A munkahelyeken a munkáltatók által telepített, üzemeltetett biztonsági kamerák által történő kamerás megfigyelés jogszerűsége megfelelően alátámasztható az adatkezelő munkáltató jogos érdekének megjelölésével, amennyiben a biztonsági kamerák telepítésének, illetőleg a megfigyelés célja személy- és vagyonvédelemre irányul. A kamerák által rögzített kép- és hangfelvételek rögzítése, kezelése és tárolása, mint adatkezelés a GDPR hatálya alá tartozik, amennyiben azokon természetes személyek azonosíthatók, ezért ezen adatkezelési műveletek során a munkáltatónak szigorúan be kell tartania a mindenkor hatályos adatvédelmi rendelkezéseket az érintettek alapvető jogainak és szabadságainak biztonsága és tiszteletben tartása érdekében. Bejegyzésünkben részletesen áttekintjük a munkahelyi kamerás megfigyelést az adatvédelem szempontjából.
Biztonsági kamerák telepítése a munkahelyeken
A kamerás megfigyelőrendszer telepítése előtt az adatkezelőnek meg kell győződnie róla, hogy alkalmas, megfelelő és szükséges-e a cél eléréséhez [GDPR (39) Preambulumbekezdése]. Kamerás megfigyelőrendszer ennek megfelelően akkor telepíthető tehát, ha az adatkezelés célja nem érhető el az érintett alapvető jogaiba és szabadságaiba kevésbé beavatkozó módon. Az Európai Adatvédelmi Testület 3/2019 iránymutatásában (a továbbiakban: Iránymutatás) összefoglalja, hogy az adatkezelő mely esetekben alapíthatja a biztonsági kamerás megfigyelés, mint adatkezelés jogszerűségét a jogos érdeke, mint adatkezelési jogalap megjelölésével.
Az adatkezelő vagy a harmadik személy jogos érdeke lehet jogi, gazdasági vagy nem anyagi érdek, így például tulajdon védelme, vagyonvédelem, így például védelem betöréstől, lopástól, rongálástól), vagy az adatkezelő, illetve az érintettek életének, testi épségének védelme, így például testi sértés dokumentálása, bizonyítéka a felvételen. Az adatkezelőnek tehát a fentiek jogos érdeket teremthetnek a kamerával történő megfigyeléshez, a lényeg, hogy a jogos érdeknek létező problémának kell lennie. Az elszámoltathatóság elvét szem előtt tartva éppen ezért ajánlott minden előforduló adatvédelmi incidens írásos dokumentációja, mivel ez megfelelően alátámasztja az adatkezelő jogos érdekének fennállását. Az adatkezelőnek értékelni kell az érintett adataiba történő beavatkozás kockázatát, döntő tényező a beavatkozás foka az érintettek alapvető jogaiba és szabadságaiba, így különösen magánszférához fűződő jogukba. A beavatkozás foka többek között meghatározható, értékelhető a kezelt adatok köre, tartalma, a térbeli és földrajzi kiterjedés, az érintettek száma, az érintettek érdeke által.
A munkavállalók megfigyelésével kapcsolatos szakhatósági álláspontok
A munkavállalók megfigyelésével kapcsolatban a 29. cikk szerinti Adatvédelmi Munkacsoport (a továbbiakban: Adatvédelmi Munkacsoport) 2/2017. számú véleménye a munkahelyi adatkezelésről kimondja, hogy a videofelvételek elemzésére szolgáló eszközök műszaki lehetőségeinek köszönhetően a munkáltató számára lehetővé válik a dolgozó arckifejezésének, általános magatartásának, viselkedésének megfigyelése a munkahelyi környezetben. Ez a munkavállalók jogaihoz és szabadságaihoz, magánszférához fűződő jogukhoz viszonyítva aránytalan, és így általában jogszerűtlen lenne. Ilyen jellegű adatkezelés emellett lehetővé teszi az adatokkal való visszaélést – a munkáltató számára ugyanis az általa megnevezett személy-és vagyonvédelmi célokon kívül a munkavállalóval kapcsolatos profilkészítésre is lehetősége nyílna a munkavállaló tudta nélkül. E kockázatok okán a munkáltatóknak tartózkodniuk kell az arcfelismerési technológiák alkalmazásától. A szabály alól lehetnek kivételek, de az ilyen helyzetek nem használhatók fel annak alátámasztására, hogy a kamerás megfigyelés általános alkalmazása jogszerű lenne.
Az Adatvédelmi Munkacsoport elsősorban arra hívja fel a munkáltatók figyelmét, hogy a munkavállalókat minden esetben megfelelően tájékoztatni kell a kamerás megfigyelés tényéről, ideértve az adatkezelés pontosan körülhatárolt célját vagy céljait, a vagyon- és személyvédelmi célokból telepített biztonsági kamerák által rögzített adatok pontos körét. A munkavállalók munkahelyi viselkedésére, magatartására vonatkozó adatokat tartalmazó kép- és hangfelvételek a munkavállalók megfelelő tájékoztatásának hiányában nem használhatók a munkavállalók módszeres megfigyelésére.
Az Adatvédelmi Munkacsoport továbbá felhívja az adatkezelők figyelmét a munkavállalók megfigyelésével összefüggő, valamint az abból eredő kockázatokra. Jogszerűtlen például a vagyonvédelmi célra jogszerűen üzembe helyezett rendszereknek a munkavállalók rendelkezésre állásának, teljesítményének és vevőkkel szembeni barátságosságának megfigyelésére történő felhasználása. Szintén ide tartozik a biztonsági kamerák által gyűjtött adatok felhasználása a munkavállalók viselkedésének és teljesítményének rendszeres megfigyelésére, a munkavállalók mozgásának és magatartásának folyamatos ellenőrzésére. A nyomon követés sértheti a munkavállalók magánélet tiszteletben tartásához való jogát, függetlenül attól, hogy a megfigyelésre rendszeresen vagy alkalomszerűen kerül-e, mivel a róla készült felvétel, képmás elemzése magatartásának, viselkedésének olyan részletes megfigyelését teszi lehetővé, ami jelentős mértékű beavatkozást jelent a magánszférába. A megfigyelés kiterjedt alkalmazása továbbá csökkentheti a munkavállalók hajlandóságát és motivációját arra, hogy értesítsék a munkáltatókat a feletteseik és/vagy más munkavállalók szabálytalan vagy törvénytelen cselekedeteiről, amelyek kárt okozhatnak a vállalkozásnak, ezzel csökkenthet azoknak a bejelentési csatornáknak a száma, amelyeken keresztül a vállalat érdekeit sértő munkavállalói magatartások bejelentésére lehetőség van. A munkavállaló számára ugyanis a névtelenség gyakran feltétele annak, hogy cselekedjen, és bejelentse az ilyen helyzetet. A munkavállalók magánélet tiszteletben tartásához való jogát sértő megfigyelés gátolhatja a megfelelő tisztségviselőkkel való kommunikációt. Ebben az esetben a szervezeten belüli közérdekű bejelentések számára kialakított eszközök hatástalanná válhatnak.
A NAIH állásfoglalása a munkahelyi kamerás megfigyelés tárgyában
A Nemzeti Adatvédelmi- és Információszabadság Hatóság (a továbbiakban: NAIH) a munkahelyi adatkezelések alapvető követelményeiről szóló tájékoztatójában a munkavállalók kamerás megfigyelése körében az adatvédelmi követelményeket érintően kiemeli, hogy a munkahelyi kamerás megfigyeléssel összefüggésben külön jogszabály nem rendelkezik a munkahelyen alkalmazott elektronikus megfigyelőrendszerek alkalmazásáról. A Munka Törvénykönyvéről szóló 2012. évi I. törvény (a továbbiakban: Mt.) rendelkezései önmagukban nem adnak felhatalmazást a munkáltatónak elektronikus megfigyelőrendszerek alkalmazására, ahhoz a munkáltatónak minden esetben el kell végeznie a jogos érdeken alapuló adatkezelések kapcsán az érdekmérlegelési tesztet. A NAIH hangsúlyozza továbbá tájékoztatójában, hogy kamerákat a munkavállalók és az általuk végzett tevékenység elsődleges, kifejezett megfigyelése céljából működtetni nem lehet.
A személy- és vagyonvédelmi, valamint a magánnyomozói tevékenység szabályairól szóló 2005. évi CXXXIII. törvény (a továbbiakban: Szvtv.) négy esetben teszi lehetővé az elektronikus megfigyelőrendszer alkalmazását:
(i) az emberi élet, testi épség, személyi szabadság védelme,
(ii) a veszélyes anyagok őrzése,
(iii) az üzleti, fizetési, bank- és értékpapírtitok védelme, valamint
(iv) a vagyonvédelem körében.
A célhoz kötött adatkezelés elvéből fakadóan tehát munkahelyen elektronikus megfigyelőrendszert alkalmazni elsődlegesen az Szvtv.-ben elismert ezen célokból lehet, illetve a rögzített felvételek is ezen célokból használhatóak fel. Amennyiben a munkáltatók más célból szeretnék alkalmazni a kamerás megfigyelést, akkor ott igazolniuk kell azt a jogos érdeket, amely szükségessé teszi a kamera alkalmazását.
Az Mt. 9. § (2) bekezdése alapján a munkavállaló személyiségi joga akkor korlátozható, ha a korlátozás a munkaviszony rendeltetésével közvetlenül összefüggő okból feltétlenül szükséges és a cél elérésével arányos, továbbá a 11. § (1) bekezdés értelmében a munkáltató a munkavállalót csak a munkaviszonnyal összefüggő magatartása körében ellenőrizheti. A munkáltató ellenőrzése és az annak során alkalmazott eszközök, módszerek nem járhatnak az emberi méltóság megsértésével. A munkavállaló magánélete nem ellenőrizhető. Az alkalmazott eszköznek tehát alkalmasnak kell lennie a cél elérésére, vagyis csak akkor lehet ellenőrzést folytatni, ha egyértelmű, hogy az alkalmazni kívánt eszköz, módszer által az ellenőrzés útján a védeni kívánt munkáltatói érdekek, jogok sérelme megelőzhető. Az ellenőrzés továbbá csak a munkával összefüggésben történhet, a munkavállalók magánélete nem ellenőrizhető. Ezzel kapcsolatban fontos kiemelni, hogy a munkavállalókat a munkahelyen is megilleti a magánélethez való jog, és ezt a munkáltatónak tiszteletben kell tartania. A „munkahelyi magánélet” tipikus színterei az ebédlő, az öltöző, a pihenőhelyiség, a mosdók.
A fenti NAIH tájékoztató alapján az elektronikus megfigyelőrendszerek alkalmazhatóságának fontos feltétele, hogy semmiképpen sem lehet kamerát elhelyezni olyan helyiségben, amelyben a megfigyelés az emberi méltóságot sértheti, így különösen az öltözőkben, zuhanyzókban, az illemhelyiségekben vagy például orvosi szobában, váróban. Emellett alapvetően szintén nem lehet elektronikus megfigyelőrendszert alkalmazni az olyan helyiségben sem, amely a munkavállalók munkaközi szünetének eltöltése céljából lett kijelölve, mint például a munkavállalók számára biztosított ebédlő. Ez alól kivételt jelenthet az az esetkör, ha ebben a helyiségben valamilyen védendő vagyontárgy található (így például étel-ital automata), amellyel összefüggésben igazolható valamilyen munkáltatói érdek (például a munkavállalók többször megrongálták a berendezést és a károkat a munkáltatónak kellett fizetnie). Ebben az esetben e konkrét cél érdekében kamera helyezhető el a helyiségben, azonban ekkor a munkáltatónak különös figyelemmel kell lennie arra, hogy a kamera látószöge kizárólag a védendő vagyontárgyra irányulhat.
A kamerás megfigyelés, mint adatkezelés jogalapjának jelentősége
A munkavállalók munkahelyi magatartásának, viselkedésének megfigyelése a jelen cikkünkben a fentiekben foglaltak alapján összefoglalóan önmagában nem jogszerű, mivel ez az adatkezelés a munkavállalók magánszférához, magánélethez való jogát aránytalan mértékben korlátozza, valamint ilyen típusú módszeres megfigyelésre aligha található megfelelő jogalap, mely egy érintetti hatósági bejelentés, panasz esetén megállná helyét az adatvédelmi hatóság vizsgálata során. A munkáltató általi munkavállalói magatartás ellenőrzésére ugyanis rendelkezésre állnak egyéb, alternatív eszközök és módszerek, melyeket a munkáltató jogszerűen alkalmazhat – például munkavállalók által használt munkahelyi eszközök ellenőrzése, munkavállalói levelezés ellenőrzése (a magánjellegű levelezés kivételével), az adott munkahelyi szabályokba ütköző, nem elfogadható, a munkáltató érdekeit károsító vagy jogsértő munkavállalói magatartás bejelentésére szolgáló belső jelentési csatornák.
A munkavállalók magatartásának megfigyelése a munkáltató részéről nyilvánvalóan a munkavállaló ellenőrzésének célját foglalja magában. Amennyiben az adatkezeléssel – a kamerás megfigyeléssel – elérni kívánt cél tehát biztosítható más eszközökkel, alternatív módon, úgy az adatkezelés nem jogszerű és az adatkezelés jogalapja – a jogos érdek – nem megfelelő, mivel az érintettek – a megfigyelt munkavállalók – érdekei, jogai és szabadságai – elsősorban magánszférához fűződő joguk – elsőbbséget élveznek az adatkezelő jogos érdekeivel szemben. A megfelelő és kellően alátámasztott jogalap megjelölésének problematikáját szemlélteti a NAIH adatvédelmi hatósági vizsgálat során hozott döntése, amely az alábbiakban kerül röviden ismertetésre.
A NAIH érintetti bejelentés alapján indult adatvédelmi hatósági vizsgálatot követően a NAIH/2019/2076/11 számú határozatában megállapította, hogy Kerepes Város Települési Önkormányzata (a továbbiakban: Önkormányzat), mint a munkahelyen biztonsági kamerás megfigyelést alkalmazó adatkezelő a GDPR rendelkezéseinek megsértésével kezelte az érintett munkavállaló képmását, mint személyes adatát és ötmillió forint adatvédelmi bírság megfizetésére kötelezte az adatkezelőt. Az érintett bejelentése alapjául szolgált, hogy az Önkormányzat a munkavállalók előzetes tájékoztatása nélkül figyelte meg a munkavállalók magatartását kamerán keresztül. A NAIH eljárása során kiterjesztette a vizsgálat hatókörét a biztonsági kamerákkal kapcsolatos általános adatkezelői gyakorlatra, amely során megállapította, hogy az Önkormányzat a bejelentő által sérelmezett időszakban semmilyen módon nem igazolta az adatkezelés pontos célját, ezzel az adatkezelése a GDPR 5. cikk (1) bekezdés b) pontját – a meghatározott, egyértelmű és jogszerű célhoz kötött adatkezelés követelményét is sértette -, emellett az adatkezelés jogalapja sem volt megfelelő – mivel közhatalmi szervek esetében nem alkalmazható a jogos érdek, mint jogalap, az Önkormányzatnak a biztonsági kamerás megfigyelést a közérdekű vagy közhatalmi feladat ellátásának jogalapjára kellett volna alapítania. Az Önkormányzat egyebekben még a jogalapot sem jelölte meg a biztonsági kamerás megfigyelés vonatkozásában. A vizsgálat során az Önkormányzat nem tudta a NAIH által elfogadható módon alátámasztani, hogy mely közérdekű vagy közhatalmi feladata ellátásához és mennyiben lett volna szükséges a kamerás megfigyelés, mint adatkezelés. Ez azt jelenti, hogy az Önkormányzat, mint adatkezelő nem tudta megfelelően igazolni, hogy az adott feladat ellátása szempontjából elérendő eredmény elérése miért csak így – a biztonsági kamerás megfigyelés által – biztosítható.
Tanulságok a kamerás megfigyelés adatvédelmi kérdéseivel kapcsolatban
Bár adatvédelmi, jogszabályi rendelkezés önmagában nem tiltja, a munkavállalók munkahelyi magatartásának megfigyelése biztonsági kamerák által nem jogszerű, mivel az aránytalan, túlzott beavatkozás az érintettek magánéletébe, magánszférájába és annak szükségessége megfelelő jogalappal aligha támasztható alá. A nem megfelelő alátámasztottságnak, igazoltságnak különösen érintetti bejelentés, adatvédelmi hatósági vizsgálat során van jelentősége, ugyanis ezesetben az adatkezelőt terheli annak bizonyítása és kellő alátámasztása, indokolása, hogy milyen célból van szükség az adatkezelésre – és e cél elérhető volt-e, illetve elérhető-e más módon, amely az érintettek alapvető jogait kisebb, arányos mértékben korlátozza. A jelen cikkben képviselt álláspontunk szerint ennek megfelelően jelentős – elsősorban a vállalat jó hírnevére vonatkozó és emellett anyagi – kockázattal jár a munkavállalók magatartásának kamerás megfigyelése adatvédelmi bírság, érintetti bejelentés és sérelem, valamint hatósági vizsgálat során történő ellenőrzés szempontjából.
Amennyiben az adatkezelő a fenti kockázatok ellenére mégis a munkavállalók magatartásának megfigyelése mellett dönt, erről kifejezetten tájékoztatnia kell a munkavállalókat a munkahelyi kamera rendszer szabályzat segítségével, érdekmérlegelési tesztet és hatásvizsgálatot kell elvégeznie az adatkezeléshez kapcsolódóan és esetleges érintetti bejelentés, panasz, hatósági vizsgálat esetén valamennyi, az adatkezelésre vonatkozó dokumentációt a hatóság rendelkezésére kell bocsátania, amellyel alá kívánja támasztani jogos érdekének fennállását, valamint azt, hogy az adatkezelés célja alternatív módon nem volt elérhető vagy nem elérhető – például, hogy korábbi kirívó munkavállalói jogsértések, negatív magatartások, melyek oly súlyosak voltak, hogy elkerülésük érdekében feltétlenül szükséges a munkavállalók megfigyelése.
A fentiekkel kapcsolatosan kitekintésként említendő, hogy az érintett önkéntes és kifejezett hozzájárulásának jogalapja jelen esetben nem megfelelő a munkáltató és munkavállaló között fennálló egyenlőtlen, hierarchikus viszony okán – nem bizonyítható ugyanis, hogy a munkavállaló adatkezeléshez történő hozzájárulása önkéntes lenne, emellett hozzájárulását bármikor visszavonhatná, így kiüresedne az adatkezelés alapvető célja – a munkavállaló magatartásának ellenőrzése.
Amennyiben adatvédelmi ügyvéd, adatvédelmi jogász segítségére van szüksége, vegye fel velünk a kapcsolatot elérhetőségeink egyikén:
Telefon: +36 30 648 5521
E-mail: dmp@dmp.hu
