A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: NAIH vagy Hatóság) egy 2023. február 26. napján közzétett határozatában jelentős összegű büntetést szabott ki egy szépségszalonnal szemben, ugyanis az üzlet teljes területén kamerák elhelyezésére került sor, amely az ott dolgozókat és a vendégeket is felvette, valamint az eszközök e személyek lehallgatására is alkalmasak voltak. A kamerarendszer kiépítése és az azzal összefüggő adatkezelés számos ponton sértette a GDPR rendelkezéseit, ezért került sor a 30.000.000 forintos adatvédelmi bírság megállapítására.
A Hatósághoz több bejelentést érkezett azzal kapcsolatban, hogy a szépségszalon teljes területén kamerák találhatóak, amelyek nemcsak képfelvétel készítésére, hanem hangrögzítésre is alkalmasak. A társaság ezen adatkezelésről csak részben nyújtott tájékoztatást az érintettek számára, arról nem informálta sem a munkavállalókat, sem pedig a vendégeket, hogy hangfelvétel rögzítésére is sor kerül, valamint arra sem tért ki, hogy a megfigyelésnek mi a tényleges indoka. A bejelentők szerint a hangrögzítés valódi célja a munkatársak ellenőrzése, valamint a vendégekről való, marketing célú információszerzés volt. A bejelentők továbbá arra is felhívták a NAIH figyelmét, hogy a szépségszalon olyan ajánlási gyakorlatot végez, amelynek során vendégeiket arra kérik, hogy ismerőseik nevét és elérhetőségeit adják meg, azért, hogy ezen adatok felhasználásával ingyenes kezelést ajánlanak e személyeknek.
A NAIH ezen előzményekre tekintettel hatósági ellenőrzést indított a társasággal szemben. A helyszíni szemle során a hatóság 32 db kamerát talált, amelyek szinte a szépségszalon egész területét vették, így a recepción, folyosókon, kezelőszobákban és olyan helyiségekben is kamerák voltak, ahol a munkavállalók ebédszünetüket töltik. A Hatóság megállapította, hogy a kép- és hangfelvételek minősége alapján a kamerás megfigyelés által érintett személyek a felvételen beazonosíthatóak. Ezen túlmenően azt is rögzítette, hogy a kamerák kifejezetten a munkavállalók és a vendégek megfigyelésére szolgáltak, a munkavállalók munkavégzés során és a munkaközi szünetben is folyamatosan valamely kamera látószögében voltak, a vendégek pedig a kezelőszobákban, sok esetben hiányos öltözetben kerültek a felvételekre.
A cikk további részében a határozatnak a munkavállalók megfigyelésével kapcsolatos megállapításait vizsgáljuk meg.
Célhoz kötött adatkezelés elvének megsértése
A NAIH a határozatában rögzítette, hogy a munka törvénykönyvéről szóló 2012. évi I. törvény (a továbbiakban: Mt.) 11/A. § (1) bekezdése értelmében a munkáltatónak lehetősége van arra, hogy a munkavállalóit a munkaviszonnyal összefüggő magatartása körében ellenőrizze, akár technikai eszközök alkalmazásával is, ami szükségszerűen együtt járhat személyes adatok kezelésével. A technikai eszközökkel történő ellenőrzés – és összességében az ellenőrzés – maga után vonhatja a dolgozó személyiségi jogainak korlátozását is, amely önmagában nem tiltott, de csak akkor valósulhat meg jogszerűen, ha a korlátozás a munkaviszony rendeltetésével közvetlenül összefüggő okból feltétlenül szükséges és a cél elérésével arányos [Mt. 9. § (2) bekezdés]. A személyiségi jog korlátozásának részleteiről (módjáról, időtartamáról, feltételeiről) és a szükségességet és arányosságot alátámasztó körülményekről a munkáltatónak előzetesen tájékoztatnia kell beosztottjait.
A Hatóság a határozatában megjegyezte, hogy a vagyonvédelmi célú megfigyelés alapvetően legitim
cél lehet a kamerás adatkezelés tekintetében, azonban ekkor igazolni kell, hogy ténylegesen fennállnak olyan körülmények, amelyek indokolják az egyes kamerák elhelyezését és más módon nem biztosítható az elérendő cél. A NAIH azt is kiemelte, hogy a vagyonvédelmi cél megállásához az is szükséges, hogy a kamera látószöge alapvetően a védendő vagyontárgyra irányuljon és ne – akár közvetlenül, akár közvetve – a munkavállalók módszeres megfigyelését szolgálja. A tárgy szerinti ügyben a Hatóság bizonyos kamerák vonatkozásában igazoltnak látta a vagyonvédelmi célt, azonban azon eszközöknél nem, ahol a szépségszalon nem tudta igazolni, hogy a helyiségben található védendő vagyontárgy, továbbá a kamerák vagyonvédelmi célra történő felszerelésének szükségességét alátámasztó indokot sem tudott megjelölni.
A társaság a vagyonvédelmi cél mellett a kamerarendszert a munkavállalók ellenőrzése miatt is alkalmazta. A helyszíni szemlén előadott nyilatkozat szerint a társaság a kép- és hangfelvételeket arra használja, hogy az értékesítéssel foglalkozó munkatársak ellenőrizni tudják az új kollégák ügyfelekkel való kommunikációját, magatartását és adott esetben utasítást adjanak az értékesítési folyamattal kapcsolatban. A NAIH összességében úgy határozott, hogy kamerákat a munkavállalók és az általuk végzett tevékenység állandó jellegű, kifejezett cél nélküli megfigyelésére működtetni nem lehet, továbbá jogellenes az olyan elektronikus megfigyelőrendszer alkalmazása is, amelynek célja a dolgozók munkahelyi viselkedésének a befolyásolása. Emellett rögzítette azt is határozatában, hogy amennyiben a cél elérése érdekében egy kevésbé korlátozó eszköz is rendelkezésre áll, akkor azt kell alkalmazni (így pl. az új munkavállalók oktatásokon, tréningeken is részt vehetnek a betanulási időszak alatt).
A NAIH ezekre tekintettel a GDPR 5. cikk (1) bekezdés c) pontjának, azaz a célhoz kötött adatkezelés követelményének sérelmét állapította meg.
Megfelelő jogalap hiánya
Az adatkezelés céljának kellő definiálása mellett az adatkezelőnek megfelelő jogalappal is rendelkeznie kell ahhoz, hogy adatkezelése jogszerű legyen. A tárgy szerinti ügyben a szépségszalon egyidejűleg nevezte meg az érintett hozzájárulását, valamint a társaság jogos érdekét, mint jogalapot a kamerás adatkezelés tekintetében.
A hozzájárulás, mint jogalap tekintetében a NAIH rögzítette, hogy a hozzájárulás önkéntessége a munkáltató-munkavállaló viszonylatában megkérdőjelezhető. Ezen jogalapra akkor lehet hivatkozni, amikor egyértelmű, hogy az adatkezelés során a dolgozó „feltétel nélküli előnyöket szerez” és „nem érheti őt semmilyen hátrány az adatkezelés megtagadása esetén”.
A Hatóság álláspontja szerint az érintett hozzájárulása helyett a munkáltató jogos érdekén alapuló adatkezelés alkalmazása indokolt. A NAIH kiemelte ugyanakkor, hogy egy adatkezeléshez egy jogalap kapcsolható, így a párhuzamos jogalapok fennállása (érintett hozzájárulásán is alapul az adatkezelés, meg a társaság jogos érdekén is) sérti az átláthatóság elvét. A társaság az eljárás során igyekezett pótolni a jogos érdek fennállásához szükséges dokumentumokat (így pl. az érdekmérlegelési tesztet, ami a szükségesség-arányosság megállapítására irányul), azonban ez alapján a Hatóság már nem látta igazoltnak a jogalapot, így a GDPR 6. cikk (1) bekezdésének sérelmét is megállapította.
Tájékoztatás hiányosságai
A NAIH a megfelelő tájékoztatás hiányát is kifogásolta. A szépségszalon adatkezelési tájékoztatója az eljárás kezdetén nem tartalmazott a kamerás megfigyeléssel összefüggő adatkezelésre vonatkozó rendelkezéseket, azt a társaság utóbb, az eljárás során egészítette ki. A Hatóság azonban ezt sem találta megfelelőnek, ugyanis a kamerák pontos látószögét és elhelyezkedését a tájékoztatóba illesztett kép alapján sem lehetett megállapítani. Emellett a tájékoztató nem adott információt az egyes kamerák vonatkozásában fennálló célról, az általuk megfigyelt területről, tárgyról, a felvétel tárolásának időtartamáról, a visszanézésre vonatkozó szabályokról, a felhasználás céljáról, valamint arról, hogy az adott kamerával közvetlen vagy rögzített megfigyelést végez-e a munkáltató. A társaság ezzel megsértette a GDPR 13. cikk (1)-(2) bekezdését és ezáltal az Mt. 11/A. § (1) bekezdésében megfogalmazott általános tájékoztatási kötelezettséget is.
Tisztességes adatkezelés elvének sérelme
A Hatóság az eljárása során a tisztességes adatkezelés elvének sérelmét is megállapította. Határozatában kimondta, hogy a kamerás megfigyelés abszolút korlátját jelenti az emberi méltóság tiszteletben tartása, ezért nem lehet a munkavállalókat és az általuk végzett munkát folyamatosan monitorozni. Különösen jogellenes és tisztességtelen a tekintetben is az adatkezelés, hogy annak „nincs kifejezett, egyértelműen meghatározott célja, hanem csupán általánosságban figyeli a munkavégzést”. Az pedig mindenképpen jogellenes, hogy olyan helyiségekben kerüljön kamera elhelyezésre, ahol a munkavállalók a pihenőidejüket, munkaközi szünetüket töltik (vagy akár öltözésre, zuhanyzásra használnak).
Hangrögzítés
A NAIH a határozatában a hangrögzítés kapcsán kiemelte, hogy az a magánszféra még súlyosabb sérelmét okozza, és e tekintetben a társaságnak külön célt és jogalapot kellett volna megjelölnie ehhez az adatkezeléshez. Az érintettek tájékoztatása a hangrögzítésről teljességgel elmaradt, ezt a tényt az adatkezelési tájékoztató még említés szintjén sem tartalmazta.
