GDPR a bezpečnostní systémy v SVJ

Provoz kamerových systémů v ČR podléhá pravidlům GDPR vždy, když lze podle záznamu přímo či nepřímo identifikovat konkrétní osobu (např. podle obličeje, SPZ, chování). Provozovatel kamer je v takovém případě správcem osobních údajů a musí dodržovat základní principy: zpracovávat jen nezbytné údaje, mít jasný účel, uchovávat záznamy jen po nutnou dobu, zajistit jejich bezpečnost a být schopen doložit, že pravidla dodržuje. Zároveň musí osoby o monitorování srozumitelně informovat. Ale zapomíná se na přístupové (čipové) systémy, které též podléhají GDPR. 

Právním základem pro provoz kamer bývá nejčastěji oprávněný zájem, typicky ochrana majetku, bezpečnost osob nebo ochrana před protiprávním jednáním. V takovém případě je nutné provést tzv. balanční test – zvážit, zda zájem provozovatele převažuje nad právy sledovaných osob a zda nelze cíle dosáhnout mírnějšími prostředky (např. lepším osvětlením, mechanickým zabezpečením). U některých subjektů může být právním základem i právní povinnost, například u bank či kritické infrastruktury, kde zvláštní zákony ukládají povinnost monitorovat prostory.

Souhlas jako právní základ se u kamer používá spíše výjimečně, protože musí být svobodný, konkrétní a odvolatelný. V praxi je obtížné zajistit, aby lidé měli reálnou možnost souhlas nedat a přesto prostor využívat (např. v zaměstnání nebo v obchodním centru). Proto se souhlas hodí spíše pro specifické situace, jako jsou dobrovolné marketingové záznamy nebo akce, kde je možné nabídnout alternativu bez natáčení.

Rozdíl je také mezi monitorováním veřejných a neveřejných prostor. Veřejné prostory (ulice, náměstí, veřejně přístupné parky) podléhají přísnějšímu posouzení, protože lidé mají omezenou možnost se sledování vyhnout. Zde je nutné velmi pečlivě zdůvodnit nezbytnost a rozsah záběru, často se vyžaduje i posouzení vlivu na ochranu osobních údajů. U neveřejných prostor (vstupní haly firem, chodby bytových domů, sklady) je situace zpravidla jednodušší, ale i zde platí, že kamery nesmí zasahovat do soukromí více, než je nutné – typicky není přípustné snímat interiéry bytů, šaten, sociálních zařízení nebo odpočinkových zón.

Ve firemním prostředí se kamery používají hlavně k ochraně majetku, kontroly vstupů a bezpečnosti zaměstnanců. Zaměstnavatel musí zaměstnance předem informovat, jasně vymezit účel a nesmí kamery používat k trvalému sledování výkonu práce, pokud to není nezbytné a přiměřené. V bytových domech se kamery často instalují ve vchodech, na chodbách nebo u garáží. Správcem bývá společenství vlastníků nebo družstvo, které musí mít schválený účel (např. ochrana společných prostor) a nastavená pravidla přístupu k záznamům. V obchodech se kamery využívají k prevenci krádeží a ochraně personálu; je nutné viditelně označit monitorované prostory, omezit dobu uchování záznamů (obvykle na dny až jednotky týdnů) a zajistit, aby k nim měli přístup jen pověření pracovníci.

Ve všech případech platí, že osoby mají právo vědět, kdo jejich údaje zpracovává, za jakým účelem, jak dlouho a komu mohou být předány. Mají také právo požadovat přístup k údajům, případně výmaz, pokud již nejsou potřebné nebo byly zpracovány v rozporu s právem. Provozovatel kamer by měl mít interní pravidla, jak s kamerovým systémem nakládat, jak řešit žádosti subjektů údajů a jak postupovat při bezpečnostních incidentech, aby byl schopen prokázat soulad s GDPR.

Povinnosti provozovatele kamerového systému podle GDPR

Provozovatel kamerového systému musí především splnit informační povinnost vůči osobám v monitorovaném prostoru. To znamená umístit viditelné informační tabule ještě před vstupem do záběru kamery a v nich uvést zejména identitu správce, účel zpracování, základní právní informace a odkaz na podrobnější oznámení (např. na webu nebo na recepci). Podrobné oznámení má popsat rozsah monitoringu, právní titul, dobu uchovávání záznamů, informace o příjemcích, poučení o právech subjektů údajů a kontaktní údaje pro uplatnění těchto práv.

Doba uchovávání záznamů musí být přiměřená účelu – obvykle v řádu dnů až jednotek týdnů, nikoli měsíců či let, pokud to neodůvodňuje zvláštní riziko nebo právní povinnost. Provozovatel musí nastavit automatické mazání a pravidelně kontrolovat, zda nedochází k nadměrnému shromažďování dat. Záznamy lze uchovat déle jen ve výjimečných případech, například pokud jsou potřebné jako důkaz v probíhajícím řízení; i tehdy je nutné uchovávat pouze relevantní výseky záznamu.

Zabezpečení dat zahrnuje technická i organizační opatření: šifrování přenosu a úložiště, silná hesla, omezení vzdáleného přístupu, pravidelné aktualizace zařízení a softwaru, logování přístupů a školení zaměstnanců. Přístup k záznamům smí mít jen omezený okruh poučených osob, a to pouze v rozsahu nezbytném pro jejich práci. Je vhodné mít interní směrnici, která stanoví, kdo, kdy a za jakým účelem může záznamy prohlížet, jak se přístupy evidují a jak se postupuje při incidentu či žádosti subjektu údajů.

Pokud na provozu kamerového systému participují dodavatelé (např. bezpečnostní agentura, IT firma, poskytovatel cloudového úložiště), je nutné s nimi uzavřít zpracovatelské smlouvy. Ty musí jasně vymezit předmět a dobu zpracování, povahu a účel, typ osobních údajů, kategorie subjektů údajů, bezpečnostní opatření a povinnosti zpracovatele, včetně mlčenlivosti a součinnosti při uplatňování práv subjektů údajů. Správce musí také vést záznamy o činnostech zpracování, v nichž kamerový systém popíše jako samostatnou činnost se všemi povinnými náležitostmi.

V případech, kdy kamerový systém představuje vysoké riziko pro práva a svobody osob (např. rozsáhlé monitorování veřejně přístupných prostor, systematické sledování zaměstnanců, kombinace s biometrikou), může vzniknout povinnost provést posouzení vlivu na ochranu osobních údajů (DPIA). DPIA má identifikovat rizika, zhodnotit jejich pravděpodobnost a závažnost a navrhnout opatření ke snížení rizik. Pokud i po přijetí opatření zůstává vysoké riziko, může být nutná konzultace s dozorovým úřadem.

Mezi nejčastější chyby z praxe patří chybějící nebo nedostatečné informační tabule, příliš dlouhá doba uchovávání záznamů bez jasného odůvodnění, neomezený přístup k záznamům pro velký okruh zaměstnanců, absence zpracovatelských smluv s dodavateli nebo neexistence interní dokumentace a záznamů o činnostech zpracování. Rizika zahrnují neoprávněné sledování, únik či zneužití záznamů, zásah do soukromí zaměstnanců či zákazníků a ztrátu důvěry. Sankce mohou sahat od napomenutí a nařízení nápravných opatření přes omezení nebo zákaz provozu kamerového systému až po významné finanční pokuty podle GDPR, zejména pokud jde o systematické nebo opakované porušování povinností.

Jak nastavit kamerový systém v souladu s GDPR

1. Ujasněte si účel a nezbytnost
Definujte, proč kamery potřebujete (např. ochrana majetku, bezpečnost osob). Zvažte, zda stejného cíle nelze dosáhnout mírnějšími prostředky (lepší zámky, osvětlení, recepce). Kamery nesmí sloužit k trvalému sledování výkonu práce, pokud to není nezbytné a přiměřené. Zapište si účely, právní základ (obvykle oprávněný zájem) a proveďte test proporcionality.

2. Proveďte základní analýzu rizik a DPIA
Posuďte, koho a kde budete snímat, jak citlivé situace mohou být zachyceny (např. šatny, sociální zařízení jsou zakázané). U větších systémů nebo rozsáhlého monitoringu proveďte posouzení vlivu na ochranu osobních údajů (DPIA). Identifikujte rizika pro soukromí a navrhněte opatření: omezení záběru, kratší dobu uchování, šifrování, přísnější přístupy.

3. Zvolte vhodné technické řešení
Rozlišení volte tak, aby bylo možné naplnit účel (identifikace osoby, vozidla), ale ne více, než je nutné. Záběr kamer nastavte tak, aby nesnímaly zbytečně veřejný prostor, sousední pozemky nebo interiéry bytů. Zvažte, zda opravdu potřebujete zvuk – nahrávání zvuku je výrazně invazivnější a často neobhajitelné. Preferujte šifrovaný přenos, zabezpečený záznam a pravidelné aktualizace firmware.

4. Nastavte přístupová práva a dobu uchování
Definujte, kdo má k záznamům přístup (co nejméně osob, role-based přístup). Zaveďte silná hesla, dvoufaktorové ověření a logování přístupů. Doba uchování by měla být co nejkratší, typicky 3–30 dní podle rizik a účelu. Po uplynutí lhůty musí docházet k automatickému přepsání nebo bezpečnému smazání záznamů. Přístup k exportu záznamů (např. pro policii) jasně upravte v interních pravidlech.

5. Transparentní informování a označení prostor
Všechny monitorované prostory viditelně označte piktogramem kamery a základními informacemi: kdo je správcem, účel zpracování, právní základ, kontaktní údaje, odkaz na podrobné informace (web, recepce). Vytvořte informační memorandum o zpracování osobních údajů kamerovým systémem a zpřístupněte ho zaměstnancům, návštěvníkům i dodavatelům.

6. Interní směrnice a procesy
Vypracujte interní směrnici pro provoz kamerového systému: účely, umístění kamer, technické parametry, doby uchování, přístupová práva, postupy při incidentech, předávání záznamů policii, postup při uplatnění práv subjektů údajů (přístup, výmaz, námitka). Směrnici pravidelně aktualizujte a kontrolujte její dodržování.

7. Školení zaměstnanců
Proškolte zaměstnance, kteří mají k systému přístup, i vedoucí pracovníky. Vysvětlete, co je povoleno a co zakázáno (např. sledování kolegů z osobní zvědavosti, sdílení záznamů na sociálních sítích). Školení pravidelně opakujte a dokumentujte. Ujistěte se, že zaměstnanci vědí, jak reagovat na žádosti subjektů údajů a bezpečnostní incidenty.

8. Best practices pro kamerové systémy a GDPR

• Minimalizujte záběr – snímejte jen to, co opravdu potřebujete.
• Nenahrávejte zvuk, pokud to není nezbytné a obhajitelné.
• Nastavte krátkou a odůvodněnou dobu uchování záznamů.
• Omezte přístupy, používejte silné ověřování a logování.
• Pravidelně aktualizujte zařízení a kontrolujte nastavení.
• Transparentně informujte zaměstnance, návštěvníky i dodavatele.
• Udržujte aktuální interní směrnici a záznamy o činnostech zpracování.
• Pravidelně revidujte účel, nezbytnost a rizika monitoringu.

Výzva k akci:
Začněte řešit soulad kamer s GDPR dnes.