Chytré brýle na pracovním jednání nejsou soukromá věc zaměstnance

Evropský sbor pro ochranu osobních údajů (EDPB) přijal 13. října první prohlášení k chytrým brýlím a pracoviště v něm řadí mezi citlivá prostředí. Jakmile zaměstnanec použije brýle s kamerou a AI asistentem při práci, GDPR se uplatní a odpovědnost míří k firmě. Většina interních pravidel přitom pořád počítá jen s mobilem položeným na stole.

Porada, o které nikdo nevěděl, že se zaznamenává

Představte si jednání o nové dodavatelské smlouvě. Za vaši firmu sedí obchodní ředitel, nákupčí a technik z vývoje. Technik nosí brýle, které vypadají úplně obyčejně. Mají ale kameru, mikrofony a AI asistenta, který mu na požádání shrne, co se řeklo, a přeloží pasáže v němčině. Obraz a zvuk se zpracovávají v cloudu poskytovatele brýlí.

Po jednání nikdo z vašich lidí neví jistě, co se zaznamenalo. Dodavatel se to nedozví vůbec. A interní pravidla o tom mlčí, protože zákaz nahrávání v pracovním řádu vznikl v době, kdy nahrávání znamenalo položit telefon na stůl.

Jde o modelovou situaci. Brýle s kamerou a AI funkcemi se ale běžně prodávají a EDPB je proto řeší jako praktický problém, ne jako technologickou zajímavost.

Co EDPB 13. října řekl

Prohlášení 1/2026 je předběžné. Nové povinnosti nezavádí, vykládá ty, které z GDPR plynou už dnes. Úřad pro ochranu osobních údajů k němu 15. října zveřejnil neoficiální český překlad. Pro firmy z textu plynou čtyři body:

• Výjimka pro domácnost je úzká. GDPR se nepoužije jen tehdy, když uživatel brýle používá čistě osobně, třeba natočí rodinu nebo si v soukromí nechá přeložit jídelní lístek. Při profesní nebo obchodní činnosti výjimka neplatí.
• Pracoviště je jmenované výslovně. Používání brýlí na pracovišti podle EDPB vyvolává obavy z monitorování zaměstnanců a z úniku důvěrných informací organizace, včetně obchodního tajemství a duševního vlastnictví. Prohlášení zároveň zmiňuje, že některé provozovny už používání brýlí ve svých prostorách omezují.
• Do hry vstupuje poskytovatel AI. Výrobce brýlí nebo poskytovatel AI funkcí může být samostatným nebo společným správcem, typicky když analyzuje obraz z kamery, na kterém jsou další lidé. Data tím opouštějí vaši kontrolu a mohou směřovat i mimo EU.
• Souhlas přítomných se získává těžko a dodatečně neplatí. U oprávněného zájmu EDPB požaduje pečlivé posouzení a dostatečná ochranná opatření. Porušení pracovního, občanského nebo trestního práva navíc podle EDPB může zpochybnit korektnost zpracování podle čl. 5 odst. 1 písm. a) GDPR.

Tři omyly, na kterých firemní pravidla stojí

„Jsou to soukromé brýle zaměstnance, firmy se to netýká“

Když zaměstnanec brýle použije na jednání, při servisu u zákazníka nebo na poradě, jedná v rámci své práce. Podle pokynů EDPB 07/2020 k pojmům správce a zpracovatel je správcem zpravidla organizace, jejímž jménem zaměstnanec jedná, ne zaměstnanec jako jednotlivec. Vysvětlovat úřadu nebo obchodnímu partnerovi, co se se záznamem stalo, tedy bude firma.

Vedle GDPR platí občanský zákoník. Zachytit podobu člověka tak, aby byl rozpoznatelný, lze podle § 84 jen s jeho svolením, pokud nejde o zákonnou výjimku. Výjimky existují, ale na pohodlnější zápis z obchodního jednání stavěné nejsou. Partner, kterého nikdo neupozornil, má proto argumenty i mimo ochranu osobních údajů.

„Zákaz nahrávání v pracovním řádu to pokrývá“

Běžná formulace zní „bez souhlasu vedení je zakázáno pořizovat zvukové a obrazové záznamy“. U brýlí má dvě slabiny.

Zaprvé porušení není vidět. EDPB sám konstatuje, že současné signalizační diody na brýlích nechávají mnoho lidí v nevědomosti, že se něco zpracovává. Zadruhé část funkcí formálně nahráváním není. Překlad v reálném čase nebo rozpoznání předmětu zpracovávají obraz a zvuk průběžně, často na serverech poskytovatele, a zaměstnanec má pocit, že nic nenatáčí.

Pravidlo, které obstojí, proto mluví o zařízeních s kamerou nebo mikrofonem a o jejich funkcích, ne o „pořizování záznamů“. A vymezuje místa a situace, ne jen činnost.

„Když je to riskantní, zakážeme to všem“

Plošný zákaz je nejjednodušší, ale má mezery. Brýle s dioptriemi a chytrými funkcemi někteří lidé nosí místo běžných brýlí a EDPB mezi legitimní použití řadí i pomoc lidem se zdravotním postižením, například zvukové upozornění na překážky v okolí. Firma, která na to nepamatuje, si otevírá spor podle antidiskriminačního zákona. Zákaz pro zaměstnance navíc neřeší návštěvy, dodavatele a servisní techniky, kteří k vám přicházejí zvenku.

Pak je tu opačná situace: brýle chce nasadit sama firma, třeba pro vzdálenou asistenci technikům, kontrolu skladu nebo dokumentaci servisních zásahů. Firma je v tu chvíli správcem se vším, co k tomu patří:

• Pokud brýle umožní sledovat práci zaměstnanců, potřebujete podle § 316 odst. 2 zákoníku práce závažný důvod spočívající ve zvláštní povaze vaší činnosti a podle odst. 3 musíte zaměstnance přímo informovat o rozsahu a způsobu kontroly.
• U systematického zpracování obrazu a zvuku zaměstnanců a zákazníků počítejte s posouzením vlivu na ochranu osobních údajů (DPIA) podle čl. 35 GDPR.
• Pokud by software vyhodnocoval emoce lidí, narazíte na zákaz rozpoznávání emocí na pracovišti podle čl. 5 odst. 1 písm. f) AI Actu. Zákaz platí od 2. února 2025, výjimku mají jen zdravotní a bezpečnostní důvody.

Obchodní tajemství si můžete oslabit sami

Tento bod nejvíc pálí vývoj a výrobu. Podle § 504 občanského zákoníku je obchodní tajemství chráněné jen tehdy, když ho vlastník odpovídajícím způsobem utajuje. Pokud firma pouští do vývojové dílny nebo na poradu o cenách zařízení, která umí nenápadně zachytit obraz i zvuk, a nemá k tomu žádné pravidlo, oslabuje svou pozici v případném sporu o únik informací. Protistrana se bude ptát, jaká opatření jste měli. Odpověď „nikoho nenapadlo, že by to šlo“ před soudem neobstojí dobře.

Zóny bez záznamových zařízení, návštěvní řád s výslovnou zmínkou o nositelných kamerách a doložka v NDA s dodavateli stojí minimum. V takovém sporu vám ale dají doklad, že jste utajení brali vážně.

Co nastavit teď

Novou směrnici psát nemusíte. Stačí doplnit tu existující tak, aby počítala s technikou, kterou lidé skutečně nosí.

• Rozhodněte, kde ano a kde ne. Typické zakázané zóny: vývoj, provozy s know-how, HR a mzdová agenda, porady vedení, jednání o cenách. Jinde povolit s podmínkami.
• Přepište formulace. Místo „pořizování záznamů“ pište „používání zařízení s kamerou nebo mikrofonem, včetně chytrých brýlí a jejich AI funkcí“.
• Nastavte pravidlo pro jednání s externími. Kdo má na jednání brýle s aktivními funkcemi, oznámí to předem a ostatní mohou odmítnout.
• Doplňte návštěvní řád a smlouvy. Nositelná zařízení patří do návštěvního řádu i do NDA s dodavateli a servisními partnery.
• Zapište brýle do evidence AI nástrojů. Pokud už máte pravidla pro ChatGPT a podobné nástroje, AI asistent v brýlích je další položka: kam data tečou, kdo je správce a jestli je poskytovatel používá k trénování.
• Myslete na výjimky. Popište postup pro zdravotní a kompenzační použití, aby ho nemusel řešit každý vedoucí po svém.
• Vlastní nasazení až po DPIA. Nejdřív posouzení vlivu, informování zaměstnanců a smlouva s poskytovatelem. Ukládání záznamů a trénink na vašich datech vypněte všude, kde nejsou nutné.
• Proškolte lidi krátce a s doloženou účastí. Dvacet minut, tři situace: porada, návštěva ve firmě, jednání u zákazníka.

Kde to firmám obvykle drhne

Právní stránka je u chytrých brýlí poměrně čitelná. Drhne provoz. Pracovní řád spravuje HR, návštěvní řád recepce, pravidla pro AI nástroje IT, NDA právník a prezenční listiny ze školení leží v něčím e-mailu. Když se pak něco stane, firma pracně dokládá, která verze pravidel platila a kdo ji znal. Je to stejný problém jako u etického kodexu, který u soudu neochrání: obrana nestojí na dokumentu, ale na záznamech, které k němu umíte přiložit.

VPoint drží interní směrnice, evidenci AI nástrojů, agendu GDPR i školení na jednom místě. Ke změně pravidel připravíte AI generované školení a o tom, kdo ho absolvoval, zůstává auditní stopa. Doplnění pravidel o nositelná zařízení se tak promítne do směrnice, školení i evidence najednou, místo aby putovalo e-mailem po pěti odděleních.

Shrnutí pro vedení

• Chytré brýle použité při práci spadají pod GDPR. Výjimka pro domácnost na pracovní jednání nedopadá.
• Odpovědnost nese zpravidla firma, ne zaměstnanec, který brýle nosí.
• Zákaz „nahrávání“ nepokrývá AI funkce. Pište o zařízeních s kamerou a mikrofonem a o konkrétních zónách.
• Bez pravidel pro záznamová zařízení oslabujete ochranu vlastního obchodního tajemství.
• Pokud brýle nasazuje firma sama: § 316 zákoníku práce, DPIA a žádné rozpoznávání emocí.

Chcete vidět, jak vypadá úprava směrnice, navazující školení a evidence AI nástrojů na jednom místě a za cenu, která neroste s počtem uživatelů? Domluvte si demo VPointu.