Nové doporučení Úřadu pro ochranu osobních údajů k využití kamer na bezpilotních letadlech

Úřad pro ochranu osobních údajů ve svém nedávném Doporučení reagoval na neustále se zvyšující technologický pokrok dronů, který je v kombinaci s pořizováním videozáznamů způsobilý negativně zasáhnout do soukromí a důstojnosti jedinců. Doporučení vychází z již dříve uveřejněného stanoviska ÚOOÚ z ledna 2013.

Zpracování osobních údajů získávaných prostřednictvím kamer umístěných na dronech se řídí primárně nařízením GDPR, přičemž je však nutné zohlednit i další platnou legislativu. Nařízení se ovšem nevztahuje na situace, kdy:

• nejsou pořizovány záběry umožňující identifikaci fyzických osob, případně je pořízen záběr umožňující identifikaci fyzické osoby, avšak takový záběr je nahodilý, nechtěný a je ze zpracování osobních údajů ihned vyloučen;

• videozáznamy jsou pořizovány pro osobní potřebu (typicky na svém pozemku), jsou získávány osobní údaje pouze členů domácnosti a tyto videozáznamy nejsou sdíleny s veřejností; pokud by však videozáznamy byly následně neomezeně zpřístupněny veřejnosti, GDPR se již uplatní;

• videozáznamy jsou pořízené drony Policie ČR či jinými příslušnými orgány v rámci boje s trestnou činností (tyto situace jsou dále upraveny zákonem o ochraně osobních údajů, případně též příslušnými předpisy upravujícími pravomoci Policie ČR);

• kamerové systémy jsou využívány pro novinářské účely (pro tyto účely by však neměl být případný zásah do soukromí jedince nepřiměřený).

Podmínky pro provozovatele dronů

Obecně jsou ve spojitosti se zpracováním osobních údajů při identifikaci fyzických osob na záznamech pořízených z kamer dronů kladeny podmínky na jeho provozovatele, který může vystupovat buď v pozici správce, nebo zpracovatele osobních údajů.

Samotné zpracování údajů pak musí probíhat v souladu s čl. 5 GDPR, tedy musí být zejména prováděno korektním, zákonným a transparentním způsobem pro určité, výslovně vyjádřené a legitimní účely, musí být přiměřené, relevantní, přesné a aktuální, dostatečně zabezpečené (včetně zabezpečení dronu a samotných pořízených záběrů) a omezené na nezbytný rozsah a nezbytně dlouhou dobu (v praxi by mělo postačit 72 hodin).

Co nejmenšího zásahu do soukromí může  pak Provozovatel dosáhnout zejména  nastavením záběru kamer, zablokováním  některých funkcí kamer, omezením  přídavných či vestavěných technologií apod.  Za legitimní účely zpracování se pak bude  v praxi považovat zejména ochrana majetku,  zvýšení bezpečnosti osob či další účely  (prevence, řešení mimořádných událostí  apod.). Provozovatele rovněž nemine  povinnost informovat subjekty údajů  v souladu s čl. 13 GDPR, což může učinit  zejména na svých webových stránkách nebo  prostřednictvím veřejných sdělovacích  prostředků nebo obecným rozhlasem.  Provozovatel by také neměl zapomínat ani  na soulad s metodikou zpracování osobních údajů získaných pomocí kamerových systémů, kterou v minulosti uveřejnil ÚOOÚ. 

V praxi pak lze každému provozovateli dronu  doporučit, aby po ukončení letu prověřil,  jaké záběry byly během letu dronu pořízeny,  zda tyto obsahují záběry umožňující  identifikaci fyzických osob a zda jejich  pořízením nebyly porušeny zmíněné právní  povinnosti ochrany osobních údajů a pokud  ano, tyto záběry ihned upravit či odstranit.

Odpovědnost výrobců dronů

Povinnosti však nestíhají pouze provozovatele dronu, ale také již jejich výrobce, kteří by měli u svých dronů zajistit pro provozovatele možnost volby takového dronu s kamerovým systémem, který bude co nejméně zasahovat do soukromí fyzických osob a bude předcházet nechtěnému získání osobních údajů.

Sankce a problémy z praxe

Porušení povinností plynoucích z právních předpisů na ochranu osobních údajů může ÚOOÚ sankcionovat. Je však vhodné upozornit na problematiku pořízených záznamů, které jsou bezprostředně přenášeny do záznamového zařízení umístěného v obydlí provozovatele. Jak totiž ÚOOÚ výslovně uvedl, v současné době nedisponuje pro tyto situace dostatečným zákonným oprávněním pro vstup do obydlí provozovatele a není tak oprávněn získat a zkontrolovat dané zařízení, resp. záběry na něm uložené. Jednání správce osobních údajů v rozporu s nařízením tak může v těchto případech zůstat neprověřeno.