Kamerový systém podlieha GDPR vždy vtedy, keď dokáže identifikovať konkrétnu osobu – teda takmer pri každom bežnom kamerovom systéme mimo úzkej "domácej výnimky" (monitorovanie len vlastného súkromného pozemku). Záznam sa má podľa odporúčania Európskeho výboru pre ochranu osobných údajov uchovávať spravidla 1 až 5 dní, priestor treba označiť piktogramom vo výške očí pred vstupom, a za nesúlad hrozí pokuta až do 20 miliónov eur.
S technickými vymoženosťami sa rozšírilo monitorovanie objektov kamerovým systémom, ktoré je dnes už pomerne bežnou činnosťou. Je však potrebné myslieť na to, že každý kamerový systém na monitorovanie priestoru – bez ohľadu na to, či slúži na monitorovanie okolia domu, firmy či súkromných priestorov, kde je umožnený vstup verejnosti – musí spĺňať kritériá dané Nariadením Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov. Zákon prešiel modernizáciou 25. mája 2018. Od tohto dňa má každá spoločnosť alebo organizácia povinnosť dodržiavať pravidlá a požiadavky ochrany osobných údajov podľa GDPR.
Nie každé monitorovanie priestorov kamerovým systémom spadá do pôsobnosti nariadenia GDPR. V prípade, ak fyzické osoby nie je možné prostredníctvom kamerového systému identifikovať, nejde o spracovateľskú operáciu s osobnými údajmi, a v takom prípade monitorovanie priestorov nepodlieha právnej úprave nariadenia GDPR. Pod úpravu nariadenia GDPR nepatria ani „atrapy" kamier alebo nefunkčné kamery, ktoré slúžia na odstrašenie potenciálneho páchateľa, pretože prostredníctvom takýchto nefunkčných kamier fakticky nedochádza k spracúvaniu osobných údajov dotknutých osôb.
Váš kamerový systém by ste mali spustiť do prevádzky až vtedy, keď budete mať vypracovanú GDPR smernicu, inak porušujete zákon.
GDPR kamerový systém – výnimka pre domáce spracúvanie
Typickým príkladom spadajúcim do „domácej výnimky" je monitorovanie okolia rodinného domu a priľahlého pozemku vo vlastníctve súkromnej osoby. Ide o monitorovanie neverejných priestorov. Neverejné priestory sú také, do ktorých nie je možné vstupovať bez pozvania vlastníka. V prípade, ak kamerový systém systematicky monitoruje susedný pozemok, prípadne verejné priestranstvo (chodník, ulicu) mimo súkromného pozemku, domáca výnimka sa neuplatní a prevádzkovateľ kamerového systému je povinný plniť povinnosti podľa nariadenia GDPR.
Zákonnosť spracúvania pri monitorovaní kamerovým systémom
Kedy môžeme hovoriť o skutočnej potrebe prevádzkovateľa monitorovať priestory kamerovým systémom? Každý, kto používa kamerový systém, by mal spĺňať zásady minimalizácie údajov podľa čl. 5 ods. 1 písm. c) všeobecného nariadenia o ochrane údajov, ktorý vyjadruje povinnosť prevádzkovateľa spracúvať iba osobné údaje primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú. Účelov spracúvania môže byť viacero, napríklad ochrana majetku prevádzkovateľa, ochrana zdravia osôb v monitorovaných priestoroch alebo predchádzanie páchaniu protiprávnych konaní.
Pred inštaláciou kamerového systému treba zvážiť, či neexistujú iné, menej rušivé metódy spracúvania, na základe ktorých by bolo možné dosiahnuť sledovaný účel – napríklad inštalácia iných bezpečnostných prvkov alebo zariadení, ako oplotenie priestorov, alarm, bezpečnostné dvere či fyzická bezpečnostná služba. Osobné údaje z kamerového informačného systému (KIS) musia byť spracúvané spôsobom, ktorý prostredníctvom primeraných technických a organizačných opatrení zaručuje primeranú bezpečnosť osobných údajov. Za dodržiavanie základných zásad spracúvania osobných údajov a ich súlad je zodpovedný prevádzkovateľ, a je povinný tento súlad na požiadanie úradu preukázať.
Doba uchovávania záznamu
Uchovávanie, považované za spracúvanie, závisí predovšetkým od priestoru, ktorý sa monitoruje, a účelu spracúvania osobných údajov. Osobné údaje nesmú byť uchovávané dlhšie, ako je na daný účel spracúvania potrebné. Po splnení účelu je potrebné osobné údaje vymazať. Ideálnym riešením je automatické vymazávanie záznamov po uplynutí stanovenej doby. Vo väčšine prípadov postačí uchovávanie v rozsahu niekoľkých dní – v zmysle odporúčania Európskeho výboru pre ochranu osobných údajov je to v závislosti od konkrétnej situácie 1 až 5 dní. Ak by doba uchovávania záznamov bola viac ako 72 hodín, prevádzkovateľ musí vedieť dozornému orgánu dostatočne vyargumentovať dôvody dlhšieho uchovávania záznamov tak, aby neboli v rozpore s čl. 5 ods. 1 písm. e) GDPR nariadenia (minimalizácia uchovávania).
Ako označiť priestor monitorovaný kamerami v súlade s GDPR?
Európsky výbor pre ochranu osobných údajov vydal dňa 31. januára 2020 usmernenie č. 3/2019. Toto usmernenie zahŕňa správne označenie priestoru monitorovaného kamerovým systémom v zmysle článku 13 GDPR (prvá vrstva informácií).
Piktogram či informačnú povinnosť treba umiestniť vo výške očí na dobre viditeľnom mieste, ešte pred spracúvaním osobných údajov. Teda ak máte monitorovaný priestor (prevádzku, spoločný nebytový priestor), označenie musí byť na dverách, ešte pred vstupom do monitorovaného priestoru. Druhá vrstva informácií by mala byť dostupná na webe, v prevádzke alebo v sídle spoločnosti (kompletná informácia v zmysle čl. 13 GDPR). Každý prevádzkovateľ, ktorý monitoruje priestor, musí mať určenú zodpovednú osobu pre ochranu osobných údajov – jej kontaktné údaje treba uviesť v informačnej povinnosti.
Dopady pri nesúlade s GDPR
V súvislosti s GDPR sú často skloňované sankcie a pokuty, ktoré môžu dosiahnuť závratnú výšku až do 20 mil. eur, a často sú pre prevádzky likvidačné. Podľa GDPR a zákona o ochrane osobných údajov musí úrad pri rozhodovaní o uložení pokuty a určení jej výšky zohľadniť najmä:
- povahu, závažnosť a trvanie porušenia, rozsah alebo účel spracúvania osobných údajov, ako aj počet dotknutých osôb, na ktoré malo vplyv, a rozsah škody, ak vznikla,
- prípadné zavinenie porušenia ochrany osobných údajov – teda úmyselný alebo nedbanlivostný charakter porušenia,
- mieru zodpovednosti prevádzkovateľa alebo sprostredkovateľa so zreteľom na technické a organizačné opatrenia, predchádzajúce porušenia ochrany osobných údajov z ich strany,
- mieru spolupráce s úradom pri náprave porušenia a zmiernení jeho možných nepriaznivých dôsledkov,
- spôsob, akým sa úrad o porušení dozvedel – najmä, či ho prevádzkovateľ alebo sprostredkovateľ oznámili, a ak áno, v akom rozsahu.
Kontrola dodržiavania ustanovení GDPR a zákona o ochrane osobných údajov môže nastať z podania osoby alebo z vlastnej vôle úradu. Úrad môže vykonať kontrolu na základe plánu kontrol, na základe podozrenia z porušenia povinností (preveruje sa aj anonymné udanie) alebo v rámci konania o ochrane osobných údajov.
Podľa čl. 83 GDPR môže pokuta pri najzávažnejších porušeniach dosiahnuť až 20 miliónov eur, alebo 4 % z celosvetového ročného obratu spoločnosti za predchádzajúci finančný rok – podľa toho, ktorá suma je vyššia. GDPR dokumentáciu ku kamerovému systému vám radi navrhneme a pripravíme úplne bezplatne a nezáväzne.
Najčastejšie otázky o GDPR a kamerách
Musia byť kamery pri mojom rodinnom dome nahlásené alebo GDPR-preverené?
Ak kamery monitorujú len váš súkromný pozemok, platí tzv. domáca výnimka a GDPR sa neaplikuje. Akonáhle systém zasahuje aj do verejného priestranstva (ulica, chodník) alebo suseda, výnimka sa už neuplatní.
Ako dlho môžem uchovávať záznam z kamier?
Odporúčaná doba je 1 až 5 dní. Ak potrebujete uchovávať záznam dlhšie ako 72 hodín, musíte vedieť dozornému orgánu zdôvodniť, prečo je to nevyhnutné.
Musím monitorovaný priestor viditeľne označiť?
Áno, piktogram alebo informačnú tabuľku treba umiestniť vo výške očí na dobre viditeľnom mieste ešte pred vstupom do monitorovaného priestoru, spolu s kontaktom na zodpovednú osobu.
Kedy môžem kamerový systém spustiť do prevádzky?
Až vtedy, keď máte vypracovanú GDPR smernicu k danému systému – inak sa vystavujete riziku porušenia zákona a prípadnej pokuty.
Tento článok slúži na všeobecnú orientáciu a nenahrádza individuálne právne poradenstvo – konkrétny prípad (najmä pri firmách a bytových domoch) odporúčame vždy konzultovať aj so zodpovednou osobou alebo právnikom.
GDPR smernicu vám pripravíme spolu s montážou
Pri každom kamerovom systéme, ktorý inštalujeme, vám zároveň pripravíme aj potrebnú GDPR dokumentáciu – nemusíte tak riešiť súlad so zákonom oddelene.
Kontaktovať nás →