Több alkalommal is körüljártuk már a munkáltatói adatkezelés sajátosságait, különösen azokat az esetköröket, amikor a munkavállalókat érintő személyes adat kezelés a munkavállaló munkavégzése ellenőrzésének a lehetőségét is magában hordozza.
Az Mt. kifejezetten lehetőséget biztosít a munkavállalók munkáltató általi ellenőrzésére, amennyiben kimondja, hogy A munkavállaló a munkaviszonnyal összefüggő magatartása körében ellenőrizhető. Ennek keretében a munkáltató technikai eszközt is alkalmazhat, erről a munkavállalót előzetesen írásban tájékoztatja. (Mt. 11/A § (1) bek.). A munkaviszonnyal összefüggő magatartás körébe tartozó – és így a munkáltató által ellenőrizhető – munkavállalói kötelezettségeket alapvetően az Mt. 52. § rögzíti.
Fontos tehát kiemelni, hogy nem ab ovo szabálytalan, illetve tilos a munkavállaló ellenőrzése, adott esetben akár technikai eszköz útján is. Mivel az ilyen ellenőrzések szükségképpen személyes adat kezelést is megvalósítanak ezért az ellenőrzés szabályos végrehajtásához a személyes adatok kezelése tekintetében előírt követelmények teljesülése is elengedhetetlen. Praktikusan: hiába lesz munkajogi értelemben egy munkáltatói ellenőrzés szabályos, ha a kapcsolódó adatkezelési előírásokat nem teljesíti a munkáltató, akkor a NAIH bizony a jogsértés nyomán – jó eséllyel – bírságot fog kiszabni.
A kérdés személtetésére vizsgáljunk meg az adatvédelmi hatóság gyakorlatából vett közelmúltbeli esetet.
A NAIH/2020/2729/15 számú ügyben a vizsgált adatkezelési helyzet szerint az adott munkáltató telephelyén kamerarendszert épített ki, és helyezett üzembe. A kamerarendszer, és az annak üzemeltetése révén megvalósuló személyes adatkezelés célja az épületek biztonságának és vagyoni javainak, berendezéseinek, műszaki cikkeinek, értéktárgyainak védelme, értékük, állaguk megóvása, valamint a megfigyelt területen tartózkodó személyek életének, testi épségének és vagyoni javainak védelme, jogsértő cselekmények megelőzése, az észlelt jogsértések felderítése, hatósági vagy bírósági eljárás keretében történő bizonyítása céljából telepítette és üzemelteti.
A kamerarendszer telepítése és üzemeltetése kapcsán ugyanakkor az azt telepítő munkáltató (mint adatkezelő) elmulasztotta az alábbiakat.
a) A kamerák alkalmazásával megvalósuló adatkezelés jogalapja a munkáltató vagyonvédelemmel összefüggő jogos érdekének érvényesítése volt (amely jogalapot a NAIH nem vitatta), ugyanakkor a munkáltatónak kellett volna igazolnia az érdekmérlegelés során minden egyes kamera tekintetében, hogy ténylegesen fennállnak olyan körülmények, amelyek indokolják az azok elhelyezését és más módon nem biztosítható az elérendő cél.
b) A munkáltatónak különös figyelemmel kellett volna továbbá lennie arra, hogy az egyes kamerák látószöge alapvetően a védendő vagyontárgyra (területre) irányuljon, és ne váljanak a munkavállalók munkavégzésének megfigyelésére alkalmas eszközzé (ne legyen alkalmas erre a kamera, tekintettel arra, hogy nem ez volt a megjelölt adatkezelési cél).
Ebből következően nem lehet elektronikus megfigyelőrendszert alkalmazni olyan helyiségben, amely a munkavállalók munkaközi szünetének eltöltése céljából lett kijelölve. Ez alól kivételt jelenthet az az esetkör, ha ezen helyiségben valamilyen védendő, értékes vagyontárgy található, amellyel összefüggésben igazolható valamilyen munkáltatói érdek (például a munkavállalók többször megrongálták a berendezést és a károkat a munkáltatónak kellett állnia). Ebben az esetben viszont különös figyelemmel kell lenni arra, hogy a kamera látószöge kizárólag a védendő vagyontárgyra irányulhat.
Az ügyben vizsgált adatokból megállapítható volt, hogy az egyik telepített kamera látószöge alkalmas volt arra, hogy azokon keresztül a munkavállalók munkájának intenzitását a munkáltató a kamerák képét megtekinteni jogosult munkavállalóin keresztül ellenőrizze. Ennek oka, hogy a kamera látószögébe nem csupán a védeni kívánt nagy értékű vagyontárgyak, illetve ezeket tartalmazó tárolóegységek hanem az adminisztrációs célú munkaállomás is.
c) A vizsgált adatkezelés esetén sérültek a következő jogszabályi előírások
- Az Mt. 9. § (2) bek. (A személyiségi jog korlátozásának módjáról, feltételeiről és várható tartamáról, továbbá szükségességét és arányosságát alátámasztó körülményekről a munkavállalót előzetesen írásban tájékoztatni kell.)
- Mt. 11/A. § (1) bek. (Ha a munkáltató technikai eszközt is alkalmaz a munkavállalók ellenőrzésére, erről előzetesen írásban köteles tájékoztatni őket.)
- GDPR 13. cikk (1)-(2) bek. (amely azt rögzíti, hogy az adatkezelés vonatkozásában milyen információkat, és mikor kell a munkavállalók rendelkezésére bocsátani).
Az adatvédelmi hatóság megállapította ugyanis, hogy a kamerarendszer tényleges alkalmazása egy un. próba időszakkal indult. A rendszert telepítő munkáltató nyilatkozata alapján azonban a képrögzítés tekintetében nem volt különbség a rendszer „éles-” és „próbaüzeme” között, a rendszer tehát a telepítésétől kezdve ugyanúgy működött. A próba és az éles időszakban az adatkezelés körülményei így megegyeztek. A telephelyen telepített kamerarendszer „próbaüzeméről” és az ehhez fűződő adatkezelés megkezdéséről tájékoztatás nem került kiküldésre a munkavállalók részére.
A munkavállalók részére a belépéskor átadott adatkezelési tájékoztatóban csupán általánosságban tájékoztatást adott a munkáltató arról, hogy a munkájuk ellátása során kamerával megfigyelhetik őket. A rövid általános munkavállalói tájékoztatás azonban önmagában nem elégséges, mivel a konkrét telephelyen nem történt tájékoztatás a kamerás adatkezelésről, és a kamerás megfigyelésre vonatkozó részletes belső szabályzat is jóval az adatkezelés megkezdése után, több hónapos késéssel került kialakításra (a rövid tájékoztató nem tartalmazta például az érdekmérlegelési tesztet, illetve egyéb olyan hivatkozást, ahol az ezt is tartalmazó részletes szabályzat elérhető lenne).
A fentiek alapján 700.000 Ft bírságot szabott ki a NAIH, mivel megállapította, hogy
- az adatkezelő/munkáltató megsértette az általános adatvédelmi rendelet 5. cikk b) és c) pontjait („célhoz kötöttség” és „adattakarékosság”), mivel az egyik helyiségében üzemelő kamera látószögét úgy állította be, hogy az nem kizárólag a személy- és vagyonvédelmi célból indokolt terület megfigyelésére, hanem a rövid, adminisztratív munkát végző munkavállalók megfigyelésére is alkalmas volt,
- az adatkezelő/munkáltató megsértette az általános adatvédelmi rendelet 13. cikk (1) bekezdését, mivel a telephelyén munkát végző munkavállalóit a kamerarendszer un. próbaüzem időszakában nem tájékoztatta megfelelően az ott zajló kamerás adatkezelés körülményeiről.
Ne feledjük! A munkáltatónak alapvetően van jogszabályi felhatalmazása a munkavállalók munkavégzésének ellenőrzésére. Adott esetben ez az ellenőrzés technikai eszközök útján is megvalósulhat. Fontos ugyanakkor, hogy az ennek kapcsán felmerülő adatvédelmi kötelezettségek (mindenekelőtt a konkrét adatkezelés szükségességének és arányosságának igazolása, biztosítása, valamint az előírt tartalmú, formájú tájékoztatás) teljesítése, mert ennek hiányában adatvédelmi vonatkozásban jogsértő lesz a munkáltató eljárása.