„Máme jen dvě kamery u vchodu.“ I ty potřebují vlastní složku dokumentů
Tým Váš Pověřenec
22. září 2026
Scénář, který v praxi vidíme opakovaně: přijedeme na GDPR audit do základní školy, projdeme si budovu a u hlavního vchodu visí kamera. Někdy dvě, jedna ještě u kolárny. Zeptáme se na balanční test. Následuje pauza.
„Kamery nám dělala firma, co má i alarm. Řekli, že je to v pořádku.“
Kamery skutečně bývají v pořádku – technicky. Instalační firma umí kabeláž, rekordér i nastavení. Co ale v ceně montáže téměř nikdy nebývá je právní posouzení, proč ty kamery vůbec smíte mít a dokumentace, kterou to musíte umět doložit. Ta už je na vás. Na škole, na obci, na řediteli jako statutárním orgánu správce.
Jedna kamera je taky kamerový systém
Nejčastější omyl zní: „vždyť je to jenom jedna kamera u vchodu.“
Z pohledu GDPR na počtu nezáleží. Rozhoduje, jestli zařízení pořizuje záznam nebo živý přenos, na kterém lze rozpoznat konkrétní osobu. Pokud ano, jde o zpracování osobních údajů se všemi povinnostmi, které z toho plynou. Správcem je typicky škola nebo obec – ne dodavatel, ne zřizovatel.
ÚOOÚ ve svém Doporučení č. 01/2025 ke kamerovým systémům ve školách navíc výslovně uvádí, že pravidla dopadají i na fotopasti a na systémy bez záznamu, které jen přenášejí živý obraz. Naopak se netýkají atrap a kamer, u nichž k identifikaci osob prakticky dojít nemůže (například panoramatický pohled na obec z věže).
Dodejme jednu věc, která ředitele školek často překvapí: u mateřských škol s online přenosem do mobilu rodičům jde o zpracování údajů dětí – tedy o kategorii, které GDPR přiznává zvýšenou ochranu. Tam je dokumentace potřeba tím spíš.
Co přesně máte mít v šuplíku
Tohle je jádro věci. Ke kamerovému systému patří balíček dokumentů, který by měl obsahovat minimálně:
1. Balanční test (test vyvážení oprávněných zájmů)
U naprosté většiny kamerových systémů je právním titulem oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR. Souhlas se u kamer prakticky použít nedá – nemůžete platně žádat o souhlas každého, kdo projde chodbou, a u zaměstnanců ani u žáků by nebyl svobodný.
Oprávněný zájem ale musíte umět obhájit. K tomu slouží balanční test, který metodika ÚOOÚ doporučuje provést ve čtyřech krocích:
1. popis reálného ohrožení (doložený – incidenty, škody, statistiky; ne pocit „co kdyby“),
2. posouzení, zda lze účelu dosáhnout jinak (kritérium potřebnosti – porovnání variant),
3. posouzení nezbytnosti zvolené varianty (kritérium vhodnosti),
4. posouzení přiměřenosti zásahu do soukromí (kritérium poměřování).
Poslední krok je přesně to, čemu se běžně říká test proporcionality. Není to samostatný dokument navíc – je to součást balančního testu. Ten má vzniknout před instalací kamer, ne po ní.
Důležité je i to, že se kamery nehodnotí paušálně. ÚOOÚ je dělí podle míry zásahu do soukromí – od nízkého (perimetr pozemku, parkoviště) přes střední (vstupy do budovy) a vysoký (chodby, šatny, jídelny) až po velmi vysoký (učebny, družiny, zvukový záznam, rozpoznávání obličejů). Kamera v učebně se obhajuje úplně jinak než kamera nad vchodovými dveřmi.
2. Záznam o činnostech zpracování (čl. 30 GDPR)
Samostatná položka pro kamerový systém – účel, právní titul, kategorie subjektů údajů a údajů, příjemci, doba uchování a popis bezpečnostních opatření. Školy a obce ho vedou vždy.
3. Splnění informační povinnosti (čl. 13 GDPR) – ve dvou vrstvách
Cedulka „Objekt je monitorován kamerovým systémem“ sama o sobě nestačí. ÚOOÚ požaduje vrstevnatý přístup: první vrstvu tvoří viditelný piktogram se základními informacemi umístěný tak, aby ho člověk zaznamenal před vstupem do monitorovaného prostoru (přibližně ve výšce očí), druhou vrstvu pak plný text – typicky na webu, odkázaný přes URL nebo QR kód.
Mimochodem, právě transparentnost a informační povinnost jsou tématem koordinované kontrolní akce evropských dozorových úřadů (Coordinated Enforcement Framework) pro rok 2026, do níž se ÚOOÚ zapojil. Cedulky u kamer jsou její učebnicový příklad.
4. Posouzení, zda je potřeba DPIA (čl. 35 GDPR)
U dvou kamer u vchodu obvykle nebude. U rozsáhlejšího systému, u monitorování veřejně přístupných prostor ve velkém rozsahu nebo u biometrie ano. I závěr „DPIA není potřeba“ je ale nutné mít písemně odůvodněný – jinak jej nemáte čím doložit. Kdy přesně je DPIA pro obec nebo školu povinná, jsme rozebrali v samostatném článku.
5. Zpracovatelská smlouva (čl. 28 GDPR)
Pokud k záznamům přistupuje bezpečnostní agentura, servisní firma nebo běží úložiště v cloudu, potřebujete smlouvu o zpracování osobních údajů. U cloudu navíc ověřte, kde fyzicky data leží – předávání mimo EHP má vlastní pravidla.
6. Technická a organizační opatření a jejich popis
Řízení přístupu k datům, evidence přístupů (logování), zabezpečené umístění rekordéru, přiměřená doba uchování a její automatické dodržování, bezpečný výmaz, proškolená obsluha. Doba uchování je klasika: většině škol stačí jednotky dní, přesto v nich běží tovární nastavení na 30 dní, protože to tak přišlo od výrobce.
7. Nastavený postup pro práva subjektů údajů
Rodič může požádat o kopii záznamu, na kterém je jeho dítě (čl. 15), nebo vznést námitku proti zpracování (čl. 21). Lhůta je jeden měsíc. Bez připraveného postupu se to řeší v panice – a záznam se často mezitím stihne přepsat.
Pokud si chcete rychle udělat obrázek, jaké dokumenty se vážou konkrétně k vaší situaci, můžete využít náš online nástroj pro analýzu kamerového systému. Projdete pár otázek podle typu organizace a rozmístění kamer a dostanete přehled toho, co byste měli mít.
Nejčastější chyby podle ÚOOÚ
Úřad je na červnovém semináři k Doporučení 01/2025 shrnul do seznamu, který stojí za ocitování – pořadí není náhodné:
● chybějící dokumentace (informační povinnost, záznamy o činnostech zpracování, balanční test),
● nevhodné umístění a nastavení kamery,
● nedostatečné zabezpečení kamerového systému,
● nevhodně zvolená doba uchování,
● absence logování,
● nezapojení pověřence pro ochranu osobních údajů,
● nedostatečná revize a aktualizace související dokumentace,
● nesprávná aplikace souhlasu,
● nedostatečné proškolení personálu.
Z naší praxe bychom přidali ještě jednu: dokumentace existuje, ale popisuje systém, který už tři roky nefunguje. Kamery se mezitím vyměnily, přibyly dvě další, rekordér se přestěhoval do cloudu – a balanční test z roku 2019 pořád mluví o čtyřech analogových kamerách a videorekordéru ve skladu. Po každé změně systému patří dokumentace k revizi.
A co když to neřešíme?
Tady je potřeba být férový, protože se o tom šíří dvě protichůdné pověsti.
Pověst první: „Hrozí nám pokuta 20 milionů eur.“ Teoreticky ano, GDPR takový strop zná. V praxi u české školy nebo obce narazíte na § 62 odst. 5 zákona č. 110/2019 Sb., podle kterého ÚOOÚ od uložení správního trestu orgánu veřejné moci a veřejnému subjektu upustí.
Pověst druhá, kterou z toho lidé vyvozují: „Takže se nám nemůže nic stát.“ To už neplatí – a stojí za to vědět proč:
● Výjimka se netýká všech. Soukromé a církevní školy, školky provozované jako s.r.o., firmy, spolky i SVJ ji nemají. Tam je pokuta reálná.
● Nápravná opatření zůstávají. Podle čl. 58 odst. 2 GDPR může úřad nařídit uvedení zpracování do souladu, udělit napomenutí a v krajním případě zpracování dočasně nebo trvale omezit či zakázat. Přeloženo: kamery vypnout a záznamy smazat. Pro školu, která je pořizovala kvůli opakovanému vandalismu, je to citelnější než pokuta – a řízení navíc bývá veřejné.
● Náhrada újmy míří jinam. Právo na náhradu majetkové i nemajetkové újmy podle čl. 82 GDPR se uplatňuje u civilního soudu a žádná výjimka pro veřejné subjekty se na něj nevztahuje.
● Záznam bez právního základu je špatný důkaz. Když po incidentu předáte policii nebo pojišťovně záznam z kamery, kterou nemáte čím obhájit, oslabujete vlastní pozici.
A pro srovnání ze zahraničí: první pokutu podle GDPR ve Švédsku dostala v roce 2019 střední škola ve Skellefteå – 200 000 SEK (zhruba 19 000 eur) za třítýdenní pilot rozpoznávání obličejů u 22 studentů. Mimo jiné právě proto, že chyběla DPIA a souhlas žáků nebyl svobodný. Dozorové úřady jinde v EU školy pokutují běžně.
Že kamery nejsou pro ÚOOÚ okrajové téma, ostatně ukazuje i jeho vlastní publikační aktivita: metodika ke kamerovým systémům z roku 2024, doporučení pro školy v roce 2025 a letos doporučení č. 01/2026 pro poskytovatele zdravotních služeb. Doporučení bývají v praxi přátelským varováním před tím, co přijde na řadu při kontrolách.
Jak to napravit, když už kamery visí
Dobrá zpráva: zpětné doplnění dokumentace je práce na dny, ne na měsíce. Postup:
1. Udělejte si inventuru. Kolik kamer, kde přesně míří, kdo má přístup k záznamu, kde je uložený, jak dlouho, kdo ho servisuje.
2. Zpracujte balanční test – s doloženým popisem reálného ohrožení a porovnáním alespoň tří variant (stávající, navrhovaná, alternativní). U méně rizikových systémů stačí stručná verze.
3. Doplňte záznam o činnostech zpracování a text druhé vrstvy informační povinnosti, zveřejněte ho na webu a doplňte piktogramy s odkazem nebo QR kódem.
4. Projděte smlouvy s dodavateli a doplňte chybějící zpracovatelské smlouvy.
5. Zapojte pověřence. Měl by dokumentaci alespoň připomínkovat a následně kontrolovat, zda navržená opatření skutečně fungují. Jeho stanovisko je zároveň tím nejlepším dokladem, že jste povinnost nepodcenili.
A pokud si nejste jistí, čím začít, projděte si analýzu kamerového systému – během několika minut zjistíte, co konkrétně vaší organizaci chybí a s čím vám umíme pomoct.
