Nasazení kamerového systému už dávno není jen otázkou techniky. Z pohledu práva a ochrany
soukromí se jedná o zásah do osobnostní sféry každého, kdo se před kamerou objeví – a jako takový
je potřeba jej dobře promyslet, nastavit a odůvodnit. Kamerové systémy lze rozdělit na ty se záznamem
a ty v režimu online. Obě varianty mohou být zpracováním osobních údajů, pokud umožňují
identifikaci osob – typicky podle velikosti postavy v obrazu nebo možnosti přiblížení. Právě schopnost
identifikace je klíčem k určení, zda se na systém vztahuje ochrana osobních údajů. Pokud ano, musí být
splněny základní zásady GDPR, a to včetně korektního, zákonného a transparentního zpracování.
Základem všeho je definování účelu. Nejčastěji jde o ochranu majetku nebo osob – typicky proti
krádežím, vandalismu či fyzickým útokům. Využití záznamů například ke kontrole práce zaměstnanců
nebo jinému sekundárnímu účelu je problematické a musí být vždy výslovně odůvodněné a proporční.
Samotná instalace kamer „pro jistotu“ či „preventivně“ zpravidla neobstojí, vždy je třeba ji odůvodnit.
Právní základ bývá nejčastěji oprávněný zájem správce. V takovém případě je vždy nezbytné vypracovat
tzv. balanční test – nástroj, který zohledňuje váhu zájmu správce na provozování kamer vůči právu
jednotlivce na ochranu soukromí. Předpokladem pro úspěšné zvládnutí tohoto testu je reálná existence
ohrožení, které kamerový systém pomáhá řešit – například předchozí incidenty, statistiky dosavadní
vzniklé škody nebo specifika daného místa (viz řádné odůvodnění uvedené v předchozím odstavci).
Výsledkem by mělo být řešení, které je vhodné, nezbytné a přiměřené daným okolnostem.
Samotné nastavení kamer by mělo minimalizovat zásah do soukromí. Důležité je promyslet nejen počet
a rozmístění kamer, ale i jejich zorné pole, případné maskování části záběru, režim záznamu (např. jen
při detekci pohybu) a dobu uchování záznamu – ta by obvykle neměla přesáhnout 72 hodin, pokud
není výslovně odůvodněna delší potřebou. Pozor je třeba si dát na využívání biometrie nebo
neoprávněné snímání nesouvisejících prostor (př. záběry do oken přilehlých bytů).
Zásadní roli hraje také zabezpečení záznamů. Přístup k nim by měl mít omezený okruh osob, ideálně
jmenovitě stanovený, a každý přístup nebo manipulace (kopie, předání) by měla být zaznamenána.
Veškerá data musí být chráněna před neoprávněným přístupem, manipulací či ztrátou – a to jak
technicky, tak organizačně.
Součástí správného nastavení je i odpovídající informování. Vstup do monitorovaného prostoru
musí být označen viditelnou tabulkou s informací o kamerovém systému, identifikací správce a
kontaktem na odpovědnou osobu (např. pověřence pro ochranu osobních údajů). Další podrobnosti –
účel, právní základ, doba uchování, práva subjektů údajů – musí být k dispozici na webu nebo recepci.
Cílem je, aby každý návštěvník věděl, že je snímán, proč a jak s jeho údaji bude nakládáno.
Z hlediska informační povinnosti je zásadní dodržet dvouúrovňový přístup. První vrstvu tvoří
informační tabulka umístěná před vstupem do monitorovaného prostoru. Musí být čitelná, snadno
identifikovatelná a srozumitelná, obsahovat piktogram kamery, účel zpracování, identifikaci správce
a kontakt na pověřenou osobu. Druhou vrstvou je detailnější informace – např. na webových
stránkách nebo fyzicky na recepci – která rozepisuje všechny náležitosti dle čl. 13 a 14 GDPR. Tato
dokumentace musí být nejen dostupná, ale také aktuální a reflektující konkrétní parametry
kamerového systému v daném objektu.
Správce je také povinen umožnit osobám uplatnit jejich práva – zejména právo na přístup k údajům
(tedy k záznamu, na němž jsou zachyceny), právo na výmaz, námitku nebo omezení zpracování.
Pokud si například někdo vyžádá záznam se svou osobou, musí mu být poskytnut bez identifikace
ostatních osob (např. rozostřením obrazu). Žádosti je třeba vyřídit zpravidla do 1 měsíce. Správce
by měl mít připravený vnitřní proces, jak tyto žádosti vyřizovat a dokumentovat.
Při přenášení dat (např. Policii ČR, pojišťovnám či žadateli) platí přísná pravidla, včetně šifrování a
autentifikace žadatele. I zde musí být vedena dokumentace o tom, kdo co kdy převzal. Neoprávněné
předání, zveřejnění na sociálních sítích nebo ilustrační videa osob pro veřejnost zpravidla představují
porušení GDPR.
S předáváním dat úzce souvisí i posuzování přístupu subjektů údajů ke kamerovým záznamům.
Pokud někdo požádá o přístup ke svým údajům, má právo obdržet pouze ty části záznamu, kde je
sám zachycen – a zároveň musí být ostatní osoby anonymizovány, např. rozmazáním. Uplatnění
tohoto práva je přitom často technicky i organizačně náročné, a správce by na něj měl být připraven
jak procesně, tak personálně. Dále je nutné mít nastavený systém pro zpracování žádostí o výmaz
nebo omezení zpracování, včetně formulářů, lhůt a pravidel, jak vyhodnotit, zda záznam podléhá
ochraně jako důkaz nebo nikoliv. Práva subjektů údajů nejsou teoretickým konstruktem – zejména
při provozu kamerového systému na frekventovaných místech se s nimi v praxi setkáte.
Často přehlížena je dále skutečnost, že i při přenosu kamerového záznamu musí být zajištěno
odpovídající zabezpečení. To platí nejen pro fyzické předání (např. flash disk), ale zejména pro
elektronické odesílání záznamů subjektům údajů nebo orgánům. Přenos musí být šifrovaný a
příjemce jednoznačně identifikován. Záznamy nelze předávat e-mailem bez dalšího, stejně tak nelze
poskytovat záznamy v uzavřených či nečitelných formátech bez zajištění přístupového softwaru.
Veškerá předání musí být řádně evidována – včetně právního důvodu, rozsahu a totožnosti
přebírající osoby.