Informační povinnost o provozu kamerového systému v obytném domě platí již dnes

Pokud nehodlá zpracovávat osobní údaje se souhlasem všech dotčených osob, svědčí pro provoz kamerového systému právní titul, který je obsažen v § 5 odst. 2 písm. e) zákona č. 101/2000 Sb., o ochraně osobních údajů.

Jak vyplývá ze stanoviska Úřadu pro ochranu osobních údajů č. 1/2016, i tento regulátor uznává, že základním právním důvodem pro pořizování kamerového záznamu v bytovém domě je nejčastěji ochrana práv a právem chráněných zájmů správce a dotčené osoby dle § 5 odst. 2 písm. e) zákona č. 101/2000 Sb., kdy při splnění dále uvedených podmínek není nutné získat souhlas s pořízením a uchováváním záznamu. Provozovatel kamerového systému v bytovém domě je však i v průběhu provozu povinen kdykoliv prokázat, že kamerový systém jako prostředek k ochraně majetku a osob ve zvolené lokalitě je s ohledem na jistý zásah do soukromí osob řešením proporcionálním, a to zejména vůči přínosu pro bezpečnost.

Použitím tohoto právního důvodu však povinnosti odpovědného subjektu nekončí. To znamená, že i dnes je nezbytné splnit informační povinnost, kterou povinné osobě ukládá výše citovaný zákon prostřednictvím § 11 odst. 1 a 2.

Podle § 11 odst. 1 zákona č. 101/2000 Sb. je dnes správce již při shromažďování osobních údajů povinen subjekt údajů informovat o tom, v jakém rozsahu a pro jaký účel budou osobní údaje zpracovány, kdo a jakým způsobem bude osobní údaje zpracovávat a komu mohou být osobní údaje zpřístupněny, nejsou-li subjektu údajů tyto informace již známy. Správce musí subjekt údajů informovat o jeho právu přístupu k osobním údajům, právu na opravu osobních údajů, jakož i o dalších právech stanovených v § 21 tohoto zákona.

Povinný subjekt to činí několika způsoby:

1. Informuje o svém záměru své členy např. při jednání – schůzi, nebo prostřednictvím obvyklé komunikace.
2. Umístí základní informační ceduli do všech prostor, kde se kamerový systém nalézá.

Vystačí tento postup i v příštím roce, kdy nabude účinnosti (25. května 2018) nové evropské nařízení o ochraně osobních údajů č. 679/2016 (dále jen Obecné nařízení nebo GDPR)?

Podle obsahu recitálů Obecného nařízení je zřejmé, že zásady spravedlivého a transparentního zpracování vyžadují, aby byl subjekt údajů informován o probíhající operaci zpracování a jejích účelech.

Obsah citovaného textu se obdobným způsobem promítl i do článku 13 GDPR, který se týká poskytování informace v případě, že osobní údaje jsou získány od subjektu údajů, kam uvedená problematika patří.

1. V tomto článku je v odst. 1 uveden taxativní výčet informací, které by měl správce poskytovat:
   
   1. totožnost a kontaktní údaje správce a jeho případného zástupce;
   2. případně kontaktní údaje případného pověřence pro ochranu osobních údajů;
   3. účely zpracování, pro které jsou osobní údaje určeny, a právní základ pro zpracování;
   4. oprávněné zájmy správce nebo třetí strany v případě, že je zpracování založeno na čl. 6 odst. 1 písm. f);
   5. případné příjemce nebo kategorie příjemců osobních údajů;
   6. případný úmysl správce předat osobní údaje do třetí země nebo mezinárodní organizaci a existenci či neexistenci rozhodnutí Komise o odpovídající ochraně nebo, v případech předání uvedených v článcích 46 nebo 47 nebo čl. 49 odst. 1 druhém pododstavci, odkaz na vhodné záruky a prostředky k získání kopie těchto údajů nebo informace o tom, kde byly tyto údaje zpřístupněny.
2. Vedle těchto informací poskytne správce subjektu údajů podle čl. 13 odst. 2 GDPR v okamžiku získání osobních údajů tyto další informace, jsou-li nezbytné pro zajištění spravedlivého a transparentního zpracování:
   
   1. doba, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá pro stanovení této doby;
   2. existence práva požadovat od správce přístup k osobním údajům týkajícím se subjektu údajů, jejich opravu nebo výmaz, popřípadě omezení zpracování, a vznést námitku proti zpracování, jakož i práva na přenositelnost údajů;
   3. pokud je zpracování založeno na čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a), existence práva odvolat kdykoli souhlas, aniž je tím dotčena zákonnost zpracování založená na souhlasu uděleném před jeho odvoláním;
   4. existence práva podat stížnost u dozorového úřadu;
   5. skutečnost, zda poskytování osobních údajů je zákonným či smluvním požadavkem, nebo požadavkem, který je nutné uvést do smlouvy, a zda má subjekt údajů povinnost osobní údaje poskytnout, a ohledně možných důsledků neposkytnutí těchto údajů;
   6. skutečnost, že dochází k automatizovanému rozhodování, včetně profilování, uvedenému v čl. 22 odst. 1 a 4, a přinejmenším v těchto případech smysluplné informace týkající se použitého postupu, jakož i významu a předpokládaných důsledků takového zpracování pro subjekt údajů.
3. Podle čl. 13 odst. 3 platí, že pokud správce hodlá osobní údaje dále zpracovávat pro jiný účel, než je účel, pro který byly shromážděny, poskytne subjektu údajů ještě před uvedeným dalším zpracováním informace o tomto jiném účelu a příslušné další informace.
   
   
4. Odstavce 1, 2 a 3 článku 13 se nepoužijí, pokud subjekt údajů již uvedené informace má, a do té míry, v níž je má.

Na první pohled je zřejmé, že současný způsob poskytování informací, ať už se jedná o jejich formu (k tomu viz dále) nebo rozsah, bude muset být upraven tak, aby odpovědný správce nebo provozovatel kamerového systému splnil očekávání tohoto evropského právního předpisu.

Pokud jde o formu informací, musí být současné informační cedule doplněny alespoň o základní údaje o provozovateli systému s uvedením kontaktu, odkazu nebo adresy, kde bude možné nalézt všechny požadované informace.

Jen tak totiž umožní správce každému subjektu údajů realizovat svá další práva, která mu Obecné nařízení garantuje (právo na přístup, právo na výmaz, právo na přenositelnost údajů).

Samostatnou otázkou zůstává, zda vystačíme pouze s českou jazykovou verzí a zda by nebylo vhodné zejména v případě základní informační cedulky nabídnout text i v jiném jazyce s ohledem na složení obyvatel domu případně jejich návštěvníků.

Pokud jde o formální provedení informační povinnosti asi se oproti současnému stavu nic nezmění a základní informací bude tzv. standardizovaná ikona kamery, která je základem dnešní informační cedulky v naprosté většině sledovaných případů a jejich výrobci je již dnes úspěšně prodávají. I tato dnes běžně užívaná ikona však nemá svůj standart co do tvaru a velikosti. Proto se dnes můžeme setkat s celou plejádou podob kamery. Podstatné však je, že tomuto obrázku každý rozumí a už se tak stalo zcela běžnou zvyklostí označení pro monitorované prostory. Jak výše uvedeno, ikona však do budoucna nestačí a v její bezprostřední blízkosti bude muset být viditelně a srozumitelně umístěna i další slovní informace o provozovateli kamerového systému a případně podmínkách jeho provozu.

I když se zdá ještě dostatek času pro naplnění této povinnosti, jejíž obsah a rozsah je obsažen zejména v článku 13 odst. 1 a 2 GDPR, je dobré se na její realizaci včas připravit stejně jako na realizaci dalších práv subjektů údajů, které GDPR přináší, a kterým se budeme věnovat příště.