V minulých dílech jsme si představili proces registrace provozovatele dronu a ověření způsobilosti pilota. V dnešním díle se zaměříme na drony a ochranu osobních údajů a soukromí..

Drony umožňují pořizovat detailní fotografie a videozáznamy z výšky, což přináší nové možnosti v oblasti médií, stavebnictví nebo bezpečnosti. Tyto nové možnosti však zároveň vyvolávají zásadní otázky týkající se ochrany soukromí a osobních údajů.

Právní úprava

Klíčovými předpisy jsou nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 (dále jen „nařízení GDPR“) a zákon č. 110/2019 Sb., o zpracování osobních údajů (dále jen „zákon o zpracování osobních údajů“). Tyto předpisy stanovují pravidla pro zpracování osobních údajů, tedy i obrazových a zvukových záznamů pořízených prostřednictvím bezpilotních letadel.

Provozovatel dronu se může stát správcem osobních údajů nebo jejich zpracovatelem, pokud jeho zařízení zachycuje identifikovatelné osoby nebo další citlivé informace.

Osobní údaj

Osobním údajem se podle nařízení GDPR rozumí jakákoli informace, která umožňuje fyzickou osobu přímo nebo nepřímo identifikovat. V souvislosti s bezpilotními letadly půjde zejména o drony, které jsou vybaveny kamerovým systémem a umožňují tak snímání osob.

Drony s kamerovým systémem je však možné využívat i způsobem, který nepodléhá režimu nařízení GDPR. Může se jednat zejména o situace, kdy:

• nejsou pořizovány záběry umožňující identifikaci osob,
• záznamy jsou pořizovány se souhlasem dotčených osob nebo
• záběry jsou pořizovány přiměřeným způsobem pro novinářské, akademické nebo umělecké účely.

Příklady z praxe:

• letecké snímky krajiny bez rozpoznatelných osob zpravidla GDPR nepodléhají,
• fotografie střechy průmyslového objektu bez zachycení osob také zpravidla nepředstavuje zpracování osobních údajů,
• naopak detailní záběry pracovníků na stavbě nebo osob na zahradě rodinného domu již GDPR zpravidla aktivují. Zde je pak nutné posouzení.

Správce a zpracovatel osobních údajů

Provozovatelé dronů vybavených kamerou mohou být v pozici:

• správce osobních údajů nebo
• zpracovatele osobních údajů.

Správce osobních údajů

Správce osobních údajů určuje účel a prostředky zpracování osobních údajů a odpovídá za to, že zpracování probíhá v souladu s právními předpisy.

Zpracovatel osobních údajů

Zpracovatel osobních údajů provádí zpracování osobních údajů na základě pokynů správce.

Zásady zpracování osobních údajů

Při provozu dronu s kamerovým systémem musí být dodrženy požadavky stanovené nařízením GDPR. To stanovuje základní zásady zpracování údajů. Osobní údaje musí být zejména:

• zpracovány korektně a zákonným a transparentním způsobem,
• shromažďovány pouze pro legitimní účely a nesmějí být zpracovány způsobem, který je s těmito účely neslučitelný,
• přiměřené, relevantní a omezené na nezbytný rozsah,
• uchovávány jen po nezbytně nutnou dobu (ideálně do 72 h) a
• zabezpečeny proti neoprávněnému přístupu, ztrátě a zneužití.

Provozovatel dronu by měl přijmout vhodná technická a organizační opatření k ochraně pořízených záznamů, aby dodržel povinnosti stanovené právními předpisy.

Zákonnost zpracování

Zpracování osobních údajů je zákonné pouze tehdy, pokud je splněn alespoň jeden z právních důvodů stanovených nařízením GDPR. Mezi tyto důvody patří zejména:

• udělení souhlasu subjektu údaje se zpracováním pro konkrétní účel,
• zpracování je nezbytné pro splnění smlouvy,
• zpracování je nezbytné pro splnění právní povinnosti,
• ochrana životně důležitých zájmů osoby,
• plnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci nebo
• oprávněný zájem správce nebo třetí osoby, pokud nepřevažují práva dotčených osob.

V případě provozu dronů bývá v praxi často uplatňován právě oprávněný zájem správce, například při ochraně majetku nebo monitorování stavebních prací.

Co dělat při porušení ochrany osobních údajů?

Při provozu dronů může dojít k situacím, které představují porušení zabezpečení osobních údajů. Typicky se může jednat například o:

• ztrátu nebo odcizení dronu obsahujícího uložené záznamy,
• odcizení paměťové karty se záznamy,
• neoprávněný přístup k uloženým fotografiím nebo videím,
• omylem zveřejněné záběry zachycující identifikovatelné osoby,
• kybernetický útok na úložiště, kde jsou záznamy uchovávány.

Pokud k takové události dojde, měl by správce osobních údajů bez zbytečného odkladu vyhodnotit, zda incident představuje riziko pro práva a svobody dotčených osob.

Pokud existuje pravděpodobnost rizika, je správce povinen oznámit porušení zabezpečení osobních údajů dozorovému úřadu, kterým je v České republice Úřad pro ochranu osobních údajů.

Dále by měl správce přijmout opatření k omezení následků incidentu, například:

• odstranit neoprávněně zveřejněný obsah,
• změnit přístupová hesla,
• zabezpečit datová úložiště,
• obnovit ztracená data ze záloh,
• přezkoumat nastavená bezpečnostní opatření, aby se podobná situace neopakovala.

Praktický příklad

Společnost provádějící inspekce staveb ztratí dron, na jehož paměťové kartě jsou uloženy detailní záběry zaměstnanců a dalších osob pohybujících se na staveništi.

Pokud nejsou data šifrována a existuje možnost jejich zneužití, může se jednat o porušení zabezpečení osobních údajů, které bude nutné vyhodnotit z pohledu oznamovacích povinností podle GDPR a zvážit další postup.

Závěr

Používání dronů vybavených kamerovým systémem přináší právní povinnosti v oblasti ochrany osobních údajů. Pokud jsou prostřednictvím dronů pořizovány záznamy umožňující identifikaci osob, je nutné postupovat zejména v souladu s nařízením GDPR a zákonem o zpracování osobních údajů. Provozovatelé dronů by měli dbát na ochranu soukromí ostatních osob, minimalizovat rozsah pořizovaných údajů a zajistit bezpečné nakládání se záznamy.

Nevíte si rady se zpracováním osobních údajů při provozování dronů? Potřebujete poradit v oblasti leteckého práva? Obraťte se na nás, rádi Vám poradíme.

JUDr. Ing. Jan Vych, advokát a partner