Családi ház, parkolássegítő kamera, esküvő eseményének rögzítése

A GDPR 2. cikk (2)(c) bekezdése szerint nem esik a GDPR tárgyi hatálya alá a természetes személyek kizárólag személyes vagy otthoni tevékenysége keretében végzett adatkezelése.  Ez alapján kivételi körbe tartozik például a magánszemély családiházán üzemeltetett, közterületre vagy szomszédos területre nem irányuló kamera. Amennyiben azonban a családi ház ügyfélforgalom számára is nyitva áll (vállalkozást üzemeltetnek benne), abban az esetben az adatkezelés már a rendelet hatálya alá tartozik (szükségessé válik adatkezelési tájékoztató, nyilvántartások stb.).

Hasonlóképpen nem tartozik a rendelet hatálya alá a priváteseményeken történő képfelvétel (lsd: esküvő) akkor sem, amennyiben a képeken, videófelvételeken az eseményen résztvevő harmadik személyek láthatóak (nem családtag). Amennyiben azonban ezen képeket/videókat az internetre is feltölti valaki, azaz meghatározatlan sokaság felé közvetíti, átcsúszik az adatkezelés a GDPR hatálya alá.

Nem minősül adatkezelésnek a vakkamera alkalmazása sem, így annak használatához adatkezelési tájékoztató sem szükséges. Az állásfoglalás a gépjármű parkolását segítő kameráját sem helyezi a GDPR hatálya alá. Ezen túlmenően a nagy magasságból végzett felvételek sem tartoznak a GDPR hatálya alá feltéve, hogy az egyének a felvételen nem azonosíthatóak be.

Jogalapok: Jogos érdek, közérdek vagy közhatalmi tevékenység gyakorlása vagy jogi kötelezettség lehetnek a jogalapok

Az állásfoglalás számos jogalapot megnevez lehetséges jogalapként. Kiemeli, hogy a munkabiztonsági célú elektronikus megfigyelőrendszer jogalapja (lsd. pl: raktár, üzem) jogi kötelezettség teljesítése lehet. Az esetek zömében a megfelelő jogalap az adatkezelő vagy harmadik személy jogos érdeke. E körben az érdekmérlegelésre nagy hangsúlyt kell helyezni.  Annak keretében ugyanis az adatkezelés szükségességét, arányosságát be kell mutatni, szükség esetén azt statisztikai adatokkal is alá kell támasztani (bűnözési ráta). Az adatkezelő ugyanis nem tekintheti alapvető jognak azt, hogy elektronikus megfigyelőrendszer üzemeltetésével éri el személy- és vagyonvédelmi vagy egyéb céljait. Az érdekmérlegelés keretében be kell mutatni, hogy például a kerítés alkalmazása, éjjeliőr megbízása, erősebb megvilágítás miért nem bizonyulnak megfelelő eszközöknek ugyanazon cél eléréséhez. Az érdekmérlegelésnek különösképpen az érintett tiltakozása esetén van jelentősége, hiszen akkor annak (adatkezelésnek) nélkülözhetetlen voltát kell bizonyítani.

A különleges személyes adatok kezelésére eltérő szabályok vonatkoznak a GDPR-ban. Az elektronikus megfigyelőrendszer akkor kezel különleges személyes adatot, amennyiben kifejezetten ilyen körülmények megfigyelésére működtetik. Ilyen például a kórház betegfigyelő rendszere vagy az arcfelismerő rendszer. Utóbbi biometrikus volta miatt tartozik a különleges adatok körrébe. Ebben az esetben a rendelet 9. cikkét is alkalmazni kell, azaz meg kell nevezni, hogy az adatkezelési tilalom alól mely körülmény mentesít.

A tájékoztatás lépései

A személyes adatok kezeléséről az adatkezelés megkezdését megelőzően kell tájékoztatást adni. Az elektronikus megfigyelőrendszer adatkezelése esetében ez azt jelenti, hogy a megfigyelt területre való belépést megelőzően képi figyelemfelhívás szükséges azzal a minimális tartalommal, hogy szükséges az adatkezelő, a jogalap, a címzettek és az érintetti jogok megjelölése. Arra is utalni kell, hogy az adatkezelési tájékoztató részleteiben hol érhető el (recepció, honlap stb.). A tájékoztatásnak arra is ki kell térnie, hogy az érintett a felvételt kikérheti. Amennyiben ezzel a jogával él, a felvételen látszó harmadik személyeket az adatkezelőnek ki kell takarnia, hiszen az érintetti jogok gyakorlása harmadik személy jogait hátrányosan nem érintheti.

Az adatkezelés időtartama szűkre szabott

A személy- és vagyonvédelemről szóló 2005. évi CXXXIII.tv. (Szvtv.) deregulációjával a vállalkozások megkönnyebbültek, mivel a szigorú adatkezelési határidők a törvényből kikerültek. Az állásfoglalás azonban ismételten kiemeli, hogy 3 napot az adatkezelés időtartama kivételes esetben haladhat meg, melyet meg kell indokolni (utólagos reklamáció időben később érkezik stb.). Általánosságban ugyanakkor az 1-2 napos adatkezelési határidőket tekinti elfogadhatónak.

És amiről nem mond semmit pedig fontos lenne

Sajátos jellemzője az állásfoglalásoknak (amellett, hogy néha nem túl életszerűek), hogy az egyszerűbb jogalkalmazási kérdéseket hosszasan részletezik, a tényleges problémák vonatkozásában azonban nem nyilvánítanak véleményt. Ilyen terület az összeegyeztethető adatkezelési cél kérdése. A kérdés az, hogy a meghatározott célból elhelyezett kamera felvétele milyen körben használható fel más célra. Erre példaként említi, hogy a biztonsági kamera felvételének ügyvéd számára való továbbítása azonos célnak tekinthető, így megfelelő tájékoztatással és szabályozással az adattovábbítás megfelelő jogilag. Ennél problémásabb ugyanakkor annak a megítélése, hogy felhasználható-e a személy- és vagyonvédelmi kamera felvétele abban az esetben, amennyiben a munkáltató és a munkavállaló között munkajogi jogvita alakul ki, melynek keretében bizonyos tényt a felvétellel bizonyítani lehetne. Az elektronikus megfigyelőrendszer azonban nem azt a körülményt figyelte, de történetesen azt is megörökítette (pl: látható, hogy a munkavállaló nincsen jelen). Életszerűtlen a munkáltatótól azt elvárni, hogy a felvételt, mint eltérő célú adatkezelést tegye félre. A 6. cikk (4) bekezdését sajnos azonban az állásfoglalás nem értelmezi.

És hát az életszerűség....

Az életszerűség követelményének való megfelelés hiányának szemléltetésére a legjobb példa az az érdekmérlegelési esetkör, amelyben több alkalommal is azt taglalja az állásfoglalás, hogy WC-ben balesetvédelmi szempontok alapján elektronikus megfigyelőrendszer nem működtethető. Ez tény bár nincsen tudomásom arról, hogy erre nagy lenne az igény.

Dr. Kéri Ádám, ügyvéd