Scénář, který v praxi vidíme opakovaně: přijedeme na GDPR audit do základní školy, projdeme si budovu a u hlavního vchodu visí kamera. Někdy dvě, jedna ještě u kolárny. Zeptáme se na balanční test. Následuje pauza.
„Kamery nám dělala firma, co má i alarm. Řekli, že je to v pořádku.“
Kamery skutečně bývají v pořádku – technicky. Instalační firma umí kabeláž, rekordér i nastavení. Co ale v ceně montáže téměř nikdy nebývá je právní posouzení, proč ty kamery vůbec smíte mít a dokumentace, kterou to musíte umět doložit. Ta už je na vás. Na škole, na obci, na řediteli jako statutárním orgánu správce.
Jedna kamera je taky kamerový systém
Nejčastější omyl zní: „vždyť je to jenom jedna kamera u vchodu.“
Z pohledu GDPR na počtu nezáleží. Rozhoduje, jestli zařízení pořizuje záznam nebo živý přenos, na kterém lze rozpoznat konkrétní osobu. Pokud ano, jde o zpracování osobních údajů se všemi povinnostmi, které z toho plynou. Správcem je typicky škola nebo obec – ne dodavatel, ne zřizovatel.
ÚOOÚ ve svém Doporučení č. 01/2025 ke kamerovým systémům ve školách navíc výslovně uvádí, že pravidla dopadají i na fotopasti a na systémy bez záznamu, které jen přenášejí živý obraz. Naopak se netýkají atrap a kamer, u nichž k identifikaci osob prakticky dojít nemůže (například panoramatický pohled na obec z věže).
Dodejme jednu věc, která ředitele školek často překvapí: u mateřských škol s online přenosem do mobilu rodičům jde o zpracování údajů dětí – tedy o kategorii, které GDPR přiznává zvýšenou ochranu. Tam je dokumentace potřeba tím spíš.
Co přesně máte mít v šuplíku
Tohle je jádro věci. Ke kamerovému systému patří balíček dokumentů, který by měl obsahovat minimálně:
1. Balanční test (test vyvážení oprávněných zájmů)
U naprosté většiny kamerových systémů je právním titulem oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR. Souhlas se u kamer prakticky použít nedá – nemůžete platně žádat o souhlas každého, kdo projde chodbou, a u zaměstnanců ani u žáků by nebyl svobodný.
Oprávněný zájem ale musíte umět obhájit. K tomu slouží balanční test, který metodika ÚOOÚ doporučuje provést ve čtyřech krocích:
- popis reálného ohrožení (doložený – incidenty, škody, statistiky; ne pocit „co kdyby“),
- posouzení, zda lze účelu dosáhnout jinak (kritérium potřebnosti – porovnání variant),
- posouzení nezbytnosti zvolené varianty (kritérium vhodnosti),
- posouzení přiměřenosti zásahu do soukromí (kritérium poměřování).
Poslední krok je přesně to, čemu se běžně říká test proporcionality. Není to samostatný dokument navíc – je to součást balančního testu. Ten má vzniknout před instalací kamer, ne po ní.
Důležité je i to, že se kamery nehodnotí paušálně. ÚOOÚ je dělí podle míry zásahu do soukromí – od nízkého (perimetr pozemku, parkoviště) přes střední (vstupy do budovy) a vysoký (chodby, šatny, jídelny) až po velmi vysoký (učebny, družiny, zvukový záznam, rozpoznávání obličejů). Kamera v učebně se obhajuje úplně jinak než kamera nad vchodovými dveřmi.
2. Záznam o činnostech zpracování (čl. 30 GDPR)
Samostatná položka pro kamerový systém – účel, právní titul, kategorie subjektů údajů a údajů, příjemci, doba uchování a popis bezpečnostních opatření. Školy a obce ho vedou vždy.
3. Splnění informační povinnosti (čl. 13 GDPR) – ve dvou vrstvách
Cedulka „Objekt je monitorován kamerovým systémem“ sama o sobě nestačí. ÚOOÚ požaduje vrstevnatý přístup: první vrstvu tvoří viditelný piktogram se základními informacemi umístěný tak, aby ho člověk zaznamenal před vstupem do monitorovaného prostoru (přibližně ve výšce očí), druhou vrstvu pak plný text – typicky na webu, odkázaný přes URL nebo QR kód.
Mimochodem, právě transparentnost a informační povinnost jsou tématem koordinované kontrolní akce evropských dozorových úřadů (Coordinated Enforcement Framework) pro rok 2026, do níž se ÚOOÚ zapojil. Cedulky u kamer jsou její učebnicový příklad.
4. Posouzení, zda je potřeba DPIA (čl. 35 GDPR)
U dvou kamer u vchodu obvykle nebude. U rozsáhlejšího systému, u monitorování veřejně přístupných prostor ve velkém rozsahu nebo u biometrie ano. I závěr „DPIA není potřeba“ je ale nutné mít písemně odůvodněný – jinak jej nemáte čím doložit. Kdy přesně je DPIA pro obec nebo školu povinná, jsme rozebrali v samostatném článku.
5. Zpracovatelská smlouva (čl. 28 GDPR)
Pokud k záznamům přistupuje bezpečnostní agentura, servisní firma nebo běží úložiště v cloudu, potřebujete smlouvu o zpracování osobních údajů. U cloudu navíc ověřte, kde fyzicky data leží – předávání mimo EHP má vlastní pravidla.
6. Technická a organizační opatření a jejich popis
Řízení přístupu k datům, evidence přístupů (logování), zabezpečené umístění rekordéru, přiměřená doba uchování a její automatické dodržování, bezpečný výmaz, proškolená obsluha. Doba uchování je klasika: většině škol stačí jednotky dní, přesto v nich běží tovární nastavení na 30 dní, protože to tak přišlo od výrobce.
7. Nastavený postup pro práva subjektů údajů
Rodič může požádat o kopii záznamu, na kterém je jeho dítě (čl. 15), nebo vznést námitku proti zpracování (čl. 21). Lhůta je jeden měsíc. Bez připraveného postupu se to řeší v panice – a záznam se často mezitím stihne přepsat.
Pokud si chcete rychle udělat obrázek, jaké dokumenty se vážou konkrétně k vaší situaci, můžete využít náš online nástroj pro analýzu kamerového systému. Projdete pár otázek podle typu organizace a rozmístění kamer a dostanete přehled toho, co byste měli mít.
Nejčastější chyby podle ÚOOÚ
Úřad je na červnovém semináři k Doporučení 01/2025 shrnul do seznamu, který stojí za ocitování – pořadí není náhodné:
- chybějící dokumentace (informační povinnost, záznamy o činnostech zpracování, balanční test),
- nevhodné umístění a nastavení kamery,
- nedostatečné zabezpečení kamerového systému,
- nevhodně zvolená doba uchování,
- absence logování,
- nezapojení pověřence pro ochranu osobních údajů,
- nedostatečná revize a aktualizace související dokumentace,
- nesprávná aplikace souhlasu,
- nedostatečné proškolení personálu.
Z naší praxe bychom přidali ještě jednu: dokumentace existuje, ale popisuje systém, který už tři roky nefunguje. Kamery se mezitím vyměnily, přibyly dvě další, rekordér se přestěhoval do cloudu – a balanční test z roku 2019 pořád mluví o čtyřech analogových kamerách a videorekordéru ve skladu. Po každé změně systému patří dokumentace k revizi.
A co když to neřešíme?
Tady je potřeba být férový, protože se o tom šíří dvě protichůdné pověsti.
Pověst první: „Hrozí nám pokuta 20 milionů eur.“ Teoreticky ano, GDPR takový strop zná. V praxi u české školy nebo obce narazíte na § 62 odst. 5 zákona č. 110/2019 Sb., podle kterého ÚOOÚ od uložení správního trestu orgánu veřejné moci a veřejnému subjektu upustí.
Pověst druhá, kterou z toho lidé vyvozují: „Takže se nám nemůže nic stát.“ To už neplatí – a stojí za to vědět proč:
- Výjimka se netýká všech. Soukromé a církevní školy, školky provozované jako s.r.o., firmy, spolky i SVJ ji nemají. Tam je pokuta reálná.
- Nápravná opatření zůstávají. Podle čl. 58 odst. 2 GDPR může úřad nařídit uvedení zpracování do souladu, udělit napomenutí a v krajním případě zpracování dočasně nebo trvale omezit či zakázat. Přeloženo: kamery vypnout a záznamy smazat. Pro školu, která je pořizovala kvůli opakovanému vandalismu, je to citelnější než pokuta – a řízení navíc bývá veřejné.
- Náhrada újmy míří jinam. Právo na náhradu majetkové i nemajetkové újmy podle čl. 82 GDPR se uplatňuje u civilního soudu a žádná výjimka pro veřejné subjekty se na něj nevztahuje.
- Záznam bez právního základu je špatný důkaz. Když po incidentu předáte policii nebo pojišťovně záznam z kamery, kterou nemáte čím obhájit, oslabujete vlastní pozici.
A pro srovnání ze zahraničí: první pokutu podle GDPR ve Švédsku dostala v roce 2019 střední škola ve Skellefteå – 200 000 SEK (zhruba 19 000 eur) za třítýdenní pilot rozpoznávání obličejů u 22 studentů. Mimo jiné právě proto, že chyběla DPIA a souhlas žáků nebyl svobodný. Dozorové úřady jinde v EU školy pokutují běžně.
Že kamery nejsou pro ÚOOÚ okrajové téma, ostatně ukazuje i jeho vlastní publikační aktivita: metodika ke kamerovým systémům z roku 2024, doporučení pro školy v roce 2025 a letos doporučení č. 01/2026 pro poskytovatele zdravotních služeb. Doporučení bývají v praxi přátelským varováním před tím, co přijde na řadu při kontrolách.
Jak to napravit, když už kamery visí
Dobrá zpráva: zpětné doplnění dokumentace je práce na dny, ne na měsíce. Postup:
- Udělejte si inventuru. Kolik kamer, kde přesně míří, kdo má přístup k záznamu, kde je uložený, jak dlouho, kdo ho servisuje.
- Zpracujte balanční test – s doloženým popisem reálného ohrožení a porovnáním alespoň tří variant (stávající, navrhovaná, alternativní). U méně rizikových systémů stačí stručná verze.
- Doplňte záznam o činnostech zpracování a text druhé vrstvy informační povinnosti, zveřejněte ho na webu a doplňte piktogramy s odkazem nebo QR kódem.
- Projděte smlouvy s dodavateli a doplňte chybějící zpracovatelské smlouvy.
- Zapojte pověřence. Měl by dokumentaci alespoň připomínkovat a následně kontrolovat, zda navržená opatření skutečně fungují. Jeho stanovisko je zároveň tím nejlepším dokladem, že jste povinnost nepodcenili.
A pokud si nejste jistí, čím začít, projděte si analýzu kamerového systému – během několika minut zjistíte, co konkrétně vaší organizaci chybí a s čím vám umíme pomoct.
