Proč i při používání online kamerového systému ve firmě je nutné hlídat nejen GDOR?

1. Základní princip – sledování bez záznamu stále podléhá zákonům

I pokud kamerový systém nepořizuje a neukládá žádný záznam, neznamená to, že je provozovatel zcela mimo dosah právní regulace.
Samotný živý přenos obrazu z kamer je právními předpisy považován za plnohodnotné zpracování osobních údajů.
Klíčovým faktorem není to, zda je obraz ukládán, ale to, zda jsou na obraze zachyceny identifikovatelné fyzické osoby – například zaměstnanci, návštěvníci nebo klienti firmy.
Jakmile je tedy kamerou snímána osoba, jejíž totožnost lze byť jen potenciálně určit, nastupují veškeré zákonné povinnosti bez výjimky.
Firma se proto nemůže hájit tím, že záznamy neskladuje a že tedy žádná data nezpracovává – opak je pravdou.

Nařízení GDPR (Obecné nařízení o ochraně osobních údajů) se plně vztahuje na jakýkoliv způsob monitorování osob pomocí kamer, a to včetně systémů pracujících výhradně v režimu živého přenosu bez ukládání dat.
Podle GDPR je již samotná možnost sledování a identifikace osoby považována za zásah do základních lidských práv a svobod.
Firma jako správce osobních údajů musí být schopna doložit takzvaný právní titul – tedy konkrétní zákonný důvod, na jehož základě sledování provádí.
Mezi přípustné právní tituly patří například oprávněný zájem správce, plnění právní povinnosti nebo souhlas sledované osoby.
Správce musí zároveň prokázat, že sledování je nezbytné, přiměřené a proporcionální – tedy že sledovaného cíle nelze dosáhnout méně invazivním způsobem.
Povinností firmy je také zpracovat a zveřejnit informace o zpracování osobních údajů – tedy informovat sledované osoby o tom, že jsou monitorovány, za jakým účelem, kdo je správcem dat a jaká mají práva.
Tato informační povinnost musí být splněna ještě před zahájením samotného sledování, nikoliv až dodatečně.
V případě rozsáhlého nebo systematického monitorování může mít firma povinnost jmenovat pověřence pro ochranu osobních údajů (DPO) a provést tzv. posouzení vlivu na ochranu osobních údajů (DPIA).

Vedle GDPR musí firma při sledování zaměstnanců online kamerami striktně dodržovat také ustanovení zákoníku práce, která poskytují zaměstnancům specifickou ochranu před nepřiměřeným dohledem ze strany zaměstnavatele.
Zákoník práce výslovně stanoví, že zaměstnavatel nesmí bez závažného důvodu narušovat soukromí zaměstnanců na pracovišti ani v prostorách, které k pracovišti přísluší.
Pokud přesto zaměstnavatel přistoupí ke sledování pomocí kamer, je povinen zaměstnance o tomto faktu předem informovat – a to jasně, srozumitelně a v dostatečném předstihu.
Informace musí zahrnovat rozsah sledování, způsob jeho provádění a konkrétní účel, pro který je monitoring prováděn.
Zákoník práce tak vytváří spolu s GDPR dvojí vrstvu ochrany – zaměstnanec je chráněn jak jako fyzická osoba podle předpisů o ochraně osobních údajů, tak jako pracovník v pracovněprávním vztahu.
Porušení těchto povinností může mít pro zaměstnavatele závažné právní důsledky, včetně pracovněprávních sporů nebo správních sankcí.

Firma musí před spuštěním kamerového systému jasně definovat a písemně zaznamenat účel sledování – například ochrana majetku, bezpečnost osob nebo kontrola přístupu do vyhrazených prostor.
Je nutné umístit na viditelná místa informační cedule upozorňující na přítomnost kamerového systému, a to ještě před vstupem do sledovaného prostoru.
Firma musí vést záznamy o činnostech zpracování v souladu s článkem 30 GDPR, a to i v případě systémů bez ukládání záznamu.
Je třeba přijmout odpovídající technická a organizační opatření k zajištění bezpečnosti živého přenosu – například zabezpečit přístup k monitorovacím obrazovkám pouze oprávněným osobám.
Zaměstnanci, kteří mají přístup k živému přenosu, musí být proškoleni o pravidlech zacházení s osobními údaji a o povinnosti mlčenlivosti.
Firma musí být připravena kdykoliv reagovat na žádosti subjektů údajů – například na žádost o informace o zpracování nebo na námitku proti zpracování.

Nedodržení pravidel GDPR při provozu kamerového systému může vést k uložení správní pokuty ze strany Úřadu pro ochranu osobních údajů (ÚOOÚ), přičemž výše sankce může dosáhnout až 20 milionů eur nebo 4 % celosvětového ročního obratu firmy.
Paralelně hrozí firmě pracovněprávní spory ze strany zaměstnanců, kteří se mohou domáhat náhrady nemajetkové újmy za neoprávněný zásah do soukromí.
Nezákonně pořízené záznamy nebo data získaná neoprávněným sledováním nemohou být použity jako důkaz v případných pracovněprávních nebo soudních řízeních.
Nedodržení pravidel může také vážně poškodit reputaci firmy a narušit důvěru zaměstnanců, klientů i obchodních partnerů.
Je proto zcela zásadní přistupovat k provozu jakéhokoliv kamerového systému zodpovědně, komplexně a v souladu se všemi platnými právními předpisy – a to od samého počátku, nikoliv až po vzniku problému.