Instalace a provoz kamerového systému z pohledu GDPR a zákoníku práce – část II.

Před časem jsme se věnovali podkladům, které by měl mít každý provozovatel kamerového systému zpracované, aby dostál požadavkům na prokazatelnost dodržování předpisů v oblasti ochrany osobních údajů a zákoníku práce. Slíbili jsme pokračování, které mělo reagovat na avizovanou metodiku ze strany Úřadu pro ochranu osobních údajů, jejíž vydání se ale poněkud protáhlo – až do dneška. Základní shrnutí, kdy je potřeba mít zpracovanou DPIA[1] anebo bude postačovat vyhotovení LIA,[2] přinášíme níže. 

Velmi stručně k pojmům DPIA a LIA

DPIA aneb posouzení vlivu na ochranu osobních údajů je postup, jehož záměrem je popis zpracování osobních údajů, posouzení nezbytnosti a přiměřenosti, a posouzení rizik pro práva a svobody fyzických osob plynoucích z předmětného zpracování. Jinými slovy se jedná o dokument, ve kterém správce osobních údajů posuzuje vliv zamýšlených operací s daty, a to ve vztahu k ochraně osobních údajů. Manuál k vyhotovení DPIA je dostupný na stránkách Úřadu pro ochranu osobních údajů (ÚOOÚ) včetně vzorové tabulky pro posouzení rizik.

LIA aneb tzv. balanční test, či test proporcionality, spočívá v posouzení kritéria vhodnosti – zdali zavedený proces omezující určité základní právo umožňuje dosáhnout stanovený cíl, posouzení kritéria potřebnosti– zdali by stanoveného cíle nemohlo být dosaženo jinými opatřeními umožňujícími dosáhnout stejného cíle, avšak s omezenějším dopadem na základní práva a svobody, a poměřování – porovnání závažnosti obou v kolizi stojících základních práv, tj. ochrana majetku vs. ochrana soukromí, což spočívá ve zvažování empirických, systémových, kontextových i hodnotových argumentů. 

Obecně lze shrnout, že každý provozovatel je povinen vyhotovit LIA, neboť provoz kamerového systému je založený na oprávněném zájmu spočívajícím v ochraně majetku. Provozovatel by se měl v balančním testu zejména utvrdit v tom, že provoz kamerového systému neslouží k odvrácení hypotetické a nepravděpodobné hrozby, jak ostatně zdůrazňuje i Nejvyšší správní soud[3] v kauze, kterou se zabýval také Soudní dvůr.[4] Posouzení oprávněnosti – LIA, může být zpracováno v podobě samostatného dokumentu popisujícího výše zmíněná kritéria anebo součástí DPIA v případě, že povinnost zpracovat DPIA provozovateli kamerového systému vznikla. 

Postup k správnému určení, který z dokumentů zpracovat – DPIA vs. LIA

GDPR předpokládá, že každý dozorový úřad sestaví a zveřejní seznam druhů operací zpracování, které podléhají požadavku na DPIA, přičemž může rovněž sestavit seznam druhů operací, u nichž není DPIA nutné. Oba seznamy český ÚOOÚ na svých stránkách [5]zveřejnil.

Vycházíme-li ze seznamu operací, které nepodléhají povinnosti vyhotovit DPIA,[6] pak provoz kamerového systému v seznamu nenalezneme. Platí proto, že provozovatel kamerového systému musí přihlédnout k obecněji formulovaným kritériím a tyto aplikovat na situaci zohledňující jím instalované kamery, včetně jejich počtu a umístění, způsob uchování záznamů i účel zpracování. Těmito kritérii je například snímání veřejně přístupných prostor, zpracování kritických údajů, zpracování údajů velkého rozsahu atd.

Správce má celkem vyhodnotit 10 kritérií (včetně dílčích charakteristik jednotlivých kritérií), kterým přiřadí míru rizika. Dle míry rizika – kritická, významná, nízká se propracuje k výsledku, přičemž platí, že pro vznik povinnosti vyhotovit DPIA „postačuje“, aby 2 kritéria nabyla kritické hodnoty, anebo 1 kritérium bylo kritické a aspoň 5 dalších bylo významných.

Ač se to může zdát vcelku jednoduché (metodicky si vystačíte s přehlednou tabulkou), tak chyba ve vyhodnocení rizikovosti jediného kritéria může vést k tomu, že se správce rozhodne vyhotovit pouze jednodušší balanční test – LIA, zatímco měl zpracovat řádnou DPIA. Nesprávné závěry nebo dokonce neprovedení této základní analýzy by ÚOOÚ nejspíše neprominul, když ostatně její zpracování zmiňuje ve své čerstvě vydané kamerové metodice jako nutnost.[7]

Pokud si nebudete vědět rady s vyhodnocením DPIA kritérií, či jakýmkoli jiným právním aspektem kamerového systému, neváhejte se obrátit na náš HP tým specializující se na problematiku ochrany údajů.