Система відеоспостереження є законною, якщо для неї заздалегідь задокументовано правову підставу — як правило, законний інтерес відповідно до ст. 6 ч. 1 літ. f) GDPR — і виконано обов’язок щодо інформування кожної особи, яка потрапляє в поле зору камери. Балансувальний тест, який зіставляє ваш інтерес із втручанням у приватне життя, має бути проведений до запуску камер. На робочому місці до цього додається § 13 ч. 4 Кодексу праці: механізм контролю необхідно заздалегідь обговорити з представниками працівників та поінформувати про нього працівників.
Камера над касою, на складі та в коридорі сьогодні є звичайним оснащенням магазину. Однак із правового погляду йдеться не про одне рішення, а про два. Система відеоспостереження має відповідати вимогам GDPR щодо кожної особи, яка потрапляє в поле зору камери, а на робочому місці — додатково вимогам Кодексу праці щодо власних працівників.
Правовою підставою, як правило, є законний інтерес, а не згода
Отримання згоди від кожного покупця було б у магазині непридатним на практиці й переважно навіть не є необхідним. Європейська рада із захисту даних у Настановах 3/2019 щодо обробки персональних даних за допомогою відеопристроїв виходить із того, що використання камер насамперед ґрунтується на законному інтересі оператора відповідно до ст. 6 ч. 1 літ. f) Регламенту (ЄС) 2016/679 (GDPR); згода може бути правовою підставою лише у виняткових випадках. Законний інтерес може бути правовим, економічним або немайновим — типовими прикладами є захист майна від крадіжок і вандалізму та безпека людей.
Балансувальний тест має бути проведений до запуску камер
Перед використанням камер законний інтерес необхідно оцінити. Порядок такої оцінки викладено в методичних рекомендаціях чеського органу із захисту персональних даних щодо систем відеоспостереження від лютого 2024 року — і оскільки обидві країни застосовують той самий регламент, логіка цих рекомендацій може бути використана також у Словаччині. Оцінку, за якою закріпилася назва «балансувальний тест», проводять і документують ще до початку обробки. Першим кроком є підтвердження реальної загрози: історія крадіжок, проникнень зі зломом або пошкодження товару, а не загальне відчуття ризику. Далі слід з’ясувати, чи неможливо досягти тієї самої мети за допомогою менш суворого заходу, а насамкінець — зіставити ваш інтерес із втручанням у приватне життя людей, які потрапляють у поле зору камери.
Із цим пов’язана мінімізація даних відповідно до ст. 5 ч. 1 літ. c) GDPR: камери спрямовують на касу, вхід і стелажі, а не на роздягальні, туалети чи весь тротуар перед магазином, а запис зберігають лише протягом необхідного строку. У разі систематичного моніторингу загальнодоступних місць у великому масштабі ст. 35 ч. 3 літ. c) GDPR вимагає також проведення оцінки впливу на захист даних.
Обов’язок щодо інформування має два рівні
Настанови EDPB передбачають багаторівневе інформування. Першим рівнем є попереджувальне позначення, розміщене так, щоб людина помітила його ще до входу до зони відеоспостереження, із найважливішими відомостями про обробку даних. Другий рівень становить повна інформація, яка має бути легкодоступною — наприклад, біля каси або на вебсайті. Під час перевірки використання камери без відповідного позначення буде складно обґрунтувати, навіть якщо в іншому балансувальний тест проведено належно.
На робочому місці додатково застосовується § 13 Кодексу праці
Щодо працівників дотримання лише GDPR недостатньо. Кодекс праці (Закон № 311/2001 Z. z.) допускає моніторинг робочого місця лише з поважних причин і встановлює спеціальну процедуру:
Роботодавець не має права без поважних причин, зумовлених особливим характером діяльності роботодавця, порушувати приватність працівника на робочому місці та у спільних приміщеннях роботодавця шляхом здійснення моніторингу […] без попереднього повідомлення працівника. Якщо роботодавець запроваджує механізм контролю, він зобов’язаний обговорити з представниками працівників обсяг контролю, спосіб його здійснення, а також тривалість контролю та поінформувати працівників про обсяг контролю, спосіб його здійснення, а також про його тривалість.
Якщо у вас немає представників працівників, роботодавець відповідно до § 12 ч. 2 Кодексу праці може діяти самостійно; однак обов’язок заздалегідь поінформувати працівників про обсяг, спосіб і тривалість контролю зберігається. На практиці обидві вимоги поєднують у внутрішній політиці щодо моніторингу, яка водночас слугує документальним підтвердженням у разі перевірки. Ширші обов’язки під час обробки даних ми розглянули у відповіді на запитання які обов’язки ми маємо відповідно до GDPR.
Чим ми можемо допомогти
Балансувальний тест, інформаційні тексти та налаштування строку зберігання ми підготуємо в межах послуги GDPR і захист персональних даних. Політику щодо моніторингу та її обговорення з представниками працівників охоплює послуга внутрішні положення та політики. Якщо ви обробляєте дані у великому масштабі, ми також оцінимо, чи потрібен вам відповідальний за захист персональних даних.
Якщо камери вже працюють, але документації щодо них немає, зверніться до нас до того, як надійде скарга від незадоволеного працівника або покупця.
Ця відповідь містить загальну інформацію про законодавство станом на 29 серпня 2026 р. Вона не є юридичною послугою та не замінює оцінювання конкретної справи. Обставини вашої ситуації можуть відрізнятися. Забронюйте консультацію, щоб обговорити їх.
