Gyógyszergyártó cég bírságolása

A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) honlapján a napokban közzétett egy 2018. május 23-án meghozott, bírságot kiszabó határozatot, amelyről alább következik egy összefoglaló.

A NAIH bírságot szabott ki az EGIS Gyógyszergyár Zrt.-re, mert álláspontja szerint az megfelelő jogalap hiányában kezelt személyes adatokat kamerás megfigyeléssel összefüggésben és nem nyújtott megfelelő előzetes tájékoztatást a kamerás megfigyeléssel összefüggő adatkezelésről az általa foglalkoztatott munkavállalók részére. A hatóság erre hivatkozással 800.000 forint összegű adatvédelmi bírságot szabott ki (a bírság kiszabására még a GDPR alkalmazandóvá válását megelőzően került sor).

Tényállás

A hatósági eljárás tárgyát két, munkafolyamatokat megfigyelő kamera képezte, amelyeket a folyamatok hatékonyabbá tétele érdekében szereltek fel és amelyek használatáról az adatkezelő szóban tájékoztatta a munkavállalóit. Az adatkezelő az adatkezelés jogalapjaként a munkavállalók hozzájárulását jelölte meg.

A kamerák alkalmasak voltak felvételek készítésére, amelyeket három munkanapig őriztek meg. A kamerák folyamatosan működtek, azonban képrögzítés csak akkor történt, ha a kamerák mozgást érzékeltek.

Az adatkezelés célja (célhoz kötöttség követelménye)

A hatóság megállapítása szerint alapvetően üzemeltethető kamera a munkafolyamatok hatékonyabbá tétele érdekében, azonban bizonyos követelményeket be kell tartani. Így, a munkafolyamatok hatékonyságának növelése érdekében alkalmazott elektronikus megfigyelésre rövid, csak a legszükségesebb időtartamban kerülhet sor, a felvételek nem használhatók fel a munkavállalók egyéni értékelésére, továbbá a felvételek alapján semmilyen hátrányos munkajogi jogkövetkezmény nem alkalmazható a munkavállalókkal szemben. Továbbá a felvételek készítése és kiértékelése során arra kell törekedni, hogy a legkevésbé járjon a munkavállalók beazonosíthatóságával.

A NAIH szerint a kamera alkalmazása megfelelt a célhoz kötött adatkezelés elvének, így e tekintetben nem tett megállapítást.

Az adatkezelés jogalapja

Kamerás megfigyelés esetében a megfelelő jogalap a munkáltató jogos érdeke lehet. Az ilyen típusú adatkezelés esetében a munkavállaló hozzájárulása nem alkalmazható. A munkavállaló hozzájárulása munkaviszony esetében egyébként is csak nagyon szűk körben alkalmazható jogalapként, összhangban az EU korábbi adatvédelmi munkacsoportja és a NAIH gyakorlatával.

Amennyiben a jogos érdeket kívánják használni az adatkezelés jogalapjaként, akkor az adatkezelés megkezdése előtt kötelező ún. érdekmérlegelési tesztet készíteni, amelyben be kell mutatni, hogy miért van lehetőség az adatkezelésre (miért előzi meg az adatkezelő jogos érdeke a munkavállalók jogait).

A hatóság a jogalap tekintetében jogsértést állapított meg, mivel megfelelő jogalap nélkül történt az adatkezelés.

Előzetes tájékoztatás

A NAIH megállapította, hogy az adatkezelő nem nyújtott teljeskörű tájékoztatást az adatkezeléssel kapcsolatban. Így például nem adott tájékoztatást a megfelelő jogalapról, arról, hogy az adatkezelő hány kamerát alkalmaz, hol helyezkednek el a kamerák, milyen területet figyelnek meg, milyen főbb adatbiztonsági intézkedéseket alkalmaznak, az érintettet milyen jogok illetik meg. A hatóság azt is megállapította, hogy a tájékoztatás nem előzetesen, az adatkezelés megkezdése előtt történt.

Mindezek alapján a hatóság az előzetes tájékoztatást tekintetében is jogsértést állapított meg.

dr. Kovács Zoltán Balázs (LL.M.), Partner, Szecskay Ügyvédi Iroda, Budapest (zoltan.kovacs@szecskay.com)

A jelen bejegyzés általános áttekintést kíván nyújtani a körüljárt kérdésekkel kapcsolatban és nem minősül jogi tanácsadásnak.