Dokument shrnující pokyny 3/2019 ke zpracování osobních údajů prostřednictvím videozařízení se obrací především na provozovatele optických nebo audiovizuálních systémů určených k monitorování. Poslouží však i jednotlivcům, kteří nechtějí být jen neinformovaným objektem všudypřítomných kamer. Obecně má přispět k účinnému uplatňování zásad ochrany dat a respektování práv a svobod subjektů údajů.
NahoruShrnutí Pokynů 3/2019 ke zpracování osobních údajů prostřednictvím videozařízení
Pokyny 3/2019 ke zpracování osobních údajů prostřednictvím videozařízení se obracejí především na provozovatele optických nebo audiovizuálních systémů určených k monitorování. Poslouží však i jednotlivcům, kteří nechtějí být jen neinformovaným objektem všudypřítomných kamer. Obecně má dokument přispět k účinnému uplatňování zásad ochrany dat a respektování práv a svobod subjektů údajů.
Úvodní kapitola upřesňuje rozsah platnosti pokynů, resp. vyjasňuje, na které případy použití kamer se nevztahují. Obecně se jedná o případy, kdy nedochází ke sledování osob (falešné kamery, parkovací asistenti, záběry z velmi vysoké výšky s malým rozlišením). Dokument zde nabízí spíše orientaci než taxativní výčet situací. Zabývá se rovněž tzv. domácí výjimkou, v obecném nařízení (GDPR) pojednanou obecně, a zasazuje ji do rámce kamerového sledování s odkazem na dva rozsudky Evropského soudního dvora (C-101/01 a C-212/13).
Aby instalace videozařízení ke sledování lidí byla zákonná, musí se zpracování osobních údajů prostřednictvím takového zařízení opírat o jeden nebo více právních důvodů vyjmenovaných v článku 6 odst. 1 obecného nařízení. V praxi nejčastěji uplatňovanými důvody budou oprávněný zájem (přičemž tento nesmí být fiktivní či spekulativní) a plnění úkolu ve veřejném zájmu. Mimořádnou pozornost si zaslouží zásada minimalizace údajů, kterou je nejlépe vzít v úvahu již při projektování kamerového systému. Správce by také vždy měl zvážit, zda stejnému účelu nelze vyhovět jinými, méně invazivními prostředky. V případě ochrany majetku to může být například vhodné oplocení, pořízení kvalitních bezpečnostních zámků nebo použití fasádních nátěrů odolných vůči graffiti. Obecně dále platí, že možnost nasazení monitorovacích kamer končí na hranicích pozemku správce. Pokyny se v této časti zabývají i otázkou udělování souhlasu a konstatují, že v případě video monitoringu to bude spíše výjimečné vzhledem k povaze technologie. Institut souhlasu by neměl být uplatněn při nerovnováze vyjednávacích pozic, tj. zejména ve vztahu zaměstnavatel-zaměstnanec.
Zpřístupnění kamerového záznamu třetí straně je možné, je však třeba mít na paměti, že se vždy bude jednat o nové zpracování daných osobních údajů, pro které je opět nutno mít zákonný důvod podle článku 6 odst. 1 obecného nařízení. Rovněž poskytnutí záznamu donucovacím orgánům představuje další samostatné zpracování vyžadující odůvodnění ze strany správce.
Videozařízení mohou nechtěně nebo záměrně shromažďovat informace s charakterem zvláštní kategorie údajů. Pokyny ilustrují tuto skutečnost na řadě praktických příkladů. Často může i sám o sobě „neškodný“ údaj mít citlivou vypovídací hodnotu v kombinaci s další informací na záznamu (např. místo záznamu nebo událost, při níž byl záznam pořízen). Také zde především platí zásada minimalizace údajů. Je-li kamerový systém navržen záměrně ke zpracování zvláštních kategorií dat, pak musí být správce schopen doložit nejenom zákonný důvod podle článku 6 odst. 1 obecného nařízení, nýbrž také existenci výjimky podle článku 9 nařízení (přičemž například výjimku uvedenou v článku 9 odst. 2 písm. e) nebude v případě video monitorování možno uplatnit). Každopádně je potřeba při zpracování tohoto druhu osobních údajů zvážit uplatnění vyšší úrovně datové bezpečnosti a v případě potřeby i vypracování posouzení vlivu na ochranu osobních údajů. Samostatnou kapitolou je sledování biometrických údajů, především v systémech rozpoznávání podle obličeje (rozpoznávání tváře), které nacházejí stále širší uplatnění. Pokyny konstatují, že ve většině případů bude použití takového zařízení soukromým provozovatelem vyžadovat výslovný souhlas subjektu údajů, resp. takový správce bude muset, kupříkladu při použití pro účely ztotožněním, nabídnout i alternativu bez zpracování biometrických dat, a to bez požadavku extra nákladů pro jednotlivce. Typicky to může být při vstupu do hlídaných nebo placených prostor, kde lze umožnit dva vchody, jeden se strojovým rozpoznáváním tváře a druhý s jinou, klasickou, formou vstupní…