Krátce po zveřejnění finální podoby pokynů Evropského sboru pro ochranu osobních údajů („Sbor“) uveřejnil Úřad pro ochranu osobních údajů („ÚOOÚ“) na svých webových stránkách vlastní shrnutí jejich zásadních částí, které označil jako „to nejdůležitější z nových pokynů ke kamerám“. Lze se domnívat, že náhlý apel na plnění přísných pravidel při využívání kamerových záznamů vyplývá zejména ze skutečnosti, že navzdory přesvědčení některých správců není instalace kamerového systému vždy nezbytná, a to zejména tehdy, pokud existují jiné, méně invazivní, prostředky k dosažení stanoveného účelu. V opačném případě bychom v důsledku této kulturní změny automaticky přijímali nedostatek soukromí jako obecné pravidlo.
Vedle bližšího rozboru souvisejících otázek ohledně principu zákonnosti, zásady minimalizace údajů, předávání záznamů třetím osobám, legitimního očekávání subjektů údajů a případně zpracování zvláštních kategorií osobních údajů se pokyny Sboru i shrnutí ÚOOÚ zaměřují zejména na důsledné dodržování zásady transparentnosti.
S ohledem na rozsah informací, které mají být subjektům údajů poskytnuty, se jako nejpraktičtější řešení jeví vrstvený přístup (tzv. layered approach), založený na kombinaci metod k zajištění transparentnosti. Sbor upřesňuje, že nejdůležitější informace by měly být zobrazeny v první vrstvě, zatímco další povinné údaje mohou být poskytnuty jinými prostředky, neboli v druhé vrstvě. Vrstvený přístup je již nyní mezi jednotlivými správci, provozovateli kamerového systému, často přijímaný. Je tak běžnou praxí, že monitorované prostory jsou označeny informační cedulí, která mnohdy obsahuje piktogram kamery, a další informace jsou rozvedeny v informačním oznámení, které je k dispozici u pokladny, na recepci, na webových stránkách apod. Sbor rovněž upřesňuje, že informace by měly být umístěny tak, aby subjekt údajů mohl snadno zjistit okolnosti sledování před vstupem do sledované oblasti, tj. přibližně na úrovni očí. Co však představuje poměrně zásadní posun a zpřísnění ve vztahu k plnění informační povinnosti, je doporučení Sboru ve vztahu k minimálnímu obsahu informační cedule, což v současné chvíli z více důvodů správci většinou nenaplňují.
Informace první vrstvy, tedy informační cedule, by totiž nově měly obsahovat podrobnosti o účelu zpracování, totožnosti správce, kontaktní údaje pověřence pro ochranu osobních údajů, relevantní práva subjektu údajů, spolu s informacemi o nejzávažnějších dopadech zpracování. Informační cedule pak musí v neposlední řadě také odkazovat na detailnější druhou vrstvu informací a podrobnosti o tom, kde a jak ji najít. Většina požadovaných informací, přestože není zvykem správců je vkládat do informační cedule, nečiní výkladové problémy a správci je, byť většinou z praktických důvodů v rámci druhé vrstvy, subjektům údajů poskytují. Zvláštním požadavkem je však poskytnutí informací o nejzávažnějších dopadech zpracování, kterými může být například atypická doba uchování záznamů, předávání záznamů třetím osobám nebo skutečnost, že dochází ke sledování záznamů v reálném čase, a to v první vrstvě.
Nad rámec zpřísnění informační povinnosti přináší pokyny Sboru také zásadní posun v otázce doby uchování záznamů. Dle dosavadní praxe a výkladových stanovisek ÚOOÚ byla přiměřená retenční doba u kamerových záznamů v řádu dnů, a běžně tak správci nastavovali systémy s automatickým přemazáváním po až 14 dnech. Pokyny sice nestanoví konkrétní přípustnou dobu uchování, jako určitou hranici však výslovně uvádí dobu v hodinách, konkrétně 72 hodin. To znamená, že lhůty delší než 72 hodin budou vyžadovat ze strany správců, ideálně v tzv. balančním testu nebo posouzení vlivu na ochranu osobních údajů, hlubší zdůvodnění.
Pokyny svůj účel, kterým je poskytnutí návodu, jak používat GDPR ve vztahu ke zpracování osobních údajů prostřednictvím kamerových systémů, naplňují velmi důkladně. Přes někdy překvapivé závěry a razantní posuny vůči dosavadní interpretační praxi obsahují velkou řadu praktických příkladů, které reflektují povahu kamerových systémů jako stále do jisté míry výjimečného a z pohledu ochrany soukromí relativně invazivního prostředku zpracování osobních údajů. Tedy pojďme, přinejmenším, přepsat ty cedule…