Instalace kamer v bytovém domě v souladu s GDPR – co je třeba zařídit?

Kamerový systém v bytovém domě a GDPR – OBSAH

• Vztahuje se na mě GDPR?
• GDPR nahrazuje původní zákon o kamerách a registraci u Úřadu na ochranu osobních údajů
• Kam mohu jako správce bytového domu kamery umístit?
• Kamerový systém v bytovém domě a GDPR – dokumentace
• Co musí obsahovat záznam o činnostech zpracování?

Vztahuje se na mě GDPR?

Pokud chcete instalovat kamerový systém do bytového domu, tak téměř určitě ano. GDPR dokumentaci pro kamerový systém totiž nepotřebujete jen v případě, že jej instalujete na vlastním pozemku nebo ve vlastní nemovitosti, kde není veřejný přístup. V tom případě stačí kamery umístit tak, aby nesnímaly cizí majetek a kamerový systém nikde nemusíte hlásit, ani nemusíte řešit GDPR. Právě pro bytové domy a další prostory, kde kamery pravidelně zaznamenávají cizí osoby, je však nutné GDPR postupy dodržovat.

GDPR nahrazuje původní zákon o kamerách a registraci u Úřadu na ochranu osobních údajů

Předtím, než vešla nařízení GDPR v platnost, museli provozovatelé kamerových systémů provést registraci u Úřadu na ochranu osobních údajů. Nyní však spadá veškerá zodpovědnost právě na provozovatele nebo správce kamerového systému. Dle GDPR se totiž k plnění podmínek provozovatel zavazuje automaticky již v ten moment, kdy nějaký takový kamerový systém zavede.

Kamerový systém v bytovém domě a GDPR – dokumentace

Pokud se rozhodnete kamerový systém v bytovém domě zavést, musíte si vést GDPR dokumentaci. Ta zahrnuje následující body:

1. Balanční test – zde uvádíte své důvody pro instalaci (např. historie vandalismu, krádeží atd.), náklady, zvážené alternativy, rizika a zkrátka důvody, proč vaše práva coby správce „balancují“ práva zachytávaných osob.
2. DPIA (Data Protection Impact Assessment) – je podobný balančnímu testu, ale do hloubky analyzuje postupy, které správce systému přijal pro minimalizaci ohrožení osobních údajů.
3. Informace – tato část je vcelku prostá. Musíte dát najevo jak nájemníkům, tak i návštěvníkům, kteří v domě nebydlí, že dochází k monitorování. Zpravidla se řeší graficky. Například na chodbu umístíte ceduli, která musí mít piktogram, kontakt na správce osobních údajů, účel zpracování, základní práva zachycené osoby a způsob, jak získat podrobné informace (např. na vyžádání od správce).
4. Procesní pravidla – zde uvedete všechny detaily o tom, jak ukládáte záznamy, kdo k nim má přístup, jak dlouho jsou záznamy uchovávány apod.
5. Záznamy o činnostech zpracování – veškeré zacházení s videozáznamy musí být evidováno. Někde tedy musíte uchovávat informace o tom, kdo, kdy a za jakým účelem k záznamům přistoupil. Všechny vyžadované informace naleznete níže.
6. Další specifika – výše uvedené body jsou základními požadavky pro každý kamerový systém. Pokud ale záznamy zpracovává více osob, nebo například celá externí firma, mohou být potřeba i další dokumenty.

Kam mohu jako správce bytového domu kamery umístit?

Dobrým pravidlem pro rozmisťování kamer je „čím méně, tím lépe“. S kamerami chcete zachytávat co možná nejmenší prostor, který nutně potřebujete, jelikož cokoliv navíc vás může vystavovat dalšímu riziku v ohledu zpracování osobních údajů. Kamery můžete instalovat ke vstupním dveřím, ke vstupu do sklepních prostor nebo na fasádu domu. Nikdy by však neměly směřovat například na konkrétní vstupy do bytů či sklepů. V případě dalších veřejných prostor asi nemusíme zmiňovat, že kamerové systémy nesmí být instalovány na toalety, šatny apod.

Co musí obsahovat záznam o činnostech zpracování?

Záznam o činnostech zpracování může být veden libovolnou formou (např. fyzicky, v Excel tabulce atd.), ale jeho vedení je povinností každého správce dle GPDR. Záznam musí obsahovat:

• Označení a identifikaci správce
• Účel zpracování
• Popis kategorií subjektů (např. obyvatelé domu, návštěvníci atd.)
• Popis kategorií osobních údajů (např. podoba, obrazové informace o chování atd.)
• Příjemci osobních údajů a informace o případném předání osobních údajů do třetích zemí
• Lhůta pro výmaz (nejčastěji 7 dní, ale specifikuje ji správce)
• Technická a organizační bezpečnostní opatření (bezpečnostní kryt, řízený přístup, školení oprávněných osob atd.)

Požadavky si můžete přečíst v doslovném znění v článku 30 GDPR.