V souvislosti s rozvolňováním opatření se životy nás všech pomalu vrací do normálu. K úplné eliminaci viru a zažehnání potenciálního rizika však ještě nedošlo, a tak se i nadále různá opatření implementují. Jedním z přetrvávajících opatření je instalace termokamer, kterým se budeme věnovat v tomto článku.
Jak funguje termokamera
Pravděpodobně si všichni dokážeme alespoň zhruba představit, jak taková termokamera funguje. Pro účely tohoto článku nepotřebujeme vědět všechny podrobnosti ani posuzovat účelnost a úspěšnost tohoto opatření. Vystačíme si s tím, že termokamera je přístroj, který snímá objekty před sebou a na základě vlastní technologie umožňuje s odchylkami určit jejich teplotu. Zjednodušeně řečeno, termokamera snímá například vchod do budovy a rozpoznává, kdo má zvýšenou tělesnou teplotu a může tak být potenciálně infikován virem covid-19.
V závislosti na technologiích pak můžeme rozlišovat kamery, které (ne)umožňují záznam či identifikaci osoby. Pokud termokamera disponuje rozpoznávací technologií, může to hrát roli při následném zpracování osobních údajů. Pochopitelně je klíčové i samotné umístění kamery i to, zda kamera snímá prostor, který navštěvují výhradně zaměstnanci, či naopak široká veřejnost (například nákupní centra). Pojďme tedy k té nejdůležitější otázce – co na to GDPR?
Co o termokamerách říká ÚOOÚ?
ÚOOÚ se k tematice termokamer vyjádřil dne 12. května 2020, přičemž samotný text předestírá, kolik problematických témat je nutno posoudit a zhodnotit, a to především ve vztahu ke zpracování osobních údajů zaměstnavatelem.
Sám zákoník práce sice ukládá zaměstnavateli povinnost vytvořit bezpečné a zdraví neohrožující pracovní prostředí, předcházet rizikům a podobně. V praxi to však může vést k tomu, že si většina správců osobních údajů řekne: „Pokud máme povinnost ze zákona, budeme data zpracovávat na základě nezbytnosti pro splnění právní povinnosti.“ Citovali by tedy čl. 6 odst. 1 písm. c) GDPR. Nicméně jako pověřenci jistě víte, že tento právní titul lze stěží použít v případě, kdy zákon nestanovuje konkrétní povinnost takové údaje zpracovávat.
Je tedy zřejmé, že tento právní titul použít nemůžeme. Jak správně uvádí ÚOOÚ, v tomto případě by zpracování mělo probíhat na základě nezbytnosti pro splnění oprávněného zájmu správce či třetí osoby (čl. 6 odst. 1 písm. f) GDPR). Zapište si tedy do vašeho to-do listu, že upozorníte správce na fakt, že kromě jiných dokumentů by měl disponovat posouzením samotného oprávněného zájmu.
Zde ovšem povinnosti plynoucí z GDPR nekončí. Údaj o teplotě a následný postup vůči zaměstnanci (umístění do izolace, potvrzení na základě testů…) se dostává na roveň údajů o zdravotním stavu, tedy zvláštní kategorii osobních údajů dle čl. 9 GDPR. Dobře víte, že v případě, kdy zpracováváte „citlivé“ osobní údaje, si nevystačíte s obecným právním titulem, ale potřebujete také splnit dodatečnou podmínku dle čl. 9 GDPR.
ÚOOÚ hovoří o tom, že lze předmětné zpracování schovat pod čl. 9 písm. 2 b) GDPR, který říká, že „zpracování je nezbytné pro účely plnění povinností a výkon zvláštních práv správce nebo subjektu údajů v oblasti pracovního práva a práva v oblasti sociálního zabezpečení a sociální ochrany, pokud je povoleno právem Unie nebo členského státu nebo kolektivní dohodou podle práva členského státu, v němž se stanoví vhodné záruky týkající se základních práv a zájmů subjektu údajů“.
Nemá smysl se pouštět s Úřadem do polemiky a vracet se k diskuzi ohledně nezbytnosti pro splnění právní povinnosti (můžete si povšimnout, že zatímco pro „obyčejný“ právní titul podmínky splněny nejsou, dodatečné podmínky dle čl. 9 splněny jsou). Názor ÚOOÚ v tomto bodě minimálně určuje, jakým směrem se chce při výkladu dát (nechme stranou, že soudy výkladem správních orgánů vázány nejsou).
Jde tedy vůbec o zpracování?
Zásadní otázka, na jejíž odpověď je potřeba širší kontext. Z minulosti víte, že bezzáznamový kamerový systém v drtivé většině nesplňuje definiční podmínky pro zpracování a GDPR se tedy neuplatní. Je tomu ale tak i v tomto případě? Lze vyloučit, že bude docházet ke zpracování osobních údajů s poukazem na to, že záznam nebude ukládán?
Problém spočívá v tom, že zdrojem osobních údajů zde není samotný kamerový záznam, ale například záznam v docházce o tom, že zaměstnanec je v karanténě, byl poslán k lékaři, uzavřel dohodu o práci z domova či se ho týkají jakákoli jiná opatření, která svědčí o tom, že zaměstnavatel jedná se zaměstnancem jako s potenciálně infikovaným.
Zjednodušeně řečeno, nevpuštěním zaměstnance do budov zpracování osobních údajů nekončí, ale naopak začíná, protože zaměstnavatel musí na vzniklou situaci reagovat. Zkuste si sami představit, jaké kroky byste jako zaměstnavatel podnikli v momentě, kdy máte podezření, že je váš zaměstnanec infikován. Kamerový systém nemusí být původcem informace o zpracování osobních údajů, je jím až samotný přístup zaměstnavatele ke svému zaměstnanci jakožto k potenciálně nakaženému.
Přelomový názor ÚOOÚ?
ÚOOÚ jistě mohl problémy se zpracováním ještě blíže vysvětlit, aby nedocházelo k chybné interpretaci, co je a co není zpracování. Úřad se taktéž vyhnul specifickým situacím, které v praxi trápí nás všechny. Není například jasné, jak postupovat, když daná osoba není vaším zaměstnancem (ať už jde o návštěvu, nebo protože jste například nákupní centrum). S tím už si budeme muset v praxi poradit my.
Článek byl publikován v Elektronickém zpravodaji pro pověřence ze dne 28. 5. 2020