Fotopasti ve světle GDPR

Režim fotopastí

Základní premisa, ze které je třeba vycházet, plyne ze stanoviska Úřadu pro ochranu osobních údajů (dále též „Úřad“). Dle Úřadu je totiž fotopast, která slouží k ochraně majetku před jinými osobami, obdobou kamerového systému, a tedy se na fotopasti uplatní veškeré závěry týkající se kamerových systémů.[1] Ač bylo stanovisko vydáno před účinností GDPR, bude aktuální i z pohledu GDPR, protože povaha fotopastí (z hlediska technického) se v mezidobí nezměnila. V zásadě lze tedy konstatovat, že v základních ohledech nebude mezi běžným kamerovým systémem a fotopastí zásadní rozdíl. Neplatí to však paušálně a určité rozdíly (s ohledem na rozdílné využití běžného kamerového systému a fotopastí) nalezneme.

Specifika fotopastí

Jak jsem uvedl výše, v základech se bude nakládání s kamerovým systémem i nakládání s fotopastmi shodovat, fotopasti však mají určitá specifika. Tato jsou dána zejména tím, že má jít z podstaty věci o skrytá nahrávací zařízení. Nakládání s nimi rozeberu na modelovém příkladu, ve kterém chce fotopasti instalovat výrobní společnost, která má vlastní oplocený areál. Fotopasti mají sloužit k zabránění krádežím, nachází se tedy na hranicích areálu, přičemž v určitých případech mohou zabírat i prostor za oplocením, tedy prostor, který je veřejně přístupný.

Správce (vlastník areálu) bude muset v prvé řadě stanovit účel provozování fotopastí a zákonnost pro zpracování údajů z nich získaných.

Účelem bude v tomto případě ochrana majetku správce, jelikož fotopasti se nacházejí na hranicích areálu, tedy na místech, kterými mohou být výrobky vyneseny mimo areál.

Co se týče zákonnosti, lze v tomto případě reálně uvažovat pouze o oprávněném zájmu. Obdobně jako u kamerových systémů, i v případě fotopastí se jedná o jeden z nejlepších způsobů ochrany majetku před krádeží, potažmo prostředků následné identifikace pachatele. Oprávněný zájem správce v tomto případě bude přesahovat zájem subjektů údajů, když fotopasti zabírají prostory ve vlastnictví správce, veřejně přístupné prostory jsou zabírány jen v nezbytně nutném rozsahu. Na tomto místě si dovoluji zdůraznit, aby správci vždy dbali na minimalizaci zabírání veřejného prostoru. Čím větší rozsah by totiž byl zabírán, tím více by byl oslabován zájem správce v porovnání se zájmem subjektů údajů na ochraně jejich práv. Před zahájením zpracování prostřednictvím fotopastí by měl správce komplexně posoudit, zda je zájem oprávněný, zda je zpracování nezbytné a zda nad zájmem správce nepřeváží zájmy nebo práva a svobody subjektů údajů.

Základní povinnost, kterou bude muset správce osobních údajů splnit, je povinnost informační.

Splnění informační povinnosti bude poměrně bez problémů v případě zaměstnanců. Povinnost informovat zaměstnance plyne nejen z GDPR, ale mimo jiné i z ust. § 316 odst. 3 zákona č. 262/2006 Sb., zákoník práce. Toto ustanovení je tzv. kogentní a nelze se od něj odchýlit. Vůči zaměstnancům je nejlepší variantou informační povinnost splnit prostřednictvím interních předpisů, se kterými budou seznámeni, a které jim budou kdykoli dostupné. Co se týče rozsahu informační povinnosti, problematické může být zejména to, zda mají být zaměstnanci informováni i o konkrétním umístění fotopastí. Z mého pohledu, právě s ohledem na účel fotopastí, není třeba informace takto konkretizovat. Pokud tedy správce, jakožto zaměstnavatel, v interních předpisech uvede, že prostory areálu společnosti (jak interiéry, tak exteriéry) jsou monitorovány kamerovým systémem se záznamem, je tato informace ohledně vymezení monitorovaného prostoru dostatečná. Pokud by totiž správce označil konkrétní monitorovaná místa, pozbyly by fotopasti zcela smysl.

Větší problémy může způsobovat informování osob mimo společnost, jelikož by měl správce udělat vše pro to, aby se informace dostala ke všem osobám, jejichž údaje mohou být potencionálně prostřednictvím fotopastí zpracovávány. Z mého pohledu je v tomto případě ideální umístit na několika místech oplocení areálu piktogramy, které upozorňují na skutečnost, že prostor areálu a jeho bezprostřední okolí podléhá monitorování. Opět není třeba (a není to ani záhodno) umisťovat tyto piktogramy na místa, kde se fotopasti skutečně nacházejí. Přesné rozmístění piktogramů nelze paušálně určit, bude se lišit podle velikosti areálu, ale doporučoval bych je umístit vždy na rozích areálu a poté na každé straně oplocení.

Pro co největší jistotu dále doporučuji doplnit piktogramy o odkaz na místo, kde lze získat bližší informace o zpracování osobních údajů. Řada společností umísťuje dokumentaci, která obsahuje informační povinnost, na svoje webové stránky. Piktogram lze tedy o tuto skutečnost doplnit a uvést na tyto stránky odkaz. Dále doporučuji umístit informace též na vrátnici areálu a opět na tuto skutečnost upozornit.

Velmi často bude s provozováním fotopastí též spojena povinnost zpracovat posouzení vlivu na ochranu osobních údajů. Správce by tedy měl vždy posoudit, zda není splněna podmínka dle čl. 35 odst. 3 písm. c) GDPR, tedy zda nedochází k rozsáhlému systematickému monitorování veřejně přístupných prostor (spíše nepravděpodobné), či zda povinnost posouzení zpracovat posouzení vlivu nevyplývá ze seznamu operací zveřejněných Úřadem dle čl. 35 odst. 4 GDPR.[2] Vždy též bude třeba pro tento druh zpracování vést záznam o činnosti zpracování osobních údajů dle čl. 30 GDPR.

Správce by měl rovněž pamatovat na skutečnost, že případné pořízené fotografie z fotopastí by neměly být zveřejněny na sociálních sítích. Jak vyplývá z judikatury Nejvyššího správního soudu, účelem provozování kamerových systémů (tedy i fotopastí) při ochraně majetku není (ve zkratce řečeno) pořizování záznamů pro jejich budoucí zveřejnění, ale pouze pro eventuální předání k tomu určeným orgánům k dalším úkonům[3].

Závěr

Jak plyne z tohoto článku, využívání fotopastí po účinnosti GDPR není zásadním problémem a ani na správce neklade nepřiměřené nároky. Hlavní pozornost tak musí správce věnovat informační povinnosti. Skutečnost, že jde o záznamové zařízení, které má být z povahy věci skryté, totiž může řadu provozovatelů fotopastí vést k mylnému závěru, že o jejich existenci nemusí nikoho informovat. Tento závěr by však nebyl správný a správci by mohla v krajním případě hrozit sankce od Úřadu.

JUDr. Roman Tomek,
advokát

Budova TITC