Kamery u pokladen = nezákonný zásah do soukromí

Máte na pracovišti kamery? A máte je i u pokladny? Dejte si pozor, aby nesnímaly zákazníky při platbě za nákup! Společnost IKEA nainstalovala kamerové systémy u svých pokladen a nyní čelí pokutě ve výši 1,5 milionu eur.

S kamerami se v současné době potkáváme na každém kroku – u vchodů do domů, v MHD, u bankomatů či na chodbách škol a na pracovištích. Snímání pomocí kamer z důvodu bezpečnosti se však často zvrhne v nepřiměřený zásah do soukromí, což potvrdil i rakouský dozorový orgán a spolkový správní soud v případě společnosti IKEA. Ta ve své prodejně provozovala devět kamer, přičemž některé z nich nesplňovaly požadavky GDPR. Rakouský dozorový orgán proto udělil společnosti pokutu, kterou následně potvrdil spolkový soud. V čem tedy tyto orgány spatřovaly problém?

Pozadí případu

Rakouský dozorový úřad zahájil řízení po anonymní stížnosti na společnost IKEA, která provozovala celkem devět kamer nacházejících se uvnitř prodejny i před ní. Dozorový úřad zjistil, že v období od března do minimálně května 2022 kamery snímaly nejen běžný provoz, ale také platební transakce – včetně momentů, kdy zákazníci zadávali PIN kódy ke svým platebním kartám při placení nákupů u pokladen. Odhadem bylo zachyceno přibližně 637 zadání PIN kódů.

Dle rakouského dozorového úřadu dané zpracování překračovalo meze toho, co bylo nezbytné pro zamýšlený účel, bez relevantního právního základu a v rozporu se zásadou korektnosti a minimalizace údajů. Rakouský dozorový úřad tak rozhodl, že společnost IKEA v pozici správce osobních údajů porušila čl. 5 odst. 1 písm. a) a c) GDPR) a též čl. 6 odst. 1 písm. f) GDPR. V důsledku toho byla společnosti uložena pokuta ve výši 1,5 milionu eur (přibližně 37,5 milionu korun českých) zvýšená o 150 tisíc eur za procesní náklady.

Odvolání společnosti IKEA

Společnost IKEA se proti rozhodnutí rakouského dozorového úřadu odvolala k rakouskému spolkovému správnímu soudu. Tvrdila, že některé záznamy neobsahovaly identifikovatelné osobní údaje a že část zákazníků PIN kód nezadávala či jej kryla rukou. Použití kamer odůvodňovala bezpečností a prevencí incidentů. Zpochybnila i výši pokuty, která byla dle společnosti nepřiměřeně vysoká, jelikož při jejím výpočtu dozorový úřad nesprávně zohlednil obrat mateřské společnosti.

Společnost IKEA tak navrhovala, aby bylo rozhodnutí rakouského dozorového úřadu v plném rozsahu zrušeno, případně aby byla sankce snížena na napomenutí nebo alespoň aby byla pokuta upravena na přiměřenou výši.

Kamery snímaly zákazníky při zadávání PIN kódu k platební kartě

Rozhodnutí odvolacího soudu

Rakouský spolkový správní soud odvolání částečně vyhověl a částečně jej zamítl. Z devíti používaných kamer uznal za zákonné pouze dvě, jejichž záběry a účel považoval za přiměřené. U zbylých kamer však soud potvrdil závěry rakouského dozorového orgánu. Porušení zásady zákonnosti dle čl. 5 odst. 1 písm. a) a čl. 6 odst. 1 písm. f) GDPR spatřoval soud v tom, že společnost IKEA nedisponovala platným právním základem pro zpracování osobních údajů. Společnost se totiž opírala o oprávněný zájem na ochraně majetku, bezpečnosti zaměstnanců a zákazníků a plnění povinností v oblasti bezpečnosti provozu. Soud ale uvedené zájmy neuznal jako převažující nad základními právy na soukromí desítek tisíc dotčených osob.

Zásada minimalizace dle čl. 5 odst. 1 písm. c) GDPR byla porušena tím, že záběry z kamer pokrývaly vysoce frekventované prostory a zachycovaly citlivé chování zákazníků, včetně snímání zadávání PIN kódů jednou z kamer. Navíc nebyla zavedena dostatečná časová omezení snímání kamerami. Soud zdůraznil, že sledování pomocí kamer je nezbytné pouze částečně, protože jsou k dispozici mírnější alternativní opatření, jako je například posílení ostrahy, kvalitní osvětlení či fotodokumentace až po vzniku incidentu. Riziko trestných činů nebo incidentů je navíc příliš nízké na to, aby ospravedlnilo tak široké sledování.

Dle čl. 83 GDPR a judikatury Soudního dvora EU lze pokutu udělit pouze za úmyslné či nedbalostní jednání. Soud přitom zhodnotil, že společnost IKEA jednala s hrubou nedbalostí tím, že provozovala kamery, aniž by zajistila dostatečná bezpečnostní opatření či zakrytí citlivého chování zákazníků, a neodstranila problémy ani poté, co byly identifikovány. Soud zdůraznil, že kamery byly aktivovány před zajištěním souladu s GDPR a že identifikované nedostatky nebyly řešeny po celé týdny.

Závěr odvolacího soudu

Z důvodu uvedených porušení soud pokutu potvrdil. Zohlednil přitom širší rozsah protiprávního jednání, hrubou nedbalost, délku porušování a ekonomickou sílu skupiny IKEA, jejíž obrat dosáhl v předchozím roce 44,3 miliardy eur. Soud tak shledal pokutu ve výši 1,5 milionu eur přiměřenou a poznamenal, že představuje pouze 0,21 procenta ročního obratu společnosti, což je výrazně pod čtyřprocentním maximem povoleným dle čl. 83 GDPR. Na rozdíl od rakouského dozorového orgánu však soud rozhodl, že společnost nemusí hradit náklady řízení.

Alternativou ke kamerám může být posílení ostrahy, kvalitní osvětlení či fotodokumentace po vzniku incidentu

Poučení pro české správce

Zpracování osobních údajů pomocí kamer není samo o sobě zakázáno. Kamery mohou být legitimním a užitečným způsobem pro zajištění bezpečnosti osob i majetku, musejí ale respektovat ochranu soukromí snímaných osob a pravidla GDPR. Kamery by neměly být nasazovány bez jasně vymezeného účelu a tomu odpovídajícímu platnému právnímu základu. Kamery dále nesmějí snímat to, co není pro stanovený účel nutné, snímané osoby musejí být o použití kamer transparentně informovány, a pokud kamery umožňují záznam, musí být tento uchováván pouze po stanovenou přiměřenou dobu. Každý správce osobních údajů by navíc měl při nasazování kamer zavést dostatečná bezpečnostní opatření. Jinými slovy je při nasazování kamer nejdříve potřeba zhodnotit rizika a zásah do soukromí snímaných osob a až poté kamery spustit.

Článek byl publikován v Elektronickém zpravodaji pro pověřence