Úvod
Témou k napísaniu tohto článku bola pre mňa dokumentácia jedného z našich klientov, ktorá sa týkala spracúvania osobných údajov prostredníctvom kamerového systému. Vypracovaná bola priamo jeho dodávateľom. Pekne a podrobne opisovala všetky účely spracúvania, posúdenie oprávneného záujmu prevádzkovateľa, ako aj hodnotenie rizikovosti spracúvania. Chýbala jej však jedna dôležitá časť, ktorou je posúdenie vplyvu na ochranu údajov podľa čl. 35. Prevádzkovateľ totiž využíva kamery aj na kontrolu pracovnej disciplínu svojich zamestnancov.
Užitočnosť kamier
Mnoho firiem, menších alebo väčších prevádzkovateľov, chráni svoj majetok prostredníctvom kamerového systému. Vytvorený záznam je uchovávaný niekoľko dní a v prípade potreby využívaný nielen samotným prevádzkovateľom, ale často v rámci procesu poskytnutia súčinnosti, aj orgánmi postupujúcimi podľa osobitných zákonov (napríklad políciou). Je jasné, že v týchto prípadoch dochádza poväčšine aj k spracúvaniu osobných údajov a jednotlivcov je možné na vytvorených záznamoch identifikovať.
Nový účel spracúvania
Čo však v prípade, ak je prevádzkovateľom kamerového systému zamestnávateľ, ktorý sa rozhodne, že ho využije aj pre potreby kontroly pracovnej disciplíny svojich zamestnancov? Možno si povie, že kamerový systém mu predsa bezproblémovo beží už niekoľko rokov, a je len na škodu, že ho nevyužíva aj na sledovanie pracovnej morálky svojich zamestnancov. Úvaha je to logická, nesmieme však zabudnúť (okrem iných dôležitých zásad) na posúdenie rizikovosti plánovaného spracúvania na práva a slobody dotknutých osôb. Teda zamestnancov, ktorí budú odteraz pod starostlivým dohľadom kamier.
Požiadavka z nariadenia
K posúdeniu rizikovosti nás nabáda všeobecné nariadenie o ochrane údajov, a to prostredníctvom svojho čl. 35. Pozor však, nariadenie nám uvádza oblasti spracúvania, ktoré vždy podliehajú posúdeniu vplyvu len príkladmo. To znamená, že aj keď sa nám na prvý pohľad zdá, že s naším novým monitoringom zamestnancov je všetko v poriadku a povinnosť posúdenia vplyvu sa nás netýka lebo:
- prostredníctvom kamier predsa nehodnotíme osobnostné aspekty fyzických osôb, ktoré sú založené na automatizovanom spracovaní vrátane profilovania a z ktorého vychádzajú rozhodnutia s právnymi účinkami týkajúcimi sa fyzickej osoby alebo s podobne závažným vplyvom na ňu (čl. 35 ods. 3 písm a) všeobecného nariadenia),
- ani vo veľkom rozsahu nespracúvame kategóriu osobných údajov, alebo osobné údaje, ktoré sa týkajú sa uznania viny za trestné činy a priestupky (čl. 35 ods. 3 písm b) všeobecného nariadenia),
- a už vôbec systematicky nemonitorujeme verejne prístupné miesta vo veľkom rozsahu (čl. 35 ods. 3 písm c) všeobecného nariadenia),
nemusí tomu tak byť.
Preto, aby sme si boli úplne istí, že sme nič dôležité neprehliadli (predsa len, spoliehať sa iba na príkladmý výpočet z nariadenia, nemusí byť práve postačujúce), pomôžeme si:
- kritériami, ktoré vydala ešte pracovná skupina podľa smernice 95/46/ES (táto smernica bola síce nahradená všeobecným nariadením o ochrane údajov a pracovná skupina Európskym zborom pre ochranu osobných údajov, ich výstupy sú však dodnes inšpiratívne a mnohokrát nám aj dnes stále pomáhajú)
- a zoznamom tých spracovateľských operácií, ktoré vypracoval Úrad na ochranu osobných údajov SR, ktoré vždy podliehajú posúdeniu vplyvu.
Pričom oba tieto dokumenty veľmi úzko súvisia.
Kritéria pracovnej skupiny
V usmernení, ktoré sa týka posúdenia vplyvu na ochranu údajov a stanovenie toho, či na účely nariadenia 2016/679 spracúvanie „pravdepodobne povedie k vysokému riziku“ (usmernenie označované aj ako WP 248) nájdeme 9 kritérií. Pričom, ak posudzujeme také spracúvanie, ktoré spĺňa minimálne dve z nich, potom je potrebné ho považovať za spracúvanie, ktoré si vyžaduje posúdenie vplyvu. Pri monitoringu zamestnancov by to bolo splnenie minimálne:
- kritéria č. 3, ktorým je systematické monitorovanie
- a kritéria č. 7, ktorým je spracúvanie osobných údajov zraniteľných osôb (za zraniteľné osoby totiž v kontexte posúdenia vplyvu považujeme aj zamestnancov).
Veľmi zrozumiteľne je vysvetlené posudzovanie rizikovosti spracúvania tzv. kriteriálnou analýzou, ktorú zverejnil na svojich webových stránkach český Úřad pro ochranu osobních údajů. Okrem iného v nej berie do úvahy napríklad:
- mieru monitorovania dotknutých osôb (či napríklad dotknuté osoby sú alebo nie sú identifikované alebo identifikovateľné, alebo či je ich možné lokalizovať
- charakter osobných údajov (či posudzujeme také spracúvanie, ktorého súčasťou sú aj osobitné kategórie alebo napríklad len bežná kategória údajov)
- či množstvo osobných údajov.
Vráťme sa ale späť ku kritériám pracovnej skupiny. Ich využitím by sme mohli konštatovať, že kamerový systém, ktorým monitorujeme zamestnancov a dodržiavanie ich pracovnej disciplíny s vysokou pravdepodobnosťou spadá pod povinnosť posúdenia vplyvu. Zatiaľ však hovoríme len o vysokej pravdepodobnosti, istotu stále nemáme.
Zoznam zverejnený našim úradom
Všeobecné nariadenie o ochrane údajov uvádza, že dozorný orgán vypracuje a zverejní zoznam tých spracovateľských operácií, ktoré podliehajú požiadavke na posúdenie vplyvu. Úrad na ochranu osobných údajov SR preto zverejnil zoznam, ktorý obsahuje celkovo 13 spracovateľských operácií, ktoré vždy podliehajú posúdeniu vplyvu. Je medzi nimi aj:
“Monitoring práce zamestnanca na základe vážnych dôvodov vyplývajúcich z osobitnej povahy činnosti zamestnávateľa (ďalej len„spracúvanie osobných údajov zamestnancov monitorovaním“). Vzhľadom na osobitnú povahu spracúvanie osobných údajov zamestnancov monitorovaním, ktoré spĺňa kritérium spracúvania údajov o zraniteľných dotknutých osobách a kritérium systematického monitorovania, ako dvoch kritérií uvedených v usmernení WP 248, si vyžaduje vykonanie posúdenia vplyvu na ochranu osobných údajov.”
Môžeme preto už s istotou povedať, že kamerový systém, ktorým zamestnávateľ plánuje monitorovať svojich zamestnancov podlieha povinnosti posúdenia vplyvu podľa čl. 35.všeobecného nariadenia.
Záver
Preto, ak ste to práve vy, na koho sa všetci vo firme obracajú s otázkami ochrany osobných údajov alebo priamo zodpovedáte za dodržiavanie týchto pravidiel, preverte si, či s vašim kamerovým systémom aj vy nepodliehate povinnosti posúdenia vplyvu. Malou záchranou by mohlo byť ešte tvrdenie, že vaše spracúvanie predsa prebiehalo už pred účinnosťou všeobecného nariadenia, a že odvtedy nedošlo v ňom k žiadnej zmene rizika v spracúvaní (žiadna novšia technológia, zmena v podmienkach, nová hrozba, nové využitie a pod.). Či tomu však v skutočnosti tak je, keďže nariadenie nám určuje pravidlá už od mája 2018, to už necháme na zhodnotení každého prevádzkovateľa.
Naše odporúčanie znie: V prípade, ak len plánujete monitorovať zamestnancov prostredníctvom kamerového systému, potom najskôr ešte pred spustením systému do ostrej prevádzky vykonajte posúdenie vplyvu. A ak je to už nejaký ten piatok, čo monitorovanie u vás prebieha, potom posúdenie vplyvu zdokumentujte tiež. Možno prostredníctvom neho identifikujete nedostatky a predídete rôznym negatívnym dopadom na vašu firmu, a to nie len z dôvodu chýbajúcej dokumentácie.
Otestujte sami seba, či ste téme dobre porozumeli
Správne odpovede nájdete pod poslednou otázkou.
1. Je zamestnávateľ oprávnený poskytnúť osobné údaje, ktoré sú súčasťou kamerového záznamu aj iným subjektom?
a) Áno, a to podľa vlastného uváženia resp. v dobrej viere.
b) Áno, k poskytnutiu osobných údajov však musí vždy mať právny základ.
c) Nie, získané osobné údaje môže využiť iba pre interné potreby.
2. Môže zamestnávateľ použiť kamerový systém aj ku kontrole pracovnej disciplíny?
a) Nie, za žiadnych okolností.
b) Áno môže, vždy však musí dodržiavať základné zásady spracúvania, ktoré sú uvedené v článku 5 všeobecného nariadenia o ochrane údajov.
c) Áno môže, ak mu to umožňujú technické parametre kamerového systému a zároveň má zamestnávateľ dostatočné personálne zabezpečenie.
3. Je potrebné v súvislosti s monitorovaním pracovnej disciplíny prostredníctvom kamier, posudzovať aj rizikovosť spracúvania podľa čl. 35 všeobecného nariadenia o ochrane údajov?
a) Nie, keďže možnosť monitorovať priestory kamerovým systémom bola zamestnávateľom k dispozícii už podľa zákona č. 122/2013 Z. z. o ochrane osobných údajov.
b) Nie, keďže zamestnanec podpisom pracovnej zmluvy alebo dohody automaticky akceptuje všetky podmienky súvisiace s výkonom práce a je povinný sa im podriadiť, a to bez ohľadu na to, aký dopad budú mať na jeho základné práva a slobody.
c) Áno, prevádzkovateľ vždy posudzuje rizikovosť plánovaných spracovateľských operácií na ochranu osobných údajov (výsledkom napríklad je, že prevádzkovateľ je povinný vykonať posúdenie vplyvu na ochranu údajov).
4. Všeobecné nariadenie o ochrane údajov vo svojom čl. 35 uvádza:
a) Príkladný výpočet operácií spracúvania, pre ktoré sa vyžaduje posúdenie vplyvu.
b) Úplný výpočet operácií spracúvania, pre ktoré sa vyžaduje posúdenie vplyvu
c) Úplný výpočet operácií spracúvania, ktoré vždy povedú k bezpečnostnému incidentu podliehajúcemu oznamovacej povinnosti dozorujúcemu orgánu.
5. Náš kontrolný úrad, ktorým je Úrad na ochranu osobných údajov SR, zverejnil zoznam spracovateľských operácií, ktoré:
a) Nepodliehajú posúdeniu vplyvu, a to z toho dôvodu, že v podmienkach Slovenskej republiky sa okrem všeobecného nariadenia o ochrane údajov riadime aj platným zákonom o ochrane osobných údajov, ktorý minimalizuje všetky rizika súvisiace so spracúvaním osobných údajov v podmienkach zamestnávateľov.
b) Podliehajú posúdeniu vplyvu a je medzi nimi napríklad aj monitoring práce zamestnanca na základe vážnych dôvodov vyplývajúcich z osobitnej povahy činnosti zamestnávateľa.
Správne odpovede: 1b, 2b, 3c, 4a, 5b