A kamerás adatkezelésekkel kapcsolatos hatósági megállapítások

Ebben a bejegyzésben a NAIH 2022. évi beszámolójában szereplő kamerás adatkezelésekkel kapcsolatos megállapításokra szeretném felhívni a figyelmet.

Az elmúlt évek során már számtalan döntés született a kamerás adatkezelésekkel kapcsolatban, de úgy tűnik, hogy az adatkezelők még mindig nincsenek tisztában a keretekkel. A leggyakoribb szabálytalanságok a munkavállalók megfigyelései, a társasházi kamerák és a szomszéd által üzemeltetett kamerás megfigyelésekkel összefüggésben merültek fel.

A 2022-es évet illetően azonban a NAIH a korábbiakhoz képest új tényeket, szempontokat is értékelt eljárásai során, ezért érdemes részletesebben megvizsgálni az új megállapításokat.

Vendéglátóegységben üzemeltetett kamerás adatkezeléssel kapcsolatos megállapítások

1. Az egyik ilyen vizsgált ügyben az adatkezelő egy vendéglátó egységet üzemeltetett úgy, hogy az üzlete előtti járda egy részét, tehát közterületet bérelt az önkormányzattól, és ott teraszt hozott létre. Az adatkezelő az üzlethelyiség vendégei, személyzete testi épségének védelme, valamint a teraszon elhelyezett vagyontárgyak védelme miatt, létfontosságú érdekének védelmére hivatkozással – a GDPR 6. cikk (1) bekezdés d) pontja – szereltette fel a kamerákat.

A Hatóság megállapította, hogy a létfontosságú érdek jogalap nem alkalmazható, a kamerás megfigyelésre alkalmazandó jogalap jellemzően a jogos érdek lehet, így az adatkezelő a személyes adatokat jogalap nélkül kezeli azzal, hogy a teraszon éttermi asztalokat figyel meg és a vendégekről folyamatosan képet és hangot rögzít és ez sérti az arányosság követelményét is.

A NAIH ebben az ügyben is vizsgálta az érintettek elvárásait az adatkezeléssel kapcsolatban, megállapította, hogy a vendégek elvárhatják, hogy ne figyeljék meg őket nyilvános helyeken, különösen akkor, ha ezeket a helyeket jellemzően szabadidős tevékenységek céljára használják.

A NAIH az éjszaka és rendes munkaidőn kívüli kamerás megfigyeléssel kapcsolatban a következőket mondta ki.

"Az éjszaka és a rendes munkaidőn kívül üzemelő megfigyelőrendszer általában megfelel az adatkezelő igényeinek a vagyonát fenyegető veszélyek elkerüléséhez. Ennek alapján az éjszaka és a rendes munkaidőn kívül üzemelő megfigyelőrendszer közterületre irányítva – ha az adatkezelés egyéb körülményei alapján igazolható a szükségesség/jogszerűség – arányos korlátozást valósíthat meg. Azonban a hangrögzítés éjszaka és a rendes munkaidőn kívül sem tekinthető jogszerű adatkezelési módnak"

Tehát a hangrögzítés semmilyen esetben sem lehet megengedett, még éjszaka és rendes munkaidőn kívül sem.

A NAIH a fentiek mellett arra is kötelezte az adatkezelőt, hogy megfelelő módon adjon tájékoztatást az érintetteknek az adatkezelésről és annak megfelelő jogalapjáról vagy szüntesse meg az adatkezelést.

A kamerás adatkezelési tájékoztatok kapcsán tudni kell, hogy az adatkezelő ún. többszintű megközelítést köteles alkalmazni.

"Az átláthatóság biztosítása érdekében a kamerás megfigyelést illetően a legfontosabb információkat a figyelmeztető táblán (első szint) kell feltüntetni oly módon, hogy a személy a megfigyelt területre való belépés előtt felismerhesse a megfigyelés legfontosabb körülményeit, így például az adatkezelés céljaira, az adatkezelő kilétére és az érintett jogainak meglétére vonatkozó részletes tudnivalókat. A teljes körű tájékoztatáshoz közlendő további adatok pedig közölhetők más módon (második szint), azonban annak elérhetőségére utalnia kell az első szintű tájékoztatásnak." (NAIH-88/2022)

Vagyis még a vendéglátó egységbe történő belépés előtt, jellemzően a bejárat előtti falon, táblán, a teraszon, bárhol még az egység területére való belépés előtt el kell helyezni az első szintű tájékoztatást.

Szálláshelyen üzemeltetett kamerás adatkezeléssel kapcsolatos megállapítások

2. Egy másik ügyben az adatkezelő az általa üzemeltetett szálláshelyen két egymástól elkülöníthető kamerarendszert üzemeltetett. Az első kamerarendszer fix analóg kamerákból állt, amelyek csak élőképet közvetítettek, a második IP-kamerákból, amelyek képet és hangot is rögzítettek.

"Az analóg rendszer kamerái a parkolót, illetve a kaputól a szálláshely bejáratáig terjedő sávot figyelték meg, míg az IP-kamerák a recepciót, az étkezőt, a belső udvart, valamint az épület teraszán elhelyezett jakuzzit. Ezen kamerák mozgásra aktiválódtak, és kezdték meg a rögzítést. A jakuzzira irányuló kamera olyan módon volt beállítva, hogy alkalmas volt a szomszédos ingatlanon tartózkodó személyek megfigyelésére is."

Az adatkezelő adatkezelése jogalapjaként a GDPR 6. cikk (1) bekezdés f) pont szerinti jogos érdekét jelölte meg, az adatkezelés céljaként pedig a személy- és vagyonvédelmet.

A Hatóság az analóg kamerarendszer útján megvalósuló adatkezelést jogszerűnek találta, a kamerák látószögébe kizárólag az ingatlan olyan részei estek bele, ahol a szállóvendégek csak áthaladnak, illetve ahol ténylegesen alkalmasak vagyonvédelmi célok betöltésére, pl. parkoló. Mivel a kamerák az utcafrontról is láthatók, így visszatartó erővel is bírnak az ingatlan területére való illetéktelen behatolással, illetve egyéb vagyon elleni bűncselekmények elkövetésével szemben. Azáltal, hogy rendszer csak élőképet közvetít, az érintettek magánszférájába való beavatkozás jelentősen kisebb, mint ha sor kerülne a személyes adataik rögzítésére.

Az IP-kamerákból álló kamerarendszer útján történő hangrögzítés viszont jogellenes, mivel az adatkezelés az elérni kívánt céllal nem arányos, és annak szükségességét az adatkezelő az eljárásban nem igazolta. A hangrögzítés nem tekinthető általánosan bevett gyakorlatnak vagyonvédelmi kamerás megfigyelések esetében, így az érintettek tájékoztatás hiányában nem is számíthattak arra, hogy a kamerák a képmásuk mellett a hangjukat, a beszélgetéseiket is rögzíti.

Az étkezőben elhelyezett kamera vonatkozásában ugyanez igaz, az adatkezelés az elérni kívánt céllal nem arányos, és a vendégek elvárásaival ellentétes az, ha őket pihenés, étkezés közben figyelik meg.

A jakuzzit és a belső udvart figyelő kamera vonatkozásában ugyanezt hangsúlyozta a Hatóság.

Szépségszalonban üzemeltetett kamerás adatkezeléssel kapcsolatos megállapítások

3. Egy másik ügyben a NAIH 30 millió forintos bírságot szabott ki arra a szépségszalont üzemeltető adatkezelőre, aki a munkavállalókat és a vendégeket is jogsértően figyelte meg, a szépségszalon minden helyiségében volt kamera, még a mosdókban, öltözőkben is.

Fogorvosi rendelőben üzemeltetett kamerás adatkezeléssel kapcsolatos

4. Szintén súlyos jogsértést követett el egy fogorvosi rendelőt üzemeltető adatkezelő, nem csak a váróban, de a kezelő szobában is volt kamera. Kezelő/rendelő helyiségben történő megfigyelés esetében a Hatóság korábbi állásfoglalásai szerint is a kamera nem mutathatja/rögzítheti kezelés közben azonosítható módon a pácienst, kivéve annak kifejezett írásos hozzájárulása esetét pl. tudományos, oktatási célból. A Hatóság megállapította, hogy a váróban és a kezelőhelyiségben telepített kamerák látószöge alkalmas a munkavállalók és nem csak az adatkezelő alkalmazásában álló munkavállalók indokolatlan és folyamatos megfigyelésére, a Hatóság megállapítása szerint az adatkezeléssel a munkavállalók egész napi tevékenysége ellenőrizhető a felvételek alapján, ezért az adatkezelő megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja szerinti célhoz kötött adatkezelés elvét.

Összegzés

A fenti esetekből is jól látszik, hogy a kamerát üzemeltetők sok esetben totális megfigyelésre törekszenek vagyonvédelmi okokra hivatkozással. A képfelvétel mellett pedig sokszor hangot is rögzítenek, ami olyan mértékű beavatkozást jelen az érintett személyes jogaiba és szabadságába, hogy a Hatóság egyik esetben sem tartja megengedhetőnek. 

Általános probléma a megfelelő tájékoztatás hiánya is, a többszintű tájékoztatás teljesen hiányzik az adatkezelők gyakorlatából. Önmagában nem elegendő egy kamera piktogram kihelyezése a bejárati ajtón, minden esetben követni kell a kétszintű tájékoztatást.

Már az épületbe történő belépést megelőzően figyelmeztető táblát kell kihelyezni. A táblán a legfontosabb információkat fel is kell tüntetni (adatkezelő, adatfeldolgozó, elérhetőségek, érintettek jogai stb.).

Az Európai Adatvédelmi Testület ezzel kapcsolatban kiadott egy ajánlást, amit nem kötelező alkalmazni, de jó gyakorlat lehet. Az alábbi tájékoztató tábla alkalmazásával az adatkezelő megfelel az adatvédelmi követelményeknek.

A részletes tájékoztatót pedig az ügyféltérben jól látható helyen ki kell függeszteni.

Vagyis kamerarendszer létesítése és üzemeltetése esetén többszintű tájékoztatást kell alkalmazni. Az első szint maga a bejáratnál elhelyezett tájékoztató tábla, az alapvető információkkal, a második szint a részletes tájékoztató.

A tájékoztató táblát úgy kell kihelyezni, hogy az érintett a megfigyelt területre való belépés előtt könnyen felismerhesse a megfigyelés körülményeit (megközelítőleg szemmagasságban). Nem szükséges közölni a kamera helyét, amennyiben nincs kétség azzal kapcsolatosan, mely területek állnak megfigyelés alatt, és a megfigyelés körülményeit egyértelműen tisztázzák. Ha viszont nem egyértelmű, hogy hol vannak felszerelve a kamerák, akkor azok helyéről is tájékoztatást kell adni.

Meg kell határozni a kamerás adatkezelés jogalapját is. A kamerás adatkezelés jogalapja az adatkezelő és/vagy az iroda, vendéglátóegység területén tartózkodók törvényes jogos érdeke lehet. A jogos érdeket konkréten meg kell határozni, körül kell írni. A jogos érdek nem lehet feltételes, jövőbeli vagy esetleges.

A kamerarendszer létesítéséről való döntést megelőzően egy ún. érdekmérlegelési tesztet kell végezni, amiben vizsgálni kell, hogy létezik-e egyéb olyan eszköz, eljárás, amivel hatékonyan kiváltható a kamerarendszer. Az érdekmérlegelési tesztről bővebben itt olvashatsz. Az érdekmérlegelés az adatkezelés jogalapjával van szoros összefüggésben

A GDPR azt várja el az adatkezelőktől, hogy az adatkezelést szorítsák a lehető legszükségesebb szintre, ezért olyan alternatív megoldásokra kell törekedni, ami a legkevesebb személyes adat kezeléssel jár. Ilyen lehet például álkamera felszerelése, az álkamera nem végez semmilyen adatkezelést, erre a GDPR szabályait nem kell alkalmazni.

Írta: dr. Angelmayer-Szép Bernadett