Hungarian Data Protection Authority: lawfulness of the legal basis for workplace video surveillance and information about it

………………………………………………………………………………………………………………………………………………………………………. 1055 Budapest Tel.: +36 1 391-1400 ugyfelszolgalat@naih.hu Falk Miksa utca 9-11. www.naih.hu

Ügyszám: Előzmény:

NAIH-1006-3/2022 NAIH-4360/2021

Tárgy: döntés hivatalból induló adatvédelmi hatósági eljárásban

H A T Á R O Z A T

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) az […] (a továbbiakban: Ügyfél) kamerás adatkezelésével kapcsolatban 2021. május 11-én megindított hatósági ellenőrzés során feltárt körülmények miatt 2021. július 2–án indult adatvédelmi hatósági eljárásban 1.

megállapítja, hogy a. az Ügyfél megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet) 5. cikk b) és c) pontjait („célhoz kötöttség” és „adattakarékosság”), amikor székhelyének „iroda-ügyfélváró” és „konyha” helyiségeiben telepített kamera látószögét úgy állította be, hogy azok alkalmasak a munkavállalók indokolatlan megfigyelésére és nem csak a védendő vagyontárgyakra irányulnak.

b. Az Ügyfél megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdésének f)

pontját, mivel az adatkezelői jogos érdekére való hivatkozás helyett a munkavállalók hozzájárulása képezte a kamrarendszer üzemeltetésének jogalapját. c. Az Ügyfél megsértette az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdéseit, amikor nem tájékoztatta megfelelően a munkavállalóit az ott zajló kamerás adatkezelés körülményeiről.

2.

kötelezi Ügyfelet, hogy a. székhelyén az „iroda-ügyfélváró” és „konyha” helyiségeiben telepített kamerák látószögeit változtassa meg úgy, hogy azok ne legyenek alkalmasak a munkavállalók indokolatlan megfigyelésére és összhangban legyenek a rendszer telepítésének személy- és vagyonvédelmi céljával.

b. Módosítsa a kamerarendszer adatkezelési szabályzatát annak megfelelően, hogy ne a munkavállalók hozzájárulása, hanem az adatkezelő jogos érdeke képezze a rendszer működtetésének jogalapját és ezért végezze el az ehhez szükséges érdekmérlegelési tesztet.

c. Módosítsa a kamerarendszer adatvédelmi tájékoztatóját, úgy, hogy az megfeleljen az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdéseiben és a határozat III./3. pontjában foglaltaknak.

3.

a fenti jogsértések miatt Ügyfelet a jelen határozat véglegessé válásától számított 30 napon belül

500.000,- Ft, azaz ötszázezer forint adatvédelmi bírság megfizetésére kötelezi; 4.

elrendeli a végleges határozatnak a személyes adatok és Ügyfél azonosító adatainak kitakarásával (anonimizálásával) történő nyilvánosságra hozatalát. A bírságot a Hatóság központosított bevételek beszedési célelszámolási forintszámlája (10032000-01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell átutalással megfizetni. Az összeg átutalásakor a NAIH-1006/2022. BÍRS. számra kell hivatkozni. Amennyiben a kötelezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A késedelmi pótlékot a Hatóság központosított bevételek beszedési célelszámolási forintszámlája (10032000-01040425-00000000 Központosított beszedési számla) javára kell megfizetni. A bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat, a bírság és a késedelmi pótlék végrehajtását. Jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

INDOKOLÁS

I.

Előzmények, a tényállás tisztázása

1. A Hatósághoz érkezett bejelentés tartalma

A […] (a továbbiakban: Kft.) 2021. április 22-én postai úton panaszt nyújtott be a Hatósághoz. A beadványban előadta, hogy a Kft. és […] magánszemély 1/2 – 1/2 tulajdoni hányadban tulajdonosai a […] alatti ingatlannak. Az ingatlanban autószerelői tevékenység folyik. A tulajdonosok között birtokvitával, illetve a közös tulajdon megszüntetésével kapcsolatban peres eljárás van folyamatban. Az ingatlanban […] ügyvezetése alatt álló Ügyfél szintén autószerelő tevékenységet folytat. Az ingatlan Ügyfél telephelyeként funkcionál és így szerepel a cégnyilvántartásban.

A Kft. képviselői 2021. március 7-én felújítási munkálatokat szerettek volna megkezdeni a fenti ingatlanon, illetve megkezdeni az abban való beköltözést. Ezt csak az ajtókat megsértve, illetve rendőri közreműködéssel sikerült kivitelezniük. Az ingatlanba való bejutáskor szembesültek a Kft. képviselői azzal, hogy ott egy nemrég felszerelt kamerarendszer működik. […] az ingatlan társtulajdonosa és egyben Ügyfél ügyvezetője a kamerákkal kapcsolatban nem tudott arra választ adni, hogy kinek a tulajdonát képezik azok és milyen minőségben lettek felszerelve. Elmondása szerint az élőképeket közvetít üzlettársa […] telefonjára. Mivel a Kft., mint az ingatlan társtulajdonosa nem lett előzetesen tájékoztatva vagy megkérdezve a kamerák felszereléséről, illetve ezekről semmilyen tájékoztató anyag/tábla nem lett felszerelve az ingatlanban, ezért kérte Ügyfél ügyvezetőjét, hogy szerelje le azokat, vagy rendezzék a rendszerrel kapcsolatos kérdéseket, hozzáférést. 2021. március 16-án a Kft. képviselői Ügyfél ügyvezetőjének jelenlétében leválasztották a kamerákat a tápegységről és kommunikációs vonalról. Később 2021. április 10-én a Kft. képviselői észrevették az ingatlanban, hogy a kamerák ismét működnek és továbbra sincsenek figyelemfelhívó jelzések a kamerákra, nincs adatkezelési tájékoztató. A Kft. képviselői ismét kérték Ügyfél ügyvezetőjét, hogy intézkedjen a kamerarendszer jogszerű üzemeltetésével kapcsolatban, vagy szerelje le azokat. Érdemi választ elmondása szerint nem kaptak. Fenti állításait a panaszos Kft. az ingatlan tulajdoni lapjával, egy az Ügyfél ügyvezetőjének címzett e-mailes felszólítással és a kamerákról készült fényképekkel támasztotta alá. A panaszos mellékelte továbbá […] Jegyzőjének […] számú határozatát Ügyfél által előterjesztett birtokvédelmi eljárás iránti kérelmének elutasításáról. A panaszos a fenti – véleménye szerint jogsértő – kamerás adatkezeléssel kapcsolatban vizsgálat lefolytatását kérte a Hatóságtól.

2. A beadvány alapján elrendelt hatósági ellenőrzés során megállapítottak

1) A Hatóság az Ügyfél munkahelyi kamerás megfigyelésével kapcsolatban 2021. május 11-én

NAIH-4360-3/2021. ügyiratszámon hatósági ellenőrzést indított annak megítélése szempontjából, hogy az Ügyfél maradéktalanul eleget tett-e az általános adatvédelmi rendeletben foglalt kötelezettségeinek. A hatósági ellenőrzés megindításáról a Hatóság egyidejűleg a panaszbeadványt előterjesztő Kft-t is tájékoztatta NAIH-4360-2/2021. ügyiratszámon.

2) A tényállás tisztázása érdekében a Hatóság NAIH-4360-3/2021. számú 2021. május 11-én kelt végzésével nyilatkozattételre és iratszolgáltatásra hívta fel az Ügyfelet, amelyre az határidőben válaszolt. Az Ügyfél a végzésre adott nyilatkozatai alapján megállapítható, hogy valóban térfigyelő kamerákat szerelt fel a fenti ingatlan területén, ahol munkavégzés (gépjárműjavítás, karbantartás) is folyik. A nyilatkozat alapján a térfigyelő kamerák 2021. március 5-én kerültek felszerelésre. A rendszer felszereléséről való döntést […] (Ügyfél ügyvezetője és 75%-os társtulajdonosa) hozta meg, mivel a megfigyelt ingatlannak 1/2 tulajdoni hányad arányban tulajdonosa. A telepítés okaként Ügyfél azt jelölte meg, hogy korábban az ingatlanban található műhely összes bejárati ajtaján a zárakat megrongálták, valószínűsíthetően betörési szándékkal. A műhelybe ezek után a zárak teljes tönkremenetele miatt nem lehetett bejutni, az ügyben rendőri intézkedés is történt.

További telepítési okként Ügyfél a műhelyben található tárgyak és eszközök védelmét jelölte meg. A műhelyajtók közvetlenül közterületre nyílnak, kerítés és udvar nincs, a terület elkerítését adottságánál fogva nem lehet megvalósítani. Ügyfél közölte továbbá, hogy 2021. március 7-én […] és […] (a panaszt tévő Kft., mint ingatlantulajdonostárs képviselői) a műhelybejárati és belső ajtókat leszerelték felújítás céljából. Az ajtók, mivel az ingatlan zárhatósága megszűnt, OSB lappal lettek becsavarozva. Ezen események után került belső adatrögzítő egység a kamerákba. A Hatóság ezirányú kérdésére Ügyfél adatkezelőként […] nevű természetes személyt jelölte meg, aki Ügyfél 25%-os társtulajdonosa. Ügyfél nyilatkozata alapján a kamerarendszer csak az ingatlan belső területét figyeli, közterületet nem. A műhelyben csak az ott dolgozó személyek tartózkodhatnak, ügyfelek és más idegen személyek nem tartózkodhatnak az ingatlanban 2021. március 6. óta. A műhelyben dolgozó személyek száma főállásban 4 fő, továbbá 2 fő alkalmi munkavállaló. Ügyfél elmondása szerint a munkavállalók írásban tájékoztatásra kerültek a kamerarendszer bevezetéséről, amit pedig aláírásukkal elfogadtak. Ügyfél valamennyi munkavállaló által aláírt „hozzájáruló nyilatkozatot” továbbította a Hatóság részére másolatban. A munkavállaló személyes adataival (név, születési adatok, lakcím, SZIG szám) kitöltött nyilatkozaton található egységes szöveg szerint: „[munkavállaló személyes adatai] az […] munkavállalója aláírásommal igazolom, hogy a […] szám alatti ingatlanban mint foglalkoztató telephelyén, vagyonvédelmi céllal működő zárt láncú kamerarendszerrel megfigyelés történjen, melynek során munkavégzési időm folyamán is elő képet közvetítsen. A rendszerről szóló tájékoztatást megkaptam az abban foglaltakat tudomásul veszem az ellen kifogással nem kívánok élni. [dátum, majd munkavállaló aláírása és Ügyfél cégszerű aláírása].” A fentieken túl a műhely ajtaján kamera piktogram figyelmeztet a rendszer működésére 2021. május 8-tól. A felvételek tárolása a kamerában lévő rögzítő egységben és felhő alapon is történik, a belső helyiségek (konyha, raktár-iroda, ügyfélváró-iroda) kamerái 3 napot, míg a műhelyben lévő kamerák 7 napot rögzítenek. Élőkép megfigyelésére Ügyfél szerint nincs lehetőség, a más rögzített felvételekhez […] (Ügyfél 25%-os tulajdonosa) tud hozzáférni és azokat megtekinteni, […] (Ügyfél 75%-os tulajdonosa) engedélyével. Ügyfél megküldte a Hatóságnak a kamerák által közvetített képeket, továbbá az ingatlan kézzel rajzolt helyszínrajzát, megjelölve azon az egyes kamerák látószögeit.

3) Később a Hatóság NAIH-4360-5/2021. számú 2021. június 7-én kelt végzésével újból nyilatkozattételre és iratszolgáltatásra hívta fel az Ügyfelet, amelyre az szintén határidőben válaszolt. Ügyfél arról nyilatkozott, hogy rendelkezik a kamerás megfigyelő rendszerrel kapcsolatban adatvédelmi szabályzattal és adatvédelmi tájékoztatóval, amiket másolatban meg is küldött a Hatóságnak. A szabályzatok 2021. május 8-tól hatályosak.

a) A „kamerás megfigyelőrendszer adatkezelési tájékoztatója” nevű dokumentum főbb megállapításai a következők: A rendszer alkalmazásának elsődleges célja az emberi élet, testi épség, személyi szabadság védelme, a veszélyes anyagok őrzése, az üzleti, fizetési, bank- és értékpapírtitok védelme, illetve a vagyonvédelem. A rendszer alkalmazásának nem célja a munkavállalók viselkedésének befolyásolása. Adatkezelőként Ügyfél került megnevezésre, elérhetőségként azonban […] neve és elérhetőségei kerültek feltüntetésre. Az összesen hat darab kamera vonatkozásában külön-külön is megjelölésre kerültek az adatkezelési célok (amely egységesen vagyonvédelem), illetve a megfigyelt terület. A felvételek tárolási ideje a tájékoztató szerint egységesen három munkanap, amely rendkívül indokolt esetben 30 napig meghosszabbítható. A tárolási idő elteltével a felvételek automatikusan törlésre (felülírásra) kerülnek. Az adatok tárolási módja elektronikus. A felvételek visszanézésére jogosult személy […], amelyre „lopás, anyagi kár” esetén van lehetősége, csak „esemény esetén”. Az adatkezelés jogalapjaként csupán annyi szerepel a tájékoztatóban, hogy „a rendszer adatkezelésének jogszerűségéhez nem szükséges a megfigyelt személyek hozzájárulása”. Az adatkezelés alapjául szolgáló jogszabályok között az általános adatvédelmi rendelet és az információs önrendelkezési jogról és információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) mellett a közokiratokról, a közlevéltárakról és magánlevéltári anyag védelméről szóló 1995. évi LXVI. törvény, a közfeladatot ellátó szervek iratkezelésének általános követelményeiről szóló 335/2005. (XII. 29.) Korm. rendelet, az elektronikus kereskedelmi szolgáltatások, valamint az információs társadalommal összefüggő szolgáltatások egyes kérdéseiről szóló 2001. évi CVIII. törvény és az elektronikus hírközlésről szóló 2003. évi C. törvény is megjelölésre került.

b) A „kamerás megfigyelő rendszer adatvédelmi és adatkezelési szabályzat” nevű dokumentum nagyrészt az előző a) pontban ismertetett tájékoztató előírásait ismétli meg. Eltérés a kettő között, hogy a szabályzat a rendszer alkalmazásának jogszerűségéről külön fejezet szól, amely szó szerint átvett idézeteket tartalmaz az alábbi jogszabályokból: 2012. évi XLI. törvény a személyszállítási szolgáltatásokról, 1999. évi LXIII. törvény a közterület-felügyeletről, 2005. évi CXXXIII. törvény a személy- és vagyonvédelmi, valamint a magánnyomozói tevékenység szabályairól. Ezek a plusz jogszabályok – az a) pontban említettek mellett – felsorolásra kerülnek az „adatkezelés alapjául szolgáló jogszabályok” című pontjában is a szabályzatnak. A szabályzat tartalmaz továbbá az Infotv. hatálytalan szövegéből átvett általános rendelkezéseket az adatvédelmi nyilvántartásba való bejelentkezési kötelezettségről is. A szabályzat a felvételek tárolási idejére vonatkozóan eltérő rendelkezéseket tartalmaz a tájékoztatóhoz képest. Ezek szerint Ügyfél a kamerafelvételeket „általános esetben” 3 munkanapig tárolja, a műhely kamerák esetében viszont 7 nap a tárolási idő. A tárolási idő rendkívüli körülmények miatti meghosszabbítása 30 napra itt is megjelölésre került. Az adatkezelés jogalapjánál a szabályzat szintén csupán arra hivatkozik, hogy ahhoz nem szükséges az érintettek hozzájárulása. A fentieken túl a szabályzat rövid, általános, tehát nem a konkrét rendszer működésére vonatkozó előírásokat tartalmaz az adatbiztonságra, az adatvédelmi incidensek kezelésére vonatkozóan.

Ezen felül szintén általánosságban tartalmaz előírásokat az adatvédelmi tisztviselő jogállásával és feladataival kapcsolatban, személyét azonban nem jelöli ki.

c) Ügyfél továbbított továbbá a Hatóság részére egy 2019. május 20-án kelt „adatkezelési tájékoztató” elnevezésű dokumentumot. Ez dokumentum általános adatvédelmi tájékoztatást tartalmaz az Ügyfél által kezelt személyes adatokkal kapcsolatban, abban a weboldalán, direkt marketing tevékenysége során, illetve általános üzleti működési kapcsán kezelt személyes adatokról ad tájékoztatást az érintetteknek. A tájékoztató így nem a kamerarendszerre vonatkozik.

4) Ügyfél a fentiek túl nyilatkozott arról, hogy Ügyfél részéről […] a kamerák felvételeihez telefonos applikáción keresztül fér hozzá. Esemény esetén […] hozzájárulása esetén történik a rögzített képek megtekintése. Ilyen esetre a nyilatkozatig még nem került sor. Az „iroda-ügyfélváró” helyiség bekamerázásával kapcsolatban Ügyfél előadta, hogy ott jelenleg adminisztrációs munka folyik. Ebben a helyiségben található a pénztárgép és (bank)kártyaolvasó, továbbá a kassza is.

3. Az adatvédelmi hatósági eljárás során megállapított tényállás

A tényállás további tisztázásán túl az ügyben az általános adatvédelmi rendeletben foglalt kötelezettségek Ügyfél általi feltételezhető megsértésének további szükséges vizsgálata miatt az az Infotv. 60. § (1) bekezdésére tekintettel, a Hatóság adatvédelmi hatósági eljárás megindításáról döntött 2021. július 2-án, amelyről NAIH-4360-8/2021. számon értesítette Ügyfelet, melyet az a visszaérkezett tértivevény szerint 2021. július 7-én vett át. 1) A tényállás további tisztázása érdekében a Hatóság NAIH-4360-9/2021. számú 2021. július 12én kelt végzéssel újabb nyilatkozattételre és iratszolgáltatásra hívja fel az Ügyfelet, amelyre az határidőben válaszolt. Ügyfél válasza szerint a kamerarendszer vonatkozásában nem rendelkezik érdekmérlegelési teszttel. Ügyfél továbbá ismét kihangsúlyozta, hogy nem célja a rendszernek a munkavállalók megfigyelése, csupán a vagyonvédelem. Ügyfél azzal kapcsolatban, hogy az adatkezelési tájékoztatóban szereplő veszélyes anyagok őrzése, az üzleti-, fizetési-, bank- és értékpapírtitok védelme miképpen valósul meg a kamerarendszer használata révén, azt nyilatkozta, hogy a megfigyelt ingatlanban tárolják a vállalkozással kapcsolatos dokumentumokat, a pénztárgépet, kasszát, kártyaolvasót, számítógépeket, továbbá a külső veszélyes anyag tároló kulcsát is. Ügyfél továbbá nyilatkozott arról, hogy a konyha helyiségben munkavégzés nem folyik, csupán pihenő és étkező tevékenység, emellett itt található a vállalkozás páncélkazettája. A felvételek nézésére használható telefonos applikáció (YCC365, verziószám: 4.1042.5.050) alkalmas élőkép nézésére is, de ezt senki sem ellenőrzi Ügyfélnél, csak esemény esetén kerül visszanézésre a felhő alapú tárhelyre rögzített felvétel. A Hatóság kérdése volt továbbá, hogy miért készültek hozzájáruló nyilatkozatok a munkavállalók részéről, amikor az érintetti hozzájárulás nem képezheti az adatkezelés jogalapját a rendszer saját adatvédelmi szabályzata szerint sem. Erre Ügyfél úgy válaszolt, hogy a kamerák telepítése előtt egyeztetett a munkavállalókkal, akik hozzájárultak azok vagyonvédelmi célú felszereléséhez.

Ezeket a hozzájárulásokat írásban is rögzítettek az esetleges későbbi nézeteltérések elkerülése miatt.

2) A Hatóság belső IT biztonsági szakértője NAIH-4360-11/2021. ügyiratszámon szakértői véleményt készített az Ügyfél által használt okostelefonos alkalmazás (YCC365) alapvető tulajdonságairól, amelyet Ügyfél a kameraképek megtekintésére használ. A szekértői vélemény szerint az okostelefonra telepíthető alkalmazás iOS és Android felhasználók számára egyaránt elérhető, segítségével valós idejű videót lehet közvetíteni és tárolni. Az alkalmazás első használatakor e-mail cím használatával regisztrálni kell egy fiókot, a „Sign Up“ (Regisztráció) lehetőségre kattintva. Ezek után wifi hálózatra csatlakozva, és egy alkalmazás által generált QR kódot beolvastatva a választott kamerával, sikeres kapcsolódás után az applikációban megjelenik az élő kép. A kamera által közvetített elő kép, valamint további funkciók (pl. kamera vezérlése, döntés, zoom) távolról is elérhetőek. Az applikációban a 30 napos felhőalapú tárhelyszolgáltatás ingyenesen kipróbálható, ez idő letelte után elő lehet rá fizetni. A felhőszolgáltatást az Amazon AWS támogatja, minden videó és hang az amazon webszolgáltatásaiban kerül tárolásra; US-EU Safe Harbor protokoll titkosítással. SD kártya kamerába való behelyezése után a kamera a videókat az SD-kártyára menti a régiek folyamatos törlése mellett. A Hatóság NAIH-4360-12/2021. ügyiratszámú végzésével az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban Ákr.) 76. §-a alapján megküldte az Ügyfélnek a szakértői véleményt az ebben a szakaszban biztosított jogai gyakorlása érdekében. Ügyfél a végzést a visszaérkezett tértivevény szerint 2021. szeptember 24-én átvette, arra tőle a mai napig a Hatósághoz észrevétel nem érkezett.

3) A Hatóság végül NAIH-1006-1/2022. ügyiratszámon nyilatkoztatta az Ügyfelet arról, hogy a 2021-es üzleti évben összesen mekkora összeg volt az értékesítés nettó árbevétele, tekintettel arra, hogy a vizsgált adatkezelés ezen évet érintette, valamint az általános adatvédelmi rendelet 83. cikke alapján kiszabható közigazgatási bírság szempontjainak mérlegelése céljából. Ügyfél nyilatkozata alapján 2021-ben az értékesítése nettó árbevétele […] Ft volt. II.

Alkalmazott jogszabályi rendelkezések

Az Ákr. 99. §-a alapján a hatóság – a hatáskörének keretei között – ellenőrzi a jogszabályban foglalt rendelkezések betartását, valamint a végrehajtható döntésben foglaltak teljesítését. Az Ákr. 101. § (1) bekezdés a) pontja alapján, ha a hatóság a hatósági ellenőrzés során jogsértést tapasztal, megindítja a hatósági eljárását. Az Infotv. 38. § (3) bekezdése és 60. § (1) bekezdése alapján a Hatóság az Infotv. 38. § (2) és (2a) bekezdés szerinti feladatkörében a személyes adatok védelméhez való jog érvényesítése érdekében hivatalból adatvédelmi hatósági eljárást folytat. Az Ákr. 104. § (1) bekezdés a) pontja szerint a Hatóság az illetékességi területén hivatalból megindítja az eljárást, ha az eljárás megindítására okot adó körülmény jut a tudomására; ugyanezen bekezdés (3) bekezdése alapján a hivatalbóli eljárás az első eljárási cselekmény elvégzésének napján kezdődik, megindításáról az ismert ügyfél értesítése mellőzhető, ha az eljárás megindítása után a hatóság nyolc napon belül dönt.

Az általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján az eljárás tárgyát képező adatkezelésre az általános adatvédelmi rendeletet kell alkalmazni. Az általános adatvédelmi rendelet 4. cikk 1. pontja alapján „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható. Az általános adatvédelmi rendelet 4. cikk 2. pontja alapján „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés. Az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja alapján a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”). Az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontja alapján a személyes adatok az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”). Az általános adatvédelmi rendelet 5. cikk (2) bekezdése alapján az adatkezelő felelős a 5. cikk (1) bekezdésében foglalt alapelveknek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”). Az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerint a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az általános adatvédelmi rendelet 13. cikke alapján (1) Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét: a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei; e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen;

f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás. (2) Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja: a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról; c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról; e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása; f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír. A személy- és vagyonvédelmi, valamint a magánnyomozói tevékenység szabályairól szóló 2005. évi XCCCIII. törvény (a továbbiakban: Szvtv.) 30. § (3) bekezdése szerint nem alkalmazható elektronikus megfigyelőrendszer olyan helyen, ahol a megfigyelés az emberi méltóságot sértheti, így különösen öltözőben, próbafülkében, mosdóban, illemhelyen, kórházi szobában és szociális intézmény lakóhelyiségében. A munka törvénykönyvéről szóló 2012. évi I. törvény (a továbbiakban: Mt.) 9. § (2) bekezdése szerint a munkavállaló személyiségi joga akkor korlátozható, ha a korlátozás a munkaviszony rendeltetésével közvetlenül összefüggő okból feltétlenül szükséges és a cél elérésével arányos. A személyiségi jog korlátozásának módjáról, feltételeiről és várható tartamáról, továbbá szükségességét és arányosságát alátámasztó körülményekről a munkavállalót előzetesen írásban tájékoztatni kell. Az Mt. 11/A. § (1) bekezdése szerint a munkavállaló a munkaviszonnyal összefüggő magatartása körében ellenőrizhető. Ennek keretében a munkáltató technikai eszközt is alkalmazhat, erről a munkavállalót előzetesen írásban tájékoztatja. Az Infotv. 61. § (1) bekezdés a) pontja alapján a Hatóság a 2. § (2) és (4) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben az általános adatvédelmi rendeletben meghatározott jogkövetkezményeket alkalmazhatja.

Az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) és i) pontja alapján, a felügyeleti hatóság korrekciós hatáskörében eljárva elmarasztalja az adatkezelőt vagy adatfeldolgozót, ha adatkezelési tevékenysége megsértette a rendelet rendelkezéseit, illetve a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett. Ugyanezen cikk (2) bekezdés d) pontja alapján, a felügyeleti hatóság korrekciós hatáskörében eljárva utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba a rendelet rendelkezéseivel. A közigazgatási bírság kiszabására vonatkozó feltételeket az általános adatvédelmi rendelet 83. cikke tartalmazza. Az Infotv. 75/A. § - a szerint a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.

III. Döntés

1. A vizsgált adatkezelés jogalapja

1) Az általános adatvédelmi rendelet 4. cikk 1. pontjában foglalt fogalommeghatározás alapján egy ember arca, képmása személyes adatnak minősül, a képfelvétel készítése, valamint az adatokon elvégzett bármely művelet pedig a 4. cikk 2. pontja alapján adatkezelésnek minősül. Tekintettel arra, hogy a kamerák látószögei úgy kerültek kialakításra, hogy azok a megfigyelt helyiségek terén és az ott található vagyontárgyakon kívül a […] alatti épületben tartózkodó munkavállalókat is figyelnek a Hatóságnak megküldött dokumentumok alapján, a munkahelyi kamerás megfigyelésre vonatkozó szabályokat is figyelembe kell venni az ügy jogszerűségének megítélése kapcsán. Ennek megítélése során az alábbi munkajogi szabályok irányadóak. Az Mt. 42. § (2) bekezdés a) pontja értelmében a munkaszerződés alapján a munkavállaló köteles a munkáltató irányítása szerint munkát végezni. Ezzel összhangban az Mt. 52. § (1) bekezdés b) és c) pontjai a munkavállaló alapvető kötelességeként határozták meg azt, hogy a munkavállaló köteles munkaideje alatt a munkáltató rendelkezésére állni és munkáját az általában elvárható szakértelemmel és gondossággal, a munkájára vonatkozó szabályok, előírások, utasítások és szokások szerint végezni. E törvényi kötelezettségek megtartása végett az Mt. 11/A. § (1) bekezdése lehetőséget biztosít arra, hogy a munkáltató a munkavállalót a munkaviszonnyal összefüggő magatartása körében ellenőrizze. Ez a jogosultság szükségszerűen együtt jár személyes adatok kezelésével. A munkáltatói ellenőrzéshez kapcsolódó adatkezelés az Mt. rendelkezéseiből, a munkaviszony természetéből fakadó, a munkavállalói hozzájárulástól független adatkezelés. A hozzájárulással összefüggésben ugyanis meg kell jegyezni, hogy annak az általános adatvédelmi rendelet fogalommeghatározása1 szerint önkéntesnek kell lennie. Az önkéntes hozzájárulás kapcsán

1 Általános adatvédelmi rendelet 4. cikk 11. pont: „„az érintett hozzájárulása”: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez.”

ugyanakkor a már hatályon kívül helyezett adatvédelmi irányelv2 29. cikke szerint létrehozott Adatvédelmi Munkacsoport3 (a továbbiakban: Adatvédelmi Munkacsoport) több állásfoglalásában is kifejtette, hogy a munkavállaló-munkáltató viszonyában megkérdőjelezhető az önkéntes hozzájárulás lehetősége. A munka világában az érintett hozzájárulása helyett ezért más jogalap, a munkáltató jogos érdekén alapuló adatkezelés alkalmazása indokolt. Az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja4 jogos érdek jogalapja értelmében tehát személyes adat kezelhető abban az esetben, ha az adatkezelés az adatkezelő (vagy harmadik fél) jogszerű érdekének érvényesítéséhez szükséges, kivéve, ha ezen érdekeket megelőzi az érintettek személyes adatok védelméhez fűződő joga. Lényeges, hogy a munkáltatónak, mint adatkezelőnek e jogalapra hivatkozáshoz érdekmérlegelést kell végeznie.5 Az érdekmérlegelés elvégzése egy többlépcsős folyamat, melynek során azonosítani kell az adatkezelő, azaz a munkáltató jogos érdekét, valamint a súlyozás ellenpontját képező adatalanyi, munkavállalói érdeket, érintett alapjogot, végül a súlyozás elvégzése alapján meg kell állapítani, hogy kezelhető-e személyes adat. Amennyiben az érdekmérlegelés eredményeként megállapítható, hogy a munkáltatói jogszerű érdek megelőzi a munkavállalók személyes adatok védelméhez fűződő jogát, úgy üzemeltethető kamerarendszer. Az általános adatvédelmi rendelet 5. cikk (2) bekezdése szerinti „elszámoltathatóság elvéből” fakadóan azonban a munkáltatónak kell igazolnia azt, hogy az általa alkalmazott elektronikus megfigyelőrendszer összeegyeztethető a célhoz kötött adatkezelés elvével és az érdekmérlegelés kimenetele az adatkezelő jogos érdekének elsőbbrendűségét eredményezte. Ez a követelmény kijelöli annak kereteit, hogy munkahelyen milyen célból lehet elektronikus megfigyelőrendszert üzemeltetni. A Hatóság ehelyütt azt is megjegyzi, hogy a lefolytatott érdekmérlegelés során az Ügyfélnek azt is figyelembe kell vennie, hogy a megfigyelni kívánt, osztatlan közös tulajdonban lévő ingatlan teljes területének megfigyelése miért elengedhetetlenül szükséges a meghatározott cél érdekében.

2) A Hatóságnak megküldött adatvédelmi szabályzatban („kamerás megfigyelő rendszer adatvédelmi és adatkezelési szabályzat”) nem került konkrétan megjelölésre a kamerás megfigyelés jogalapja, csupán annyi, hogy ilyen adatkezelés esetén nem képezheti az érintett hozzájárulása a jogalapot. Ehhez képest Ügyfél minden egyes érintett munkavállaló részéről hozzájáruló nyilatkozatokat szerzett be, amelyeket az érintettek aláírásukkal is hitelesítettek.

2 A személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló 95/46/EK európai parlamenti és tanácsi irányelv

3 Az Adatvédelmi Munkacsoport az általános adatvédelmi rendelet alkalmazásának kezdőnapját megelőzően az adatvédelemmel, valamint a magánélet védelmével kapcsolatos kérdésekkel foglalkozó, független európai tanácsadó szerv volt, helyébe az Európai Adatvédelmi Testület lépett.

4 Általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pont: „A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.“

5 Az érdekmérlegelés elvégzéséhez segítséget nyújt az Adatvédelmi Munkacsoport 6/2014. számú, az adatkezelő 95/46/EK irányelv 7. cikke szerinti jogszerű érdekeinek fogalmáról szóló véleménye, melyben írtak az általános adatvédelmi rendelet alkalmazási időszakában is értelmezésül szolgálhatnak. A vélemény az alábbi linkről érhető el: https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp217_hu.pdf

A Hatóság a tényállás tisztázása során rákérdezett, hogy miért készültek hozzájáruló nyilatkozatok a munkavállalók részéről, amikor az érintetti hozzájárulás nem képezheti az adatkezelés jogalapját a rendszer saját adatvédelmi szabályzata szerint sem.6 Erre Ügyfél úgy válaszolt, hogy a kamerák telepítése előtt egyeztetett a munkavállalókkal, akik hozzájárultak azok vagyonvédelmi célú felszereléséhez. Ezeket a hozzájárulásokat írásban is rögzítettek az esetleges későbbi nézeteltérések elkerülése miatt. Ügyfél továbbá nyilatkozott arról, hogy nem rendelkezik a kamerarendszerrel kapcsolatban érdekmérlegelési teszttel. A fentiek alapján így az adatvédelmi szabályzatban foglaltak ellenére Ügyfél a gyakorlatban az érintettek hozzájárulására alapította a kamerás megfigyelőrendszer működtetését a saját jogos érdeke helyett. Ezt alátámasztják a bekért hozzájáruló nyilatkozatok, továbbá az érdekmérlegelési teszt hiánya. A határozat előző III./1./1) alpontjában foglaltak alapján azonban egy munkahelyi kamerás megfigyelőrendszer használatát nem lehet a munkavállalók hozzájárulására alapítani. Az ilyen rendszerek üzemeltetésére a munkahelyen az adatkezelő jogos érdeke alapján kerülhet sor. A szabályzat ezen felül a rendszer alkalmazásának jogszerűségéről szó szerint átvett idézeteket tartalmaz olyan jogszabályokból7, amelyek a kamerás adatkezelés szempontjából teljesen irrelevánsak. Ezek a plusz jogszabályok felsorolásra kerülnek az „adatkezelés alapjául szolgáló jogszabályok” című pontjában is a szabályzatnak. A szabályzat tartalmaz továbbá az Infotv. hatálytalan8 szövegéből átvett általános rendelkezéseket az adatvédelmi nyilvántartásba való bejelentkezési kötelezettségről is. A fentiek alapján a rendszer működése kapcsán létrehozott szabályzatból kitűnik, hogy az Ügyfél által véletlenszerűen került összeollózásra egy sablonként használt, valószínűleg hatálytalan adatkezelési szabályzat, valamint találomra beválogatott jogszabályi hivatkozások alapján. A Hatóság ehelyütt megállapítja, hogy az adatkezelési szabályzatban az adatkezelőnek pontosan meg kell tudnia jelölni a hatályos jogszabályi rendelkezések alapján az adatkezelés jogalapját, különböző jogszabályi hivatkozások találomra való felsorolásával ezen kötelezettség alól nem tud kibújni. Ügyfél ezért a kamerás rendszer üzemeltetésével megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdésének f) pontját, mivel a jogos érdek helyett a munkavállalók hozzájárulása képezte a rendszer üzemeltetésének jogalapját.

6 NAIH-4360-9/2021. számú végzés 6) kérdése

7 - 1995. évi LXVI. törvény a közokiratokról, a közlevéltárakról és magánlevéltári anyag védelméről, - 335/2005. (XII. 29.) Korm. rendelet a közfeladatot ellátó szervek iratkezelésének általános követelményeiről, - 2001. évi CVIII. törvény az elektronikus kereskedelmi szolgáltatások, valamint az információs társadalommal összefüggő szolgáltatások egyes kérdéseiről, - 2003. évi C. törvény az elektronikus hírközlésről, - 2012. évi XLI. törvény személyszállítási szolgáltatásokról, - 1999. évi LXIII. törvény a közterület-felügyeletről, - 2005. évi CXXXIII. törvény a személy- és vagyonvédelmi, valamint a magánnyomozói tevékenység szabályairól. 8 A Hatóság által korábban vezetett adatvédelmi nyilvántartásba való bejelentkezési kötelezettség az Infotv. 2018. július 27-től hatályos szövegéből törlésre került. Jelenleg ilyen nyilvántartást a Hatóság nem vezet, így abba az adatkezelőknek nem kell és nincs is lehetőségük bejelentkezni.

2. A vizsgált adatkezelés célja

1) Ügyfél a Hatóságnak küldött válaszaiban és a mellékelt dokumentációkban az adatkezelés céljaként az épületek biztonságának és az ott található vagyoni javaknak a védelmét, továbbá a veszélyes anyagok védelmét és fizetési műveletek biztonságát, valamint személyvédelmi célokat jelölt meg. A kamerarendszer üzemeltetésének célja így nem a munkavállalók munkájának megfigyelése és befolyásolása, hanem személy- és vagyonvédelem. Ezzel kapcsolatban fontos megemlíteni, hogy a munkahelyi kamerás megfigyelésnek abszolút korlátját jelenti az emberi méltóság tiszteletben tartása, ezért kamerákat a munkavállalók és az általuk végzett tevékenység állandó jellegű, kifejezett cél nélküli megfigyelésére működtetni nem lehet. Jogellenesnek tekinthető az olyan elektronikus megfigyelőrendszer alkalmazása is, amelynek célja a munkavállalók munkahelyi viselkedésének a befolyásolása, a munkavállalók kamerákkal történő állandó jellegű megfigyelése, ellenőrzése. Enne oka, hogy az ellenőrzési célú megfigyelés jellemzően sérti a szükségesség-arányosság elvét, hiszen a munkáltatónak számos más módja van arra, hogy éljen az Mt. 11/A. § (1) bekezdés szerinti ellenőrzési jogával. Ezért tehát nem lehet olyan kamerákat üzemeltetni, amelyek kizárólag a munkavállalókat és az általuk végzett tevékenységet figyelik meg állandó jelleggel. Kivételt képeznek az olyan munkahelyiségek, ahol a munkavállalók élete és testi épsége közvetlen veszélyben lehet, így kivételesen működtethető kamera például szerelőcsarnokban, kohóban, ipari üzemekben vagy más, veszélyforrást tartalmazó létesítményekben. Hangsúlyozni kell azonban azt, hogy csak abban az esetben működtethető kamera a munkavállalók élet- és testi épségének védelme céljából, ha a veszély ténylegesen fennáll és közvetlen, vagyis az eshetőleges veszély nem lehet alkotmányosan elfogadható adatkezelési cél. Mindezt azonban a munkáltatónak kell bizonyítania az érdekmérlegelési tesztben. Vagyonvédelmi célú megfigyelés esetén szintén a munkáltatónak kell igazolnia az érdekmérlegelés során, hogy ténylegesen fennállnak olyan körülmények, amelyek indokolják az egyes kamerák elhelyezését és más módon nem biztosítható az elérendő cél. A vagyonvédelmi célú megfigyelés esetén további fontos követelmény, hogy a munkáltatónak különös figyelemmel kell lennie arra, hogy az adott kamera látószöge alapvetően a védendő vagyontárgyra irányuljon, és a fentiekből következően ne váljon a munkavállalók munkavégzésének megfigyelésére alkalmas eszközzé. Emellett szintén nem lehet elektronikus megfigyelőrendszert alkalmazni olyan helyiségben sem, amely a munkavállalók munkaközi szünetének eltöltése céljából lett kijelölve. Ez alól kivételt jelenthet az az esetkör, ha ezen helyiségben valamilyen védendő, értékes vagyontárgy található, amellyel összefüggésben igazolható valamilyen munkáltatói érdek (például a munkavállalók többször megrongálták a berendezést és a károkat a munkáltatónak kellett állnia). Ebben az esetben e konkrét cél érdekében kamera helyezhető el a helyiségben, azonban ekkor a munkáltatónak – az adattakarékosság elvéből is következően – szintén különös figyelemmel kell lennie arra, hogy a kamera látószöge kizárólag a védendő vagyontárgyra irányulhat.

2) Ügyfél válaszai és az elhelyezett kamerák által közvetített megküldött képek alapján megállapítható, hogy azok:

- Az épületben lévő autószerelési munkák végzésére szolgáló műhelyet, az ott tárolt gépkocsikat, szerszámokat figyelik meg (3 darab kamera).

- Egy raktárhelyiséget és az ott tárolt árukat, szerszámokat és alkatrészeket figyeli meg (1 darab kamera). - Az ügyfelek fogadására szolgáló ügyfélvárót és irodát figyeli meg, ahol a kamera látószögébe beleesik a kassza és bankkártyaleolvasó terminál is (1 darab kamera). - A konyhahelyiséget, az ebédlőasztalra irányítva figyeli meg (1 darab kamera). A Hatóság megítélése szerint és a fentiekben hivatkozott jogszabályi rendelkezések szerint Ügyfél által megjelölt személy- és vagyonvédelmi céloknak a műhelyben található 3 darab kamera által közvetített kép, továbbá a raktárhelyiséget megfigyelő 1 darab kamera által közvetített kép feleltethető meg. Ezen helyiségekben végzett munka veszélyességi foka (autószerelő tevékenység), továbbá az ott tárolt nagyértékű vagyontárgyak (gépkocsik, szerszámok stb.) indokolhatja annak kamerás megfigyelését, abban az esetben, ha ennek arányosságát Ügyfél a lefolytatott érdekmérlegelés során igazolni tudja. Ügyfél az ügyfélváró és a kassza kamerás megfigyelése kapcsán szintén vagyonvédelmi célokat jelölt meg, továbbá veszélyes anyagok őrzését, az üzleti-, fizetési-, bank- és értékpapírtitok védelmét is. Ennek oka, hogy itt tárolják a pénztárgépet, kasszát, kártyaolvasót, számítógépeket, továbbá a külső veszélyes anyag tároló kulcsát is. A Hatóság álláspontja alapján az ügyfélváróban telepített kamera látószöge alkalmas arra, hogy azokon keresztül a munkavállalókat, illetve az oda érkező ügyfeleket, vásárlókat Ügyfél a kamera képét megtekinteni jogosult munkavállalóján keresztül ellenőrizze. Ennek oka, hogy a kamera látószögébe nem csupán a pénztárat, kártyaolvasót tartalmazó munkaállomást és a kulcsszekrényt, hanem szinte az egész helyiséget beleértve az ügyfélvárót is – megfigyeli. A helyiség ezen utóbbi részének konstans megfigyelése sem a vagyonvédelem, sem a veszélyes anyagok őrzése és az üzleti-, fizetési titok védelme céljából nem indokolt. A Hatóság megjegyzi, hogy Ügyfél által megjelölt bank- és értékpapír titok védelme Ügyfél tevékenysége kapcsán fel sem merülhet, hiszen az nem hitelintézeti tevékenységet folytató vállalkozás. Végül Ügyfél a konyhahelyiség megfigyelése kapcsán arra hivatkozott, hogy ott munkavégzés nem folyik, csupán pihenő és étkező tevékenység, emellett itt található a vállalkozás páncélkazettája is. A Hatóság ezen helyiség megfigyelése kapcsán megállapítja, hogy a kamera látószöge az ebédlőasztalra irányul, abban pedig nem esik bele a hivatkozott páncélkazetta. A kamera által közvetített kép tehát nem alkalmas személy- és vagyonvédelmi célú megfigyelés kivitelezésére, viszont a munkavállalók munkaközi szünetének eltöltése (étkezés) itt történik. A kamera látószöge ezért alkalmas a munkavállalók indokolatlan megfigyelésére munkaközi szüneteik töltése közben, a megjelölt vagyonvédelmi célt viszont nem képes betölteni, mivel abba a páncélkazetta nem esik bele.

3) A fentiek alapján a Hatóság megállapítja, hogy Ügyfél székhelyének „iroda-ügyfélváró” és

„konyha” helyiségeiben telepített kamera látószöge alkalmas a munkavállalók indokolatlan megfigyelésére, így nem összeegyeztethető az eredeti személy- és vagyonvédelmi céllal. A kamerán keresztül végzett adatkezelés ezért sérti az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja szerinti „célhoz kötöttség” elvét. Ezen felül, mivel nem a védendő vagyontárgyakra irányul az említett kamerák látószöveg, hanem szélesebb spektrumú látókört foglal magába az általa közvetített kép, így lehetővé téve a helyiségek teljes megfigyelését is, a Hatóság álláspontja szerint az adattakarékosság elvét – az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontját – is sérti Kérelmezett ezen adatkezelése.

A fentiekre tekintettel a Hatóság jelen határozat rendelkező részében felszólította Kérelmezettet, hogy a telephelyének „iroda-ügyfélváró” és „konyha” helyiségeiben telepített kamerák látószögeit úgy állítsa be, hogy azok ne legyenek alkalmasak a munkavállalók indokolatlan megfigyelésére és kizárólag vagyonvédelmi célokat szolgáljanak.

3. Az érintettek tájékoztatása a vizsgált adatkezelésről

az elektronikus megfigyelőrendszert üzemeltető személyéről (jogi vagy természetes személy pontos megnevezésével) és elérhetőségeiről, az adatvédelmi tisztviselő elérhetőségéről, amennyiben az adatkezelő nevezett ki ilyen személyt, az egyes kamerák elhelyezéséről és a vonatkozásukban fennálló célról, az általuk megfigyelt területről, tárgyról, illetőleg arról, hogy az adott kamerával közvetlen vagy rögzített megfigyelést végez-e a munkáltató, az adatkezelés jogalapjáról, az adatkezelő jogos érdekének a meghatározásáról, a felvétel tárolásának időtartamáról, az adatok megismerésére jogosult személyek köréről, illetőleg arról, hogy a felvételeket mely személyek, szervek részére, milyen esetben továbbíthatja a munkáltató, a felvételek visszanézésére vonatkozó szabályokról, illetőleg arról, hogy a felvételeket milyen célból használhatja fel a munkáltató, arról, hogy a munkavállalókat milyen jogok illetik meg az elektronikus megfigyelőrendszerrel összefüggésben és milyen módon tudják gyakorolni a jogaikat, arról, hogy az információs önrendelkezési joguk megsértése esetén milyen jogérvényesítési eszközöket vehetnek igénybe, így többek között a Hatósághoz fordulás lehetőségéről.

A tájékoztatási kötelezettséggel kapcsolatban szükséges továbbá kiemelni, hogy a munkáltatónak minden egyes kamera vonatkozásában pontosan meg kell jelölnie, hogy az adott kamerát milyen célból helyezte el az adott területen és milyen területre, berendezésre irányul a kamera látószöge. A munkáltató ezzel tudja igazolni a munkavállalók számára azt, hogy miért tekinthető szükségesnek az adott terület megfigyelése. Nem fogadható el az a gyakorlat, amikor a munkáltató csupán általánosságban tájékoztatja a munkavállalókat arról, hogy elektronikus megfigyelőrendszert alkalmaz a munkahely területén. Ügyfél által a Hatóság felhívására közöltek és megküldött dokumentumok alapján az alábbiak állapíthatóak meg a kamerarendszer üzemeltetésével kapcsolatos tájékoztatásról. A „kamerás megfigyelőrendszer adatkezelési tájékoztatója” nevű dokumentum főbb megállapításai a következők: A rendszer alkalmazásának elsődleges célja az emberi élet, testi épség, személyi szabadság védelme, a veszélyes anyagok őrzése, az üzleti, fizetési, bank- és értékpapírtitok védelme, illetve a vagyonvédelem. A rendszer alkalmazásának nem célja a munkavállalók viselkedésének befolyásolása. Adatkezelőként Ügyfél került megnevezésre. Elérhetőségként […] neve és elérhetőségei kerültek feltüntetésre. Az összesen hat darab kamera vonatkozásának külön-külön is megjelölésre kerültek az adatkezelési célok (amely egységesen vagyonvédelem), illetve a megfigyelt terület. A felvételek tárolási ideje a tájékoztató szerint egységesen három munkanap, amely rendkívül indokolt esetben 30 napig meghosszabbítható. A tárolási idő elteltével a felvételek automatikusan törlésre (felülírásra) kerülnek. Az adatok tárolási módja elektronikus. A felvételek visszanézésére jogosult személy […], amelyre „lopás, anyagi kár” esetén van lehetősége, csak „esemény esetén”. Az adatkezelés jogalapjaként csupán annyi szerepel a tájékoztatóban, hogy „a rendszer adatkezelésének jogszerűségéhez nem szükséges a megfigyelt személyek hozzájárulása”. Ügyfél által a tájékoztatóban megjelölt további jogszabályok (1995. évi LXVI. törvény, 335/2005. (XII. 29.) Korm. rendelet, 2001. évi CVIII. törvény és a 2003. évi C. törvény) az adatkezelés szempontjából teljesen irrelevánsok, mivel azok a kamerás adatkezelések vonatkozásában nem tartalmaznak alkalmazható előírásokat. Az azokra való hivatkozás célja egyébként sem került megjelölésre a tájékoztatóban, így felsorolásuk teljesen felesleges. Ügyfél továbbított továbbá a Hatóság részére egy 2019. május 20-án kelt „adatkezelési tájékoztató” elnevezésű dokumentumot, amely azonban nem a kamerarendszerre vonatkozik, így ezzel kapcsolatban a Hatóság további megállapítást nem tesz.

2) A fentiekkel kapcsolatban megállapítható, hogy az adatkezelési tájékoztató hibásan tartalmazza az adatkezelés jogalapját, mivel azt nem jelöli meg egyértelműen, csupán az érintetti hozzájárulás beszerzésének szükségtelenségére utal. Ehelyütt Ügyfélnek az adatkezelés jogalapjaként az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontját, azaz az adatkezelő jogos érdekét kellett volna megjelölnie, ahogy az a határozat III/1. részében is kifejtésre került. A jogos érdek alapján történő adatkezelés esetén pedig utalnia kellett volna az elvégzett érdekmérlegelési teszt eredményére is, azonban Ügyfél nyilatkozata szerint ilyennel sem rendelkezik. Emellett a tájékoztató a rendszer adatkezelési szabályzatához hasonlóan teljesen irreleváns jogszabályokat és célokat is megjelöl (lásd erről bővebben a határozat III./1. pontját a jogalap és III/2. pontját a célok tekintetében). A fentieken túl az adatkezelési tájékoztató nem tartalmaz információt arról, hogy a munkavállalókat milyen jogok illetik meg az elektronikus megfigyelőrendszerrel összefüggésben és milyen módon tudják gyakorolni a jogaikat, továbbá, hogy jogaik érvényesítésével kapcsolatban a Hatósághoz fordulhatnak. Az általános adatvédelmi rendelet 13. cikk (1) bekezdése úgy rendelkezik, hogy az adatkezelő a személyes adatok megszerzésének időpontjában kell, hogy az érintett rendelkezésére bocsássa a felsorolt információk mindegyikét. A Hatóság a fentiekkel kapcsolatban megállapítja, hogy a tájékoztató nem felel meg az általános adatvédelmi 13. cikk (1)-(2) bekezdéseiben foglaltaknak az alábbi szempontok miatt:

az adatkezelés tényleges jogalapja (az adatkezelő jogos érdeke) nem került megjelölésre, a tájékoztató nem tartalmazza az érdekmérlegelési tesztet, a tájékoztató az adatkezelés szempontjából irreleváns jogszabályokra hivatkozik, a tájékoztató az adatkezeléssel össze nem függő célokat is megjelöl (üzleti, fizetési, bankés értékpapírtitok védelme), a tájékoztató nem tartalmaz az érintetti jogokról és jogérvényesítési lehetőségekről való tájékoztatást. Az Ügyfél továbbított a Hatóság részére egy fényképfelvételt, amelyen látszik, hogy piktogramos figyelemfelhívó jelzést helyezett el az üzlethelyiség bejáratánál a kamerás megfigyelésre való felhívás céljából 2021. május 8-án. Mivel a megfelelő tájékoztatással összefüggésben további követelmény, hogy a munkáltató köteles figyelemfelhívó jelzést elhelyezni arról a tényről, hogy az adott területen elektronikus megfigyelőrendszert alkalmaz9, de Ügyfél ennek csak az adatkezelés 2021. március 5-i megkezdése után több mint két hónappal tett eleget, ezért ezen követelmény kapcsán sem valósult meg a megfelelő tájékoztatás követelménye. A fentiek alapján így megállapítható, hogy Ügyfél székhelyén nem volt és a rendelkezésre álló információk alapján jelenleg sincs a kamerás adatkezelésről szóló megfelelő tájékoztatás a telephelyen dolgozó munkavállalók (a vizsgált időszakban összesen 6 fő) részére. A fentiek alapján a Hatóság megállapította, hogy Ügyfél megsértette az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdéseit, és ezért felszólította a jogszabályoknak megfelelő adatvédelmi tájékoztató elkészítésére.

5. Az alkalmazott szankcióval kapcsolatos megállapítások. A Hatóság megvizsgálta, hogy a Kérelmezettel szemben milyen típusú szankciót kíván alkalmazni a feltárt jogsértések miatt és hogy indokolt-e vele szemben adatvédelmi bírság kiszabása. E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján, figyelemmel az Infotv. 61. § (5) bekezdésére is, mérlegelte az ügy összes releváns körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértés esetében az Ügyfél

9 Lásd: Az Európai Adatvédelmi Testület 3/2019. számú iránymutatása a személyes adatok videoeszközökkel történő kezeléséről, 28-29. o. Online: https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201903_video_devices_hu.pdf figyelmeztetése és felszólítása önmagában nem kellően arányos és visszatartó erejű szankció, indokolt tehát a bírság kiszabása. A bírságkiszabás szükségességének megállapítása során a Hatóság mérlegelte a jogsértések súlyosító és enyhítő körülményeit az alábbiak szerint: Súlyosító körülmények:

- A jogsértő kamerás adatkezelés és az elégtelen tájékoztatás a vizsgált székhelyen a rendelkezésre álló adatok alapján 2021. március 5-től a mai napig fennáll. [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont] - A Hatóság az adatkezelésről közérdekű bejelentés alapján szerzett tudomást. A közérdekű bejelentő Ügyfélnek korábban is jelezte az adatkezelés jogsértő jellegét, amely kapcsán azonban Ügyfél nem tett intézkedést. [általános adatvédelmi rendelet 83. cikk (2) bekezdés h) pont]

- A Hatóság a bírság összegének meghatározása során figyelembe vette, hogy a Kérelmezett által elkövetett alapelvi jogsértések az általános adatvédelmi rendelet 83. cikk (5) bekezdése szerint a magasabb maximális összegű bírságkategóriába tartozó jogsértésnek minősülnek. Enyhítő körülmények:

- A jogsértő kamerás megfigyelés és a tájékoztatás hiánya a vizsgált adatkezelés tekintetében csak személyek szűkebb körét érintette (összesen 6 munkavállalót). [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont] - A telephelyen csupán két kamera („iroda-ügyfélváró” és „konyha”) által közvetített kép lehet alkalmas a munkavállalók indokolatlan megfigyelésére. [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont]

- Az eljárás során a Hatóságnak nem jutott tudomására olyan információ, amely arra utalna, hogy az érintetteket a jogsértés nyomán bármilyen konkrét hátrány vagy kár érte volna. [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont]

- Nem merült fel arra vonatkozó körülmény, hogy az adatkezelés körülményeinek jogsértő módon történő kialakítása során Ügyfelet szándékosság vezette volna, így részéről csupán gondatlanság állapítható meg [általános adatvédelmi rendelet 83. cikk (2) bekezdés b) és d) pontjai]

- A Hatóság figyelembe vette, hogy az Ügyféllel szemben korábban nem állapított meg a személyes adatok kezelésével kapcsolatos jogsértést. [általános adatvédelmi rendelet 83. cikk (2) bekezdés e) pont] Egyéb, figyelembe vett körülmények:

- A Hatóság figyelemmel volt arra is, hogy az Ügyfél mindenben együttműködött a Hatósággal az ügy kivizsgálása során, noha e magatartást – mivel a jogszabályi kötelezettségek betartásán nem ment túl – nem értékelte kifejezetten enyhítő körülményként. [általános adatvédelmi rendelet 83. cikk (2) bekezdés f) pont] A Hatóság a jogkövetkezményekről való döntés meghozatala során az általános adatvédelmi rendelet 83. cikk (2) bekezdésének c), g), i), j) és k) pontját nem tartotta relevánsnak. A bírság összegének megállapítása során figyelembe vette a Hatóság, hogy Ügyfélnek a Hatóság felhívására adott nyilatkozata alapján a 2021. január 1. – 2021. december 31. közötti üzleti évben […] HUF, azaz […] forint nettó árbevétele volt. A bírság megállapítása során a jogsértés fennállásának időszakára tekintettel vette figyelembe a Hatóság a 2021-as üzleti évet. A fentiek alapján a kiszabott bírság összege a jogsértés súlyával arányban áll, nem tekinthető túlzónak. A Hatóság az Infotv. 61. § (2) bekezdés c) pontja alapján a határozatnak Ügyfél azonosító adatainak kitakarásával történő nyilvánosságra hozatalát rendelte el, mivel az nem érinti személyek széles körét. IV.

Egyéb kérdések

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak. A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. Budapest, 2022. március 29.

Dr. Péterfalvi Attila elnök c. egyetemi tanár