Drony, kamery a zase to GDPR

Létat si po krajině s dronem může být příjemnou zábavou a odreagováním. Drony ale také slouží k ostraze objektů, hlídání lesů před požáry, monitoringu dopravy nebo přenášení záběrů z kulturních akcí. Znáte všechna pravidla, která pro provoz bezpilotních letounů platí?

Jak je regulován provoz dronů?

Pravidla pro provoz bezpilotních, resp. dálkově řízených letadel, jsou podrobně upravena v evropské i české legislativě. Úřad pro civilní letectví, který je v této oblasti hlavních dozorovým úřadem, vede Registr dálkově řídících pilotů, kde je zapsáno více než 60.000 osob. V Evidenci provozovatelů bezpilotních systémů je pak uvedeno více než 56 tisíc subjektů. Drony jsou v České republice skutečně populární a rozšířené, nejen jako koníček, ale i jako pomocník při zajištění řady činností.

Regulace provozu dálkově řízeních letadel upravuje především technické požadavky, způsobilost jejich pilotů a základní pravidla pro provoz dronů, například zákaz pohybu nad hustě osídlenými oblastmi, létání přímo nad lidmi, pohyb v okolí letišť atd. Za porušení těchto pravidel pak hrozí podle § 92c zákona o civilním letectví pokuty až do výše 3 milionů Kč.

Dron s kamerou podléhá také GDPR

V případě, že dron obsahuje technické zařízení, které umožňuje online přenos záběrů oblastí, přes které přelétává, nebo dokonce pořizování jejich záznamu, je na místě řešit i ochranu osobních údajů. Pokud se totiž na pořízeném záběru budou vyskytovat fyzické osoby, může docházet ke zpracování osobních údajů ve smyslu obecného nařízení o ochraně osobních údajů (GDPR). Za jehož porušení mimochodem hrozí výrazně vyšší pokuty než za porušení zákona o civilním letectví.

A právě aplikací GDPR na dálkově řízená letadla, která jsou vybavena kamerou, se zabývá nová metodika Úřadu pro ochranu osobních údajů.

Jaké hlavní otázky metodika řeší?

• Na které drony s kamerou se GDPR uplatní a na které ne?

• Jaké je postavení provozovatele dronu z pohledu odpovědnosti za zpracování a ochranu dat?

• Které povinnosti a základní principy zpracování osobních údajů jsou při provozu dronu s kamerou klíčové?

Není kamera jako kamera

Provoz kamer a kamerových systémů podléhá GDPR v případě, kdy přenáší či uchovává obrazové záběry identifikovatelných fyzických osob. To, zda jsou dotčené lidé identifikovatelní, je nutné posuzovat s ohledem na další okolnosti a informace, například místo a čas pořízení záběru, místní specifika atd. Pro posouzení, jestli daná kamera zpracovává osobní údaje ve smyslu GDPR, je důležitá i kvalita, resp. rozlišení pořizovaných záběrů. Bližší výklad obsahuje obecná metodika ÚOOÚ ke kamerám a kamerovým systémům, kterou je nutné v obecné rovině uplatnit i na bezpilotní letouny vybavené obrazovým snímacím zařízením.

GDPR se naopak nevztahuje na kamery, ať už létající nebo statické, které:

• Provozuje fyzická osoba čistě v jí vlastněných nebo výlučně užívaných prostorách.  V tomto případě se uplatní tzv. osobní výjimka z působnosti GDPR.

• Využívá, resp. provozuje Policie ČR, případně jiné za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů. Zpracování osobních údajů se v tomto případě řídí zvláštním zákony.

• Jsou využívány pro novinářské účely, v přiměřeném a do soukromí jen nezbytně zasahujícím rozsahu. Práva a povinnosti při takovémto využití dronů s kamerou se řídí občanským zákoníkem a § 17 a dále zákona o zpracování osobních údajů.

Je provozovatel dronu správcem nebo zpracovatelem osobních údajů?

V této části metodiky se bohužel ÚOOÚ omezil jen na obecnou parafrázi GDPR: Správcem údajů je ten subjekt, který určuje účel a prostředky zpracování. Zpracovatel pak provádí zpracování pro správce a na základě jeho pokynů.

Doplňme tedy alespoň trochu konkrétnější příklady pro aplikaci těchto pravidel na drony.

• Developerská společnost si koupí dron s kamerou k ostraze prostoru staveniště mimo pracovní dobu. Dron také sama provozuje. Pokud kamera zachycuje fyzické osoby, které se na staveništi pohybují, v dostatečném rozlišení, jedná se o zpracování osobních údajů. A developerská společnost je správcem údajů se všemi povinnostmi, které správci z GDPR vyplývají.

• Jiná firma nabízí krátkodobý i dlouhodobý pronájem dronů s kamerami, včetně zajištění služeb pilota a přenosu a uložení kamerového záznamu. Její služby si může objednat kdokoliv, od obce, přes organizátora hudebního festivalu až po provozovatele lomu. Každý z nich chce drony s kamerou využít k něčemu jinému a má i trochu jiné požadavky na fungování dronu a využití kamerových záznamů. Jinak řečeno, každý z nich určuje účel a prostředky zpracování a je proto správcem údajů A firma, která drony s kamerou pronajímá, je jejich zpracovatelem.

Základní principy zpracování dat

Zákonnost zpracování

Zpracování osobních údajů musí být legální. Jinak řečeno, musí být založeno na dostatečném právním důvodu. Taxativní (konečný) výčet možných právních důvodů pro zpracování osobních údajů je uveden v čl. 6 odst. 1 GDPR.

Na provoz dálkově řízených letadel s kamerou se obvykle uplatní oprávněný zájem správce. To znamená, že zájem toho, kdo určil účel a prostředky tohoto zpracování dat, převáží nad zásahem do práv osob, které budou kamerou zachyceny. Nezbytným předpokladem pro využití tohoto právního důvodu je detailní posouzení a vyhodnocení oprávněného zájmu správce, tzv. balanční test. Balanční test je takřka nezbytné dokumentovat a pravidelně aktualizovat, jinak správce jen obtížně prokáže soulad svého postupu s požadavky regulace.

Transparentnost

Správce je povinen dotčené osoby informovat o tom, že hodlá zpracovávat jejich osobní údaje. V případě, kdy osobní údaje získává od nich, například kamerou, by tak měl podle čl. 13 GDPR udělat předem, resp. nejpozději v okamžiku, kdy osobní údaje získává.

To může být v případě dronů s kamerou problém, zejména když předem často nelze odhadnout, čí údaje budou zpracovávány. V takových případech metodika doporučuje o kamerovém systému možné dotčené osoby informovat v místě obvyklým způsobem. Účastníky hudebního festivalu na webových stránkách a u vstupu do areále, obyvatele obce obecním rozhlasem atd.

Doba uchování záznamu

Stejně jako u ostatních kamer a kamerových systémů, i v případě dronů ÚOOÚ opakuje, že pro dosažení většiny účelů zpracování postačí záznamy z kamery uchovávat 72 hodin. A pokud správce hodlá záznam uchovávat déle, musí to konkrétně odůvodnit. Nejlépe písemně, aby byl schopen úřadu doložit, že požadavky GDPR plnil a zamýšlel se nad nimi už při nastavování zpracování.

Zabezpečení a integrita údajů

Správce je povinen analyzovat hrozby a rizika pro důvěrnost, dostupnost a integritu kamerou přenášených záběrů. A na základě této analýzy přijmout odpovídající bezpečnostní opatření týkající se jak použitých technických prostředků (dron, přenos obrazu, záznamové zařízení), tak i v oblasti přístupu ke kamerovým záznamům.

V oblasti zabezpečení osobních údajů GDPR výslovně uvádí, že správce zavede taková opatření, která odpovídají rizikům plynoucím ze zpracováním, jeho okolností, stavu techniky a nákladů. Správce má tedy poměrně volnou ruku v tom, jaká technická, administrativní a organizační opatření k ochraně kamerových záznamů nastaví. Svoje rozhodnutí by však měl odůvodnit a být schopný ho obhájit, pokud dojde k úniku kamerových záznamů nebo jinému porušení zabezpečení zpracovávaných údajů.

Kam ÚOOÚ nemůže?

Úřad pro ochranu osobních údajů není určen k tomu, aby řešil sousedské spory. Jak úřad v komentované metodice uvádí, u bezpilotních letounů provozovaných fyzickými osobami má i omezené kontrolní pravomoci. Nemůže totiž při kontrole vstupovat do obydlí fyzických osob, aby zjistil a ověřil podstatné skutečnosti.

Jak postupovat, pokud do vašeho soukromí či do soukromí vaší rodiny zasahuje soused se svojí novou hračkou, dronem s kamerou? Úřad pro ochranu osobních údajů to doporučuje řešit jako přestupek proti občanskému soužití. Doplňme, že pokud by zásah do vašich práv byl skutečně intenzivní a vytrvalý, lze uvažovat i o podání občanskoprávní žaloby.

Článek je publikován také na gdpr.cz.