Zašto je videonadzor pitanje zaštite podataka
Snimka na kojoj se može prepoznati osoba osobni je podatak. Svaki sustav kamera koji snima i pohranjuje snimke zato je obrada osobnih podataka i mora poštovati načela GDPR-a: zakonitost, transparentnost, ograničavanje svrhe, smanjenje količine podataka i ograničenje pohrane.
Hrvatska je videonadzor dodatno uredila u Zakonu o provedbi Opće uredbe o zaštiti podataka (NN 42/18). Te odredbe primjenjuju se na sve voditelje obrade, osim ako drugi zakon ne određuje drukčije. Za nadzor radnika primjenjuje se i Zakon o zaštiti na radu.
Kada je videonadzor dopušten
Prema ZPOUZP-u, videonadzor se smije provoditi samo u svrhu koja je nužna i opravdana za zaštitu osoba i imovine, i to ako ne prevladavaju interesi snimanih osoba. Kamere smiju obuhvatiti prostorije, dijelove prostorija i vanjsku površinu objekta, ali samo u mjeri u kojoj je to nužno za tu svrhu.
Pravna osnova je u pravilu legitimni interes voditelja obrade. Tvrtka treba dokumentirati:
- koji konkretan rizik želi smanjiti, primjerice krađe, provale ili napade na zaposlenike
- zašto blaža mjera, primjerice bolja rasvjeta, brave ili kontrola pristupa, nije dovoljna
- koje područje kamere snimaju i zašto
- koliko dugo se snimke čuvaju i tko im smije pristupiti
Privola nije prikladna osnova za videonadzor jer je osobe koje ulaze u prostor ne mogu slobodno dati, a radnici su u neravnopravnom položaju prema poslodavcu.
Oznaka o videonadzoru
Voditelj obrade mora označiti da je objekt, pojedina prostorija ili vanjska površina pod videonadzorom. Oznaka mora biti vidljiva najkasnije pri ulasku u perimetar snimanja, a ne tek unutar prostora koji se snima.
Prema čl. 27. ZPOUZP-a, obavijest treba sadržavati sve relevantne informacije iz čl. 13. GDPR-a, a posebno jednostavnu i lako razumljivu sliku i tekst s informacijama:
- da je prostor pod videonadzorom
- o voditelju obrade
- o kontaktu putem kojeg ispitanik može ostvariti svoja prava
Europski odbor za zaštitu podataka u smjernicama o videonadzoru preporučuje informiranje u dvije razine: oznaka je prva razina, a ostale informacije iz čl. 13. GDPR-a, kao što su svrha, pravna osnova, rok čuvanja i prava ispitanika, treba učiniti dostupnima, primjerice u politici privatnosti ili obavijesti na koju oznaka upućuje.
Koliko dugo se smiju čuvati snimke
Snimke videonadzora smiju se čuvati najviše šest mjeseci, osim ako je drugim zakonom propisan dulji rok ili ako su snimke dokaz u sudskom, upravnom, arbitražnom ili drugom istovrijednom postupku (čl. 29. ZPOUZP-a).
Šest mjeseci je gornja granica, a ne preporučeni rok. Prema načelu ograničenja pohrane, snimke se ne smiju čuvati dulje nego što je potrebno za svrhu. Ako se incident u pravilu uoči u roku od nekoliko dana, kraći rok čuvanja lakše je opravdati.
U praksi:
- unaprijed odredite rok čuvanja i postavite sustav da automatski briše ili presnimava starije snimke
- snimke izdvojene kao dokaz čuvajte odvojeno i evidentirajte za koji postupak su izdvojene
Tko smije pristupiti snimkama
| Pravilo (čl. 28. ZPOUZP-a) | Što to znači u praksi |
|---|---|
| Pristup ima odgovorna osoba voditelja ili izvršitelja obrade i osoba koju ona ovlasti | pisano odrediti tko smije gledati snimke uživo i pregledavati pohranjene snimke |
| Snimke se ne smiju koristiti suprotno svrsi videonadzora | snimke za zaštitu imovine ne smiju se koristiti za praćenje radne učinkovitosti |
| Sustav mora biti zaštićen od neovlaštenog pristupa | lozinke, ograničen fizički pristup snimaču, šifriranje |
| Mora postojati automatizirani sustav zapisa o pristupu | sustav bilježi vrijeme i mjesto pristupa te osobu koja je pristupila |
| Pristup imaju nadležna državna tijela u okviru svojih ovlasti | predaja snimke policiji ili sudu na temelju zakonitog zahtjeva, uz evidenciju predaje |
Ako sustavom upravlja vanjska zaštitarska ili IT tvrtka, s njom treba sklopiti ugovor o obradi prema čl. 28. GDPR-a.
Videonadzor radnika
Videonadzor radnih prostorija uređuju dva zakona.
Zakon o provedbi Opće uredbe o zaštiti podataka (čl. 30.):
- uz uvjete iz ZPOUZP-a moraju biti ispunjeni i uvjeti iz propisa o zaštiti na radu
- radnici moraju biti na primjeren način unaprijed obaviješteni o videonadzoru
- poslodavac mora informirati radnike prije donošenja odluke o postavljanju sustava
- videonadzor ne smije obuhvaćati prostorije za odmor, osobnu higijenu i presvlačenje
Zakon o zaštiti na radu (čl. 43.):
- nadzorni uređaji dopušteni su radi kontrole ulazaka i izlazaka te radi smanjenja izloženosti radnika riziku od razbojstva, provale, nasilja, krađe i sličnih događaja
- zabranjeni su u prostorijama za osobnu higijenu i presvlačenje
- ako su radnici cijelo radno vrijeme u vidnom polju nadzornih uređaja, poslodavac ih smije koristiti samo uz prethodnu suglasnost radničkog vijeća, odnosno sindikalnog povjerenika s pravima i obvezama radničkog vijeća; ako suglasnost bude uskraćena, poslodavac u roku od 15 dana može tražiti da je nadomjesti sudska ili arbitražna odluka
- poslodavac mora radnika pri zapošljavanju pisano obavijestiti da će biti nadziran audio- ili videouređajima
- snimke se ne smiju koristiti u druge svrhe, emitirati javno ni pokazivati osobama koje nemaju ovlasti, i moraju biti zaštićene od neovlaštenog pristupa
Nadzor kojim se prati rad pojedinog radnika na njegovu radnom mjestu teško je opravdati zaštitom osoba i imovine. Prije postavljanja kamere usmjerene na radno mjesto treba provjeriti postoji li blaža mjera i ispuniti uvjete iz oba zakona.
Videonadzor u stambenim zgradama
Za videonadzor u stambenim i poslovno-stambenim zgradama potrebna je suglasnost suvlasnika koji čine najmanje dvije trećine suvlasničkih dijelova. Kamere smiju snimati samo pristup ulazima i izlazima iz zgrade te zajedničke prostorije. Zabranjeno je videonadzorom pratiti radnu učinkovitost domara, spremačica i drugih osoba koje rade u zgradi (čl. 31. ZPOUZP-a).
Javne površine
Javne površine smiju videonadzorom pratiti samo tijela javne vlasti, pravne osobe s javnim ovlastima i pravne osobe koje obavljaju javnu službu, i to samo ako je to propisano zakonom i nužno za obavljanje njihovih poslova ili radi zaštite života i zdravlja ljudi te imovine (čl. 32. ZPOUZP-a). Privatna tvrtka ne smije kamerama pokrivati ulicu, nogostup ili susjedne objekte, nego samo vlastiti prostor i vanjsku površinu objekta u mjeri u kojoj je to nužno.
Procjena učinka (DPIA)
Sustavno praćenje javno dostupnog područja u velikoj mjeri jedan je od slučajeva u kojima GDPR (čl. 35. st. 3.) izričito traži procjenu učinka na zaštitu podataka. Prema popisu AZOP-a procjena učinka potrebna je i kad se videonadzorom prate rad ili kretanje zaposlenika te u pravilu kad se koristi prepoznavanje lica jer se tada obrađuju biometrijski podaci.
Prepoznavanje lica i biometrija
Biometrijski podaci koji služe za jedinstvenu identifikaciju osobe posebna su kategorija podataka (čl. 9. GDPR-a), čija je obrada u načelu zabranjena. Prema ZPOUZP-u, privatni sektor smije obrađivati biometrijske podatke samo ako je to propisano zakonom ili nužno za zaštitu osoba, imovine, klasificiranih podataka ili poslovnih tajni, ili za sigurnu identifikaciju korisnika usluga uz izričitu privolu, i to ako ne prevladavaju interesi ispitanika.
Prepoznavanje lica zato se ne smije „samo uključiti” na postojećim kamerama. Prije uvođenja potrebni su procjena učinka i pravna procjena.
Prava snimanih osoba
Snimane osobe imaju pravo na pristup snimkama na kojima se nalaze. Kad stigne takav zahtjev:
- Provjerite identitet podnositelja.
- Pronađite snimku unutar roka čuvanja.
- Zaštitite druge osobe na snimci, primjerice zamućivanjem.
- Odgovorite bez nepotrebnog odgađanja, a najkasnije u roku od mjesec dana.
Najčešće pogreške
- oznaka nedostaje, postavljena je tek unutar prostora ili ne sadrži podatke o voditelju obrade
- snimke se čuvaju dulje od šest mjeseci ili rok nije određen
- kamere snimaju javne površine ili susjedne objekte
- radnici nisu unaprijed obaviješteni, a za stalni nadzor nije pribavljena suglasnost radničkog vijeća
- nema zapisa o pristupu snimkama
- nema ugovora o obradi sa zaštitarskom ili IT tvrtkom koja upravlja sustavom
- snimke se koriste za druge svrhe, primjerice za praćenje radne učinkovitosti
Kontrolni popis
- Odredite i dokumentirajte svrhu videonadzora i procjenu legitimnog interesa.
- Ograničite područje snimanja na nužni dio vlastitog prostora.
- Postavite oznake vidljive prije ulaska u perimetar snimanja.
- Odredite rok čuvanja, najviše šest mjeseci, i automatizirajte brisanje.
- Pisano odredite tko smije pristupiti snimkama i uključite automatski zapis pristupa.
- Sklopite ugovor o obradi s vanjskim pružateljima.
- Za nadzor radnika obavijestite radnike prije odluke i pri zapošljavanju te, kad je potrebno, pribavite suglasnost radničkog vijeća.
- Provjerite je li potrebna procjena učinka.
- Educirajte zaposlenike koji rukuju snimkama.
Često postavljana pitanja
Je li za videonadzor potrebna privola?
Ne. Privola nije prikladna pravna osnova za videonadzor. Videonadzor se temelji na legitimnom interesu zaštite osoba i imovine, uz uvjete iz Zakona o provedbi Opće uredbe o zaštiti podataka.
Koliko se dugo smiju čuvati snimke videonadzora?
Najviše šest mjeseci, osim ako drugi zakon propisuje dulji rok ili je snimka dokaz u sudskom, upravnom, arbitražnom ili drugom istovrijednom postupku. Kraći rok lakše je opravdati.
Što mora pisati na oznaci o videonadzoru?
Da je prostor pod videonadzorom, podaci o voditelju obrade i kontakt putem kojeg ispitanik može ostvariti svoja prava, uz jednostavnu sliku. Oznaka mora biti vidljiva najkasnije pri ulasku u perimetar snimanja.
Smije li poslodavac kamerama nadzirati radnike?
Smije, ako je nadzor nužan za zaštitu osoba i imovine, ako su radnici unaprijed obaviješteni i ako su ispunjeni uvjeti iz Zakona o zaštiti na radu. Ako su radnici cijelo radno vrijeme u vidnom polju kamere, potrebna je prethodna suglasnost radničkog vijeća. Kamere ne smiju biti u prostorijama za odmor, osobnu higijenu i presvlačenje.
Smije li tvrtka snimati ulicu ispred svog objekta?
Ne. Javne površine smiju videonadzorom pratiti samo tijela javne vlasti i pravne osobe s javnim ovlastima i pravne osobe koje obavljaju javnu službu, kad je to propisano zakonom. Tvrtka smije snimati vlastiti prostor i vanjsku površinu objekta u mjeri nužnoj za zaštitu.
Smiju li se snimke koristiti u disciplinskom postupku?
Snimke se smiju koristiti samo u svrhu zbog koje je videonadzor uveden, a Zakon o zaštiti na radu zabranjuje korištenje snimljenih materijala u druge svrhe. Korištenje snimki za praćenje radne učinkovitosti nije dopušteno. Za korištenje snimke kao dokaza u konkretnom postupku preporučljiv je pravni savjet.
Smije li se uz sliku snimati i zvuk?
Snimanje zvuka znatno više zadire u privatnost od snimanja slike i teško ga je opravdati zaštitom osoba i imovine. Ako se ipak uvodi, potrebna je posebno obrazložena procjena nužnosti, a radnike treba pisano obavijestiti o audionadzoru.
Smije li tvrtka predati snimku policiji?
Smije. Nadležna državna tijela imaju pristup snimkama u okviru svojih zakonskih ovlasti. Predaju treba evidentirati i predati samo snimke koje su zatražene.
Povezani članci
- Prava ispitanika prema GDPR-u: vodič za tvrtke
- Što je GDPR? Značenje, načela i obveze tvrtki
- AZOP kazne 2025.: pregled i analiza slučajeva
Za zaštitare, recepciju, IT i kadrovsku službu, koji najčešće rukuju snimkama, pripremili smo tečaj Videonadzor i GDPR.
Izvori
- Zakon o provedbi Opće uredbe o zaštiti podataka (NN 42/2018), čl. 25. do 32.
- Zakon o zaštiti na radu, čl. 43. (zakon.hr)
- Opća uredba o zaštiti podataka (EU) 2016/679, EUR-Lex
- EDPB: Smjernice 3/2019 o obradi osobnih podataka putem videouređaja
Ovaj je članak informativne naravi i nije pravni savjet.