Tabuľka o kamerovom systéme podľa GDPR

Prečo nestačí nálepka z obchodu

Nálepka s piktogramom kamery a vetou „Priestor je monitorovaný kamerovým systémom“ povie zákazníkovi len to, že ho niekto sníma. Nepovie kto, prečo, ako dlho sa záznam uchováva ani na koho sa obrátiť. Práve to však čl. 13 nariadenia (EÚ) 2016/679 (GDPR) požaduje oznámiť pri získavaní osobných údajov - a obraz človeka z kamery osobným údajom je. Slovenský zákon č. 18/2018 Z. z. o ochrane osobných údajov vlastnú povinnosť označiť monitorovaný priestor nemá, povinnosť informovať plynie priamo z GDPR. Nálepku môžeš použiť ako pútač, informácie však musia byť pri nej.

Čo musí byť na tabuli

Usmernenia Európskeho výboru pre ochranu údajov (EDPB) odporúčajú tzv. viacvrstvový prístup. Na tabuli pri vstupe sú najdôležitejšie informácie, zvyšok je v podrobnom oznámení. Na tabuli by malo byť:

Informáciami prvej vrstvy (varovného označenia) by sa mali vo všeobecnosti oznamovať najdôležitejšie informácie, napr. podrobné informácie o účeloch spracúvania, totožnosti prevádzkovateľa a existencii práv dotknutej osoby, spolu s informáciami o najväčších dopadoch spracúvania.

Usmernenia EDPB 3/2019 k spracúvaniu osobných údajov prostredníctvom kamerových zariadení, bod 114

• kto je prevádzkovateľ - obchodné meno a adresa
• kontakt, prípadne aj na zodpovednú osobu, ak ju máš určenú
• účel monitorovania, napríklad ochrana majetku a bezpečnosti osôb
• oprávnený záujem, ak je právnym základom čl. 6 ods. 1 písm. f) GDPR
• doba uchovávania záznamu a všetko, čo by človeka mohlo prekvapiť - napríklad že záznam dostáva iná firma
• existencia práv dotknutej osoby
• kde a ako nájde podrobnejšie informácie

List k pokladni

Tabuľa odkazuje na podrobnosti a tie musia byť naozaj k dispozícii. Usmernenia to ukazujú priamo na príklade obchodu: varovné označenie pri vstupe a k tomu na pokladni alebo inom ľahko prístupnom mieste zoznam s informáciami druhej vrstvy. Ten obsahuje všetko, čo vyžaduje čl. 13 GDPR - aj príjemcov záznamu, prenos mimo EÚ, všetky práva vrátane sťažnosti na Úrad na ochranu osobných údajov SR, či je poskytnutie údajov povinné a či sa vykonáva automatizované rozhodovanie. Náš nástroj tlačí oba listy: tabuľu na vstup a podrobné informácie k pokladni.

Majiteľ obchodu monitoruje svoj obchod. Na dosiahnutie súladu s článkom 13 stačí na ľahko viditeľné miesto pri vstupe do jeho obchodu umiestniť varovné označenie, ktoré obsahuje informácie prvej vrstvy. Okrem toho musí na pokladni alebo akomkoľvek inom centrálnom a ľahko prístupnom mieste vo svojom obchode poskytovať zoznam informácií obsahujúci informácie druhej vrstvy.

Usmernenia EDPB 3/2019, príklad pri bode 118

Kam tabuľu umiestniť

Tabuľa má byť tam, kde ju človek uvidí ešte predtým, ako vojde do snímaného priestoru, približne vo výške očí (bod 113 usmernení). Pri viacerých vchodoch patrí ku každému. Polohu samotnej kamery prezrádzať netreba, ak je jasné, ktorý priestor sa sníma - zákazník musí vedieť odhadnúť, kde ho kamera zachytí, aby sa jej mohol vyhnúť alebo prispôsobiť správanie. Tabuľu vonku chráň fóliou alebo laminovaním, aby zostala čitateľná aj po daždi.

Ako dlho uchovávať záznam

GDPR žiadnu pevnú lehotu neuvádza, záznam sa smie uchovávať len tak dlho, ako je potrebné na účel. Usmernenia pripomínajú, že škody sa zvyčajne dajú preukázať do jedného alebo dvoch dní a že záznam by sa mal vo väčšine prípadov vymazať po niekoľkých dňoch, ideálne automaticky. Čím dlhšia je lehota, najmä nad 72 hodín, tým viac zdôvodnení treba mať (bod 121). Preto má náš nástroj predvolených 72 hodín. Dlhšiu dobu môžeš uviesť, ale maj pripravené, prečo ju potrebuješ.

Čo si priprav pred vyplnením

Tabuľu aj list k pokladni vyplníš za pár minút, ak máš po ruke tieto údaje:

• obchodné meno a adresu prevádzkovateľa - firmy alebo živnostníka, ktorý kamery prevádzkuje
• kontakt, kde sa ľudia môžu pýtať na záznam - e-mail alebo telefón
• zodpovednú osobu, ak ju máš určenú (malá prevádzka ju väčšinou nemá)
• účel - najčastejšie ochrana majetku a bezpečnosti osôb
• ako dlho záznam uchovávaš, čo nastavíš v rekordéri
• komu záznam poskytuješ - zvyčajne len polícii alebo súdu na ich žiadosť
• či záznam odchádza mimo EÚ, napríklad cez cloudovú službu kamier

Ak kamera len vysiela obraz

Ak sa nič nenahráva a obraz sa len sleduje naživo, napíš to na tabuľu. Usmernenia hovoria aj opačne: ak na tabuli nie sú informácie o uchovávaní či odovzdávaní záznamu, človek môže predpokladať, že sa sníma len naživo (bod 115). Kto nahráva, musí to teda na tabuli uviesť.

Kto kontroluje a aká je pokuta

Dozor má Úrad na ochranu osobných údajov SR. Porušenie práv dotknutých osôb podľa článkov 12 až 22 GDPR, kam patrí aj informačná povinnosť, spadá do vyššej kategórie pokút - až do 20 000 000 € alebo 4 % celosvetového ročného obratu (čl. 83 ods. 5 písm. b)). To je horná hranica; konkrétnu výšku určuje úrad podľa okolností. Ak kamera sníma aj zamestnancov, platia popri GDPR aj pravidlá pracovného práva - tie sú nad rámec tejto stránky.