Monitoring zaměstnanců nelze založit na souhlasu
Estonský orgán pro ochranu údajů rozhodl, že používání kamer CCTV ke sledování zaměstnanců nemůže být založeno na souhlasu, ale pouze na oprávněném zájmu podle čl. 6 odst. 1 písm. f) GDPR za předpokladu, že bylo provedeno platné posouzení vlivu.
Okolnosti
Hotelová společnost OÜ Laidoneri KV (správce) instalovala ve svém hotelu Park Hotel Viljandi kamery CCTV viditelné ve třech vnějších zákoutích, ve veřejných prostorách v přízemí a v kuchyni a v suterénu. Kamery monitorovaly zaměstnance hotelu (subjekty údajů).
Estonský úřad pro ochranu údajů zahájil z vlastní iniciativy šetření s cílem zjistit, na jakém právním základě a k jakému účelu byly kamery CCTV použity. V průběhu řízení správce vysvětlil, že jako právní základ použil souhlas, a to prostřednictvím instalace informačních cedulí na stěnách budovy, které subjekty údajů upozorňovaly na to, že je monitorovací kamera aktivní.
Stanovisko
Za prvé, DPA připomněl, že podle čl. 5 odst. 1 písm. a) GDPR musí mít zpracování osobních údajů platný právní základ podle čl. 6 odst. 1 GDPR. Obecně platí, že zpracování osobních údajů v pracovněprávním vztahu může být zákonné, pokud souvisí s plněním smluvního závazku nebo právní povinnosti vůči zaměstnavateli, nebo pokud je to v oprávněném zájmu zaměstnavatele nebo třetí strany. V daném případě DPA uvedl, že splnění smluvních povinností lze uplatňovat pouze u zpracovatelských operací, které jsou pro zaměstnavatele skutečně nezbytné k plnění pracovní smlouvy, což použití kamer rozhodně nebylo.
DPA rovněž odmítla argument správce, že by zpracování osobních údajů mohlo být založeno na čl. 6 odst. 1 písm. a) GDPR. Šetřením bylo zjištěno, že nápisy informující o použití CCTV kamer nebyly vhodné, protože postrádaly potřebné informace o účelu video sledování, nebyl zmíněn žádný právní základ a nebyly poskytnuty žádné informace o správci.
Jediným možným právním základem by proto byl oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR. Pro uplatnění tohoto právního základu je však třeba provést posouzení, které prokáže, že zájem správce převažuje nad zájmy, základními právy a svobodami subjektů údajů. Například kamery nelze použít kvůli hypotetické hrozbě. Kromě toho musí být správce podle čl. 5 odst. 2 GDPR schopen prokázat zákonnost zpracování.
DPA dospěla k závěru, že správce nemá žádný platný právní základ pro sledování svých zaměstnanců prostřednictvím CCTV kamer, a nařídil správci podle čl. 58 odst. 2 písm. d) GDPR, aby přestal používat video dohled.
