Monitorování pracoviště CCTV dle GDPR / RODO / DSGVO

Sedm povinností týkajících se kamerového systému na pracovišti podle GDPR

1. Právní základ. Oprávněný zájem podle článku 6(1)(f) je jedinou realistickou možností – souhlas selhává, protože zaměstnanci nemohou svobodně odmítnout a článek 6(1)(b) (plnění smlouvy) je příliš úzký. Test vyváženosti oprávněného zájmu musí být dokumentován a každoročně přezkoumáván.
2. Posouzení vlivu na ochranu osobních údajů (článek 35). Kamerový systém na pracovišti je „systematické monitorování ve velkém měřítku“ a v každé jurisdikci EU spouští povinné posouzení vlivu na ochranu osobních údajů. Posouzení vlivu na ochranu osobních údajů dokumentuje účel, test proporcionality, zvažované alternativy (a důvody jejich zamítnutí) a opatření přijatá k minimalizaci dopadu.
3. Transparentnost (články 13–14). Každý zaměstnanec musí být před nasazením informován o tom, co se zaznamenává, kde, proč, kým, jak dlouho a jak může uplatnit svá práva. Oznámení o ochraně osobních údajů v příručce pro zaměstnance a označení na obvodu tohoto bodu splňují požadavky.
4. Retence. Nezbytné minimum, obvykle 7–30 dní. Většina úřadů pro ochranu osobních údajů považuje 30 dní za standardní lhůtu; delší lhůta vyžaduje zvláštní odůvodnění.
5. Viditelné značení. Piktogram + jméno správce + kontakt + právní základ + doba uchovávání + kontakt na pověřence pro ochranu osobních údajů. Umístění na každém vstupním bodě a na každém patře vícepodlažních budov.
6. Přístup k subjektu. Každý zaměstnanec si může vyžádat kopii záběrů, na kterých se objevuje. Platí 30denní lhůta pro odpověď.
7. Minimalizace. FOV kamery musí být co nejužší, aby bylo dosaženo bezpečnostního účelu. Kamery namířené na stoly, do vyhrazených odpočinkových zón nebo pokrývající větší veřejný prostor, než vyžaduje bezpečnostní cíl, tento test standardně neprocházejí.

Doplňky specifické pro danou zemi

Německo (DSGVO + BDSG + BetrVG). Spolurozhodování rady zaměstnanců podle BetrVG §87(1)(6) je povinné pro jakoukoli technologii monitorování zaměstnanců, včetně CCTV. Zaměstnavatel nemůže systém instalovat, rozšiřovat ani upravovat bez souhlasu rady zaměstnanců. Orgány pro ochranu osobních údajů na státní úrovni (16 spolkových zemí) pravidelně ukládají pokuty za nedodržení konzultací. BDSG §26 stanoví přísnější výchozí podmínky pro uchovávání informací než obecné GDPR – typickým stropem je 72 hodin.

Polsko ( RODO + Kodeks pracy). Článek 22² zákoníku práce povoluje používání kamerového systému v práci, ale pouze pro zajištění bezpečnosti, ochranu majetku, sledování výroby nebo zachování důvěrnosti. Jeho umístění musí být upraveno v pracovním řádu (regulamin pracy) a oznámeno zaměstnancům nejméně 14 dní před aktivací. Úřad pro ochranu pracovníků (UODO) je stále aktivnější – pokuty za nedostatečné značení a neodůvodněné zadržování jsou časté.

Francie (pokyny CNIL + Code du travail). Je vyžadována konzultace s radou zaměstnanců podle článku L2312-38. CNIL zveřejnila závazné pokyny omezující uchovávání údajů na 30 dní, s výjimkou konkrétních incidentů. Kamery nesmí nepřetržitě natáčet pracovní stanice zaměstnanců a musí se zcela vyhnout prostorům odpočinkových místností. Pokuty CNIL za narušení bezpečnosti při kamerovém systému na pracovišti se pohybují od 1 000 do 600 000 a více eur.

Itálie (Garante + Statuto dei Lavoratori článek 4). Jeden z nejpřísnějších režimů. Článek 4 zákona o zaměstnanosti zakazuje instalaci sledovacích zařízení pro přímé sledování zaměstnanců a vyžaduje kolektivní smlouvu (s radou zaměstnanců, nebo pokud to není možné, s povolením regionálního inspektorátu práce) před nasazením jakéhokoli systému, který náhodně zachycuje činnost zaměstnanců.

Spojené království (britské GDPR + zákon o ochraně osobních údajů z roku 2018 + kodex pracovních postupů ICO). Konzultace s radou zaměstnanců se doporučuje, ale není povinná. Kodex pracovních postupů ICO je považován za směrodatný návod a orgány pro vymáhání údajů se na něj často odvolávají. Standardní doba uchovávání je 30 dní; delší doba uchovávání vyžaduje zdokumentovaný incident.

Běžná selhání v oblasti dodržování předpisů (a jejich náklady)

• Kamery na toaletách, v šatnách nebo odpočívadlech – automatické šestimístné pokuty v celé EU.
• Uchovávání na dobu neurčitou nebo 90+ dní bez doloženého odůvodnění – časté pokuty v nízkých pětimístných částkách.
• Žádné značení nebo značení pouze v jednom jazyce na vícejazyčných pracovištích – typicky 5 000–25 000 EUR.
• Žádné posouzení vlivu na ochranu osobních údajů v spisu – stále častěji vnímáno jako přitěžující okolnost, která znásobuje podkladový trest.
• V Německu / Francii / Itálii se nekonají konzultace s radou zaměstnanců – celé nasazení může být zpětně neplatné.
• Živý přenos přístupný manažerům bez protokolování přístupu – porušuje jak principy minimalizace, tak i odpovědnosti.
• Záznam zvuku bez samostatného odůvodnění – se zvukem pracovních rozhovorů se zachází přísněji než s videem.

Kontrolní seznam před nasazením, který obstojí

Před zatažením prvního kabelu: (1) vypracovat posouzení vlivu na ochranu osobních údajů (DPIA) zahrnující účel, proporcionalitu, alternativy, minimalizaci zorného pole ( FOV a uchování informací; (2) aktualizovat oznámení o ochraně osobních údajů a příručku pro zaměstnance s ohledem na nové zpracování; (3) v případě potřeby konzultovat s radou zaměstnanců / odborovou organizací a získat písemný souhlas; (4) navrhnout mapu FOV zobrazující přesné pokrytí s testem proporcionality anotovaným pro každou kameru; (5) vytvořit značení ve všech jazycích pracoviště; (6) definovat pravidla uchovávání informací a technickou kontrolu, která je vymáhá; (7) jmenovat správce protokolu přístupu; (8) proškolit bezpečnostní tým v pracovním postupu pro přístup subjektu údajů.

CCTVplanner vytváří (4) přímo – umístěte pozice kamer na půdorys, zablokujte kužely FOV, exportujte popsaný PDF s anotací testu proporcionality pro každou kameru a připojte jej k dodatku DPIA. Recenzent DPA přečte stejný artefakt, který jste zkontrolovali.