GDPR a ochrana soukromí při dálkovém snímání

Proč je ochrana soukromí při dálkovém snímání klíčová

Dálkové snímání drony (UAS/UAV) se rychle prosazuje v městském plánování, zemědělství, bezpečnosti, logistice či environmentálním monitoringu. Současně však vytváří vysoká rizika zásahů do soukromí a ochrany osobních údajů, jelikož senzory dokáží zachytit identifikovatelné osoby, motorová vozidla, domovy, geolokace a behaviorální vzorce. Tento článek systematicky vysvětluje, jak sladit projekty dálkového snímání s GDPR a souvisejícími předpisy, a přináší detailní případové studie s praktickými doporučeními.

Regulační rámec: GDPR, ePrivacy a letecká pravidla

Zpracování obrazových, zvukových a polohových údajů může představovat zpracování osobních údajů podle GDPR, pokud se údaje týkají identifikované nebo identifikovatelné osoby. Kromě GDPR se uplatňují také:

ePrivacy pravidla (zejména při přenosu a uchovávání komunikačních údajů),
letecké předpisy EU (EASA) – kategorie OPEN/SPECIFIC/CERTIFIED a s tím související provozní omezení,
národní letecké a bezpečnostní předpisy (např. ochrana kritické infrastruktury, zákazy snímání vybraných objektů),
předpisy na ochranu osobnosti, obydlí a vlastnických práv.

Základní pojmy a role: kdo za co odpovídá

Provozovatel: subjekt, který určuje účel a prostředky zpracování (např. město, stavební investor, zemědělský podnik).
Zpracovatel: provádí zpracování jménem provozovatele (např. smluvní poskytovatel leteckého průzkumu).
Osobní údaje: obrazový, zvukový, polohový nebo derivační údaj (trajektorie, tepelné mapy), pokud se vztahuje k identifikovatelné osobě.
Zvláštní kategorie: údaje odhalující zdraví, biometrické identifikátory, politické názory apod.; u dronů to může být např. inference z tepelných snímků či zpracování tvářových znaků.

Technologický kontext: které senzory zvyšují riziko

RGB/HR video: vysoké rozlišení umožňuje identifikaci osob, evidenčních čísel vozidel, tváří, detailů obydlí.
Termální a multispektrální senzory: riziko inference o zdravotním stavu nebo aktivitách (např. přítomnost osob v budově).
LiDAR: 3D modely mohou obsahovat přesné geometrie soukromých prostor.
Zvukové snímání: zachycuje hlas nebo konverzace (citlivý obsah).
Telemetrie a geolokace: logy letů, časové značky a trasy mohou nepřímo identifikovat osoby.

Právní základy zpracování: výběr a důkazní břemeno

Každý projekt musí jasně určit právní základ a prokazatelně jej zdokumentovat:

Souhlas (čl. 6 odst. 1 písm. a)): obtížně aplikovatelný na veřejných prostranstvích; vhodný pro uzavřené areály s informovanými osobami.
Smlouva (b)): když je snímání nezbytné pro plnění smlouvy s dotčenou osobou.
Právní povinnost (c)): např. zákonná povinnost dokumentace stavby nebo bezpečnosti.
Veřejný zájem/vykonávání veřejné moci (e)): městské mapování, záchranné operace, environmentální kontroly podle zákona.
Legitimní zájem (f)): nejčastější v praxi; vyžaduje test účelu, nezbytnosti a vyváženosti se zájmy osob, včetně balancing testu a posouzení přiměřených očekávání.

DPIA: hodnocení dopadu na ochranu údajů jako povinný krok

Při systematickém monitorování veřejně přístupných prostorů ve velkém rozsahu je DPIA prakticky vždy nezbytné. Minimální obsah:

Detailní popis zpracování (účel, mapy toků, kategorie údajů, senzory, rozsah a periodicita snímání).
Posouzení nezbytnosti a proporcionality (proč dron a ne alternativa s menším dopadem).
Identifikace rizik (reidentifikace, sekundární použití, neoprávněný přístup, inference).
Opatření ke zmírnění (technická a organizační), reziduální rizika a rozhodnutí o přijetí/odmítnutí.

Minimalizace a design ochrany soukromí již od návrhu

Specifikace záběru: letové koridory a omezení gimbalu tak, aby se vyhnuly oknům, dvorkům, dětským hřištím.
On-device filtrace: maskování tváří/evidenčních čísel, pixelace, snížení rozlišení ještě před uložením.
Pseudonymizace a anonymizace výstupů; oddělení klíčů, rotace identifikátorů.
„No-record“ režimy: při průzkumných letech ukládat pouze odvozené mapové vrstvy bez surového videa.
Geofencing a ODD: geografické zóny s vypnutou akvizicí nebo s přísnějším omezením FOV.

Transparentnost a informování dotčených osob

Provozovatel musí přiměřeně informovat ještě před zpracováním. U dronů se doporučuje kombinace:

viditelné piktogramy a oznámení v oblasti letu (místo startu/přistání, web s detaily, QR kód),
online oznámení s harmonogramem misí, účelem a kontaktem na DPO,
mechanismus uplatnění práv (přístup, výmaz, námitka) a jasná SLA pro reakci.

Bezpečnost zpracování: od šifrování po audit trail

Šifrování přenosu (C2/telemetrie, video downlink) a šifrování úložiště na palubě i v cloudu.
Řízení přístupu: RBAC/ABAC, nejmenší oprávnění, segmentace sítí.
Integrita: podepisování záznamů, hash řetězce, vodoznaky proti manipulaci.
Logování: nezcizitelný audit trail s časovou synchronizací a retenčními pravidly.
Dodavatelský řetězec: hodnocení zpracovatelů a bezpečnostní doložky ve smlouvách.

Retence a likvidace: jak dlouho a v jaké formě

Stanovte minimální potřebné lhůty a jasné spouštěče vymazání. Upřednostněte odvozené, agregované a anonymizované vrstvy před uchováváním surových dat. Zavádějte neobnovitelné mazání a periodické testy obnovy záloh (disaster recovery).

Mezinárodní přenosy a sdílení dat

Pokud data opouštějí EHP, uplatňují se pravidla přenosu (rozhodnutí o přiměřenosti, standardní smluvní doložky, doplňující opatření). Sdílení s třetími stranami (např. pojišťovna, výzkumný partner) musí mít právní základ a přísné omezení účelu.

Tabulka: mapování typických účelů na právní základy a opatření

Účel	Právní základ	Klíčová opatření	Retence
Městské mapování	Veřejný zájem (e)	Anonymizace výstupů, geofencing, DPIA	Agregáty trvale, surové max. 30 dní
Stavební dozor	Legitimní zájem (f)	Maskování okolních objektů, přístupové role	Do konce záruční doby
Agromonitoring	Legitimní zájem (f) / smlouva (b)	Bez personálních identifikátorů, nízké rozlišení	Sezónní retence (1–2 roky)
Bezpečnostní hlídky	Právní povinnost (c) / veřejný zájem (e)	Silné šifrování, audit trail, DPIA	Dle zákona, typicky 15–90 dní
Marketing akcí	Souhlas (a)	Opt-out zóny, nezachytávat tváře bez souhlasu	Do konce kampaně

Případová studie 1: Městské 3D mapování historického centra

Související situace: Město chce aktualizovat digitální dvojče pro plánování dopravy a obnovu fasád.

Rizika: zachycení obyvatel na balkónech, interiérů přes okna, evidenčních čísel vozidel.
Opatření: lety mimo špičky, trajektorie nad ulicemi (nikoliv nad dvorem), geofencing u škol a nemocnic, maskování oken, automatické rozmazání tváří/evidenčních čísel přímo v zařízení, použití LiDARu s agregací bez textur tváří.
Právní základ: veřejný zájem; DPIA provedeno, projekt komunikován předem s interaktivní mapou termínů.
Výsledek: publikované 3D modely bez identifikovatelných detailů, surová data vymazána do 30 dní.

Případová studie 2: Stavební dozor v husté obytné zóně

Související situace: Zhotovitel dokumentuje postup prací pomocí týdenních přeletů.

Rizika: neúmyslné snímání sousedních dvorů a osob, které nejsou účastníky smlouvy.
Opatření: definované FOV, „blackout polygony“ nad citlivými zónami, nahrazení videa časosběrem s nízkým FPS a rozlišením, smluvní doložky o zpracování se zpracovatelem.
Právní základ: legitimní zájem s balancing testem; zveřejněná oznámení na staveništi a webový info-portál.
Výsledek: nulová míra incidentů; reklamace vyřízeny do 10 dní přes online formulář.

Případová studie 3: Zemědělské multispektrální snímání

Související situace: Farmář monitoruje vitalitu porostů a zavlažování.

Rizika: nízká – snímky obvykle neobsahují osoby; riziko přenosu mimo EHP při cloudovém zpracování.
Opatření: anonymizované indexy (NDVI, NDRE), lokální zpracování, zákaz snímání při sousedních obytných zónách; smluvní doložky se zpracovatelem a kontrola transferů.
Právní základ: smlouva s farmářem/legitimní zájem.
Výsledek: dlouhodobé mapy bez osobních údajů, retence 2 sezóny.

Případová studie 4: Záchranné operace a vyhledávání osob

Související situace: složky IZS nasazují termální drony v noci.

Rizika: zpracování citlivých údajů (zdravotní inference), zásah do soukromí v soukromých prostorách.
Opatření: právní základ veřejný zájem, přísná ACL, šifrování, okamžitá pseudonymizace, zákaz sekundárního použití, retence pouze pro účely vyšetřování.
Výsledek: přístup pouze autorizovaným osobám, surové záznamy po ukončení případu likvidovány.

Případová studie 5: Marketingové lety nad festivalem

Související situace: organizátor chce záznamy z davu a influencer videa.

Rizika: rozsáhlé snímání veřejně přístupných prostorů, identifikace osob, dětí.
Opatření: právní základ – souhlas (jasně komunikovaný při vstupu), vyhrazené zóny bez snímání, možnost opt-out náramkem/zonací, zákaz rozpoznávání tváří, makrozáběry z větší výšky.
Výsledek: materiál bez detailních portrétů bez souhlasu; reklamace řešeny vystřižením záznamu.

Případová studie 6: Ochrana průmyslového areálu

Související situace: drony s automatizovanými hlídkami a analýzou narušení.

Rizika: monitorování zaměstnanců (profilování), snímání okolních ulic.
Opatření: právní základ – legitimní zájem s důsledným balancing testem; přesné vymezení trasy v perimetru, zakázané snímání mimo areál, DPIA, pracovněprávní informování zaměstnanců, zákaz využívání záznamů k výkonovým hodnocením.
Výsledek: incidenty klesly, přesto zaměstnanci mají garantováno právo námitky a přístupu.