Sociální služby Vsetín, příspěvková organizace, Záviše Kalandry 1353, 755 01 Vsetín I SM 32/2018 PROVOZOVÁNÍ KAMEROVÝCH SYSTÉMŮ SMĚRNICE Proces Funkce Jméno a příjmení Datum Podpis Zpracování ekonom Ing. Renata Zejdová 10.5.2018 Přezkoumání koordinační a projektový pracovník Tomáš Žamboch, DiS. 21.5.2018 Schválení ředitelka Mgr. M. Pavlůsková 24.5.2018 Verze 01 Účinnost 25.5.2018 Platnost dnem vydání Nahrazuje: nový dokument Stránka 1 z 13
Obsah 1. Účel... 3 2. Rozsah platnosti, závaznost... 3 3. Vymezení pojmů... 3 4. Pravomoci a odpovědnosti... 3 5. Kamerový systém... 4 5.1. Oznamovací povinnost... 4 5.2. Kamerový systém bez pořízení záznamu... 4 5.3. Kamerový systém s pořízením záznamu... 5 5.3.1. Dokumentace ke kamerovému systému se záznamem... 5 5.3.2. Udělení souhlasu se zpracováním osobních údajů prostřednictvím kamerového systému... 6 5.3.3. Označení prostorů monitorovaných kamerou se záznamem... 7 5.3.4. Obsah podrobné informace poskytované subjektu údajů... 7 5.3.5. Poskytnutí osobních údajů z kamerového systému... 8 Stránka 2 z 13 Verze 01
1. Účel Tato směrnice stanoví zásady používání kamerových systémů v příspěvkové organizaci Sociální služby Vsetín (dále jen SSLVS), tak aby byly v souladu s GDPR. Účelem zavedení kamerového systému je ochrana bezpečnosti a zdraví uživatelů, ochrana majetku, prevence před vandalismem. 2. Rozsah platnosti, závaznost (1) Směrnice je platná ve všech organizačních útvarech SSLVS, kde jsou provozovány kamerové systémy. (2) Směrnicí jsou povinni se řídit všichni zaměstnanci, kteří pracují s kamerovým systémem nebo se záznamy kamerového systému v organizaci. 3. Vymezení pojmů (1) GDPR (General Data Protection Regulation) Nařízení evropského parlamentu a rady (EU) č. 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/es (obecné nařízení o ochraně osobních údajů). (2) Osobní údaje dle GDPR jsou jakékoli informace týkající se určitého nebo určitelného subjektu údajů. Mezi osobní údaje patří např. jméno, pohlaví, věk a datum narození, osobní stav, fotografický záznam, kamerové systémy - obraz, zvuk, pořízený záznam. (3) Správce osobních údajů Sociální služby Vsetín, příspěvková organizace určuje účel a prostředky zpracování, provádí a odpovídá za zpracování osobních údajů. (4) Subjekt údajů každý člověk, jehož osobní údaje jsou zpracovávány (identifikovaná či identifikovatelná fyzická osoba). (5) Zařízení organizační jednotky, v jejichž čele stojí vedoucí jmenovaný ředitelem organizace. (6) Zpracovatel fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce. (7) Dotčená osoba výhradně fyzická osoba, u níž dochází ke zpracování alespoň jednoho osobního údaje, a která jde pomocí identifikačních údajů zřetelně rozpoznat. 4. Pravomoci a odpovědnosti (1) Správce osobních údajů: - odpovídá za dodržení veškerých povinností stanovených GDPR při zpracování osobních údajů, - odpovídá za vedení záznamů o činnostech zpracování, - posuzuje vliv na ochranu osobních údajů, Stránka 3 z 13 Verze 01
- ohlašuje případy porušení zabezpečení osobních údajů. (2) Vedoucí zařízení: - odpovídá za zpracování a vedení dokumentace ke kamerovému systému se záznamem, - odpovídá za udělení souhlasu se zpracováním osobních údajů prostřednictvím kamerového systému od subjektů údajů, kterých se to týká, - odpovídá za označení prostor monitorovaných kamerou, - ohlašuje řediteli organizace případy porušení zabezpečení osobních údajů, - odpovídá za zpracování pravidel a zásad používání kamerového systému ve svých zařízeních. 5. Kamerový systém (1) Sociální služby Vsetín, příspěvková organizace, jako správce osobních údajů v souladu s GDPR provozuje ve svých zařízeních kamerové systémy k monitorování vnějšího pláště budov a bezprostřední okolí, k monitorování prostoru před vstupy do budov, a to bez záznamu i se záznamem. Dále provozuje kamerové systémy s pořízením záznamu uvnitř svých zařízení pro sledování prostor, jako jsou garáž, chodby, schodiště, výtahy. (2) Základním právním důvodem pro provozování kamerového systému v Sociálních službách Vsetín, příspěvkové organizaci je ochrana práv a právem chráněných zájmů správce a dotčených osob. (3) Na základě písemného souhlasu subjektů údajů (uživatelů pokojů) Příloha č. 1, organizace provozuje kamerový systém zaměřený na chodby v budovách svých zařízení, kde jsou vstupní dveře do pokojů uživatelů. Tímto dochází k závažným zásahům do práva na ochranu soukromého a osobního života, což lze uskutečnit jen se souhlasem uživatelů pokojů. Souhlas se zpracováním osobních údajů prostřednictvím kamerového systému s obrazovým záznamem uživatelé podepisují při přijetí uživatele do zařízení a tento souhlas je uložen v sociální dokumentaci uživatele. 5.1. Oznamovací povinnost (1) Provozování kamerového systému se záznamem je považováno za zpracování osobních údajů, které podléhá oznamovací povinnosti Úřadu pro ochranu osobních údajů podle GDPR. (2) Provozování kamerového systému v režimu on-line (bez záznamu) není považováno za zpracování osobních údajů ve smyslu GDPR a nepodléhá oznamovací povinnosti. 5.2. Kamerový systém bez pořízení záznamu (1) U hlavního vchodu do zařízení je umístěna monitorovací kamera, ze které není pořizován záznam. (2) Místo je označeno tabulkou s nápisem Prostor je monitorován kamerovým systémem. Stránka 4 z 13 Verze 01
(3) Účelem umístění kamery je monitorování prostoru před hlavním vchodem, z kamery není pořizován záznam. (4) Obraz z kamery je možno sledovat na obrazovkách počítačů, notebooků nebo na speciálních monitorech na stanovených pracovištích. (5) Obraz z kamery umožňuje personálu zařízení ověřit si prostřednictvím obrazu, koho v případě zazvonění zvonku u dveří pouští do zařízení. (6) Označení monitorovaných prostor informačními tabulkami musí být provedeno tak, aby subjekt údajů byl upozorněn na kamerový systém před vstupem do monitorovaného objektu nebo monitorovaných prostor, v každém případě před záběr umístěných kamer (vzor informační tabulky - Příloha č. 2). 5.3. Kamerový systém s pořízením záznamu (1) Pořizování kamerového záznamu, kde jsou sledovány prostory např. prostory před vchodem do budov a jejich bezprostřední okolí, parkoviště, terasa, zahrada, garáž, výtahy, schodiště, chodby. (2) Místo je označeno informační tabulkou (u všech vstupů do sledovaných prostor včetně výtahů např. Prostor je monitorován kamerovým systémem se záznamem ). (3) Účelem pořízení kamerového záznamu je sledování prostor z důvodu ochrany zdraví a života uživatelů, ochrana majetku, prevence před vandalismem. (7) Kamerový záznam je možno otevřít na obrazovkách počítačů či notebooků nebo na speciálních monitorech na stanovených pracovištích. (4) Záznamy z kamer je možno otevřít na speciálních monitorech k tomu určených nebo na počítačích nebo noteboocích na stanovených pracovištích. (5) Doba uchovávání záznamů je stanovena tak, že nepřesáhne dobu potřebnou k tomu, aby incident zaznamenaný kamerou bylo možno dále prošetřit a zajistit další nezbytné informace, potřebné například k předání záznamu příslušným orgánům či pojišťovně. Takovou dobou je v organizaci maximálně 7 kalendářních dnů. 5.3.1. Dokumentace ke kamerovému systému se záznamem (1) Analýza rizik. (2) Projektová dokumentace. (3) Identifikace kamerového systému a jeho popis. - Kdo je správce. - Kdo je správcem pověřený zpracovatel. - Kdo je projektant a kdo dodavatel kamerového systému. - Počet instalovaných kamer. - Popis záběrů kamer a jejich provozní režim. - Popis technického řešení. - Popis vyškolení obsluhy a zajištění údržby. (4) Popis technicko-organizačních opatření - čtyři druhy hrozeb: Stránka 5 z 13 Verze 01
- neoprávněný přístup k prostředkům kamerového systému (ke kamerám - umístění mimo běžný dosah osob pohybujících se ve sledovaném prostoru, kontrola jedné kamery druhou, k rozvodům - rozvody vedeny v chráničkách, lištách, pod omítkou, zakončení kabelů v uzamykatelném rozvaděči, oddělené rozvody kamerového systému od ostatních sítí apod., k záznamovému zařízení - umístění v uzamykatelném objektu, v uzamykatelné místnosti, uzamykatelném zařízení, ochrana oken mříží, stálá ostraha, omezený počet vstupujících osob evidence klíčů, vstup na základě karty/čipu apod., pohybová čidla, vstup do místnosti jen s dohledem nebo ve více osobách, evidence přístupu do místnosti apod.), - neoprávněný přístup ke kamerovým záznamům (přístup neoprávněných osob) omezený přístup do objektu/do místnosti, řízení přístupu uživatele (přihlašovací jméno, heslo, PIN apod.), datové nosiče součástí záznamového zařízení (data nejsou ukládána externě, mimo záznamové zařízení), šifrování záznamu, systém eviduje přístupy k záznamům a vytváření kopií záznamů, bezpečný výmaz/zničení nosičů dat, oddělení kamerového systému od datových sítí apod. - neoprávněné čtení, kopírování, přenos, úprava a vymazaní kamerových záznamů řízení přístupu uživatele stanovení rolí uživatele (pro čtení, pro kopírování), datové nosiče součástí záznamového zařízení, antivirový SW, bezpečný výmaz/zničení nosičů dat, systém eviduje přístupy k záznamům a vytváření kopií záznamů, oddělení kamerového systému od datových sítí, vytváří se zápisy v provozním deníku nebo protokoly o předání záznamů oprávněným osobám, přítomnost jen oprávněných osob při sledování záznamu nebo provádění kopie záznamů, určení administrátora a/nebo bezpečnostního správce systému apod. - živelní událost zničení prostředků kamerového systému včetně dat (povodeň, požár, zásah bleskem apod.). (5) Ověřování funkčnosti technicko-organizačních opatření popis kontrol funkčnosti (periodicita, kdo a jakým způsobem bude provádět, způsob zohlednění výsledků a doporučení kontroly). 5.3.2. Udělení souhlasu se zpracováním osobních údajů prostřednictvím kamerového systému (1) Udělení souhlasu se týká pouze subjektů údajů, které se v monitorovaném objektu/prostoru vyskytují pravidelně (uživatelé zařízení). (2) Udělení souhlasu se naopak netýká subjektů údajů, jako jsou návštěvy, dodavatelé (včetně dodavatelů poštovních zásilek) a další osoby vstupující do monitorovaného objektu/prostoru nahodile/krátkodobě/nepravidelně. (3) Udělení souhlasu musí být svobodným, vědomým a informovaným projevem vůle subjektu údajů, případně jeho zákonného zástupce. Stránka 6 z 13 Verze 01
(4) Subjekt údajů, případně i jeho zákonný zástupce, musí být před nebo nejpozději při udělení souhlasu informován: o účelu zpracování osobních údajů, o rozsahu zpracování osobních údajů, tedy především o umístění jednotlivých kamer s popisem prostoru, který je sledován a uvedením režimu, v jakém jsou kamery provozovány, o správci osobních údajů, o období, na které je souhlas se zpracováním udělen, o tom, kdo (zpracovatel) a jakým způsobem bude osobní údaje zpracovávat, o tom, komu mohou být osobní údaje zpřístupněny, o tom, že má právo na přístup k informacím o zpracování svých osobních údajů. 5.3.3. Označení prostorů monitorovaných kamerou se záznamem (1) Označení monitorovaných prostor informačními tabulkami musí být provedeno tak, aby subjekt údajů byl upozorněn na kamerový systém před vstupem do monitorovaného objektu nebo monitorovaných prostor, v každém případě před záběr kamery umístěné uvnitř objektu/prostoru (vzor informační tabulky - Příloha č. 3). 5.3.4. Obsah podrobné informace poskytované subjektu údajů (1) Správce má povinnost poskytnout subjektu údajů další informace v souvislosti s jeho právy vyplývajícími z GDPR. (2) Poskytnutí informace je vhodné mít v textové podobě ve formě letáku, který lze vyvěsit na webu jednotlivých zařízení/zaslat/zapůjčit na požádání k prostudování. (3) Informace musí být snadno dostupná a udržována v aktuálním stavu. (4) Pokud subjekt údajů bude vyžadovat podrobnější informace o kamerovém systému, lze tyto poskytnout na základě jeho písemné žádosti. Tyto informace musí obsahovat: účely zpracování (ochrana majetku apod.), rozsah zpracování/kategorie osobních údajů (obrazový záznam kamerového systému), identifikaci správce (Sociální služby Vsetín, příspěvková organizace, Záviše Kalandry 1353, 755 01 Vsetín, IČ: 49562827), místo zpracování (adresa zařízení), příjemce/kategorie příjemců/zpřístupněných údajů (např. pojišťovně, orgánům činným v trestním řízení nebo správním orgánům pro účely přestupkového řízení apod.), počet kamer, popis umístění kamer, případně schémata umístění kamer v objektu, nebo obrázky toho, co kamery zabírají s popisem, doba uchování záznamů, včetně způsobu vymazání údajů po uplynutí doby uchování (např. přepisem ve smyčce), režim fungování kamer (např. na základě detekce pohybu, nepřetržitý, mimo pracovní dobu apod.), kontaktní údaje pro přijímání žádosti (např. jak, kdy a komu je možno podat stížnosti). Stránka 7 z 13 Verze 01
5.3.5. Poskytnutí osobních údajů z kamerového systému (1) Oprávněnými subjekty pro podání žádosti o poskytnutí záznamu z kamerového systému jsou: subjekty, kterým je správce povinen předat záznamy z kamerového systému na základě zákona, subjekt údajů, případně jeho zákonný zástupce, subjekty (např. rodinní příslušníci, zaměstnanci a také hromadné sdělovací prostředky apod.), kterým jsou kamerové záznamy poskytovány na základě souhlasu, subjektu údajů, který je na záznamech zachycen, (2) Subjekty, které žádají správce o poskytnutí záznamu z kamerového systému, musí správci zaslat žádost obsahující specifikaci rozsahu požadovaného záznamu, zdůvodnění žádosti a v případě subjektů, kterým je správce povinen předat záznamy z kamerového systému na základě zákona, také termín pro poskytnutí záznamu. Na základě předávacího protokolu - Příloha č. 4, správce zajistí předání záznamu. Předávací protokol musí obsahovat: datum poskytnutí záznamu, zdůvodnění poskytnutí záznamu, identifikaci žadatele o záznam (v případě žádosti oprávněných orgánů včetně čísla jednacího) nebo subjektu, kterému je záznam předáván z vlastního podnětu, specifikaci poskytnutých záznamů (datum pořízeného záznamu, čas od kdy do kdy), jméno a příjmení předávající osoby, včetně jejího podpisu, jméno a příjmení přejímající osoby, včetně jejího podpisu. Související dokumenty: Nařízení evropského parlamentu a rady (EU) č. 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/es (obecné nařízení o ochraně osobních údajů) Metodika pro splnění základních povinností ukládaných zákonem o ochraně osobních údajů k provozování kamerových systémů Směrnice Řízení dokumentů a záznamů Stránka 8 z 13 Verze 01
Příloha č. 1 Vzor Souhlasu se zpracováním osobních údajů prostřednictvím kamerového systému s obrazovým záznamem Souhlas se zpracováním osobních údajů prostřednictvím kamerového systému s obrazovým záznamem Já (titul, jméno, příjmení) uděluji Sociálním službám Vsetín, příspěvková organizace, Záviše Kalandry 1353, 755 01 Vsetín, IČ: 49562827, souhlas se zpracováním osobních údajů prostřednictvím obrazového záznamu kamerového systému, provozovaného za účelem ochrany bezpečnosti a zdraví uživatelů, ochrany majetku a prevence před vandalismem. Osobní údaje budou zpřístupněny (v případě mimořádných událostí orgánům činným v trestním řízení nebo správním orgánům pro vedení přestupkového řízení apod.). Kamerový systém se skládá z (počet kamer) kamer umístěných (např. uvnitř domu v prostoru hlavního vchodu, na chodbě apod.), a to (na adrese adresa umístění kamer). Záznamy budou uchovány po dobu (doplnit počet) dní a režim kamerového systému je (nepřetržitý, na základě detekce pohybu apod.). Souhlas se zpracováním je udělen na dobu neurčitou. Byl/Byla jsem informován/informována o právu na přístup k osobním údajům v souladu s GDPR (Nařízení evropského parlamentu a rady (EU) č. 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/es (obecné nařízení o ochraně osobních údajů). místo, datum, podpis Stránka 9 z 13 Verze 01
Příloha č. 2 Vzor informační tabulky Objekt/Prostor je monitorován kamerovým systémem bez záznamu správcem jsou Sociální služby Vsetín, příspěvková organizace, Záviše Kalandry 1353, Vsetín, IČ: 49562827 Stránka 10 z 13 Verze 01
Příloha č. 3 Vzor informační tabulky Objekt/Prostor je monitorován kamerovým systémem se záznamem správcem zpracování jsou Sociální služby Vsetín, příspěvková organizace, Záviše Kalandry 1353, Vsetín, IČ: 49562827 Podrobnější informace o kamerovém systému je možné získat (doplňuje se např. odkaz na osobu jméno a příjmení nebo název, telefonní číslo, e-mail nebo odkaz na místo pokladna, recepce, vrátnice, vývěska, webová stránka). Stránka 11 z 13 Verze 01
Příloha č. 4 Předávací protokol PŘEDÁVACÍ PROTOKOL k žádosti o poskytnutí záznamu z kamerového systému Datum poskytnutí záznamu: Zdůvodnění poskytnutí záznamu: Identifikaci žadatele o záznam (v případě žádosti oprávněných orgánů včetně čísla jednacího) nebo subjektu, kterému je záznam předáván z vlastní podnětu: Specifikace poskytnutých záznamů (datum pořízeného záznamu, čas od kdy do kdy): Jméno, příjmení a podpis předávající osoby Jméno, příjmení a podpis přejímající osoby Stránka 12 z 13 Verze 01
SEZNAM REVIZÍ Datum Popis revize Jméno a příjmení Podpis ZÁZNAM O SEZNÁMENÍ ZAMĚSTNANCŮ S DOKUMENTEM Svým podpisem potvrzuji, že jsem se s dokumentem seznámil/a, obsahově rozumím popsanému procesu a povinnostem, které mi z dokumentu vyplývají. Datum Jméno a příjmení Pracovní pozice Podpis Stránka 13 z 13 Verze 01