1.500.000 Ft-os adatvédelmi bírság!
1.5 millió Ft-os GDPR bírságot szabott ki az adatvédelmi hatóság a munkavállalók egész napos megfigyelése, több GDPR alapelv megsértése, és a megfelelő tájékoztatás hiánya miatt. Az alábbiakban összefoglaljuk a határozat lényegét:
A szóban forgó ügyben Kérelmező kérelemmel fordult a NAIH-hoz, mely szerint korábbi munkahelyén, a Kötelezettó, az általa üzemeltetett elektronikus megfigyelőrendszer egyik kamerájával megfigyelte munkavégzését […] napján. A kérelem szerint ezen kamera által rögzített felvételek alapján a Kérelmező […] képeket keresett a hivatali diszpécseri számítógépen, azokat kinyomtatta, […] feliratokkal látta el, majd a férfi öltözőben függesztette ki. A munkáltatói jogkör gyakorlója a Kérelmezőt hivatalának ellátására méltatlannak ítélte a felvételek alapján, ezért […] napján megszüntette közszolgálati jogviszonyát.
A Kötelezett nyilatkozata szerint a hangfelvétel készítésére nem alkalmas térfelügyeleti rendszerben jelenleg […] darab kültéri kamera üzemel, és e rendszer részeként, abba integráltan működik […] darab belső kamera, amely a Kötelezett […] közterület-felügyelete közterületi kameráinak képét figyelő térfigyelő-központban található, és az ott a térfelügyeleti rendszert felügyelő személyek (operátorok/diszpécserek) tevékenységét figyeli meg.
A Hatóság álláspontja szerint a közszolgálati tisztviselők ezen feladatainak ellenőrzésére a belső kamera jelen formájában nem alkalmas, mivel a felvételek alapján csupán az állapítható meg, hogy az adott közszolgálati tisztviselő a monitort nézi-e, azt azonban nem mutatja meg, hogy valójában mit néz a monitoron, és milyen tevékenységet végez a számítógépén. A Hatóság álláspontja szerint az ellenőrzés ebben az esetben megvalósulhat például gyakoribb, személyes ellenőrzéssel a vezető részéről, vagy úgynevezett csoportvezető kinevezésével, akinek feladatkörébe tartozna a munkatársak feladatellátásának ellenőrzése.
Az adatbiztonsági követelmények betartása kapcsán a Hatóság álláspontja szerint:
a térfelügyeleti rendszer védelme szintén megvalósítható hatékonyabban más módszerekkel, kamerák nélkül is. Így például megfelelő számítástechnikai védelmi fejlesztésekkel, melyek megakadályozzák azt, hogy a munkaállomásokról adatokat mentsenek le, mint például az adatvesztés megakadályozását szolgáló eszközökkel, újgenerációs tűzfalakkal és egyesített fenyegetéskezelő rendszerekkel, illetve különféle biztonsági alkalmazásokkal és intézkedésekkel, mint az internet korlátozásával, tiltásával, a külső adathordozók (például pendrive) csatlakoztatásának letiltásával, illetve a kép-, illetve hangrögzítésre alkalmas eszköz bevitelének hatékony kiszűrésével.
A (…) videofelvétel alapján a közszolgálati tisztviselőket a kamera akként figyeli meg, hogy a felvétel alapján nem is feltétlenül állapítható meg minden esetben, hogy az adott közszolgálati tisztviselő használja-e a kép-, illetve hangrögzítésre alkalmas eszközét, vagy azzal készít-e felvételt a munkaeszközéről, illetve annak monitoráról, amiből következően az adott kamera ilyen célra egyébként sem feltétlenül alkalmas.
A Hatóság megállapította, hogy a Kötelezett által adatkezelési jogalapként hivatkozott Kftv.-beli rendelkezések a belső kamerával történő megfigyeléssel összefüggő adatkezelés esetében nem alkalmazhatóak a Kérelmező és a közszolgálati tisztviselők ellenőrzése tekintetében, ezért a Kötelezett – megfelelő jogalap hiányában – megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdését.
A Hatóság álláspontja az adatkezelésről szóló tájékoztatással kapcsolatban az, hogy a térfelügyeleti központ ajtaján elhelyezett rövid írásbeli tájékoztatás semmilyen információt nem tartalmaz az általános adatvédelmi rendelet által előírt információkról.
A megfigyelés ellentétes a tisztességes adatkezelés elvével, ezért a Hatóság megállapítja, hogy a Kötelezett megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti tisztességes adatkezelés elvét.
A Hatóság továbbá úgy ítélte meg, hogy a kamerafelvételeknek az érintett méltatlansági szabályszegésével kapcsolatos felhasználása az általános adatvédelmi rendelt 5. cikk (1) bekezdés b) pontjába – a célhoz kötöttség alapelvébe – ütközik, és mint ilyen, jogellenes. Végül ezen adatkezeléssel kapcsolatban a Kötelezett szintén megsértette az általános adatvédelmi rendelet 13. cikk (4) bekezdését, hiszen ezen újabb adatkezelésről szintén nem tájékoztatta előzetesen a Kérelmezőt.
Feleljen meg a GDPR-nek! Kérje árajánlatunkat a DPO tisztség betöltésére, céges GDPR adatvédelmi auditra, az adatkezelési tájékoztató, a GDPR adatvédelmi szabályzat elkészítésére a [email protected], vagy az Ajánlatkérő űrlapunkon! Net-jog.hu: IT ügyvédek sokéves tapasztalattal, milliós bírsággaranciával.
