Proč i při používání online kamerového systému ve firmě je nutné hlídat nejen GDOR?
I v případě, kdy kamerový systém nasazený na pracovišti nepořizuje žádný trvalý záznam a veškerý přenášený obraz je sledován výhradně v reálném čase prostřednictvím živého online přenosu, nelze v žádném případě tvrdit, že se na takový systém nevztahují přísná pravidla evropského nařízení o ochraně osobních údajů, tedy GDPR. Samotná podstata a smysl tohoto nařízení totiž nespočívá pouze v ochraně uchovávaných nebo archivovaných dat, nýbrž v ochraně každého momentu, ve kterém dochází k jakékoliv formě nakládání s osobními údaji identifikovatelné fyzické osoby. Jakmile tedy kamera snímá prostor, v němž se pohybují zaměstnanci, klienti nebo návštěvy, jejichž totožnost lze na základě zachyceného obrazu jednoznačně určit, dochází automaticky ke zpracování osobních údajů ve smyslu čl. 4 nařízení GDPR, a to bez ohledu na to, zda je nebo není výsledný obraz někam ukládán, archivován či jiným způsobem zaznamenáván pro pozdější potřebu.
Živý přenos obrazu jako plnohodnotné zpracování osobních údajů
Mnozí zaměstnavatelé se mylně domnívají, že povinnosti vyplývající z nařízení GDPR se vztahují výhradně na situace, kdy firma aktivně ukládá kamerové záznamy na fyzická nebo cloudová úložiště, a že pokud k takovému ukládání nedochází, mohou být kamery provozovány bez jakýchkoliv omezení a bez nutnosti plnit zákonné povinnosti správce osobních údajů. Tato představa je však v přímém rozporu s literou i duchem nařízení GDPR, které ve svém čl. 4 odst. 2 definuje pojem „zpracování" osobních údajů velmi široce jako jakoukoliv operaci nebo soubor operací s osobními údaji, přičemž výslovně zmiňuje mimo jiné shromažďování, zaznamenávání, strukturování, ale také pouhé „prohlížení" nebo „použití" těchto údajů. Živý přenos obrazu z kamerového systému, při němž pověřený zaměstnanec nebo bezpečnostní pracovník sleduje v reálném čase dění na pracovišti, zcela jasně splňuje podmínky definice zpracování osobních údajů, neboť v daném okamžiku dochází k aktivnímu shromažďování a využívání informací o identifikovatelných fyzických osobách. Správce takového systému je proto povinen zajistit, aby bylo zpracování prováděno v souladu se všemi zásadami zakotvenými v čl. 5 GDPR, zejména se zásadou zákonnosti, korektnosti a transparentnosti, zásadou účelového omezení, zásadou minimalizace údajů a zásadou integrity a důvěrnosti zpracovávaných informací, přičemž musí být vždy schopen doložit soulad se všemi těmito zásadami v rámci tzv. zásady odpovědnosti.
Povinnosti zaměstnavatele podle GDPR a zákoníku práce při online monitoringu
Zaměstnavatel, který se rozhodne zavést nebo provozovat online kamerový systém na svém pracovišti, je povinen splnit celou řadu konkrétních zákonných povinností, které vyplývají souběžně jak z nařízení GDPR, tak ze zákoníku práce, přičemž obě tyto právní normy se vzájemně doplňují a vytvářejí komplexní rámec ochrany práv sledovaných osob. Z pohledu GDPR je zaměstnavatel jakožto správce osobních údajů povinen především identifikovat a písemně zdokumentovat právní základ pro prováděné zpracování, přičemž v kontextu pracovního prostředí přichází v úvahu zejména oprávněný zájem správce podle čl. 6 odst. 1 písm. f) GDPR, avšak pouze tehdy, pokud tento zájem nepřevyšují základní práva a svobody sledovaných zaměstnanců, což musí být vždy pečlivě posouzeno prostřednictvím tzv. testu proporcionality nebo balančního testu. Dále je zaměstnavatel povinen zpracovat a zpřístupnit sledovaným osobám jasné, srozumitelné a úplné informace o prováděném monitoringu v souladu s čl. 13 GDPR, tedy sdělit jim mimo jiné účel a právní základ zpracování, dobu uchování záznamu, pokud k němu dochází, totožnost správce a případných příjemců údajů, jakož i veškerá práva, která sledovaným osobám v souvislosti se zpracováním jejich osobních údajů náleží. Zákoník práce pak v § 316 doplňuje a zpřísňuje tyto požadavky tím, že zaměstnavateli výslovně ukládá povinnost informovat zaměstnance předem o rozsahu a způsobu prováděného monitoringu, přičemž klade důraz na to, aby bylo sledování zaměstnanců vždy přiměřené sledovanému účelu a aby nebylo prováděno v prostorách určených k odpočinku nebo k soukromým potřebám, jako jsou toalety, šatny nebo odpočinkové místnosti, kde mají zaměstnanci legitimní a oprávněné očekávání soukromí.
Důsledky zanedbání pravidel a doporučení pro správnou praxi
Zaměstnavatelé, kteří podceňují nebo zcela ignorují povinnosti spojené s provozováním online kamerového systému a spoléhají na to, že absence ukládání záznamu je chrání před jakoukoliv právní odpovědností, se vystavují značnému riziku závažných právních, finančních i reputačních následků, které mohou mít pro jejich firmu nebo organizaci dalekosáhlé a velmi nepříjemné důsledky. Úřad pro ochranu osobních údajů jako příslušný dozorový orgán v České republice je oprávněn ukládat správcům osobních údajů sankce za porušení nařízení GDPR, přičemž výše pokut může dosáhnout až 20 milionů eur nebo 4 % celkového ročního celosvětového obratu správce, podle toho, která z těchto částek je vyšší, a to i v případech, kdy k porušení dochází v rámci zdánlivě jednoduché a běžné provozní činnosti, jakou je právě monitorování pracoviště prostřednictvím online kamer bez záznamu. Aby zaměstnavatelé těmto rizikům předcházeli a mohli kamerový systém provozovat v plném souladu s platnou právní úpravou, je nezbytné přijmout komplexní soubor organizačních a technických opatření zahrnujících vypracování interní směrnice o kamerovém systému, pravidelné školení pověřených zaměstnanců, kteří mají přístup k živému přenosu, nastavení přísných pravidel pro přístup k monitorovacímu systému, umístění viditelného a srozumitelného informačního označení ve všech sledovaných prostorách a v případě potřeby také provedení posouzení vlivu na ochranu osobních údajů podle čl. 35 GDPR, které je povinné tehdy, pokud by prováděné zpracování mohlo vést k vysokému riziku pro práva a svobody fyzických osob, což v případě plošného monitorování zaměstnanců na pracovišti může být velmi snadno splněna podmínka.
