Bezpečnostní kamery ve společných prostorách: Soulad s GDPR a informační povinnosti

Bezpečnostní kamery ve společných prostorách: kontext, cíle a rámec odpovědnosti

Monitorování společných prostor (vchody, chodby, lobby, parkoviště, skladové zóny) je běžným prvkem správy nemovitostí a provozoven. Provozovatelem je obvykle vlastník budovy, společenství vlastníků bytových jednotek (SVJ), správcovská společnost nebo nájemce s oprávněním. Jakékoliv kamerové monitorování zpracovává osobní údaje, a proto podléhá GDPR a souvisejícím národním předpisům. Tento článek poskytuje praktický návod, jak nastavit kamerový systém v souladu s právem, bezpečně a transparentně.

Právní základ zpracování a zásada nezbytnosti

Legitimní zájem (čl. 6 odst. 1 písm. f GDPR): Ochrana majetku, bezpečnosti osob a prevence incidentů je typicky oprávněným zájmem. Musí však projít testem proporcionality a balancing testem (vyvážení vůči právům dotčených osob).
Právní povinnost (čl. 6 odst. 1 písm. c): Výjimečně, pokud zvláštní zákon vyžaduje kamerový dohled (např. kritická infrastruktura). V realitní praxi vzácné.
Souhlas: Nevhodný pro společné prostory – není svobodný a odvolatelný bez negativních důsledků pro osoby potřebující vstup.

Zásada minimalizace znamená nenamonitorovat více, než je nezbytné pro zvolený účel (nikoli „pro jistotu“). Prioritizujte vchody, exponovaná místa, vyhněte se trvalému sledování relaxačních zón, dětských koutků či míst s vysokým očekáváním soukromí.

Mapa zpracování (Record of Processing) a DPIA

Registr zpracovatelských činností (čl. 30 GDPR): Uveďte účely, právní základ, kategorie dotčených osob, kategorie údajů (video, popis událostí), příjemce, lhůty vymazání a technická a organizační opatření.
Posouzení dopadu na ochranu osobních údajů – DPIA (čl. 35): Doporučuje se při rozsáhlejším, systematickém nebo 24/7 monitoringu, případně pokud hrozí vysoké riziko. Výstupem je seznam rizik a jejich mitigací (maskování, omezení zorného pole, retenční politiky).
Balancing test: Prokažte, že přínosy (prevence, objasňování) převažují nad zásahy do soukromí a že opatření riziko výrazně snižují.

Informování podle čl. 12–14 GDPR: vrstvené a praktické

Informování musí být jasné, dostupné a včasné – tedy ještě před tím, než je osoba snímána. Doporučuje se vrstvený model:

1. vrstva – tabule u vchodu (stručné oznámení): piktogram kamery, účel (bezpečnost), provozovatel, kontakty, základní informace o právech a odkaz/kód na plnou verzi.
2. vrstva – úplná pravidla na webu nebo vývěsce: právní základ, kategorie údajů, doba uchovávání, příjemci (např. bezpečnostní služba, pojišťovna, policie), přenosy do třetích zemí, kontakt na pověřence pro ochranu osobních údajů (pokud je jmenován), postup uplatnění práv, zdroje (pokud nejde o přímý záznam).

Vzor krátkého oznámení – tabule u vchodu

(přizpůsobte pro vaši budovu)

POZOR, PROSTOR JE MONITOROVÁN
Účel: ochrana osob a majetku, prevence incidentů
Provozovatel: Správa Budovy, a.s., Prievozská 10, 821 09 Bratislava, privacy@spravabudovy.sk
Právní základ: oprávněný zájem (čl. 6 odst. 1 písm. f GDPR)
Doba uchování: max. 72 hodin (v případě incidentu do ukončení vyšetřování)
Práva: přístup, výmaz, omezení, námitka – zašlete žádost na uvedený kontakt
Podrobnosti a pravidla: www.spravabudovy.sk/gdpr-kamery (QR kód)

Omezení a zakázané oblasti snímání

Šatny, toalety, wellness, dětské koutky: Snímání je zpravidla nepřípustné. Při extrémní potřebě volte alternativy (senzory otevření dveří, kontrola přístupu) a důsledně anonymizujte.
Pracoviště a pracovní místa: Přímé sledování pracovního výkonu není legitimním účelem běžného kamerového systému ve společných prostorách. Konzultujte pracovněprávní limity.
Audiozáznam: Zpravidla nepřiměřené a vysoce rizikové. Aktivujte pouze ve výjimečných, odůvodněných scénářích (např. interkom SOS) s jasným informováním.
Biometrie / rozpoznávání tváře: V běžné správě nemovitostí se nedoporučuje. Jde o zvláštní kategorii údajů vyžadující mimořádně přísné podmínky.

Technická a organizační opatření (čl. 32 GDPR)

Šifrování a přístup: Přenos RTSP/HTTPS, uložení v zašifrované podobě. Přístupy v režimu least privilege, na základě rolí, 2FA pro administrátory.
Segmentace sítě: Kamery a NVR v oddělené VLAN, pravidla firewallu, zákaz přístupu z internetu, vzdálený přístup jen přes VPN.
Zesílení zabezpečení zařízení: Deaktivace výchozích účtů, rotace hesel, pravidelné aktualizace firmwaru, deaktivace nepotřebných služeb (UPnP, P2P).
Maskování a zonování: Softwarové masky pro soukromé zóny (okna bytů, dveře do bytů), omezení zorného pole jen na společné části.
Retenční politika: 48–168 hodin podle rizika. Delší uchování jen při incidentu nebo zákonné povinnosti.
Logování a audit: Záznam přístupů, exportů a přehrávání. Pravidelný audit přístupů a test obnovy ze záloh.

Doba uchování a proces vymazání

Vyberte co nejkratší dobu, která umožní detekovat a nahlásit incident (často 72 hodin). Zaveďte:

Automatické přepisování v cyklu s garancí, že po uplynutí lhůty nejde data obnovit.
Incidentní hold: při bezpečnostní události uzamkněte příslušné záznamy do ukončení vyšetřování s evidencí důvodu a osoby.

Vztah provozovatel – zpracovatel a smlouvy

Smlouva o zpracování (čl. 28 GDPR): Pokud údržbu, monitoring nebo PCO zajišťuje dodavatel, musí existovat smlouva pokrývající předmět, dobu trvání, povahu a účely zpracování, typ údajů, kategorie osob a bezpečnostní opatření.
Sub-zpracovatelé: Předem schválení, se stejnou úrovní závazků. Transparentní seznam dostupný dotčeným osobám.
Mezinárodní přenosy: Pokud se využívá cloud mimo EHP, ověřte právní základ přenosu (SCC, doplňující opatření).

Uplatnění práv dotčených osob

Osoby mají právo na přístup, výmaz, omezení, přenositelnost (prakticky omezenou), námitku. V praxi:

Identifikace žadatele: Bezpečný způsob ověření identity (bez nadměrného sběru údajů). Neposkytujte záznamy třetích osob – anonymizujte nebo poskytněte výpis (popis incidentu).
Lhůty: Odpovězte do 1 měsíce (s možností prodloužení při složitosti).
Námitka: Při legitimním zájmu umožněte posouzení a odůvodnění pokračování nebo úpravy režimu snímání.

Specifika bytových domů a SVJ

Rozhodování vlastníků: Doporučuje se formální hlasování/rezoluce s vymezením účelu, rozsahu, umístění kamer, doby uchování a odpovědností.
Transparentnost: Seznamte nájemce a vlastníky (vývěska, newsletter, portál). Pravidelné zprávy o incidentech a auditech přístupů zvyšují důvěru.
Přístupy k záznamům: Pouze určené osoby (správce, předseda SVJ) a pouze na oprávněný účel.

Specifika komerčních objektů a retail parků

Rozhraní nájemce – vlastník: V nájemní smlouvě upravte, kdo je provozovatelem pro kterou zónu, jaké jsou kontaktní údaje pro GDPR žádosti a incidenty.
Synchronizace s EPS/PCO: Definujte události, při kterých se kamera automaticky zaměřuje na zónu (bez nepřiměřeného rozšíření účelu).
Marketingové využití: Zákaz sekundárního využití záznamů pro marketing (např. počítání návštěvnosti) bez samostatného právního posouzení a anonymizace.

Řízení incidentů a spolupráce s policií

Logovaný přístup k exportu: Kdo, kdy, proč exportoval. Archiv s hashováním souborů (integrita důkazu).
Legální předání policii: Na základě zákonného oprávnění nebo výzvy. Dokumentujte právní titul a rozsah sdílených záznamů (pouze nezbytnou část).
Ohlášení porušení ochrany údajů: Při úniku záznamů posuďte povinnost notifikace dozorovému orgánu a dotčeným osobám.

Riziková matice a mitigace

Riziko	Pravděpodobnost	Dopad	Mitigace
Nepřiměřené pokrytí (over-monitoring)	Střední	Vysoký	DPIA, maskování, omezení zorných polí, pravidelný audit
Únik záznamů nebo neoprávněný přístup	Nízká–střední	Vysoký	Šifrování, 2FA, segmentace sítě, logování, penetrační testy
Nedostatečné informování dotčených osob	Střední	Střední	Vrstvená oznámení, pravidelná revize textů, QR kódy
Nadměrná doba uchování	Střední	Střední	Automatické přepisování, incidentní hold s odůvodněním
Nesprávná reakce na žádosti osob	Nízká	Střední	Interní postup, školení personálu, šablony odpovědí

Kontrolní seznam před spuštěním systému

Definujte účel a právní základ; proveďte balancing test a podle potřeby DPIA.
Vypracujte záznam v registru zpracování (čl. 30) a retenční politiku.
Naprojektujte zorná pole a maskování, vyhněte se zakázaným zónám.
Zajistěte síť, přístupy, šifrování a logování; nastavte 2FA.
Uzavřete smlouvu se zpracovatelem (čl. 28), ověřte subdodavatele.
Implementujte vrstvené informování: tabule + úplná pravidla (web/QR).
Zaveďte procesy žádostí (přístup, výmaz, námitka) a řízení incidentů.
Otestujte obnovu záloh a export důkazů s kontrolou integrity.
Zaškolte personál a určete odpovědné osoby; nastavit pravidelný audit.

Standardy provozu a auditu

Periodicita: Technický audit 1× ročně, bezpečnostní audit 1× ročně, revize textů informování při každé významné změně.
Ukazatele: Počet přístupů k záznamům/měsíc, incidenty a doba jejich řešení, počet a vyřízení žádostí dotčených osob, soulad s retenční politikou.
Dokumentace: Konfigurační záznamy, deník změn, seznam oprávněných osob, protokoly exportů a předání policii.

Nejčastější chyby a jak se jim vyhnout

„Snímejme vše“ – nepřiměřené; vždy obhajte každý záběr účelem.
Příliš dlouhá doba uchování – zkraťte a aplikujte uzamčení záznamu jen podle potřeby.
Nekonzistentní informování – rozdíly mezi tabulí a webem; udržujte jednotný a aktuální obsah.
Slabé přístupy – chybí 2FA, sdílené účty; zaveďte individuální účty a pravidelnou revizi oprávnění.
Marketingové sekundární využití bez nového právního posouzení – vyhněte se profilování a analýze pohybu bez anonymizace.