP, podle níž zaměstnavatel nesmí využívat kontrolní mechanismus pouze k pouhému sledování pracovního výkonu zaměstnanců. V situaci, která nastala i v popsaném případě, je proto třeba poznamenat, že pokud zaměstnavatel monitoruje svůj provoz za účelem zajištění bezpečnosti a ochrany majetku, nesmí tyto kamery využívat k monitorování pracovněprávních činností zaměstnanců bez adekvátního právního základu.V případě zavedení kontrolního mechanismu na pracovišti musí zaměstnavatel splňovat tzv. kritéria zákonnosti kontrolního mechanismu, která vyplývají z rozhodnutí ESLP ve věci Bărbulescu proti Rumunsku. Těmito kritérii jsou (i) informační povinnost vůči zaměstnancům, (ii) existence legitimních důvodů pro sledování, (iii) zda neexistoval méně invazivní způsob zásahu do soukromí zaměstnanců, jímž by bylo dosaženo stejného účelu, (iv) jakým způsobem zaměstnavatel nakládal s kamerovými záznamy a (v) zda měli zaměstnanci možnost obrátit se na nestranný orgán. Jelikož uvedená kritéria v posuzovaném případě nebyla splněna, zaměstnavatel postupoval neoprávněně a nad rámec účelu, který si sám stanovil, ÚOOÚ konstatoval porušení zásady omezení účelu podle čl. 5 odst. 1 písm. b) nařízení GDPR a uložil zaměstnavateli (správci) pokutu ve výši 700 EUR.
Poučení a několik poznatků na závěr:
- Pokud používáte kamerový systém, nezapomeňte na jednoznačnou identifikaci účelu zpracování osobních údajů,
- dbát na dodržování zásady minimalizace uchovávání osobních údajů – Pokyny Evropského výboru pro ochranu osobních údajů doporučují maximální lhůtu 72 hodin pro likvidaci kamerových záznamů (pozn.: jedná se pouze o doporučení, správce se může v odůvodněných případech od této lhůty odchýlit. Pokud je však lhůta pro jejich uchovávání jednoznačně stanovena a dojde k jejímu překročení, dochází k porušení zásady minimalizace uchovávání osobních údajů),
- Zajistěte jednoznačně vymezený okruh osob, které mají přístup k kamerovým záznamům, čímž předejdete porušení zásady integrity a důvěrnosti osobních údajů,
- Při zavádění kontrolního mechanismu dbejte na všechny legislativní požadavky. Zaměstnavatel musí v první řadě splnit všechny náležitosti vyžadované zákoníkem práce, konkrétně ustanovení § 13 odst. 4 zákoníku práce (informovat zaměstnance, projednat zavedení mechanismu se zástupci zaměstnanců). Následně přichází na řadu dodržování nařízení GDPR, jehož součástí je i vypracování rozsáhlého dokumentu DPIA,
- Kontrolní mechanismus na pracovišti používejte pouze za předpokladu, že jste splnili všechny zákonem stanovené povinnosti a na vašem pracovišti existují závažné důvody pro jeho zavedení. Tyto záznamy používejte pouze k předem stanovenému účelu, v opačném případě zasahujete do soukromí svých zaměstnanců, což může v konečném důsledku vést až k soudnímu sporu z důvodu neoprávněného zásahu do soukromí.
