Ügyszám: NAIH/2020/643/6. Tárgy: jogsértést megállapító határozat (NAIH/2019/5963.)
Ügyszám: NAIH/2020/643/6. Tárgy: jogsértést megállapító határozat (NAIH/2019/5963.)
A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a […] ügyvéd (irodacím: […]) által képviselt szakszervezet […] által képviselt három természetes személy (a továbbiakban együtt: Kérelmezők), kérelmére, a […] egyéni ügyvéd ([…]) által képviselt […] Kérelmezett gyárépületének ebédlőjében, illetve egy másik munkavégzési helyiségben üzemelő elektronikus megfigyelőrendszerrel összefüggő adatkezelését érintő, 2019. szeptember 6. napján indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza.
I. A Hatóság
H A T Á R O Z A T Á B A N
1) a Kérelmezők kérelmeit elutasítja.
A Hatóság hivatalból
2) megállapítja, hogy a Kérelmezett a teqball nevű munkavégzési helyiségben a célhoz kötött adatkezelés és a szükségesség, az adattakarékosság, és a tisztességes adatkezelés elvébe ütközően, megfelelő jogalap hiányában kezelte a munkavállalók személyes adatait a kamerás megfigyeléssel összefüggő adatkezelése vonatkozásában, továbbá az adatkezelésről jogellenesen nem nyújtott megfelelő előzetes tájékoztatást. Ezzel Xxxxxxxxxxx megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet) 5. cikk (1) bekezdés a)-b) pontját, 6. cikkét és 13. cikk (1)-(2) bekezdését.
3) megállapítja, hogy a Kérelmezett az ebédlőben megfelelő jogalap hiányában, az adattakarékosság elvébe ütközően kezelte a munkavállalók személyes adatait a kamerás megfigyeléssel összefüggő adatkezelése vonatkozásában, továbbá az adatkezelésről jogellenesen nem nyújtott megfelelő előzetes tájékoztatást. Ezzel Kérelmezett megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontját és 13. cikk (1)-(2) bekezdését.
4) A Hatóság a Kérelmezettet hivatalból
500 000, azaz ötszázezer forint adatvédelmi bírság
megfizetésére kötelezi.
* * *
Az adatvédelmi bírságot a határozat véglegessé válását követő 15 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425-00000000 Központosított beszedési számla IBAN: XX00 0000 0000 0000 0000 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH/2020/643. BÍRS. számra kell hivatkozni.
Ha a Xxxxxxxxxxx a bírságfizetési kötelezettségének határidőben nem tesz eleget, a fenti számlaszámra késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat,
amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg.
A bírság és a késedelmi pótlék, illetve az előírt kötelezettségek nem teljesítése esetén a Hatóság megindítja a határozat végrehajtását.
Jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A veszélyhelyzet a keresetindítási határidőt nem érinti. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30.000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.
I N D O K O L Á S
I. Tényállás, előzmények
I. 1. A Kérelmezők az őket képviselő […] szakszervezeten és e szakszervezetet képviselő jogi képviselőn keresztül a Hatósághoz 2019. szeptember 5. napján érkezett kérelmükben azt kifogásolták, hogy a Kérelmezett 2019 májusában elektronikus megfigyelőrendszert helyezett el a székhelyén található gyárépületének munkavállalók által használt ebédlőjében, amely közösségi étkezésre, illetve a munkaközi szünet eltöltésére kijelölt helyiség. A kérelem szerint továbbá ezen kameráktól elkülönülten, egy elsődlegesen két munkavállaló által használt munkavégzési helyiségben is kamerát szereltek fel, melyet – beállítási szöge alapján – kizárólag a munkavállalók megfigyelésére alkalmaznak. A kérelem szerint több eltérő információ van arról, hogy az élőképes vagy a mentett felvételeket kik láthatják, és ezen személyek köre olyan tág lehet, amely – a Kérelmezők álláspontja szerint – komoly adatvédelmi aggályt vet fel. A kérelem szerint továbbá a kamerás megfigyelőrendszer telepítéséről előzetesen nem tájékoztatták megfelelően az érintetteket. A rendszer telepítése után szóban annyi tájékoztatást kaptak a helyszínen tartózkodó munkavállalók, hogy mostantól kamerarendszer üzemel az adott helyiségekben, azonban sem a felhasználás céljáról és jogalapjáról, sem a felvétel tárolásának helyéről és idejéről nem kaptak tájékoztatást, sem szóban, sem írásban, annak ellenére, hogy ezt többször kérték, írásban is.
A Kérelmezők kérelmükben kérték a Hatóságot eljárás lefolytatására, a jogsértés megállapítására és a sérelmes helyzet orvoslására irányuló döntés meghozatalára, amelynek keretében kérték a Hatóságot, hogy kötelezze a Kérelmezettet a kamerák leszerelésére.
A Hatóság az adatvédelmi hatósági eljárás megindításáról értesítette a Kérelmezettet, és a tényállás tisztázása érdekében nyilatkozattételre, illetve adatközlésre hívta fel.
I. 2. A Kérelmezők és a Kérelmezett nyilatkozatai és az általuk becsatolt irati bizonyítékok alapján megállapítható, hogy a kamerákat a […] képviselője szerelte fel, aki a Kérelmezett cégvezetője mellett rendelkezett admin jogosultsággal, azonban a felvételeket – nyilatkozatuk szerint – egyikük sem nézte meg, vagy mentette le, azokat más célra sem használták fel. Adatfeldolgozással nem bíztak meg senkit, és rajtuk kívül más személynek nem volt hozzáférési jogosultsága a rendszerhez.
A Kérelmezett nyilatkozata szerint mindkét helyiségben elsődlegesen vagyonvédelmi célból szereltek fel kettő-kettő kamerát. Az ebédlőben kizárólag a munkavállalók érdekében, és az ő
kérésükre lettek telepítve, mivel sorozatos lopások történtek. A Kérelmezett 5 munkavállalója által aláírt nyilatkozattal igazolta, hogy a munkavállalók elismerik, hogy ők kérték a kamerát.
Az úgynevezett teqball teremben kettő összeszerelő asztal található, és ezen asztalok felett helyezték el a kettő kamerát, melyek az elsődleges vagyonvédelmi cél mellett a gyártási technológia betartását, illetve a munkafolyamatot rögzítette és igazolta. Ezen kívül a kifejezetten a munkaasztalt figyelő kamerákra azért volt szükség, mert a gyártási folyamat betartása, esetleges kifogások, hiányosságok, reklamációk csak így ellenőrizhetőek utólag, továbbá ugyanezek a kamerák védték volna a munkavállalókat is abban a körben, hogy szabályosan járnak el. A nyilatkozatok szerint azonban ebben a teremben nem csupán két, állandó munkavállaló dolgozhat, hanem a létszám és a munkavállalók személye folyamatosan változik, az adott munkától is függ.
A Kérelmezett az adatkezelés jogalapjával összefüggésben azt nyilatkozta, hogy munkáltatóként a főtevékenységére kötött szerződésekre a Polgári Törvénykönyvről szóló 2013. évi V. törvény (a továbbiakban: Ptk.) szabályai alkalmazandók, melyek alapján felelősséget kell vállalni a kárenyhítésben is. Ezen kívül a munkavégzésre és a munkavédelemre vonatkozó szempontokat is figyelembe kell venni. Továbbá az érintett munkavállalók a munkaszerződés, illetve annak mellékletei (ideértve az úgynevezett adatvédelmi nyilatkozatot is) aláírásával hozzájárultak az adatkezeléshez (az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 3. § 5. pontja és az Infotv. 5. § (1) bekezdés b) és c) pontja alapján). Ezen felül a Kérelmezettnek a munkavállalói számára készített adatkezelési tájékoztatója szerint az adatkezelés jogalapja létfontosságú érdekek védelme. A Kérelmezett további nyilatkozata szerint ugyanakkor az adatkezelés jogalapjaként lényegében az általános adatvédelmi rendelet 6. cikk (1) bekezdése szerinti valamennyi jogalap fennállt az e) pont szerinti jogalap kivételével.
A Kérelmezett 2019. október 30. napján kelt nyilatkozatának 8. pontja szerint sem kép-, sem hangfelvételt nem készített a rendszer. Ugyanakkor ezen nyilatkozat 2. pontja szerint a teqball teremben található kamera a gyártási technológia betartását, a munkafolyamatot volt hivatott felvenni. A Kérelmezett a 2020. február 10. napján kelt nyilatkozata szerint szintén a teqball teremben azért volt szükség kamerára, mert a gyártási folyamat betartása, esetleges kifogások, hiányosságok, reklamációk utólag csak így ellenőrizhetők. Xxxx ezen nyilatkozatok alapján arra lehet következtetni, hogy a kamerák készítettek felvételeket. Ezt támasztja alá a Kérelmezett munkavállalói számára készített adatkezelési tájékoztató 33. pontja is, mely a kezelt személyes adatok körénél a munkavállalóról készült képfelvételt említi.
A Kérelmezett nyilatkozata szerint továbbá szóban, írásban, valamint táblákkal, illetve több oktatás keretében jelezték a munkavállalók számára, hogy kamerák üzemelnek, azokat azonban semmilyen módon nem használják fel, azok nem készítenek felvételeket. Továbbá minden érintett munkavállaló a képzésen való részvételét, illetve a képzés megtörténtét aláírásukkal igazolta. A Kérelmezett nyilatkozata szerint továbbá külön szabályzat rendelkezik a kamerarendszerről, valamint a munkavállalók munkaszerződésük aláírásával is tudomásul vették mindezt.
Mindezek mellett a Kérelmezett az adatvédelmi hatósági eljárás megindításáról való tudomásszerzéssel egyidejűleg intézkedett a kamerák leszereléséről. Mindennek igazolására a Kérelmezett aláírt nyilatkozatokat, jegyzőkönyveket, dokumentumokat küldött a Hatóság részére.
Mindemellett figyelembe veendő, hogy a Kérelmezett az eljárás során vitatta a Kérelmezőket képviselő […] szakszervezet képviseleti jogosultságát, mivel álláspontja szerint nála nem működik szakszervezet, nem rendelkezik kollektív szerződéssel, valamint külön megállapodást sem kötött e szakszervezettel, ezért az nem is képviselheti a Kérelmezett munkavállalóit. A Kérelmezett álláspontja szerint továbbá, mivel a […] szakszervezet nem a Kérelmezettnél működő szakszervezet, így meghatalmazással sem jogosult eljárni.
II. Alkalmazott jogszabályi rendelkezések
Az általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján az általános adatvédelmi rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.
Az Infotv. 2. § (2) bekezdése értelmében az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni.
Az Infotv. 38. § (2) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése.
Az Infotv. 38. § (2a) bekezdése szerint az általános adatvédelmi rendeletben a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében az általános adatvédelmi rendeletben és e törvényben meghatározottak szerint a Hatóság gyakorolja.
Az Infotv. 38. § (3) bekezdés b) pontja szerint a 38. § (2) és (2a) bekezdés szerinti feladatkörében az e törvényben meghatározottak szerint különösen az érintett kérelmére és hivatalból adatvédelmi hatósági eljárást folytat.
Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít.
Az általános adatvédelmi rendelet eltérő rendelkezése hiányában a kérelemre indult adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) rendelkezéseit kell alkalmazni az Infotv.-ben meghatározott eltérésekkel.
Az általános adatvédelmi rendelet 4. cikk 11. pontja alapján: „az érintett hozzájárulása”: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez.“
Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a), b), c) és f) pontja értelmében: „A személyes adatok:
a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”);
b) gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”).
c) az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”);
[…]
f) kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan
vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve („integritás és bizalmas jelleg”).”
Az általános adatvédelmi rendelet 6. cikk (1) bekezdése alapján: „A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:
a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez;
b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges;
c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges;
d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges;
e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges;
f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.”
Az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdése értelmében: „(1) Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:
a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei;
b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen;
c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;
d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei;
e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen;
f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás.
(2) Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja:
a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól;
b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról;
c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;
d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról;
e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása;
f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.”
Az általános adatvédelmi rendelet 58. cikk (2) bekezdése értelmében: „A felügyeleti hatóság korrekciós hatáskörében eljárva:
a) figyelmezteti az adatkezelőt vagy az adatfeldolgozót, hogy egyes tervezett adatkezelési tevékenységei valószínűsíthetően sértik e rendelet rendelkezéseit;
b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit;
c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét;
d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel;
e) utasítja az adatkezelőt, hogy tájékoztassa az érintettet az adatvédelmi incidensről;
f) átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is;
g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték;
h) visszavonja a tanúsítványt vagy utasítja a tanúsító szervezetet a 42. és a 43. cikknek megfelelően kiadott tanúsítvány visszavonására, vagy utasítja a tanúsító szervezetet, hogy ne adja ki a tanúsítványt, ha a tanúsítás feltételei nem vagy már nem teljesülnek;
i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; és
j) elrendeli a harmadik országbeli címzett vagy nemzetközi szervezet felé irányuló adatáramlás felfüggesztését.”
Az általános adatvédelmi rendelet 77. cikk (1) bekezdése szerint az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál – különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban –, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet.
Az általános adatvédelmi rendelet 83. cikk (2) és (5) bekezdése szerint: „[…]
(2) A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:
a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke;
b) a jogsértés szándékos vagy gondatlan jellege;
c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés;
d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket;
e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések;
f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke;
g) a jogsértés által érintett személyes adatok kategóriái;
h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel;
i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban
– elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés;
j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint
k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség.
[…]
(5) Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni:
a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az 5., 6., 7. és 9. cikknek megfelelően;
b) az érintettek jogai a 12–22. cikknek megfelelően;
c) személyes adatoknak harmadik országbeli címzett vagy nemzetközi szervezet részére történő továbbítása a 44–49. cikknek megfelelően;
d) a IX. fejezet alapján elfogadott tagállami jog szerinti kötelezettségek;
e) a felügyeleti hatóság 58. cikk (2) bekezdése szerinti utasításának, illetve az adatkezelés átmeneti vagy végleges korlátozására vagy az adatáramlás felfüggesztésére vonatkozó felszólításának be nem tartása vagy az 58. cikk (1) bekezdését megsértve a hozzáférés biztosításának elmulasztása. […]”
Az általános adatvédelmi rendelet 88. cikk (1) és (2) bekezdése alapján továbbá: „[…]
(1) A tagállamok jogszabályban vagy kollektív szerződésekben pontosabban meghatározott szabályokat állapíthatnak meg annak érdekében, hogy biztosítsák a jogok és szabadságok védelmét a munkavállalók személyes adatainak a foglalkoztatással összefüggő kezelése tekintetében, különösen a munkaerő-felvétel, a munkaszerződés teljesítése céljából, ideértve a jogszabályban vagy kollektív szerződésben meghatározott kötelezettségek teljesítését, a munka irányítását, tervezését és szervezését, a munkahelyi egyenlőséget és sokféleséget, a munkahelyi egészségvédelmet és biztonságot, a munkáltató vagy a fogyasztó tulajdonának védelmét is, továbbá a foglalkoztatáshoz kapcsolódó jogok és juttatások egyéni vagy kollektív gyakorlása és élvezete céljából, valamint a munkaviszony megszüntetése céljából.
(2) E szabályok olyan megfelelő és egyedi intézkedéseket foglalnak magukban, amelyek alkalmasak az érintett emberi méltóságának, jogos érdekeinek és alapvető jogainak megóvására, különösen az adatkezelés átláthatósága, vállalkozáscsoporton vagy a közös gazdasági tevékenységet folytató vállalkozások ugyanazon csoportján belüli adattovábbítás, valamint a munkahelyi ellenőrzési rendszerek tekintetében.
[…]”
Az Infotv. 75/A. §-a értelmében: „A Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.”
A munka törvénykönyvéről szóló 2012. évi I. törvény (a továbbiakban: Mt.) 9. § (2) bekezdése szerint: „A munkavállaló személyiségi joga akkor korlátozható, ha a korlátozás a munkaviszony rendeltetésével közvetlenül összefüggő okból feltétlenül szükséges és a cél elérésével arányos. A személyiségi jog korlátozásának módjáról, feltételeiről és várható tartamáról, továbbá szükségességét és arányosságát alátámasztó körülményekről a munkavállalót előzetesen írásban tájékoztatni kell.”
Az Mt. 11/A. § (1) bekezdése alapján: „A munkavállaló a munkaviszonnyal összefüggő magatartása körében ellenőrizhető. Ennek keretében a munkáltató technikai eszközt is alkalmazhat, erről a munkavállalót előzetesen írásban tájékoztatja.”
III. Döntés
III. 1. Általános megjegyzések
Az általános adatvédelmi rendelet fogalommeghatározásai alapján egy ember arca, képmása személyes adatnak, a kamerán keresztül történő élőkép megtekintése, a képfelvétel készítése, valamint a személyes adatokon elvégzett bármely művelet, így a képfelvételek megtekintése pedig adatkezelésnek minősül.
A rögzítést nem végző berendezések elhelyezése és a közvetített kép közvetlen megfigyelése hasonlít a megfigyelést végző személy (például a rendőr, a biztonsági őr, a munkahelyi vezető stb.) helyszíni jelenlétéhez, bár bizonyos fokig el is tér attól. Ma már a technika segítségével (például ráközelítéssel) ugyanis jóval szélesebb körű megfigyelésre is lehetőség van, mint a személyes jelenlétkor, így a közvetített képek megfigyelése ezekben az esetekben részletesebb ellenőrzést tesz lehetővé. Továbbá az élőképek közvetítése, illetve megfigyelése is általában valamilyen céllal történik, így egy egységes adatkezelési folyamat részelemének tekinthető, melynek következménye, hogy az adatkezelő az élőkép megtekintése alapján valamilyen döntést hoz. Ezért a személyes jelenlétet helyettesítő technikai megfigyelés, azaz a képek megismerése az általános adatvédelmi rendelet rendelkezései szerint csak abban az esetben nem minősül adatkezelésnek, ha a megfigyelés során az alkalmazott technika nem kínál lehetőséget arra, hogy a megfigyelést végző személy többletinformáció birtokába jusson az érintett természetes személlyel kapcsolatban. Ennek további feltétele, hogy a kamerák valóban ne titkos megfigyelési eszközként, hanem az ellenőrzésre jogosult jelenlétének helyettesítőjeként szolgáljanak, így minden esetben jól látható módon kell elhelyezni azokat, és egyéb úton is fel kell hívni az érintettek figyelmét jelenlétükre. Mindebből következően tehát, bár a Hatóságnak ellentétes információk állnak rendelkezésére arra vonatkozóan, hogy a kifogásolt kamerák készítenek-e a felvételeket vagy sem, adatkezelés megvalósult.
Jelen ügyben a Hatóság a Kérelmezett ebédlőjében és a munkavégzésre használt teqball teremben üzemelő kamerákat és az azokkal összefüggő adatkezeléseket vizsgálta. Mindezt azonban a Hatóság hivatalból, és általában a munkavállalókra vonatkozóan vizsgálta, nem a Kérelmezők kérelme alapján, tekintettel arra, hogy a Kérelmezők jogi képviselője nem tudta kétséget kizáróan igazolni a Hatóság felé azt, hogy a Kérelmezett elektronikus megfigyeléssel összefüggő adatkezelései valóban a Kérelmezőkre mint érintettekre is kiterjedtek. Az érintetti minőség hiánya miatt a Hatóság a Kérelmezők kérelmét elutasította, és a személyes adatok védelméhez való jog érvényesülése érdekében a kifogásolt jogsértéseket hivatalból vizsgálta.
III. 2. Az adatkezelés célja, és e célra való alkalmassága
A nyilatkozatok, illetve a Hatóság rendelkezésére álló iratok alapján a Kérelmezett mind az ebédlőben, mind a teqball teremben elsődlegesen vagyonvédelmi célból szerelt fel kamerákat, illetve ezen kívül a teqball teremben felszerelt kamerák a gyártási technológia betartását, illetve a munkafolyamatot rögzítették és igazolták, mintegy a munkavállalók munkavégzését ellenőrizve.
A munkahelyen alkalmazott kamerás megfigyelés kapcsán a kiindulópontot az Mt. jelenti, melynek
42. § (2) bekezdés a) pontja értelmében a munkaszerződés alapján a munkavállaló köteles a munkáltató irányítása szerint munkát végezni. Ezzel összhangban a jogalkotó az Mt. 52. § (1) bekezdés b) és c) pontjában a munkavállaló alapvető kötelességeként határozta meg azt, hogy a munkavállaló köteles munkaideje alatt a munkáltató rendelkezésére állni és munkáját az általában elvárható szakértelemmel és gondossággal, a munkájára vonatkozó szabályok, előírások, utasítások és szokások szerint végezni. E törvényi kötelezettségek megtartása végett a jogalkotó az Mt. 11/A. § (1) bekezdésében lehetőséget biztosít arra, hogy a munkáltató a munkavállalót a munkaviszonnyal összefüggő magatartása körében ellenőrizze, akár technikai eszköz alkalmazásával is. Ez a jogosultság személyes adatok kezelésével járhat együtt.
Az Mt. 9. § (2) bekezdése kimondja továbbá, hogy a munkavállaló személyiségi joga akkor korlátozható, ha a korlátozás a munkaviszony rendeltetésével közvetlenül összefüggő okból feltétlenül szükséges és a cél elérésével arányos. A személyiségi jog korlátozásának módjáról, feltételeiről és várható tartamáról, továbbá szükségességét és arányosságát alátámasztó körülményekről a munkavállalót előzetesen írásban tájékoztatni kell.
A Hatóság a Xxxxxxxxxxx által üzemeltetett, és a Kérelmezők által kifogásolt kamerák kapcsán megjelölt vagyonvédelmi adatkezelési célt elismeri mint legitim adatkezelési célt, azonban a teqball teremben felszerelt kamerák esetében a vagyonvédelmi cél nem értelmezhető, mivel a Xxxxxxxxxx megküldött, a kamerák által megfigyelt területekről készített pillanatképek alapján a Hatóság álláspontja szerint a helyiségben nem található védendő vagyontárgy.
A gyártási technológia betartása, illetve a munkafolyamatok rögzítése és igazolása mint további adatkezelési cél kapcsán a Hatóság álláspontja az, hogy ezek nem értelmezhetőek, mivel nem egyértelmű az, hogy miért kell rögzíteni a munkafolyamatokat és az sem, hogy mit és kinek kell igazolni. Tekintettel arra, hogy a Kérelmezett által meghatározott ezen adatkezelés cél nem egyértelmű, a Hatóság álláspontja szerint az adatkezelés nem felel meg a célhoz kötött adatkezelés elvének.
Amennyiben az adatkezelésnek jogszerű célja lenne, az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontja szerinti adattakarékosság elvéből következően vizsgálni kell, hogy a jogszerű adatkezelési célt egyéb eszközzel észszerű, illetve arányos módon el lehet-e érni, illetve, hogy a személyes adatok a kezelésük céljára mennyiben alkalmasak és relevánsak.
Ezen munkahelyiségben az adatkezelés szükségességét a Hatóság akkor tartaná igazoltnak, amennyiben arra kifejezetten, például a gyártási technológia hatékonyabbá tétele miatt lenne szükség, azaz ennek érdekében időszakosan szükség van a munkafolyamatok kamerákkal történő rögzítésére, majd a felvételek elemzésére, mely elemzési folyamat eredményeként például új gyártási technológia kerül bevezetésre. A Kérelmezett nyilatkozatai alapján azonban e kamerák elhelyezése nem ezt a célt szolgálta, így az adatkezelés szükségessége sem nyerhetett igazolást. Mindebből következően a Hatóság hivatalból megállapítja, hogy az adatkezelés nem felelt meg sem a célhoz kötött adatkezelés, sem a szükségesség elvének, sértve ezzel az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja szerinti célhoz kötött adatkezelés elvét és az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontja szerinti adattakarékosság elvét.
A Hatóság rendelkezésére álló információk alapján a Kérelmezett által üzemeltetett kamerák a munkavállalók ellenőrzésére is szolgálhattak. Az Mt. 11/A. § (1) bekezdése alapján a munkáltató ellenőrizheti a munkavállalót a munkaviszonnyal összefüggésben, akár technikai eszközzel, azonban erről előzetesen írásban – az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdés szerinti információkra is kiterjedően – tájékoztatnia kell a munkavállalót, elkerülve azt, hogy a kamerák titkos megfigyelési eszközzé váljanak.
Kamerákat a munkavállalók és az általuk végzett tevékenység állandó jellegű, kifejezett cél nélküli megfigyelésére működtetni nem lehet. Jogellenesnek tekinthető az olyan elektronikus megfigyelőrendszer alkalmazása is, amelynek célja a munkavállalók munkahelyi viselkedésének a befolyásolása. Nem lehet olyan kamerákat üzemeltetni, amelyek cél nélkül, illetve nem egyértelműen meghatározott célból, kizárólag a munkavállalókat és az általuk végzett tevékenységet figyelik meg. Kivételt képeznek az olyan munkahelyiségek, ahol a munkavállalók élete és testi épsége közvetlen veszélyben lehet, így kivételesen működtethető kamera például szerelőcsarnokban, kohóban, ipari üzemekben vagy más, veszélyforrást tartalmazó létesítményekben. Hangsúlyozni kell azonban azt, hogy – az Alkotmánybíróság gyakorlatából következően is – csak abban az esetben működtethető kamera a munkavállalók élet- és testi épségének védelme céljából, ha a veszély ténylegesen fennáll és közvetlen, vagyis az eshetőleges veszély nem lehet alkotmányosan elfogadható adatkezelési cél. Mindezt azonban a munkáltatónak kell bizonyítania az érdekmérlegelési tesztben. Vagyonvédelmi célú megfigyelés esetén szintén a munkáltatónak kell igazolnia azt, hogy ténylegesen fennállnak olyan körülmények, amelyek indokolják az egyes kamerák elhelyezését és más módon nem biztosítható az elérendő cél. Vagyonvédelmi célú megfigyelés esetén további fontos követelmény, hogy a munkáltatónak különös figyelemmel kell lennie arra, hogy az adott kamera látószöge alapvetően a védendő vagyontárgyra irányuljon, és a fentiekből következően ne váljon a munkavállalók munkavégzésének megfigyelésére alkalmas eszközzé.
Az ebédlőben üzemeltetett kamerákkal kapcsolatban figyelembe veendő az elektronikus megfigyelőrendszerek alkalmazhatóságának azon általános alapelve, hogy semmiképp sem lehet kamerát elhelyezni olyan helyiségekben, ahol a kamera üzemelése sértené az emberi méltóságot, ebből következően a tisztességes adatkezelés elvét. Ezen elv mentén nem lehet kamerákat elhelyezni különösen az öltözőkben, zuhanyzókban, az illemhelyiségekben tekintettel arra, hogy ezen helyiségekben a megfigyelés különösen sérti az emberi méltósághoz való jogot. Emellett a Hatóság álláspontja szerint szintén nem lehet elektronikus megfigyelőrendszert alkalmazni olyan helyiségben sem, amely a munkavállalók munkaközi szünetének eltöltése céljából lett kijelölve, mint például a munkavállalók számára kialakított ebédlő helyiség. Ez alól kivételt jelenthet az az esetkör, ha ezen helyiségben valamilyen védendő vagyontárgy található (így például étel-ital automata), amellyel összefüggésben igazolható valamilyen munkáltatói érdek (például a munkavállalók többször megrongálták a berendezést és a károkat a munkáltatónak kellett állnia). Ebben az esetben e konkrét cél érdekében kamera helyezhető el a helyiségben, azonban a munkáltatónak különös figyelemmel kell lennie tehát arra, hogy a kamera látószöge – figyelembe véve annak szükségességét és arányosságát – kizárólag a védendő vagyontárgyra irányulhat.
Tekintettel azonban arra, hogy a Hatóságnak megküldött, a kamerák által megfigyelt területről készített pillanatképek alapján a két kamera látószöge nem egy védendő vagyontárgyra irányult, hanem az egész helyiségre, a Hatóság hivatalból megállapítja, hogy a Kérelmezett ezen kamerákkal összefüggő adatkezelése vonatkozásában is megsértette az általános adatvédelmi rendelet 5. cikk
(1) bekezdés c) pontja szerinti adattakarékosság elvét.
III. 3. Az adatkezelések jogalapja
A Hatóság hivatalból vizsgálta a Kérelmezett által folytatott, elektronikus megfigyeléssel összefüggő adatkezelések jogalapját.
A Kérelmezett az adatkezelések jogalapja kapcsán az általános adatvédelmi rendelet 6. cikk (1) bekezdésben meghatározott valamennyi jogalapra hivatkozott, az e) pont szerinti jogalap kivételével, valamint a Ptk. szabályaira, illetve a munkavállalókkal kötött munkaszerződésekre.
Azon jogalapokat, amelyekre hivatkozással személyes adatok kezelése jogszerű lehet, az általános adatvédelmi rendelet 6. cikk (1) bekezdése taxatív módon sorolja fel. Noha az általános adatvédelmi rendelet 88. cikke a foglalkoztatással összefüggő adatkezelések vonatkozásában a nemzeti jogalkotók számára – a rendelkezésben meghatározott keretek között – szabályozási lehetőséget biztosít, ezen nemzeti jogalkotási intézkedések az általános adatvédelmi rendelet 6. cikk (1) bekezdésében meghatározott jogalapok körét nem bővíthetik. Ebből fakadóan az adatkezelő az általános adatvédelmi rendelet 6. cikk (1) bekezdés a)-f) pontjában meghatározott jogalapok valamelyikére alapozhatja adatkezelésének jogszerűségét, ezen jogszerűségi feltételek teljesülésének hiányában pusztán valamely nemzeti jogi rendelkezés az adatkezelés jogszerűségének alátámasztására nem elégséges, még akkor sem, ha maga az általános adatvédelmi rendelet egyes adatvédelmi jogalapok vonatkozásában kifejezetten megköveteli a nemzeti jogalkotói intézkedést.1 Az adatkezelőnek, bármely jogalap(ok)ra is alapozza adatkezelését, tudnia kell igazolnia annak fennálltát. Az azonban nem jogszerű, ha mindegyik jogalapra hivatkozik, bízva abban, hogy valamelyik jogszerű jogalapnak minősül.
1. Mindebből következően önmagukban a Ptk. szabályai általánosságban nem minősülnek az adatkezelés jogszerűségét megalapozó szabálynak.
2. Az általános adatvédelmi rendelet 6. cikk (1) bekezdés a) pont szerinti hozzájárulásra jogalapként akkor lehet megfelelően hivatkozni, amennyiben annak feltételei fennállnak. A hozzájárulásnak az általános adatvédelmi rendelet szerinti definíciója szerint megfelelő tájékoztatáson kell alapulnia, önkéntesnek kell lennie, továbbá az érintettnek az hozzájárulásra vonatkozó akaratát konkrétan, egyértelműen, nyilatkozat vagy megerősítést félreérthetetlenül kifejező cselekedet útján kell kinyilvánítania.
A hozzájárulásnak tehát egyrészt megfelelő tájékoztatáson kell alapulnia. A Hatóság jelen határozat
III. 7. pontjában részletesen elemzi a Kérelmezett adatkezeléseiről szóló tájékoztatást, itt csupán utal arra, hogy azok nem feleltek meg az általános adatvédelmi rendelet 13. cikk szerinti követelményeknek.
A hozzájárulásnak továbbá önkéntesnek kell lennie. Az önkéntes hozzájárulás kapcsán ugyanakkor az általános adatvédelmi rendeletet megelőzően hatályos adatvédelmi irányelv2 29. cikke szerint létrehozott Adatvédelmi Munkacsoport3 (a továbbiakban: Adatvédelmi Munkacsoport) több állásfoglalásában is kifejtette, hogy a munkavállaló-munkáltató viszonyában megkérdőjelezhető az önkéntes hozzájárulás lehetősége, arra alapvetően csupán akkor lehet hivatkozni, amikor
1 Vö. pl: általános adatvédelmi rendelet 6. cikk (3) bekezdés.
2 A személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló 95/46/EK európai parlamenti és tanácsi irányelv
3 Az Adatvédelmi Munkacsoport az általános adatvédelmi rendelet alkalmazásának kezdőnapját megelőzően az adatvédelemmel, valamint a magánélet védelmével kapcsolatos kérdésekkel foglalkozó, független európai tanácsadó szerv volt, helyébe az Európai Adatvédelmi Testület lépett.
egyértelmű, hogy az adatkezelés során feltétel nélküli „előnyöket” szerez a munkavállaló, és nem érheti őt semmilyen hátrány az adatkezelés megtagadása esetén. A munka világában az érintett hozzájárulása helyett ezért – mint jelen ügyben is – más jogalap, a munkáltató jogos érdekén alapuló adatkezelés alkalmazása indokolt.
Mindezek alapján tehát a hozzájárulás jogalapja jelen adatkezelések esetében nem volt alkalmazható.
3. A munkaszerződéssel mint az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja szerinti jogalappal összefüggésben a Hatóság álláspontja szintén az, hogy az sem teremt jogalapot a kamerás megfigyeléssel összefüggő adatkezelésre, mivel szintén az Adatvédelmi Munkacsoportnak a 6/2014. számú, az adatkezelő 95/46/EK irányelv 7. cikke szerinti jogszerű érdekeinek fogalmáról szóló véleménye4 – melyben írtak az általános adatvédelmi rendelet alkalmazási időszakában is értelmezésül szolgálhatnak – azt tartalmazza a szerződéses jogalapról
– jelen esetben munkaszerződés –, hogy ezt a jogalapot nem lehet kiterjesztően értelmezni. A szerződéses jogalap nem vonatkozik olyan helyzetekre, ahol az adatkezelés valójában nem a szerződés teljesítéséhez szükséges, hanem azt az adatkezelő egyoldalúan az érintettre erőlteti. A kamerás megfigyeléssel összefüggő adatkezelés önmagában nem minden esetben szükséges a munkaszerződés teljesítéséhez, és nem is megállapodás eredménye (különösen, ha munkahelyi ellenőrzésről az adott munkahelyen belső szabályzat, egyéb, jogszabályokon kívüli munkaviszonyra vonatkozó szabály nem vonatkozik), így tehát ennek a jelen ügyben tárgyalt adatkezelésnek nem lehet a jogalapja a munkaszerződés.
4. Az általános adatvédelmi rendelet 6. cikk (1) bekezdés c) pontja szerinti jogi kötelezettség jogalapja jelen ügyben szintén nem alkalmazható, mivel e jogalappal összefüggésben elmondható, hogy amennyiben az adatkezelésre az adatkezelőre vonatkozó jogi kötelezettség teljesítése keretében kerül sor, az adatkezelésnek az uniós jogban vagy valamely tagállam jogában foglalt jogalappal kell rendelkeznie. Az általános adatvédelmi rendelet azonban nem követeli meg, hogy az egyes konkrét adatkezelési műveletekre külön-külön jogszabály vonatkozzon. Elegendő lehet az is, ha egyetlen jogszabály szolgál jogalapul több olyan adatkezelési művelethez is, amely az adatkezelőre vonatkozó jogi kötelezettségen alapul. Az adatkezelés célját is uniós vagy tagállami jogban kell meghatározni. Az általános adatvédelmi rendeletnek a személyes adatok kezelésének jogszerűségére vonatkozó általános feltételeit a tagállami jogi normák pontosíthatják, továbbá az adatkezelő megjelölésére vonatkozó pontos szabályokat, az adatkezelés tárgyát képező személyes adatok típusát, az érintetteket, azokat a szervezeteket, amelyekkel a személyes adatok közölhetők, az adatkezelés céljára vonatkozó korlátozásokat, az adattárolás időtartamát, valamint egyéb, a jogszerű és tisztességes adatkezelés biztosításához szükséges intézkedéseket is meghatározhatják az Infotv. 5. § (3) bekezdésének megfelelően.
Olyan jogi kötelezettséget is előírhatnak jogszabályok, amely bár személyes adatok kezelésével járhat, az adott jogszabály nem határozza meg az adatkezelés körülményeit. Amennyiben az ilyen kötelező adatkezelést előíró jogszabály nem felel meg maradéktalanul az Infotv. 5. § (3) bekezdésének és nem tartalmazza az adatkezelés körülményeit, úgy az adatkezelőnek kell érvényre juttatnia a személyes adatok kezelésére irányadó általános szabályok szerinti alapelveket és garanciákat, amelyekről a jogalkotó elmulasztott rendelkezni.
Előfordulhat olyan eset is, amikor a jogszabály csak általános felhatalmazást tartalmaz meghatározott – személyes adatok kezelésével járó – tevékenység végzésére. Ilyen eset például az
4 A 6/2014. számú vélemény az alábbi linkről érhető el:
xxxxx://xx.xxxxxx.xx/xxxxxxx/xxxxxxx-00/xxxxxxxxxxxxx/xxxxxxx-xxxxxxxxxxxxxx/xxxxx/0000/xx000_xx.xxx
Mt. azon rendelkezése, amely alapján a munkavállaló a munkaviszonnyal összefüggő magatartása körében ellenőrizhető. Ekkor a törvény az ellenőrzés lehetőségét (és nem kötelezettségét) biztosítja, adatkezelést sem ír elő kötelezettségként, ezért az adatkezelésnek is eltérő a jogalapja (a munkáltató jogos érdeke).
5. Az általános adatvédelmi rendelet 6. cikk (1) bekezdés d) pontja szerinti jogalap értelmében jogszerű az az adatkezelés is, amely az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges. Más természetes személy létfontosságú érdekeire hivatkozással személyes adatok kezelésére akkor kerülhet sor, ha a szóban forgó adatkezelés egyéb jogalapon nem végezhető. Tekintettel azonban arra, hogy jelen ügyben az adatkezelések jogalapja a jogos érdek jogalapja lehet, ezért ezen jogalap nem alkalmazható.
6. Az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerint akkor lehet jogszerű az adatkezelés, ha az adatkezelés az adatkezelő (vagy harmadik fél) jogszerű érdekének érvényesítéséhez szükséges, és ezt az érdeket nem előzi meg az érintettek valamely személyes adatok védelmét megkövetelő érdeke vagy alapvető joga és szabadsága. Az adatkezelő tehát akkor jár el a kellő gondossággal, ha a jogos érdek jogalapjára alapított adatkezelés megkezdését megelőzően elvégzi például az Adatvédelmi Munkacsoport a 6/2014. számú véleményében ismertetett érdekmérlegelést, melynek során azonosítja a saját (vagy harmadik személy) jogos érdekét, valamint a súlyozás ellenpontját képező adatalanyi, – a jelen ügyhöz hasonló esetekben – munkavállalói érdeket, érintett alapjogot, és csak akkor kezdi meg, illetve folytatja az adatkezelést, ha a két érdek súlyozása alapján megállapítja, hogy az érintett érdeke a saját érdekét nem előzi meg.5 Ezen érdekmérlegelés során mindig az adott eset konkrét tényei alapján – és nem elvont formában –, az érintettek észszerű elvárásait is figyelembe véve kell eljárni.
Mindebből, illetve az általános adatvédelmi rendelet (39) preambulumbekezdéséből is következően a munkáltatónak már előzetesen az adatkezelést megelőzően pontosan meghatározott adatkezelési céllal kell rendelkeznie a kamerás megfigyelésre vonatkozóan. Ezen célnak (ami egyben az érvényesítendő érdeknek is megfeleltethető a legtöbb esetben) ténylegesnek és valósnak, a munkáltató tevékenységéhez, piaci helyzetéhez és a munkavállalók munkaköréhez igazodóaknak kell lenniük.
Mindebből következően tehát megállapítható, hogy jelen adatkezelések jogalapjaként az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerinti jogos érdek jogalapjára lehetett volna alappal hivatkozni – és megfelelően elvégzett érdekmérlegelést követően –, ám a jelen ügyben ezen jogalap alkalmazása esetében – még a jogszerűen meghatározott adatkezelési cél ellenére – sem igazolt az, hogy az adott adatkezelés szükséges, illetve arányos lett volna.
7. A Hatóság mindebből következően megállapítja, hogy a Kérelmezett által hivatkozott adatkezelési jogalapok közül egyedül a jogos érdek jogalapja lehetett volna alkalmazható az ebédlőben elhelyezett vagyonvédelmi célú kamerák esetében, mivel azonban az adatkezelés szükségessége és arányossága nem volt igazolt, és a Xxxxxxx megállapította az adattakarékosság elvének sérelmét, ezért mivel ezen, egyetlen alkalmazható jogalap fennállta sem igazolható, a Kérelmezett megsértette az általános adatvédelmi rendelet 6. cikkét is.
5 A 6/2014. számú vélemény A 7. cikk f) pontja: jogszerű érdekek című III. 3. pontja (25. oldal)
III. 4. Tisztességes adatkezelés
A Hatóság a jelen határozat III. 2. pontjában megállapította, hogy a Kérelmezett által, a teqball teremben folytatott adatkezelés nem felelt a meg célhoz kötött adatkezelés elvének, a szükségesség követelményének és sértette az adattakarékosság elvét. A Hatóságnak megküldött, a kamerák által megfigyelt területekről készített pillanatképek alapján azonban a Hatóság álláspontja szerint a kamerák alkalmasak voltak a munkavállalók cél nélküli, állandó megfigyelésére. Erre tekintettel a Hatóság hivatalból vizsgálta, hogy az adatkezelés mennyiben felelt meg a tisztességes adatkezelés követelményének. Az adatkezelés tisztességes volta az emberi méltóság védelmével áll szoros kapcsolatban, a tisztességtelen adatkezelési magatartás az érintetteket nemcsak a személyes adatok védelméhez, de az emberi méltósághoz fűződő jogában is súlyosan sértheti. Ebből kifolyólag a kamerás megfigyelés abszolút korlátját jelenti az emberi méltóság tiszteletben tartása, ezért kamerákat nem lehet működtetni a munkavállalók és az általuk végzett tevékenység állandó jellegű megfigyelésére. Jogellenesnek és tisztességtelennek is tekinthető az olyan elektronikus megfigyelőrendszer alkalmazása, amelynek nincs kifejezett, egyértelműen meghatározott célja, hanem csupán általánosságban figyeli a munkavégzést. Az Alkotmánybíróság a 36/2005. számú határozatában kimondta, hogy „az elektronikus úton történő megfigyelés tehát alkalmas arra, hogy a magánszférába behatoljon, intim (szenzitív) élethelyzeteket rögzítsen akár olyképpen, hogy az érintett nem is tud a felvételről, vagy nincs abban a helyzetben, hogy mérlegelhesse az ilyen felvételek megengedhetőségét és azok következményeit. Az így végzett megfigyelés a magánélethez való jog sérelmén túl – szélesebb és mélyebb értelemben – az emberi méltósághoz való jogot általában is érintheti. A magánszféra lényegi fogalmi eleme éppen az, hogy az érintett akarata ellenére mások oda ne hatolhassanak be, illetőleg be se tekinthessenek. Ha a nem kívánt betekintés mégis megtörténik, akkor nemcsak önmagában a magánélethez való jog, hanem az emberi méltóság körébe tartozó egyéb jogosultsági elemek, mint pl. az önrendelkezési szabadság vagy a testi-személyi integritáshoz való jog is sérülhet.”
Jelen ügyben mindezzel ellentétben a Kérelmezett jelen határozat III. 2. pontja szerint nem egyértelmű célból üzemeltetett kamerákat a teqball teremben – jelen határozat III. 5. pontja szerint megfelelő előzetes tájékoztatás nélkül –, melyek alkalmasak voltak a munkavállalók kifejezett cél nélküli egész napos megfigyelésére. Ez a megfigyelés a fent kifejtettek miatt ellentétes a tisztességes adatkezelés elvével, ezért a Hatóság hivatalból megállapítja, hogy a Kérelmezett megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti tisztességes adatkezelés elvét.
III. 5. A megfelelő előzetes tájékoztatás követelménye és az átláthatóság elve
A munkahelyi kamerás megfigyeléssel összefüggő adatkezelések esetében lényeges követelmény, hogy érintettek az adatkezelésről előzetesen megfelelő, átlátható és könnyen értelmezhető tájékoztatást kapjanak. A Hatóság ezért hivatalból vizsgálta, hogy a Kérelmezett mennyiben tett eleget ennek a kötelezettségének.
Mind az Mt., mind az általános adatvédelmi rendelet előírja azt, hogy az érintetteket tájékoztatni kell az adatkezeléssel kapcsolatos körülményekről. Az Mt. 11/A. § (1) bekezdésében megfogalmazott általános tájékoztatási kötelezettséget a személyes adatok kezelése tekintetében az általános adatvédelmi rendelet előírásait is figyelembe véve kell teljesíteni, azaz mintegy az általános adatvédelmi rendelet tölti meg tartalommal, meghatározva azon körülményeket, melyekről e tekintetben a munkáltatónak tájékoztatnia kell a munkavállalókat. Az adatkezelőnek a tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva kell nyújtania, írásban vagy más módon – ideértve adott esetben az elektronikus utat is. A Hatóság ugyanakkor minden esetben az írásbeli formát javasolja azon okból, hogy – az
általános adatvédelmi rendelet 5. cikk (2) bekezdése szerinti elszámoltathatóság elvéből is következően – az adatkezelőnek, a munkáltatónak kell bizonyítania, igazolnia a megfelelő előzetes tájékoztatás megtörténtét.
A Kérelmezett nyilatkozata szerint szóban, írásban, valamint táblákkal, illetve több oktatás keretében jelezték a munkavállalók számára, hogy kamerák üzemelnek, az általuk közvetített élőképet azonban semmilyen módon nem használják fel, azok nem készítenek felvételeket. Ugyanakkor, ahogyan a jelen határozatot III. 1. pontja tartalmazza, bár a Hatóságnak ellentétes információk állnak rendelkezésére arra vonatkozóan, hogy a kifogásolt kamerák készítenek-e a felvételeket vagy sem, adatkezelés megvalósult, így a Kérelmezettnek eleget kellett tennie a tájékoztatási kötelezettségének. A Kérelmezett nyilatkozata szerint továbbá minden érintett tudomással bírt a kamerákról, akik képzésben részesültek, melyen való részvételüket, illetve a képzés megtörténtét aláírásukkal igazolták. A Kérelmezett nyilatkozata szerint továbbá külön szabályzat rendelkezik a kamerarendszerről, valamint munkaszerződésük aláírásával a munkavállalók mindezt tudomásul vették.
A Hatóságnak megküldött iratok alapján azonban megállapítható, hogy a Kérelmezett külön szabályzattal nem rendelkezik a kamerarendszerről. Xxxxxx a munkavállalók számára készült adatkezelési tájékoztató 33. pontja említi a kezelt személyes adatok körénél a munkavállalóról készült képfelvételt (a biztonsági szolgálat által biztonsági incidens esetén átadott, a munkavállalóról készült képfelvétel), az adatkezelés célját (biztonsági incidensek – tűz, baleset, technológiai hiba, vagyonvesztés, stb. – okának feltárása), jogalapját (létfontosságú érdekek védelme), időtartamát (a biztonsági incidens kivizsgálásának ideje, a biztonsági incidensre alapított munkáltatói intézkedés esetén az intézkedéssel szembeni igényérvényesítés elévülése), az adatok címzettjét (a biztonsági incidens kivizsgálásában részt vevő munkatársak: a munkavállaló által betöltött munkakör szakterületi vezetője vagy általa kijelölt más munkavállaló, munkáltatói jogkör gyakorló vagy általa kijelölt más munkavállaló, irodavezető, munkavédelmi feladatot ellátó munkatárs).
Ugyanakkor ez a tájékoztatás nem kifejezetten a Kérelmezők által kifogásolt kamerás megfigyeléssel összefüggő adatkezelésekről szól, noha a Kérelmezett ezen kamerák esetében is e megküldött adatkezelési tájékoztatót jelölte meg mint amely alapján tájékoztatja a munkavállalókat az adatkezelésekről. E tájékoztatóval kapcsolatban megállapítható, hogy nem felel meg az általános adatvédelmi rendelet által előírt követelményeknek, mivel nem nyújt tájékoztatást az egyes kamerák elhelyezéséről és a vonatkozásukban fennálló célról, az általuk megfigyelt területről, tárgyról, illetőleg arról, hogy az adott kamerával közvetlen vagy rögzített megfigyelést végez-e a munkáltató. Nem rendelkezik továbbá a tájékoztató a felvétel tárolásának konkrét időtartamáról, a felvételek visszanézésére vonatkozó szabályokról, illetőleg arról, hogy a felvételeket milyen célból használhatja fel a munkáltató.
Megemlítendő továbbá, hogy a tájékoztató 38 adatkezelési célt tartalmaz és a fenti adatkezelési körülményeket (a kezelt adatok köre, az adatkezelés célja, jogalapja, időtartama, az adatok címzettje) rendezi külön-külön mindegyik vonatkozásában, míg a tájékoztató elején, valamennyi adatkezelésre vonatkozóan tartalmazza az érintetti jogokról és jogérvényesítésről szóló tájékoztatást, mely azonban nem terjed ki a kamerás megfigyelés sajátos körülményeire – például helyesbítéshez való jog kizártsága –, illetve nem tartalmazza átláthatóan az általános adatvédelmi rendelet 12. cikke szerinti, az érintetti kérelmek teljesítésével kapcsolatos speciális körülményeket (például a kérelem teljesítése kapcsán a határidő meghosszabbítása). Ugyanígy nem tér ki a tájékoztató az általános adatvédelmi rendelet 15. cikk (3) bekezdése szerinti, személyes adatok másolatához való jogra sem.
Az esetleges szóbeli tájékoztatással kapcsolatban a Hatóság megjegyzi továbbá, hogy annak tartalma nem bizonyított.
Mindezek alapján a Hatóság hivatalból megállapítja, hogy a Kérelmezett, mivel nem nyújtott megfelelő tájékoztatást az adatkezelésről és az azzal kapcsolatos információkról a Kérelmezők és más érintett munkavállalók részére, megsértette az általános adatvédelmi rendelet 13. cikkét. Tekintettel továbbá arra, hogy az általános adatvédelmi rendelet (60) preambulumbekezdése értelmében az átlátható és a fent hivatkozott tisztességes adatkezelés elve megköveteli, hogy az érintett tájékoztatást kapjon az adatkezelés tényéről és céljairól, továbbá minden olyan információról, amelyek a tisztességes és átlátható adatkezelés biztosításához szükségesek, mely követelménynek a Kérelmezett nem tett eleget, megsértette az általános adatvédelmi rendelet 5. cikk. (1) bekezdés a) pontja szerinti átláthatóság elvét is.
III. 6. A kamerák leszerelésére irányuló kérelem elutasítása
A Hatóság elutasítja a kérelem arra vonatkozó részét, továbbá a Hatóság hivatalból sem tartja szükségesnek, hogy kötelezze a Kérelmezettet a kamerák leszerelésére, mivel a Kérelmezett az adatvédelmi hatóság eljárás megindulásáról való tudomásszerzését követően gondoskodott a Kérelmezők által kifogásolt kamerák leszereléséről, vagyis megszüntette a jogellenes adatkezelést.
III. 7. A Kérelmezőket képviselő szakszervezet eljárási jogosultsága
A kérelmes eljárás vonatkozásában a Kérelmezett az eljárás során vitatta a Kérelmezőket képviselő […] szakszervezet képviseleti jogosultságát. A Hatóság felhívására a Kérelmezők jogi képviselője a […] szakszervezet részére a három Kérelmező által adott meghatalmazás megküldésével igazolta képviseleti jogosultságát, vagyis a Hatóság álláspontja szerint a képviseleti jogosultság meghatalmazáson alapul, nem szakszervezeti minőségen.
Az adatkezelés általános vizsgálata vonatkozásában bárki bejelentést vagy panaszt tehet, és a Hatóság mérlegelési jogkörébe tartozik, hogy hivatalból eljárást lefolytat-e, és amennyiben igen, mely eljárásfajtát.
III. 8. Szankcionálás
A Hatóság hivatalból megvizsgálta, hogy indokolt-e a Kérelmezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértések esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, ezért bírság kiszabása szükséges.
A bírságkiszabással a Xxxxxxx speciális prevenciós célja az, hogy ösztönözze a Kérelmezettet arra, hogy adatkezelési tevékenységét, tevékenységeit tudatosan folytassa, és az érintetteket ne tárgyként, hanem valóban jogosultként kezelje, biztosítva az ebből eredő jogaik, a személyes adataik kezelése feletti kontroll gyakorlásához szükséges információkat, egyéb feltételeket. Általában pedig szükséges valamennyi hasonló helyzetben lévő adatkezelő számára világossá tenni, hogy a személyes adatok kezelése fokozott tudatosságot igényel, nem lehet e téren a józan belátásra hagyatkozva bármilyen proaktív intézkedések megtétele nélkül működni, gondatlanul bízva abban, hogy nem származik hátrány a személyes adatok ténylegesen kontrollálatlan kezeléséből. Az ilyen hanyag magatartás az érintettek jogait figyelmen kívül hagyja, és mint ilyen, nem maradhat szankcionálatlanul.
A Hatóság a bírság összegének meghatározása során mindenekelőtt figyelembe vette, hogy a Kérelmezett által elkövetett jogsértések az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) és b) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek.
A Hatóság súlyosító körülményként vette figyelembe, hogy
- a Kérelmezett szándékosan, egy hierarchikus viszonyban, munkáltatói helyzetével visszaélve követte el a jogsértést [általános adatvédelmi rendelet 83. cikk (2) bekezdés b) pont];
- a Kérelmezett anélkül szerelte fel a kamerákat, hogy az általános adatvédelmi rendelet 25. és 32. cikk alapján meghozta volna a szükséges technikai és szervezési intézkedéseket és a további adatvédelmi követelményeket figyelembe vette volna [általános adatvédelmi rendelet 83. cikk (2) bekezdés d) pont].
A Hatóság enyhítő körülményként vette figyelembe, hogy
- a Kérelmezett elmarasztalására az általános adatvédelmi rendelet megsértése miatt még nem került sor [általános adatvédelmi rendelet 83. cikk (2) bekezdés e) pont];
- a Kérelmezett az adatvédelmi hatósági eljárás megindulásáról való tudomásszerzését követően leszerelte a Kérelmezők által kifogásolt kamerákat [általános adatvédelmi rendelet
83. cikk (2) bekezdés c) és f) pont]
- a Hatóság túllépte az ügyintézési határidőt [általános adatvédelmi rendelet 83. cikk (2) bekezdés k) pont].
A Hatóság a bírságkiszabás megállapítása során nem tartotta relevánsnak az általános adatvédelmi rendelet 83. cikk (2) bekezdés g), h), i), j) pontja szerinti körülményeket, mivel azok a konkrét ügy kapcsán nem is értelmezhetők.
A fenti körülményeket figyelembe véve a Xxxxxxx a bírság mértékét a bírságminimumhoz közeli összegben állapította meg. A Hatóság nyomatékosan figyelembe vette az enyhítő körülményeket, mivel álláspontja szerint a Kérelmezett esetében ezzel is érvényre lehet juttatni a megtörtént adatvédelmi jogsértés miatt a generális és speciális prevenció céljait.
A Kérelmezett 2019. évi árbevétele több, mint 1.000 millió forint volt, így a kiszabott adatvédelmi bírság nem lépi túl a kiszabható bírság maximumát.
IV. Egyéb kérdések:
A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed.
A Hatóság jelen döntése az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A döntés az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése , illetve a 114. § (1) bekezdése alapján a döntéssel szemben közigazgatási per útján van helye jogorvoslatnak.
* * *
Az Ákr. 135. § (1) bekezdés a) pontja szerint a Kérelmezett a törvényes kamatnak megfelelő mértékű késedelmi pótlékot köteles fizetni, ha pénzfizetési kötelezettségének határidőben nem tesz eleget.
A Ptk. 6:48. § (1) bekezdése alapján pénztartozás esetén a kötelezett a késedelembe esés időpontjától kezdődően a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal megegyező mértékű késedelmi kamatot köteles fizetni.
A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés
b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. §
(6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.
A Kp. 29. § (1) bekezdése és erre tekintettel a polgári perrendtartásról szóló 2016. évi CXXX. törvény 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.
A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.
Ha az előírt kötelezettsége teljesítését a Kérelmezett megfelelő módon nem igazolja, a Xxxxxxx úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a Kérelmezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja.
Budapest, 2020. július 17.
Xx. Xxxxxxxxxx Xxxxxx elnök
c. egyetemi tanár