Bezpečnostné kamery predstavujú jeden z najčastejšie využívaných spôsobov zabezpečenia ochrany majetku, zdravia, osôb nachádzajúcich sa v monitorovaných priestoroch alebo za účelom odhaľovania kriminality a vandalizmu. Častokrát sú to práve záznamy z bezpečnostných kamier, ktoré pre orgány činné v trestnom konaní predstavujú dôkaz s vysokou dôkaznou silou a to práve pre ich autenticitu a bezprostrednosť. V mnohých prípadoch sa však naskytá otázka, či tieto kamery nesnímajú zábery až nad povolený rámec, respektíve či je ich umiestnenie vôbec legálne.
V praxi sa častokrát stáva, že osoby, ktoré sa rozhodli si nainštalovať bezpečnostné kamery, nemajú dostatočnú znalosť o tom, že aj ich osadenie a používanie podlieha určitému právnemu rámcu, medzi ktorý možno bezpochyby zaradiť aj oblasť ochrany osobných údajov.
Bezpečnostná kamera dokáže zachytiť množstvo informácií o človeku, ktoré môžu byť na účely GDPR považované za osobný údaj. Medzi nich možno zaradiť napríklad samotnú podobizeň osoby, ktorá sa na zábere nachádza, ale aj informácie o jej pohybe a pobyte v danom čase a v danom priestore. Je preto dôležité, aby aj pre využívanie bezpečnostných kamier boli stanovené určité mantinely. Základným pravidlom je jednoznačné vymedzenie a zadefinovanie účelu, za ktorým boli bezpečnostné kamery inštalované. Podotýkame, že vymedzenie účelu musí byť konkrétne a čo najpresnejšie, aby ho nebolo možné vnímať ako vágne a neurčité, čo by za istých okolností umožňovalo pod daný účel subsumovať aj situácie, ktoré by boli inak nelegálne. Takýmto spôsobom prevádzkovateľ zabezpečí, že bude dodržaná zásada obmedzenia účelu, čo znamená, že sa budú vykonávať len také spracovateľské operácie, ktoré sú v súlade s vymedzeným účelom a ktoré podeň možno s určitosťou zaradiť. Pod takýmto jednoznačným zadefinovaním možno rozumieť napríklad zabezpečenie ochrany majetku alebo odhaľovania kriminality, napríklad pri rôznych drobných krádežiach v supermarketoch. Prevádzkovateľ musí pri spracúvaní osobných údajov myslieť aj na dodržanie zásady minimalizácie údajov a teda spracovávať osobné údaje len v obmedzenom rozsahu, ktorý bude reflektovať vymedzený účel. Zásada minimalizácie sa taktiež uplatňuje na samotné uchovávanie údajov (v tomto prípade záznamov z kamerového systému) – doba uchovávania záznamov z kamerového systému by mala byť čo najkratšia, najčastejšie sa vymedzuje na dobu nevyhnutnú na naplnenie samotného účelu.
Čo sa však stane v prípade, kedy sú kamerové záznamy využívané v rozpore so zadefinovaným účelom?
ÚOOÚ sa touto problematikou zaoberal viackrát. Naposledy rozhodoval o neoprávnenom použití kamerových záznamov na pracovnoprávne účely. Účastníkmi konania bola navrhovateľka – zamestnankyňa múzea na jednej strane a múzeum ako zamestnávateľ a verejná inštitúcia na strane druhej. Navrhovateľka v konaní namietala, že zamestnávateľ použil záznamy z bezpečnostných kamier neoprávnene a teda v rozpore s vopred zadefinovaným účelom, nakoľko ako podporný dôkaz pre preukázanie jej porušenia pracovnej disciplíny boli použité práve kamerové záznamy. Prevádzkovateľ (múzeum) uviedol, že účelom bezpečnostných kamier je zabezpečenie ochrany zbierkových predmetov. Z vykonaného dokazovania však vyplynulo, že záznamy z bezpečnostných kamier boli skutočne použité ako podporný dôkaz pre preukázanie porušenia pracovnej disciplíny, nakoľko túto skutočnosť v zázname o prerokovaní porušenia pracovnej disciplíny aj sám konštatoval. ÚOOÚ teda dospel k záveru, že monitorovanie pracovných povinností zamestnankyne a zabezpečovanie ochrany zbierkových predmetov sú natoľko odlišné, že bez výslovného súhlasu zamestnankyne alebo iného legitímneho právneho základu nemožno hovoriť o spracúvaní osobných údajov v súlade s Nariadením GDPR.
V tejto súvislosti možno bližšie poukázať na skutočnosť, že problematika monitorovania zamestnancov nie je výhradne predmetom ochrany osobných údajov, ale úzko súvisí aj s pracovnoprávnymi predpismi a s právami a povinnosťami zamestnancov a zamestnávateľov. Zákonník práce v ust. § 13 ods. 4 ustanovuje, že zamestnávateľ nesmie bez vážnych dôvodov spočívajúcich v osobitnej povahe činností zamestnávateľa narúšať súkromie zamestnanca na pracovisku a v spoločných priestoroch zamestnávateľa tým, že ho monitoruje bez toho, aby ho na to vopred upozornil. Zároveň, ak zamestnávateľ zavádza kontrolný mechanizmus, je povinný prerokovať so zástupcami zamestnancov rozsah kontroly, spôsob jej uskutočnenia, ako aj dobu jej trvania a informovať zamestnancov o rozsahu kontroly, spôsobe jej uskutočnenia, ako aj o dobe jej trvania. Kontrolný mechanizmus môže byť na pracovisku zavedený len v prípade, ak má na to zamestnávateľ vážne dôvody, ktorými sú napríklad ochrana majetku, alebo ako v posudzovanom prípade, ochrana zbierkových predmetov. V tejto súvislosti možno poukázať na ustálenú judikatúru ESĽP, podľa ktorej zamestnávateľ nesmie využívať kontrolný mechanizmus len na čisté sledovanie pracovného výkonu zamestnancov. V situácií, ktorá nastala aj v opisovanom prípade je preto potrebné podotknúť, že ak zamestnávateľ monitoruje svoju prevádzku za účelom monitorovania bezpečnosti a ochrany majetku, nemôže tieto kamery využívať za účelom monitorovania pracovnoprávnych aktivít zamestnancov bez adekvátneho právneho základu. V prípade zavedenia kontrolného mechanizmu na pracovisku musí zamestnávateľ spĺňať tzv. kritériá zákonnosti kontrolného mechanizmu, ktoré vyplývajú z rozhodnutia ESĽP vo veci Bărbulescu proti Rumunsku. Týmito kritériami sú (i) informačná povinnosť voči zamestnancom, (ii) existencia legitímnych dôvodov pre sledovanie, (iii) či neexistoval menej invazívny spôsob zásahu do súkromia zamestnancov, ktorým by sa dosiahol rovnaký účel, (iv) akým spôsobom zamestnávateľ nakladal s kamerovými záznamami a (v) či mali zamestnanci možnosť obrátiť sa na nestranný orgán. Nakoľko uvedené kritériá v posudzovanom prípade splnené neboli, zamestnávateľ postupoval neoprávnene a nad rámec účelu, ktorý si sám stanovil, ÚOOÚ konštatoval porušenie zásady obmedzenia účelu podľa čl. 5 ods. 1 písm. b) Nariadenia GDPR a uložil zamestnávateľovi (prevádzkovateľovi) pokutu vo výške 700,- EUR.
Poučenie a pár poznatkov na záver:
- Pokiaľ používate kamerový systém, nezabudnite na jednoznačnú identifikáciu účelu spracúvania osobných údajov,
- Dbajte na dodržiavanie zásady minimalizácie uchovávania osobných údajov - Usmernenie Európskeho výboru na ochranu osobných údajov odporúča maximálnu 72 hodinovú lehotu na likvidáciu kamerových záznamov (pozn. jedná sa len o odporúčanie, prevádzkovateľ sa môže v odôvodnených prípadoch od tejto lehoty odchýliť. Pokiaľ má však jednoznačne stanovenú lehotu ich uchovávania a dôjde k jej prekročeniu, dochádza k porušeniu zásady minimalizácie uchovávania osobných údajov),
- Zabezpečte jednoznačný okruh osôb, ktoré majú ku kamerovým záznamom prístup, čím predídete porušeniu zásady integrity a dôvernosti osobných údajov,
- V prípade zavádzanie kontrolného mechanizmu dbajte na všetky legislatívne požiadavky. Zamestnávateľ si v prvom rade musí splniť všetky náležitosti vyžadované Zákonníkom práce, konkrétne ust. §13 ods. 4 Zákonníka práce (informovať zamestnanca, prerokovať zavedenie mechanizmu so zástupcami zamestnancov). Následne prichádza do hry dodržanie súladu s Nariadením GDPR, ktorého súčasťou je aj vypracovanie rozsiahleho dokumentu DPIA,
- Kontrolný mechanizmus na pracovisku využívajte len za predpokladu, že ste si splnili všetky zákonom vyžadované povinnosti a na Vašom pracovisku existujú vážne dôvody pre jeho zavedenie. Tieto záznamy využívajte len na vopred stanovený účelom, v opačnom prípade zasahujete do súkromia svojich zamestnancov, čo v konečnom dôsledku môže viesť až k súdnemu sporu z dôvodu neoprávneného zásahu do súkromia.
