Úřad pro ochranu osobních údajů

Na základě stížnosti Stálé komise Senátu pro ochranu soukromí, ze které vyplývalo podezření na porušování zákona č. 101/2000 Sb., a to v souvislosti se zneužíváním kamerových záznamů k propouštění některých zaměstnanců z pracovního poměru a dále neplnění informační a oznamovací povinnosti správce kamerového systému, byla provedena kontrola v jednom obchodním centru (dále jen „OC“).

Šetřením byly zjištěny tyto skutečnosti: Účelem pořizování kamerového záznamu (zpracovávání osobních údajů) je bezpečnost osob a ochrana majetku. Záznamy z kamerového systému se uchovávají po dobu 14 dnů. Areál OC je rozlehlý, OC se nachází ve čtyřpatrové budově.

V OC je umístěno 111 kamer. Informace o pořizování kamerového záznamu je umístěna na vchodech do objektu (někde je i obrazovka, na které běží on-line záběry z kamery). Kontrolující se seznámili s chodem tzv. velína, kde jsou sledovány jednotlivé kamery. Bylo zjištěno, že ke kamerovému záznamu je možný přístup pouze po zadání hesla. Přístup k záznamu má pouze „velínář“, vedoucí útvaru G4S v OC a ředitel centra OC. Každá z těchto osob má upraveno oprávnění vzhledem k rozsahu pravomocí své pracovní pozice. V případě mimořádné události se pořizuje výpis ze záznamu z kamerového systému, a to na základě požadavku na vytvoření/zhlédnutí obrazového záznamu z uzavřeného kamerového systému. Zde se uvádějí údaje o osobě, která o záznam požádala, dále jaké věci (případně jakého trestného činu) se záznam týká, služební číslo policisty, důvod požadavku, doba a místo, ze kterého je obrazový záznam požadován. O pořízení kamerového výpisu se dále sepisuje protokol o převzetí výpisu z obrazového záznamu z uzavřeného kamerového systému.

V tomto protokolu se uvádějí následující údaje: jméno a příjmení žadatele (pokud jde o policistu, jeho služební číslo), kdy byl požadavek na záznam doručen, kdo požadavek schválil, kdo výpis provedl, na jaké médium byl uložen, počet kamerových záznamů, z kterého dne je záznam pořizován a jeho délka a dále kdo záznam převzal. Jednotlivé vstupy v souvislosti s nahlížením a pořizováním kamerového výpisu jsou logovány, avšak záznam o tomto je uchováván jen po dobu 14 dnů, seznam přístupů se pak maže společně se záznamem.

Právním titulem pro zpracovávání osobních údajů je souhlas subjektu údajů anebo právní důvod přímo citovaný v zákoně. V posuzovaném případě se jedná o zpracovávání osobních údajů bez souhlasu, proto musí dané zpracovávání osobních údajů vyhovět podmínkám ustanovení § 5 odst. 2 písm. e) zákona č. 101/2000 Sb. „Správce může zpracovávat osobní údaje pouze se souhlasem subjektu údajů. Bez tohoto souhlasu je může zpracovávat, pokud je to nezbytné pro ochranu práv a právem chráněných zájmů správce, příjemce nebo jiné dotčené osoby; takové zpracování osobních údajů však nesmí být v rozporu s právem subjektu údajů na ochranu jeho soukromého a osobního života.“

Z výše uvedeného vyplývá, že právě hlediska:

1. zda daný prostředek zasahuje do základních práv a svobod,
2. zda v konkrétním případě jiný právem chráněný zájem převáží nad právem na ochranu soukromí,
3. zda právě záznam z kamerového systému je jediný a nejvhodnější prostředek pro ochranu takového zájmu,
4. zda záznam z kamerového systému je schopen naplnit deklarovaný účel,

jsou při kontrole Úřadem rozhodující pro posouzení legálnosti použití kamerového systému. Účelem, pro který v daném případě dochází ke zpracování osobních údajů, je ochrana osob a majetku. Jak bylo předesláno, OC je rozsáhlý komplex, který se rozprostírá ve čtyřpodlažní budově. Společnost je odpovědná za zajištění bezpečnosti osob a ochranu majetku v tomto komplexu. Dle slov zástupců kontrolovaného docházelo k občasnému poškození majetku a ohrožení osob (nehody v garážích, krádeže, poškozování vstupních dveří). Rozsah zpracovávaných osobních údajů musí být dle ustanovení § 5 odst. 1 písm. d) zákona č. 101/2000 Sb. minimální vzhledem k danému účelu. Tudíž je nutné ověřit, zda je opravdu každá kamera nezbytná a zda uchovávané záběry z ní nezasahují v míře neúměrné sledovanému účelu do soukromí osob. Určité pochybnosti nastávají v případě otočné kamery, která sleduje také restaurační prostory a lze při využití zoomu velmi dobře sledovat jednotlivé návštěvníky, nicméně i zde je možno přihlížet k tomu, že se tu občas zdržují osoby bez domova a dochází k obtěžování hostů a ke krádežím. Vzhledem ke zmíněnému je tedy účel zpracovávání osobních údajů legitimní a v souladu s ustanovením § 5 odst. 2 písm. e) zákona č. 101/2000 Sb.

Správce musí plnit všechny povinnosti uvedené v ustanovení § 5 odst. 1 zákona č. 101/2000 Sb., včetně stanovení doby nezbytné pro uchovávání záznamů z kamer. Ta je obecně Úřadem doporučena maximálně jako týdenní.

Záznamy nesmějí být použity k žádnému jinému účelu, než ke kterému byly pořízeny - ochraně majetku společnosti a bezpečnosti zákazníků. S tím úzce souvisí bezpečnost uchovávaných záběrů z kamer. Oprávnění vstupovat do záznamů z kamer je možné pouze v případě porušení právem chráněného zájmu, např. dojde ke krádeži, rozbití dveří, ohrožení zákazníků. Stejně tak je možno záznamy z kamer předávat v těchto případech Policii ČR, avšak na základě písemné žádosti včetně odůvodnění této žádosti, jímž je vyšetřování konkrétního protiprávního jednání. Dokonce ani správce objektu nemá právo nahlížet do záznamů bez důvodu, spočívajícím v nahlášeném protiprávním jednání.

Při automatizovaném zpracovávání vyplývá správci nebo zpracovateli navíc povinnost pořizovat elektronické záznamy, které umožní určit a ověřit, kdy, kým a z jakého důvodu byly osobní údaje zaznamenány nebo jinak zpracovány – tzv. logování [§ 13 odst. 4 písm. c) zákona č. 101/2000 Sb]. S ohledem na ochranu osobních údajů není dokumentace, kdy jsou logy po 14 dnech mazány, odpovídající, neboť společnost v případě porušení zákona č. 101/2000 Sb. v souvislosti s neoprávněným nakládáním se záznamy z kamerového systému nebude schopna po 14 dnech identifikovat, resp. ověřit, kdy, kdo a z jakého důvodu se záznamem pracoval, což je proti smyslu uvedeného ustanovení, a tudíž nejsou dostatečně splněna opatření k ochraně osobních údajů. Dobu logování vstupů ke kamerovým záznamům je tedy nezbytné prodloužit, a to minimálně na dobu 3 měsíců.

Základní informační povinnost v souladu s ustanovením § 11 zákona č. 101/2000 Sb. byla splněna, neboť vstupující zákazníci jsou informováni o kamerovém systému se záznamem prostřednictvím informačních tabulí. Informační tabulky je však třeba doplnit o odkaz, kde se mohou lidé dozvědět všechny informace, které má správce povinnost sdělit, např. prostřednictvím odkazu na www stránky.

Zneužívání kamerového záznamu za účelem rozvázání pracovního poměru se zaměstnanci nebylo zjištěno.