GDPR vs. kamery (nejen) ve služebních vozech

Máte ve služebních vozech nainstalované kamery? Pozor na GDPR. Kamery totiž zpracovávají osobní údaje a mohou zasahovat do soukromí zaměstnance. Zpozornět by měli i majitelé osobních vozů, kteří se chystají do zahraničí.

Léto se pomalu chýlí ke konci, a přestože část zaměstnanců ještě čeká poslední letní dovolená, většina z nich už se vrací do běžného pracovního režimu, případně za volant služebního vozu. V tomto článku se proto zaměříme na poměrně rozšířený fenomén – kamery (nejen) ve služebních vozidlech a jak na ně pohlíží GDPR.

Kamery se v poslední době stávají běžnou součástí vybavení všech řidičů. Je to totiž skvělý nástroj, který může sloužit jako prevence proti krádežím, ochrana před neoprávněným jednáním zaměstnanců či jiných osob, ale i jako důkazní prostředek při nehodách. Tyto kamery jsou dnes extrémně dostupné a prakticky kdokoliv si je může za relativně malé peníze pořídit, takže bývají v praxi hojně využívané.

Jak ale asi tušíte, jejich instalace má svá pravidla. ÚOOÚ ve své Metodice k návrhu a provozování kamerových systémů (ke stažení zde) stanoví pravidla pro používání kamerových systémů, a to včetně kamer zejména ve služebních vozidlech. Právě v těchto případech totiž může docházet (a také dochází) ke zpracování osobních údajů, které musí být v souladu s právními předpisy, zejména s GDPR.

Kamera ve služebním voze zasahuje do soukromí zaměstnance i dalších osob

Odlišná pravidla v různých zemích

Než se pustíme do obecných východisek, musíme upozornit na určité rozdíly napříč EU. V některých zemích je totiž nasazení kamer do vozidel dokonce zakázáno, jako například v Portugalsku. V Belgii, Lucembursku, Německu, Švýcarsku či Rakousku je to přinejmenším problematické, neboť jejich užití je velmi často striktně omezeno na osobní účely, a to ještě s nutností rozmazání některých parametrů. Pokud se tedy chystáte na dovolenou svým soukromým vozem (kdy se o zpracování osobních údajů jednat spíše nebude), měli byste se ujistit, že vás někde po cestě nečeká možná pokuta.

V České republice žádný zákaz či specifickou regulaci nemáme, je však potřeba pečlivě dodržovat všechna opatření pro zamezení zásahu do soukromí v případě, že kameru nepoužíváte pro své soukromé účely. Mezi případy použití pro soukromé účely nelze řadit kamery ve firemních vozech ani případy, kdy dále nakládáte se záznamem jiným způsobem než pro účely případných škod či souvisejících řízení (například pokud máte kanál na YouTube, kde zveřejňujete svoje zážitky z cest po českých silnicích).

Když zaměstnavatel instaluje kameru do služebního vozidla, dochází k snímání pohybu, chování i lokace osob, většinou zaměstnanců. To už samo o sobě představuje zásah do soukromí a může mít výrazný dopad na práva dotčených osob. ÚOOÚ proto upozorňuje, že zpracování pomocí kamer ve služebním vozidle musí být v souladu se zásadami GDPR a musí být tedy především korektní, zákonné a transparentní. Dále musí být dodržena minimalizace zpracovávaných údajů či jejich uchovávání pouze po nezbytně nutnou dobu. Také je potřeba myslet na zabezpečení osobních údajů pomocí bezpečnostních opatření. Jak tedy správně nasadit kamery do služebních vozidel, aniž by došlo k porušení GDPR?

Účel zpracování

Při nainstalování kamer do služebních automobilů dochází, jak již bylo zmíněno, ke zpracovávání osobních údajů snímaných osob, v tomto případě zejména zaměstnanců (ale i ostatních účastníků provozu). Osobní údaje subjektů údajů jsou přitom nejčastěji zpracovávány za účelem:

• zvýšení ochrany majetku (krádež, vloupání, vandalismus);

• zvýšení bezpečnosti osob a ochrany života a zdraví osob;

• prevence mimořádných událostí;

• získávání důkazního materiálu pro příslušné odpovědné orgány (soudy a Policie ČR v případě trestných činů, obecní úřady v případě řešení přestupků);

• získávání materiálu pro řešení pojistných událostí.

Pokud se zaměstnavatel rozhodne zavést kamery do služebních automobilů, musí konkrétně určit, pro jaký účel to bude. Kamery tedy nelze instalovat jenom „pro jistotu“, ale musí být stanoven konkrétní účel, kterému mají kamery sloužit. Jinak totiž můžete mít problém v rámci dalšího kroku.

Právní základ zpracování

Typickým právním základem pro zpracovávání osobních údajů prostřednictvím kamer je oprávněný zájem správce dle čl. 6 odst. 1 písm. f) GDPR (žádný jiný prakticky nepřipadá v praxi v úvahu). Pokud se zaměstnavatel v pozici správce údajů rozhodne, že bude zpracovávat údaje na základě oprávněného zájmu, musí vždy ještě před zahájením zamýšleného zpracování provést komplexní posouzení, takzvaný balanční test, jehož cílem je porovnat, zda má oprávněný zájem správce přednost před zájmy nebo základními právy a svobodami subjektů údajů – ale také zda stejného či lepšího účinku nemůže dosáhnout méně invazivním způsobem.

Proto by měl zaměstnavatel v pozici správce při provádění balančního testu postupovat podle následujících čtyř kroků:

1. doložit existenci reálného ohrožení, kterému mají kamery ve služebních autech zabránit;

2. posoudit možnosti dosažení účelu jinými prostředky dle kritéria potřebnosti;

3. posoudit nezbytnost nasazení kamer dle kritéria vhodnosti;

4. posoudit přiměřenost zpracování osobních údajů dle kritéria poměřování, kdy správce posoudí, zda jeho oprávněné zájmy (například ochrana majetku) převažují nad zájmy, základními právy nebo svobodami subjektů, jejichž údaje jsou prostřednictvím kamer zpracovávány.

Při zvažování právního titulu vás může napadnout i zpracování na základě souhlasu dotčeného subjektu dle čl. 6 odst. 1 písm. a) GDPR. ÚOOÚ je však po právu v tomto ohledu zdrženlivý a zpracování údajů skrze kamery na základě souhlasu nedoporučuje. Souhlas lze v tomto ohledu uplatnit zcela výjimečně, a to v případech, kde není možné provozovat kamery na jiném právním základě, a pouze tam, kde je možné vymezit okruh monitorovaných osob. Jak však dobře víte, v pracovněprávních vztazích je zpracování údajů na základě souhlasu samo o sobě problematické. Z důvodu nerovného postavení zaměstnance vůči zaměstnavateli není totiž ve většině případů souhlas zaměstnance považován za svobodný.

Nad rámec našich úvah by zřejmě bylo možné zvážit i jiný titul jako například nezbytnost zpracování pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce, nebo nezbytnost zpracování pro splnění právní povinnosti, jež se na správce vztahuje. V tomto ohledu přichází v úvahu plnění povinností například na základě zákona o Policii ČR, o obecní policii, o celní správě či o ochraně utajovaných informací a o bezpečnostní způsobilosti. V případě nasazení kamery do služebního vozidla zaměstnavatelem však ve většině případů nebudou tyto právní tituly použitelné, a musí se tak doložit oprávněný zájem, jak je popsáno výše.

Míra zásahu do soukromí a bezpečnostní opatření

Míru zásahu do soukromí v případě kamer v automobilech ovlivňuje dle ÚOOÚ několik faktorů. Nezbytně nutný rozsah zpracování osobních údajů je potřeba určit dle nastavení kamerového systému, který bývá analyzován v rámci balančního testu. Faktory určující míru zásahu do soukromí jsou následující:

• počet a umístění kamer (zda je snímána pouze přední část, nebo i zadní část vozidla, alternativně i kabina);

• nastavení záběru kamer;

• režim kamerového záznamu;

• deaktivování některých funkcí kamer a dalších součástí kamerového systému (například pohyb či otáčení kamer, použití transfokátoru, rádiový přenos dat, pořizování zvukových záznamů, pořizování biometrických charakteristik);

• doba uložení kamerového záznamu.

Zaměstnavatel v pozici správce musí na základě uvedených faktorů určit míru porušení práv a zájmů subjektů údajů, na základě níž přijme odpovídající technická a organizační opatření. Posouzení míry zásahu do soukromí by měl obsahovat balanční test a kamery by měly být rozděleny do skupin, které ÚOOÚ obecně uvádí jako příklad a jež je vhodné si připomenout:

• malý zásah představují například kamery bez záznamu (v režimu online) či kamery na místech, kam subjekty údajů obvykle nevstupují;

• střední zásah představují kamery, jež monitorují prostor, kde může být zachyceno chování subjektů údajů;

• vysoký zásah představuje například monitoring šaten v saunách, některých prostorů bazénů, prostorů pokladen, čekáren zdravotnických zařízení či výtahů;

• velmi vysoký zásah představuje například prosté monitorování citlivých prostor, jako jsou riziková pracoviště jednotlivých úřadů, dále biometrické kamerové záznamy, pořizování zvuku či pořizování polohy subjektů údajů při pohyblivých kamerách.

Obecně platí, že čím větší zásah do soukromí, tím přísnější podmínky a tím pečlivěji musí správce záznam odůvodnit a omezit. U kamer v automobilech jde přitom dle ÚOOÚ ve většině případů o střední míru zásahu.

Kamery ve služebních vozech nelze zpravidla podložit souhlasem zaměstnance

Jak dlouho a kde uchovávat záznamy?

Pokud kamery v automobilech umožňují uchovávání záznamů, je nezbytné, aby byly uchovávány jen po nezbytně dlouhou dobu přiměřenou účelu. Dle ÚOOÚ by ve většině případů měla postačovat doba uchování do 72 hodin. Pokud by byla doba uchování obrazových záznamů delší než 72 hodin, musí zaměstnavatel v pozici správce dbát na uvedení jasných důvodů, proč je nezbytná delší doba uchování.

Práva subjektů údajů

Zaměstnavatel v pozici správce by neměl zapomínat také na zajištění práv subjektů údajů, zejména by měl zaměstnance informovat o tom, že jejich osobní údaje budou skrze kamery v automobilu zpracovávány, jakým způsobem, za jakým účelem, na jakém právním základě, jak dlouho budou uchovávány, kdo k nim bude mít přístup a jaká mají zaměstnanci práva (například právo na přístup k údajům, námitku či výmaz).

Kamery nejsou nástroj pro sledování

Kamery ve služebních autech mohou být užitečným nástrojem, pokud jde o ochranu majetku či vyšetřování nehod. Nesmí se z nich ale stát nástroj pro permanentní dohled nad zaměstnanci. Kamerový záznam totiž vždy znamená zásah do soukromí a musí splňovat požadavky GDPR. Jako vodítko pro zaměstnavatele může sloužit zmíněná metodika ÚOOÚ ke kamerám.

A pokud jste zaměstnanec, který se právě chystá na výjezd služebním vozem, všimněte si, co je v autě namontováno, kdo k záznamu přistupuje a jak dlouho se uchovává. Stejně tak by měl zpozornět i kdokoliv jiný, kdo si myslí, že osobní údaje z povahy věci nezpracovává, nicméně tyto technologie používá a chystá se do zahraničí.

Článek byl publikován v Elektronickém zpravodaji pro pověřence