Létající oči: Jak GDPR ovlivňuje používání dronů

S rostoucím zájmem o drony se objevují nové otázky ohledně ochrany osobních údajů. V České republice je registrováno více než 60 000 pilotů bezpilotních letadel, dronů, přičemž mnoho z těchto strojů je vybaveno kamerami. Jaké povinnosti z toho vyplývají pro firmy využívající drony k monitoringu a jak se vyhnout vysokým pokutám za porušení GDPR?

Provoz bezpilotních letounů je podrobně regulován jak evropskou, tak českou legislativou. Úřad pro civilní letectví vede Registr dálkově řídících pilotů a Evidenci provozovatelů bezpilotních systémů, kde je uvedeno více než 56 000 subjektů. Regulace zahrnuje technické požadavky, způsobilost pilotů a základní pravidla pro provoz, jako je zákaz létání nad hustě osídlenými oblastmi nebo v okolí letišť. Porušení těchto pravidel může vést k pokutám až do výše 3 milionů Kč podle § 92c zákona o civilním letectví.

Drony a GDPR

Pokud dron obsahuje kameru, která umožňuje online přenos nebo záznam záběrů, je třeba řešit ochranu osobních údajů. Jestliže se na pořízeném záznamu vyskytují identifikovatelné fyzické osoby, dochází ke zpracování osobních údajů podle GDPR. Pokuty za porušení GDPR mohou být výrazně vyšší než ty podle zákona o civilním letectví.

Nová metodika Úřadu pro ochranu osobních údajů (ÚOOÚ) se zabývá aplikací GDPR na drony s kamerou. Hlavní otázky metodiky zahrnují určení, na které drony se GDPR vztahuje, postavení provozovatele dronu z hlediska odpovědnosti za zpracování dat a klíčové povinnosti při provozu dronu s kamerou.

Kdy se GDPR uplatní

GDPR se uplatní na kamery a kamerové systémy, které přenášejí nebo uchovávají záběry identifikovatelných fyzických osob. Rozlišení kamery, místo a čas pořízení záběru jsou klíčové pro určení, zda dochází ke zpracování osobních údajů. Kamery, které provozuje fyzická osoba ve vlastních prostorách, nebo kamery využívané policií či pro novinářské účely, nejsou obecně pod GDPR.

Správce vs. zpracovatel osobních údajů

Správcem údajů je subjekt, který určuje účel a prostředky zpracování, zatímco zpracovatel provádí zpracování pro správce. Například developerská společnost, která provozuje dron s kamerou pro ostrahu staveniště, je správcem údajů. Firma, která pronajímá drony s kamerou a zajišťuje služby pilota a přenos záznamu, je zpracovatelem, zatímco klienti, kteří určují účel a prostředky zpracování, jsou správci.

Klíčové principy zpracování dat

Zákonnost zpracování je základním požadavkem GDPR. Nejčastěji se uplatňuje oprávněný zájem správce, který musí být detailně posouzen a dokumentován pomocí balančního testu. Transparentnost vyžaduje informování dotčených osob o zpracování jejich údajů, což může být u dronů problém. ÚOOÚ doporučuje informovat dotčené osoby obvyklým způsobem, jako je oznámení na webových stránkách nebo obecním rozhlasem.

Doba uchování záznamů by měla být omezena na nezbytně nutnou dobu, obvykle 72 hodin, pokud není konkrétně odůvodněna delší doba uchování. Správce musí zajistit zabezpečení a integritu údajů, což vyžaduje analýzu rizik a přijetí odpovídajících opatření.

Zabezpečení a rizika

Správce musí analyzovat hrozby pro důvěrnost, dostupnost a integritu údajů a přijmout bezpečnostní opatření odpovídající rizikům. GDPR umožňuje správci volnost v tom, jaká opatření zvolí, ale ta musí být odůvodněná a obhajitelná v případě úniku dat nebo porušení zabezpečení.

Postup při porušení soukromí

Pokud dron s kamerou zasahuje do vašeho soukromí, doporučuje ÚOOÚ řešit situaci jako přestupek proti občanskému soužití. V případě intenzivního a vytrvalého zásahu lze podat občanskoprávní žalobu.

Jak se vyhnout pokutám

Aby firmy splnily všechny požadavky GDPR a vyhnuly se pokutám, je klíčové podniknout několik konkrétních kroků. Nejdříve je nutné provést důkladnou analýzu rizik spojených se zpracováním osobních údajů pomocí dronů. Tato analýza pomůže identifikovat potenciální rizika a slabá místa, která mohou ohrozit ochranu osobních údajů. Dalším krokem je zajistit transparentnost v procesu zpracování dat tím, že jasně a srozumitelně informujete dotčené osoby o tom, jak a proč jsou jejich údaje zpracovávány. Tento krok může zahrnovat například zveřejnění informací na webových stránkách firmy. Je rovněž důležité omezit dobu uchování záznamů na nezbytně nutnou dobu, obvykle ne déle než 72 hodin, pokud není konkrétně odůvodněna delší doba uchování. Konečně, firmy musí zajistit odpovídající zabezpečení údajů, aby se předešlo neoprávněnému přístupu, úniku nebo ztrátě dat, čímž se posílí ochrana citlivých informací. Těmito kroky mohou firmy minimalizovat riziko porušení GDPR a vyhnout se vysokým pokutám.

Dodržování GDPR při používání dronů s kamerami je pro firmy klíčové nejen pro zajištění ochrany osobních údajů, ale také pro vyhnutí se vysokým pokutám. Transparentnost, zabezpečení a správné nastavení zpracování osobních údajů jsou základními principy, které musí firmy dodržovat, aby mohly legálně a eticky využívat tuto technologii.