Jak podle stávajícího zákona č. 101/2000 Sb., o ochraně osobních údajů, v platném znění, tak podle obecného nařízení o ochraně osobních údajů 2016/679 platí, že osobní údaje lze legálně zpracovávat nejen se souhlasem jednotlivce, ale i bez jeho souhlasu, za vymezených podmínek.
Karin Pomaizlová, partnerka advokátní kanceláře Taylor Wessing Praha k tomu dodává: „Souhlas se zpracováním osobních údajů je jen jednou z možností zákonného zpracování osobních údajů, nikoliv jedinou. Ne vždy se souhlas vyžaduje. Naopak v praxi se vyskytují nadbytečné žádosti o udělení souhlasu v situaci, kdy je zpracování zákonné z jiného důvodu. Takové nadbytečně vyžadované souhlasy považuje ÚOOÚ za porušení zákona.“
V praxi se také zaměňuje povinnost informovat jednotlivce o zpracování osobních údajů se souhlasem ke zpracování osobních údajů. Tedy je nutno rozlišovat mezi souhlasem a informací. Informaci musí jednotlivec obdržet vždy.
Podle platného zákona o ochraně osobních údajů je vedle souhlasu jednotlivce možné bez jeho souhlasu zpracovávat osobní údaje (§5 odst. 2) z kamerových systémů v tomto případě:
- e) pokud je to nezbytné pro ochranu práv a právem chráněných zájmů správce, příjemce nebo jiné dotčené osoby; takové zpracování osobních údajů však nesmí být v rozporu s právem jednotlivce na ochranu jeho soukromého a osobního života.
I v souvislosti se zavedením zásad ochrany osobních údajů podle GDPR a jeho čl. 6 odst. 1 lze osobní údaje zpracovávat zákonně bez souhlasu jednotlivce, v případě kamerových systémů, pokud:
- f) zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě.
Na kamerové systémy, pokud jejich prostřednictvím dochází ke zpracování osobních údajů, tedy dopadá § 5 odst. 2 písm. e) zákona o ochraně osobních údajů, který koresponduje s čl. 6 odst. 1 písm. f) GDPR, tj. zpracování osobních údajů (kamerový záznam o pohybu osob) je nezbytné pro účely oprávněných zájmů správce (vlastníka nebo nájemce prostor).
Pořizování kamerových záznamů však nesmí zasahovat do základních práv a svobod osob, tedy nesmí nadměrně zasahovat do soukromí osob a musí být přiměřené vzhledem k účelu, který se jeho použitím sleduje.
Karin Pomaizlová dále vysvětluje: „K detailům ke kamerovým systémům existuje již mnoho komentářů, stanovisek a rozhodnutí ÚOOÚ, na které tímto odkazujeme. Tyto výše uvedené základní zásady by měly platit i po vstupu GDPR v platnost, tj. ochrana soukromí osob před bezdůvodným, nepřiměřeným zásahem do soukromí sledováním kamerovými systémy. To však neznamená, že pokud je použití kamerových systémů přiměřené a účelné, že je lze používat pouze se souhlasem jednotlivce – to platí dnes a bude platit i po vstupu v platnost GDPR.”
Pro použití kamerových systémů ke sledování osob a záznamům těchto osob platí, že musí být nezbytné pro naplnění konkrétního účelu a musí být přiměřené vzhledem k okolnostem a k ochraně soukromí těchto osob.
Vždy je třeba maximálně respektovat soukromí a oprávněné zájmy osob, např. kupujících v obchodním centru, řidičů v podzemních garážích a podobně. Menší zásah do soukromí představuje například monitorování chráněného prostoru bez záznamu než zaznamenávání pohybu osob na paměťový nosič.
„V této souvislosti chceme upozornit na zákonné omezení umisťování kamer na pracovišti za účelem sledování zaměstnanců podle Zákoníku práce. Zaměstnavatelé nesmí, až na odůvodněné výjimky a zvláštní případy popsané v Zákoníku práce, sledovat své zaměstnance, a např. umísťovat kamery nad jejich pracoviště,” doplnila Karin Pomaizlová.
Poslední komentář Pomaizlové se vztahuje k upřesnění role správce. „Ten, pokud zpracovává osobní údaje se souhlasem jednotlivce, sice musí být schopen doložit, že jednotlivec udělil svůj souhlas, ale to neznamená, že souhlas musí být vždy písemný,” dodává.
Čl. 4 GDPR definuje souhlas jako „jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým jednotlivec dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů. Aby byl souhlas skutečně svobodný, to znamená, že jej může jednotlivec kdykoliv odvolat, a navíc poskytnutím souhlasu nelze podmiňovat plnění ze smlouvy. To ale nevylučuje, aby nad rámec plnění smluvních povinností, např. při dodání objednaného zboží z e-shopu, správce osobních údajů nabídl jednotlivci, že mu např. za souhlas se zpracováním jeho osobních údajů k marketingovým účelům poskytne slevu na zboží.”