Smart brýle na pracovišti: nová pomůcka, nebo nové GDPR riziko?

Smart brýle už dávno nejsou jen technologická kuriozita. Čím méně nápadně vypadají, tím víc právních otázek otevírají – zvlášť na pracovišti. Nedávné rozhodnutí katalánského dozorového úřadu APDCAT ukazuje, že i když se nepodaří prokázat samotné nahrávání superbrýlemi, zaměstnavatelé mají povinnosti, které musí plnit.

Když nikdo nic neprokáže, problém tím nekončí

Katalánský dozorový úřad APDCAT[1] řešil stížnost řidiče autobusu proti dopravnímu podniku Transports de Barcelona. Podle stížnosti měl jiný zaměstnanec téhož zaměstnavatele při výkonu kontrolní činnosti používat soukromé chytré sluneční brýle s integrovanou kamerou, propojené přes Bluetooth s mobilním telefonem, a bez vědomí dotčených osob pořizovat obrazové a zvukové záznamy uvnitř autobusu.

Zaměstnavatel uvedl, že žádné takové zařízení zaměstnancům neposkytuje, že podobné vybavení není součástí firemních nástrojů a že neexistuje žádný interní protokol, který by použití takových zařízení při kontrole nebo inspekci umožňoval. APDCAT nakonec řízení zastavil, protože samotné skryté nahrávání nebylo prokázáno a chyběly dostatečné důkazní podklady pro zahájení sankčního řízení.

Tím ale význam rozhodnutí nekončí. APDCAT výslovně připomněl, že pořizování obrazu nebo zvuku zaměstnancem na pracovišti prostřednictvím soukromého zařízení může za určitých okolností představovat zpracování osobních údajů v rozporu s GDPR. Současně upozornil, že nositelná zařízení, včetně brýlí s kamerou, mohou zachycovat nejen obraz a zvuk, ale i polohové nebo biometrické údaje.

Proč jsou chytré brýle z pohledu soukromí specifické?

Na rozdíl od mobilního telefonu jsou chytré brýle výrazně méně nápadné. Okolí často vůbec nepozná, zda je zařízení aktivní a zda dochází ke snímání. A to je problém, na který opakovaně upozorňují dozorové úřady napříč Evropou[2] i mimoevropskými státy skupiny G7: lidem chybí základní vizuální signál, že jsou snímáni. Nemohou tomu přizpůsobit své chování ani uplatnit svá práva.

Vedle toho dozorové úřady upozorňují na rozsah sbíraných dat. Chytré brýle nejsou jen kamera – pracují také s GPS, akcelerometry nebo gyroskopy. Z takových dat lze odvozovat informace o pohybu, chování nebo zdravotním stavu. A to aniž by si to dotčená osoba vůbec uvědomila.

Na pracovišti jsou rizika ještě výraznější

Pracoviště je citlivé prostředí. A chytré brýle v něm otvírají hned dvě sady otázek – GDPR a pracovního práva. Smí zaměstnavatel zaměstnancům vůbec zakázat nosit soukromá zařízení s kamerou do práce? Obecně ano – v rámci oprávněného řízení pracovního procesu může zaměstnavatel stanovit pravidla pro používání zařízení na pracovišti, a to i soukromých. Pokud zaměstnanec zákaz poruší a při tom zpracuje osobní údaje kolegů nebo zákazníků, může to být i důvod k rozvázání pracovního poměru.

A co když zaměstnavatel sám chce chytré brýle zaměstnancům přidělit – například pro logistiku nebo obsluhu zákazníků? Tady je situace složitější. Povinné nošení zařízení, které průběžně snímá okolí a sbírá data o samotném zaměstnanci, by muselo stát na pevném právním základu. Oprávněný zájem zaměstnavatele by tu obstál jen stěží – rozsah zásahu do soukromí zaměstnance by v drtivé většině představitelných případů převážil nad zájmem zaměstnavatele. V úvahu by přicházel souhlas zaměstnance, ale zde je vždy riziko, že nebude skutečně dobrovolný. Zaměstnanci, kteří se účastnit nechtějí, nesmí být znevýhodněni – a pokud by odmítnutí mělo pracovněprávní důsledky, o skutečném souhlasu nemůže být řeč.

Zároveň nelze přehlédnout, že zaměstnanci, kteří brýle nosí, jsou sami subjekty osobních údajů. Data o jejich pohybu, výkonu, poloze nebo fyziologických parametrech mohou být sbírána průběžně a bez aktivního vědomí nositele. Tito zaměstnanci mají plná práva podle GDPR: právo na informaci o tom, jaké údaje jsou o nich zpracovávány, za jakým účelem a po jak dlouhou dobu; právo na přístup k těmto údajům a jejich výmaz; a v případě, že by data z brýlí sloužila k automatizovanému hodnocení výkonu, i právo nebýt podroben rozhodnutí založenému výhradně na automatizovaném zpracování. 

Rozhodnutí APDCAT navíc připomíná, že zaměstnavatel jako správce osobních údajů musí mít nastavena pravidla a být schopen doložit, že ochranu osobních údajů na pracovišti skutečně řeší – a to i ve vztahu k tomu, jak se chovají jeho zaměstnanci.

To v praxi znamená zejména:

• jasná interní pravidla pro používání soukromých zařízení (nejen chytrých brýlí) na pracovišti,
• školení zaměstnanců,
• nastavení kontrolních mechanismů,
• a postup pro řešení podezření na skryté nahrávání.

Nejde jen o pořízení záznamu

Souhrnný materiál k přístupům dozorových úřadů států G7 nedávno sestavený francouzským úřadem ukazuje, že problém chytrých brýlí nekončí u otázky, zda někdo někoho nahrál. Tato zařízení mohou průběžně sbírat velké množství dat ze senzorů a z těchto dat lze dále odvozovat informace o chování, zdravotním stavu nebo jiných charakteristikách uživatele.

Dozorové úřady proto zdůrazňují zásadu minimalizace dat. Vedle toho se opakovaně objevuje i téma bezpečnosti. Chytré brýle jsou připojená zařízení, a tedy i potenciální vstupní bod pro malware, ztrátu dat nebo neoprávněný přístup k nim.

Co by měli zaměstnavatelé řešit už teď?

Z rozhodnutí APDCAT i ze souhrnného materiálu dozorových úřadů G7 plyne několik praktických závěrů.

Pokud zaměstnavatel nechce používání soukromých chytrých brýlí na pracovišti připustit, měl by to upravit výslovně ve vnitřních pravidlech. Pokud naopak uvažuje o jejich pracovním využití, musí předem vyřešit účel použití, rozsah sběru dat, transparentnost vůči zaměstnancům i třetím osobám, bezpečnost a dobu uchování.

Nejde jen o pravidla na papíře. Ochrana osobních údajů musí být promyšlená ještě před tím, než zařízení nasadíte – ne až ve chvíli, kdy nastane problém. Konkrétně to znamená: výchozí nastavení by mělo sbírat jen nezbytné minimum dat odůvodněné účelem a vůči účelu proporcionální, osoby v okolí by měly být informovány, pokud je zařízení aktivní, a nahrávání by mělo být deaktivováno, jakmile už není potřeba. A pokud chytré brýle přidělujete zaměstnancům vy jako zaměstnavatel – jejich používání by mělo být dobrovolné. Zaměstnanci, kteří se do takového režimu zapojit nechtějí, nesmí být znevýhodněni.

Co si z toho odnést?

Chytré brýle nejsou jen další spotřební elektronika. Na pracovišti rozostřují hranici mezi soukromým a pracovním prostředím, mezi dovoleným a nepřípustným – a dělají to potichu, bez varovného světýlka. Zatím jde o nové téma, ale regulátoři ho sledují pozorně. Otázka není, jestli se vaší firmy týká – ale jestli máte dostatečně nastavena pravidla pro používání techniky dřív, než u vás někdo přijde s podobnou stížností jako nedávno v Barceloně.

Pokud si nejste jisti, jak si vaše firma v tomto ohledu stojí – rádi se na to podíváme s vámi.