GDPR a kamerové systémy

Ak kamera spracúva údaje o identifikovateľných osobách a nejde o zákonnú výnimku, treba riešiť GDPR. Pred spustením určte účel, právny základ, potrebný rozsah záberu, dobu uchovávania, informovanie osôb a zabezpečenie prístupu. Samotná kúpa kamery ani dokument nazvaný „GDPR smernica“ nezaručujú súlad.

GDPR, nariadenie (EÚ) 2016/679, sa uplatňuje od 25. mája 2018. Pri kamerách je rozhodujúce, aké osobné údaje sa spracúvajú, na aký účel a v akom kontexte. Pravidlá sa môžu týkať aj živého obrazu bez ukladania záznamu. Pozrite si úplné znenie GDPR.

Nie každé monitorovanie priestorov kamerovým systémom spadá do pôsobnosti nariadenia GDPR. V prípade, ak fyzické osoby nie je možné prostredníctvom kamerového systému identifikovať, nejde o spracovateľskú operáciu s osobnými údajmi, a v takom prípade monitorovanie priestorov nepodlieha právnej úprave nariadenia GDPR. Pod úpravu nariadenia GDPR nepatria ani „atrapy" kamier alebo nefunkčné kamery, ktoré slúžia na odstrašenie potenciálneho páchateľa, pretože prostredníctvom takýchto nefunkčných kamier fakticky nedochádza k spracúvaniu osobných údajov dotknutých osôb.

GDPR kamerový systém – výnimka pre domáce spracúvanie

Typickým príkladom spadajúcim do „domácej výnimky" je monitorovanie okolia rodinného domu a priľahlého pozemku vo vlastníctve súkromnej osoby. Ide o monitorovanie neverejných priestorov. Neverejné priestory sú také, do ktorých nie je možné vstupovať bez pozvania vlastníka. V prípade, ak kamerový systém systematicky monitoruje susedný pozemok, prípadne verejné priestranstvo (chodník, ulicu) mimo súkromného pozemku, domáca výnimka sa neuplatní a prevádzkovateľ kamerového systému je povinný plniť povinnosti podľa nariadenia GDPR.

Zákonnosť spracúvania pri monitorovaní kamerovým systémom

Kedy môžeme hovoriť o skutočnej potrebe prevádzkovateľa monitorovať priestory kamerovým systémom? Každý, kto používa kamerový systém, by mal spĺňať zásady minimalizácie údajov podľa čl. 5 ods. 1 písm. c) všeobecného nariadenia o ochrane údajov, ktorý vyjadruje povinnosť prevádzkovateľa spracúvať iba osobné údaje primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú. Účelov spracúvania môže byť viacero, napríklad ochrana majetku prevádzkovateľa, ochrana zdravia osôb v monitorovaných priestoroch alebo predchádzanie páchaniu protiprávnych konaní.

Pred inštaláciou kamerového systému treba zvážiť, či neexistujú iné, menej rušivé metódy spracúvania, na základe ktorých by bolo možné dosiahnuť sledovaný účel – napríklad inštalácia iných bezpečnostných prvkov alebo zariadení, ako oplotenie priestorov, alarm, bezpečnostné dvere či fyzická bezpečnostná služba. Osobné údaje z kamerového informačného systému (KIS) musia byť spracúvané spôsobom, ktorý prostredníctvom primeraných technických a organizačných opatrení zaručuje primeranú bezpečnosť osobných údajov. Za dodržiavanie základných zásad spracúvania osobných údajov a ich súlad je zodpovedný prevádzkovateľ, a je povinný tento súlad na požiadanie úradu preukázať.

Doba uchovávania záznamu

Doba uchovávania sa určuje podľa nevyhnutnosti na konkrétny účel, nie podľa veľkosti disku. GDPR neurčuje jednu univerzálnu lehotu pre všetky kamery. Prevádzkovateľ má lehotu odôvodniť, nastaviť výmaz a pravidelne prehodnocovať potrebu uchovávania. Záznam konkrétneho incidentu možno uchovávať oddelene, ak na to existuje odôvodnený účel a právny základ.

Ako označiť priestor monitorovaný kamerami v súlade s GDPR?

Praktický výklad pravidiel poskytujú usmernenia EDPB č. 3/2019 o kamerových zariadeniach. Slovenský úrad upozorňuje, že ide o výklad existujúceho GDPR, nie o nové nariadenie.

Osoba má dostať informácie ešte pred vstupom do monitorovaného priestoru. Viditeľné označenie prvej vrstvy doplňte dostupnými úplnými informáciami podľa článku 13 GDPR. Uveďte identitu a kontakt prevádzkovateľa, účel a ďalšie povinné údaje. Kontakt na zodpovednú osobu sa uvádza, ak je určená; povinnosť určiť ju nevzniká automaticky každému, kto používa kameru, ale posudzuje sa najmä podľa článku 37 GDPR.

Dopady pri nesúlade s GDPR

V súvislosti s GDPR sú často skloňované sankcie a pokuty, ktoré môžu dosiahnuť závratnú výšku až do 20 mil. eur, a často sú pre prevádzky likvidačné. Podľa GDPR a zákona o ochrane osobných údajov musí úrad pri rozhodovaní o uložení pokuty a určení jej výšky zohľadniť najmä:

• povahu, závažnosť a trvanie porušenia, rozsah alebo účel spracúvania osobných údajov, ako aj počet dotknutých osôb, na ktoré malo vplyv, a rozsah škody, ak vznikla,
• prípadné zavinenie porušenia ochrany osobných údajov – teda úmyselný alebo nedbanlivostný charakter porušenia,
• mieru zodpovednosti prevádzkovateľa alebo sprostredkovateľa so zreteľom na technické a organizačné opatrenia, predchádzajúce porušenia ochrany osobných údajov z ich strany,
• mieru spolupráce s úradom pri náprave porušenia a zmiernení jeho možných nepriaznivých dôsledkov,
• spôsob, akým sa úrad o porušení dozvedel – najmä, či ho prevádzkovateľ alebo sprostredkovateľ oznámili, a ak áno, v akom rozsahu.

Kontrola dodržiavania ustanovení GDPR a zákona o ochrane osobných údajov môže nastať z podania osoby alebo z vlastnej vôle úradu. Úrad môže vykonať kontrolu na základe plánu kontrol, na základe podozrenia z porušenia povinností (preveruje sa aj anonymné udanie) alebo v rámci konania o ochrane osobných údajov.

Oficiálne zdroje a súvisiace riešenia

• GDPR: články 2, 5, 6, 13, 32 a 37
• ÚOOÚ SR: upozornenie ku kamerovým systémom
• ÚOOÚ SR: domáca výnimka a informovanie

Technické riešenia: kamerové systémy, bytové domy a firmy.

Najčastejšie otázky o GDPR a kamerách

Tento článok slúži na všeobecnú orientáciu a nenahrádza individuálne právne poradenstvo – konkrétny prípad (najmä pri firmách a bytových domoch) odporúčame vždy konzultovať aj so zodpovednou osobou alebo právnikom.