Hungarian Data Protection Authority (NAIH): employee monitoring with cameras

Ügyszám: NAIH/2019/2466/12. Tárgy: Kérelemnek részben helyt adó határozat A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […] a továbbiakban: Kérelmező) kérelmére […] napján, […] a továbbiakban: Kötelezett) elektronikus megfigyelőrendszerrel összefüggő adatkezelése tárgyában indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:

I. A Hatóság határoza tában

1) A Kérelmező kérelmének részben helyt ad, és megállapítja, hogy a Kötelezett a közterületfelügyelet térfelügyeleti helyiségében alkalmazott kamerás megfigyeléssel összefüggő adatkezelése, illetve a Kérelmező szabályszegésével kapcsolatban a kamerafelvételek felhasználásával járó adatkezelése tekintetében megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendeletben (a továbbiakban: általános adatvédelmi rendelet) meghatározott tisztességes és célhoz kötött adatkezelés elvét, az adatkezelést megfelelő jogalap hiányában végezte, illetve, hogy nem nyújtott megfelelő tájékoztatást a Kérelmezőnek az adatkezelés körülményeiről, 2) A Hatóság elutasítja a Kérelmező kérelmének azon részét, a) amely szerint a Hatóság átmenetileg vagy véglegesen korlátozza a Kötelezett által jogellenesen üzemeltetett kamerával történő megfigyeléssel összefüggő adatkezelését, ideértve az adatkezelés megtiltását is, b) amely szerint a Hatóság átmenetileg vagy véglegesen korlátozza a Kérelmező szabályszegésével kapcsolatban, a Kötelezett által őrzött kamerafelvételek kezelését, továbbá c) amely szerint a Hatóság figyelmeztesse a Kötelezettet, hogy adatkezelési tevékenységei valószínűsíthetően sértik az általános adatvédelmi rendelet rendelkezéseit, valamint hogy utasítsa az adatkezelőt, hogy tájékoztassa az érintettet az adatvédelmi incidensről.

3) A Hatóság hivatalból megtiltja a Kötelezettnek a térfigyelő-központban dolgozó munkatársak kamerás megfigyelésével összefüggő adatkezelését és elrendeli annak megszüntetését.

5) A Hatóság a Kötelezettet az általa végzett jogellenes adatkezelés miatt hivatalból

1 500 0 00 Ft, azaz egymillió-ötszáz ezer forint adatvé delmi bírsá g megfizetésére kötelezi. II. A Hatóság tekintettel arra, hogy túllépte az ügyintézési határidőt, végzéssel elrendeli a Hatóság részéről 10 000 Ft-, azaz tízezer forint megfizetését a Kérelmezőnek – választása szerint bankszámlára utalással vagy postai utalvánnyal.

* * * Az I. 3) és a 4) pontban előírt intézkedés megtételét a Kötelezettnek az intézkedés megtételétől számított 15 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt igazolnia a Hatóság felé. Az adatvédelmi bírságot jelen határozat véglegessé válásától számított 30 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH/2019/2466 BÍRS. számra kell hivatkozni. Ha a Kötelezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, a fenti számlaszámra késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. Az I. 3) vagy a 4) pontban előírt kötelezettség, illetve az adatvédelmi bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását. A fenti I. pont szerinti határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresettel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező. A II. pont szerinti végzéssel szemben nincs helye önálló jogorvoslatnak, az csak az ügy érdemében hozott határozat elleni jogorvoslati kérelemben támadható meg.

INDOKOLÁS

I. Az eljárás menete és a tényállás tisztázása

I. 1. A Kérelmező kérelemmel fordult a Hatósághoz, mely szerint korábbi munkahelyén, a Kötelezett […] közterület-felügyelete székhelyén, az általa üzemeltetett elektronikus megfigyelőrendszer egyik kamerájával megfigyelte munkavégzését […] napján. A kérelem szerint ezen kamera által rögzített felvételek alapján a Kérelmező […] képeket keresett a hivatali diszpécseri számítógépen, azokat kinyomtatta, […] feliratokkal látta el, majd a közös használatú férfi öltözőben függesztette ki. A jegyző mint a munkáltatói jogkör gyakorlója a Kérelmezőt hivatalának ellátására méltatlannak ítélte a felvételek alapján, ezért […] napján megszüntette közszolgálati jogviszonyát. A közszolgálati jogviszony megszüntetése miatt a Kérelmező nyilatkozata szerint közszolgálati jogvita van folyamatban a felek között. A Kérelmező álláspontja szerint a Kötelezett jogellenesen figyelte meg, a megfigyelésről nem kapott előzetes tájékoztatást, valamint olyan helyiségben üzemeltet kamerát – férfi öltöző –, ahol az emberi méltósághoz fűződő joga sérült.

A Kérelmező kérte a Hatóságot, hogy állapítsa meg a jogsértést; figyelmeztesse a Kötelezettet, hogy adatkezelési tevékenységei valószínűsíthetően sértik az általános adatvédelmi rendelet rendelkezéseit; marasztalja el az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette az általános adatvédelmi rendelet rendelkezéseit; utasítsa az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit hozza összhangba e rendelet rendelkezéseivel, valamint teljesítse az érintettnek az e rendelet szerinti jogai gyakorlását; utasítsa az adatkezelőt, hogy tájékoztassa az érintettet az adatvédelmi incidensről; átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is. A Kérelmező továbbá szeretne választ kapni arra, hogy pontosan kik tekinthették és tekintették meg a róla készült felvételeket, milyen helyeken, milyen célból és milyen jogalappal történt a kamerás megfigyelés, meddig kezelték ezen felvételeket, végül azt, hogy mi okból kifolyólag nem adott a Kötelezett előzetes tájékoztatást a kamerás megfigyelés tényéről. I. 2. A Hatóság az adatvédelmi hatósági eljárás megindításáról végzésében értesítette a Kötelezettet, és a tényállás tisztázása érdekében nyilatkozattételre hívta fel. A Kötelezett nyilatkozata szerint a hangfelvétel készítésére nem alkalmas térfelügyeleti rendszerben jelenleg […] darab kültéri kamera üzemel, és e rendszer részeként, abba integráltan működik […] darab belső kamera, amely a Kötelezett […] közterület-felügyelete közterületi kameráinak képét figyelő térfigyelő-központban található, és az ott a térfelügyeleti rendszert felügyelő személyek (operátorok/diszpécserek) tevékenységét figyeli meg. A […] közterület-felügyelet […] napja óta működik jelenlegi székhelyén, és azóta üzemel a térfigyelő központban kamera. Az operátorok a kültéri kamerák által rögzített felvételeket kísérik figyelemmel, az a feladatuk, hogy amennyiben a kamerákon jogszabálysértést észlelnek, ezt jelezzék a diszpécsernek, aki intézkedik a közterületfelügyelők helyszínre irányítása érdekében. Tekintettel a közös, egymásra épülő feladatellátásra, a térfigyelő központ részeként került kialakításra a diszpécser munkahelye is, ezért a megfigyelés rá is kiterjed. A térfigyelő központba kép-, illetve hangrögzítésre alkalmas eszköz nem vihető be, és a monitorok képernyőiről tilos felvételt készíteni. Az operátori – és az azzal összekapcsolódóan végzett diszpécseri – tevékenység kamerával történő megfigyelésének ezen szabályok betartásának ellenőrzése is a célja. A Kötelezett további nyilatkozata szerint a kamerás megfigyelőrendszert a Kötelezett közterületfelügyeleti hatáskörében üzemelteti, adatfeldolgozó bevonása nélkül. Az adatkezelés jogalapja az általános adatvédelmi rendelet 6. cikk (1) bekezdésének e) pontja, célja a térfelügyeleti rendszerben rögzített képfelvételek jogszerű kezelésének biztosítása. A közterület-felügyelet részére a közterület-felügyeletről szóló 1999. évi LXIII. törvény (a továbbiakban: Kftv.) 7/A. § (1) bekezdése ugyanis előírja a szükséges szervezési és egyéb intézkedések megtételét annak érdekében, hogy a térfelügyeleti rendszer keretében rögzített személyes adat illetéktelen személy tudomására ne jusson. A Kötelezett nyilatkozata szerint a belső kamera a Kftv. 7. § (3) bekezdése és (7) bekezdés b) pontja alapján 8 napig tárolja a képfelvételt, ezt követően automatikusan felülírja. A felvétel készítésének célja a térfelügyeleti rendszerben rögzített személyes adatok védelmének a biztosítása és az operátori, valamint diszpécseri feladatellátás jogszerűségének ellenőrzése. E kamera felvételeit rendszeresen ellenőrzi a Kötelezett Közterület-felügyelet Térfelügyeleti Osztályának vezetője, a Közterület-felügyelet főosztályvezetője és főosztályvezető-helyettese. Más személy nem fér hozzá a kamera képéhez, illetve felvételeihez. Az ellenőrzés heti rendszerességgel, mintavételezési módszerrel történik és a munkavégzésre vonatkozó szabályok betartásának vizsgálatára irányul. A jogviszonya fennállása alatt diszpécseri feladatokat ellátó Kérelmező esetében a […] képek öltözőben történő elhelyezésének felfedezése napját – […] napját – követően a megelőző időszakban – […] napja között – rögzített felvételek visszanézésére került sor […] napján, figyelemmel arra, hogy felmerült a gyanú, miszerint a képek szolgálati időben, a Kötelezett munkaeszközeinek (számítógép, nyomtató) felhasználásával a térfelügyeleti központ diszpécsermunkaállomásán készültek. A Kötelezett nyilatkozata szerint nem a Kérelmező munkavégzésének, az internet és az általa használt számítástechnika eszközök ellenőrzésére került sor, hanem a közszolgálati jogi jogszabályszegés nyomán történt ellenőrzés, amely következtében volt megfigyelhető a Kérelmező szabálytalan tevékenysége. A Kötelezett nyilatkozata szerint erre a foglalkoztatottak jogviszonyára vonatkozó jogszabályok alapján került sor, arról külön belső szabályzat nem készült. Az ellenőrzésről […] napján tájékoztatták a Kérelmezőt. A soron kívüli ellenőrzést a képek elhelyezésének felfedezésekor – […] napján – rendelték el, melynek eredményeként a […] napi műszakról készült teljes felvétel alapján megállapították, hogy a Kérelmező követte el a közszolgálati jogi jogszabályszegésként kifogásolt magatartást. A kérdéses felvételt a Kötelezett nyilatkozata szerint jelenleg a személyügyi osztályon tárolja a Kérelmező személyi anyagának részeként, a térfigyelő rendszer kamerafelvételei közül pedig a fentebb ismertetett rend szerint törölte. A Kötelezett nyilatkozata – és az általa megküldött dokumentum – szerint a belső kameráról a térfelügyeleti központ bejárati ajtaján az alábbi szöveges figyelemfelhívást helyezték el: „Zártláncú vagyonvédelmi kamerarendszerrel megfigyelt terület! Térfigyelő központ. Belépés csak a szolgálatot teljesítő állomány részére!” Ezen túlmenően a nyilatkozat szerint e kamera elhelyezéséről és céljáról a főosztályvezető szóban is tájékoztatja a térfigyelő központban dolgozó munkavállalókat a jogviszony létesítésekor, általában már a felvételi eljárás során. A Kötelezett nyilatkozata szerint a Kérelmező 2017. január 4. napján kapta meg erről a tájékoztatást, mely kiterjedt az adatkezelés céljára, jogalapjára, és annak további körülményire. A Kötelezett ezen túlmenően akként nyilatkozott, hogy új adatkezelési tájékoztatót készített, melyet 2019. május 28. napján tett közzé a térfelügyeleti központ bejárati ajtaján és a Hatóság részére is megküldött. A Kötelezett megküldött továbbá egy 2018. szeptember 16-án létrehozott, „a térfelügyeleti rendszer kamerái által készített videofelvételeken rögzített személyes adatok kezelése kapcsán készített hatásvizsgálati dokumentációt”, amelyhez további magyarázatot nem fűzött. A Kötelezett további nyilatkozata szerint a közterület-felügyelet férfiöltözőjében nincs és soha nem is volt kamera felszerelve.

II. Alkalmazott jogszabályi rendelkezések

Az általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján a jelen ügy szerinti adatkezelésre az általános adatvédelmi rendeletet kell alkalmazni. Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. Az Infotv. 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság erre irányuló kérelemre adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. Az adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) szabályait kell alkalmazni az Infotv.ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel. Az általános adatvédelmi rendelet 4. cikk 12. pontja szerint: „„adatvédelmi incidens”: a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.” Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a), b), c) és f) pontja alapján: „A személyes adatok:

a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”); b) gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”) c) az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”); […] f) kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve („integritás és bizalmas jelleg”).” Az általános adatvédelmi rendelet 5. cikk (2) bekezdése értelmében: „Az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”).” Az általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontja szerint: „A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges.” Az általános adatvédelmi rendelet 6. cikk (2) bekezdése alapján: „Az e rendeletben foglalt, adatkezelésre vonatkozó szabályok alkalmazásának kiigazítása érdekében, a tagállamok az (1) bekezdés c) és e) pontjának való megfelelés céljából fenntarthatnak vagy bevezethetnek konkrétabb rendelkezéseket, amelyekben pontosabban meghatározzák az adatkezelésre vonatkozó konkrét követelményeket, és amelyekben további intézkedéseket tesznek az adatkezelés jogszerűségének és tisztességességének biztosítására, ideértve a IX. fejezetben meghatározott egyéb konkrét adatkezelési helyzeteket is.” Az általános adatvédelmi rendelet 6. cikk (4) bekezdése értelmében: „Ha az adatgyűjtés céljától eltérő célból történő adatkezelés nem az érintett hozzájárulásán vagy valamely olyan uniós vagy tagállami jogon alapul, amely szükséges és arányos intézkedésnek minősül egy demokratikus társadalomban a 23. cikk (1) bekezdésében rögzített célok eléréséhez, annak megállapításához, hogy az eltérő célú adatkezelés összeegyeztethető-e azzal a céllal, amelyből a személyes adatokat eredetileg gyűjtötték, az adatkezelő többek között figyelembe veszi: a) a személyes adatok gyűjtésének céljait és a tervezett további adatkezelés céljai közötti esetleges kapcsolatokat; b) a személyes adatok gyűjtésének körülményeit, különös tekintettel az érintettek és az adatkezelő közötti kapcsolatokra; c) a személyes adatok jellegét, különösen pedig azt, hogy a 9. cikk szerinti személyes adatok különleges kategóriáinak kezeléséről van-e szó, illetve, hogy büntetőjogi felelősség megállapítására és bűncselekményekre vonatkozó adatoknak a 10. cikk szerinti kezeléséről van-e szó; d) azt, hogy az érintettekre nézve milyen esetleges következményekkel járna az adatok tervezett további kezelése; e) megfelelő garanciák meglétét, ami jelenthet titkosítást vagy álnevesítést is.” Az általános adatvédelmi rendelet 13. cikk (1)–(3) bekezdése alapján: „(1) Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét: a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen;

c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei; e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás. (2) Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja: a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról; c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról; e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása; f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír. (3) Ha az adatkezelő a személyes adatokon a gyűjtésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és a (2) bekezdésben említett minden releváns kiegészítő információról.” Az általános adatvédelmi rendelet 18. cikk (1) bekezdése értelmében: „Az érintett jogosult arra, hogy kérésére az adatkezelő korlátozza az adatkezelést, ha az alábbiak valamelyike teljesül: a) az érintett vitatja a személyes adatok pontosságát, ez esetben a korlátozás arra az időtartamra vonatkozik, amely lehetővé teszi, hogy az adatkezelő ellenőrizze a személyes adatok pontosságát; b) az adatkezelés jogellenes, és az érintett ellenzi az adatok törlését, és ehelyett kéri azok felhasználásának korlátozását; c) az adatkezelőnek már nincs szüksége a személyes adatokra adatkezelés céljából, de az érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez; vagy d) az érintett a 21. cikk (1) bekezdése szerint tiltakozott az adatkezelés ellen; ez esetben a korlátozás arra az időtartamra vonatkozik, amíg megállapításra nem kerül, hogy az adatkezelő jogos indokai elsőbbséget élveznek-e az érintett jogos indokaival szemben.” Az általános adatvédelmi rendelet 23. cikk (1) bekezdése szerint: „Az adatkezelőre vagy adatfeldolgozóra alkalmazandó uniós vagy tagállami jog jogalkotási intézkedésekkel korlátozhatja a 12-22. cikkben és a 34. cikkben foglalt, valamint a 12-22. cikkben meghatározott jogokkal és kötelezettségekkel összhangban lévő rendelkezései tekintetében az 5. cikkben foglalt jogok és kötelezettségek hatályát, ha a korlátozás tiszteletben tartja az alapvető jogok és szabadságok lényeges tartalmát, valamint az alábbiak védelméhez szükséges és arányos intézkedés egy demokratikus társadalomban:

a) nemzetbiztonság; b) honvédelem; c) közbiztonság; d) bűncselekmények megelőzése, nyomozása, felderítése vagy a vádeljárás lefolytatása, illetve büntetőjogi szankciók végrehajtása, beleértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését; e) az Unió vagy valamely tagállam egyéb fontos, általános közérdekű célkitűzései, különösen az Unió vagy valamely tagállam fontos gazdasági vagy pénzügyi érdeke, beleértve a monetáris, a költségvetési és az adózási kérdéseket, a népegészségügyet és a szociális biztonságot; f) a bírói függetlenség és a bírósági eljárások védelme; g) a szabályozott foglalkozások esetében az etikai vétségek megelőzése, kivizsgálása, felderítése és az ezekkel kapcsolatos eljárások lefolytatása; h) az a)-e) és a g) pontban említett esetekben – akár alkalmanként – a közhatalmi feladatok ellátásához kapcsolódó ellenőrzési, vizsgálati vagy szabályozási tevékenység; i) az érintett védelme vagy mások jogainak és szabadságainak védelme; j) polgári jogi követelések érvényesítése.” Az általános adatvédelmi rendelet 58. cikk (2) bekezdése szerint: „A felügyeleti hatóság korrekciós hatáskörében eljárva: a) figyelmezteti az adatkezelőt vagy az adatfeldolgozót, hogy egyes tervezett adatkezelési tevékenységei valószínűsíthetően sértik e rendelet rendelkezéseit; b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét; d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel; e) utasítja az adatkezelőt, hogy tájékoztassa az érintettet az adatvédelmi incidensről; f) átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is; g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték; h) visszavonja a tanúsítványt vagy utasítja a tanúsító szervezetet a 42. és a 43. cikknek megfelelően kiadott tanúsítvány visszavonására, vagy utasítja a tanúsító szervezetet, hogy ne adja ki a tanúsítványt, ha a tanúsítás feltételei nem vagy már nem teljesülnek; i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; és j) elrendeli a harmadik országbeli címzett vagy nemzetközi szervezet felé irányuló adatáramlás felfüggesztését.” Az általános adatvédelmi rendelet 83. cikk (2), (5) és (7) bekezdése alapján: „[…] (2) A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket: a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés;

d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. […] (5) Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni: a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az 5., 6., 7. és 9. cikknek megfelelően; b) az érintettek jogai a 12–22. cikknek megfelelően; c) személyes adatoknak harmadik országbeli címzett vagy nemzetközi szervezet részére történő továbbítása a 44–49. cikknek megfelelően; d) a IX. fejezet alapján elfogadott tagállami jog szerinti kötelezettségek; e) a felügyeleti hatóság 58. cikk (2) bekezdése szerinti utasításának, illetve az adatkezelés átmeneti vagy végleges korlátozására vagy az adatáramlás felfüggesztésére vonatkozó felszólításának be nem tartása vagy az 58. cikk (1) bekezdését megsértve a hozzáférés biztosításának elmulasztása. […] (7) A felügyeleti hatóságok 58. cikk (2) bekezdése szerinti korrekciós hatáskörének sérelme nélkül, minden egyes tagállam megállapíthatja az arra vonatkozó szabályokat, hogy az adott tagállami székhelyű közhatalmi vagy egyéb, közfeladatot ellátó szervvel szemben kiszabható-e közigazgatási bírság, és ha igen, milyen mértékű.” Az Infotv. 75/A. § szerint „a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt - az általános adatvédelmi rendelet 58. cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.” Az Infotv. 61. § (2) bekezdés b) pontja alapján a Hatóság elrendelheti határozatának - az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő - nyilvánosságra hozatalát, ha azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta. Az Infotv. 61. § (4) bekezdés b) pontja szerint: „A bírság mértéke százezertől húszmillió forintig terjedhet, ha az adatvédelmi hatósági eljárásban hozott határozatban kiszabott bírság megfizetésére kötelezett költségvetési szerv, az általános adatvédelmi rendelet 83. cikke szerint kiszabott bírság esetén.”

A Kftv. 7/A. § (1) bekezdése szerint: „A felügyelet a felvétel kezelése során köteles megtenni az ahhoz szükséges szervezési, technikai és egyéb adatbiztonsági intézkedéseket, hogy az érintett személy személyes adatait, így különösen magántitkait és magánéletének körülményeit illetéktelen személy tudomására jutásától megóvja. A felügyeletnek biztosítani kell továbbá, hogy a felvételen szereplő személy – a felvétel törlésének időpontjáig – megtekinthesse a róla készült felvételt.” A közszolgálati tisztviselőkről szóló 2011. évi CXCIX. törvény (a továbbiakban: Kttv.) 11. § (2) bekezdése értelmében: „A közszolgálati tisztviselő személyiségi joga akkor korlátozható, ha a korlátozás a közszolgálat rendeltetésével közvetlenül összefüggő okból feltétlenül szükséges és a cél elérésével arányos. A személyiségi jog korlátozásának módjáról, feltételeiről és várható tartamáról a közszolgálati tisztviselőt előzetesen tájékoztatni kell.” A Kttv. 12. § (2)-(3) bekezdése értelmében: „(2) A munkáltató a közszolgálati tisztviselőt csak a közszolgálattal összefüggő magatartása körében ellenőrizheti. A munkáltató ellenőrzése és az annak során alkalmazott eszközök, módszerek nem járhatnak az emberi méltóság megsértésével. A közszolgálati tisztviselő magánélete nem ellenőrizhető. (3) A munkáltató előzetesen tájékoztatja a közszolgálati tisztviselőt azoknak a technikai eszközöknek az alkalmazásáról, amelyek a közszolgálati tisztviselő ellenőrzésére szolgálnak.” A Kttv. 76. § (1) bekezdés a) pontja alapján: „A kormánytisztviselő köteles feladatait a köz érdekében a jogszabályoknak, a hivatásetikai elveknek és a vezetői döntéseknek megfelelően, az általában elvárható szakértelemmel és gondossággal, pártatlanul és igazságosan, a kulturált ügyintézés szabályai szerint ellátni.” Az Ákr. 51. § b) pontja alapján, „ha a hatóság az ügyintézési határidőt túllépi – és függő hatályú döntés meghozatalának nem volt helye – tízezer forintot megfizet a kérelmező ügyfélnek, aki mentesül az eljárási költségek megfizetése alól is.”

III. Döntés

III. 1. Általános megjegyzések Az általános adatvédelmi rendelet fogalommeghatározásai alapján egy ember arca, képmása személyes adatnak, a képfelvétel készítése, valamint az adatokon elvégzett bármely művelet pedig adatkezelésnek minősül. Jelen ügyben a Hatóság a közterület-felügyelet térfelügyeleti helyiségében a Kérelmezőt és a további közszolgálati tisztviselőket folyamatosan megfigyelő és ezzel a munkavégzésük ellenőrzésére is használt belső kamerát és az azzal összefüggő adatkezelést, illetve a Kérelmező szabályszegésével kapcsolatban a kamerafelvételek felhasználásával járó adatkezelést vizsgálta. III. 2. A térfigyelő-központban dolgozó munkatársak kamerás megfigyelése III. 2. 1. Az adatkezelés célja, és e célra való alkalmassága A nyilatkozatok, illetve a Hatóság rendelkezésére álló iratok alapján a Kötelezett a belső kamerát a Kérelmező és a további közszolgálati tisztviselők munkavégzésének, feladatellátásuk jogszerűségének ellenőrzésére használta, melybe beleértendő annak ellenőrzése is, hogy a feladataik ellátása során betartják-e az adatbiztonsági követelményeket.

A Kttv. értelmében a kormánytisztviselő, illetve közszolgálati tisztviselő – többek között – köteles feladatait a köz érdekében a jogszabályoknak, a hivatásetikai elveknek és a vezetői döntéseknek megfelelően, az általában elvárható szakértelemmel és gondossággal, pártatlanul és igazságosan, a kulturált ügyintézés szabályai szerint ellátni. Ezzel szorosan összefügg, hogy az adatbiztonsági követelmények megtartása és biztosítása az általános adatvédelmi rendelet 5. cikk (1) bekezdés f) pontja szerinti integritás és bizalmas jelleg alapelvéből fakadó, minden adatkezelőt és annak munkatársát terhelő kötelezettség. E kötelezettségek megtartása végett a jogalkotó a Kttv. alapján lehetőséget biztosít arra, hogy a munkáltató a közszolgálati tisztviselőt a közszolgálattal összefüggő magatartása körében ellenőrizze. Ez a jogosultság személyes adatok kezelésével járhat együtt. A Hatóság a Kötelezett által üzemeltett belső kamera által készített felvételek kapcsán megjelölt ezen adatkezelési célt mint potenciálisan legitim adatkezelési célt elismeri, azonban az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontja szerinti adattakarékosság elvéből következően vizsgálni kell, hogy a jogszerű adatkezelési célt egyéb eszközzel észszerű, illetve arányos módon el lehet-e érni. Ugyanezen preambulumbekezdés továbbá kimondja azt is, hogy a személyes adatoknak a kezelésük céljára alkalmasaknak és relevánsaknak kell lenniük. A Kötelezett nyilatkozata szerint a közszolgálati tisztviselők feladata az, hogy figyelemmel kísérjék a kültéri kamerák által rögzített felvételeket, és amennyiben a kamerák jogszabálysértést észlelnek, ezt jelezzék a diszpécsernek, aki intézkedik a közterület-felügyelők helyszínre irányítása érdekében. A Hatóság álláspontja szerint azonban a közszolgálati tisztviselők ezen feladatainak ellenőrzésére a belső kamera jelen formájában nem alkalmas, mivel a felvételek alapján csupán az állapítható meg, hogy az adott közszolgálati tisztviselő a monitort nézi-e, azt azonban nem mutatja meg, hogy valójában mit néz a monitoron, és milyen tevékenységet végez a számítógépén. A Hatóság álláspontja szerint az ellenőrzés ebben az esetben megvalósulhat például gyakoribb, személyes ellenőrzéssel a vezető részéről, vagy úgynevezett csoportvezető kinevezésével, akinek feladatkörébe tartozna a munkatársak feladatellátásának ellenőrzése. Az adatbiztonsági követelmények betartása kapcsán a Hatóság álláspontja szerint a térfelügyeleti rendszer védelme szintén megvalósítható hatékonyabban más módszerekkel, kamerák nélkül is. Így például megfelelő számítástechnikai védelmi fejlesztésekkel, melyek megakadályozzák azt, hogy a munkaállomásokról adatokat mentsenek le, mint például az adatvesztés megakadályozását szolgáló eszközökkel, újgenerációs tűzfalakkal és egyesített fenyegetéskezelő rendszerekkel, illetve különféle biztonsági alkalmazásokkal és intézkedésekkel, mint az internet korlátozásával, tiltásával, a külső adathordozók (például pendrive) csatlakoztatásának letiltásával, illetve a kép-, illetve hangrögzítésre alkalmas eszköz bevitelének hatékony kiszűrésével. Annak megakadályozására, hogy a közszolgálati tisztviselők a térfelügyeleti helyiségbe bevigyék kép-, illetve hangrögzítésre alkalmas eszközeiket, a Hatóság álláspontja szerint a Kötelezettnek szintén a rendelkezésére áll más módszer, mint például gyakoribb, személyes ellenőrzés a vezető részéről, vagy erre az esetre is kinevezhető csoportvezető, akinek feladatkörébe tartozna a munkatársak ellenőrzése annak érdekében is, hogy megakadályozzák a felvételkészítést. A Hatóságnak megküldött videofelvétel alapján továbbá a közszolgálati tisztviselőket a kamera akként figyeli meg, hogy a felvétel alapján nem is feltétlenül állapítható meg minden esetben, hogy az adott közszolgálati tisztviselő használja-e a kép-, illetve hangrögzítésre alkalmas eszközét, vagy azzal készít-e felvételt a munkaeszközéről, illetve annak monitoráról, amiből következően az adott kamera ilyen célra egyébként sem feltétlenül alkalmas.

Mindebből következően a Hatóság tehát, bár az adatkezelés célját legitim adatkezelési célként elismeri ugyan, azonban az adatkezelés e cél megvalósításához való szükségességét, arányosságát, illetve költséghatékonyságát a Kötelezett nem támasztotta alá. A Kötelezett nem igazolta továbbá, hogy más – az érintettek magánszférához való jogát kevésbé sértő – módszerek ne lettek volna alkalmasak az általa megjelölt cél elérésére. Ebből következően a Hatóság megállapítja, hogy a Kötelezett megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontja szerinti adattakarékosság elvét. III. 2. 2. Az adatkezelés jogalapja A Kötelezett mint közfeladatot ellátó szerv a térfigyelő központban elhelyezett belső kamerával összefüggő adatkezelése jogalapjaként az általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontjára és a Kftv. 7/A. §-ára hivatkozott, tekintettel arra is, hogy nyilatkozata szerint e kamera a térfelügyeleti rendszer részeként, abba integráltan működik. Ezzel kapcsolatban figyelembe kell venni, hogy az általános adatvédelmi rendelet 6. cikk (3) bekezdése alapján a 6. cikk (1) bekezdés e) pontja szerinti jogalapra hivatkozás esetén az adatkezelés jogalapját uniós jognak vagy tagállami jognak kell megállapítania. A Hatóság álláspontja szerint ugyanakkor figyelembe kell venni, hogy a térfigyelő központban elhelyezett belső kamera elkülönül, illetve minden, adatvédelmi szempontból releváns jellemzőjét, így például az adatkezelés jogalapját, célját, az érintettek körét tekintve megkülönböztetendő a Kötelezett közterületen közbiztonsági, illetve bűnmegelőzési célból üzemeltetett kameráitól, így nem fogadható el a Kötelezett azon megközelítése, miszerint a kérdéses kamera és az azzal folytatott megfigyelés is a közterületet felügyelő kamerarendszer része lenne. Ilyen módon a Kötelezett által hivatkozott Kftv. 7/A. §-a közvetlenül nem alapozhatja meg a kérdéses adatkezelést. Az a vizsgált kamerás megfigyelés tekintetében legfeljebb közvetetten, a közterületen üzemelő kamerák által rögzített felvételek és személyes adatok védelme és biztonsága esetében lehet releváns, ám erre – ahogyan az fentebb kifejtésre került – nem alkalmas, így a 6. cikk (1) bekezdés e) pontjában rögzített, az adatkezelés szükségességére vonatkozó követelmény nem teljesül, ezért erre a jogszabályhelyre az adatkezelés jogalapjaként eredményesen nem lehet hivatkozni. A Kötelezett tekintetében az általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontja alkalmazására alapot adó jogszabályi kötelezettségként elviekben felmerülhetne a Kttv. 12. § (2) bekezdése, ám a jelen ügyben ezen jogalap alkalmazása esetében sem igazolt az, hogy az adott adatkezelés szükséges, illetve arányos lenne. A Hatóság mindebből következően megállapítja, hogy a Kötelezett által adatkezelési jogalapként hivatkozott Kftv.-beli rendelkezések a belső kamerával történő megfigyeléssel összefüggő adatkezelés esetében nem alkalmazhatóak a Kérelmező és a közszolgálati tisztviselők ellenőrzése tekintetében, ezért a Kötelezett – megfelelő jogalap hiányában – megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdését. III. 2. 3. A megfelelő előzetes tájékoztatás követelménye A munkahelyi kamerás megfigyeléssel összefüggő adatkezelés esetében lényeges követelmény, hogy a Kérelmező mint érintett az adatkezelésről megfelelő, átlátható és könnyen értelmezhető tájékoztatást kapjon. Mind a Kttv., mind az általános adatvédelmi rendelet előírja azt, hogy az érintetteket tájékoztatni kell az adatkezeléssel kapcsolatos körülményekről. A Kttv. 12. § (3) bekezdésében megfogalmazott általános tájékoztatási kötelezettséget a személyes adatok kezelése tekintetében az általános adatvédelmi rendelet előírásait is figyelembe véve kell teljesíteni, azaz mintegy az általános adatvédelmi rendelet tölti meg tartalommal, meghatározva azon körülményeket, melyekről e tekintetben a munkáltatónak tájékoztatnia kell a közszolgálati tisztviselőket. Az adatkezelőnek a tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva kell nyújtania, írásban vagy más módon ideértve adott esetben az elektronikus utat is. A Hatóság ugyanakkor minden esetben az írásbeli formát javasolja azon okból, hogy – az általános adatvédelmi rendelet 5. cikk (2) bekezdése szerinti elszámoltathatóság elvéből is következően – az adatkezelőnek, a munkáltatónak kell bizonyítania, igazolnia a megfelelő előzetes tájékoztatás megtörténtét, amely adatkezelői kötelezettség teljesítése a szóbeli tájékoztatás nyújtása esetén arra alkalmas eszközökkel nem lehetetlen ugyan, de jelen esetben nem történt meg. A Kötelezett nyilatkozata szerint a belső kameráról a térfelügyeleti központ bejárati ajtaján helyeztek el szöveges tájékoztatót, amely felhívja a figyelmet a technikai eszközzel történő megfigyelésre, illetve arra, hogy a helyiségben csak az arra jogosultak tartózkodhatnak. A tájékoztató szerint: „Zártláncú vagyonvédelmi kamerarendszerrel megfigyelt terület! Térfigyelő központ. Belépés csak a szolgálatot teljesítő állomány részére!” Ezen túlmenően a Kötelezett mellékelt egy – más forrásból nem megerősített – főosztályvezetői nyilatkozatot, mely szerint 2017. január 4. napján a térfelügyeleti rendszer jelenlegi székhelyén történő beüzemelésekor szóban tájékoztatta a Kérelmezőt a kamera működéséről az adatkezelés céljáról és jogalapjáról. Mindezek alapján a Hatóság álláspontja az adatkezelésről szóló tájékoztatással kapcsolatban az, hogy a térfelügyeleti központ ajtaján elhelyezett rövid írásbeli tájékoztatás semmilyen információt nem tartalmaz az általános adatvédelmi rendelet által előírt információkról. A Kötelezett által megküldött egyetlen dokumentum, belső szabályzat sem tartalmaz az adatkezelésről tájékoztatást, és más írásbeli tájékoztatás sem történt. Mindez összhangban van a Kérelmező azon nyilatkozatával, hogy nem kapott tájékoztatást. Megjegyzi a Hatóság, hogy a hivatkozott rövid figyelemfelhívó szöveg tartalma ellentmond az adatkezelés célja kapcsán a Kötelezett által megjelölteknek, amennyiben „vagyonvédelmi” kamerarendszerre utal a szöveg. Az esetleges szóbeli tájékoztatás – melyre Kötelezett nyilatkozata szerint 2017. január 4. napján került sor – az általános adatvédelmi rendelet alkalmazásának kezdőnapját megelőző időpontot jelent, és annak tartalma nem bizonyított. Ugyanakkor 2018. május 25. napjától az adatkezelésre az általános adatvédelmi rendelet szabályait kell alkalmazni, és e rendelet 99. cikkének rendelkezésére tekintettel – amelyet a rendelet (171) preambulumbekezdése is megerősít – az adatkezelőknek a rendelet alkalmazásának időpontja előtt megkezdett adatkezeléseiket a rendelet hatálybalépésének időpontjától – 2016. május 24. napjától – számított két éven belül összhangba kellett hoznia a rendelettel. Tekintettel arra, hogy a Hatóság rendelkezésére álló információk szerint erre nem került sor a tájékoztató kapcsán, és a Kérelmező soha nem kapott az általános adatvédelmi rendelet szabályainak megfelelő tájékoztatást az elektronikus megfigyelőrendszerrel összefüggő adatkezelésről, a Hatóság megállapítja, hogy a Kötelezett megsértette az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdését. Az a körülmény, hogy a Kötelezett az adatvédelmi hatósági eljárás során módosította adatkezelési tájékoztatóját, a jogsértés miatti jogkövetkezmények meghatározásakor vehető figyelembe. A Hatóság megjegyzi, hogy a Kötelezett által az eljárás során becsatolt, 2018 szeptemberében készült – a térfigyelőrendszer egészére, nem kifejezetten a munkatársakat megfigyelő kamerára vonatkozó – hatásvizsgálati dokumentációként hivatkozott dokumentum is csak utal az érintettek későbbi szóbeli tájékoztatására, amelynek megtörténtét a Kötelezett semmilyen módon nem igazolta, és az […] honlapon lévő, ott hivatkozott írásbeli tájékoztató sem tartalmaz semmilyen releváns információt.

III. 2. 4. Tisztességes adatkezelés Az adatkezelés tisztességes volta az emberi méltóság védelmével áll szoros kapcsolatban, a tisztességtelen adatkezelési magatartás az érintetteket nemcsak a személyes adatok védelméhez, de az emberi méltósághoz fűződő jogában is súlyosan sértheti. Ebből kifolyólag a kamerás megfigyelés abszolút korlátját jelenti az emberi méltóság tiszteletben tartása, ezért kamerákat nem lehet működtetni a közszolgálati tisztviselők és az általuk végzett tevékenység állandó jellegű megfigyelésére. Jogellenesnek és tisztességtelennek tekinthető az olyan elektronikus megfigyelőrendszer alkalmazása, amelynek célja a közszolgálati tisztviselők munkahelyi viselkedésének a befolyásolása, a közszolgálati tisztviselők kamerákkal történő folyamatos megfigyelése, ellenőrzése. Az Alkotmánybíróság a 36/2005. számú határozatában kimondta, hogy „az elektronikus úton történő megfigyelés tehát alkalmas arra, hogy a magánszférába behatoljon, intim (szenzitív) élethelyzeteket rögzítsen akár olyképpen, hogy az érintett nem is tud a felvételről, vagy nincs abban a helyzetben, hogy mérlegelhesse az ilyen felvételek megengedhetőségét és azok következményeit. Az így végzett megfigyelés a magánélethez való jog sérelmén túl – szélesebb és mélyebb értelemben – az emberi méltósághoz való jogot általában is érintheti. A magánszféra lényegi fogalmi eleme éppen az, hogy az érintett akarata ellenére mások oda ne hatolhassanak be, illetőleg be se tekinthessenek. Ha a nem kívánt betekintés mégis megtörténik, akkor nemcsak önmagában a magánélethez való jog, hanem az emberi méltóság körébe tartozó egyéb jogosultsági elemek, mint pl. az önrendelkezési szabadság vagy a testi-személyi integritáshoz való jog is sérülhet.” Jelen ügyben mindezzel ellentétben a Kötelezett a vizsgált kamera üzemeltetésével a közszolgálati tisztviselőket és a Kérelmezőt folyamatos kontroll, illetve totális megfigyelés alatt tartva – és a határozat III. 2. 3. pontja szerint megfelelő előzetes tájékoztatás nélkül – figyeli és figyelte meg egész napos tevékenységüket. Ez a megfigyelés a fent kifejtettek miatt ellentétes a tisztességes adatkezelés elvével, ezért a Hatóság megállapítja, hogy a Kötelezett megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti tisztességes adatkezelés elvét. III. 2. 5. Az adatkezelés korlátozása, illetve megtiltása iránti kérelem elutasítása A Hatóság a kérelem azon részét, amelyben a Kérelmező kérte a Hatóságot, hogy átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is, a térfigyelőközpontban dolgozó munkatársak kamerás megfigyelésével összefüggő adatkezelés tekintetében elutasította, mert a tényállás tisztázása során nem merült fel olyan körülmény, amely arra utalt, hogy a Kérelmező jogviszonyának megszüntetését követően a Kötelezett kezelne kamerafelvételeket a Kérelmezőre vonatozóan. Ez a megállapítás nem érinti a […] képek kifüggesztésével összefüggő szabályszegéssel kapcsolatosan kezelt kamerafelvételeket, amelyekről az alábbi III. 3. részben fejti ki a Hatóság az álláspontját. III. 3. A […] képek kifüggesztésével összefüggő szabályszegés kivizsgálása III. 3. 1. Az adatkezelés célja és jogszerűsége A Kötelezett nyilatkozata szerint az észlelt közszolgálati jogi jogszabályszegés nyomán indult eseti ellenőrzés során került sor a felvételek megtekintésére. Jelen ügyben tehát a Kötelezett a személyes adatok gyűjtését megalapozó adatkezelési céltól egyértelműen eltérő – és adatvédelmi szempontból attól eltérő jogi követelmények alkalmazása kötelezettségét eredményező – célra is felhasználta a belső kamera által rögzített felvételeket, hogy feltárja, mely közszolgálati tisztviselő helyezte el az öltözőben a […] képeket, mely munkatárs követte el a szabályszegést. A Kötelezett a felvételek megtekintésének eredményeként állapította meg, hogy valószínűsíthetően a Kérelmező nyomtatta ki és helyezte el a képeket az öltözőben, amelyet aztán a Kérelmező részben el is ismert. Ezen eltérő célú felhasználás – úgynevezett további adatkezelés – az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja és 6. cikk (4) bekezdése alapján csak akkor lehet jogszerű a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő adatkezelés kivételével –, ha arra az érintett hozzájárulása, a rendelet 23. cikk (1) bekezdése szerinti legitim közérdekű célokat érvényesítő uniós vagy tagállami jog alapján kerül sor, vagy ha az egyébként összeegyeztethető a személyes adat gyűjtését megalapozó eredeti céllal. A jelen esetben, a személyes adatoknak az érintett méltatlansági szabályszegésével kapcsolatos felhasználása mint további adatkezelés tekintetében az érintett hozzájárulására nem került sor, és az általános adatvédelmi rendelet 23. cikk (1) bekezdése szerinti célnak megfelelő, az adatkezelés jogszerűségét megalapozó uniós vagy magyar jogszabályi rendelkezés sem azonosítható (a méltatlanság megállapítását és ez alapján a köztisztviselő felmentését megalapozó, illetve a Kötelezett által hivatkozott Kttv.-beli szabályok önmagukban ilyennek nem tekinthetők). A Hatóság álláspontja szerint e további adatkezelés nem is tekinthető összeegyeztethetőnek az adatkezelés eredeti céljaként a Kötelezett által megjelölt, a térfigyelő kamerák üzemeltetésére vonatkozó jogszabályi kötelezettségek betartásának ellenőrzésére vonatkozó céllal. E vonatkozásban a Hatóság utal különösen arra, hogy az érintettek – még ha jogszerűen került is volna sor ilyen jellegű megfigyelésükre – észszerűen nem láthatták előre az ilyen felvételeknek a teljesen más – valójában a munkavégzésen kívüli – tevékenységeikkel kapcsolatos felhasználását, másrészt az érintettre vonatkozó esetleges jogkövetkezmények és az azok alkalmazásához vezető eljárások során érvényesülő garanciák eltérő jellegére (fegyelmi felelősség és eljárás, illetve méltatlanság kimondása). Mindezekre tekintettel a Hatóság úgy ítélte meg, hogy a kamerafelvételeknek az érintett méltatlansági szabályszegésével kapcsolatos felhasználása az általános adatvédelmi rendelt 5. cikk (1) bekezdés b) pontjába – a célhoz kötöttség alapelvébe – ütközik, és mint ilyen, jogellenes. Végül ezen adatkezeléssel kapcsolatban a Kötelezett szintén megsértette az általános adatvédelmi rendelet 13. cikk (4) bekezdését, hiszen ezen újabb adatkezelésről szintén nem tájékoztatta előzetesen a Kérelmezőt. A Hatóság megjegyzi végül, hogy a fentieket akkor is megállapíthatónak tartja, ha az eredeti adatkezelésre egyébként teljesen jogszerűen kerül sor. Ha ugyanakkor az eredeti adatkezelés maga is jogszerűtlen, úgy még nyilvánvalóbb, hogy nem lehetséges az általános adatvédelmi rendelet rendelkezéseinek olyan értelmezése, amely alapján egy alapvetően jogszerűtlen adatkezelés céljából gyűjtött személyes adat később – bármilyen legitim célból – jogszerűen legyen felhasználható, ha arra – az általános rendeletben említett legitim, egy demokratikus társadalomban szükséges és arányos korlátozásként értékelhető tételes jogi szabály nem ad alapot. III. 3. 2. Az adatkezelés korlátozása, illetve megtiltása iránti kérelem elutasítása A Hatóság a fentiek alapján figyelemmel arra, hogy az eredeti adatkezelés maga is, és az abból származó személyes adat felhasználása is jogszerűtlen, a Hatóság elutasította a kérelem azon részét, mely arra irányult, hogy a Hatóság átmenetileg vagy véglegesen korlátozza a Kérelmező szabályszegésével kapcsolatban, a Kötelezett által őrzött kamerafelvételek kezelését, mivel azzal, hogy a Hatóság elrendelte a Kérelmező szabályszegésével kapcsolatban őrzött felvételek törlését, az adatkezelés korlátozása okafogyottá vált.

III. 4. A figyelmeztetés alkalmazására, illetve incidensről való tájékoztatásra irányuló kérelmek elutasítása A Hatóság elutasította a kérelem azon részét, melyben a Kérelmező kérte a Hatóságot, hogy figyelmeztesse a Kötelezettet, hogy adatkezelési tevékenységei valószínűsíthetően sértik az általános adatvédelmi rendelet rendelkezéseit, mivel ez, az általános adatvédelmi rendelet 58. cikk (2) bekezdés a) pontja szerinti jogkövetkezmény nem alkalmazható a Kötelezett esetében, csupán tervezett adatkezelések esetében, a Hatóság azonban folyamatban lévő, már megvalósult adatkezelést vizsgált. A Hatóság elutasította továbbá a kérelem azon részét is, melyben a Kérelmező kérte a Hatóságot, hogy utasítsa az adatkezelőt, hogy tájékoztassa az érintettet az adatvédelmi incidensről, mivel az általános adatvédelmi rendelet 4. cikk 12. pontja szerinti adatvédelmi incidens fogalmi elemei nem teljesültek. Jelen ügyben nem került sor a biztonság olyan sérülésére, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezte volna. III. 5. A térfigyelő-központban dolgozó munkatársak kamerás megfigyelésével összefüggő adatkezelés megtiltása A Hatóság bár elutasította a kérelem azon részét, melyben a Kérelmező kérte a Hatóságot, hogy átmenetileg vagy véglegesen korlátozza a kamerafelvételekkel kapcsolatos adatkezelést, hivatalból megvizsgálta, hogy indokolt-e a Kötelezett által folytatott, a térfigyelő-központban dolgozó munkatársak kamerás megfigyelésével összefüggő adatkezelés megtiltása. E körben a Hatóság mérlegelte az ügy összes körülményét, és megállapította, hogy a Kérelmezőn kívül más személyeket is érint a Hatóság megállapításai szerint jogellenes adatkezelés, továbbá hogy a fenti III. 2. pontban kifejtettek szerint a belső kamerával összefüggő adatkezelés nem szükséges és nem is arányos, nem felel meg az általános adatvédelmi rendelet 5. cikk szerinti alapelvi követelményeknek. A Hatóság álláspontja szerint ezért a Kötelezettnek az alapelvi követelményeket sértő adatkezelése alkalmatlan az általa megjelölt célok elérésére, ezért az általános adatvédelmi rendelet 58. cikk (2) bekezdés f) pontja alapján a Hatóság megtiltja a Kötelezett által jogellenesen üzemeltetett kamerával összefüggő adatkezelést és elrendeli annak megszüntetését a jövőre vonatkozóan. III. 6. Bírság A Hatóság hivatalból megvizsgálta, hogy indokolt-e a Kötelezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése, az Infotv. 61. § (4) bekezdés b) pontja és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét, és megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, ezért bírság kiszabása szükséges. E körben mindenekelőtt az adatkezelés tisztességtelen volta miatt tartotta szükségesnek a bírságszankció alkalmazását annak ellenére, hogy az adatkezelővel szemben korábban még nem került adatvédelmi jogsértés megállapításra. A Hatóság a bírság összegének meghatározása során figyelembe vette, hogy a Kötelezett által elkövetett jogsértések az általános adatvédelmi rendelet 83. cikk (5) bekezdés b) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek.

A Hatóság a bírság kiszabása során az alábbi tényezőket tekintette a bírság kiszabására is kiható módon relevánsnak és azokat az alábbiak szerint vette figyelembe:

a tisztességtelen, szükségesség és adattakarékosság elvét sértő adatkezelés a Kérelmező magánszféráját jelentősen érintette;

a jogellenes adatkezelés hosszú ideje, a rendszer beüzemelésétől, […] napjától tart;

súlyosító tényezőként azt, hogy a felvételek Kötelezett általi felhasználása a Kérelmezőnek – munkahelyének elvesztésével – sérelmet okozott;

a megfelelő tájékoztatás nélküli adatkezelés miatt az érintettek és így a Kérelmező nem rendelkezett semmilyen információval személyes adatai kezeléséről. A Hatóság ugyanakkor enyhítő körülményként értékelte azt, hogy a Kötelezett az adatvédelmi hatósági eljárás során módosította adatkezelési tájékoztatóját, amelyet – a tájékoztató tartalmának értékelése nélkül – a Hatóság a Kötelezett együttműködő, jogszerűségre törekvő magatartásának jeleként értékelt. A Hatóság enyhítő körülményként értékelte azt is, hogy a Kötelezett által elkövetett jogsértés nem szándékos téves jogértelmezésből eredő helytelen adatkezelési gyakorlat eredménye, mivel tévesen a Kftv. szabályaira alapozva üzemeltet kamerát a térfigyelő-központban. A Hatóság továbbá – noha az adatvédelmi bírság helyett figyelmeztetés alkalmazására nem látott alapot –, azt a tényt, hogy Kötelezett elmarasztalására sem az Infotv., sem az általános adatvédelmi rendelet megsértése miatt még nem került sor, szintén enyhítő körülményként vette figyelembe. Ezzel kapcsolatban szükséges ugyanakkor megjegyezni, hogy mivel a jogszerű magatartás folytatása minden jogalkalmazóval szembeni alapvető elvárás, önmagában az a tény, hogy jogszerűtlenség elkövetését valakivel szemben még nem állapította meg a Hatóság, nem ad alapot enyhítő körülménykénti értékelésre. A fentiekre, valamint arra tekintettel, hogy a Kötelezett 2018. évi konszolidált beszámolója szerinti saját bevételeinek összege nagyságrendileg […] forint volt. A kiszabott adatvédelmi bírság alacsony összegű és nem lépi túl a kiszabható bírság maximumát. III. 7. Ügyintézési határidő túllépése A hatóság az eljárás során túllépte az Infotv. 60/A.§ (1) bekezdése szerinti százhúsz napos ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján tízezer forintot fizet a Kérelmezőnek.

IV. Egyéb kérdések:

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. A határozat az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

Az Ákr. 135. § (1) bekezdés a) pontja szerint a kötelezett a törvényes kamatnak megfelelő mértékű késedelmi pótlékot köteles fizetni, ha pénzfizetési kötelezettségének határidőben nem tesz eleget. A Ptk. 6:48. § (1) bekezdése alapján pénztartozás esetén a kötelezett a késedelembe esés időpontjától kezdődően a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal megegyező mértékű késedelmi kamatot köteles fizetni. A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A polgári perrendtartásról szóló 2016. évi CXXX. törvénynek (a továbbiakban: Pp.) – a Kp. 26. § (1) bekezdése alapján alkalmazandó – 72. §a alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

Ha az előírt kötelezettsége teljesítését a Kötelezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a Kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. Budapest, 2019. augusztus 2. Dr. Péterfalvi Attila elnök c. egyetemi tanár