Úřad pro ochranu osobních údajů

V textu je odkazováno na znění zákona (resp. jiného právního předpisu), které již není účinné. Tato skutečnost však nemá vliv na zde obsažený právní názor.

Vzhledem k tomu, že záznamy pořízené kamerovým systémem umožňují identifikaci jednotlivých osob, je nutno veškeré informace o konkrétních osobách tímto způsobem zaznamenané považovat za osobní údaje ve smyslu § 4 písm. a) zákona č. 101/2000 Sb. Jestliže byl kamerový systém v prostorách kanceláře a sekretariátu instalován osobou v pozici statutárního orgánu účastníka řízení, je účastník řízení ve vztahu k těmto osobním údajům (shromážděným prostřednictvím kamerového systému) jejich správcem ve smyslu § 4 písm. j) zákona č. 101/2000 Sb. a odpovídá za dodržení veškerých povinností stanovených tímto zákonem při zpracování osobních údajů.

Jednou ze základních povinností správce osobních údajů podle zákona č. 101/2000 Sb. je povinnost vyjádřená v § 5 odst. 2 tohoto zákona, tedy povinnost zpracovávat osobní údaje zásadně pouze se souhlasem subjektu údajů, o jehož údaje se jedná. Bez takového souhlasu je možné osobní údaje zpracovávat pouze v případech zákonem č. 101/2000 Sb. taxativně vyjmenovaných v § 5 odst. 2 písm. a) až g). Žádnou z těchto výjimek však na popsané zpracování osobních údajů prostřednictvím kamerového systému aplikovat nelze a účastník řízení byl tedy povinen disponovat souhlasem osob, které byly kamerami zachyceny, tj. osob, jejichž osobní údaje zpracovával. Z vyjádření statutárního orgánu, že zaměstnanci účastníka řízení nebyli o existenci instalovaného systému informováni, je však zjevné, že účastník řízení zpracovával osobní údaje těch, kteří procházeli kanceláří či sekretariátem statutárního orgánu účastníka řízení (tj. zaměstnanců i osob mimo organizační struktury účastníka řízení), bez jejich souhlasu.

Důvod instalace kamerového systému prezentovaný statutárním orgánem, tj. prevence protiprávního jednání v jeho kanceláři a sekretariátu v mimopracovní době, sice zřejmě směřuje k aplikaci výjimky podle § 5 odst. 2 písm. e) zákona č. 101/2000 Sb., který umožňuje zpracovávat osobní údaje bez souhlasu subjektu údajů, jedná-li se o nezbytnou ochranu práv a právem chráněných zájmů správce, nicméně na toto ustanovení se v daném případě nelze odvolávat. Podmínkou postupu podle § 5 odst. 2 písm. e) zákona č. 101/2000 Sb. je totiž ve větě druhé vyjádřená povinnost nezasahovat takovým zpracováním do práva subjektů údajů na ochranu soukromého a osobního života. Utajená instalace kamerového systému (pouze na základě rozhodnutí statutárního orgánu účastníka řízení a bez jednoznačného stanovení pravidel provozu, využívání dat a správy tohoto systému) v prostorách kanceláří, v nichž jsou i v souladu s ustálenou judikaturou Evropského soudu pro lidská práva zaměstnanci oprávněni očekávat jistou míru soukromí, je v rozporu s uvedenou podmínkou, a to zejména za situace, kdy tento systém zaznamenával dění v uvedených prostorách v pracovní době a fakticky tak sloužil k monitorování zaměstnanců.

Smyslem právní úpravy ochrany osobních údajů obsažené v zákoně č. 101/2000 Sb. je ochrana subjektu údajů před újmou na jeho právech (zejména právu na zachování lidské důstojnosti a soukromí), před neoprávněným zasahováním do jeho soukromého a osobního života a před neoprávněným zpracováním osobních údajů. Tato základní práva, která jsou zakotvena v čl. 7 odst. 1 a 10 usnesení předsednictva České národní rady č. 2/1993 Sb., o vyhlášení Listiny základních práv a svobod, jako součásti ústavního pořádku České republiky, musí mít přednost před jinými než výše uvedenými zájmy správce na zpracování osobních údajů. V případě kamerového sledování je tedy nezbytné striktně uplatňovat zásadu přiměřenosti jeho využití, tj. tyto systémy lze použít pouze v případě, když se jiná opatření směřující k prevenci ukáží být nedostatečnými. Rozsah zpracovávaných údajů musí být současně přiměřený sledovaným účelům. Riziko zásahu do právem chráněných zájmů správce, opravňující k aplikaci výjimky stanovené v § 5 odst. 2 písm. e) zákona č. 101/2000 Sb., by muselo být takové intenzity, aby dokázalo převýšit zájem na ochraně soukromí subjektu údajů, což v tomto případě nebylo splněno.

Účastník řízení, jako správce osobních údajů shromážděných prostřednictvím předmětného kamerového systému, je dále na základě § 13 odst. 1 zákona č. 101/2000 Sb. povinen všechny zpracovávané osobní údaje zabezpečit takovým způsobem, aby nemohlo dojít k jejich neoprávněnému zpracování či jinému zneužití. Ze skutečnosti, že došlo k odcizení pevného disku obsahujícího záznamy z kamer, jednoznačně vyplývá, že pořizované záznamy (tedy i osobní údaje v nich obsažené) nebyly dostatečně chráněny. Instalace kamerového systému, vzhledem k tomu, že takové opatření představuje již významný zásah do soukromí sledovaných osob, musí být z hlediska principů ochrany osobních údajů a soukromí vždy až krajním řešením a musí být vždy provázena přijetím jednoznačných pravidel pro jeho provoz, tedy mj. i pravidly pro zabezpečení zpracovávaných dat, včetně pravidelné kontroly funkčnosti systému. Pokud není kamerový systém řádně nastaven a kontrolován, vystavuje se správce, který jej instaloval, riziku, že pochybením systému nebo nezaregistrovanou změnou nastavení dojde ke zpracování osobních údajů v rozsahu, který již nezamýšlel a který překračuje stanovený účel, a tedy riziku, že za takové zpracování ponese plnou odpovědnost. Na tomto místě je také nutno uvést, že k naplnění správního deliktu porušením povinnosti stanovené v § 13 odst. 1 zákona č. 101/2000 Sb. postačí již jen existence stavu, kdy jsou zpracovávané osobní údaje vystaveny riziku ztráty či zneužití. Jestliže účastník řízení instaloval kamerový systém a současně nepřijal přiměřená opatření technického i organizačního charakteru zahrnující mj. i pravidelnou údržbu a správu instalovaného zařízení, včetně náležité dokumentace přijatých opatření v souladu s § 13 odst. 2 zákona č. 101/2000 Sb., vystavil zpracovávané osobní údaje nedůvodnému riziku neoprávněného zpracování či ztráty, a postupoval tedy v rozporu s tímto zákonem.

Nelze souhlasit ani s tvrzením zástupce účastníka řízení, že v daném případě se jednalo o nahodilé shromáždění osobních údajů bez jejich dalšího zpracování podle § 3 odst. 4 zákona č. 101/2000 Sb. Instalace kamerového monitorovacího systému za účelem pravidelného monitorování určitých prostor bezpochyby směřuje k systematickému zpracování osobních údajů těch, kteří budou na záznamech kamer případně zachyceni. Situaci, kdy správce osobních údajů stanoví účel zpracování, provede instalaci prostředků zpracování a následně jejich prostřednictvím shromáždí osobní údaje, nelze hodnotit jako nahodilé shromáždění dat. Obdobně nelze souhlasit s tvrzením, že instalaci kamer provedl statutární orgán účastníka řízení jako soukromá fyzická osoba pro svou osobní potřebu. Zpracování osobních údajů prostřednictvím monitorovacího zařízení instalovaného na pracovišti, kde se oprávněně pohybují i třetí osoby, nelze považovat za zpracování osobních údajů pro osobní potřebu ve smyslu § 3 odst. 3 zákona č. 101/2000 Sb., zejména jestliže deklarovaným účelem bylo zabránění krádeži majetku ve vlastnictví účastníka řízení z prostor jeho sídla. (zn. 42/06/SŘ)

Viz např. rozhodnutí Evropského soudu pro lidská práva ve věci Niemietz v. Německo z roku 1992.