1.170
Pokyny 3/2019 ke zpracování osobních údajů prostřednictvím video zařízení
Mgr. Mgr. Radana Burešová
Při svém 12. plenárním zasedání Evropský sbor pro ochranu osobních údajů (dále jen "EDPB") dne 10. července 2019 schválil návrh Guidelines 3/2019 on processing of personal data through video devices ve znění určeném pro veřejnou konzultaci.
Úřad pro ochranu osobních údajů (dále jen "ÚOOÚ") v srpnu 2019 zveřejnil neoficiální český překlad tohoto dokumentu nazvaný " Pokyny 3/2019 ke zpracování osobních údajů prostřednictvím video zařízení " (dále jen "Pokyny"). Níže uvedené výklady vycházejí z české verze Pokynů.
Přestože se ještě nejedná o konečnou verzi Pokynů, lze mít za to, že definitivní text se od verze předložené k veřejné konzultaci (lhůta pro podání připomínek skončila 9. září 2019) nebude zásadně lišit.
Obecně lze konstatovat, že zveřejněné Pokyny nepředstavují žádnou zásadní změnu oproti dosavadnímu přístupu příslušných orgánů, v jednotlivostech se však jedná o určité zpřísnění dosavadní (české) praxe, a to zejména při posuzování, zda vůbec lze přistoupit k monitorování prostřednictvím videozařízení.
Není bez zajímavosti, že při témže plenárním zasedání EDPB přijal stanovisko k návrhu seznamu operací zpracování osobních údajů , která nepodléhají posouzení vlivu na ochranu osobních údajů, předloženému Úřadem. EDPB ve svém stanovisku (Opinion 11/2019 on the draft list of the competent supervisory authority of the Czech Republic regarding the processing operations exempt from the requirement of a data protection impact assessment ( Article 35(5) GDPR ) uvádí několik doporučení, nicméně pouze u jednoho bodu navrhuje přímo vypuštění ze seznamu zpracování, na které se má vztahovat výjimka, a to u kamer používaných v automobilech za účelem dokumentace případných dopravních nehod.
Pokyny se věnují celé řadě témat a jsou doplněny praktickými případy uplatňování zásad, které jsou v nich uvedeny.
NahoruLegitimní provádění monitorování
Na prvním místě jsou uvedeny případy, na které se Pokyny (resp. GDPR) vůbec nevztahují. Jedná se zejména o případy, na které se vztahuje tzv. domácí výjimka – zpracování pro osobní nebo domácí potřebu podle čl. 2 odst. 2 písm. c) GDPR. Zde je třeba mít na paměti, že tato výjimka se vztahuje např. na snímky a záznamy pořizované při dovolené za účelem jejich ukázání rodině, popř. přátelům, nikoli však na jejich umístění na internet (facebook apod.), kde by byly přístupné blíže neurčenému okruhu osob. Na takovéto zpracování osobních údajů se GDPR, a tedy i Pokyny, již vztahují.
Dalším případem provozování kamerových systémů, na které se GDPR ani Pokyny nevztahují, je takové monitorování, při němž jsou snímky/záznamy (záměrně) pořizovány v takové kvalitě, že na jejich základě není možné identifikovat konkrétní osoby. Zpravidla se jedná o snímky, které jsou pořízeny z takové vzdálenosti/výšky, že nelze rozeznat obličeje zachycených osob.
Např. u fotografií z dovolené uvedených výše se tzv. domácí výjimka podle Pokynů nevztahuje na záběry veřejných prostranství, kde se pohybují i jiné osoby, nicméně GDPR (resp. Pokyny) se na ně nevztahují na základě druhé uvedené výjimky, a to za předpokladu, že tyto jiné osoby na snímcích nejsou identifikovatelné.
Pokyny naopak nerozlišují podle toho, zda jsou v rámci monitorování pořizovány záznamy, či nikoli. Úřad totiž ve své praxi dosud vycházel z toho, že pokud není pořizován záznam, o zpracování osobních údajů se automaticky nejedná. Pokyny naopak vycházejí z toho, že monitorování bez pořizování záznamu (tj. sledování v reálném čase) může představovat dokonce ještě větší zásah do soukromí než pořizování záznamu (bod 29 Pokynů).
Nadále je třeba vycházet z toho, že kamerové systémy lze používat pouze tehdy, pokud je jejich použití nezbytné a zákonné.
NahoruNezbytné zpracování
Nezbytné je zpracování osobních údajů za pomoci videozařízení zejména tehdy, jestliže je nelze nahradit jinými prostředky, např. osobním dohledem (bezpečnostní agentura), oplocením či jiným fyzickým zabezpečením nebo např. speciálním nátěrem proti graffiti, a pokud dané videozařízení nezabírá více než jen naprosto nezbytnou plochu, nejlépe ve vlastnictví provozovatele kamerového systému. Záběry veřejných prostranství je již třeba posuzovat individuálně a je nutné se jim, pokud možno, vyhnout.
NahoruZákonné zpracování
Zákonné je zpracování, u něhož je dán důvod zpracování upravený v čl. 6 odst. 1 GDPR, v praxi nejčastěji v jeho písm. f), tj. pokud je zpracování nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany a zároveň před těmito zájmy nemají přednost zájmy jiných osob, zejména dětí.
Pod tento důvod spadá nejčastější příčina využívání kamerových systémů – ochrana zdraví a majetku. Podle Pokynů však tento důvod nelze uplatnit automaticky, nýbrž jen v odůvodněných případech. Tedy nikoli jen proto, že se např. v obchodech obecně krade, nýbrž proto, že v daném obchodě v minulosti již ke krádežím došlo a hrozí jejich opakování. Dostatečným důvodem není např. ani celostátní statistika trestné činnosti a z ní vyplývající riziko vzniku škody. Podle Pokynů lze za dostatečné považovat pouze to, že takové nebezpečí plyne z konkrétních okolností, tedy např. ze statistiky trestné činnosti v blízkém okolí dané provozovny, popř. z toho, že se jedná o typ podniku, který je častým terčem útoků (typicky klenotnictví, čerpací stanice).
Vždy musí být posouzena závažnost oprávněných zájmů potenciálního provozovatele kamerového systému ve vztahu k zájmům třetích osob, jelikož monitorování prostřednictvím kamer představuje značný zásah do soukromí. Například u výše zmíněných kamer v automobilech, toto zvážení podle Pokynů v zásadě vyznívá v neprospěch jejich provozování ("[...] je důležité zajistit, aby tato kamera nezaznamenávala nepřetržitě provoz, stejně tak jako osoby poblíž silnice. V opačném případě zájem mít kamerový záznam jako důkaz ve spíše teoretickém případě dopravní nehody nemůže odůvodnit závažný zásah do práv subjektu údajů."; bod 34 Pokynů).
Z hlediska vyvažování zájmů je rovněž nutno vzít v potaz důvodná očekávání subjektů údajů. Podle Pokynů je v tomto ohledu nejdůležitějším kritériem okolnost, zda třetí strana může objektivně důvodně očekávat a dovodit, že bude v dané konkrétní situaci subjektem sledování. Toto kritérium Pokyny vykládají značně restriktivně, když kromě míst, jako jsou toalety, tzn. místa, kde v zásadě nelze očekávat monitorování, resp. kde lze očekávat, že tam k monitorování nedochází, označují veřejné prostory, zejména ty, které jsou typicky využívány k odpočinku, regeneraci nebo volnočasovým aktivitám, stejně jako místa, kde se jednotlivci zdržují nebo komunikují, jako jsou prostory k sezení, stoly v restauraci, parky, kina a fitnesscentra. Z bodu 39 Pokynů pak plyne, že okolnost, že je daný prostor označen jako monitorovaný, není z hlediska důvodných očekávání relevantní.
V této souvislosti je vhodné zmínit rovněž možnost předat pořízené záznamy třetím osobám, zejména policii. Z Pokynů plyne, že takovéto předání je na místě v případě, kdy je k němu vlastník záznamu policí vyzván, jelikož pak plní svou zákonnou povinnost. Naopak případy, kdy pořizovatel záznam předá policii z vlastní iniciativy, mohou být podle Pokynů sporné a vlastník záznamu musí před jeho předáním polici posoudit, zda jsou splněny podmínky uvedené…
